Linee Guida relative alle Regole Tecniche per la sottoscrizione elettronica di documenti ai sensi dell'art. 20 del CAD

Regole tecniche per la sottoscrizione elettronica di documenti tramite SPID ai sensi dell'art. 20 CAD

Le linee guida disciplinano il procedimento con cui un documento informatico, previa identificazione del suo autore tramite SPID, può soddisfare il requisito della forma scritta e produrre gli effetti previsti dall'art. 2702 c.c. Il testo definisce in modo vincolante il ruolo di SP, IDP ed enti federati, i requisiti tecnici del documento, i passaggi di consenso, i metadati da scambiare e le misure di sicurezza e conservazione.

Quadro normativo e natura vincolante

Il fondamento è l'art. 20, comma 1-bis, CAD, che demanda ad AgID la fissazione dei requisiti del processo idoneo a garantire sicurezza, integrità, immodificabilità e riconducibilità del documento all'autore. Le linee guida richiamano anche:

• art. 71 CAD, per la natura regolatoria delle linee guida AgID;
• art. 17 CAD, per la segnalazione al difensore civico nei casi previsti;
• Regolamento eIDAS e le relative decisioni di esecuzione, per i sigilli elettronici qualificati;
• Regolamento GDPR e D.Lgs. 101/2018, per il trattamento dei dati personali. Il documento precisa che le linee guida hanno carattere vincolante ed efficacia erga omnes, con piena azionabilità davanti al giudice amministrativo.

Ambito di applicazione e destinatari

I destinatari sono i fornitori di servizi (SP) e i gestori di identità (IDP) che intendono implementare la sottoscrizione ex art. 20, comma 1-bis, CAD, oltre agli utenti fruitori del servizio. Le regole si applicano anche ai soggetti aggregatori. Il processo non è utilizzabile con identità SPID per persona giuridica; sono ammesse soltanto:

• identità digitali della persona fisica;
• identità digitali per uso professionale.

Procedura di sottoscrizione: ruolo del SP

Il SP deve conoscere il codice fiscale del firmatario. La procedura prevede che:

• il SP presenti il comando "Firma con SPID" e, se necessario, l'elenco degli IDP che offrono il servizio;
• il SP predisponga il documento per la firma, apponendo il proprio QSeal e rendendolo disponibile all'utente per visione, download e conservazione;
• il SP informi l'utente che il documento sarà inviato all'IDP prescelto e acquisisca un consenso esplicito (opt-in);
• il SP invii il documento all'IDP e avvii una richiesta di autenticazione speciale di livello almeno 2, denominata "firma con SPID", contenente il codice fiscale del firmatario. Il servizio consente sia la firma dello stesso utente su uno o più punti del documento sia firme di utenti diversi sul medesimo documento, con sessioni distinte.

Procedura di sottoscrizione: ruolo dell'IDP

L'IDP deve autenticare l'utente con credenziali di livello 2 o superiore e verificare che coincida con il firmatario atteso. Prima del consenso, l'IDP deve informare l'utente:

• del nome del SP richiedente;
• del nome del file contenente il documento;
• della possibilità di visionare e scaricare il documento. L'utente può rifiutare la sottoscrizione: in tal caso l'IDP invia una risposta di esito negativo e il processo termina. Se l'utente acconsente, l'IDP appone il proprio QSeal, genera il documento firmato con SPID e lo rende disponibile all'utente secondo i servizi attivati. Al termine, salvo attivazione di conservazione, il documento deve essere rimosso dai sistemi dell'IDP nel rispetto del GDPR.

Requisiti del documento predisposto e nomenclatura dei file

Il documento predisposto per la firma deve rispettare requisiti stringenti:

• formato PDF 1.7 o superiore;
• profilo PDF/A-2a;
• conformità allo standard ISO/IEC 32000-1;
• assenza di controlli di accesso per apertura o modifica;
• possibilità di modifica solo per l'apposizione dei sigilli PAdES;
• assenza di cifratura del contenuto e dei metadati. Il nome del file deve seguire la struttura prescritta "usID_dataTora[_num].tmp.pdf" per il documento predisposto e "usID_dataTora[_num].pdf" per il documento firmato, con regole specifiche per:
• identificativo del soggetto che predispone il documento;
• data e ora di creazione in fuso orario italiano;
• eventuale progressivo numerico facoltativo.

Sigilli elettronici qualificati e testo visibile

Il SP appone un QSeal PAdES non visibile. Prima dell'apposizione, deve riservare spazio adeguato per la componente grafica del QSeal dell'IDP, che può essere necessaria per una o più firme. L'IDP appone il proprio QSeal in posizione conforme a quanto richiesto dal SP; la componente visibile deve riportare un testo standardizzato che indica data, ora e identità del firmatario e attesta la volontà di sottoscrivere ai sensi dell'art. 20, comma 1-bis, CAD. Il formato del nome del firmatario varia a seconda che l'identità sia personale o professionale per persona giuridica.

Certificati qualificati di sigillo elettronico

SP e IDP devono dotarsi presso un QTSP di un certificato qualificato per la creazione di sigilli elettronici. I certificati devono includere requisiti aggiuntivi e coerenti con le linee guida sui certificati elettronici, tra cui:

• attributi nel SubjectDN per l'identificazione dell'ente (partita IVA, codice fiscale, numero registro imprese o codice IPA per SP pubblici);
• commonName contenente il dominio del servizio, senza wildcard;
• policy di certificato con identificativo spidSignature e un vincolo d'uso limitato al processo di sottoscrizione ex art. 20 CAD;
• keyUsage con digitalSignature e keyEncipherment;
• extendedKeyUsage con serverAuth e clientAuth;
• subjectAltName con il dominio dell'URL del servizio di trasferimento sicuro.

Metadati SPID e pubblicazione del servizio

Quando un IDP o un SP offre il servizio di firma, il metadata nel registro SPID deve includere l'estensione <SignatureArt20>, che specifica la modalità tecnica di esposizione del servizio. Per il servizio di trasferimento sicuro deve essere presente l'elemento <FileTransferService> con l'URL completo del sistema. Per i SP che offrono il servizio, il metadata deve inoltre contenere un Attribute Consuming Service dedicato con:

• index 77;
• assenza di RequestedAttribute;
• ServiceName in italiano "Sottoscrizione elettronica ex art.20 CAD". Se <SignatureArt20> non è presente, l'ente non offre il servizio.

Scambio SAML per autenticazione e controllo della sessione

La richiesta di autenticazione per la firma deve includere:

• nome del file;
• impronta del documento;
• identificativo della funzione di hash;
• codice fiscale del firmatario. La risposta deve contenere almeno:
• nome del file firmato;
• impronta del documento firmato;
• identificativo della funzione di hash. Tutte le evidenze SAML impiegano session ID univoci, che legano il documento a una specifica autenticazione di firma. Le richieste e risposte SAML utilizzano l'AttributeConsumingServiceIndex 77 e un ID che inizia con "sig-".

Sistema di trasferimento sicuro dei documenti e JWS/JSON

Ogni ente federato deve dotarsi di un sistema di trasferimento dedicato, composto da storage, protocollo sicuro e sistema di gestione file. Il sistema deve garantire confidenzialità, integrità e disponibilità e consentire lo scambio solo tra enti federati, in uno dei due flussi push previsti (SP verso IDP o IDP verso SP). Le evidenze informatiche sono scambiate in formato JWS tramite API HTTPS su porta 443 e metodo POST, con una struttura JSON che comprende dato e metadati. Nel pacchetto di andata e ritorno sono richiesti, tra l'altro:

• typ = JOSE;
• alg coerente con l'algoritmo di firma;
• x5c con il certificato qualificato dell'ente inviante;
• jti, iss, aud, iat, sessionID, filename, cty, payload;
• digest con metodo e impronta;
• signatures nel pacchetto di andata e ref in quello di ritorno. Le firme multiple sono gestite tramite un array di descrizioni delle firme, con indicazione di pagina, posizione e obbligatorietà.

Algoritmi crittografici e trasporto sicuro

Per il calcolo delle impronte è previsto SHA-256. Per la creazione dei sigilli elettronici si usa ECDSA su curva P256 con SHA-256, con riferimento JWA ES256; fuori dal contesto JWT è previsto RSA a 2048 bit con SHA-256. Il canale TLS deve essere almeno versione 1.2. Gli algoritmi JWS devono essere conformi alle RFC richiamate e possono essere sostituiti, rimossi o integrati tramite avvisi pubblicati da AgID.

Obblighi operativi, errori e conservazione

Gli IDP devono garantire il servizio e le sue caratteristiche di sicurezza e, salvo il servizio di conservazione, non conservare i documenti oltre il necessario. I SP che intendono usare la funzione hanno l'obbligo di consentire agli utenti la sottoscrizione con firma elettronica qualificata. Sono previsti codici di errore specifici per:

• rifiuto dell'utente a firmare firme obbligatorie;
• documento non disponibile;
• errori del JWS o del file;
• file o documento malformato o corrotto;
• hash non corretto;
• QSeal non valido;
• indisponibilità temporanea del servizio. Nel trasferimento sicuro, il mittente e il destinatario devono usare le indicazioni della RFC 7807 per i messaggi di errore.

Conservazione e convalida dei documenti firmati

Gli IDP possono offrire un servizio aggiuntivo di conservazione dei documenti firmati con SPID, accessibile all'utente. In tal caso l'IDP opera come titolare del trattamento per finalità ulteriori rispetto al servizio di sottoscrizione, e l'utente deve essere informato del trattamento aggiuntivo. Ai fini della convalida, tutti i sigilli elettronici qualificati associati al documento devono essere verificati secondo la normativa vigente.

Decorrenza e regime transitorio

Le regole tecniche sono adottate dagli enti federati su base volontaria a partire dal quindicesimo giorno dalla pubblicazione della notizia della loro emanazione sulla Gazzetta Ufficiale della Repubblica Italiana.