Firma elettronica e autenticazione dei documenti per notai: una spiegazione sulla notarizzazione digitale conforme alla normativa.

Un'autenticazione elettronica è legalmente valida solo se vengono correttamente implementati tre elementi distinti: la firma elettronica del firmatario ne riflette l'intento, una firma digitale basata su certificato collega l'identità del notaio al documento e la firma include dati sufficienti relativi a data e ora e revoca per resistere a verifiche anche a distanza di anni. Confondere questi elementi o omettere l'ultimo è spesso causa di controversie in merito alle autenticazioni digitali. Questa guida chiarisce ciascun elemento e lo allinea agli standard e alle normative di riferimento.

Spiegazione della firma elettronica, della firma digitale e del sigillo elettronico notarile.

Una firma elettronica è qualsiasi segno elettronico apposto con l'intento di firmare, come un nome digitato, un pulsante "clicca per firmare" o una firma disegnata su un touchscreen. Essa dimostra l'intento, ma di per sé non verifica chi ha effettivamente firmato né se il file è stato successivamente modificato.

La firma digitale è un metodo crittografico che utilizza una chiave privata per sigillare un hash (impronta digitale matematica) del documento. Chiunque può verificare questa sigillatura utilizzando il certificato di chiave pubblica del firmatario. Questo processo rende la firma verificabile e a prova di manomissione. Ogni firma elettronica qualificata o avanzata è una firma digitale; non tutte le firme elettroniche sono qualificate come tali.

Il sigillo elettronico notarile è una firma digitale apposta utilizzando il certificato del notaio stesso, rilasciato specificamente al notaio abilitato e spesso collegato al suo numero di abilitazione e alla sua giurisdizione. Si differenzia da una scansione di un timbro apposto su un PDF, che non ha alcun legame crittografico e non rivela nulla se la pagina viene modificata in seguito. Un'immagine decorativa di un sigillo può accompagnare una vera firma digitale, ma solo il certificato sottostante ne attesta l'autenticità.

Il certificato notarile è il documento (dichiarazione giurata, riconoscimento o certificazione di copia) che attesta l'atto compiuto dal notaio, per conto del quale e quando. Un registro di controllo (audit trail) registra i clic, gli indirizzi IP e i timestamp della sessione di firma. Fornisce utili prove a supporto, ma non costituisce una prova crittografica dell'integrità del documento, una distinzione che spesso confonde gli acquirenti di piattaforme.

I quadri giuridici dipendono dal luogo in cui si trovano il firmatario e il notaio.

Negli Stati Uniti, l'ESIGN Act federale e l'Uniform Electronic Transactions Act (UETA) a livello statale conferiscono alle firme elettroniche lo stesso valore legale delle firme autografe, con alcune eccezioni quali testamenti, codicilli, trust testamentari, determinati documenti di diritto di famiglia e avvisi di utenze, esclusi dalla firma elettronica nella maggior parte degli stati. Inoltre, la notarizzazione online a distanza (RON) è consentita in modo permanente in 47 stati, ad eccezione di California, Mississippi e Carolina del Sud (la legge californiana sulla RON entrerà in vigore il 1° gennaio 2030). Le leggi statali sulla RON spesso richiedono tecnologie specifiche; ad esempio, la Florida impone una tecnologia di notarizzazione in grado di rilevare eventuali modifiche successive al documento, mentre il Texas e la Virginia impongono requisiti simili in termini di prova di manomissione e verificabilità indipendente per i sigilli notarili.

Nell'Unione Europea, eIDAS definisce tre livelli di firma elettronica: semplice, avanzata e qualificata. La sua revisione del 2024, eIDAS 2.0, introduce un Portafoglio di Identità Digitale Europea, ma mantiene la regola secondo cui una Firma Elettronica Qualificata (QES) ha lo stesso effetto legale di una firma autografa in tutti gli Stati membri. Le autenticazioni notarili transfrontaliere in materia di diritto civile e i programmi di apostille elettronica forniscono ulteriori livelli giuridici che verranno trattati in seguito. Al di fuori di queste regioni, i requisiti variano significativamente; i notai che operano a livello internazionale dovrebbero verificare le norme specifiche della giurisdizione anziché presumere che si applichino le norme statunitensi o europee.

Le prove di manomissione derivano dall'infrastruttura a chiave pubblica (PKI)

Le firme digitali utilizzano la PKI, che coinvolge diversi componenti che ogni notaio dovrebbe conoscere:

• Un hash è un'impronta digitale a lunghezza fissa che rappresenta i byte esatti del documento; qualsiasi modifica altera completamente l'hash.
• Una coppia di chiavi è composta da una chiave privata (tenuta segreta, utilizzata per la firma) e una chiave pubblica (condivisa, utilizzata per la verifica).
• Un certificato , rilasciato da un'autorità di certificazione (CA) , collega la chiave pubblica all'identità verificata del notaio e ai dettagli della sua nomina.
• Una catena di certificati collega il certificato del notaio, attraverso autorità di certificazione intermedie, a un'autorità radice fidata, consentendo a chi visualizza i file PDF di stabilire se la firma è attendibile.
• I controlli OCSP e CRL informano i verificatori se il certificato è stato revocato al momento della firma.
• Un timestamp affidabile , generalmente definito secondo lo standard IETF RFC 3161, dimostra che la firma esisteva in un momento preciso, indipendente dall'orologio del firmatario.

Se anche un solo byte del contenuto firmato cambia dopo la firma, l'hash non corrisponde più alla versione sigillata e i verificatori segnalano il documento come alterato. Questo meccanismo matematico fornisce una prova effettiva di manomissione, non una semplice filigrana.

PAdES, XAdES, CAdES e LTV consentono alle firme di rimanere verificabili

Gli standard applicabili dipendono dal formato del file firmato. I PDF utilizzano PAdES (PDF Advanced Electronic Signatures), definito nella norma ETSI EN 319 142-1 . I documenti XML utilizzano XAdES , mentre le firme separate o incapsulate in CMS utilizzano CAdES . Poiché la maggior parte dei documenti autenticati sono in formato PDF, PAdES è lo standard più comunemente utilizzato dai notai.

PAdES ha diversi profili: PAdES-B (Base) contiene solo la firma e il certificato; PAdES-T aggiunge un timestamp RFC 3161. PAdES-LT (Lungo-Termine) incorpora l'intera catena di certificati e i dati di revoca, consentendo la verifica anche dopo la scadenza dei certificati. PAdES-LTA aggiunge timestamp periodici per mantenere la verificabilità per decenni, il che spiega perché i tribunali e le società di servizi immobiliari lo richiedano sempre più spesso. Un sigillo elettronico notarile senza LTV incorporato al momento della firma è vulnerabile a errori di "impossibilità di verifica" quando il certificato di firma scade, nonostante non vi siano state manomissioni.

Per quanto riguarda la crittografia, le attuali raccomandazioni del NIST FIPS 186-5 e del NIST SP 800-57 specificano chiavi RSA di almeno 2048 bit, con RSA a 3072 bit o algoritmi a curva ellittica preferibili per una validità a lungo termine. È consigliabile abbinarli a hash SHA-256 o ad algoritmi più robusti. È opportuno chiedere ai fornitori di certificati informazioni sui loro algoritmi predefiniti e sulle dimensioni delle chiavi.

I livelli di firma indicano il valore legale delle firme elettroniche.

Per le approvazioni a basso rischio è sufficiente una semplice firma con un clic; i documenti autenticati richiedono maggiori garanzie perché gli atti notarili devono essere verificabili in modo indipendente. eIDAS classifica le firme elettroniche in tre livelli:

Le firme digitali dei notai sono generalmente, come minimo, firme elettroniche avanzate (AES): basate su certificati, univocamente collegate al notaio e applicate con controllo esclusivo della chiave privata. Una firma elettronica qualificata (QES) aggiunge un dispositivo di creazione della firma qualificato (hardware o modulo di sicurezza cloud certificato) e un certificato qualificato rilasciato da un fornitore di servizi fiduciari accreditato. L'obbligo di utilizzare una firma AES o QES varia a seconda della giurisdizione e del tipo di documento. Prima di firmare, è consigliabile chiedere alle controparti o ai legali quale livello di firma accettano.

Le fasi principali della notarizzazione elettronica conforme alla normativa rimangono invariate sia nelle sessioni in presenza che in quelle a distanza.

La notarizzazione elettronica segue la stessa procedura di firma e timbratura sia che venga effettuata in ufficio che da remoto; la differenza principale risiede nella verifica dell'identità e nella registrazione della sessione di firma.

1. Acquisizione e verifica dell'identità Per RON, ciò include l'analisi delle credenziali dei documenti d'identità rilasciati dal governo, l'autenticazione basata sulla conoscenza e la verifica audiovisiva bidirezionale in tempo reale secondo le leggi statali. Le autenticazioni notarili in ufficio si basano sulla presenza personale e sul controllo del documento d'identità.
2. Preparazione del documento: Caricare il documento finale e bloccarne l'ordine delle pagine e il contenuto prima di iniziare la firma, poiché le modifiche apportate dopo la firma invalidano il sigillo.
3. Il firmatario appone la propria firma elettronica. Acquisita intenzionalmente, in genere tramite firma con un clic o firma su touchscreen, è logicamente collegata al documento.
4. Il notaio applica la firma digitale basata su certificato e il sigillo elettronico. Il notaio utilizza il proprio certificato di livello AES o QES per firmare e sigillare digitalmente i byte esatti del documento finale.
5. Aggiungi un timestamp e abilita la convalida a lungo termine (LTV). Viene aggiunto un timestamp RFC 3161 e la firma viene aggiornata a PAdES-LT o LTA incorporando certificati e dati di revoca.
6. Aggiungere il testo del certificato notarile. Le dichiarazioni giurate o le attestazioni attestano l'atto compiuto, specificando l'esecuzione elettronica se richiesta dalla giurisdizione.
7. Acquisire le prove ed effettuare la registrazione contabile. Registrare la transazione nel registro elettronico. Per RON, conservare una registrazione audiovisiva secondo le normative statali (ad esempio, cinque anni in Texas, almeno dieci in Florida).
8. Consegnare l'originale firmato e archiviare le copie. Fornire il documento firmato alle parti e conservarne una copia secondo le politiche di conservazione dello studio. Verificare il flusso di posta elettronica e la cartella Posta in uscita per le procedure di consegna e conferma.

Come verificare un documento autenticato elettronicamente

Apri il file con un visualizzatore PDF standard e controlla il pannello della firma anziché l'immagine del sigillo. In Adobe Acrobat Reader, una firma valida e non alterata mostra un segno di spunta verde con il messaggio "Firmato e tutte le firme sono valide" nella barra della firma. Le proprietà della firma mostrano il certificato del firmatario, l'intera catena di fiducia fino a una radice riconosciuta, la data e l'ora e, se presente, una nota che conferma l'attivazione della convalida a lungo termine (LTV), secondo la documentazione di Adobe sulla convalida delle firme digitali.

• Un messaggio che indica "Il documento è stato alterato o danneggiato dopo l'apposizione della firma" significa che l'hash non corrisponde, suggerendo modifiche al contenuto successive alla firma.
• "L'identità del firmatario è sconosciuta" di solito significa che manca un certificato CA intermedio, non che la firma è fraudolenta.
• Un avviso di certificato scaduto su un documento non modificato spesso significa che i dati LTV non sono stati incorporati al momento della firma, pertanto il timestamp non può confermare la validità del certificato al momento della firma.
• Un avviso di revoca del certificato indica che i dati OCSP o CRL mostrano che il certificato del notaio è stato revocato, il che giustifica una revisione immediata della transazione.

Questa convalida crittografica è diversa dai registri di controllo della piattaforma, che registrano metadati come indirizzi IP e timestamp, ma non dimostrano l'integrità del documento. Per i destinatari che desiderano verificare autonomamente i documenti, si consiglia di indirizzarli a risorse come la guida alla verifica online dei documenti autenticati e di mantenere un registro personale e una documentazione delle sessioni coerenti con i dati del pannello di firma.

L'accettazione transfrontaliera richiede che le aspettative del destinatario corrispondano.

La firma elettronica avanzata (e-signal) di un notaio statunitense non è automaticamente riconosciuta come firma elettronica qualificata (QES) nell'UE. Una QES rilasciata in uno Stato membro dell'UE è riconosciuta in tutti gli Stati membri nell'ambito del sistema eIDAS, ma potrebbe confondere i destinatari che non hanno familiarità con il formato. Alcuni enti, in particolare gli uffici governativi al di fuori delle principali giurisdizioni, richiedono ancora documenti originali firmati a mano con apostille fisiche. In questi casi, è necessario fornire sia un originale firmato elettronicamente per uso interno, sia una copia cartacea certificata per la presentazione. I Paesi che partecipano al Programma di Apostille Elettronica (e-APP), inclusi Stati americani come il Montana e il Rhode Island, accettano le e-apostille come file PDF completamente digitali verificati tramite un registro online. Prestare attenzione ai formati di firma proprietari che potrebbero non aprirsi correttamente nei visualizzatori PDF standard, una causa di dipendenza da un fornitore specifico che la checklist dovrebbe evitare.

La gestione delle chiavi è fondamentale per l'affidabilità del sigillo elettronico.

La chiave privata del notaio rappresenta il singolo punto di vulnerabilità del sistema. Le modalità di emissione e archiviazione sono importanti quanto gli standard supportati dal software. Le autorità di certificazione che rilasciano certificati specifici per i notai verificano l'identità del notaio confrontandola con la sua abilitazione prima del rilascio. Le procedure di verifica variano a seconda del fornitore e non sono sempre rese pubbliche, pertanto è consigliabile informarsi prima di procedere.

• Archiviate le chiavi private su token hardware (smart card o dispositivi USB) o su moduli di sicurezza hardware (HSM) basati su cloud e protetti da autenticazione a più fattori; mai come semplici file sui computer portatili.
• Monitora e rinnova i certificati prima della loro scadenza; i certificati scaduti possono bloccare i processi di firma.
• Stabilisci e documenta le procedure per la revoca d'emergenza in caso di smarrimento delle chiavi o sospetta compromissione, e informati sui tempi di risposta della tua autorità di certificazione (CA) in merito alla revoca.
• Negli studi con più notai, è fondamentale conservare chiavi e certificati individuali per ciascuno; la condivisione delle credenziali compromette l'integrità dell'identità.

Scelta di una piattaforma per la firma elettronica e la sigillatura notarile dei documenti

Valutate le piattaforme di firma elettronica sulla base di prove operative, non di affermazioni di marketing. Richiedete una dimostrazione dal vivo che mostri un file firmato aperto in Adobe Acrobat Reader con convalida LTV visibile, non solo screenshot.