Firma elettronica e GDPR: guida alla conformità e alla protezione dei dati

La firma elettronica GDPR è un tema trasversale che tocca due pilastri normativi distinti ma strettamente interconnessi: il Regolamento (UE) 910/2014 (eIDAS), che disciplina il valore giuridico delle firme digitali, e il Regolamento (UE) 2016/679 (GDPR), che governa il trattamento dei dati personali. Quando un'organizzazione raccoglie una firma elettronica, tratta dati identificativi del firmatario, metadati del documento e, spesso, informazioni sensibili sul contenuto del contratto. La conformità non riguarda solo la validità della firma, ma anche il modo in cui quei dati vengono raccolti, conservati e cancellati. Questa guida spiega i punti di contatto tra i due regolamenti e fornisce indicazioni operative per aziende e professionisti italiani.

Perché firma elettronica e GDPR si intrecciano

Firmare elettronicamente un documento non è un atto neutro dal punto di vista della privacy. Ogni firma raccoglie almeno un indirizzo e-mail, un timestamp e — nel caso di firme avanzate o qualificate — dati biometrici parziali, documenti d'identità o certificati digitali. Tutti questi elementi costituiscono dati personali ai sensi dell'articolo 4 del GDPR e richiedono una base giuridica per essere trattati.

La base giuridica del trattamento

Il trattamento dei dati legato alla firma elettronica si fonda di norma sull'esecuzione di un contratto (art. 6, par. 1, lett. b, GDPR) quando la firma è necessaria per concludere quell'accordo, oppure sull'adempimento di un obbligo legale (lett. c) quando la forma scritta è imposta dalla legge. In alcuni contesti, ad esempio nelle comunicazioni di marketing firmate digitalmente, la base giuridica può essere il legittimo interesse o il consenso. Scegliere la base giuridica corretta è il primo passo per una gestione conforme.

Il principio di minimizzazione e le firme elettroniche

Il GDPR impone di raccogliere solo i dati strettamente necessari. Questo principio influenza direttamente la scelta del tipo di firma. Per un accordo commerciale ordinario, una firma elettronica semplice può essere sufficiente e comporta la raccolta di un numero minore di dati personali rispetto a una firma qualificata, che richiede l'identificazione certa del firmatario tramite un certificato rilasciato da un prestatore di fiducia qualificato. Maggiore è il livello di garanzia richiesto, maggiori sono i dati raccolti: occorre bilanciare esigenze di sicurezza e minimizzazione.

Obblighi del titolare del trattamento verso il firmatario

Chi propone la firma elettronica è quasi sempre titolare del trattamento dei dati del firmatario. Questo comporta obblighi precisi.

Informativa privacy e consenso

Prima di raccogliere una firma, il titolare deve fornire un'informativa chiara ai sensi degli articoli 13 e 14 del GDPR. L'informativa deve indicare: finalità del trattamento, base giuridica, periodo di conservazione, eventuali destinatari dei dati, diritti dell'interessato. Non è sufficiente un rinvio generico alla privacy policy aziendale: l'informativa deve essere specifica per il processo di firma.

Diritti degli interessati e firma elettronica

Il firmatario ha diritto di accesso, rettifica e, in certi casi, cancellazione dei propri dati. Tuttavia, il diritto alla cancellazione (art. 17 GDPR) trova un limite importante: se il documento firmato deve essere conservato per adempiere a obblighi legali o per difendere un diritto in giudizio, la cancellazione immediata dei dati di firma comprometterebbe la prova dell'accordo. Il titolare deve documentare questa limitazione nel proprio registro dei trattamenti e informarne l'interessato.

Responsabilità del fornitore di firma elettronica come responsabile del trattamento

Nella catena del trattamento, il fornitore del servizio di firma elettronica agisce quasi sempre come responsabile del trattamento (art. 28 GDPR). Questo significa che tra l'organizzazione che utilizza il servizio e il fornitore deve essere stipulato un Data Processing Agreement (DPA), un accordo che disciplina le istruzioni del titolare, le misure di sicurezza adottate dal responsabile e le condizioni di subappalto.

Cosa verificare nel contratto con il fornitore

Prima di adottare una piattaforma di firma elettronica, è necessario verificare che il contratto includa: un DPA conforme all'art. 28 GDPR; l'elenco dei sub-responsabili (server cloud, fornitori di identità, ecc.); le misure tecniche e organizzative di sicurezza; le modalità di restituzione o cancellazione dei dati alla cessazione del servizio. Per approfondire le differenze tra i livelli di firma e i requisiti tecnici associati, è utile consultare la guida sulle differenze tra firma semplice, avanzata e qualificata.

Trasferimenti di dati extra-UE

Se il fornitore conserva i dati su server situati fuori dall'Unione Europea, il trasferimento deve essere fondato su una decisione di adeguatezza della Commissione europea, su clausole contrattuali tipo (SCC) o su un'altra garanzia adeguata ai sensi degli articoli 44-49 GDPR. Il titolare è responsabile di verificare questa conformità prima di sottoscrivere il contratto con il fornitore.

Conservazione dei documenti firmati e retention policy

La firma elettronica produce un documento informatico che deve essere conservato in modo da garantirne l'integrità e la leggibilità nel tempo. Il Codice dell'Amministrazione Digitale (D.Lgs. 82/2005) disciplina la conservazione dei documenti informatici, mentre il GDPR impone di non conservare i dati più del necessario. Questi due obblighi possono sembrare in conflitto, ma si conciliano adottando una retention policy documentata.

Come definire una retention policy conforme

La retention policy deve stabilire: per quanto tempo ciascuna categoria di documenti firmati viene conservata (in funzione degli obblighi legali e contrattuali applicabili); quando e come i dati personali eventualmente eccedenti vengono cancellati o anonimizzati; chi è responsabile della revisione periodica della policy. Per i contratti di locazione, ad esempio, la conservazione del documento firmato può essere necessaria per tutta la durata del rapporto e per un periodo successivo: per maggiori dettagli su questo tipo di documento, si può consultare l'articolo sulla firma di un contratto di locazione online.

Valore probatorio e conservazione a norma

Un documento firmato elettronicamente conserva il proprio valore probatorio solo se viene preservata la sua integrità crittografica. Le Linee guida AgID sulla formazione, gestione e conservazione dei documenti informatici indicano i requisiti tecnici per la conservazione a norma. Un sistema di conservazione che non rispetta questi requisiti può rendere il documento inutilizzabile in giudizio, vanificando così lo scopo stesso della firma elettronica. Per approfondire il tema del valore probatorio, è disponibile l'articolo sulla validità legale della firma elettronica in giudizio.

Valutazione d'impatto (DPIA) e firma elettronica

Alcuni processi di firma elettronica richiedono una Valutazione d'Impatto sulla Protezione dei Dati (DPIA) ai sensi dell'art. 35 GDPR. La DPIA è obbligatoria quando il trattamento può presentare un rischio elevato per i diritti e le libertà delle persone fisiche, ad esempio nei casi di trattamento su larga scala di dati sensibili o di profilazione sistematica dei firmatari.

Quando la DPIA è necessaria

La DPIA diventa necessaria, in linea generale, quando: la piattaforma di firma raccoglie dati biometrici (ad es. firma grafometrica); il processo di firma è integrato in sistemi che effettuano decisioni automatizzate; vengono trattati dati relativi a categorie particolari (dati sanitari, dati giudiziari, ecc.). Il Garante per la protezione dei dati personali ha pubblicato un elenco delle tipologie di trattamento per le quali la DPIA è obbligatoria nel contesto italiano.

Come condurre la DPIA per un processo di firma

La DPIA deve descrivere il trattamento e le sue finalità, valutare la necessità e proporzionalità del trattamento, identificare i rischi per gli interessati e le misure per mitigarli. Va aggiornata ogni volta che il processo cambia in modo significativo. La DPIA non richiede la preventiva consultazione del Garante salvo quando i rischi residui rimangono elevati anche dopo le misure di attenuazione.

Quadro normativo

Regolamento (UE) 910/2014 (eIDAS)

Il Regolamento eIDAS stabilisce tre livelli di firma elettronica — semplice, avanzata e qualificata — e ne definisce gli effetti giuridici nell'Unione Europea. La firma elettronica qualificata ha efficacia equivalente alla firma autografa in tutti gli Stati membri. Le norme tecniche associate (specifiche ETSI) definiscono i formati di firma ammessi per la conservazione a lungo termine.

Codice dell'Amministrazione Digitale (D.Lgs. 82/2005)

L'art. 20 del CAD disciplina il valore probatorio del documento informatico, stabilendo che la sua idoneità a soddisfare il requisito della forma scritta e il suo valore probatorio sono liberamente valutabili in giudizio, tenuto conto delle caratteristiche di sicurezza, integrità e immodificabilità. L'art. 21 precisa che il documento informatico sottoscritto con firma elettronica avanzata, qualificata o digitale fa piena prova della provenienza delle dichiarazioni da chi l'ha sottoscritto, fino a querela di falso. Il mancato rispetto dei requisiti tecnici del CAD può compromettere l'utilizzo del documento come prova.

Codice civile — artt. 1350 e 2702

L'art. 1350 c.c. elenca i contratti che richiedono la forma scritta ad substantiam; per questi atti, il tipo di firma elettronica idoneo deve essere valutato caso per caso in funzione della normativa vigente. L'art. 2702 c.c. attribuisce alla scrittura privata riconosciuta la piena prova della provenienza delle dichiarazioni: la firma elettronica qualificata equiparata alla sottoscrizione autografa produce gli stessi effetti probatori.

GDPR e D.Lgs. 196/2003 (Codice privacy)

Il GDPR impone al titolare del trattamento obblighi di informativa, minimizzazione, limitazione della conservazione e sicurezza dei dati. Il D.Lgs. 196/2003, come modificato dal D.Lgs. 101/2018, adatta il GDPR all'ordinamento italiano e attribuisce al Garante per la protezione dei dati personali poteri di indagine e sanzione. Le violazioni possono comportare sanzioni amministrative fino a venti milioni di euro o al quattro per cento del fatturato mondiale annuo, a seconda di quale importo sia superiore. Il rischio reputazionale conseguente a una violazione dei dati di firma può essere altrettanto significativo.

Linee guida AgID

L'Agenzia per l'Italia Digitale ha pubblicato linee guida vincolanti sulla formazione, gestione e conservazione dei documenti informatici. Tali linee guida specificano i requisiti tecnici che i sistemi di firma e conservazione devono rispettare per garantire l'integrità e l'autenticità dei documenti nel tempo, costituendo il riferimento tecnico operativo per le organizzazioni italiane.

Casi d'uso

Caso 1 — Studio professionale e clienti privati

Uno studio di consulenza fiscale adotta una piattaforma di firma elettronica per far sottoscrivere ai propri clienti i mandati di incarico. Il responsabile della protezione dei dati dello studio verifica che il fornitore abbia stipulato un DPA ai sensi dell'art. 28 GDPR e che i server siano localizzati nell'Unione Europea. L'informativa privacy viene integrata nel flusso di firma: prima di apporre la propria firma, il cliente visualizza un riepilogo dei dati raccolti e della durata di conservazione. Il registro dei trattamenti viene aggiornato per includere questa nuova attività. Il risultato è un processo conforme al GDPR e provvisto di valore probatorio ai sensi del CAD.

Caso 2 — Impresa manifatturiera e fornitori internazionali

Un'impresa del settore manifatturiero gestisce centinaia di contratti di fornitura all'anno con partner europei ed extraeuropei. Adottando la firma elettronica avanzata, riduce i tempi di conclusione degli accordi. Il dipartimento legale conduce una DPIA sul processo di firma perché i contratti contengono dati commerciali riservati e informazioni sui referenti aziendali. La DPIA individua il rischio di accesso non autorizzato ai documenti archiviati e porta all'adozione di controlli di accesso basati sui ruoli. Per i fornitori con sede al di fuori dello Spazio Economico Europeo, il titolare verifica che il trasferimento dei dati verso i server del fornitore sia coperto da clausole contrattuali tipo aggiornate.

Caso 3 — Ente pubblico locale e digitalizzazione dei procedimenti

Un ente pubblico locale avvia un progetto di dematerializzazione dei contratti con i propri dipendenti. Poiché si tratta di dati relativi al rapporto di lavoro, il responsabile della protezione dei dati conduce un'analisi preliminare per determinare se sia necessaria una DPIA. L'ente verifica che la soluzione adottata sia compatibile con le linee guida AgID sulla conservazione e con le regole del CAD. L'informativa ai dipendenti viene aggiornata per descrivere il nuovo trattamento. La retention policy viene definita tenendo conto degli obblighi di conservazione previsti dalla normativa sul pubblico impiego e della normativa archivistica applicabile agli enti pubblici.

Domande frequenti

La firma elettronica è sempre conforme al GDPR?

La conformità al GDPR non dipende dal semplice utilizzo della firma elettronica, ma da come vengono gestiti i dati personali raccolti nel processo. È necessario avere una base giuridica, fornire un'informativa adeguata, stipulare un DPA con il fornitore e definire una retention policy. La firma elettronica può essere uno strumento pienamente conforme al GDPR se integrata in un processo correttamente strutturato.

Chi è responsabile della protezione dei dati nel processo di firma?

Il titolare del trattamento è l'organizzazione che richiede la firma, ossia chi invia il documento da firmare. Il fornitore della piattaforma è il responsabile del trattamento e deve operare sulla base di istruzioni scritte contenute nel DPA. Se vi sono più soggetti coinvolti (ad es. un intermediario), occorre verificare se essi siano co-titolari o responsabili distinti, definendo per iscritto le rispettive responsabilità.

È necessaria una DPIA per qualsiasi processo di firma elettronica?

No. La DPIA è obbligatoria solo quando il trattamento presenta un rischio elevato per i diritti degli interessati. Per processi di firma ordinari — come la sottoscrizione di un contratto commerciale tra professionisti — la DPIA non è generalmente richiesta. Diventa invece necessaria quando si trattano dati sensibili, dati biometrici o si effettuano decisioni automatizzate basate sui dati di firma.

Per quanto tempo devono essere conservati i documenti firmati elettronicamente?

La durata di conservazione dipende dalla natura del documento e dagli obblighi legali applicabili, che variano in funzione del tipo di contratto e del settore. Il GDPR impone di non conservare i dati personali oltre il tempo necessario. La retention policy deve bilanciare questi obblighi, specificando per ciascuna categoria documentale il periodo di conservazione e le modalità di cancellazione o anonimizzazione successiva.

Il fornitore di firma elettronica può trasferire i dati fuori dall'UE?

Sì, ma solo nel rispetto delle regole del GDPR sui trasferimenti internazionali. Il titolare del trattamento deve verificare che il trasferimento sia fondato su una decisione di adeguatezza, su clausole contrattuali tipo o su un'altra garanzia equivalente. Prima di sottoscrivere un contratto con un fornitore, è necessario chiedere esplicitamente dove vengono conservati i dati e su quale base giuridica avvengono eventuali trasferimenti extra-UE.

Conclusione

La conformità al GDPR nel contesto della firma elettronica non si esaurisce nella scelta di uno strumento tecnologico: richiede un approccio metodico che comprende la selezione della base giuridica corretta, la predisposizione di un'informativa adeguata, la stipula di un DPA con il fornitore, la definizione di una retention policy documentata e, nei casi più complessi, la conduzione di una DPIA. Le organizzazioni che affrontano questi passaggi con rigore riducono il rischio di sanzioni da parte del Garante e rafforzano la fiducia dei propri interlocutori.

Per chi desidera approfondire il funzionamento tecnico e giuridico dello strumento prima di adottarlo, l'articolo su cos'è la firma elettronica e come funziona offre una panoramica completa. Chi è pronto a iniziare può creare un account gratuito su Certyneo oppure contattare il team commerciale per valutare la soluzione più adatta alle proprie esigenze.