La PEC e la sua rilevanza giuridica

La Posta Elettronica Certificata trova la sua prima ed organica disciplina nel D.P.R. n. 68 dell'11 febbraio 2005 (Regolamento recante disposizioni per l'utilizzo della posta elettronica certificata, a norma dell'art. 27, L. 16 gennaio 2003, n. 3). Successivamente, con l’emanazione del Decreto del Ministero per l’Innovazione e le Tecnologie del 2 novembre 2005, si sono dettate le “Regole tecniche per la formazione, la trasmissione e la validazione, anche temporale, della posta elettronica certificata". In pratica tutti i requisiti tecnico-funzionali che devono essere rispettati dalle piattaforme utilizzate per erogare il servizio.
Anche il Codice dell‘Amministrazione Digitale (d.lgs. n. 82/2005) fa esplicito riferimento alla posta elettronica certificata agli artt. 6 e 48 con rinvio al D.P.R. 68/2005 per la disciplina specifica, anche se il Consiglio di Stato avrebbe gradito (v. parere n° 11995 dell'Adunanza del 7.2. 2005) l’assorbimento dell’intero Decreto nell’ambito del CAD così come è avvenuto con il Sistema Pubblico di Connettività.
L’art. 6 sancisce al primo comma che per le comunicazioni di cui all'articolo 48, comma 1, con i soggetti che hanno preventivamente dichiarato il proprio indirizzo ai sensi della vigente normativa tecnica, le pubbliche amministrazioni utilizzano la posta elettronica certificata. La dichiarazione dell'indirizzo vincola solo il dichiarante e rappresenta espressa accettazione dell'invio, tramite posta elettronica certificata, da parte delle pubbliche amministrazioni, degli atti e dei provvedimenti che lo riguardano.
L’art. 48 prevede al primo comma che la trasmissione telematica di comunicazioni che necessitano di una ricevuta di invio e di una ricevuta di consegna avviene mediante la posta elettronica certificata ai sensi del decreto del Presidente della Repubblica 11 febbraio 2005, n. 68, o mediante altre soluzioni tecnologiche individuate con decreto del Presidente del Consiglio dei Ministri, sentito DigitPA.
Al secondo comma viene sancito che la trasmissione del documento informatico per via telematica, effettuata ai sensi del comma 1, equivale, salvo che la legge disponga diversamente, alla notificazione per mezzo della posta.
Al terzo comma si precisa che la data e l'ora di trasmissione e di ricezione di un documento informatico trasmesso ai sensi del comma 1 sono opponibili ai terzi se conformi alle disposizioni di cui al decreto del Presidente della Repubblica 11 febbraio 2005, n. 68, ed alle relative regole tecniche.
La normativa summenzionata disciplina, quindi, le modalità di utilizzo della Posta Elettronica Certificata (PEC) non solo nei rapporti con la P.A., ma anche tra privati cittadini. In questo modo, quindi, si conferisce valore giuridico alla trasmissione di documenti prodotti ed inviati per via informatica.
In effetti l’obiettivo finale di quel grande processo di informatizzazione che sta coinvolgendo la P.A. è quello di ottenere una Pubblica Amministrazione digitale, con protocollo informatizzato, posta certificata e soprattutto trasparenza dell’iter burocratico verso l’esterno. In questo modo, difatti, anche cittadini e imprese, collegandosi in rete ai siti della Pubblica Amministrazione, avranno la possibilità di verificare lo stato delle pratiche.
La disposizione in argomento ricorda alcune caratteristiche fondamentali della PEC ed in particolare l’equiparazione di carattere generale della trasmissione del documento informatico per via telematica, effettuata mediante la posta elettronica certificata alla notificazione per mezzo della posta e l’opponibilità a terzi della data e ora di trasmissione e di ricezione di un documento informatico trasmesso mediante posta elettronica certificata previa conformità alle disposizioni di cui al D.P.R. n. 68/2005 ed alle relative regole tecniche.
Ma che significa certificare invio e ricezione nella PEC?
"Certificare" l'invio e la ricezione - i due momenti fondamentali nella trasmissione dei documenti informatici – significa fornire al mittente, dal proprio gestore di posta, una ricevuta che costituisce prova legale dell’avvenuta spedizione del messaggio e dell’eventuale allegata documentazione. Allo stesso modo, quando il messaggio perviene al destinatario, il gestore invia al mittente la ricevuta di avvenuta (o mancata) consegna con precisa indicazione temporale.
Nel caso in cui il mittente smarrisca le ricevute, la traccia informatica delle operazioni svolte viene conservata per un periodo di tempo definito a cura dei gestori, con lo stesso valore giuridico delle ricevute.
A fare, quindi, da garanti dell’avvenuta consegna dell’e-mail saranno i gestori di posta che devono iscriversi in un apposito elenco tenuto dall'AgID che svolge funzioni di vigilanza e controllo sul rispetto delle prescrizioni previste dal regolamento.
Secondo quanto previsto dalla normativa, possono svolgere il ruolo di Gestori sia aziende private, con capitale sociale non inferiore ad un milione di euro, sia Pubbliche Amministrazioni, purché presentino regolare domanda di accreditamento presso il l'AgID che, a seguito di una istruttoria, valuta se il richiedente possiede i requisiti minimi previsti dalla legge per lo svolgimento dell’attività di Gestore.
Tale domanda deve essere presentata nel rispetto delle modalità previste dalla Circolare del CNIPA del 21 maggio 2009 , n. 56 che ha sostituito la Circolare 24 novembre 2005, n. CNIPA/CR/49.
In particolare l’elenco pubblico dei gestori di Posta Elettronica Certificata, previsto dall'art. 14 del D.P.R. 68/2005 viene reso disponibile attraverso la rete Internet. Esso è sottoscritto con firma digitale dall'AgID e contiene, per ogni gestore, le seguenti indicazioni: denominazione sociale; sede legale; rappresentante legale; indirizzo internet; data di iscrizione all’elenco; data di cessazione ed eventuale gestore sostitutivo.
L'AgID, nel corso dell’istruttoria di accreditamento, valuta, tra gli altri, requisiti di onorabilità, adeguatezza del personale, processi atti a garantire la sicurezza dei dati e delle trasmissioni, esperienza del proponente nell’erogazione di servizi di analoga natura, ridondanza e servizi messi in atto in caso di emergenza. È bene sottolineare che tutti i Gestori iscritti nell’elenco pubblico possiedono i requisiti minimi previsti dalla normativa, per cui sono equiparabili sia dal punto di vista tecnico che organizzativo, tuttavia l’offerta commerciale del servizio può differire; prima di scegliere un Gestore di PEC, quindi, è bene valutare le diverse offerte proposte visitando il sito Internet dichiarato dal Gestore e presente, come evidenzia la figura, nell’elenco pubblico.
Tra gli aspetti disciplinari della PEC di più rilevante interesse si evidenzia che nella catena di trasmissione potranno scambiarsi le e-mail certificate sia i privati, sia le P.A. (art. 4, D.P.R. 68/2005). Saranno i gestori del servizio, iscritti nell’elenco tenuto dall’AgID (che verificherà i requisiti soggettivi ed oggettivi inerenti ad esempio alla capacità ed esperienza tecnico-organizzativa, alla dimestichezza con procedure e metodi per la gestione della sicurezza, alla certificazione ISO9000 del processo), a fare da garanti dell'avvenuta consegna. Per iscriversi all'elenco dovranno possedere un capitale sociale minimo non inferiore a un milione di euro e presentare una polizza assicurativa contro i rischi derivanti dall'attività di gestore (art. 14).
Come prescritto dall’art. 9 del decreto i messaggi verranno sottoscritti con la firma digitale avanzata che dovrà essere apposta sia sulla busta, sia sulle ricevute rilasciate dai gestori per assicurare l'integrità e l'autenticità del messaggio.
I messaggi generati dal sistema informatico saranno nel complesso:
Ricevute: Accettazione (attesta l’invio con i dati di certificazione); Avvenuta consegna (attesta la consegna con i dati di certificazione e, su richiesta  il messaggio originario – completa, breve, sintetica); Presa in carico (attesta il passaggio di responsabilità al gestore del destinatario).
Buste: Trasporto (contiene il messaggio originario, i dati di certificazione e la firma del gestore); Anomalia (contiene il messaggio errato/esterno e la firma del gestore).
Avvisi: Non accettazione (errori formali o virus); Mancata consegna (superamento tempo massimo o virus);
Virus (rilevamento virus).
I nodi di tracciamento del sistema svolgono, quindi, funzioni di:
Accesso: riconoscimento utente, controlli formali, emissione ricevuta di accettazione, imbustamento del messaggio.
Ricezione: controllo provenienza e correttezza, emissione ricevuta di presa in carico, imbustamento messaggi errati.
Consegna: consegna nella casella (indirizzo elettronico) del destinatario, emissione di ricevute di consegna, di  errore di consegna ovvero imbustamento di sicurezza.
Riguardo il delicato aspetto della sicurezza è importante rilevare che nel caso in cui il mittente smarrisca le ricevute, la traccia informatica delle operazioni svolte deve essere conservata per trenta mesi (originariamente i mesi erano 24) in un apposito registro informatico custodito dai gestori, con lo stesso valore giuridico delle ricevute.
Il registro informatico (log) dovrà contenere: il codice identificativo univoco del messaggio originale (Message- ID); la data e l’ora dell’evento; il mittente del messaggio originale; l’oggetto del messaggio originale; il tipo di evento (accettazione, ricezione, consegna, emissione ricevute, errore, ecc.); il codice identificativo dei messaggi generati (ricevute, errori, ecc.); il gestore mittente; l’indirizzo telematico del destinatario/i.
In merito alla problematica dei virus i gestori dei mittenti e dei destinatari vengono particolarmente responsabilizzati e sono tenuti a verificare l'eventuale presenza di virus nelle e-mail ed informare in caso positivo il mittente, bloccandone la trasmissione (art. 12).
Le ricevute rilasciate dai gestori di posta sono inoltre da essi sottoscritte mediante una firma elettronica avanzata generata in automatico dal sistema di posta e basata su chiavi asimmetriche a coppia, una pubblica e l'altra privata, assicurando così la provenienza, l'integrità e l'autenticità del messaggio di posta elettronica certificata.
Quindi alla luce di quanto detto sopra i gestori di posta elettronica certificata sono tenuti a garantire la riservatezza, la sicurezza (anche da virus informatici) e l'integrità nel tempo delle informazioni contenute nella cosiddetta "busta di trasporto" conservandole per trenta mesi (art. 11 del decreto).

Fonte: www.altalex.com//La PEC e la sua rilevanza giuridica | Altalex