Firma elettronica e firma digitale: che differenza c'è davvero?

Nel parlare comune «firma elettronica» e «firma digitale» sono sinonimi. Per la legge italiana no, e la differenza non è una sottigliezza da giuristi: la firma digitale è un tipo preciso di firma, con un certificato dietro, e un ufficio che la chiede non accetterà al suo posto l'immagine della tua firma appoggiata su un PDF. Per la maggior parte delle carte di tutti i giorni, però, basta la prima. Conviene capire quale ti serve prima di spedire qualcosa.

Firma elettronica: qualunque segno che hai accettato

È la categoria più ampia. Scrivere nome e cognome in fondo a un'email è una firma elettronica. Lo è anche spuntare «Accetto le condizioni», premere Conferma sul portale dell'agenzia immobiliare o disegnare la firma col dito e posarla su un PDF. Quello che conta è l'intenzione: hai fatto qualcosa per dire che il documento ti sta bene.

Il limite è che il segno, da solo, prova pochissimo. L'immagine di una firma è una foto come un'altra: chi ne ha una copia può incollarla su un'altra pagina, e nel file non resta traccia di chi l'ha messa né di quando. Le prove vere stanno intorno alla firma: lo scambio di email, l'accesso registrato su un portale, il fatto che entrambe le parti si siano comportate secondo l'accordo.

Firma digitale: un certificato e un'impronta del file

Qui il meccanismo è un altro. Il software di firma calcola un'impronta del file esatto e la cifra con la tua chiave privata. Insieme alla firma viaggia il tuo certificato, rilasciato da un ente che ha verificato la tua identità. Chiunque apra il documento può così controllare due cose:

• che la firma sia stata apposta con la chiave legata a quel certificato;
• che il documento non sia stato toccato dopo. Basta cambiare un carattere e la verifica fallisce.

In Acrobat lo vedi nel pannello delle firme, con un avviso che dice se le firme sono valide o se il documento è stato modificato. Una firma digitale può anche essere invisibile: sulla pagina non c'è nessuno svolazzo, solo i dati crittografici. In Italia capita spesso di riceverla in un'altra forma ancora, il file .p7m, cioè il documento originale chiuso in una busta firmata che si apre con un programma di verifica.

Che firma crea il nostro Firma PDF

Una firma elettronica semplice. Disegni la firma o carichi un PNG o un JPG, la trascini nel punto giusto di una pagina e noi stampiamo quell'immagine sul PDF. Niente certificato, niente verifica dell'identità, nessun sigillo contro le modifiche. Il risultato ha l'aspetto di un documento firmato, e per molte pratiche è esattamente quello che serve.

Quando la firma semplice di solito basta

• Moduli interni come note spese e richieste di ferie.
• Accordi quotidiani in cui l'altra parte vuole solo una copia firmata: il preventivo di un libero professionista, l'iscrizione alla palestra o all'associazione sportiva.
• La conferma di una consegna o l'autorizzazione per la gita scolastica.

Cosa dice la legge, a grandi linee

In tutta l'Unione europea vale il regolamento eIDAS, che distingue tre livelli: firma elettronica semplice, avanzata e qualificata. La qualificata si basa su un certificato qualificato e su un dispositivo di firma certificato, e ha lo stesso effetto giuridico della firma autografa in ogni Stato membro. Alle altre non si può negare valore solo perché sono elettroniche, ma il loro peso dipende dal contesto.

In Italia il Codice dell'Amministrazione Digitale (CAD) aggiunge un termine suo: la firma digitale è un tipo particolare di firma qualificata ed equivale alla firma autografa. Il valore di una firma elettronica semplice, invece, lo valuta il giudice caso per caso, e alcuni atti, per esempio certi contratti sugli immobili, richiedono espressamente la firma qualificata o digitale. SPID e CIE sono un'altra cosa ancora: sono sistemi di identità, che alcuni servizi di firma usano per riconoscerti prima di rilasciarti un certificato o di farti firmare a distanza.

Se la controparte è negli Stati Uniti, lì l'ESIGN Act federale e la legge statale UETA stabiliscono in termini generali che una firma non perde efficacia solo perché elettronica, con alcune eccezioni per certi tipi di documento.

Quando ti serve una firma con certificato

Portali della pubblica amministrazione, gare d'appalto, alcune pratiche fiscali e doganali, i settori regolati come sanità e finanza chiedono spesso una firma digitale o qualificata, a volte di un fornitore preciso. Di solito lo scrivono chiaro. Se non lo fanno, chiedi al destinatario cosa accetta e, per un documento con conseguenze legali, verifica cosa richiede la normativa che si applica al tuo caso. Quale firma serva al tuo documento non possiamo dirtelo noi.

Se ti servono tutte e due

L'ordine conta. Se vuoi un'immagine della firma visibile sulla pagina e poi anche una firma digitale, metti prima l'immagine. I nostri strumenti riscrivono il PDF, quindi passare un file già firmato digitalmente in Firma PDF o Proteggi PDF rompe la firma esistente. La password, poi, è un discorso a parte: decide chi può aprire il file, non dice nulla su chi l'ha firmato.

Domande frequenti

Una firma a penna scansionata è elettronica o digitale?

Elettronica. Una volta diventata un'immagine dentro un PDF vale quanto una firma disegnata o caricata: il fatto che sia nata con l'inchiostro non aggiunge alcuna prova crittografica.

Come ottengo una firma digitale?

Ti servono un certificato di firma, rilasciato da un prestatore di servizi fiduciari qualificato, e un programma che lo applichi. In Italia lo trovi su smart card, su chiavetta USB o in versione remota, con il certificato custodito dal fornitore e un codice da confermare a ogni firma. In alcuni paesi il certificato sta sulla carta d'identità elettronica. Un certificato autofirmato funziona dal punto di vista tecnico, ma i programmi del destinatario non lo mostreranno come attendibile.