Imprese: consigli per la gestione della Posta Elettronica Certificata

Imprese: consigli per la gestione della Posta Elettronica Certificata (PEC)

 

Abstract

Oggi la posta elettronica rappresenta il principale strumento di comunicazione aziendale/istituzionale. In particolare, la posta elettronica certificata – PEC – è un sistema che può garantire valore legale alle comunicazioni elettroniche, andando a sostituire questa la raccomandata postale con ricevuta di ritorno. Grazie all’utilizzo di protocolli di sicurezza avanzati, la PEC non consente di manipolare il testo dell’e-mail, garantendo al tempo stesso una maggiore sicurezza, integrità e riservatezza dei dati personali ivi trattati.

Indice

Cos’è e come funziona la PEC?

PEC e domicilio digitale

Misure di sicurezza – GDPR – Regolamento EU 679/2016

 

Cos’è e come funziona la PEC?

La Posta Elettronica Certificata (PEC) è un sistema che consente di inviare email con valore legale secondo quanto stabilito dalla normativa DPR 11 Febbraio 2005 n.68 - Regolamento recante disposizioni per l’utilizzo della posta elettronica certificata, a norma dell’articolo 27 della legge 16 gennaio 2003, n. 3.

Ai sensi dell’art. 2 del citato DPR sono soggetti del servizio di posta elettronica certificata:

• il mittente ovverosia l’utente che si avvale del servizio di posta elettronica certificata per la trasmissione di documenti prodotti mediante strumenti informatici;
• il destinatario, cioè l’utente che si avvale del servizio di posta elettronica certificata per la ricezione di documenti prodotti mediante strumenti informatici;
• il gestore del servizio, cioè il soggetto pubblico o privato, che eroga il servizio di posta elettronica certificata e che gestisce i domini di posta elettronica certificata.

A differenza del normale indirizzo di posta elettronica, la PEC è dotata di caratteristiche aggiuntive che consentono al mittente e al destinatario di avere immediata contezza dell’invio e della ricevuta di consegna o mancata consegna del messaggio.

La PEC, inoltre, consente di certificare:

• l’orario esatto di spedizione;
• la certezza del contenuto, non rendendo possibile alcun tipo di modifica né al messaggio né agli eventuali allegati.

La giurisprudenza stabilisce che l’elemento che permette alla PEC di acquisire valore legale è la ricevuta di avvenuta consegna, in quanto la stessa può essere equiparata ad una raccomandata firmata dal destinatario e rispedita indietro al mittente.

Il termine posta elettronica certificata si riferisce, infatti, al fatto che il gestore del servizio PEC rilascia al mittente una ricevuta che costituisce la prova legale dell’avvenuta spedizione del messaggio e, allo stesso modo, il gestore del destinatario invia al mittente la ricevuta di avvenuta consegna. Come si può facilmente dedurre, dunque, il compito di garante dell’avvenuta consegna della PEC è attribuito al gestore di posta, il quale però è tenuto preventivamente ad iscriversi in un apposito elenco tenuto e controllato dall’AgID – Agenzia per l’Italia Digitale.

Attraverso l’esibizione del documento che certifica l’avvenuta consegna, quindi, è possibile dimostrare che il proprio messaggio è arrivato a destinazione e, in caso di contenzioso, è riconosciuta l’opponibilità del messaggio a terzi.

Quando la PEC arriva al destinatario e il mittente ne riceve conferma, allora la posta elettronica certificata acquista valore legale anche nell’ipotesi in cui il destinatario, per una qualsiasi ragione anche di natura tecnica, non legge la PEC. Tuttavia, se la PEC contiene degli allegati, questi ultimi non hanno alcun valore legale, a meno che non siano firmati digitalmente.

Invero, la PEC acquista valore legale solo nell’ipotesi in cui è stata utilizzata per l’invio di comunicazioni ad altrettanto indirizzo di posta elettronica certificata: l’invio ad un indirizzo di posta elettronica non certificata non garantisce l’utilizzo ai fini di prova legale.

PEC e domicilio digitale

A riprova dell’importanza della PEC, la legge di conversione n. 120 dell’11 settembre 2020 ha confermato le novità introdotte dal Decreto Semplificazioni (il D.L. n. 76 del 16 luglio 2020) in materia di Posta Elettronica Certificata e Domicilio Digitale: tutte le Imprese, infatti, sono chiamate ad eleggere un proprio domicilio digitale e a comunicarlo al Registro delle Imprese.

Il domicilio digitale è l’indirizzo elettronico eletto presso un servizio di posta elettronica certificata o un servizio elettronico di recapito certificato qualificato – come definito dal Regolamento UE 910/2014 - Reg. eIDAS – valido ai fini delle comunicazioni elettroniche aventi valore legale, ai sensi dell’articolo 1, comma 1, lett. n-ter del CAD – Codice dell’Amministrazione Digitale.

Oggi, dunque, la PEC rappresenta il mezzo più utilizzato dagli Enti pubblici e dalle Azienda anche per l’invio di comunicazione professionali dal contenuto sensibile, in quanto tra i vantaggi vi è sicuramente quello di garantire una maggiore sicurezza nel trattamento dei dati personali, poiché i messaggi non possono essere letti senza il permesso del possessore della casella PEC.

Per tali ragioni, ogni Ente e Azienda dovrebbe, in ottica di protezione dei dati personali – Reg. UE 679/2016 – GDPR – dotarsi di misure tecniche ed organizzative di gestione della casella di posta elettronica certificata.
 

Misure di sicurezza – GDPR – Regolamento EU 679/2016

È di fondamentale importanza verificare che l’accesso alla PEC avvenga in modo sicuro con l’obiettivo di evitare che chiunque possa accedere alle informazioni contenute nel messaggio scambiato. Questo significa che il sistema di gestione delle PEC deve avere, almeno, i seguenti requisiti:

• sistema crittografato perché i contenuti devono poter essere visionati solo da mittente e destinatario;
• presenza di firma in grado di garantire paternità e integrità del messaggio con valore legale;
•  marca temporale perché in grado di indicare con precisione la data e l’ora dell’invio e della ricezione.

Già nel 2019, infatti, il Garante per la protezione dei dati personali è intervenuto con Provvedimento correttivo d’urgenza n. 228 del 18 dicembre 2019 a tutela degli utenti dopo aver rilevato che le procedure informatiche di una Società di gestione di un servizio di posta elettronica certificata non erano capaci di assicurare la riservatezza, l’integrità, la disponibilità e la resistenza dei sistemi e dei servizi di trattamento, così come richiesto dall’articolo 32 del GDPR e che gli interessati erano stati, di conseguenza, gravemente esposti al rischio di trattamenti non autorizzati o illeciti. 

In particolare, il Garante ha ingiunto alla Società di:

• imporre un obbligo di modifica della password agli utenti al momento del primo accesso alla nuova casella PEC;
• consentire agli utenti di dotarsi di credenziali di autenticazione ad uso esclusivo degli stessi;
• ridefinire le modalità di tracciamento degli accessi e delle operazioni compiute sui file di log degli accessi, stabilendo che questi non devono contenere informazioni non indispensabili per le finalità di controllo e sicurezza connesse al tracciamento, alla luce del principio di minimizzazione di cui all’art. 5 del GDPR.