Firma PAdES o CAdES: differenze e quale usare nel PCT

Firma PAdES o CAdES: due formati, lo stesso valore

PAdES e CAdES sono due formati della stessa firma digitale. Il certificato è lo stesso, la smart card o il token sono gli stessi, il valore legale è lo stesso: cambia il modo in cui la firma viene «attaccata» al documento. Nel processo civile telematico sono ammessi entrambi, quindi la scelta dipende da chi dovrà aprire, controllare e conservare i file.

Quanto segue ha finalità informative. Le regole tecniche del deposito cambiano con le specifiche del Ministero della giustizia: prima di modificare una prassi conviene verificarle sul Portale dei servizi telematici.

Cosa sono

CAdES (CMS Advanced Electronic Signatures) crea una busta che contiene il documento originale e la firma. Il file firmato prende l'estensione .p7m: un atto ricorso.pdf diventa ricorso.pdf.p7m. Funziona con qualunque tipo di file, PDF, Word, XML, immagini. Per leggerlo serve un programma di verifica che apra la busta ed estragga il documento.

PAdES (PDF Advanced Electronic Signatures) inserisce la firma dentro il PDF. Il file resta ricorso.pdf e si apre con un normale lettore PDF, che mostra il pannello delle firme e, se si vuole, un riquadro visibile sulla pagina. Funziona solo con i PDF.

Entrambi i formati sono riconosciuti dalla normativa europea: il regolamento (UE) 910/2014, detto eIDAS, e la decisione di esecuzione (UE) 2015/1506 li indicano fra i formati che gli Stati membri devono accettare.

Nel processo telematico valgono entrambe

Per un periodo alcune decisioni hanno considerato valida nel processo solo la busta CAdES. Le Sezioni Unite della Cassazione, con la sentenza n. 10266 del 27 aprile 2018, hanno chiuso la questione: le firme digitali di tipo CAdES e PAdES sono entrambe ammesse e vanno riconosciute valide ed efficaci. Il caso riguardava una procura speciale per il ricorso in cassazione firmata in PAdES.

Lo stesso principio si applica nel processo tributario telematico. Sul penale, dove il deposito passa da un portale con regole sue, rimandiamo alla guida al processo penale telematico.

Cosa firmare e come, nel deposito civile

Nella busta telematica il formato della firma conta meno di altre due regole, che fanno rifiutare un deposito più spesso:

• l'atto principale deve essere un PDF ottenuto dalla trasformazione di un documento di testo, non una scansione di un foglio stampato;
• gli allegati possono essere scansioni, e non devono essere firmati se non quando la firma serve a dare loro valore (procura, attestazione di conformità).

Quanto al formato, ecco cosa conviene di solito:

Come si scrive l'attestazione e dove va collocata è spiegato nella guida all'attestazione di conformità. Le regole sulla procura firmata digitalmente dal cliente sono nella guida alla procura alle liti.

Gli errori che si vedono più spesso

• Modificare il PDF dopo la firma PAdES. Anche aggiungere un numero di pagina o comprimere il file rompe la firma. Il PDF si chiude, poi si firma, poi non si tocca più.
• Firmare due volte senza volerlo. Un PDF firmato in PAdES e poi firmato di nuovo in CAdES diventa un .pdf.p7m con due firme. Non è un errore in sé, ma rende più difficile la verifica e i nomi dei file si allungano fino a superare i limiti di alcuni sistemi.
• Certificato scaduto o revocato. Una firma apposta con un certificato non più valido equivale a una firma mancante. Le date di scadenza dei dispositivi di tutti i professionisti dello studio vanno in agenda, come una scadenza processuale.
• Firmare con il dispositivo di un collega. La firma digitale è personale. Il dispositivo e il PIN non si prestano, nemmeno per un deposito urgente.
• Mandare al cliente un .p7m. Molti clienti non riescono ad aprirlo e chiedono una copia, che spesso viaggia poi senza firma. Per i documenti destinati a persone esterne il PAdES evita il problema.

Firma remota e firma su dispositivo

Il formato non dipende dal tipo di dispositivo. Con la firma remota il certificato è custodito dal prestatore di servizi fiduciari e si firma da computer o telefono con credenziali e codice temporaneo; con la smart card o il token USB il certificato sta nel dispositivo fisico. Entrambe producono firme PAdES o CAdES a scelta, secondo il software usato. Per lo studio la firma remota semplifica il lavoro fuori sede, ma va gestita con la stessa disciplina: credenziali personali, mai condivise.

Organizzare le firme nello studio

Quando gli atti passano per più mani, chi redige, chi controlla, chi firma, chi deposita, il problema diventa sapere quale versione è stata firmata. La regola che funziona è una sola: il file firmato è quello che si deposita e quello che si conserva, con il nome che aveva al momento del deposito. Un archivio documentale con versioni e storico collegato alla pratica evita di ritrovarsi, il giorno della scadenza, con tre PDF quasi uguali e nessuno sicuro di quale abbia la firma giusta. Le altre regole del deposito sono nella guida al deposito telematico degli atti.

Domande frequenti

Qual è la differenza fra firma PAdES e CAdES?

CAdES crea una busta con estensione .p7m che contiene il documento e la firma, e funziona con qualunque tipo di file. PAdES inserisce la firma dentro il PDF, che resta un .pdf e si apre con un normale lettore. Il valore legale è lo stesso.

Nel processo civile telematico si può usare la firma PAdES?

Sì. Le Sezioni Unite della Cassazione, con la sentenza n. 10266 del 2018, hanno stabilito che le firme CAdES e PAdES sono entrambe ammesse e vanno riconosciute valide ed efficaci.

Come si apre un file .p7m?

Con un software di verifica della firma digitale, di solito fornito dallo stesso prestatore del dispositivo, o con i servizi di verifica online dei prestatori qualificati. Il programma controlla la firma ed estrae il documento originale.

Si può modificare un PDF dopo averlo firmato in PAdES?

No: una modifica del contenuto dopo la firma la fa risultare non valida. Il documento va completato prima di firmarlo; se serve una correzione, si corregge l'originale e si firma di nuovo.