Consenso digitale: integrità, firma e prove da conservare

Un consenso digitale deve permettere di ricostruire quale documento è stato presentato, chi ha eseguito il processo di firma e quali modifiche sono avvenute dopo. Nessun singolo elemento, come un hash o un OTP, garantisce da solo l'esito di una contestazione. Conta il processo completo e la documentazione disponibile.

Questa guida spiega sette controlli da discutere con il fornitore. Non certifica un sistema né sostituisce una valutazione giuridica del caso concreto.

1. Collega la firma a una versione precisa

Il sistema deve conservare il contenuto effettivamente firmato. Se modifichi oggi il modello, i documenti precedenti non devono essere rigenerati come se il cliente avesse letto il testo nuovo.

Chiedi di vedere un esempio: firma un documento di prova, cambia il modello e recupera il documento già firmato. Confronta i contenuti.

2. Comprendi il ruolo dell'hash

Un hash è un'impronta calcolata dai dati di un file. Se il file cambia, il confronto con un'impronta conservata in modo affidabile può rilevare la differenza. L'hash non identifica automaticamente il firmatario e non dimostra, da solo, quando il file esisteva.

La domanda utile è: dove viene conservata l'impronta di riferimento e come viene protetta insieme alle altre registrazioni?

3. Distingui data del server e validazione temporale qualificata

Una data registrata dal server è un elemento del flusso. Non chiamarla «marca temporale qualificata» senza verificare il servizio effettivamente utilizzato. Sono concetti diversi, con requisiti e conseguenze differenti.

Se il fornitore dichiara un servizio fiduciario qualificato, chiedi il nome del prestatore e gli elementi che permettono di verificarlo.

4. Valuta l'identificazione nel suo insieme

Un codice OTP inviato al telefono può contribuire a documentare il controllo di quel recapito durante il processo. Non risolve da solo ogni questione sull'identità o sulla capacità di prestare consenso.

Controlla come il flusso gestisce numero sbagliato, codice scaduto, telefono condiviso e dati anagrafici. Non raccogliere dati aggiuntivi, come copie di documenti, senza una necessità e una base adeguate.

5. Chiedi quale firma viene proposta

Gli articoli 25 e 26 del regolamento eIDAS sono riferimenti essenziali. Una firma elettronica non perde effetto soltanto per il formato; una firma avanzata richiede specifici legami con firmatario e dati firmati.

Un elenco di tecnologie non equivale alla dimostrazione del rispetto di tutti i requisiti. Chiedi documentazione sul processo e sulle responsabilità del fornitore.

6. Verifica cosa puoi esportare

Recuperare un PDF leggibile è il primo controllo. Chiedi inoltre quali informazioni sulla firma sono disponibili, in quale formato e con quali limiti. Verifica cosa accade alla cessazione del contratto.

Prova l'export con dati fittizi prima dell'adozione. Non basarti soltanto su una schermata dimostrativa: apri i file e controlla il documento completo.

7. Proteggi l'archivio e definisci la conservazione

Account individuali, permessi, backup e procedure di recupero concorrono alla protezione. Archiviare in un cloud non rende automaticamente conforme o non conforme il trattamento: occorre valutarne contratto, configurazione e misure.

Il GDPR richiede tempi coerenti con le finalità. Evita promesse di conservazione eterna o cancellazione universale dopo cinque anni. Approfondisci nella guida alla privacy dello studio.

Dove si inserisce OKID

OKID offre un percorso di consenso digitale con verifica OTP e l'esportazione dei documenti. Valutalo con gli stessi controlli che useresti per qualsiasi fornitore, senza equiparare una descrizione commerciale a una garanzia di risultato legale.

Per una valutazione durante la prova, usa anche le sei funzioni da verificare.