Codice dell’amministrazione digitale

Decreto Legislativo 7 marzo 2005, n. 82

Art. 32. Obblighi del titolare di firma elettronica
qualificata e del prestatore di servizi di firma
elettronica qualificata
1. Il titolare del certificato di firma è tenuto ad assicurare la custodia del dispositivo di firma o degli
strumenti di autenticazione informatica per l’utilizzo del dispositivo di firma da remoto, e ad adottare
tutte le misure organizzative e tecniche idonee ad evitare danno ad altri; è altresì tenuto ad utilizzare
personalmente il dispositivo di firma.
2. Il prestatore di servizi di firma elettronica qualificata è tenuto ad adottare tutte le misure organizzative
e tecniche idonee ad evitare danno a terzi.
3. Il prestatore di servizi di firma elettronica qualificata che rilascia certificati qualificati deve
comunque:
a) provvedere con certezza alla identificazione della persona che fa richiesta della
certificazione;

b) rilasciare e rendere pubblico il certificato elettronico nei modi o nei casi stabiliti dalle
regole tecniche di cui all’articolo 71, nel rispetto del decreto legislativo 30 giugno 2003, n.
196, e successive modificazioni;

c) specificare, nel certificato qualificato su richiesta dell’istante, e con il consenso del terzo
interessato, i poteri di rappresentanza o altri titoli relativi all’attività professionale o a
cariche rivestite, previa verifica della documentazione presentata dal richiedente che attesta
la sussistenza degli stessi;

d) attenersi alle regole tecniche di cui all’articolo 71;

e) informare i richiedenti in modo compiuto e chiaro, sulla procedura di certificazione e sui

necessari requisiti tecnici per accedervi e sulle caratteristiche e sulle limitazioni d’uso delle
firme emesse sulla base del servizio di certificazione;

f) LETTERA SOPPRESSA DAL D.LGS. 30 DICEMBRE 2010, N. 235;

g) procedere alla tempestiva pubblicazione della revoca e della sospensione del certificato
elettronico in caso di richiesta da parte del titolare di firma elettronica qualificata o del terzo
dal quale derivino i poteri del titolare di firma elettronica qualificata medesimo, di perdita
del possesso o della compromissione del dispositivo di firma o degli strumenti di
autenticazione informatica per l’utilizzo del dispositivo di firma, di provvedimento
dell’autorità, di acquisizione della conoscenza di cause limitative della capacità del titolare
di firma elettronica qualificata, di sospetti abusi o falsificazioni, secondo quanto previsto
dalle regole tecniche di cui all’articolo 71;
 h) garantire un servizio di revoca e sospensione dei certificati elettronici sicuro e tempestivo
nonché garantire il funzionamento efficiente, puntuale e sicuro degli elenchi dei certificati di
firma emessi, sospesi e revocati;

i) assicurare la precisa determinazione della data e dell’ora di rilascio, di revoca e di

sospensione dei certificati elettronici;

j) tenere registrazione, anche elettronica, di tutte le informazioni relative al certificato

qualificato dal momento della sua emissione almeno per venti anni anche al fine di fornire
prova della certificazione in eventuali procedimenti giudiziari;

k) non copiare, né conservare, le chiavi private di firma del soggetto cui il prestatore di
servizi di firma elettronica qualificata ha fornito il servizio di certificazione;

l) predisporre su mezzi di comunicazione durevoli tutte le informazioni utili ai soggetti che

richiedono il servizio di certificazione, tra cui in particolare gli esatti termini e condizioni
relative all’uso del certificato, compresa ogni limitazione dell’uso, l’esistenza di un sistema
di accreditamento facoltativo e le procedure di reclamo e di risoluzione delle controversie;
dette informazioni, che possono essere trasmesse elettronicamente, devono essere scritte in
linguaggio chiaro ed essere fornite prima dell’accordo tra il richiedente il servizio ed il
prestatore di servizi di firma elettronica qualificata;

m) utilizzare sistemi affidabili per la gestione del registro dei certificati con modalità tali da
garantire che soltanto le persone autorizzate possano effettuare inserimenti e modifiche, che
l’autenticità delle informazioni sia verificabile, che i certificati siano accessibili alla
consultazione del pubblico soltanto nei casi consentiti dal titolare del certificato e che
l’operatore possa rendersi conto di qualsiasi evento che comprometta i requisiti di sicurezza.
Su richiesta, elementi pertinenti delle informazioni possono essere resi accessibili a terzi che
facciano affidamento sul certificato.

m-bis) garantire il corretto funzionamento e la continuità del sistema e comunicare

immediatamente a AgID e agli utenti eventuali malfunzionamenti che determinano
disservizio, sospensione o interruzione del servizio stesso.

4. Il prestatore di servizi di firma elettronica qualificata è responsabile dell’identificazione del soggetto

che richiede il certificato qualificato di firma anche se tale attività è delegata a terzi.
5. Il prestatore di servizi di firma elettronica qualificata raccoglie i dati personali direttamente dalla
persona cui si riferiscono o, previo suo esplicito consenso, tramite il terzo, e soltanto nella misura
necessaria al rilascio e al mantenimento del certificato, fornendo l’informativa prevista dall’articolo 13
del decreto legislativo 30 giugno 2003, n. 196. I dati non possono essere raccolti o elaborati per fini
diversi senza l’espresso consenso della persona cui si riferiscono.

Art. 64. Sistema pubblico per la gestione delle

identità digitali e modalità di accesso ai servizi
erogati in rete dalle pubbliche amministrazioni
1. COMMA ABROGATO DAL D.LGS. 26 AGOSTO 2016, N. 179.
2. COMMA ABROGATO DAL D.LGS. 26 AGOSTO 2016, N. 179.
2-bis. Per favorire la diffusione di servizi in rete e agevolare l’accesso agli stessi da parte di cittadini e
imprese, anche in mobilità, è istituito, a cura dell’Agenzia per l’Italia digitale, il sistema pubblico per la
gestione dell’identità digitale di cittadini e imprese (SPID). (28)
2-ter. Il sistema SPID è costituito come insieme aperto di soggetti pubblici e privati che, previo
accreditamento da parte dell’AgID, secondo modalità definite con il decreto di cui al comma 2-sexies,
identificano gli utenti per consentire loro l’accesso ai servizi in rete.
2-quater. L’accesso ai servizi in rete erogati dalle pubbliche amministrazioni che richiedono
identificazione informatica avviene tramite SPID. Il sistema SPID è adottato dalle pubbliche
amministrazioni nei tempi e secondo le modalità definiti con il decreto di cui al comma 2-sexies. Resta
fermo quanto previsto dall’articolo 3-bis, comma 01.
2-quinquies. Ai fini dell’erogazione dei propri servizi in rete, è altresì riconosciuta ai soggetti privati,
secondo le modalità definite con il decreto di cui al comma 2-sexies, la facoltà di avvalersi del sistema
SPID per la gestione dell’identità digitale dei propri utenti. L’adesione al sistema SPID per la verifica
dell’accesso ai propri servizi erogati in rete per i quali è richiesto il riconoscimento dell’utente esonera i
predetti soggetti da un obbligo generale di sorveglianza delle attività sui propri siti, ai sensi dell’articolo
17 del decreto legislativo 9 aprile 2003, n. 70.
2-sexies. Con decreto del Presidente del Consiglio dei ministri, su proposta del Ministro delegato per
l’innovazione tecnologica e del Ministro per la pubblica amministrazione e la semplificazione, di
concerto con il Ministro dell’economia e delle finanze, sentito il Garante per la protezione dei dati
personali, sono definite le caratteristiche del sistema SPID, anche con riferimento:
a) al modello architetturale e organizzativo del sistema;

b) alle modalità e ai requisiti necessari per l’accreditamento dei gestori dell’identità digitale;

c) agli standard tecnologici e alle soluzioni tecniche e organizzative da adottare anche al fine
di garantire l’interoperabilità delle credenziali e degli strumenti di accesso resi disponibili
dai gestori dell’identità digitale nei riguardi di cittadini e imprese; (28)

d) alle modalità di adesione da parte di cittadini e imprese in qualità di utenti di servizi in

rete; (28)

e) ai tempi e alle modalità di adozione da parte delle pubbliche amministrazioni in qualità di

erogatori di servizi in rete;

f) alle modalità di adesione da parte delle imprese interessate in qualità di erogatori di

servizi in rete.

2-septies. COMMA ABROGATO DAL D.LGS. 13 DICEMBRE 2017, N. 217.

2-octies. COMMA ABROGATO DAL D.LGS. 13 DICEMBRE 2017, N. 217. 2-nonies. L’accesso di cui
al comma 2-quater può avvenire anche con la carta di identità elettronica e la carta nazionale dei servizi.
2-decies. Le pubbliche amministrazioni, in qualità di fornitori dei servizi, usufruiscono gratuitamente
delle verifiche rese disponibili dai gestori di identità digitali e dai gestori di attributi qualificati.
3. COMMA ABROGATO DAL D.LGS. 30 DICEMBRE 2010, N. 235. (11)
3-bis. Con decreto del Presidente del Consiglio dei ministri o del Ministro per la semplificazione e la
pubblica amministrazione, è stabilità la data a decorrere dalla quale i soggetti di cui all’articolo 2,
comma 2, utilizzano esclusivamente le identità digitali ai fini dell’identificazione degli utenti dei propri
servizi on-line.
AGGIORNAMENTO (11) Il D.L. 29 dicembre 2010, n. 225, convertito con modificazioni dalla L. 26
febbraio 2011, n. 10, ha disposto (con l’art. 1, comma 1), in relazione al comma 3 del presente articolo,
che «È fissato al 31 marzo 2011 il termine di scadenza dei termini e dei regimi giuridici indicati nella
tabella 1 allegata con scadenza in data anteriore al 15 marzo 2011».
AGGIORNAMENTO (28) Il D.Lgs. 26 agosto 2016, n. 179 ha disposto (con l’art. 61, comma 2, lettera
d)) che l’espressione «cittadini e imprese», ovunque ricorra, si intende come «soggetti giuridici».

Art. 32. Obblighi del titolare di firma elettronica

qualificata e del prestatore di servizi di firma
elettronica qualificata
1. Il titolare del certificato di firma è tenuto ad assicurare la custodia del dispositivo di firma o degli
strumenti di autenticazione informatica per l’utilizzo del dispositivo di firma da remoto, e ad adottare
tutte le misure organizzative e tecniche idonee ad evitare danno ad altri; è altresì tenuto ad utilizzare
personalmente il dispositivo di firma.
2. Il prestatore di servizi di firma elettronica qualificata è tenuto ad adottare tutte le misure organizzative
e tecniche idonee ad evitare danno a terzi.
3. Il prestatore di servizi di firma elettronica qualificata che rilascia certificati qualificati deve
comunque:
a) provvedere con certezza alla identificazione della persona che fa richiesta della
certificazione;

b) rilasciare e rendere pubblico il certificato elettronico nei modi o nei casi stabiliti dalle
regole tecniche di cui all’articolo 71, nel rispetto del decreto legislativo 30 giugno 2003, n.
196, e successive modificazioni;

c) specificare, nel certificato qualificato su richiesta dell’istante, e con il consenso del terzo
interessato, i poteri di rappresentanza o altri titoli relativi all’attività professionale o a
cariche rivestite, previa verifica della documentazione presentata dal richiedente che attesta
la sussistenza degli stessi;

d) attenersi alle regole tecniche di cui all’articolo 71;

e) informare i richiedenti in modo compiuto e chiaro, sulla procedura di certificazione e sui

necessari requisiti tecnici per accedervi e sulle caratteristiche e sulle limitazioni d’uso delle
firme emesse sulla base del servizio di certificazione;

f) LETTERA SOPPRESSA DAL D.LGS. 30 DICEMBRE 2010, N. 235;

g) procedere alla tempestiva pubblicazione della revoca e della sospensione del certificato
elettronico in caso di richiesta da parte del titolare di firma elettronica qualificata o del terzo
dal quale derivino i poteri del titolare di firma elettronica qualificata medesimo, di perdita
del possesso o della compromissione del dispositivo di firma o degli strumenti di
autenticazione informatica per l’utilizzo del dispositivo di firma, di provvedimento
 dell’autorità, di acquisizione della conoscenza di cause limitative della capacità del titolare
di firma elettronica qualificata, di sospetti abusi o falsificazioni, secondo quanto previsto
dalle regole tecniche di cui all’articolo 71;

h) garantire un servizio di revoca e sospensione dei certificati elettronici sicuro e tempestivo

nonché garantire il funzionamento efficiente, puntuale e sicuro degli elenchi dei certificati di
firma emessi, sospesi e revocati;

i) assicurare la precisa determinazione della data e dell’ora di rilascio, di revoca e di

sospensione dei certificati elettronici;

j) tenere registrazione, anche elettronica, di tutte le informazioni relative al certificato

qualificato dal momento della sua emissione almeno per venti anni anche al fine di fornire
prova della certificazione in eventuali procedimenti giudiziari;

k) non copiare, né conservare, le chiavi private di firma del soggetto cui il prestatore di
servizi di firma elettronica qualificata ha fornito il servizio di certificazione;

l) predisporre su mezzi di comunicazione durevoli tutte le informazioni utili ai soggetti che

richiedono il servizio di certificazione, tra cui in particolare gli esatti termini e condizioni
relative all’uso del certificato, compresa ogni limitazione dell’uso, l’esistenza di un sistema
di accreditamento facoltativo e le procedure di reclamo e di risoluzione delle controversie;
dette informazioni, che possono essere trasmesse elettronicamente, devono essere scritte in
linguaggio chiaro ed essere fornite prima dell’accordo tra il richiedente il servizio ed il
prestatore di servizi di firma elettronica qualificata;

m) utilizzare sistemi affidabili per la gestione del registro dei certificati con modalità tali da
garantire che soltanto le persone autorizzate possano effettuare inserimenti e modifiche, che
l’autenticità delle informazioni sia verificabile, che i certificati siano accessibili alla
consultazione del pubblico soltanto nei casi consentiti dal titolare del certificato e che
l’operatore possa rendersi conto di qualsiasi evento che comprometta i requisiti di sicurezza.
Su richiesta, elementi pertinenti delle informazioni possono essere resi accessibili a terzi che
facciano affidamento sul certificato.

m-bis) garantire il corretto funzionamento e la continuità del sistema e comunicare

immediatamente a AgID e agli utenti eventuali malfunzionamenti che determinano
disservizio, sospensione o interruzione del servizio stesso.

4. Il prestatore di servizi di firma elettronica qualificata è responsabile dell’identificazione del soggetto

che richiede il certificato qualificato di firma anche se tale attività è delegata a terzi.
5. Il prestatore di servizi di firma elettronica qualificata raccoglie i dati personali direttamente dalla
persona cui si riferiscono o, previo suo esplicito consenso, tramite il terzo, e soltanto nella misura
necessaria al rilascio e al mantenimento del certificato, fornendo l’informativa prevista dall’articolo 13
del decreto legislativo 30 giugno 2003, n. 196. I dati non possono essere raccolti o elaborati per fini
diversi senza l’espresso consenso della persona cui si riferiscono.