Evoluzione delle modalità di contrattualizzazione e dematerializzazione dei contratti di somministrazione di energia nel mercato retail

di Francesco Piron e Tiziana Sogari

Premessa

I contratti conclusi mediante l’utilizzo di nuove tecnologie informatiche o telematiche sono destinati ad assumere sempre maggiore rilievo nell’ambito dei rapporti commerciali business to business (B2B) e business to consumer (B2C). La novità della materia ha indotto la dottrina ad elaborare nuove categorie, nonché la giurisprudenza a cimentarsi con varie problematiche giuridiche, talvolta con esiti incerti. Il presente scritto intende fornire, senza alcuna pretesa di esaustività, una sintetica descrizione dello stato dell’arte, focalizzando l’attenzione sull’utilizzo dei nuovi strumenti nel mercato retail dell’energia.

1. Contratti digitali e contratti telematici

Come osservato dalla dottrina il fenomeno della dematerializzazione dei contratti è da ricondursiad uno dei principi cardine del sistema contrattuale costituito dall’autonomia negoziale dei privati.

Nell’ambito della categoria più generale dei contratti a forma o mediante procedimenti di formazione informatici - telematici occorre, anzitutto, operare una preliminare distinzione terminologica tra “contratti digitali” e “contratti telematici”.

Per “contratti digitali”si intendono tutti quei contratti stipulati in forma elettronica, con l’ausilio di strumenti informatici o telematici, senza l’utilizzo o lo scambio di documenti cartacei (paperless contract). Il più ampio genus dei contratti digitali ricomprende i c.d. “contratti telematici”, ossia i contratti on-line, conclusi attraverso strumenti telematici senza che le parti siano contemporaneamente presenti nello stesso luogo (contratti a distanza).

Il contratto telematico è sempre caratterizzato dall’assenza di trattative tra le parti, dalla predisposizione unilaterale e dall’offerta al pubblico. In linea generale, inoltre, i metodi utilizzati per la conclusione dei contratti on-line sono il c.d. sistema del “point and click” o mediante firma digitale.

Il sistema del “point and click”, di derivazione statunitense, è pacificamente ammesso per i contratti che possano essere conclusi in forma libera, come è il caso dei contratti di fornitura di energia,peraltro da tempo stipulati on-line.

Questa modalità è idonea a realizzare il perfezionamento del contratto, ma va dettoche,secondo la dottrinae l’orientamento giurisprudenziale prevalenti,essa porrebbe non trascurabili problemi con riferimento all’approvazione delle clausole vessatorie. Si ritiene, infatti, che il requisito formale della specifica sottoscrizione per iscritto delle clausole vessatorie non possa essere soddisfattodalla semplice pressione di icone ipertestuali (tasto negoziale virtuale)non equiparabile, in assenza di una espressa previsione di legge, alla forma scritta. Ne deriva, in altri termini, che:

1. le clausole vessatorie negoziate solo telematicamente, mediante l’utilizzo del sistema del “point and click”, non possono essere considerate vincolanti;

2. per rendere le clausole vessatorie efficaci è necessario ricorrere alla c.d. “firma digitale”.

1. La “firma digitale”

Nei rapporti B2B, considerata la rilevanza dei valori economici in gioco, prevale la necessità di garantire l’imputabilità della dichiarazione e la sua immodificabilità: per questo, per la conclusione del contratto, viene normalmente utilizzata la firma, c.d. “firma digitale”.

Per trovare una compiuta definizione e disciplina delle diverse tipologie di firma elettronica, fra cui la firma digitale, occorre fare riferimento al D.P.R. n. 445/2000, “Testo Unico sulla documentazione amministrativa”. Il menzionato T.U. si applica nei rapporti con la P.A. e nei rapporti con gestori di pubblici servizi tra loro e con l’utenza. Le norme concernenti i documenti informatici e la firma digitale si applicano, altresì, ai rapporti tra privati.   

Il D.P.R. n. 445/2000 definisce la “firma digitale” come “un particolare tipo di firma elettronica qualificata basata su un sistema di chiavi asimmetriche a coppia, una pubblica e una privata, che consente al titolare tramite la chiave privata e al destinatario tramite la chiave pubblica, rispettivamente, di rendere manifesta e di verificare la provenienza e l'integrità di un documento informatico o di un insieme di documenti informatici”. Si tratta, in buona sostanza, di un software che permette al suo titolare (dotato di una business key o smart card) di firmare dei documenti informatici (files) garantendone la provenienza, l’integrità e l’immodificabilità.

In base al D.P.R. n 445/2000, art. 10, comma 3: “Il documento informatico, quando è sottoscritto con firma digitale o con un altro tipo di firma elettronica avanzata, e la firma è basata su di un certificato qualificato ed è generata mediante un dispositivo per la creazione di una firma sicura, fa inoltre piena prova, fino a querela di falso, della provenienza delle dichiarazioni da chi l'ha sottoscritto”.

1. La “firma elettronica leggera” e nuove modalità di contrattualizzazione nel mercato retail dell’energia

Il limite oggettivo dell’utilizzabilità della firma digitale, ossia di una firma elettronica qualificata (secondo la terminologia comunitaria) nell’ambito dei rapporti B2C è, peraltro, costituito dal fatto che il cliente privato molto spesso non è dotato di tale strumento. Nella prassi, pertanto, gli operatori spesso preferiscono utilizzare modalità di conclusione dei contratti digitali o telematici che prediligono, rispetto al requisito dell’affidabilità, la celerità e la semplificazione dei rapporti commerciali B2C: ad esempio ricorrendo all’utilizzo della semplice “firma elettronica”.

La “firma elettronica” semplice, c.d. “leggera” (o debole, che dir si voglia) – che si distingue dalla firma digitale o da qualsiasi altra firma elettronica avanzata – è definita sempre nel D.P.R. n. 445/2000 e “ai sensi dell'articolo 2, comma 1, lettera a), del decreto legislativo 23 gennaio 2002, n. 10” come “l'insieme dei dati in forma elettronica, allegati oppure connessi tramite associazione logica ad altri dati elettronici, utilizzati come metodo di autenticazione informatica”. Da un punto di vista tecnico può trattarsi di un codice identificativo associato ad un documento informatico, come ad esempio una username o una password.

La giurisprudenza ha, inoltre, riconosciuto anche all’e-mail il rango di documento informatico sottoscritto con firma elettronica leggera.

Dall’analisi della prassi, emerge che alcuni operatori, non necessariamente nell’ambito dei servizi energetici (ma anche in tale settore), sono soliti procedere alla conclusione dei contratti facendo apporre al cliente, mediante un semplice programma, la propria firma su un documento informatico (pdf.) visualizzato ad esempio su un tablet dell’operatore stesso. Il documento reca tutti i dati compilati del cliente, ed ogni altro dato identificativo del cliente/servizio/contratto concluso, nonché, come detto, la firma apposta dal medesimo cliente direttamente sul pdf. visualizzato sul tablet. Quasi contestualmente, o in un momento poco successivo, viene inviata al cliente una mail contenente la copia informatica del contratto così concluso.  

Ad avviso di chi scrive tale contratto può considerarsi sottoscritto con firma elettronica (ossia con firma elettronica leggera). Anche volendosi ammettere come dubbio se a tale documento possa riconoscersi valore di documento informatico sottoscritto con firma elettronica leggera, ai sensi della definizione fornita anche dal D.P.R. n. 445/2000, ovvero valore di puro e semplice documento informatico non sottoscritto (non riconoscendo, di fatto, alcun valore alla firma in tale modo apposta dal cliente), in ogni caso il valore del documento in questione, sotto il profilo dell’efficacia probatoria, non cambierebbe molto.

In particolare, al riguardo, sempre il D.P.R. n 445/2000, art. 10, prevede infatti che:

“1.  Il documento informatico [ossia la rappresentazione informatica di atti fatti o dati giuridicamente rilevanti] ha l'efficacia probatoria prevista dall'articolo 2712 del codice civile, riguardo ai fatti ed alle cose rappresentate.

2.  Il documento informatico, sottoscritto con firma elettronica, soddisfa il requisito legale della forma scritta. Sul piano probatorio il documento stesso è liberamente valutabile, tenuto conto delle sue caratteristiche oggettive di qualità e sicurezza. Esso inoltre soddisfa l'obbligo previsto dagli articoli 2214 e seguenti del codice civile e da ogni altra analoga disposizione legislativa o regolamentare”.

Il comma 4 dell’art. 10 del D.P.R. n 445/2000 stabilisce altresì che, in ogni caso, al documento informatico sottoscritto con firma elettronica non può essere negata rilevanza giuridica né ammissibilità come mezzo di prova unicamente a causa del fatto che è sottoscritto in forma elettronica ovvero in quanto la firma non è basata su di un certificato qualificato oppure non è basata su di un certificato qualificato rilasciato da un certificatore accreditato o, infine, perché la firma non è stata apposta avvalendosi di un dispositivo per la creazione di una firma sicura.

Le previsioni appena richiamate sono già in linea con quanto contenuto nel Regolamento europeo n. 910/2014, c.d. regolamento eIDAS, entrato in vigore dal 1° luglio 2016, art. 25, relativo agli “Effetti giuridici delle firme elettroniche” che stabilisce che: “1.  A una firma elettronica non possono essere negati gli effetti giuridici e l’ammissibilità come prova in procedimenti giudiziali per il solo motivo della sua forma elettronica o perché non soddisfa i requisiti per firme elettroniche qualificate.  2.  Una firma elettronica qualificata ha effetti giuridici equivalenti a quelli di una firma autografa. 3.  Una firma elettronica qualificata basata su un certificato qualificato rilasciato in uno Stato membro è riconosciuta quale firma elettronica qualificata in tutti gli altri Stati membri” e che definisce la firma elettronica come “dati in forma elettronica acclusi oppure connessi tramite associazione logica ad altri dati elettronici e utilizzati dal firmatario per firmare” (cfr. art. 3, n. 10).

Da ultimo occorre poi ricordare che, ai sensi del vigente testo dell’articolo 20 del “Codice dell’Amministrazione digitale” – CAD, approvato con d.lgs. n. 82/2005 (ma in via di modificazione, al fine di recepire/adeguarsi al Regolamento europeo n. 910/2014): “Il documento informatico da chiunque formato, la memorizzazione su supporto informatico e la trasmissione con strumenti telematici conformi alle regole tecniche di cui all’articolo 71 sono validi e rilevanti agli effetti di legge, secondo le disposizioni del presente codice. L’idoneità del documento informatico a soddisfare il requisito della forma scritta e il suo valore probatorio sono liberamente valutabili in giudizio, tenuto conto delle sue caratteristiche oggettive di qualità, sicurezza, integrità ed immodificabilità, fermo restando quanto disposto dall’articolo 21”.

In altri termini, dalle disposizioni prese in rassegna si ricava che:

1. al documento informatico non sottoscritto (ossia senza “firma elettronica leggera” o senza “firma digitale”, ovvero senza firma elettronica avanzata) il nostro ordinamento riconosce la stessa efficacia probatoria delle riproduzioni meccaniche di cui all’art 2712 c.c., ossia il documento fa piena prova se colui contro il quale è prodotto non ne disconosce la conformità ai fatti e alle cose medesime oggetto di rappresentazione; il disconoscimento, da parte di colui contro il quale il documento informatico viene fatto valere, deve essere circostanziato ed esplicito e deve concretizzarsi nell’allegazione di elementi attestanti la non corrispondenza tra la realtà fattuale e la realtà riprodotta. Nel caso di documento informatico non sottoscritto, pertanto, l’affidabilità riposta dal nostro ordinamento risulta maggiore rispetto a qualunque documento cartaceo non sottoscritto, per il quale invece non è riconosciuta alcuna valenza probatoria; ciò, evidentemente, è da imputarsi alle migliori garanzie offerte dal documento informatico sotto l’aspetto dell’attendibilità tecnica;

2. al documento informatico sottoscritto con “firma elettronica leggera” la normativa attribuisce una rilevanza sostanziale, precisando infatti che non ne può essere negata la rilevanza giuridica né l’ammissibilità come mezzo di prova.  

In entrambe le ipotesi, ed in caso di contestazione, il valore del documento  informatico sottoscritto con “firma elettronica leggera” o non sottoscritto è rimesso all’apprezzamento e valutazione del giudice: a) nell’ipotesi di documento informatico sottoscritto con “firma elettronica leggera” l’accertamento giudiziale avrà per oggetto sia la provenienza sia il contenuto della dichiarazione; b) nel caso, invece, di documento informatico non sottoscritto non si tratterà di dimostrare l’imputabilità del documento, essendo privo di sottoscrizione, bensì di stabilire quali siano stati gli strumenti utilizzati per la formazione di quella rappresentazione informatica, spostando quindi l’oggetto dell’accertamento giudiziale sull’attendibilità della riproduzione.

In conclusione, la possibilità di concludere un contratto di fornitura di energia mediante un documento informatico sottoscritto con una firma elettronica c.d. leggera – si ritiene anche a mezzo della sottoscrizione, con un semplice programma informatico, della documentazione contrattuale visualizzata su tablet dell’operatore –è ammessa sulla base dell’art. 1350 c.c. che sancisce il principio della libertà delle forme, in quanto è sufficiente che il consenso alla stipula del contratto sia manifestato con qualsiasi mezzo a tal fine idoneo.

Come visto, il contratto così concluso possiede però, dal punto di vista dell’efficacia probatoria, un valore ben inferiore rispetto al contratto sottoscritto con firma digitale o con un altro tipo di firma elettronica avanzata, a cui la legge attribuisce il medesimo valore di un documento originale sottoscritto con firma autografa.

Potrebbero, inoltre, porsi alcuni problemi di coordinamento con le nuove previsioni in materia di recesso introdotte con la più recente delibera dell’Autorità per l’energia302/2016/R/com con cui l’Autorità ha mantenuto come obbligatoria la comunicazione al venditore uscente del recesso del cliente da parte del venditore entrante, prevedendo più precisamente all’art. 4che “4.1Nel caso di cambio venditore, il cliente finale, in occasione della conclusione del nuovo contratto di fornitura col venditore entrante, rilascia a quest’ultimo apposita procura a recedere, per suo conto e in suo nome, dal contratto col venditore uscente. 4.2 La procura di cui al comma 4.1 è rilasciata secondo le stesse modalità di conclusione del contratto con il venditore entrante, e comunque su un supporto durevole sicuro idoneo a garantire la sua immodificabilità e inalterabilità” (a regime, poi, il venditore entrante eserciterà il recesso mediante il Sistema Informativo Integrato (SII), trasmettendo la relativa comunicazione: cfr. comma 4.3.).

1. La “firma elettronica leggera” e nuove modalità di contrattualizzazione nel mercato retail dell’energia

La c.d. “firma grafometrica” si basa sul rilevamento della dinamica di apposizione della firma autografa (firma grafometrica) e può essere utilizzata per la sottoscrizione di documenti informatici anche al fine di dare maggiore certezza ai rapporti giuridici. La firma grafometrica, in tale modo, si può porre a base di una soluzione di “firma elettronica avanzata”, così come definita dal CAD, che non prevede la conservazione centralizzata di dati biometrici e a cui, come già visto, il nostro ordinamento attribuisce lo stesso valore della firma autografa, facendo il documento, in tal modo sottoscritto, piena prova, fino a querela di falso, della provenienza delle dichiarazioni da parte chi l'ha sottoscritto (cfr art. 10, D.P.R. n. 445/2000).

Attualmente, nell’ambito dei rapporti nel settore energia, tale sistema non risulta essere stato ancora impiegato, ancorché esso si ponga come modalità teoricamente possibile di conclusione dei contratti di fornitura, utilizzabile quale alternativa alla firma elettronica c.d. leggera edove si volesse garantire una maggiore certezza ai rapporti contrattuali instaurati con la propria clientela mediante contratti di fornitura di energia in forma digitale.

Peraltro, si vedrà meglio di qui a pococome tale modalità presupponga però, anche sotto il profilo della normativa privacy, una serie di verifiche ed adempimenti a cui prestare particolare attenzione, non consentendo inoltre del tutto l’abbandono di forme alternative alla sottoscrizione dei documenti contrattuali mediante firma grafometrica (in altre parole la “carta” si riduce ma il suo utilizzo non si potrà eliminare completamente).

Considerata, infatti, la crescente diffusione di dispositivi e tecnologie per la raccolta ed il trattamento di dati biometrici, anche per la sottoscrizione di documenti informatici, il Garante per la privacy ha avvertito la necessità di intervenire in materia con il Provvedimento generale prescrittivo n. 513 del 12 novembre 2014 e relative Linee Guida.

Con il menzionato provvedimento il Garante ha inteso rendere disponibile, in tema di biometria, un quadro unitario di misure ed accorgimenti di carattere tecnico, organizzativo e procedurale per conformare i trattamenti di dati biometrici alla vigente disciplina sulla protezione dei dati personali e per accrescerne i livelli di sicurezza.

Il Provvedimento, dal contenuto ampio e complesso, si concentra, per quanto qui di interesse, proprio sull’utilizzo dei dati biometrici per la sottoscrizione dei documenti informatici.

In tale ipotesi, come osservato dal Garante nelle Linee Giuda allegate al Provvedimento, “i dati biometrici non sono funzionali, come tutti quelli finora esaminati, al riconoscimento biometrico di un individuo (anche se sono possibili e sono stati riscontrati utilizzi in questo senso), ma sono incorporati all’interno di documenti informatici per realizzare, laddove ne ricorrano i presupposti tecnici e normativi, delle soluzioni di firma elettronica avanzata, introdotta dal decreto legislativo 7 marzo 2005, n. 82 recante il “Codice dell'amministrazione digitale”, e disciplinata con le regole tecniche di cui al d.P.C.M. 22 febbraio 2013, oppure, più in generale, per incorporare nel documento informatico delle informazioni strettamente connesse al soggetto firmatario e al documento firmato che consentano comunque, al di là della valenza giuridica della sottoscrizione così ottenuta, di effettuare delle verifiche sull’integrità e autenticità del documento informatico.

Nella firma grafometrica si costituisce, infatti, un set di informazioni biometriche che, con l’ausilio di tecniche crittografiche, viene strettamente associato a un determinato documento informatico, in modo tale da consentire ex post lo svolgimento di analisi grafologiche da parte di un perito calligrafo sulla genuinità della sottoscrizione, analogamente a quanto avviene con le firme sui documenti cartacei (tipicamente, a seguito di contenzioso contrattuale o di disconoscimento della sottoscrizione)”.

Osserva, ancora il Garante che “L’utilizzo della firma grafometrica per la sottoscrizione di documenti non richiede, in genere, la creazione di una banca dati biometrica, poiché le singole firme grafometriche sono volta per volta acquisite e incorporate, con le opportune protezioni crittografiche, nel documento informatico sottoscritto, eventualmente archiviato in un sistema di gestione documentale”.  

Cionondimeno, poiché i dati biometrici sono “dati personali” – in quanto possono sempre essere considerati come “informazione concernente una persona fisica identificata o identificabile” – rientrano nell’ambito di applicazione del Codiceprivacy (art. 4, comma 1, lettera b), e le operazioni su di essi compiute con strumenti elettronici sono a tutti gli effetti trattamenti nel senso delineato dalla disciplina sulla protezione dei dati personali.

Ciò comporta anzitutto, quale minimo adempimento, che, prima dell’inizio del trattamento, il titolare fornisca agli interessati un’informativa idonea e specifica relativa all’utilizzo dei dati biometrici.

Nell’informativa, contenente tutti gli elementi previsti dall’art. 13 del Codice, occorrerà puntualizzare, in particolare, la finalità perseguita e la modalità del trattamento (anche enunciando, sia pure sinteticamente, le cautele adottate, i tempi di conservazione dei dati, l’eventuale loro centralizzazione). L’informativa dovrà, altresì, dare adeguata rilevanza alla natura obbligatoria o facoltativa del conferimento dei dati rispetto al perseguimento delle finalità del trattamento.

Gli adempimenti non si arrestano, peraltro, alla necessità dell’informativa ed all’acquisizione del consenso da parte del soggetto interessato.

Il Garante, infatti, ha ritenuto che i dati biometrici costituiscano dati diversi da quelli sensibili e giudiziari, il cui trattamento presenta rischi specifici per i diritti e le libertà fondamentali nonché per la dignità dell’interessato. Per tale motivo il trattamento dei dati biometrici è, in via generale, soggetto a verifica preliminare ai sensi dell’art. 17 del Codice privacy da parte del Garante, il quale può autorizzare il trattamento dietro indicazioni di precise prescrizioni di natura tecnica o organizzativa, ovvero negare il trattamento (in tale senso si vedano, ad esempio, le verifiche preliminari richieste, ai sensi del menzionato art. 17 Codice privacy, da parte di diversi istituti bancari).

Sulla base dell'esperienza maturata, il Garante ha però ritenuto di individuare, con il citato Provvedimento generale, talune tipologie di trattamento volte a scopi di riconoscimento biometrico (nella forma di identificazione biometrica o di verifica biometrica) o di sottoscrizione di documenti informatici (firma grafometrica) che, in considerazione delle specifiche finalità perseguite, della tipologia dei dati trattati e delle misure di sicurezza che possono essere concretamente adottate a loro protezione, presentano un livello di rischio ridotto.

In relazione a tali specifiche tipologie di trattamenti il Garante ha pertanto ritenuto che non sia necessario per i titolari presentare istanza di verifica preliminare ai sensi dell’art. 17 del Codice privacy, a condizione vengano adottate tutte le misure e gli accorgimenti tecnici idonei a raggiungere gli obiettivi di sicurezza individuati nel Provvedimento e siano rispettati i presupposti di legittimità contenuti nel Codice e richiamati nel Capitolo 4 delle Linee Guida allegate al provvedimento (con particolare riferimento ai principi generali di liceità, finalità, necessità e proporzionalità dei trattamenti, e ai previsti adempimenti giuridici, quali l'obbligo di informativa agli interessati e di notificazione al Garante).

Di seguito si riportano le condizioni stabilite dal Garante affinché si possa considerare esclusa la necessità di verifica preliminare per il trattamento di dati biometrici nell’ambito di una soluzione di firma grafometrica per la sottoscrizione di documenti informatici:

“Sottoscrizione di documenti informatici

Il trattamento di dati biometrici costituiti da informazioni dinamiche associate all'apposizione a mano libera di una firma autografa avvalendosi di specifici dispositivi hardware è ammesso in assenza di verifica preliminare laddove si utilizzino sistemi di firma grafometrica posti a base di una soluzione di firma elettronica avanzata, così come definita dal Decreto Legislativo 7 marzo 2005, n. 82, recante il "Codice dell'amministrazione digitale" che non prevedono la conservazione centralizzata di dati biometrici. L'utilizzo di tali sistemi, da un lato, si giustifica al fine di contrastare eventuali tentativi di frode e il fenomeno dei furti di identità e, dall'altro, ha lo scopo di rafforzare le garanzie di autenticità e integrità dei documenti informatici sottoscritti, anche in vista di eventuale contenzioso legato al disconoscimento della sottoscrizione apposta su atti e documenti di tipo negoziale in sede giudiziaria. In tali casi, il presupposto di legittimità del trattamento dei dati biometrici è dato dal consenso, effettivamente libero degli interessati ovvero, in ambito pubblico, dal perseguimento delle finalità istituzionali del titolare. Il consenso è espresso dall'interessato all'atto di adesione al servizio di firma grafometrica e ha validità, fino alla sua eventuale revoca, per tutti i documenti da sottoscrivere.

Il titolare è esonerato dall'obbligo di presentare istanza di verifica preliminare se il trattamento è svolto nel rispetto delle seguenti prescrizioni e limitazioni:

a) Il procedimento di firma è abilitato previa identificazione del firmatario.

b) Sono resi disponibili sistemi alternativi (cartacei o digitali) di sottoscrizione, che non comportino l'utilizzo di dati biometrici.

c) La cancellazione dei dati biometrici grezzi e dei campioni biometrici ha luogo immediatamente dopo il completamento della procedura di sottoscrizione, e nessun dato biometrico persiste all'esterno del documento informatico sottoscritto.

d) I dati biometrici e grafometrici non sono conservati, neanche per periodi limitati, sui dispositivi hardware utilizzati per la raccolta, venendo memorizzati all'interno dei documenti informatici sottoscritti in forma cifrata tramite sistemi di crittografia a chiave pubblica con dimensione della chiave adeguata alla dimensione e al ciclo di vita dei dati e certificato digitale emesso da un certificatore accreditato ai sensi dell'art. 29 del Codice dell'amministrazione digitale. La corrispondente chiave privata è nella esclusiva disponibilità di un soggetto terzo fiduciario che fornisca idonee garanzie di indipendenza e sicurezza nella conservazione della medesima chiave. La chiave può essere frazionata tra più soggetti ai fini di sicurezza e integrità del dato. In nessun caso il soggetto che eroga il servizio di firma grafometrica può conservare in modo completo tale chiave privata. Le modalità di generazione, consegna e conservazione delle chiavi sono dettagliate nell'informativa resa agli interessati e nella relazione di cui alla lettera k) del presente paragrafo, in conformità con quanto previsto all'art. 57, comma 1 lettere e) ed f) del d.P.C.M. 22 febbraio 2013.

e) La trasmissione dei dati biometrici tra sistemi hardware di acquisizione, postazioni informatiche e server avviene esclusivamente tramite canali di comunicazione resi sicuri con l'ausilio di tecniche crittografiche con lunghezza delle chiavi adeguata alla dimensione e al ciclo di vita dei dati.

f) Sono adottate idonee misure e accorgimenti tecnici per contrastare i rischi di installazione di software e di modifica della configurazione delle postazioni informatiche e dei dispositivi, se non esplicitamente autorizzati.

g) I sistemi informatici sono protetti contro l'azione di malware e sono, inoltre, adottati sistemi di firewall per la protezione perimetrale della rete e contro i tentativi di accesso abusivo ai dati.

h) Nel caso di utilizzo di sistemi di firma grafometrica nello scenario mobile o BYOD (Bring Your Own Device), sono adottati idonei sistemi di gestione delle applicazioni o dei dispositivi mobili, con il ricorso a strumenti MDM (Mobile Device Management) o MAM (Mobile Application Management) o altri equivalenti al fine di isolare l'area di memoria dedicata all'applicazione biometrica, ridurre i rischi di installazione abusiva di software anche nel caso di modifica della configurazione dei dispositivi e contrastare l'azione di eventuali agenti malevoli (malware).

i) I sistemi di gestione impiegati nei trattamenti grafometrici adottano certificazioni digitali e policy di sicurezza che disciplinino, sulla base di criteri predeterminati, le condizioni di loro utilizzo sicuro (in particolare, rendendo disponibili funzionalità di remote wiping applicabili nei casi di smarrimento o sottrazione dei dispositivi).

j) L'accesso al modello grafometrico cifrato avviene esclusivamente tramite l'utilizzo della chiave privata detenuta dal soggetto terzo fiduciario, o da più soggetti, in caso di frazionamento della chiave stessa, e nei soli casi in cui si renda indispensabile per l'insorgenza di un contenzioso sull'autenticità della firma e a seguito di richiesta dell'autorità giudiziaria. Le condizioni e le modalità di accesso alla firma grafometrica da parte del soggetto terzo di fiducia o da parte di tecnici qualificati sono dettagliate nell'informativa resa agli interessati e nella relazione di cui alla lettera k) del presente paragrafo, in conformità con quanto previsto all'art. 57, comma 1, lettere e) ed f) del d.P.C.M. 22 febbraio 2013.

k) E’ predisposta una relazione che descrive gli aspetti tecnici e organizzativi delle misure messe in atto dal titolare, fornendo altresì la valutazione della necessità e della proporzionalità del trattamento biometrico rispetto alle finalità. Tale relazione tecnica è conservata aggiornata, con verifica di controllo almeno annuale, per tutto il periodo di esercizio del sistema biometrico e mantenuta a disposizione del Garante. I titolari dotati di certificazione del sistema di gestione per la sicurezza delle informazioni (SGSI) secondo la norma tecnica ISO/IEC 27001 che inseriscono il sistema biometrico nel campo di applicazione della certificazione sono esentati dall'obbligo di redigere la relazione di cui al precedente periodo, potendo utilizzare la documentazione prodotta nell'ambito della certificazione, integrandola con la valutazione della necessità e della proporzionalità del trattamento biometrico”.

Al fine di evitare la verifica preventiva di cui al più volte richiamato art. 17 Codice privacy, gli operatori dovrebbero peraltro preliminarmente verificare e rispettare le prescrizioni appena viste contenute nel Provvedimento del Garante.

Non potrà, in ogni caso, essere omesso l’obbligo di notifica al Garante, a sensi dell’art. 37, comma 1, lett. a) e 38 Codice della privacy (oltre alla adeguata informativa al cliente/soggetto interessato e acquisizione del consenso al trattamento).

In conclusione, si può affermare che la dotazione ed utilizzo di un sistema di firma grafometrica, anche da parte degli esercenti la vendita di energia elettrica e/o di gas naturale ai clienti finali,garantirebbe al massimo queste società in ordine ai rapporti instaurati con i propri clienti; tuttavia, le imprese di vendita di energia e gas dovrebbero, a tal fine,dotarsi di strumenti ed organizzazione adeguati, sopportando un investimento iniziale in mezzi e competenze.

 29 settembre 2016