La posta elettronica certificata o PEC, in Italia, è un tipo particolare di posta elettronica che permette di dare a un messaggio di posta elettronica lo stesso valore legale di una tradizionale raccomandata con avviso di ricevimento, garantendo così la prova dell'invio e della consegna. L'indirizzo PEC delle imprese e dei professionisti è rintracciabile gratuitamente online tramite il registro pubblico INI-PEC.[1]
Pur essendo una peculiarità italiana,[2] dal 2018 sono state avviate attività governative per rendere la PEC conforme al regolamento UE eIDAS.[3] A partire dal 2024, la PEC è stata sostituita dal protocollo REM che prevede l'autenticazione a due fattori e la certificazione dell'identità del mittente e del destinatario mediante SPID o carta d'identità elettronica.[4]
Per usufruire del servizio si deve disporre di una casella di PEC presso uno dei provider italiani autorizzati. La pubblicazione dell'elenco dei gestori autorizzati e quello della Pubblica Amministrazione, la vigilanza e il coordinamento nei confronti dei gestori e della Pubblica Amministrazione è demandata all'Agenzia per l'Italia digitale. Il contenuto può essere certificato e firmato elettronicamente oppure criptato garantendo quindi anche autenticazione, integrità dei dati e confidenzialità.
Al momento dell'invio di una mail PEC, il gestore PEC del mittente si occuperà di inviare a quest'ultimo una ricevuta che costituirà valore legale dell'avvenuta (o mancata) trasmissione del messaggio, con precisa indicazione temporale del momento in cui la mail PEC è stata inviata. In egual modo, il gestore del destinatario, dopo avergli depositato il messaggio PEC nella sua casella, fornirà al mittente una ricevuta di avvenuta consegna, con l'indicazione del momento temporale nel quale tale consegna è avvenuta. In caso di smarrimento di una delle ricevute presenti nel sistema PEC è possibile disporre, presso i gestori del servizio, di una traccia informatica avente lo stesso valore legale in termini di invio e ricezione, per un periodo di trenta mesi, secondo quanto previsto dalle normative.
Dal punto di vista dell'utente, una casella di posta elettronica certificata non si differenzia, dunque, da una normale casella di posta elettronica; cambia solo per ciò che riguarda il meccanismo di comunicazione sul quale si basa la PEC e per la presenza di alcune ricevute inviate dai gestori PEC al mittente e al destinatario. L'utente destinatario non visualizza l'e-mail del mittente, ma un messaggio automatico generato dal gestore di posta del mittente, che contiene due allegati: la e-mail "originale" del mittente con relativi allegati, e un file in XML con le stesse informazioni della notifica di invio trasmessa al mittente (ID del messaggio, luogo data e ora di invio, e dati di intestazione quali e-mail del destinatario tipo PEC / non-PEC, oggetto). La posta elettronica certificata, infatti, per essere tale, deve seguire le regole fissate dal Decreto del presidente della Repubblica n. 68/2005 e dalle successive regole da esso previste. Queste norme, insieme ad altre (tra cui, in particolare, il Codice dell'Amministrazione Digitale, Decreto legislativo n. 235/2010), ne stabiliscono la validità legale, le regole e le modalità di utilizzo. In particolare:
Ogni gestore PEC nel rispetto della norma deve sottoporsi a una serie di test d'interoperabilità, espressamente individuati e disponibili sul sito ufficiale del CNIPA[5]. I test d'interoperabilità vengono eseguiti per valutare la correttezza tecnico/funzionale del servizio di PEC erogato dal gestore. Come indicato nella documentazione ufficiale sono presenti espliciti test per verificare l'invio e la ricezione con caselle di posta elettronica tradizionale. Le regole tecniche PEC, allegate al Decreto Ministeriale 2 novembre 2005, prevedono la gestione di messaggi di posta elettronica tradizionale, tanto che viene definita una busta di trasporto atta a contenere e-mail provenienti da indirizzi di posta non PEC. Inoltre la ricevuta di accettazione, emanata all'atto dell'invio, evidenzia la tipologia di indirizzi di posta con diciture del tipo "Posta Certificata" o "Posta non Certificata". Chiaramente, l'eventuale destinatario non PEC, pur ricevendo correttamente il messaggio, potrà generare gli avvisi di avvenuta o mancata consegna (e lettura del messaggio), ma senza alcun valore legale che invece avrebbe un destinatario di PEC.
La posta elettronica certificata offre maggiori garanzie legali della raccomandata A/R, perché, oltre a certificare la trasmissione con la funzione di marca temporale certifica la data, con la funzione di firma digitale certifica anche il contenuto della comunicazione, comprensivo di allegati ed header del messaggio con destinatari, oggetto, indirizzi in copia conoscenza e copia conoscenza nascosta. Rispetto alla trasmissione, oltre a certificare l'invio e la ricezione da parte del server del nodo destinatario della comunicazione, esiste la possibilità di certificare anche la notifica di lettura del messaggio. Alcuni fornitori allegano a tale notifica copia del messaggio originale con relativi allegati, in modo da rendere la certificazione immediatamente fruibile dal mittente.
Il servizio PEC, per sua stessa natura, mostra una serie di vantaggi rispetto alla raccomandata con avviso di ricevimento e all'ordinario atto giudiziario tradizionale. I principali sono:
Una descrizione più tecnica e approfondita delle operazioni che vengono svolte all'interno della PEC e finalizzate ad aumentarne la tracciabilità, l'affidabilità e la sicurezza del sistema, è contenuta nella normativa tecnica di riferimento (Decreto Ministeriale 2 novembre 2005[11], “Regole tecniche per la formazione, la trasmissione e la validazione, anche temporale, della posta elettronica certificata” e allegato). In modo sommario è comunque possibile individuare alcuni comportamenti specifici della PEC, indicati di seguito. Alla trasmissione di un messaggio PEC partecipano diverse entità:
Si ponga quindi il caso di un invio di messaggio PEC corretto da parte del mittente, il corretto funzionamento dei gestori mittente e destinatario e la corretta consegna del messaggio PEC nella casella del destinatario. In questo caso il processo che guida la trasmissione di un messaggio PEC segue i seguenti passi:
La posta elettronica certificata offre la garanzia della consegna del messaggio, ma non della sua lettura da parte del destinatario. In altre parole nulla è detto sul fatto che il destinatario abbia letto o meno il messaggio PEC, ma si hanno garanzie sull'avvenuto recapito. Il che, in termini legali, equivale alla raccomandata con ricevuta di ritorno, ma con in più la prova certa del contenuto. Tuttavia, il suo valore legale è effettivo solo se la mail PEC viene inviata a un'altra mail PEC; se invece il destinatario è in possesso solo di posta elettronica di tipo ordinario, la PEC-mail inviata non ha valore probatorio.
Riassumendo quindi nel circuito PEC vengono rilasciate tre ricevute ai fini della certificazione del messaggio di posta elettronica certificata:
In caso di situazione negativa esistono inoltre tre tipi di avvisi rilasciati dal sistema PEC:
I messaggi in ingresso al sistema PEC possono essere “imbustati” dal gestore in due differenti tipologie di buste:
I gestori e i domini da loro gestiti, in virtù del quadro normativo di riferimento di seguito descritto, sono tutti censiti. Pertanto viene istituito un sistema di fiducia fondamentale per offrire all'utente tutte le garanzie di sicurezza caratteristiche di questo servizio.
Ogni gestore PEC deve conservare per trenta mesi i log dei messaggi. Nel D.P.R. 11 febbraio 2005 n.68 e nelle sue norme tecniche attuative non è menzionato l'obbligo del gestore di rendere disponibili i log dei messaggi su richiesta del titolare della casella PEC, costui per ottenerli può verosimilmente esercitare il generale diritto di accesso ai dati personali ai sensi del regolamento europeo sui dati personali, oppure può esercitare il diritto di accesso ai documenti contenenti dati personali o comunque rilevanti per la tutela di interessi giuridici ai sensi degli artt. 22 e ss. della legge n. 241 del 1990 (intendendo il gestore come incaricato di pubblico servizio). Questa direttiva di conservazione dei log è stata prevista in sede di redazione e approvazione del D.P.R. 11 febbraio 2005, n. 68. Nei log sono contenuti tutti gli eventi associati a invii e ricezioni di messaggi nell'ambito del circuito PEC.
I log dei messaggi non tengono traccia del contenuto dei messaggi stessi ma solo dell'avvenuta transazione. Dal punto di vista della pratica dei contenziosi civili a ben poco serve alle parti in lite, laddove vogliano produrre messaggi PEC, che il gestore conservi i log per 30 mesi, infatti la prescrizione civile ordinaria è decennale e quindi le esigenze di provare un messaggio PEC possono sorgere ben oltre i 30 mesi dalla sua formazione. Nella rara eventualità che in una causa civile occorra acquisire i log di messaggi PEC, ciò può farsi in sede processuale con una istanza al giudice ex art. 210 c.p.c. volta ad ottenere un ordine di esibizione nei confronti del gestore, oppure ancora in sede extraprocessuale può farsi con una istanza di accesso dell'interessato al gestore nei termini suddetti.
Secondo quanto previsto nelle regole tecniche allegate al D.M. 2 novembre 2005 i campi dovranno contenere almeno informazioni circa:
La prima fase della normativa italiana ha richiesto che un'azienda, per diventare gestore del servizio PEC, debba superare una procedura di accreditamento[13]. Il servizio può infatti essere erogato esclusivamente dai gestori accreditati presso il CNIPA, che è l'organo pubblico preposto al controllo della posta elettronica certificata. Un soggetto per diventare gestore PEC deve presentare domanda al CNIPA e rispettare precisi vincoli tecnici e organizzativi. Tra i più stringenti in termini economici appare quello previsto dall'articolo 14 del Decreto del presidente della Repubblica 11 febbraio 2005 n. 68, che riporta al comma 3: «I richiedenti l'iscrizione nell'elenco dei gestori di PEC diversi dalle pubbliche amministrazioni devono avere natura giuridica di società di capitali e capitale sociale interamente versato non inferiore a un milione di euro».
Nel tempo la normativa è stata aggiornata e il soggetto pubblico accreditante è divenuto AgID, sul portale del quale sono disponibili le norme e i regolamenti.
In Italia la disciplina della PEC è principalmente contenuta nel Decreto del presidente della Repubblica 11 febbraio 2005 n. 68 e nel decreto legislativo 7 marzo 2005 n. 82 (cosiddetto codice dell'amministrazione digitale).
Nell'aprile 2011 Francesco Gennai, Alba Shahin (ISTI-CNR), Claudio Petrucci e Alessandro Vinciarelli (CNIPA) hanno redatto l'Internet RFC 6109 (Request for Comments 6109) al fine di rendere accessibili alla comunità Internet l'architettura e i protocolli PEC.
Dal 1º luglio 2013 le comunicazioni tra imprese e pubblica amministrazione dovrebbero avvenire solo via PEC, non essendo più accettate le comunicazioni in forma cartacea[14].
La normativa sulla posta elettronica certificata attribuisce ad AgID differenti compiti. In particolare indica tale soggetto come custode e gestore delle regole tecniche. È inoltre compito di AgID provvedere alla pubblicazione di aggiornamenti, in coerenza con gli standard specificati nella normativa di riferimento. AgID, all'interno del proprio sito istituzionale, rende disponibile una sezione riguardante la posta elettronica certificata[15], contenente una versione scaricabile di tutta la documentazione valida ai fini di legge e riguardante la PEC.
La posta elettronica certificata, come indicato nelle regole tecniche allegate al Decreto Ministeriale 2 novembre 2005, si basa su standard internazionali IETF e ISO. In particolare sulle seguenti versioni e integrazioni successive:
In Italia il quadro normativo di riferimento relativo alla Posta Elettronica Certificata è il seguente:
Tra i contenuti della legge n. 2/2009 vengono indicate direttive che riguardano:
Decreto del Presidente Del Consiglio dei Ministri 6 maggio 2009 - Disposizioni in materia di rilascio e di uso della casella di posta elettronica certificata assegnata ai cittadini[23].
In tale decreto il Consiglio dei ministri definisce le modalità di rilascio della casella di posta elettronica certificata. Tra gli aspetti salienti, viene enunciata la gratuità della stessa qualora questa sia richiesta al Dipartimento per l'innovazione e le tecnologie.[24]
La Comunicazione Elettronica Certificata tra Pubblica Amministrazione e Cittadino (CEC-PAC) è stato un servizio fornito gratuitamente ai cittadini maggiorenni italiani (anche residenti all'estero) e agli stranieri residenti nel territorio italiano. Il funzionamento era identico alla PEC, ma era limitato alle sole comunicazioni con indirizzi PEC della pubblica amministrazione italiana.[25]
Caselle CEC-PAC sono state offerte gratuitamente dall'INPS,[26] dall'Automobile Club d'Italia,[27] nonché direttamente dal Governo italiano con il servizio PostaCertificat@.[28]
Nel 2014, visto il mancato raggiungimento degli obiettivi iniziali, è stata annunciata la progressiva dismissione della CEC-PAC.[29] Delle 2.121.915 caselle CEC-PAC rilasciate dal 2009 fino al 18 dicembre 2014, l'82% non risulta aver mai inviato messaggi.[29]
Nella Informativa per la privacy al cittadino della Postacertificat@ del Governo Italiano è specificato che "i dati personali dell'Utente contenuti nell'indirizzo di Postacertificat@ saranno inseriti in un elenco, presente sul portale, ma consultabile unicamente da tutte le Pubbliche Amministrazioni aderenti al servizio base Postacertificat@".[senza fonte]
Piattaforma Notifiche Digitali (PND) è stato il nome iniziale di un progetto realizzato da PagoPA e finanziato con 200 milioni dal PNRR, finalizzato alla digitalizzazione del procedimento con cui la Pubblica Amministrazione italiana notifica a cittadini e imprese gli atti amministrativi con valore legale[30]. L'iter del progetto è partito nel febbraio del 2022, con la pubblicazione in Gazzetta Ufficiale del Decreto 8 febbraio 2022, n.58[31] con cui il Ministero per l'Innovazione Tecnologica e la Transizione Digitale ha emanato il regolamento sulla piattaforma, entrato in vigore il successivo 21 giugno 2022[32].
Dopo la sperimentazione iniziale, a luglio del 2023 c'è stato il lancio ufficiale del servizio, con la PND che è stata ribattezzata con il nome di SEND, Servizio Notifiche Digitali[33]. Per le amministrazioni pubbliche il servizio non è obbligatorio, nel senso che un ente può comunque decidere di continuare a notificare il proprio atto amministrativo con la tradizionale raccomandata cartacea. Cittadini e imprese, invece, per ricevere le notifiche digitali devono accedere alla piattaforma usando SPID o CIE e inserire l'indirizzo Pec a cui ricevere gli atti digitali (come notifiche di multe e tributi) al posto delle raccomandate semplici o con ricevuta di ritorno. In alternativa alla Pec, sulla piattaforma si può inserire un’e-mail ordinaria o un numero di cellulare. Infine, un'ulteriore possibilità consiste nel ricevere le notifiche tramite App IO, dopo aver in precedenza abilitato in essa la ricezione delle notifiche digitali da parte della piattaforma. In tutti questi tre casi, il destinatario dell'atto riceve a tali recapiti un avviso di cortesia e ha 5 giorni di tempo per accedere alla piattaforma per vedere l'atto e perfezionare la notifica. Se il destinatario non accede alla piattaforma entro i 5 giorni, oppure se non ha inserito alcun recapito digitale, l’atto gli sarà notificato in forma cartacea tramite raccomandata[34].