Chiedersi se una raccomandata digitale via WhatsApp possa sostituire una PEC è più che legittimo, visto che sul mercato spuntano di continuo servizi che promettono comunicazioni “certificate” via email, SMS e app di messaggistica, con tanto di ricevute, marche temporali e firme elettroniche. Il punto è che si rischia di mettere sullo stesso piano strumenti profondamente diversi, e la confusione qui costa cara. Un messaggio inviato tramite un’app di chat può dimostrare che una conversazione è esistita, certo, ma non basta a stabilire con certezza chi c’era dall’altra parte del telefono.
Facciamo un passo indietro. Una PEC certifica alcuni eventi. Una firma digitale ne certifica altri. Una marca temporale prova quando un documento esisteva. Un SERC documenta il recapito elettronico, e la sua versione qualificata aggiunge requisiti e presunzioni previsti dal Regolamento eIDAS. WhatsApp, di suo, resta soltanto un canale. Il suo eventuale valore giuridico non nasce dall’app in sé, ma dall’infrastruttura che registra e certifica ciò che accade prima, durante e dopo l’invio. Le domande giuste da porsi sono quattro: quale identità viene verificata, quale contenuto è certificato, cosa prova davvero la ricevuta e quale parte del servizio è qualificata.
Il principio di base è semplice. Email, PEC, SMS e WhatsApp sono prima di tutto canali. Il fatto che un messaggio passi da uno di questi non gli assegna in automatico un valore legale. Una normale email può essere convincente se il destinatario risponde riconoscendone il contenuto. Una PEC può risultare inutile se spedita all’indirizzo sbagliato. Ciò che cambia la forza della prova è il sistema costruito attorno al canale: identificazione delle parti, registrazione degli eventi, collegamento tra ricevute e documento, firme e sigilli, validazioni temporali, conservazione delle evidenze e disciplina legale applicabile.
PEC, REM, SERC e SERCQ: le sigle da conoscere
La PEC, ormai arcinota, è il sistema italiano di posta elettronica certificata. Quando due caselle PEC si scambiano un messaggio, il sistema produce una ricevuta di accettazione generata dal gestore del mittente, una ricevuta di avvenuta consegna generata dal gestore del destinatario ed eventuali avvisi di mancata consegna. Attenzione però: documenta la consegna nella casella, non la lettura. Il messaggio si considera recapitato anche se il titolare non apre nulla. E la ricevuta non stabilisce che la richiesta del mittente sia fondata, né che l’allegato sia valido.
REM sta per Registered Electronic Mail, il modello tecnico europeo di recapito certificato basato su standard comuni. In Italia si parla di REM-IT per indicare l’evoluzione della PEC verso questi standard. Serve a rafforzare l’identificazione di mittente e destinatario, l’interoperabilità tra prestatori europei e il riconoscimento transfrontaliero. AgID ha chiarito che la PEC soddisfa i requisiti di un servizio di recapito certificato, ma non tutti quelli del servizio qualificato europeo. Il nodo è proprio la verifica certa dell’identità del titolare, e REM-IT colma questo vuoto. Occhio: adottare gli standard REM non significa essere automaticamente qualificati. Diciture come “REM-ready” o “PEC europea” da sole non bastano.
Il SERC è il servizio elettronico di recapito certificato previsto da eIDAS, in inglese ERDS. Trasmette dati e genera evidenze su invio e ricezione. L’articolo 43 di eIDAS stabilisce che a questi dati non si possono negare effetti giuridici solo perché elettronici. Tradotto: il giudice non può scartare la prova per il semplice fatto che sia digitale, anche se poi ne valuta il peso concreto. Il SERCQ, o QERDS, è la versione qualificata, erogata da un prestatore qualificato con requisiti stringenti su identificazione, sicurezza, integrità e informazioni temporali. Qui il destinatario va identificato prima della consegna con un livello di affidabilità elevato. Il QTSP, infine, è il prestatore autorizzato e vigilato, ma non tutto ciò che vende è per forza qualificato: solo la Trusted List permette di verificare i singoli servizi e il loro stato alla data dell’operazione.