Domicilio digitale, Sassetti: “Il ruolo della Pec rimarrà centrale”

Come previsto dal regolamento Eidas con il nuovo anno, una volta ufficializzato lo standard Rem (Registered electronic mail) già individuato, entrerà in vigore su scala Ue il nuovo sistema di recapito certificato qualificato: ma non dobbiamo cadere nell’errore di pensare che possa mandare in pensione o sostituire da un giorno all’altro la Pec, che dopo un lungo periodo di gestazione ha finalmente iniziato a prendere piede in Italia, consentendo al nostro Paese di essere all’avanguardia a livello europeo. Il recapito certificato qualificato, infatti, sarà obbligatorio soltanto per le pubbliche amministrazioni o le aziende che dovranno scambiare informazioni o documento con l’estero e su scala comunitaria, mentre a livello nazionale rimarrà assolutamente valida la Pec. Sia la Posta elettronica certificata sia il Sercq (Servizio elettronico di recapito certificato qualificato), inoltre, potranno essere indicati dai cittadini per l’elezione del proprio domicilio digitale, il luogo cioè in cui ricevere le proprie “comunicazioni”.

A spiegare cosa sta succedendo è in un’intervista a CorCom, Andrea Sassetti (nella foto sopra), direttore dei Servizi di Certificazione di Aruba: “Il nuovo meccanismo di trasmissione e comunicazione, il Sercq – sottolinea –  è in grado di garantire un’efficacia probatoria, certificando chi è il soggetto che invia e chi è il soggetto che riceve una comunicazione oltre che l’integrità del messaggio. Si tratta quindi di una sorta di Pec, arricchita però con la garanzia dell’identità di mittente e destinatario della comunicazione, che sarà necessaria esclusivamente in un numero limitato di comunicazioni”

Sassetti, cosa manca ancora per arrivare al sistema di recapito certificato qualificato?

A oggi ci sono ancora da risolvere implicazioni operative sulla usabilità dello strumento: i sistemi Serc o Sercq sono già in vigore, è possibile per qualsiasi soggetto proporre un sistema di recapito certificato qualificato, ma il problema è che a oggi la Commissione Ue non ha ancora dato ufficialità ad alcuni requisiti tecnici attraverso i quali soddisfare il regolamento Eidas. Ad oggi infatti in Europa esistono cinque sistemi di recapito certificato qualificato, ma si tratta di soluzioni proprietarie e non interoperabili, messe in campo in Belgio, Germania, Francia e Slovenia. Ma ciò che ci si attende da uno strumento del genere è di poterlo utilizzare su scala transnazionale, e in Italia oggi non è ancora possibile.

 Quali sono le differenze, per gli utenti e per le aziende, rispetto agli strumenti già esistenti, in primis la Posta elettronica certificata?  

Intanto il recapito certificato qualificato introduce una user experience differente, più complicata. Oggi la Pec certifica il canale di comunicazione, e può essere utilizzata con interfacce web o client di posta elettronica tradizionali. Per introdurre il meccanismo di identificazione certa del titolare della casella c’è bisogno di uno strumento di strong authentication, che non può fare altro che appesantire la user experience e richiede l’utilizzo di strumenti custom realizzati dal gestore che eroga il servizio. Questo in un contesto in cui per molte occasioni sarebbe invece sufficiente la casella Pec, senza necessità di ulteriori step che potrebbero allontanare l’utente dallo strumento, vuoi per maggiore complessità, o in generale per ulteriori oneri tecnologici ed economici.

L’introduzione del domicilio digitale rischia di mandare in pensione la Pec?

Al di là di alcune interpretazioni che ho visto circolare anch’io, credo piuttosto che l’obiettivo sia quello di incentivare l’utilizzo della Pec: il domicilio digitale darà certamente un nuovo impulso alla posta elettronica certificata, che verrà affiancata dal nuovo servizio di recapito certificato qualificato.

D’altra parte non sarebbe controproducente mandare in soffitta uno strumento che proprio ora, dopo una serie di difficoltà, iniziava a prendere piede?

Sì ma non credo che nulla di tutto ciò sia effettivamente all’ordine del giorno. Si tratta di un equivoco provocato dal fatto che sull’aspetto normativo-tecnologico ci sono lacune diffuse. Confrontare o mettere sullo stesso piano il domicilio digitale con la Pec è infatti impossibile: la Pec è lo strumento attraverso il quale si usufruisce del domicilio digitale.

Qual è dal suo punto di vista il possibile scenario di coesistenza di Pec e servizi di recapito certificati qualificati?

Le possibilità sono essenzialmente tre. La prima è l’esistenza di due sistemi separati che convivono procedendo in parallelo. Ma è chiaro che dovrebbe trattarsi di sistemi che siano interoperabili a partire dallo standard Rem, perché non è pensabile dividere invece di unire. Questo vorrà dire che si potrà decidere di utilizzare lo standard Rem ogni volta che sarà richiesto per il servizio certificato qualificato, rimanendo invece sulla Pec per l’ordinario. Il secondo scenario è quello dell’adeguamento della Pec al recapito qualificato, facendo di fatto evolvere l’attuale sistema Pec, che dovrà integrarsi con un sistema di strong authentication, ma questo rischierebbe di non essere interoperabile con lo standard Rem, oltre a richiedere una serie di modifiche da parte di Agid. Infine, il terzo e ultimo scenario prevede la confluenza della Pec in un sistema di recapito certificato qualificato standard Rem: in questo caso si avrebbe un impatto enorme per tutti coloro che hanno già integrato la Pec nei loro processi e sistemi, sarebbe come ricominciare da zero mettendo da parte un sistema che la PA oggi utilizza in maniera efficace ed efficiente, che è diffuso ormai tra professionisti e aziende, e soprattutto, tra i cittadini, perché semplifica la vita ed è conveniente. I numeri sono in crescita, per Aruba si parla di oltre 5 milioni di caselle PEC amministrate e iniziano ad arrivare richieste anche dai privati cittadini.

Sembra quindi ovvio che non si potrà che partire dalla coesistenza…

Almeno in una prima fase non si potrà prescindere dal primo scenario, perché non è possibile pensare a un piano di migrazione che elimini la Pec, che avrebbe costi troppo alti per i soggetti coinvolti, a partire dalla Pubblica Amministrazione, al di là degli aspetti tecnologici. Il rischio è di fare tre passi indietro piuttosto che farne uno in avanti. In un secondo momento, quando si capirà che l’integrazione potrà essere ammortata in un piano di migrazione, si vedrà, anche analizzando la reale diffusione del recapito qualificato e di quello che richiederà il mercato. Il principio è che non avrebbe senso effettuare oggi una scelta a priori, soprattutto in un Paese che per la posta certificata è un’eccellenza in Europa, con una diffusione di gran lunga superiore ai sistemi utilizzati nel resto dei paesi della Comunità europea: un fiore all’occhiello per Agid e per tutti i gestori come Aruba che in questi anni hanno dimostrato di crederci.

Qual è stato il ruolo dell’Italia nella definizione dei criteri per il domicilio certificato qualificato?

In realtà, proprio grazie all’esperienza della Pec, avremmo potuto proporci come capofila, per proporre uno standard tecnologico che fosse ancor più vicino alla Pec, ma probabilmente ci saremmo dovuti muovere in anticipo. In ogni caso c’è una base di compatibilità tra lo standard Rem e quello della Pec, per quanto alcuni aggiornamenti saranno necessari.

Aruba è tra i principali provider di Pec nel nostro Paese. Come vi state attrezzando per il nuovo scenario che sta prendendo forma in questo 2019?

Stiamo lavorando per offrire da subito i nuovi servizi, e ci aspettiamo una spinta che arriverà più in generale dalle norme sul domicilio digitale. Abbiamo dato vita a investimenti specifici, con un gruppo di lavoro esclusivamente dedicato al recapito qualificato, sia dal punto di vista normativo, sia tecnologico. La percezione che abbiamo oggi è che non ci sia in Italia un urgente bisogno di modificare il sistema: al momento i professionisti usano la PEC, il sistema che si è creato ormai funziona ed è adottato dalla stragrande maggioranza. In ambito PA, poi, c’è il timore di dover reintegrare e modificare di nuovo processi e sistemi: rimane quindi la consapevolezza di utilizzare uno strumento di comunicazione ormai testato ed efficace.