Firmare PDF digitalmente: come farlo con valore legale

Firmare un PDF digitalmente con valore legale significa apporre sul file una firma elettronica qualificata o una firma digitale, generata con un certificato valido rilasciato da un prestatore qualificato, di norma nel formato PAdES, che lascia il documento un normale PDF leggibile da chiunque. Un'immagine della firma incollata nel file, invece, non ha lo stesso valore. Questo articolo spiega quale livello di firma serve, come si firma un PDF in pratica, come si verifica la firma ricevuta e quali errori rendono inutile la sottoscrizione.

Quale firma serve per firmare un PDF con valore legale

La parola «firma digitale» viene usata per molte cose diverse. Il quadro europeo, il regolamento eIDAS, distingue tre livelli di firma elettronica: semplice, avanzata e qualificata. Li abbiamo descritti nella guida alla firma elettronica. Il livello più alto, la firma elettronica qualificata, è l'unico a cui l'articolo 25 del regolamento eIDAS riconosce effetti giuridici equivalenti a quelli della firma autografa; la firma digitale italiana ne è una specie.

Per molti contratti tra imprese anche una firma di livello inferiore può bastare, ma ci sono atti per cui il livello qualificato è obbligatorio. Il Codice dell'Amministrazione Digitale (CAD), all'art. 21, comma 2-bis, prevede che gli atti elencati ai numeri da 1 a 12 dell'art. 1350 del codice civile, quando sono redatti come documento informatico, siano sottoscritti a pena di nullità con firma elettronica qualificata o firma digitale, salvo i casi di autentica. Sono, tra gli altri, gli atti che trasferiscono la proprietà di beni immobili. Prima di firmare un PDF importante, quindi, conviene chiedersi quale forma richieda quel tipo di atto, e nel dubbio verificarlo con il proprio consulente.

Come firmare un PDF digitalmente: i passaggi

1. Procurarsi un certificato di firma qualificata

La firma digitale si ottiene da un prestatore di servizi fiduciari qualificato: l'Agenzia per l'Italia Digitale pubblica l'elenco dei prestatori qualificati. Il certificato può risiedere su un dispositivo fisico, come una smart card o un token USB, oppure su un server del prestatore, nel caso della firma remota: in questo secondo caso si firma da qualunque computer con le credenziali e un codice temporaneo. Il riconoscimento della persona avviene al momento del rilascio.

2. Preparare il PDF definitivo

Il documento va firmato nella sua versione finale. Revisioni, commenti e campi da compilare vanno chiusi prima: qualunque modifica al contenuto dopo la firma fa fallire la verifica, perché la firma protegge proprio l'integrità del file così com'era al momento della sottoscrizione.

3. Scegliere il formato PAdES

Con il software di firma fornito dal prestatore, o con un'applicazione compatibile, si sceglie il formato. Per un PDF la scelta naturale è PAdES: la firma viene incorporata nel file, che resta un PDF con la sua estensione e si apre con i comuni lettori, come descrive anche la guida AgID sulle firme multiple. È possibile, se si vuole, aggiungere un riquadro visibile con il nome del firmatario.

4. Firmare e conservare

Si conferma con il PIN o con il codice temporaneo della firma remota. Il risultato è un nuovo file firmato: è quello, e non l'originale, che va inviato alla controparte e archiviato.

PAdES o CAdES (.p7m): quale scegliere

L'alternativa a PAdES è CAdES, che produce un file con estensione .p7m: il documento originale viene racchiuso in una busta informatica insieme alla firma, e per aprirlo serve un software di verifica. CAdES funziona con qualunque tipo di file, non solo con i PDF, ed è ancora richiesto da alcuni uffici pubblici e sistemi.

Sul piano legale i due formati si equivalgono: anche le Sezioni Unite della Cassazione, come riporta Diritto.it, hanno ritenuto le firme PAdES e CAdES entrambe ammesse ed equivalenti. La scelta è pratica: PAdES quando il destinatario deve semplicemente leggere un PDF, CAdES quando è il destinatario a richiederlo.

Più firmatari sullo stesso PDF

Un contratto ha quasi sempre almeno due firmatari. Con PAdES le firme si aggiungono in sequenza sullo stesso file: il primo firma, invia il PDF firmato, il secondo firma quel file senza modificarne il contenuto, e così via. Ogni firma copre il documento come era nel momento in cui è stata apposta. L'errore tipico è far firmare a ciascuno una copia diversa dell'originale: si ottengono più file firmati da una sola persona, non un documento firmato da tutti.

Quando i firmatari sono molti, conviene definire prima l'ordine e chi raccoglie il file finale: è il tema di un workflow approvativo ben costruito, dove il giro delle firme non dipende dalla catena delle email.

Come verificare un PDF firmato

Ricevere un PDF «firmato» non basta: la firma va verificata. La verifica controlla tre cose: che il documento non sia stato modificato dopo la firma, chi è il firmatario e se il certificato era valido al momento della sottoscrizione. I lettori PDF più diffusi mostrano un pannello delle firme; per un controllo completo si usa un software di verifica conforme, spesso messo a disposizione dagli stessi prestatori qualificati.

L'ultimo punto conta più di quanto sembri: l'art. 24, comma 4-bis, del CAD stabilisce che una firma basata su un certificato revocato, scaduto o sospeso equivale a mancata sottoscrizione.

Gli errori più comuni

• Incollare l'immagine della firma: è comodo, ma non è una firma digitale e non garantisce né l'identità né l'integrità del documento.
• Firmare una bozza: ogni correzione successiva invalida la firma e costringe a ripartire.
• Stampare il PDF firmato e scansionarlo: la copia cartacea perde la firma digitale, che vive solo nel file.
• Non controllare la scadenza del certificato: un certificato scaduto equivale a non aver firmato.
• Archiviare l'originale invece della versione firmata: in caso di contestazione, conta il file con la firma.

Domande frequenti

Che differenza c'è tra un PDF firmato in PAdES e un file .p7m? Con PAdES la firma è incorporata nel PDF, che resta apribile con un normale lettore; con CAdES il documento viene racchiuso in una busta .p7m che richiede un software di verifica. Il valore legale è lo stesso.

Inserire l'immagine della propria firma in un PDF equivale a firmarlo digitalmente? No. Un'immagine della firma autografa incollata nel file non è una firma digitale: non identifica il firmatario in modo certo e non protegge il documento da modifiche successive.

Una firma apposta con certificato scaduto è valida? No: secondo il Codice dell'amministrazione digitale, la firma basata su un certificato revocato, scaduto o sospeso equivale a mancata sottoscrizione.

Raccogliere firme su un PDF via email significa rincorrere versioni e allegati: in Accordyx il contratto approvato parte per la firma dalla piattaforma e il documento firmato torna archiviato accanto alle sue scadenze. → Firma digitale dei contratti