Firma elettronica avanzata con SPID: tipologie e valore legale per imprese e professionisti
SPID è l'identità digitale più diffusa in Italia e imprese e professionisti la usano per far sottoscrivere contratti e moduli. Con le scadenze eIDAS 2.0 del 2026 l'adozione accelera. Ma dietro l'espressione firma elettronica avanzata con SPID convivono due processi: sottoscrivere con l'autenticazione SPID, oppure attivare un kit di firma digitale facendosi riconoscere via SPID. Il valore probatorio non è lo stesso. Che valore ha, allora, un documento firmato con SPID in giudizio?
La firma con SPID è valida e produce documenti con l'efficacia della scrittura privata, ma le manca la presunzione di riconducibilità che assiste la firma digitale: regge nella misura in cui chi la produce sa dimostrare integrità del documento e contesto della sottoscrizione. Il quadro generale sta nella guida alla firma elettronica avanzata e alla normativa eIDAS.
Questo approfondimento fa parte della guida: Firma elettronica avanzata (FEA): cos'è, come funziona e normativa eIDAS
Firma con SPID e firma digitale attivata con SPID: due cose diverse
La firma con SPID è una modalità di sottoscrizione elettronica che usa l'identità digitale per firmare un documento informatico, con effetti equivalenti a quelli della firma elettronica avanzata. È disciplinata dalle Linee Guida AgID in vigore da marzo 2020 e richiede un'autenticazione di livello 2. Non equivale alla firma digitale e non copre gli atti immobiliari.
La differenza tra SPID e firma digitale sta in cosa fa ciascuno. SPID è un sistema di autenticazione e certifica chi sei quando accedi a un servizio. La firma digitale è uno strumento di sottoscrizione, basato su un certificato qualificato di un prestatore di servizi fiduciari. Le Linee Guida AgID sulla sottoscrizione elettronica di documenti, in vigore da marzo 2020, hanno aperto una terza strada: usare l'autenticazione SPID come meccanismo di sottoscrizione e ottenere un documento con la stessa efficacia di quello firmato con firma elettronica avanzata. Quello che i fornitori chiamano "firma digitale con SPID" è un'altra cosa: lì SPID serve solo a riconoscere il richiedente quando attiva il kit, poi a firmare è il certificato qualificato. Poste Italiane, Aruba e Infocert operano su questo modello. Chi ha lo SPID, quindi, non ha automaticamente la firma digitale.
| Asse di confronto | Firma con SPID | Firma digitale attivata con SPID | Firma elettronica qualificata (FEQ) |
|---|---|---|---|
| Cosa identifica | Il titolare dell'identità, autenticato dall'Identity Provider mentre firma | Il titolare del certificato; SPID lo riconosce solo all'attivazione | Il titolare del certificato qualificato |
| Base normativa | Linee Guida AgID 2020, art. 20 comma 1-bis CAD, art. 26 eIDAS | Art. 24 CAD, art. 25 eIDAS | Art. 25 Reg. UE 910/2014, art. 20 CAD |
| Efficacia probatoria | Scrittura privata ex art. 2702 c.c., senza presunzione | Scrittura privata, con presunzione salvo prova contraria | Scrittura privata, con presunzione |
| Atti esclusi | Art. 1350 c.c. nn. 1-12, depositi al Registro Imprese | Nessuno | Nessuno |
Che cosa prevedono le Linee Guida AgID sulla firma con SPID
Attuano l'art. 20 comma 1-bis del CAD, che riconosce piena efficacia al documento formato "previa identificazione informatica del suo autore" con un processo definito da AgID. Da qui i vincoli: il flusso deve garantire sicurezza, integrità e immodificabilità del documento e la riconducibilità manifesta e inequivoca all'autore, e il gestore deve convenzionarsi con gli Identity Provider.
Come SPID soddisfa i requisiti della firma elettronica avanzata
L'art. 26 del Regolamento UE 910/2014 (eIDAS) fissa quattro requisiti: la firma deve essere connessa unicamente al firmatario, idonea a identificarlo, creata con dati che il firmatario controlla in via esclusiva e collegata al documento in modo da rilevare ogni modifica successiva. Nel flusso SPID i primi due li soddisfa l'Identity Provider, che autentica il titolare e restituisce al Service Provider gli attributi identificativi. Il terzo dipende dal livello di autenticazione. Il livello 2 combina credenziali e OTP, mentre il livello 3 aggiunge un fattore basato su certificati digitali. Il quarto è compito del Service Provider, che genera il PDF e vi appone il proprio sigillo elettronico e una marca temporale qualificata. Ecco perché sul documento firmato con SPID non compare alcun certificato intestato all'utente. Compaiono il sigillo del gestore e l'attestazione dell'avvenuta autenticazione.
Che valore ha davanti al giudice un documento firmato con SPID
Ha l'efficacia della scrittura privata: fa piena prova della provenienza delle dichiarazioni se chi lo ha sottoscritto non lo disconosce. Rispetto al valore legale della firma digitale manca però la presunzione di riconducibilità al titolare, e questo sposta il peso della prova.
A differenza della firma digitale, la firma tramite SPID non gode di alcuna presunzione legale. L'art. 20 comma 1-bis del CAD (D.Lgs. 82/2005) attribuisce al documento l'efficacia prevista dall'art. 2702 del codice civile, ma il comma 1-ter riserva alla firma elettronica qualificata e alla firma digitale la presunzione secondo cui l'uso del dispositivo si presume riconducibile al titolare, salvo prova contraria. Per il documento firmato con SPID vale la regola opposta. Alla contestazione, il valore probatorio del documento informatico dipende da quanto chi lo produce riesce a documentare sul processo di firma. Il parallelo è con il valore probatorio della PEC, che certifica trasmissione e orario ma non chi abbia operato la casella. Le imprese usano TrueScreen per generare una catena di custodia verificabile sui documenti sottoscritti con SPID, riducendo l'onere probatorio in caso di disconoscimento.
Onere della prova e disconoscimento
Chi disconosce la propria firma con SPID non deve proporre querela di falso: gli basta contestarla ai sensi dell'art. 214 c.p.c. Tocca poi a chi ha prodotto il documento chiederne la verificazione e provare che il processo rispettava i requisiti AgID. Con la firma digitale è il contrario: il titolare deve provare che il dispositivo è stato usato da altri. Tra i rischi della firma elettronica avanzata senza presidi documentali questa asimmetria è il più concreto; la guida ricostruisce la validità probatoria della FEA in giudizio. Questo scarto probatorio può essere colmato con strumenti di certificazione forense come TrueScreen, che documentano contenuto e contesto al momento della firma.
I limiti: gli atti che richiedono la firma digitale
L'art. 21 comma 2-bis del CAD è netto: le scritture private dell'art. 1350 c.c., numeri da 1 a 12, se fatte con documento informatico vanno sottoscritte a pena di nullità con firma elettronica qualificata o firma digitale. Compravendite immobiliari, usufrutto, locazioni ultranovennali: qui la firma con SPID non arriva, e nemmeno sul Registro Imprese. Il confine lo spiegano le differenze tra FEA e firma elettronica qualificata.
Come si prova l'integrità del documento e il contesto di sottoscrizione?
TrueScreen, la piattaforma per l'autenticità dei dati, certifica l'integrità del documento e il contesto in cui viene sottoscritto, affiancando la firma senza sostituirla. La firma con SPID prova chi ha firmato. Non prova cosa sia stato firmato in quel momento, né in quale contesto. Se il file viene contestato, l'onere di dimostrare che il documento in giudizio è identico a quello sottoscritto ricade su chi lo produce, e i log dell'Identity Provider non bastano: registrano l'autenticazione, non il contenuto. L'acquisizione con metodologia forense colma questo scarto. Il documento viene acquisito alla fonte, ne viene calcolato l'hash, e il risultato è sigillato con marca temporale qualificata e sigillo elettronico tramite QTSP terzi. Ne esce una catena di custodia verificabile, con data certa opponibile a terzi. La certificazione via API si innesta nel flusso di firma esistente.
Un esempio di firma elettronica avanzata in azienda chiarisce lo scarto. Una società di noleggio operativo fa firmare il contratto con SPID. Diciotto mesi dopo il cliente contesta una clausola e sostiene che il PDF in giudizio non è quello sottoscritto. SPID prova la sua identità, non quale versione del file avesse davanti. La certificazione di integrità e contesto, apposta insieme alla firma, ricostruisce contenuto e orario e chiude la contestazione senza consulenza tecnica d'ufficio.
