Firma digitale usata all’insaputa del titolare: disconoscimento e onere della prova
Pubblicato il 2 settembre 2026
Gli atti societari circolano già sottoscritti. Un verbale di assemblea, la nomina di un liquidatore, una cessione di quote: il file arriva allo studio con la firma digitale applicata, la verifica restituisce l’esito atteso e il documento prosegue verso il registro delle imprese. In quel momento il disconoscimento della firma digitale sembra un’ipotesi di scuola.
Le inchieste dell’estate 2026 hanno mostrato quanto sia meno remota di quel che sembra. In più di un caso il dispositivo di firma è stato usato da chi non ne era titolare, e persone del tutto estranee si sono scoperte amministratori o liquidatori di società che non avevano mai sentito nominare. La verifica tecnica del file non aveva segnalato nulla, ed era corretta.
La domanda che ne discende riguarda chi amministra una società, chi la assiste e chi deposita atti per conto di terzi. La verifica accerta che il certificato fosse valido e che il documento non sia stato alterato dopo la sottoscrizione, non chi avesse in mano il dispositivo. Poiché la legge presume che l’uso sia riconducibile al titolare, chi si ritrova un atto firmato a proprio nome deve provare il contrario, e quella prova non sta nel documento: si costruisce fuori, prima che la contestazione arrivi.
Che cosa dimostra la verifica di una firma digitale, e che cosa non dimostra
La verifica di una firma digitale accerta due fatti tecnici, e uno soltanto dei due riguarda il documento. Il primo è che il certificato associato alla chiave era valido e non revocato nel momento indicato. Il secondo è che il contenuto non è stato modificato dopo l’apposizione della firma, perché l’impronta crittografica ricalcolata sul file coincide con quella sigillata nella busta. L’art. 20 comma 1-bis del Codice dell’amministrazione digitale (d.lgs. 82/2005) collega a questo esito un effetto pesante: il documento informatico così sottoscritto soddisfa il requisito della forma scritta e ha l’efficacia prevista dall’art. 2702 del Codice civile, quindi fa piena prova della provenienza delle dichiarazioni fino a querela di falso. Nessuno dei due controlli, però, dice chi avesse materialmente il dispositivo e il PIN quando la firma è stata apposta. Quella domanda resta fuori dal perimetro della verifica.
Validità del certificato e integrità del documento
I due controlli rispondono a domande diverse. Il primo guarda al certificato: chi lo ha emesso, per quale titolare, entro quale scadenza, e se al momento indicato risultava sospeso o revocato. Il secondo guarda al file, e segnala qualsiasi modifica successiva, anche di un solo carattere. Chi voglia rivedere nel dettaglio come si presenta un documento firmato digitalmente trova altrove la spiegazione completa. Negli atti societari, poi, la firma non è l’unico strumento in gioco: il sigillo riguarda l’organizzazione e non la persona fisica, e la differenza fra sigillo elettronico e firma digitale pesa quando si stabilisce chi abbia assunto un impegno.
Il punto cieco: chi aveva il dispositivo nel momento della firma
A differenza di quanto suggerisce l’esito “firma valida”, il controllo crittografico non registra nulla su chi avesse il dispositivo in mano. Verifica una relazione fra una chiave e un documento, non fra una persona e un gesto. È in questo spazio che si colloca la frode societaria: la chiave è autentica e il documento è integro, ma il firmatario è un altro. Il Tribunale di Palermo, con la sentenza n. 15743/2020 resa in un’opposizione a decreto ingiuntivo, ha fissato il punto in modo netto: chi contesta la propria firma digitale deve provare che il dispositivo non gli appartiene, oppure che è stato utilizzato da altri e contro la sua volontà. L’affermazione generica di non aver mai ceduto la firma a nessuno non basta a superare la presunzione di legge. Chi disconosce, insomma, arriva in udienza già in salita.
Il quadro europeo non offre scorciatoie. Il regolamento (UE) 910/2014 stabilisce all’art. 25 che a una firma elettronica non possono essere negati gli effetti giuridici e l’ammissibilità come prova per il solo motivo della forma elettronica. Regola gli effetti della firma, non l’accertamento di chi l’abbia apposta, che resta materia di diritto processuale nazionale.
Come funziona l’uso indebito della firma digitale
L’uso indebito della firma digitale non richiede di violare la crittografia, che regge. Bastano il dispositivo e il PIN, due oggetti che nella pratica professionale si spostano molto più di quanto la norma preveda. Da lì si firma qualunque cosa a nome del titolare, e il file che ne esce supera ogni verifica.
Il caso del liquidatore nominato a sua insaputa
L’intestazione fittizia di cariche societarie è il punto in cui il meccanismo produce il danno maggiore. Secondo la ricostruzione della Guardia di Finanza di Sala Consilina resa nota l’8 agosto 2026 e ripresa dall’ANSA, l’indagine della Procura di Lagonegro ha portato a nove indagati per falsità materiale commessa da privato e falsità ideologica commessa da pubblico ufficiale in atti pubblici. Nel verbale di assemblea contestato si deliberava la nomina di un liquidatore all’insaputa dell’interessato, con firme digitali riconducibili a due persone che ne hanno disconosciuto l’uso. Un dettaglio ha reso la ricostruzione difficile da smontare: uno dei presunti firmatari non risulta in Italia dal 2016, e le firme contestate sono successive alla sua partenza. Secondo l’ipotesi accusatoria, ancora in fase di indagine, l’operazione puntava a sottrarre circa 120.000 euro fra imposte, interessi e sanzioni. Il Sole 24 Ore descrive il fenomeno come una tendenza in crescita.
La firma lasciata in studio: la delega di fatto e l’obbligo di custodia
La consegna del dispositivo al proprio consulente è la variante quotidiana dello stesso rischio, e la norma non la contempla. L’art. 32 comma 1 del Codice dell’amministrazione digitale elenca tre obblighi del titolare: custodire il dispositivo o gli strumenti per il suo uso remoto, adottare misure organizzative e tecniche idonee a evitare danno ad altri, utilizzarlo personalmente. La firma digitale resta personale anche quando il certificato è stato richiesto per l’attività d’impresa.
Chi lascia la smart card in studio, o comunica il PIN al telefono sotto scadenza, crea una delega di fatto che nessun rapporto professionale rende lecita e che indebolisce in partenza ogni contestazione futura. Il problema tocca anche il consulente, che deposita atti la cui provenienza non è in grado di documentare da sé. Con TrueScreen il professionista che deposita atti per conto di terzi documenta quale versione ha ricevuto e quando, senza dipendere dai registri del prestatore di servizi di firma.
Disconoscimento o querela di falso: che cosa cambia davvero
Sono due strade processuali diverse, e la scelta dipende dalla natura del documento e dal risultato che si vuole ottenere. Il disconoscimento della sottoscrizione riguarda le scritture private e chiama chi contesta a fornire una prova; la querela di falso toglie efficacia a un atto che fa piena prova, in primo luogo l’atto pubblico, con un accertamento valido verso tutti.
| Elemento | Disconoscimento della sottoscrizione | Querela di falso |
|---|---|---|
| Oggetto tipico | Scrittura privata, documento informatico sottoscritto | Atto pubblico, scrittura privata riconosciuta o autenticata |
| Chi deve provare | Il titolare che contesta, per superare la presunzione dell’art. 20 comma 1-ter CAD | Chi propone la querela, in giudizio autonomo o incidentale |
| Effetto se accolto | Il documento perde efficacia fra le parti del giudizio | L’atto è dichiarato falso verso tutti |
| Forma | Contestazione nel primo atto difensivo utile | Procedimento formale, intervento del pubblico ministero |
| Quando conviene | Atto societario contestato prodotto contro il presunto firmatario | Atto transitato per un pubblico ufficiale o iscritto in registri pubblici |
Il disconoscimento e l’onere della prova a carico di chi contesta
Il disconoscimento di una firma digitale non segue la logica dell’art. 214 c.p.c., dove chi contesta una scrittura privata cartacea si limita a negarne la sottoscrizione e tocca a chi la produce chiederne la verificazione. L’art. 20 comma 1-ter del Codice dell’amministrazione digitale stabilisce che l’utilizzo del dispositivo di firma si presume riconducibile al titolare, salvo che questi ne dia prova contraria. La presunzione è relativa, quindi superabile, ma il suo effetto pratico è spostare l’onere della prova sulle spalle di chi disconosce. Chi si vede opporre un atto societario contestato deve dimostrare di non aver firmato, e deve farlo con elementi esterni al file, perché il file lo indica come autore. La posizione è diversa da quella di chi contesta una riproduzione informatica: lì opera il regime dell’art. 2712 c.c., dove il disconoscimento della conformità basta a privare la copia di piena prova.
Quando la strada è la querela di falso
La querela di falso è ammissibile anche per i documenti informatici sottoscritti digitalmente. Il Tribunale di Termini Imerese, con la sentenza n. 53/2021 del 20 gennaio 2021 su firme apposte a contratti di cessione di quote, ha ritenuto superata la presunzione di riconducibilità grazie a un elemento esterno al documento: l’impossibilità materiale per il sottoscrittore di trovarsi nel luogo dichiarato. Il criterio che emerge dalle due pronunce è coerente: la difesa non passa dalla negazione, bensì da fatti verificabili che collocano altrove la persona, il documento o la volontà.
Le prove da costruire prima della contestazione
Le prove utili in un disconoscimento della firma digitale esistono quasi sempre prima che la lite cominci, e quasi mai vengono conservate in forma opponibile. Riguardano il documento e il canale che lo ha trasportato: quale testo circolava in un certo momento, e chi lo aveva mandato a chi.
La versione di riferimento del documento ricevuto
Una versione di riferimento è una copia del documento acquisita nel momento in cui viene prodotto o ricevuto, con la sua impronta crittografica e una marca temporale che ne fissa la data in modo opponibile. Risponde alla domanda che nel contenzioso arriva sempre: il testo depositato è lo stesso che era stato inviato in bozza, oppure fra la bozza e il deposito qualcosa è cambiato?
Il confronto fra due impronte crittografiche non ammette sfumature, perché coincidono o non coincidono. Chi conserva soltanto il file sul proprio computer ha invece una copia priva di data certa, a sua volta contestabile. La stessa logica vale oltre il diritto societario, come mostra la verifica di una fideiussione ricevuta.
La comunicazione che lo ha veicolato
Il secondo elemento è il messaggio che ha portato il documento. Un’email contiene mittente, destinatari, data e allegato, e collega una persona a un testo in un momento preciso: nella contestazione della sottoscrizione quel collegamento vale spesso più del documento, perché mostra chi stava gestendo la pratica.
Anche in questo caso pesa la forma in cui il messaggio viene conservato. Una stampa o un testo copiato altrove resta una riproduzione informatica, esposta al disconoscimento; l’acquisizione forense del messaggio, con i suoi dati tecnici e la catena di custodia, no. Le organizzazioni usano TrueScreen per acquisire in modo forense il documento e la comunicazione che lo ha veicolato, così che in una contestazione esista una versione di riferimento opponibile e indipendente dal dispositivo di firma.
Che cosa si può certificare quando la firma non basta
TrueScreen certifica alla fonte il contenuto e il contesto di un documento nel momento in cui viene prodotto o ricevuto, producendo una versione datata e integra che resta valida anche quando la sottoscrizione viene contestata. L’acquisizione segue una metodologia forense: il documento e lo screenshot della sua ricezione vengono acquisiti, ne viene calcolata l’impronta crittografica, e su questa vengono applicati marca temporale e sigillo elettronico erogati da QTSP terzi, integrati via API, con la catena di custodia conservata insieme al file. Il risultato non riguarda l’identità di chi ha firmato, che resta questione del certificato e del suo titolare, ma il piano su cui la difesa si gioca davvero: quale testo esisteva, in quale forma, in quale momento e dentro quale scambio. È una prova che non dipende dal dispositivo di firma e che quindi non cade insieme a esso, come nella gestione ordinaria dei documenti e contratti sottoscritti digitalmente.
Un consulente riceve via PEC la bozza di un verbale di assemblea che nomina un nuovo liquidatore, e certifica messaggio e allegato al momento della ricezione. Sei mesi dopo il presunto nominato disconosce la sottoscrizione: la copia certificata è l’unica con una data opponibile anteriore al deposito, e dimostra quale testo sia circolato prima della firma. Lo stesso vale per i casi di falso comunicato societario, dove il punto controverso non è la firma ma il contenuto.
FAQ: le domande più frequenti sul disconoscimento della firma digitale
Come si può dimostrare di non aver firmato un documento?
Chi deve provare che la firma digitale è stata usata da un’altra persona?
Che differenza c’è fra il disconoscimento della firma digitale e la querela di falso?
Si può lasciare il dispositivo di firma al proprio commercialista?
È un reato usare la firma digitale di un’altra persona?
Come si dimostra che un documento ricevuto non è stato alterato?
Certifica i documenti che contano, prima che qualcuno li contesti
Con TrueScreen acquisisci e certifichi documenti e comunicazioni con valore legale nel momento in cui li ricevi, con impronta crittografica, marca temporale e catena di custodia.
