Firma Elettronica Avanzata (FEA)

La Firma Elettronica Avanzata(art. 26 Regolamento UE 910/2014 «eIDAS» e artt. 55-61 DPCM 22/2/2013) è una firma elettronica che garantisce la connessione univoca al firmatario, la sua identificazione, il controllo esclusivo del mezzo di firma e l'integrità del documento firmato. Sul piano probatorio soddisfa il requisito della forma scritta ai sensi dell'art. 20 del CAD.

1. Verifica OTP: prima di firmare, il firmatario riceve un codice usa-e-getta (via SMS o email) e lo inserisce nel modulo. Il codice è personale, ha validità di 10 minuti e viene conservato solo in forma cifrata (hash).
2. Documento d'identità:il firmatario carica una foto di un documento di riconoscimento in corso di validità, come richiesto dall'art. 57 c.1 lett. a del DPCM.
3. Dichiarazione di accettazione:il firmatario accetta espressamente le condizioni del servizio FEA prima dell'invio (art. 57 c.1 lett. b).
4. Firma e sigillo di integrità:il modulo firmato viene «fotografato» con un'impronta crittografica SHA-256: qualunque modifica successiva del contenuto è rilevabile.

Per ogni firma viene generata un'attestazioneriportata nel PDF: contatto verificato (parzialmente mascherato), canale, data e ora della verifica, indirizzo IP, impronta SHA-256 del documento, identificativo univoco della verifica, esito dell'acquisizione del documento e versione della dichiarazione accettata.

• copia del documento d'identità e dichiarazione di accettazione sono conservate per 20 anni (art. 57 c.1 lett. c DPCM) su storage cifrato, non accessibile pubblicamente;
• il PDF firmato è archiviato per il periodo configurato dal titolare dell'attività (minimo di legge per il settore, es. 5 anni per i consensi tatuaggio) e poi distrutto automaticamente;
• il firmatario può richiedere gratuitamentecopia della dichiarazione di accettazione e del modulo firmato all'attività presso cui ha firmato (art. 57 c.1 lett. e).

Ai sensi dell'art. 60 del DPCM 22/2/2013, la FEA così realizzata è utilizzabile limitatamente ai rapporti giuridici intercorrenti tra il firmatario e l'attivitàche eroga la soluzione (lo studio o l'esercente che raccoglie il consenso). Non sostituisce la firma digitale qualificata nei casi in cui la legge la richieda espressamente.