Usare la PEC per inviare comunicazioni con valore legale anche negli altri Paesi europei: è il prossimo passo per la posta certificata italiana, ma servono regole e sistemi capaci di funzionare insieme. Il percorso coinvolge il riconoscimento dell’identità degli utenti e la possibilità di scambiare messaggi tra servizi nazionali diversi. Per imprese, professionisti e cittadini, l’obiettivo è rendere più semplici e affidabili anche le comunicazioni oltre confine.
Il 23 aprile 2005 il cofondatore di YouTube Jawed Karim caricava in rete un filmato di meno di venti secondi, girato davanti agli elefanti dello zoo di San Diego, il primo della storia della piattaforma. Cinque giorni dopo, il 28 aprile, la Gazzetta Ufficiale pubblicava il decreto del presidente della Repubblica numero 68, il regolamento che introduceva la Posta Elettronica Certificata, che tutti conosciamo familiarmente come “Pec”.
Comunque, mentre del primo evento si è parlato nel mondo intero, del secondo quasi soltanto tra giuristi e informatici. Ventun anni dopo, la Pec è un’infrastruttura che attraversa imprese, studi professionali, tribunali e uffici comunali del Belpaese, e adesso le tocca un compito per cui non era stata pensata: parlare con i sistemi degli altri paesi.
Una raccomandata senza francobollo
Il regolamento attuava l’articolo 27 della legge 3 del 16 gennaio 2003 e si affiancava a una direttiva del 27 novembre 2003 sull’uso della posta elettronica nelle amministrazioni pubbliche. L’articolo 3 stabilisce che il documento informatico si considera spedito quando arriva al gestore del mittente e consegnato quando è reso disponibile nella casella del destinatario, con un effetto equivalente alla notificazione per posta nei casi previsti dalla legge. A fornire la prova sono le ricevute di accettazione e di avvenuta consegna, firmate dai gestori con firma elettronica avanzata, mentre una busta di trasporto custodisce il messaggio originale.
Sì, perché qui c’è da fare una brevissima digressione: quando parliamo di cose dell’informatica spesso utilizziamo delle metafore per capire di cosa stiamo parlando. La posta elettronica, quella “normale”, in realtà non ha praticamente niente in comune con la posta “vera”, quella fisica. A partire dal concetto di “busta”, che rende privato il messaggio. Ebbene, le email vengono trasmesse in chiaro e chiunque gestisca un server di posta o un suo relay può tranquillamente leggerle (anche se nel tempo sono stati presi vari accorgimenti in maniera tale che questo non possa accadere facilmente).
E poi chiunque può far finita di aver mandato la mail, il mittente può anche non esserci, il destinatario essere nascosto, e via dicendo. La metafora, insomma, è ancora più zoppa del normale. La Pec, invece, da questo punto di vista è più fedele all’originale fatto di atomi e francobolli.
Torniamo alla Pec: i gestori entrarono in un elenco pubblico tenuto dal Centro nazionale per l’informatica nella pubblica amministrazione (Cnipa), da cui discende l’attuale Agenzia per l’Italia digitale (Agid). Uno di questi gestori è Aruba Pec, società del gruppo Aruba nata nel 2006 con questo scopo. Le regole tecniche arrivarono con il decreto ministeriale del 2 novembre 2005, e nel 2011 il sistema è stato descritto, in inglese, anche in un documento informativo della serie Rfc, la numero 6109, dedicato proprio alla posta elettronica certificata italiana.
L’obbligo fa la diffusione
La diffusione è arrivata per via legislativa. Il decreto legge 185 del 29 novembre 2008 impose la casella alle società e ai professionisti iscritti agli albi, questi ultimi entro il 29 novembre 2009. Il decreto legge 179 del 18 ottobre 2012 estese l’obbligo alle imprese individuali, e un decreto del ministero dello Sviluppo economico del 19 marzo 2013 istituì l’Indice nazionale degli indirizzi Pec delle imprese e dei professionisti (Ini-Pec), consultabile da chiunque. Dal 1 luglio 2013 le imprese comunicano con la pubblica amministrazione soltanto tramite Pec, e nel 2020 il decreto Semplificazioni ha rafforzato l’obbligo per tutte le imprese, con sanzioni più severe per chi non lo rispetta.
Venti milioni di caselle
I numeri presentati al convegno romano dei giorni scorsi promosso da Aruba arrivano dalla ricerca della società di analisi di mercato Idc, illustrata da Massimiliano Claps, direttore della ricerca della società: oltre 20 milioni di caselle attive e circa 3,5 miliardi di messaggi nel 2026, quasi 9,6 milioni al giorno. Il 60 per cento delle amministrazioni intervistate la usa ogni giorno nei rapporti con altri enti, il 78 per cento dei professionisti ogni giorno o ogni settimana, il 45 per cento dei privati almeno una volta al mese anche senza obblighi. Mario Nobile, direttore generale di Agid, ha messo a confronto i 20 milioni di caselle con i circa 59 milioni di abitanti.
Il confronto chiede cautela, perché una casella non equivale a una persona: imprese, studi e uffici pubblici possono averne più d’una, un privato può non averne nessuna. Aruba ne dichiara circa 10 milioni, vicino alla metà del totale stimato da Idc. Le due cifre vengono da fonti diverse e il confronto è indicativo.
Il limite dell’identità
Il punto debole sta nella registrazione. L’Agid ha spiegato che la Pec soddisfa i requisiti del regolamento europeo eIDAS (Ue 910/2014) per il servizio elettronico di recapito certificato, ma non quelli del servizio qualificato, perché non prevede la verifica certa dell’identità di chi apre la casella. Il valore legale vale poi soltanto tra caselle Pec. Per Idc, il 55 per cento delle organizzazioni indica la mancanza di interoperabilità internazionale tra le barriere all’uso, e il 67 per cento ritiene che un’estensione europea migliorerebbe la certezza legale e la conformità nelle comunicazioni oltre confine.
La strada era già stata aperta. Con il decreto legislativo 217 del 2017 il Codice dell’amministrazione digitale ha ammesso, dove la legge consente la Pec, anche il servizio di recapito certificato qualificato, e il 14 giugno 2021 l’Agid ha pubblicato una proposta di regole tecniche basate sugli standard dell’Istituto europeo per le norme di telecomunicazione (Etsi), elaborata con i gestori Pec.
Il portafoglio europeo
Il regolamento eIDAS 2 (Ue 2024/1183), in vigore dal 20 maggio 2024, introduce il portafoglio europeo di identità digitale, di cui abbiamo parlato qui, che entro la fine del 2026 ogni Stato membro dovrà mettere a disposizione, e rafforza i servizi di recapito qualificato. A Roma Roberto Viola, direttore generale della direzione Connect della Commissione europea, ha riconosciuto nella Pec un’esperienza che ha contribuito a definire gli standard europei, indicando come passo successivo il Business Wallet.
La proposta, presentata dalla Commissione il 19 novembre 2025, dovrebbe riunire identità digitale delle imprese, firma, attestazioni verificabili e comunicazione sicura con valore legale. Le pubbliche amministrazioni sarebbero tenute ad accettarlo, le imprese invece rimarrebbero libere di usarlo o no, e il testo segue la procedura legislativa ordinaria, con il passaggio da Parlamento europeo e Consiglio dell’Unione europea.
Il sottosegretario alla presidenza del Consiglio con delega all’Innovazione tecnologica Alessio Butti, in un videomessaggio, ha chiesto una transizione senza oneri sproporzionati per gli utenti e ha riassunto il percorso in una formula: «rimanere italiano nelle competenze, diventare europeo nella dimensione».
Chi deve adeguarsi
Sul versante dei tribunali, Edoardo Buonvino, del Dipartimento per l’innovazione tecnologica della giustizia, ha ricordato che la Pec è già parte del processo telematico civile e penale: gli avvocati depositano gli atti attraverso questo canale e, con il “Tribunale online“, anche i cittadini che agiscono senza difensore. A suo giudizio l’Italia arriva al passaggio in posizione di vantaggio, con gestori già qualificati secondo lo standard europeo e norme processuali che prevedono il recapito qualificato accanto alla Pec.
Sul versante dei gestori, al confronto europeo hanno partecipato tra gli altri Aruba, Asseco, InfoCert ed Evrotrust Technologies. Aruba e Asseco hanno poi presentato una prova di concetto sulla comunicazione transfrontaliera, che parte dall’esperienza dei sistemi italiano e polacco e studia modelli condivisi di indirizzamento e condizioni commerciali sostenibili. Il direttore generale di Aruba Stefano Sordi ha indicato nel patrimonio di competenze e infrastrutture già costruito il punto di partenza.
Comunque, per quanto riguarda la nascita di YouTube il filmato dello zoo durava meno di venti secondi e si poteva guardare da qualsiasi paese. Una Pec spedita da Milano ha pieno valore legale solo se la casella di arrivo risponde alle regole italiane. L’obiettivo è alzare il livello almeno a quello europeo. Nei prossimi anni si gioca la partita chiave per farlo.
