Dichiarazioni fiscali – Sottoscrizione e conservazione – Non idoneità delle firme elettroniche semplici – Decreto del Presidente della Repubblica 22 luglio 1998, n. 322 e D.M. 17 giugno 2014 – Risposta n. 1 del 30 agosto 2023 dell’Agenzia delle Entrate

Dichiarazioni fiscali – Sottoscrizione e conservazione – Non idoneità delle firme elettroniche semplici – Decreto del Presidente della Repubblica 22 luglio 1998, n. 322 e D.M. 17 giugno 2014

Con la consulenza giuridica specificata in oggetto, è stato esposto il seguente

Quesito

[ALFA], nel prosieguo istante, fa presente quanto qui di seguito sinteticamente riportato.

Premesso che i «contribuenti ed i sostituti d’imposta sono tenuti a conservare “(…) la dichiarazione debitamente sottoscritta (…)”», l’istante chiede l’avallo dall’Agenzia delle entrate sul processo di sottoscrizione elettronica «che si intende adottare per consentire al contribuente di sottoscrivere il modello dichiarativo», ossia «l’impiego di una firma elettronica semplice (detta anche debole o leggera) generata tramite invio al contribuente firmatario di un messaggio di posta elettronica contenente un link per accedere direttamente ad apposita piattaforma web fruibile in modalità cloud computing, con successiva richiesta di digitare un codice OTP (One Time Password) ricevuto sul proprio numero di telefono mobile (smartphone).».

In particolare, tale processo «può essere sintetizzato nei seguenti 5 passaggi chiave:

1) comunicazione inviata alla clientela da parte degli intermediari abilitati, con la quale si informano dell’impiego di una piattaforma cloud accessibile tramite link presente in un messaggio di posta elettronica che sarà trasmesso telematicamente, utile a consegnare telematicamente il modello dichiarativo, così come previsto dalla risposta a interpello n. 97 del 6 dicembre 2018, oltre che consentire loro di poterlo sottoscrivere tramite l’ausilio di una firma elettronica semplice generata tramite digitazione del codice OTP inviato al numero di telefono mobile dichiarato dal contribuente;

2) trasmissione telematica del modello dichiarativo all’Agenzia delle Entrate, dopodiché, così come previsto dall’art. 3, comma 6, secondo periodo, D.P.R. 322/98, entro 30 giorni dal termine previsto per la trasmissione telematica, anche se non richiesto, pubblicazione nella piattaforma cloud da parte dei soggetti incaricati, del modello dichiarativo redatto su modello conforme a quello ministeriale, e copia della comunicazione dell’Agenzia delle Entrate di ricezione della dichiarazione, al fine di poterli consegnare al contribuente e consentirgli di sottoscriverlo elettronicamente, rilevando che il suddetto modello dichiarativo, così come previsto dalla risposta a interpello n. 518 del 12 dicembre 2019, non presenta la sottoscrizione dell’intermediario in quanto “non è richiesta successivamente alla presentazione della dichiarazione”;

3) trasmissione al contribuente di un messaggio di posta elettronica contenente il link per accedere direttamente all’area riservata della piattaforma cloud di firma, al fine di consentire la sottoscrizione del modello dichiarativo redatto su modello conforme a quello ministeriale, così come previsto dall’art. 1, comma 3, D.P.R. 22 luglio 1998 n. 322, ove rileva che “La dichiarazione è sottoscritta, a pena di nullità, dal contribuente o da chi ne ha la rappresentanza legale o negoziale”,

4) ricezione da parte del contribuente del messaggio di posta elettronica contenente il link all’accesso diretto alla piattaforma cloud di firma, consultazione e lettura del modello dichiarativo redatto su modello conforme a quello ministeriale, generazione della sottoscrizione elettronica del modello dichiarativo tramite digitazione del codice OTP ricevuto via SMS sul numero di telefonico mobile di cui il contribuente aveva dichiarato la titolarità;

5) ricezione da parte del contribuente tramite posta elettronica del modello dichiarativo conforme a quello ministeriale sottoscritto, e qualora il contribuente vi abbia acconsentito, avvio da parte dell’intermediario abilitato della conservazione digitale del modello dichiarativo sottoscritto e del report generato dal sistema di firma elettronica, secondo le disposizioni di cui al D.M.E.F. 17 giugno 2014 e linee guida sulla formazione, gestione e conservazione dei documenti informatici emanate dall’Agenzia dell’Italia Digitale con determinazione 407/2020.».

Soluzione interpretativa prospettata dal contribuente

In sintesi, rilevato che:

– alla luce della legislazione vigente, sono «firme elettroniche quindi, e consentono nella pratica di “sottoscrivere” un documento informatico, quale appunto un modello dichiarativo, non solo le firme digitali o le firme elettroniche qualificate o avanzate, ma anche le firme elettroniche semplici (deboli o leggere), che pur non soddisfando ad alcuni degli adempimenti previsti dall’art. 57 del D.P.C.M. 22 febbraio 2013, sono in grado di garantire le tre funzioni tipiche della sottoscrizione, e cioè la funzione indicativa, dichiarativa e probatoria.»;

– da «un punto di vista tecnico, informatico e crittografico, la suesposta soluzione di firma elettronica semplice generata tramite OTP, è a tutti gli effetti identica ad una soluzione di firma elettronica avanzata anch’essa generata tramite OTP, ed oltre a rispondere ai requisiti di “sicurezza, integrità e immodificabilità del documento”, così come indicato nella risposta a interpello n. 518 del 12 dicembre 2019, è altresì in grado di soddisfare i requisiti di cui all’art. 26 del regolamento (UE) n. 910/2014 in tema di firma elettronica avanzata»;

l’istante ritiene la procedura ipotizzata pienamente legittima.

Parere dell’Agenzia delle Entrate

Va in primo luogo osservato che con diversi interventi, sia di prassi, sia in risposta a specifiche richieste di contribuenti (cfr., ex multis, la risoluzione n. 23/E dell’8 aprile 2021 o la risposta n. 217 pubblicata il 26 aprile 2022 nell’apposita area del sito istituzionale dell’Agenzia delle entrate), la scrivente ha già chiarito quale sia il quadro normativo in essere con riferimento alla firma delle dichiarazioni fiscali (e non solo), oltre che alla conservazione delle medesime.

In particolare, nel riassumere i corretti comportamenti da tenere per il rispetto del decreto del Presidente della Repubblica 22 luglio 1998, n. 322 – a mente del cui articolo 3, tra l’altro, «[…]

9. I contribuenti e i sostituti di imposta che presentano la dichiarazione in via telematica, direttamente o tramite i soggetti di cui ai commi 2-bis e 3, conservano, per il periodo previsto dall’articolo 43 del decreto del Presidente della Repubblica 29 settembre 1973, n. 600, la dichiarazione debitamente sottoscritta e redatta su modello conforme a quello approvato con il provvedimento di cui all’articolo 1, comma 1, nonché i documenti rilasciati dal soggetto incaricato di predisporre la dichiarazione. L’Amministrazione finanziaria può chiedere l’esibizione della dichiarazione e dei suddetti documenti.

9-bis. I soggetti incaricati della trasmissione delle dichiarazioni conservano, anche su supporti informatici, per il periodo previsto dall’articolo 43 del decreto del Presidente della Repubblica 29 settembre 1973, n. 600, copia delle dichiarazioni trasmesse, delle quali l’Amministrazione finanziaria può chiedere l’esibizione previa riproduzione su modello conforme a quello approvato con il provvedimento di cui all’articolo 1, comma 1. […]» – la scrivente ha confermato «quanto già indicato in precedenza e dunque: – l’assenza di un obbligo, in capo all’intermediario, di sottoscrizione della dichiarazione trasmessa e, in conseguenza, delle relative copie;

– la circostanza che le dichiarazioni sono pur sempre documenti fiscalmente rilevanti e la loro conservazione deve avvenire nel rispetto della normativa vigente, ossia, qualora si tratti di documenti informatici (perché originati come tali o in essi trasformati nel rispetto delle prescrizioni di legge), in primis il decreto legislativo 7 marzo 2005, n. 82 (c.d. “Codice dell’Amministrazione Digitale” o “CAD”) ed i relativi decreti attuativi, tra cui, per lo specifico ambito tributario, si ricorda il decreto ministeriale 17 giugno 2014, recante “Modalità di assolvimento degli obblighi fiscali relativi ai documenti informatici ed alla loro riproduzione su diversi tipi di supporto”.

Va evidenziato, peraltro, che il rispetto delle disposizioni del richiamato d.m. 17 giugno 2014 non riguarda solo le dichiarazioni dei redditi (e le relative copie), ma anche tutti gli altri documenti rilevanti ai fini tributari che gli intermediari trasmettono all’Agenzia delle entrate e/o gestiscono in adempimento degli obblighi assunti nei confronti dei contribuenti, curandone per qualsiasi ragione la conservazione.» (così, in particolare, la citata risposta n. 217 del 2022).

Tra le previsioni contenute nel d.m. 17 giugno 2014 vanno richiamate in questa sede quelle:

– dell’articolo 1, secondo cui «1. Ai fini tributari, la formazione, l’emissione, la trasmissione, la conservazione, la copia, la duplicazione, la riproduzione, l’esibizione, la validazione temporale e la sottoscrizione dei documenti informatici, avvengono nel rispetto delle regole tecniche adottate ai sensi dell’art. 71 del decreto legislativo 7 marzo 2005, n. 82, e dell’art. 21, comma 3, del decreto del Presidente della Repubblica 26 ottobre 1972, n. 633, in materia di fatturazione elettronica.

2. I documenti informatici rilevanti ai fini tributari hanno le caratteristiche dell’immodificabilità, dell’integrità, dell’autenticità e della leggibilità, e utilizzano i formati previsti dal decreto legislativo 7 marzo 2005, n. 82, dai decreti emanati ai sensi dell’art. 71 del predetto decreto legislativo ovvero utilizzano i formati scelti dal responsabile della conservazione, il quale ne motiva la scelta nel manuale di conservazione, atti a garantire l’integrità, l’accesso e la leggibilità nel tempo del documento informatico.»;

– dell’articolo 3, in base al quale «1. I documenti informatici sono conservati in modo tale che:

a) siano rispettate le norme del codice civile, le disposizioni del codice dell’amministrazione digitale e delle relative regole tecniche e le altre norme tributarie riguardanti la corretta tenuta della contabilità; […] 2. Il processo di conservazione dei documenti informatici termina con l’apposizione di un riferimento temporale opponibile a terzi sul pacchetto di archiviazione. […]»;

– e dell’articolo 4, laddove si precisa «1. Ai fini tributari il procedimento di generazione delle copie informatiche e delle copie per immagine su supporto informatico di documenti e scritture analogici avviene ai sensi dell’art. 22, comma 3, del decreto legislativo 7 marzo 2005, n. 82, e termina con l’apposizione della firma elettronica qualificata, della firma digitale ovvero della firma elettronica basata sui certificati rilasciati dalla Agenzie fiscali. La conservazione avviene secondo le modalità di cui all’art. 3 del presente decreto. […]». A completamento del quadro normativo occorre, inoltre, rammentare quanto precisato:

i. dal CAD ed in particolare:

– dal suo articolo 20: «1-bis. Il documento informatico soddisfa il requisito della forma scritta e ha l’efficacia prevista dall’articolo 2702 del Codice civile quando vi è apposta una firma digitale, altro tipo di firma elettronica qualificata o una firma elettronica avanzata o, comunque, è formato, previa identificazione informatica del suo autore, attraverso un processo avente i requisiti fissati dall’AgID ai sensi dell’articolo 71 con modalità tali da garantire la sicurezza, integrità e immodificabilità del documento e, in maniera manifesta e inequivoca, la sua riconducibilità all’autore. […]

La data e l’ora di formazione del documento informatico sono opponibili ai terzi se apposte in conformità alle Linee guida.

3. Le regole tecniche per la formazione, per la trasmissione, la conservazione, la copia, la duplicazione, la riproduzione e la validazione dei documenti informatici, nonché quelle in materia di generazione, apposizione e verifica di qualsiasi tipo di firma elettronica, sono stabilite con le Linee guida.»;

– e dal successivo articolo 71: «L’AgID, previa consultazione pubblica da svolgersi entro il termine di trenta giorni, sentiti le amministrazioni competenti e il Garante per la protezione dei dati personali nelle materie di competenza, nonché acquisito il parere della Conferenza unificata, adotta Linee guida contenenti le regole tecniche e di indirizzo per l’attuazione del presente Codice. Le Linee guida divengono efficaci dopo la loro pubblicazione nell’apposita area del sito Internet istituzionale dell’AgID e di essa ne è data notizia nella Gazzetta Ufficiale della Repubblica italiana.

Le Linee guida sono aggiornate o modificate con la procedura di cui al primo periodo. […]»;

ii. nonché dalle evocate Linee guida, le quali, abrogati il d.P.C.M. 13 novembre 2014, contenente “Regole tecniche in materia di formazione, trasmissione, copia, duplicazione, riproduzione e validazione temporale dei documenti informatici” unitamente al d.P.C.M. 3 dicembre 2013, recante “Regole tecniche in materia di sistema di conservazione” [ma non, si noti, il d.P.C.M. 22 febbraio 2013, “Regole tecniche in materia di generazione, apposizione e verifica delle firme elettroniche avanzate, qualificate e digitali, ai sensi degli articoli 20, comma 3, 24, comma 4, 28, comma 3, 32, comma 3, lettera b), 35, comma 2, 36, comma 2, e 71], hanno precisato che: «Il documento informatico è formato mediante una delle seguenti modalità:

a) creazione tramite l’utilizzo di strumenti software o servizi cloud qualificati che assicurino la produzione di documenti nei formati e nel rispetto delle regole di interoperabilità di cui all’allegato 2;

b) acquisizione di un documento informatico per via telematica o su supporto informatico, acquisizione della copia per immagine su supporto informatico di un documento analogico, acquisizione della copia informatica di un documento analogico;

c) memorizzazione su supporto informatico in formato digitale delle informazioni risultanti da transazioni o processi informatici o dalla presentazione telematica di dati attraverso moduli o formulari resi disponibili all’utente;

d) generazione o raggruppamento anche in via automatica di un insieme di dati o registrazioni, provenienti da una o più banche dati, anche appartenenti a più soggetti interoperanti, secondo una struttura logica predeterminata e memorizzata in forma statica. Il documento informatico deve essere identificato in modo univoco e persistente. […]

Nel caso di documento informatico formato secondo la sopracitata lettera a), l’immodificabilità e l’integrità sono garantite da una o più delle seguenti operazioni:

– apposizione di una firma elettronica qualificata, di una firma digitale o di un sigillo elettronico qualificato o firma elettronica avanzata;

– memorizzazione su sistemi di gestione documentale che adottino idonee misure di sicurezza in accordo con quanto riportato al § 3.9;

– il trasferimento a soggetti terzi attraverso un servizio di posta elettronica certificata o un servizio elettronico di recapito certificato qualificato, come definito dal regolamento (UE) 23 luglio 2014 n. 910 del Parlamento europeo e del Consiglio in materia di identificazione elettronica e servizi fiduciari per le transazioni elettroniche nel mercato interno (regolamento eIDAS), valido ai fini delle comunicazioni elettroniche aventi valore legale;

-·versamento ad un sistema di conservazione.

Nel caso di documento informatico formato secondo la sopracitata lettera b) l’immodificabilità ed integrità sono garantite da una o più delle seguenti operazioni mediante:

-·apposizione di una firma elettronica qualificata, di una firma digitale o di un sigillo elettronico qualificato o firma elettronica avanzata;

-·memorizzazione su sistemi di gestione documentale che adottino idonee misure di sicurezza in accordo con quanto riportato al § 3.9;

-· versamento ad un sistema di conservazione.

Nel caso di documento informatico formato secondo le sopracitate lettere c) e d) le caratteristiche di immodificabilità e di integrità sono garantite da una o più delle seguenti operazioni:

-·apposizione di una firma elettronica qualificata, di una firma digitale o di un sigillo elettronico qualificato o firma elettronica avanzata;

-·registrazione nei log di sistema dell’esito dell’operazione di formazione del documento informatico, compresa l’applicazione di misure per la protezione dell’integrità delle basi di dati e per la produzione e conservazione dei log di sistema;

-·produzione di una estrazione statica dei dati e il trasferimento della stessa nel sistema di conservazione.

Al momento della formazione del documento informatico immodificabile, devono essere generati e associati permanentemente ad esso i relativi metadati. […]» (così il capitolo 2.1.1 della versione di maggio 2021 pubblicata sul sito internet dell’AgID, laddove si evidenza anche che «Il contenuto del presente capitolo si applica, salvo ove diversamente specificato, ai soggetti di cui all’art. 2 commi 2 e 3 del CAD [i.e. pubbliche amministrazioni, gestori di servizi pubblici, società a controllo pubblico e privati, ndr.].»).

Dal complesso quadro normativo (cfr., in particolare, i passaggi enfatizzati) emerge che in nessun caso una firma elettronica “semplice” (ossia non qualificata, digitale o avanzata), indipendentemente dal processo di sua formazione, può dirsi idonea a garantire i requisiti che i documenti informatici (nativi tali o frutto di copia/dematerializzazione), specie se di natura fiscale, devono possedere sin dal momento della loro formazione.

Alla luce di quanto sopra, deve escludersi l’idoneità ai fini tributari – ai sensi sia del d.P.R. n. 322 del 1998, sia di altre previsioni, fatta salva una diversa espressa indicazione del legislatore – di qualsiasi procedura che preveda l’utilizzo di tale tipologia di firma.