Spiegazione sulla creazione e autenticazione della firma elettronica: Qual è la sua validità legale?

Nelle interazioni su Internet, non è necessario incontrarsi di persona, quindi è essenziale verificare se il mittente e il destinatario delle informazioni sono realmente chi dicono di essere e se le informazioni non sono state alterate durante il trasferimento.

Qui, spiegheremo come creare una firma digitale utilizzando la tecnologia di crittografia, un metodo efficace per questo scopo, e come autenticarla.

Cos’è la firma elettronica

La “Legge sulla firma elettronica (Legge sulla firma elettronica e sui servizi di autenticazione)” è una legge che definisce e regola l’effetto della “firma elettronica” applicata ai documenti elettronici, disciplina le attività di autenticazione e stabilisce la validità legale della firma elettronica.

Nella Legge sulla firma elettronica, la “firma elettronica” è una misura che può essere registrata su un registro elettromagnetico e che:

1. Indica che la firma elettronica è stata creata dalla persona stessa (autenticità)
2. Permette di verificare se la firma elettronica è stata modificata o meno (integrità)

Si applica a entrambi questi requisiti (Articolo 2, paragrafo 1, della Legge sulla firma elettronica). Se è stata effettuata una firma elettronica che solo l’individuo può fare, si presume che sia stata correttamente stabilita, proprio come un documento firmato o timbrato dall’individuo stesso (Articolo 3 della Legge sulla firma elettronica).

Efficacia legale del contratto elettronico

Un contratto viene concluso quando l’altra parte accetta l’intenzione di concludere un contratto che indica il contenuto del contratto (Articolo 522 del Codice Civile Giapponese). Non è necessario creare un documento scritto. Tuttavia, se il contratto diventa oggetto di controversia, è necessario un documento che possa essere presentato come prova in tribunale.

A questo proposito, l’articolo 228, paragrafo 1, del Codice di Procedura Civile Giapponese afferma che “un documento deve dimostrare la sua autenticità”, ma quando si presenta un documento su carta come prova, se il documento ha la firma o il timbro dell’individuo o del suo rappresentante, si presume che il documento sia stato correttamente stabilito (creato con l’intenzione dell’individuo) (Articolo 228, paragrafo 4, del Codice di Procedura Civile Giapponese).

In risposta a ciò, l’efficacia legale del contratto elettronico è stata organizzata dalla Legge sulla firma elettronica.

Servizi di autenticazione della firma elettronica

Per rendere un contratto elettronico valido come prova in tribunale, è necessario soddisfare il requisito che “è stato creato dalla persona stessa”. A differenza della firma su un documento scritto, che può essere verificata semplicemente guardando il documento, la firma elettronica è un dato elettronico, quindi è necessario un mezzo per dimostrare che è stata fatta dalla persona stessa.

A questo proposito, l’articolo 2 della Legge sulla firma elettronica prevede:

Legge sulla firma elettronica (Definizione) Articolo 2

Paragrafo 2 In questa legge, “servizi di autenticazione” si riferisce ai servizi che dimostrano che le questioni utilizzate per confermare che l’utente (di seguito denominato “utente”) ha effettuato la firma elettronica sono relative all’utente stesso, in risposta alla richiesta dell’utente o di altre persone.

Paragrafo 3 In questa legge, “servizi di autenticazione specifici” si riferisce ai servizi di autenticazione effettuati per le firme elettroniche che, a seconda del metodo, possono essere effettuate solo dall’individuo stesso e che soddisfano gli standard stabiliti dal ministero competente.

Come tale, la Legge sulla firma elettronica prevede che un terzo dimostri che la firma elettronica è stata fatta dalla persona stessa, e chiama questa attività “servizi di autenticazione”. Tra questi, i servizi di autenticazione che vengono effettuati per le firme elettroniche che solo l’individuo può fare e che soddisfano gli standard stabiliti dal ministero competente sono definiti come “servizi di autenticazione specifici”.

Attualmente, la tecnologia di autenticazione adottata come standard per i “servizi di autenticazione specifici” è la tecnologia PKI (Public Key Infrastructure) che utilizza un metodo di crittografia chiamato crittografia a chiave pubblica (Articolo 2 del Regolamento di attuazione della Legge sulla firma elettronica). I “servizi di autenticazione specifici” si riferiscono alle attività che utilizzano questa tecnologia per crittografare documenti elettronici e altri dati e verificare l’identità dell’individuo, e rilasciare un certificato elettronico per dimostrare che la firma elettronica è dell’individuo stesso. Questi servizi di autenticazione possono essere effettuati da società private, e le organizzazioni terze che effettuano i servizi di autenticazione sono chiamate “autorità di certificazione elettronica”, e i loro standard di accreditamento sono stabiliti nell’articolo 4 e seguenti della Legge sulla firma elettronica.

Firma Elettronica e Timestamp

La firma elettronica e il timestamp sono “prove” che garantiscono “quando”, “cosa” e “chi” nella società di Internet, e sono un mezzo potente per verificare l’autenticità degli originali dei documenti elettronici.

Creazione e invio di firme elettroniche

La creazione e l’invio di firme elettroniche oggi avvengono attraverso il metodo di crittografia a chiave pubblica, che utilizza una coppia di chiavi private e pubbliche, e il metodo che utilizza la funzione hash, come segue:

1. Il creatore si iscrive all’autorità di certificazione per l’uso del certificato elettronico.
2. L’autorità di certificazione verifica l’identità dell’individuo, conferma l’associazione tra la chiave privata e la chiave pubblica, ecc., e genera la chiave privata utilizzata per crittografare il documento e la chiave pubblica utilizzata per decrittografare il documento.
3. L’autorità di certificazione emette un certificato elettronico per la chiave pubblica registrata dal creatore.
4. Il creatore accetta il certificato elettronico dall’autorità di certificazione.

Sulla base di ciò, il mittente utilizzerà il certificato elettronico per inviare dati elettronici.

1. Il mittente converte i dati elettronici in un valore hash (chiamato anche digest del messaggio) utilizzando una funzione hash. Una funzione hash è una funzione che converte dati (valori di input) come caratteri e numeri in un certo numero (valore di output).
2. Crittografa questo valore hash con la chiave privata che corrisponde alla chiave pubblica certificata dal certificato elettronico. Questa azione è chiamata “firma elettronica”.
3. Il mittente combina i dati elettronici (testo in chiaro) e la firma elettronica, e li invia al destinatario insieme al certificato elettronico.
4. Il destinatario divide i dati ricevuti in dati elettronici (testo in chiaro) e firma elettronica, e genera un valore hash dai dati elettronici (testo in chiaro) utilizzando la stessa funzione hash del mittente.
5. Decodifica la firma elettronica utilizzando la chiave pubblica del mittente e ottiene il valore hash.
6. Confronta i valori hash ottenuti nei passaggi 4 e 5, e se corrispondono, può confermare che i dati elettronici provengono dal mittente e non sono stati alterati.

A causa delle sue caratteristiche, il valore hash diventa lo stesso valore quando il contenuto del documento elettronico è esattamente lo stesso di quando è stata firmata la firma elettronica, e diventa un valore hash completamente diverso se anche un solo carattere è diverso.

Quindi, confermando la corrispondenza dei due valori hash, è possibile confermare che il documento elettronico in questione non è stato alterato.

Timestamp

Sebbene sia possibile confermare che il contenuto del documento non è stato alterato confrontando il valore hash del documento elettronico e della firma, il “timestamp” (TS) viene utilizzato in aggiunta per dimostrare “quando” il documento esisteva (prova di esistenza) e che il contenuto del documento non è stato alterato dopo quel momento (prova di non alterazione). Il timestamp è considerato un mezzo efficace per verificare l’autenticità degli originali dei documenti elettronici insieme alla firma elettronica.

L’utente invia il valore hash dei dati originali all’autorità di certificazione del tempo (TSA: Time-Stamping Authority), e la TSA invia all’utente un TS con le informazioni temporali aggiunte a questo valore hash. È possibile dimostrare che il contenuto non è stato alterato confrontando il valore hash del documento elettronico e il valore hash del timestamp.

Conservazione dei dati

Le aziende e i lavoratori autonomi sono obbligati a conservare documenti contabili come ordini e contratti che sono soggetti a trattamento contabile per 7 anni (o 10 anni), e secondo la “Legge Giapponese sulla Conservazione dei Libri Contabili Elettronici” (Legge sulle eccezioni per il metodo di conservazione dei documenti contabili relativi alle tasse nazionali creati utilizzando un computer), sono anche obbligati a conservare le informazioni di transazione quando effettuano transazioni elettroniche (Articolo 10 della Legge Giapponese sulla Conservazione dei Libri Contabili Elettronici).

Per quanto riguarda la conservazione a lungo termine di questi documenti elettronici, secondo il regolamento di attuazione della Legge Giapponese sulla Conservazione dei Libri Contabili Elettronici, è necessario “applicare un timestamp relativo alle operazioni certificate dalla Japan Data Communications Association” al documento elettronico in questione (Articolo 3, Paragrafo 5, Punto 2 del Regolamento di Attuazione della Legge Giapponese sulla Conservazione dei Libri Contabili Elettronici), e “assicurarsi che sia possibile verificare le informazioni relative alla persona che conserva il registro elettromagnetico o alla persona che la supervisiona direttamente” (Articolo 8 del Regolamento di Attuazione della Legge Giapponese sulla Conservazione dei Libri Contabili Elettronici).

Riassunto

La digitalizzazione dei documenti è alla base del miglioramento dei processi aziendali e del servizio clienti, e l’importanza della registrazione e gestione attraverso la digitalizzazione sta aumentando ogni giorno.

Anche i contratti elettronici sono riconosciuti come validi e possono essere utilizzati come prove in tribunale. La tendenza alla digitalizzazione nei contratti tra imprese sta progredendo rapidamente. È necessario comprendere le varie leggi e regolamenti relativi ai contratti elettronici e rispondere adeguatamente.

Presentazione delle misure adottate dal nostro studio legale

Lo studio legale Monolis è un’agenzia legale con un’elevata specializzazione in IT, in particolare nell’ambito di Internet e legge. Negli ultimi anni, l’uso delle firme elettroniche è aumentato, e la necessità di controlli legali sta crescendo sempre di più. Tenendo conto delle varie regolamentazioni legali, il nostro studio analizza i rischi legali associati alle attività commerciali attuali e previste, e mira a legalizzare le attività commerciali senza interromperle il più possibile. I dettagli sono descritti nell’articolo sottostante.