Cos'è la marcatura temporale qualificata — e perché è importante per la prova del diritto d'autore?

L'articolo 41, paragrafo 2, del regolamento (UE) n. 910/2014 (eIDAS) stabilisce che la validazione temporale elettronica qualificata „gode della presunzione di accuratezza della data e dell'ora che indica e di integrità dei dati ai quali tale data e ora sono associate“. Questa è l'intera presunzione giuridica: quando i dati esistevano e che non sono cambiati da allora. Non presume nulla su chi abbia creato l'opera, su chi ne detenga i diritti o sulla sua originalità.

Una validazione temporale su blockchain non rientra automaticamente nella stessa categoria giuridica. L'articolo 42, paragrafo 1, richiede che la validazione qualificata sia rilasciata da un prestatore di servizi fiduciari qualificato e firmata con la sua firma o il suo sigillo elettronico avanzato, su una fonte di tempo collegata al tempo universale coordinato. Una registrazione su un registro pubblico di norma non soddisfa nessuna di queste condizioni e quindi non acquisisce la presunzione dell'articolo 41, paragrafo 2 — fermo restando che, ai sensi dell'articolo 41, paragrafo 1, non possono esserle negati gli effetti giuridici e l'ammissibilità come prova in giudizio per il solo motivo che ha forma elettronica o non è qualificata.

La validazione temporale elettronica qualificata (Qualified Electronic Time Stamp, QeTS) è un'operazione crittografica che lega in modo indissolubile una data e un'ora esatte a un documento digitale, con la certificazione di un terzo accreditato. Il risultato è un Time-Stamp Token (TST): un pacchetto firmato secondo RFC 3161 che contiene l'hash SHA-256 del file, il tempo coordinato universale (UTC) e il certificato del prestatore di servizi fiduciari (TSA).

Come funziona tecnicamente

Per impostazione predefinita l'hash SHA-256 viene calcolato localmente nel tuo browser e al server vengono inviati solo l'hash e i dati di certificazione: il file in sé non viene caricato. L'originale viene caricato soltanto se scegli esplicitamente l'opzione facoltativa «Salva il file caricato». L'hash viene inviato a BORICA – B-Trust, prestatore qualificato di servizi fiduciari iscritto nella EU Trust List, che restituisce un TST firmato con il proprio certificato qualificato. StampR lega il TST alla tua dichiarazione di paternità ed emette un certificato PDF con codice QR per la verifica pubblica.

Valore giuridico secondo eIDAS

Il regolamento (UE) n. 910/2014 (eIDAS), articolo 41, paragrafo 2, stabilisce che una validazione temporale elettronica qualificata gode della presunzione di accuratezza della data e dell'ora che indica e dell'integrità dei dati ai quali tale data e ora sono associate. Il paragrafo 1 aggiunge che a una validazione temporale non possono essere negati gli effetti giuridici e l'ammissibilità come prova in procedimenti giudiziali per il solo motivo della sua forma elettronica.

La conseguenza pratica riguarda l'onere della prova: la presunzione vale finché la controparte non la superi, e copre due aspetti – data e ora, e integrità dei dati. Il peso di tale prova e la sua sufficienza nel caso concreto sono valutati dal giudice secondo il diritto processuale nazionale.

Che cosa attesta e che cosa no

L'articolo 3, punto 33, di eIDAS definisce la validazione temporale elettronica come dati che associano altri dati a un momento determinato «fornendo la prova che questi ultimi esistevano in quel momento». È la descrizione esatta della sua portata:

• Attesta: che un determinato valore hash esisteva in un determinato momento e che i dati associati non sono stati modificati da allora.
• Non attesta: chi ha creato l'opera, a chi spettano i diritti, se sia originale né se vi sia violazione.

Il diritto d'autore sorge automaticamente con la creazione dell'opera e non si registra. Un certificato StampR documenta quando e da chi è stata resa una dichiarazione di paternità: non crea né registra diritti e non garantisce l'esito di una controversia. Approfondimento in prova della paternità in Bulgaria.

RFC 3161 ed ETSI EN 319 422

RFC 3161 è lo standard internet che definisce il protocollo di richiesta e risposta tra client e TSA. ETSI EN 319 421 ed EN 319 422 sono i profili europei costruiti su RFC 3161, che aggiungono requisiti di audit, sicurezza delle chiavi e validità a lungo termine. Il TST di B-Trust rispetta entrambi, il che consente la verifica indipendente con qualsiasi strumento standard.

Differenza tra validazione ordinaria e qualificata

Una validazione temporale ordinaria (metadati di server, una registrazione su blockchain) non è emessa da un prestatore qualificato e non gode della presunzione automatica di cui all'articolo 41, paragrafo 2. La validazione qualificata eIDAS è l'unica cui il regolamento attribuisce tale presunzione e, ai sensi del paragrafo 3, è riconosciuta come qualificata in tutti gli Stati membri.

Emetti una validazione temporale qualificata su StampR – 6,80 €, in meno di 2 minuti.

Domande frequenti

Che cos'è una validazione temporale elettronica qualificata?

Una validazione emessa da un prestatore qualificato di servizi fiduciari ai sensi del regolamento (UE) n. 910/2014 (eIDAS). Lega crittograficamente l'hash SHA-256 di un file a un istante UTC preciso secondo RFC 3161. Ai sensi dell'articolo 41, paragrafo 2, gode della presunzione di accuratezza di data e ora e di integrità dei dati associati.

In che cosa differisce da una validazione ordinaria?

Una validazione ordinaria non è emessa da un prestatore qualificato e non gode di alcuna presunzione legale automatica. Quella qualificata eIDAS sì, ed è riconosciuta in tutti gli Stati membri dell'UE.

Che cos'è RFC 3161?

Lo standard internet che definisce il Time-Stamp Protocol, il protocollo di richiesta e risposta tra client e Time Stamping Authority. Specifica anche il formato del Time-Stamp Token (TST) contenente hash, orario e firma della TSA.

La validazione temporale prova che l'opera è mia?

No. Attesta che un determinato valore hash esisteva in un determinato momento e che i dati non sono cambiati da allora. Chi ha creato l'opera e a chi spettano i diritti sono questioni distinte, che si provano con altri mezzi: file di lavoro, corrispondenza, cronologia delle versioni.

Il mio file originale viene caricato?

Per impostazione predefinita no: l'hash è calcolato localmente nel browser e viene inviato solo quello. Il file viene caricato e conservato soltanto se scegli esplicitamente l'opzione «Salva il file caricato».

Una validazione temporale su blockchain equivale a una qualificata secondo eIDAS?

Non automaticamente. eIDAS collega l’effetto giuridico a un servizio che soddisfa l’articolo 42, paragrafo 1, prestato da un fornitore qualificato iscritto in un elenco di fiducia, non a una tecnologia. Una registrazione su blockchain pubblica di norma non soddisfa né il requisito di una fonte di tempo collegata all’UTC né quello della firma del prestatore qualificato, quindi non gode della presunzione dell’articolo 41, paragrafo 2. Entrambe possono essere prodotte in giudizio; la differenza riguarda l’onere della prova.