La posta elettronica certificata (PEC) è un servizio di posta elettronica usato in Italia per trasmettere messaggi con valore legale, cioè ottenendo la prova dell'invio e della consegna.
L'indirizzo PEC dei soggetti obbligati ad averla è iscritto nel registro pubblico INI-PEC.
Pur essendo una peculiarità italiana, dal 2018 sono state avviate attività governative per rendere la PEC conforme al regolamento UE eIDAS. - "Regolamento recante disposizioni per l'utilizzo della posta elettronica certificata, a norma dell'articolo 27 della legge 16 gennaio 2003, n. 3." (G.U. 28 aprile 2005, n. 97). Dal 2024, è trasmessa col protocollo REM che prevede l'autenticazione a due fattori e la qualifica dell'identità del mittente e del destinatario mediante SPID o carta d'identità elettronica.
Descrizione Per usufruire del servizio si deve disporre di una casella di PEC presso uno dei provider italiani autorizzati. La pubblicazione dell'elenco dei gestori autorizzati e quello della Pubblica Amministrazione, la vigilanza e il coordinamento nei confronti dei gestori e della Pubblica Amministrazione è demandata all'Agenzia per l'Italia digitale. Il contenuto può essere certificato e firmato elettronicamente oppure criptato garantendo quindi anche autenticazione, integrità dei dati e confidenzialità.
Al momento dell'invio di una mail PEC, il gestore PEC del mittente si occuperà di inviare a quest'ultimo una ricevuta che costituirà valore legale dell'avvenuta (o mancata) trasmissione del messaggio, con precisa indicazione temporale del momento in cui la mail PEC è stata inviata. In egual modo, il gestore del destinatario, dopo avergli depositato il messaggio PEC nella sua casella, fornirà al mittente una ricevuta di avvenuta consegna, con l'indicazione del momento temporale nel quale tale consegna è avvenuta. In caso di smarrimento di una delle ricevute presenti nel sistema PEC è possibile disporre, presso i gestori del servizio, di una traccia informatica avente lo stesso valore legale in termini di invio e ricezione, per un periodo di trenta mesi, secondo quanto previsto dalle normative.
Dal punto di vista dell'utente, una casella di posta elettronica certificata non si differenzia, dunque, da una normale casella di posta elettronica; cambia solo per ciò che riguarda il meccanismo di comunicazione sul quale si basa la PEC e per la presenza di alcune ricevute inviate dai gestori PEC al mittente e al destinatario. L'utente destinatario non visualizza l'e-mail del mittente, ma un messaggio automatico generato dal gestore di posta del mittente, che contiene due allegati: la e-mail "originale" del mittente con relativi allegati, e un file in XML con le stesse informazioni della notifica di invio trasmessa al mittente (ID del messaggio, luogo data e ora di invio, e dati di intestazione quali e-mail del destinatario tipo PEC / non-PEC, oggetto). La posta elettronica certificata, infatti, per essere tale, deve seguire le regole fissate dal Decreto del presidente della Repubblica n. 68/2005 e dalle successive regole da esso previste. Queste norme, insieme ad altre (tra cui, in particolare, il Codice dell'Amministrazione Digitale, Decreto legislativo n. 235/2010), ne stabiliscono la validità legale, le regole e le modalità di utilizzo. In particolare: Il servizio può essere erogato esclusivamente dai gestori accreditati presso l'AGID che è l'organo pubblico preposto alla vigilanza dei servizi digitali (certificati digitali, PEC, firma digitale, marca temporale, sigillo elettronico, etc.) e alla qualifica dei relativi provider. Per la PEC devono essere usati domini dedicati (un dominio di PEC non contiene caselle email non PEC).
Ogni gestore PEC nel rispetto della norma deve sottoporsi a una serie di test d'interoperabilità, espressamente individuati e disponibili sul sito ufficiale del CNIPA. I test d'interoperabilità vengono eseguiti per valutare la correttezza tecnico/funzionale del servizio di PEC erogato dal gestore. Come indicato nella documentazione ufficiale sono presenti espliciti test per verificare l'invio e la ricezione con caselle di posta elettronica tradizionale. Le regole tecniche PEC, allegate al Decreto Ministeriale 2 novembre 2005, prevedono la gestione di messaggi di posta elettronica tradizionale, tanto che viene definita una busta di trasporto atta a contenere e-mail provenienti da indirizzi di posta non PEC. Inoltre la ricevuta di accettazione, emanata all'atto dell'invio, evidenzia la tipologia di indirizzi di posta con diciture del tipo "Posta Certificata" o "Posta non Certificata". Chiaramente, l'eventuale destinatario non PEC, pur ricevendo correttamente il messaggio, potrà generare gli avvisi di avvenuta o mancata consegna (e lettura del messaggio), ma senza alcun valore legale che invece avrebbe un destinatario di PEC.
Vantaggi La posta elettronica certificata offre maggiori garanzie legali della raccomandata A/R, perché, oltre a certificare la trasmissione con la funzione di marca temporale certifica la data, con la funzione di firma digitale certifica anche il contenuto della comunicazione, comprensivo di allegati ed header del messaggio con destinatari, oggetto, indirizzi in copia conoscenza e copia conoscenza nascosta. Rispetto alla trasmissione, oltre a certificare l'invio e la ricezione da parte del server del nodo destinatario della comunicazione, esiste la possibilità di certificare anche la notifica di lettura del messaggio. Alcuni fornitori allegano a tale notifica copia del messaggio originale con relativi allegati, in modo da rendere la certificazione immediatamente fruibile dal mittente.
Il servizio PEC, per sua stessa natura, mostra una serie di vantaggi rispetto alla raccomandata con avviso di ricevimento e all'ordinario atto giudiziario tradizionale. I principali sono: Ogni formato digitale può essere inviato tramite posta elettronica certificata; I messaggi possono essere consultati da ogni computer o smartphone connesso alla rete Internet; L'avvenuta consegna al provider della mail viene garantita; nel caso non sia possibile recapitare il messaggio al destinatario, il mittente viene informato; Le ricevute di consegna hanno piena validità legale, anche se il messaggio non è stato effettivamente letto dal destinatario (su cui grava l'onere della prova di non aver ricevuto il messaggio), in maniera simile alla cosiddetta "compiuta giacenza" dell'atto giudiziario cartaceo o della raccomandata (la differenza è che la notifica "cartacea" per compiuta giacenza si perfeziona dopo 10 giorni dal deposito presso l'ufficio postale, mentre la notifica elettronica è pressoché istantanea); Esiste una funzionalità che permette, a chi invia, di chiedere una ricevuta di consegna "completa" (cioè che contiene anche una copia esatta, firmata digitalmente dal proprio gestore di posta, del messaggio spedito): tale ricevuta "completa" fa piena prova del contenuto inviato (al contrario di quanto avviene con la tradizionale posta raccomandata cartacea, con la quale il mittente non dispone di una prova sull'effettivo contenuto del plico imbustato: per ovviare a questo limite della tradizionale raccomandata, si può ricorrere all'espediente di non utilizzare la busta per spedizioni ma di confezionare il plico con lo stesso contenuto, opportunamente ripiegato e sigillato). Tracciabilità della casella mittente; Vi è certezza sulla destinazione dei messaggi; L'invio dei messaggi può avere costi inferiori a quello delle raccomandate. Per una giusta valutazione deve essere preso in considerazione il costo di invio di una raccomandata cartacea tradizionale, che cresce in funzione del numero di pagine e del peso del plico, e il numero di comunicazioni inviate annualmente. Queste informazioni devono poi essere comparate con le tariffe del gestore PEC, che solitamente rende disponibile una casella PEC con un costo calcolato su base annuale. Di solito, una volta pagato il canone annuale l'utente può inviare un numero illimitato di messaggi PEC. Va anche calcolato il "total cost of ownership" del servizio legato alle necessità di archiviazione locale, copia di sicurezza (backup), indicizzazione e recupero-estrazione delle ricevute, specie in grandi organizzazioni che generano rilevanti quantità di corrispondenza; Elevati requisiti di qualità e continuità del servizio. I Service Level Agreement (SLA) di legge prevedono una disponibilità del servizio del 99,8% su base quadrimestrale. Gli SLA della disponibilità del servizio PEC non valgono per la connettività. In altri termini, i server del gestore PEC possono essere disponibili nel 99,8% dell'anno, ma la connettività per raggiungerli (offerta da un soggetto terzo rispetto ai due contraenti del servizio PEC) potrebbe avere SLA differenti; Obbligo da parte del gestore di archiviare tutti gli eventi associati a invii e ricezioni di messaggi PEC, per un periodo di trenta mesi; Obbligo da parte del gestore di applicare le procedure atte a garantire il rispetto delle misure di sicurezza previste dal Codice dei dati personali e la sicurezza della comunicazione.
Svantaggi La validità della PEC è limitata al territorio italiano. La tecnologia PEC infatti non è riconosciuta come standard internazionale, a differenza di altre tecniche di firma elettronica qualificata o marca temporale e di tracciamento della consegna equivalenti e standard, come RFC 3798 (modalità di firma digitale e di tracciamento), presente nei software commerciali di gestione della posta come Microsoft Exchange Server (pur esistendo software installabili sul server per rendere compatibile anche la PEC), oltre ad essere uno standard operativo interoperabile. Pure RFC 3798 implementa le funzionalità di conferma ricezione e-mail, senza implicare la creazione di un sistema centralizzato per la gestione degli aspetti di sicurezza. La conseguenza pratica è che i soggetti non italiani non conoscono e non utilizzano la PEC, con inevitabili incomprensioni con imprese estere, specie quelle della UE (in quanto non esiste una norma comunitaria che comprenda uno strumento equiparabile alla PEC italiana). Il regolamento UE, che fornisce una base normativa comune per interazioni elettroniche sicure (eIDAS), non include la PEC come specifica tecnologia di servizio autorevole in quanto trattasi di servizio elettronico di recapito certificato ma non qualificato (ai sensi dell'eIDAS). Questo dipende anche dai requisiti eIDAS per la qualifica dei prestatori di servizi fiduciari che sono diversi da quelli del CAD italiano. Inoltre, eIDAS è basato sul principio della "neutralità tecnologica" trattando unicamente i servizi elettronici, mentre la PEC è basata su una specifica tecnologia (la posta elettronica). Da notare che all'epoca dell'introduzione della PEC italiana, esistevano già protocolli internazionali equivalenti (ad esempio PGP e S/MIME). La non aderenza ad eIDAS è stato il motivo per cui la Pec è rimasta uno strumento solo italiano, non utilizzato da altre nazioni. L'identità del proprietario di un indirizzo PEC non è verificata. La PEC dunque non verifica l'identità del mittente né del destinatario. I fornitori di servizi PEC infatti non sono obbligati a confermare l'identità dell'utente come avviene invece per esempio per lo SPID. Questo limite verrà superato dalla REM (che è un SERCQ cioè un servizio elettronico di recapito certificato qualificato) superando la PEC (inteso come protocollo nativo italiano) che, invece, è un servizio elettronico di recapito certificato (SERC) ma non qualificato. In pratica, il protocollo italiano PEC diventerà una tecnologia REMSi noti che fuori dall'Italia l'acronimo non è conosciuto..