Art. 28

Chiunque intenda utilizzare un sistema di chiavi asimmetriche o della firma digitale, e' tenuto ad adottare tutte le misure organizzative e tecniche idonee ad evitare danno ad altri.

Il certificatore e' tenuto a:

identificare con certezza la persona che fa richiesta della certificazione;

rilasciare e rendere pubblico il certificato avente le caratteristiche fissate con il decreto di cui all'articolo 8, comma 2;

specificare, su richiesta dell'istante, e con il consenso del terzo interessato, la sussistenza dei poteri di rappresentanza o di altri titoli relativi all'attivita' professionale o a cariche rivestite;

attenersi alle regole tecniche di cui all'articolo 8, comma 2;

informare richiedenti, in modo compiuto e chiaro, sulla procedura di certificazione e sui necessari requisiti tecnici per accedervi;

attenersi alle misure minime di sicurezza per il trattamento dei dati personali, emanate ai sensi dell'articolo 15, comma 2 della legge 31 dicembre 1996, n. 675;

non rendersi depositario di chiavi private;

procedere tempestivamente alla revoca od alla sospensione del certificato in caso di richiesta da parte del titolare o del terzo dal quale derivino i poteri di quest'ultimo, di perdita del possesso della chiave, di provvedimento dell'autorita', di acquisizione della conoscenza di cause limitative della capacita' del titolare, di sospetti abusi o falsificazioni;

dare immediata pubblicazione della revoca e della sospensione della coppia di chiavi asimmetriche;

dare immediata comunicazione all'Autorita' per l'informatica nella pubblica amministrazione ed agli utenti, con un preavviso di almeno sei mesi, della cessazione dell'attivita' e della conseguente rilevazione della documentazione da parte di altro certificatore o del suo annullamento.

Note all'art. 28: - Si trascrive il testo vigente dell'art. 15, comma 2, della legge 31 dicembre 1996, n. 675 (per l'argomento vedi nelle note all'art. 16): "2. Le misure minime di sicurezza da adottare in via preventiva sono individuate con regolamento emanato con decreto del Presidente deva Repubblica, ai sensi dell'art. 17, comma 1, lettera a), della legge 23 agosto 1988, n. 400 entro centottanta giorni dalla data di entrata in vigore della presente legge, su proposta del Ministro di grazia e giustizia, sentiti l'Autorita' per l'informatica nella pubblica amministrazione e il Garante".

Note all'art. 28: - Si trascrive il testo vigente dell'art. 15, comma 2, della legge 31 dicembre 1996, n. 675 (per l'argomento vedi nelle note all'art. 16): "2. Le misure minime di sicurezza da adottare in via preventiva sono individuate con regolamento emanato con decreto del Presidente deva Repubblica, ai sensi dell'art. 17, comma 1, lettera a), della legge 23 agosto 1988, n. 400 entro centottanta giorni dalla data di entrata in vigore della presente legge, su proposta del Ministro di grazia e giustizia, sentiti l'Autorita' per l'informatica nella pubblica amministrazione e il Garante".

(Accreditamento).

Ai sensi dell'articolo 5 del decreto legislativo 23 gennaio 2002, n. 10, i certificatori che intendono conseguire il riconoscimento del possesso dei requisiti del livello piu' elevato, in termini di qualita' e di sicurezza, possono chiedere di essere accreditati presso la Presidenza del Consiglio dei Ministri - Dipartimento per l'innovazione e le tecnologie, che a tali fini puo' avvalersi delle strutture pubbliche di cui all'articolo 29.

Il richiedente deve rispondere ai requisiti di cui all'articolo 27 ed allegare alla domanda il profilo professionale del personale responsabile della generazione dei dati per la creazione e per la verifica della firma, della emissione dei certificati e della gestione del registro dei certificati nonche' l'impegno al rispetto delle regole di tecniche.

Il richiedente, se soggetto privato, in aggiunta a quanto previsto dal comma 2, deve inoltre:

avere natura giuridica di societa' di capitali e un capitale sociale non inferiore a quello necessario ai fini dell'autorizzazione alla attivita' bancaria ai sensi dell'articolo 14 del testo unico delle leggi in materia bancaria e creditizia, approvato con decreto legislativo 1 settembre 1993, n. 385;

garantire il possesso, oltre che da parte dei rappresentanti legali, anche da parte dei soggetti preposti alla amministrazione e dei componenti il collegio sindacale, dei requisiti di onorabilita' richiesti ai soggetti che svolgono funzioni di amministrazione, direzione e controllo presso banche ai sensi dell'articolo 26 citato del decreto legislativo 1° settembre 1993, n. 385.

La domanda di accreditamento si considera accolta qualora non venga comunicato all'interessato il provvedimento di diniego entro novanta giorni dalla data di presentazione della stessa.

Il termine di cui al comma 4 puo' essere interrotto una sola volta entro trenta giorni dalla data di presentazione della domanda, esclusivamente per la motivata richiesta di documenti che integrino o completino la documentazione presentata e che non siano gia' nella disponibilita' del Dipartimento per l'innovazione e le tecnologie o che questo non possa acquisire autonomamente. In tal caso, il termine riprende a decorrere dalla data di ricezione della documentazione integrativa.

A seguito dell'accoglimento della domanda, il Dipartimento per l'innovazione e le tecnologie dispone l'iscrizione del richiedente in un apposito elenco pubblico, tenuto dal Dipartimento stesso e consultabile anche in via telematica, ai fini dell'applicazione della disciplina in questione.

Il certificatore accreditato puo' qualificarsi come tale nei rapporti commerciali e con le pubbliche amministrazioni.