Cos'e una validazione elettronica del timestamp
Una validazione elettronica del timestamp (in inglese electronic time stamp) e un dato in forma elettronica che lega altri dati elettronici a un'ora particolare, fornendo la prova che questi dati esistevano gia in quel momento.
Tradotto in pratica: e una marca temporale firmata, apponibile a un file (PDF, immagine, audio, contratto, fattura), che dimostra in maniera opponibile a terzi quando quel file esisteva con quel contenuto preciso.
Esempio concreto. Un avvocato deposita una bozza di memoria difensiva il 18 giugno 2026 alle 14:32. Se la memoria viene impugnata mesi dopo, l'avvocato deve poter dimostrare in giudizio: il file era quello, in quella forma, a quell'ora. Senza ipotesi che possa essere stato modificato dopo, retrodatato, o sostituito.
Il timestamp risolve esattamente questo problema. Aggiunge una prova crittografica dell'esistenza del documento in un dato istante.
Contesto storico: perche serviva un quadro europeo
Prima del regolamento eIDAS, ogni Stato membro UE aveva il proprio sistema di marca temporale. In Italia, il CAD (Codice dell'Amministrazione Digitale, D.Lgs. 82/2005) regolava le marche temporali tramite i Certificatori Accreditati AgID.
Risultato pratico: una marca temporale italiana non era automaticamente riconosciuta in Germania. Una marca tedesca poteva essere contestata in Spagna. Per un'azienda che operava cross-border era un incubo legale.
Il regolamento UE 910/2014 (entrato in vigore il 1 luglio 2016) ha unificato il quadro: una marca temporale qualificata emessa in qualunque Stato UE vale in tutti gli altri 26 Stati con lo stesso valore probatorio. Niente piu doppia certificazione, niente piu apostille tra Italia e Francia.
Cosa dice esattamente l'art. 41 di eIDAS
L'articolo 41 e brevissimo. Tre commi. Vale la pena leggerli, perche tutta la pratica deriva da qui.
Comma 1. Alla validazione elettronica del timestamp non sono negati gli effetti giuridici e l'ammissibilita come prova in procedimenti giudiziali per il solo motivo della sua forma elettronica o perche non soddisfa i requisiti della validazione elettronica qualificata del timestamp.
Tradotto: anche un timestamp non qualificato (cioe non emesso da un fornitore qualificato) ha valore probatorio in giudizio. Il giudice non puo rifiutarlo a priori solo perche non c'e dietro un QTSP. Lo valuta nel merito, come qualunque altra prova.
Comma 2. Una validazione elettronica qualificata del timestamp gode della presunzione dell'esattezza della data e dell'ora che indica e dell'integrita dei dati ai quali tale data e ora sono associate.
Tradotto: se il timestamp e qualificato, allora il giudice presume che data, ora e integrita siano corrette. Spetta a chi le contesta dimostrare il contrario. E un'inversione dell'onere della prova: vantaggio enorme.
Comma 3. Una validazione elettronica qualificata del timestamp emessa in uno Stato membro e riconosciuta come tale in tutti gli Stati membri.
Tradotto: validita pan-europea automatica. Stessa marca, stesso valore, in tutti i 27 Paesi UE.
Chi puo emettere marche temporali con valore legale
L'articolo 42 di eIDAS (immediatamente successivo) definisce i requisiti tecnici della validazione qualificata. Servono tre cose:
- l'ora deve essere collegata all'UTC (Tempo Universale Coordinato) con precisione sufficiente;
- la marca deve essere firmata con una firma elettronica avanzata o un sigillo elettronico avanzato del fornitore qualificato;
- il fornitore deve essere un QTSP (Qualified Trust Service Provider) iscritto nella Trusted List UE.
In Italia i QTSP sono certificati da AgID e pubblicati sull'elenco IGCA (Italian Government Certification Authority). Esempi noti: Aruba, InfoCert, Namirial, Poste Italiane, Intesi Group. Ognuno offre marche temporali a prezzi tra 0,30 e 1,00 euro l'una, in bundle prepagati.
Un timestamp non qualificato, invece, puo essere emesso da chiunque: un'azienda interna, uno script open source, una blockchain pubblica. Vale comunque come prova ex art. 41 comma 1, ma senza la presunzione automatica di esattezza del comma 2.
Valore legale in giudizio: cosa cambia davvero
Per i casi d'uso piu comuni (depositare una bozza, certificare che un design esisteva prima del concorrente, dimostrare che una mail e stata mandata in un dato giorno) la differenza tra qualificato e non qualificato e meno drastica di quanto la cartellonistica AgID lascia intendere.
In entrambi i casi, il giudice riceve il timestamp come prova ammissibile. La differenza e su chi deve dimostrare cosa:
- Qualificato (art. 41.2): data e integrita si presumono vere. Chi le contesta deve dimostrare la manomissione.
- Non qualificato (art. 41.1): chi presenta il timestamp deve dimostrare al giudice che il meccanismo e affidabile. Se la prova tecnica e solida, il giudice convince comunque.
Nella prassi italiana, sempre piu spesso i tribunali accettano timestamp basati su blockchain pubbliche (in particolare Bitcoin via OpenTimestamps) con motivazione esplicita sulla loro robustezza crittografica. La giurisprudenza si sta consolidando in questa direzione anche in Francia, Germania e Spagna.
Veylon vs TSA qualificata: la scelta dell'ancoraggio Bitcoin
Veylon non e un QTSP. Veylon usa Bitcoin OpenTimestamps per ancorare l'impronta SHA-256 di ogni atto. Questa scelta non e ideologica, e tecnica. Tre motivi.
1. Costo marginale zero
Una marca qualificata da QTSP costa tra 0,30 e 1,00 euro. Per un avvocato che firma 5 documenti al mese, ok. Per un'azienda che deve timbrare 50.000 sigilli mensili di prodotti industriali, no. OpenTimestamps aggrega migliaia di impronte in un singolo commit Bitcoin: costo per impronta praticamente nullo.
2. Sopravvivenza al fornitore
Se il QTSP italiano X chiude tra 10 anni, i certificati emessi restano validi solo se la catena di trust e ancora ricostruibile (chiave radice, OCSP, audit AgID). Un timestamp Bitcoin sopravvive finche esiste la blockchain Bitcoin. Non c'e dipendenza da Veylon stessa: chiunque, con qualunque client OpenTimestamps, puo verificare in autonomia un sigillo Veylon anche se Veylon non esistesse piu.
3. Compatibilita con eIDAS art. 41.1
Le ricevute Veylon ricadono nell'art. 41.1: validazione elettronica non qualificata, ammissibile come prova in tutti i 27 Stati UE, senza presunzione automatica ma con prova tecnica robusta e indipendente. Per i casi d'uso dove serve la presunzione (firme su contratti notarili, atti pubblici), Veylon offre il modulo Cert con firma avanzata + opzionale marca QTSP via Aruba/InfoCert.
In sintesi: per la maggior parte degli usi quotidiani (bozze, contratti, prove di paternita, audit trail) Veylon e una soluzione conforme eIDAS art. 41.1 con un rapporto costo/copertura difficilmente raggiungibile dalle TSA tradizionali. Per gli usi che richiedono la presunzione qualificata, Veylon integra le QTSP esistenti.