Votazioni elettroniche: quando sono valide e legittime? In questo periodo pandemico si sono moltiplicate le riunioni online, le conference call, gli incontri in remoto: dalle udienze in Tribunale alle riunioni condominiali. Anche quando eravamo certi dell’identità dei nostri interlocutori, ci siamo tutti domandati quale fosse la base giuridica di questi incontri.
Non tanto per il momento della discussione, quanto per quello della votazione.
Di seguito, una breve guida per orientarsi.
Votazioni elettroniche: uno sguardo storico
Il sistema delle votazioni delle assemblee di ogni Paese ricalca il sistema giuridico costituzionale applicato. Nell’ordinamento italiano, ogni assemblea (societaria, condominiale, associativa) rispecchia il modello governativo: è sempre presente un’assemblea che caratterizza e incorpora i rappresentanti del sistema, un organismo esecutivo che mette in pratica le decisioni e un rappresentante legale con il potere di impegnare l’ente di riferimento nei confronti del mondo esterno.
Voto elettronico, M5S: “Ecco i passi che l’Italia deve fare”
Vale per i condominii (Assemblea, Consiglieri e Amministratore), le società (Assemblea di Soci, Consiglio di amministrazione e Amministratore Delegato), le associazioni (Assemblea degli associati, Consiglio Direttivo e Presidente).
In piccolo, gli organismi rappresentativi ricalcano le assemblee elettive dei cittadini: Consiglio Comunale, Giunta e Sindaco; Parlamento, Governo e Presidente del Consiglio. E così come non esiste un sistema elettorale perfetto, non esiste un sistema di votazione esente da criticità. Se tale principio vale con procedure fisiche ormai oliate e consolidate, ancora di più si riflette con sistemi di votazioni elettroniche e online.
Votazioni elettroniche: quando è legittimo il voto online?
L’Art. 27 del Decreto “Cura Italia”, D.L. 18/2020, convertito dalla L. 27/2020, recita che al fine di contrastare e contenere la diffusione del virus COVID-19 e fino alla data di cessazione dello stato di emergenza, deliberato dal Consiglio dei Ministri il 31 gennaio 2020, i consigli dei Comuni, delle province e delle città metropolitane e le giunte comunali, nonché le scuole, società, le fondazioni e le associazioni che non abbiano regolamentato modalità di svolgimento delle sedute in videoconferenza, possono riunirsi secondo tali modalità, nel rispetto di criteri di trasparenza e tracciabilità previamente fissati dal Presidente del Consiglio, ove previsto, o dal sindaco.
L’articolo precisa le condizioni necessarie allo svolgimento delle attività: l’individuazione di sistemi che consentano di identificare con certezza i partecipanti; l’assicurazione che lo svolgimento delle sedute sia regolare e la garanzia dello svolgimento delle funzioni di cui all’articolo 97 del decreto legislativo 18 agosto 2000, n. 267, nonché adeguata pubblicità delle sedute, ove previsto, secondo le modalità individuate da ciascun ente.
Tale disposizione normativa introduce pertanto la possibilità di effettuare certamente le riunioni in remoto, escludendo i condomini, senza però precisare se fosse o meno possibile esprimere una votazione online, anche in deroga ai regolamenti di ogni singolo ente.
Per dirimere la questione, il Legislatore ha introdotto l’art. 106 della medesimo D.L. 18/2020, più volte modificato.
L’articolo ha stabilito, che, con l’avviso di convocazione delle assemblee relative a società per azioni, società in accomandita per azioni, società a responsabilità limitata, società cooperative, mutue assicuratrici, associazioni e fondazioni, che si terranno entro il 31 luglio 2021, ovvero entro lo stato di emergenza connesso alla pandemia, si possono prevedere, anche in deroga alle diverse disposizioni statutarie, l’espressione del voto in via elettronica o per corrispondenza e l’intervento all’assemblea mediante mezzi di telecomunicazione, ovvero anche lo svolgimento esclusivo dell’assemblea mediante mezzi di telecomunicazione che garantiscano l’identificazione dei partecipanti, la loro partecipazione e l’esercizio del diritto di voto, senza la necessità che si trovino nel medesimo luogo, ove previsti, il presidente, il segretario o il notaio.
Ebbene, secondo tale disposizione, che fa un esplicito richiamo alle assemblee ordinarie e straordinarie di cui all’art. 2364 e di cui all’art. 2478 bis del Codice Civile, appaiono legittime le votazioni elettroniche:
- Purché l’ipotesi venga contenuta all’interno dell’avviso di convocazione;
- In deroga alle disposizioni statuarie.
La deroga, a parere di chi scrive, non riguarda le procedure di voto, bensì solamente l’ipotesi in cui tale modalità fosse negata dalle norme statuarie. Una diversa interpretazione (modifica delle procedure di voto non strettamente legate alla votazione online) appare del tutto inverosimile ed esporrebbe qualunque ente ad una facile impugnazione del verbale.
Riguardo le Fondazioni e le Associazioni registrate, appartenenti al cd. Terzo Settore, la norma riceve la sua attuazione solo dal D.L. 44/2021 emanato dal Governo Draghi che ha inteso estendere a tali peculiari ambiti associativi la votazione elettronica, certificando, nei fatti, come le votazioni elettroniche, se fatte in deroga alle disposizioni statutarie, non fossero lecite prima del primo aprile 2021.
Infine, sulla liceità del voto online permangono dei dubbi, che invero la norma non chiarisce, sulla possibile estensione alla celebrazione dei congressi elettivi, caratterizzati, per loro natura, dall’espressione del diritto di voto anonimo, finalità perseguita da tutti gli strumenti statuari volti a garantirne la segretezza.
Votazioni elettroniche: come garantire l’identificazione di partecipanti e votanti
Nel rispetto delle disposizioni sopra analizzate, a parere di chi scrive, ogni partecipante ad un’assemblea (societaria, associativa, di una fondazione) deve essere munito di credenziali di accesso alla piattaforma fornite in precedenza, contenenti User e Password.
È consigliabile utilizzare una piattaforma che possa gestire la creazione di più stanze, per poter permettere l’identificazione del partecipante attraverso una “identification room” nella quale l’utente iscritto dovrà identificarsi per mezzo del proprio documento di identità e con il riconoscimento facciale.
Tutte le operazioni di verifica e di accesso devono essere effettuate nel rispetto delle norme statuarie dai medesimi soggetti che avrebbero svolto i controlli se tali operazioni fossero state “fisiche”. Solo in questo modo si possono evitare facili motivi per impugnare i verbali.
In tal senso, si consiglia di creare una postazione “fisica” che per semplicità possiamo chiamare “control room”, deputata a garantire la regolarità delle operazioni assembleari/congressuali e nella quale saranno presenti i responsabili e gestori della piattaforma informatica, i membri deputati al controllo e all’organizzazione dell’assemblea.
La presenza fisica del Notaio non è necessaria, in base a quanto indicato dall’art. 106 del D.L. 18/2020, ma certamente la sua presenza permetterebbe di attribuire fede pubblica agli accadimenti anche in caso di contestazione.
Quanto all’identificazione dei votanti, con la determinazione n. 157 del 23 marzo 2020 il Direttore generale dell’AgID ha approvato le linee guida per la sottoscrizione elettronica di documenti ai sensi dell’art. 20 del Codice dell’Amministrazione Digitale (CAD) approvato con d.lgs. n. 82/2005. Le linee guida definiscono le modalità operative per salvaguardare la sicurezza, integrità e immodificabilità dei documenti in forma informativa e la provenienza degli stessi.
Ebbene sulla base di tale determinazione appare oggi possibile sottoscrivere documenti informatici mediante il Sistema Pubblico di Identità Digitale (SPID) attribuendo valore di piena prova ai medesimi ai sensi dell’art. 2702 c.c.
Il provvedimento di cui sopra mira ad applicare le indicazioni dell’art. 20, co. 1 CAD, che stabilisce come siano validi e rilevanti ai fini di legge il documento informatico da chiunque formato, la memorizzazione su supporto informatico e la trasmissione con strumenti telematici conformi alle regole tecniche di cui all’articolo 71 del codice stesso.
In altre parole, gli effetti dei documenti informatici sottoscritti in base alle linee guida emanate dall’AgID sono precisati dagli articoli 20 e 21, entrambi comma 3, CAD: il primo stabilisce che la data e l’ora di formazione del documento informatico sono opponibili ai terzi se apposte in conformità alle regole tecniche sulla validazione temporale, il secondo che il documento informatico formato nel rispetto delle regole tecniche emanate dall’AgID produce gli effetti probatori riconosciuti alla scrittura privata ai sensi dell’art. 2702 c.c.
Ebbene, le modalità indicate sopra certificano sia l’autore, sia la provenienza, nonché la data e l’ora del documento informatico, offrendo una fede privilegiata, scalfibile solamente dalla querela di falso.
Seppur il voto elettronico non possa essere analogicamente equiparato alla creazione del documento informatico, a parere di chi scrive il sistema SPiD, connesso alle procedure di identificazione dei partecipanti, garantisce con assoluta affidabilità la provenienza del voto elettronico.
Purtroppo, ad oggi non esistono piattaforme di voti online che gestiscano il sistema SPiD per soggetti che non siano provider della Pubblica Amministrazione, sicché, in attesa di una implementazione del sistema, si consiglia di utilizzare piattaforme di voto online che prevedano la strong authentication, con controllo tramite OTP (One time password) inviato sul numero di cellulare del votante.
Come garantire privacy, segretezza e immodificabilità del voto
Per garantire la segretezza del voto occorre che ogni ente si munisca di un sistema che comunichi con due sottosistemi differenti e separati: nel registro di voto verrà siglata l’avvenuta votazione del soggetto associato alle credenziali immesse.
In altri termini, l’espressione di voto deve essere inviata in forma anonima e crittografata all’urna affinché non vi sia alcun modo per collegare le due informazioni che devono per tutto il tempo essere conservate e gestite separatamente, rendendo impossibile un accesso diretto ai sistemi sottostanti.
Per quanto riguarda l’univocità e immodificabilità della preferenza accordata, si consiglia una piattaforma dotata di anagrafe unica che impedisca la possibilità di esprimere un secondo voto dallo stesso votante e l’immodificabilità del voto garantita da un’architettura software e dalla crittografia in doppia chiave.
Quanto al rispetto del GDPR e del Codice del Trattamento dei Dati Personali, il tracciamento dei flussi deve essere effettuato attraverso le nomine dei Responsabili del Trattamento dei Dati Personali ai sensi dell’art. 28 del GDPR che si individuano nel gestore della piattaforma di meeting e nel gestore della piattaforma di voto, con apposita sezione da indicare all’interno del Registro Ex Art 30 del Reg. EU 679/2016.
Ogni comunicazione dovrà essere crittografata end-to-end (si consiglia il protocollo a 256 bit e TL e protezione dei contenuti in AES-256) nonché attraverso l’ubicazione dei server nell’Unione Europea nel rispetto del REG EU 679/2016.
La piattaforma di voto deve essere munita di firewall di protezione e di protocollo almeno https. L’accesso a tale piattaforma si consiglia in VPN per evitare attacchi terzi.
Nel caso si volessero registrare le sedute assembleari, si consiglia di allocare le stesse all’interno di una macchina fisica all’interno della “control Room”, non connessa ad alcuna rete – per evitare indebite intrusioni, proteggendo con crittografia (anche Bitlocker Drive Encryption con algoritmo AES – modalità CBC e chiave a 128 bit).
Alla luce della sensibilità dei dati raccolti dal punto di vista di chi scrive è opportuno procedere ad effettuare apposita DPIA (Data Protection Impact Assessment) sulla procedura di svolgimento delle assemblee in forma remota.
Conclusioni: mini-vademecum per essere a norma di legge
Per poter svolgere pertanto le sedute assembleari nel rispetto delle prescrizioni legislative attraverso l’utilizzo di piattaforme di meeting e voting si consiglia di utilizzare:
- Piattaforme di meeting e Voting GDPR compliant;
- Invio di credenziali di accesso in un periodo precedente lo svolgimento delle operazioni;
- Creazione di diverse stanze virtuali per permettere la corretta identificazione dei partecipanti;
- Creazione di una postazione fisica di controllo che gestisca le operazioni nel rispetto delle regole statuarie, all’interno della quale saranno presenti i soggetti deputati al controllo;
- Utilizzo di un sistema di voto che preveda la creazione di un’architettura a due sottoinsiemi che garantisca l’impossibilità di identificare il votante, nel voto “non palese”;
- La crittografia di tutte le comunicazioni end to end;
- Server e Data Center ubicati all’interno dell’Unione Europea;
- Crittografia della macchina locale.
