Testo dell'articoloVigente
Art. 37 D.Lgs. 82/2005 CAD — Cessazione dell’attività
In vigore dal 01/01/2006
1. ((Il prestatore di servizi fiduciari qualificato)) che intende cessare l'attività deve, almeno sessanta giorni prima della data di cessazione, darne avviso al ((AgID)) e informare senza indugio i titolari dei certificati da lui emessi specificando che tutti i certificati non scaduti al momento della cessazione saranno revocati.
2. Il ((prestatore)) di cui al comma 1 comunica contestualmente la rilevazione della documentazione da parte di altro ((prestatore)) o l'annullamento della stessa. L'indicazione di un ((prestatore di servizi fiduciari qualificato)) sostitutivo evita la revoca di tutti i certificati non scaduti al momento della cessazione.
3. Il ((prestatore)) di cui al comma 1 indica altro depositario del registro dei certificati e della relativa documentazione.
4. Il ((AgID)) rende nota la data di cessazione dell'attività del ((prestatore di cui al comma 1)) tramite l'elenco di cui all'articolo 29, comma
6. 4-bis. Qualora il ((prestatore di cui al comma 1)) cessi la propria attività senza indicare, ai sensi del comma 2, ((un prestatore di servizi fiduciari qualificato)) sostitutivo e non si impegni a garantire la conservazione e la disponibilità della documentazione prevista dagli articoli 33 e 32, comma 3, lettera j) e delle ultime liste di revoca emesse, deve provvedere al deposito presso ((AgID)) che ne garantisce la conservazione e la disponibilità. ((
4-ter. Nel caso in cui il prestatore di cui al comma 1 non ottemperi agli obblighi previsti dal presente articolo, AgID intima al prestatore di ottemperarvi entro un termine non superiore a trenta giorni. In caso di mancata ottemperanza entro il suddetto termine, si applicano le sanzioni di cui all'articolo 32-bis; le sanzioni pecuniarie previste dal predetto articolo sono aumentate fino al doppio. ))
Commento
L'articolo 37 del CAD regola uno snodo critico nel ciclo di vita del mercato dei servizi fiduciari: la gestione ordinata dell'uscita dal mercato di un QTSP. Il Regolamento eIDAS (art. 17, par. 4, lett. i) e art. 24, par. 2, lett. h)) impone agli Stati membri di garantire che la supervisione includa la gestione della cessazione di attività, e il CAD traduce questo obbligo in procedure dettagliate. Il termine di sessanta giorni consente ad AgID di verificare che il passaggio di portafoglio a un QTSP sostitutivo avvenga correttamente oppure di organizzare la conservazione della documentazione.
L'obbligo di conservare le ultime liste di revoca e la documentazione relativa ai certificati emessi ha rilievo probatorio fondamentale: in caso di controversia su una firma apposta durante il periodo di attività del QTSP cessato, la verifica della validità del certificato al momento della firma dipende dall'accesso a questi archivi. AgID svolge quindi la funzione di archivio di ultima istanza, analoga a quella del depositario notarile per gli atti tradizionali. Sul piano del GDPR, il trasferimento della documentazione contenente dati personali dei titolari ad AgID costituisce un trattamento lecito fondato su obbligo legale, ma impone misure di sicurezza adeguate e una politica di conservazione proporzionata.
Le sanzioni graduate dell'art. 32-bis, aumentate in caso di inadempimento post-intimazione, riflettono la gravità del danno sistemico che una cessazione disordinata può arrecare all'intero ecosistema di fiducia digitale: la perdita di certificabilità storica di migliaia di firme qualificate avrebbe conseguenze irreversibili per i terzi che vi avevano fatto affidamento.
Casi pratici
Caso 1: Acquisizione di un QTSP e passaggio di portafoglio
Caso 2: Cessazione improvvisa per insolvenza
Domande frequenti
Con quanto anticipo un prestatore deve comunicare ad AgID la cessazione della propria attività?
L'art. 37, co. 1, CAD impone un preavviso di almeno sessanta giorni prima della data di cessazione. Contestualmente il prestatore deve informare tutti i titolari dei certificati in corso di validità che, in assenza di un QTSP sostitutivo, i loro certificati saranno revocati alla data di cessazione. Il termine è perentorio: il mancato rispetto espone il prestatore alle sanzioni dell'art. 32-bis CAD, maggiorate ai sensi del comma 4-ter dello stesso articolo 37.
Cosa succede ai certificati non scaduti se il prestatore cessa senza indicare un sostituto?
In mancanza di un QTSP sostitutivo, tutti i certificati non scaduti al momento della cessazione vengono revocati. Il prestatore cessante deve depositare presso AgID la documentazione prevista dagli artt. 33 e 32, co. 3, lett. j), CAD e le ultime liste di revoca emesse. AgID garantisce la conservazione e la disponibilità di tale documentazione, assicurando la tracciabilità storica delle firme apposte durante il periodo di attività del prestatore cessato.
Cosa avviene se il prestatore cessa senza rispettare gli obblighi dell'art. 37?
AgID intima al prestatore inadempiente di ottemperarvi entro un termine non superiore a trenta giorni. Se l'inadempimento persiste, si applicano le sanzioni amministrative dell'art. 32-bis CAD, con importi aumentati rispetto al regime ordinario. Nei casi più gravi, la mancata cooperazione con AgID può portare alla cancellazione retroattiva dall'elenco fiduciario e alla segnalazione alle autorità europee competenti nell'ambito del sistema di supervisione eIDAS.
Vedi anche