Testo dell'articoloVigente
Art. 36 D.Lgs. 82/2005 CAD — Revoca e sospensione dei certificati qualificati
In vigore dal 01/01/2006
1. Il certificato qualificato deve essere a cura del certificatore: a) revocato in caso di cessazione dell'attività del certificatore salvo quanto previsto dal comma 2 dell'articolo 37; b) revocato o sospeso in esecuzione di un provvedimento dell'autorità; c) revocato o sospeso a seguito di richiesta del titolare o del terzo dal quale derivano i poteri del titolare, secondo le modalità previste nel presente codice; d) revocato o sospeso in presenza di cause limitative della capacità del titolare o di abusi o falsificazioni.
2. Il certificato qualificato può, inoltre, essere revocato o sospeso nei casi previsti dalle ((Linee guida)) ((, per violazione delle regole tecniche ivi contenute)) .
3. La revoca o la sospensione del certificato qualificato, qualunque ne sia la causa, ha effetto dal momento della pubblicazione della lista che lo contiene. Il momento della pubblicazione deve essere attestato mediante adeguato riferimento temporale.
4. Le modalità di revoca o sospensione sono previste nelle ((Linee guida)) .
Stesso numero, altri codici
- Art. 36 D.Lgs. 504/1995 — Oggetto dell'imposizione e modalità di accertamento
- Articolo 36 L. 184/1983: Adozione internazionale: Paesi aderenti e non alla Convenzione
- Art. 36 Reg. (UE) 2024/1689 — Modifiche delle notifiche
- Art. 36 Cod. Amb. — Abrogazioni e modifiche
- Art. 36 D.Lgs. 148/2015 — Comitato amministratore
- Art. 36 D.Lgs. 159/2011 — Relazione dell'amministratore giudiziario
Commento
L'articolo 36 del CAD traduce in diritto interno gli obblighi di gestione del ciclo di vita dei certificati qualificati imposti dal Regolamento eIDAS (artt. 24 e 25 e Allegato I, lett. i) e j)). Il prestatore di servizi fiduciari qualificato (QTSP) è il soggetto responsabile della tempestiva revoca o sospensione: omettere o ritardare la pubblicazione della CRL o la risposta OCSP espone il QTSP a responsabilità civile verso i terzi che abbiano fatto affidamento su un certificato invalido, oltre che a sanzioni amministrative ex art. 32-bis CAD e all'eventuale cancellazione dall'elenco fiduciario AgID.
La decorrenza degli effetti dalla pubblicazione nella lista di revoca — e non dalla data della causa che l'ha determinata — risponde a un'esigenza di certezza nei rapporti giuridici: i terzi che verificano la validità di una firma possono fare affidamento sulle informazioni pubblicamente accessibili. Questo principio si riflette nel regolamento eIDAS che impone tempi massimi di aggiornamento delle CRL e la disponibilità di servizi OCSP in tempo reale. La lacuna tra insorgenza della causa di revoca e pubblicazione è gestita attraverso l'obbligo di sospensione immediata in attesa della revoca definitiva.
Sul piano del coordinamento con il GDPR, la gestione delle liste di revoca implica trattamento di dati personali (numero di serie del certificato, identità del titolare). Il QTSP deve adottare misure tecniche e organizzative adeguate ex art. 32 GDPR e definire le basi giuridiche del trattamento, che in questo caso poggiano sull'obbligo legale (art. 6, par. 1, lett. c) GDPR) derivante dal CAD e dall'eIDAS.
Casi pratici
Caso 1: Revoca per provvedimento dell'autorità giudiziaria
Caso 2: Sospensione per smarrimento del dispositivo
Domande frequenti
Quando un certificato qualificato deve essere obbligatoriamente revocato?
L'art. 36, co. 1, CAD prevede quattro ipotesi di revoca obbligatoria: cessazione dell'attività del certificatore (salva continuità garantita da altro prestatore), provvedimento dell'autorità competente, richiesta del titolare o del terzo da cui derivano i poteri del titolare, cause limitative della capacità del titolare oppure abusi o falsificazioni. La revoca deve essere pubblicata con tempestività nella lista di revoca, poiché gli effetti decorrono solo dalla pubblicazione.
Qual è la differenza tra revoca e sospensione del certificato qualificato?
La revoca è definitiva: il certificato perde efficacia in modo irreversibile. La sospensione è temporanea e consente di bloccare gli effetti del certificato in attesa di accertamenti, con la possibilità di riattivarlo se la causa cessa. Entrambe hanno effetto dalla pubblicazione nella lista di revoca (CRL) o tramite risposta OCSP, il cui momento deve essere attestato da un riferimento temporale adeguato.
Cosa succede se il prestatore non pubblica tempestivamente la lista di revoca?
Il ritardo nella pubblicazione espone il prestatore di servizi fiduciari qualificato (QTSP) a responsabilità civile verso i terzi che abbiano fatto affidamento su un certificato in realtà invalido. Sono applicabili le sanzioni amministrative previste dall'art. 32-bis CAD e, nei casi più gravi, la cancellazione dall'elenco fiduciario AgID, con conseguente perdita della qualifica di prestatore qualificato a livello europeo.
Vedi anche