Il consenso firmato con un codice SMS vale? Firma elettronica e OTP spiegati a chi tatua
Con la carta nessuno se lo chiede: il cliente firma con la penna e il foglio finisce nel raccoglitore. Con il telefono la domanda arriva quasi sempre, da te o da lui: «ma un consenso firmato con un codice ricevuto via SMS vale davvero?». La risposta corta è sì: è una firma elettronica riconosciuta dal diritto europeo e da quello italiano. La risposta utile è più lunga, perché il valore di quella firma non sta nel codice in sé, ma nelle prove che il sistema registra intorno alla firma. Vediamo cosa dice la legge, cosa dimostra davvero un consenso firmato così e, per onestà, cosa non è.
Le tre firme elettroniche, e dove sta quella con il codice
La cornice è il regolamento europeo eIDAS (Reg. UE 910/2014, aggiornato nel 2024 dal Reg. UE 2024/1183), che vale in Italia senza bisogno di recepimento. Distingue tre livelli:
- la firma elettronica semplice: «dati in forma elettronica, acclusi o connessi ad altri dati elettronici e utilizzati dal firmatario per firmare». È la definizione più ampia che esista, e comprende anche il codice monouso ricevuto sul telefono;
- la firma elettronica avanzata (FEA): deve essere connessa in modo univoco al firmatario, identificarlo, essere sotto il suo controllo esclusivo e rilevare ogni modifica successiva. In Italia ha regole tecniche proprie, che tra l’altro chiedono di acquisire una copia del documento d’identità del firmatario;
- la firma elettronica qualificata (FEQ): certificato rilasciato da un prestatore accreditato e dispositivo sicuro. È la «firma digitale» che si usa per contratti e atti con la pubblica amministrazione.
Il consenso firmato con un codice SMS è una firma elettronica semplice. Non è avanzata, perché nessuno ti ha chiesto la carta d’identità del cliente, e non è qualificata, perché non c’è nessun certificato. Chi ti dice che la sua firma via SMS è «certificata» sta usando una parola che non le appartiene: sospetta di chi la usa, non della firma.
Il punto che conta è un altro: la stessa normativa vieta di negare a una firma elettronica gli effetti giuridici e l’ammissibilità come prova per il solo motivo che è elettronica o che non è qualificata (art. 25 eIDAS). Il livello non decide se la firma vale. Decide quanto è facile difenderla.
Cosa dice la legge italiana
In Italia la traduzione pratica sta nell’art. 20, comma 1-bis, del Codice dell’amministrazione digitale. Dice due cose:
- il documento firmato con firma qualificata, digitale o avanzata soddisfa il requisito della forma scritta e ha l’efficacia della scrittura privata (art. 2702 c.c.), cioè fa piena prova della provenienza finché non viene disconosciuto con la querela di falso;
- in tutti gli altri casi, quindi per la firma semplice, l’idoneità del documento e il suo valore probatorio sono «liberamente valutabili in giudizio, in relazione alle caratteristiche di sicurezza, integrità e immutabilità».
Tradotto per uno studio: il consenso firmato con l’OTP non è «valido» o «non valido» per legge. Un giudice lo valuta guardando quanto era sicuro il sistema che l’ha raccolto e quanto è dimostrabile che il documento non sia cambiato. Se ha motivi per non riconoscerlo deve spiegarli, ma la partita si gioca lì: sulle prove, non sull’etichetta.
Due precisazioni chiudono il quadro. La prima: il consenso a un tatuaggio non è tra gli atti per cui la legge pretende una firma qualificata (compravendite immobiliari e simili). La seconda: la Legge 99/2026 chiede una dichiarazione di consenso datata e sottoscritta dal cliente e dal tatuatore, conservata a disposizione delle autorità; non dice «su carta» e non dice «firma digitale». Cosa dovrà contenere il modulo lo fisserà il decreto attuativo, atteso entro fine 2026: se dovesse alzare l’asticella sulla firma, lo saprai da lì, non da un venditore.
Cosa deve dimostrare un consenso: chi, quando, cosa
In una contestazione, il consenso deve rispondere a tre domande. Chi ha firmato, quando, e cosa c’era scritto in quel momento. La carta risponde male a tutte e tre: il «chi» finisce in perizia calligrafica, il «quando» è una data scritta a penna che nulla dimostra sia stata scritta prima del trattamento, il «cosa» si regge sulla buona fede, perché un foglio si sostituisce e una casella si barra dopo. Ne abbiamo parlato nel confronto tra digitale e cartaceo.
Un sistema con codice SMS ben fatto risponde così, e questi sono gli elementi che dovresti pretendere da qualunque strumento:
Chi. Il codice monouso arriva sul telefono del cliente e vale pochi minuti: solo chi ha quel telefono in mano, in quel momento, può completare la firma. Il numero resta scritto nel documento. Non è un’identificazione forte come un documento d’identità, ma in Italia una SIM è intestata a una persona identificata, e il cliente è fisicamente nel tuo studio, davanti a te, mentre firma. Le due cose insieme pesano.
Quando. La data e l’ora le registra il server nel momento esatto in cui il codice viene confermato, con una precisione al secondo. Nessuno le scrive a mano e nessuno le può retrodatare dalla reception. Poiché il codice vale pochi minuti, la firma è ancorata a quel momento, non a «un giorno di quella settimana».
Cosa. Al momento della firma il sistema calcola l’impronta crittografica del PDF (un hash SHA-256): una sequenza che cambierebbe completamente se anche una virgola del documento venisse toccata. Ogni volta che il documento viene riaperto l’impronta si ricalcola e si confronta: se non coincide, il file non viene consegnato. In più, ogni passaggio (invio, firma, creazione del documento) finisce in un registro eventi a catena, in cui ogni voce contiene l’impronta della precedente. Un’alterazione o una cancellazione a posteriori non sparisce: si vede.
E il tatuatore. La Legge 99/2026 vuole anche la sottoscrizione di chi esegue. In digitale la controfirma non è uno scarabocchio con il dito: è l’atto di predisporre e inviare quel consenso da un account autenticato dello studio. Il documento dice chi ha eseguito il trattamento e quale account lo ha inviato alla firma, con data e ora.
Metti insieme questi quattro elementi e hai esattamente ciò che l’art. 20 chiede al giudice di valutare: sicurezza, integrità, immutabilità. È molto più di quanto un foglio firmato a penna possa mai offrire.
Cosa questa firma non è
Il modo migliore per difendere un consenso digitale è non raccontare più di quello che fa.
Non è una firma avanzata o qualificata. Se un giorno il decreto attuativo dovesse pretendere una firma avanzata, servirà un passaggio in più (l’acquisizione del documento d’identità del cliente) e uno strumento serio lo aggiungerà. Oggi la legge non lo chiede, e non prevede sanzioni.
Non è una marca temporale qualificata. La data e l’ora le certifica il sistema, non un ente terzo accreditato. Per un consenso raccolto in studio è più che adeguato, ma la differenza tra «registrato dal sistema» e «certificato da un terzo» esiste, ed è giusto conoscerla.
Non dimostra che il cliente abbia letto. Nessuna firma lo dimostra, nemmeno quella a penna. Quello che puoi fare è raccogliere il consenso in modo che la lettura sia probabile: sul suo telefono, con i suoi tempi, con l’anamnesi compilata voce per voce invece di una riga generica. Il «come» pesa sul valore del documento tanto quanto la firma.
Domande frequenti
Se il cliente dice «non ero io a firmare»?
Dovrebbe spiegare come un codice arrivato sul suo numero, confermato mentre era nel tuo studio, sia stato usato da qualcun altro. Con una firma a penna gli basta dire «non è la mia grafia» e la palla passa a un perito. Un consiglio pratico: il numero di telefono lo inserisce il cliente davanti a te, o tu con lui: è il dato che lega la firma alla persona.
Il codice via SMS è meglio di quello via email?
Sì. Un’email si crea in un minuto e non è intestata a nessuno; una SIM italiana è registrata con un documento d’identità. L’SMS lega la firma a un oggetto fisico che il cliente ha in tasca e a un’identità verificata da qualcuno prima di te.
Una firma con il dito sul tablet vale di più?
Di solito vale di meno. Un tratto disegnato sullo schermo, senza raccolta dei dati biometrici (pressione, velocità, ritmo) e senza le regole della firma avanzata, è anch’esso una firma semplice, ma senza il codice monouso, spesso senza impronta del documento e con un tablet che passa di mano in mano. Sembra una firma perché somiglia a quella su carta; giuridicamente è più fragile di un OTP ben registrato.
E se un giorno cambio software o il fornitore chiude?
I consensi devono essere tuoi: PDF in formato d’archivio (PDF/A), scaricabili in qualunque momento, ciascuno con la sua impronta. Prima di scegliere uno strumento verifica che l’esportazione esista davvero. Come conservarli, e per quanto, lo trovi nella guida alla conservazione dei consensi.
Per un minorenne la firma con il codice basta?
Firma il genitore o il tutore, con il suo telefono, e in quel caso è buona norma acquisire anche il suo documento d’identità: lo spieghiamo nella guida ai consensi per i minorenni.
Le informazioni di questo articolo sono aggiornate a settembre 2026 e hanno valore orientativo. I riferimenti normativi (Reg. UE 910/2014 e 2024/1183, art. 20 D.Lgs. 82/2005, L. 15 maggio 2026 n. 99) sono citati per orientare la scelta dello strumento, non sostituiscono un parere legale sul singolo caso. Il decreto attuativo della Legge 99/2026 potrà precisare i requisiti del modulo e della firma.
Vuoi un consenso che a quelle tre domande risponda da solo? Con Needles il cliente firma dal suo telefono con un codice via SMS: data e ora registrate dal sistema, impronta SHA-256 del PDF/A ricontrollata a ogni apertura, registro eventi a catena, archivio cifrato e controfirma dello studio nel documento. I primi 20 consensi sono gratis, senza carta di credito: crea l’account dalla home.