Conservazione dei documenti: linee guida Agid

Il codice dell’Amministrazione Digitale è il testo che disciplina le modalità attraverso cui la Pubblica Amministrazione utilizza gli strumenti informatici. Quando è un ente pubblico ad essere coinvolto in uno scambio di documenti attraverso gli strumenti informatici, si determinano sempre effetti giuridici e ciò ha così necessità di essere disciplinato con delle regole ad hoc, diverse da quelle del privato. Gli enti privati, infatti, nello scambio della documentazione tra le parti fino ad oggi non dovevano sottostare a delle norme giuridiche vincolanti, risultando soltanto regolamentate a fini di indirizzo, dal diritto.

Nelle scorse settimane invece qualcosa è cambiato, con l’emissione delle cosiddette Linee Guida sulla Formazione, Gestione e Conservazione dei documenti informatici, le quali – come si evince dal capitolo 1 – sono vincolanti, finalmente l’Italia si dota di un corpus unico di regole sul documento informatico, che unisce in una regolamentazione unica pubblico e privato.  Questo registro normativo redatto dall’AgID (Agenzia Italia Digitale) è formato da un documento principale e sei allegati, in questo articolo ci concentriamo soltanto sull’ultimo punto, ovvero la Conservazione dei documenti informatici da parte della Pubblica Amministrazione. Va però precisato che per la loro effettiva entrata in vigore bisognerà aspettare non prima di Giugno 2021. Questo periodo di transizione permetterà a tutte le Pubbliche Amministrazioni e i soggetti privati che trattano documenti informatici, di adeguarsi prima che diventino effettive e possono subire sanzioni.

Novità 2020

Nell’aggiornamento del 12 settembre 2020 – con applicazione a partire dal duecento settantesimo giorno successivo alla loro entrata in vigore – le nuove Linee guida di AgID mirano ad aggiornare, migliorare ed esplicare diversi aspetti della gestione e conservazione dei documenti, sia in mano ai privati che alle Pubbliche Amministrazioni. Questo codice di disciplina unico che disciplina pubblico e privato è già una novità.

Le nuove Linee Guida AgID nascono come unificatrici dei tre DPCM emanati per cercare di disciplinare la materia dei dati informatici all’interno degli enti pubblici, con atti singoli per ogni materia. Con l’entrata in vigore di questo testo unico, la loro attività sarà abrogata, in favore di un testo unico che possa essere esaustivo di diversi ambiti. In particolare facciamo riferimento a: DPCM 13 novembre 2014, contenente “Regole tecniche in materia di formazione, trasmissione, copia, duplicazione, riproduzione e validazione temporale dei documenti informatici”; DPCM 3 dicembre 2013, contenente “Regole tecniche in materia di sistema di conservazione” ed ancora il DPCM 3 dicembre 2013, contenente “Regole tecniche per il protocollo informatico”, il quale sarà solo parzialmente abrogato.

Ma cosa dice davvero questo nuovo testo? Data la consapevolezza che queste nuove Linee Guida AgID mirano a semplificare la vita degli utenti, funzionari della PA e privati, non c’è alcuna ambizione verso lo stravolgimento dei protocolli precedenti, piuttosto delle direttive di integrazione che possano rendere più efficiente e funzionale il sistema di archiviazione dei dati.

Risulta così confermata la natura del sistema di conservazione, come un insieme di regole, procedure e tecnologie strutturate in modo tale da garantire le caratteristiche di autenticità, integrità, affidabilità, leggibilità, reperibilità ai documenti informatici singoli o organizzati all’interno di fascicoli, serie o interi archivi. Il sistema di conservazione deve essere in grado di conservare anche aggregazioni documentali unitamente ai loro metadati e ai loro vincoli archivistici (eventualmente espressi negli stessi metadati o anche nell’indice dei pacchetti di archiviazione). Interessante, soprattutto per i non rari casi di migrazione ad altro conservatore, il riferimento non più solo ai fascicoli (correttamente integrato con le serie documentali), ma anche ad interi archivi.

I fornitori dei servizi di conservazione devono soddisfare requisiti di elevato livello in termini di qualità e sicurezza in aderenza allo standard ISO/IEC 27001 (Information security management systems – Requirements) del sistema di gestione della sicurezza delle informazioni nel dominio logico, fisico e organizzativo nel quale viene realizzato il processo di conservazione e ISO 14721 OAIS (Open Archival Information System – Sistema informativo aperto per l’archiviazione), e alle raccomandazioni ETSI TS 101 533-1 v. 1.2.1 (Requisiti per realizzare e gestire sistemi sicuri e affidabili per la conservazione elettronica delle informazioni).

Una novità davvero “digitale” è la sottoscrizione del PdA la quale dovrebbe avvenire, si legge: con firma digitale o firma elettronica qualificata o avanzata del responsabile della conservazione o dal responsabile del servizio di conservazione con il sigillo elettronico qualificato o avanzato del titolare dell’oggetto di conservazione o del conservatore. Dalle interpretazioni date fino ad adesso dagli esperti di Diritto Amministrativo sembra che la sottoscrizione con firma elettronica (avanzata, qualificata o digitale) potrà avvenire solo da parte del Responsabile della conservazione; in alternativa, il Responsabile del servizio, potrà apporre il sigillo elettronico del Conservatore o del Titolare dell’oggetto da conservare (che però dovrebbe affidare il proprio sigillo a una persona esterna alla propria organizzazione, e sembra quest’ultima essere interpretazione non allineata con lo spirito della normativa europea attualmente in vigore).

Altra interessante novità è l’obbligo (non previsto dalle precedenti regole tecniche) di firmare digitalmente o sigillare elettronicamente i pacchetti di distribuzione rilasciati su richiesta degli utenti. Sempre nell’ottica di chiarire i rapporti tra Titolare dell’oggetto da conservare e conservatore esterno, viene richiesto alle parti di concordare le modalità di realizzazione del servizio di conservazione e riportarne la fedele descrizione sia nel Manuale della conservazione sia nel manuale del conservatore.

Nelle linee guida: “Le componenti tecnologiche hardware e software utilizzate dai sistemi di conservazione delle Pubbliche Amministrazioni e dei conservatori sono segregate logicamente. Qualora i servizi di conservazione siano erogati in modalità cloud, il servizio deve essere qualificato come previsto dalla Circolare Agid n. 3 del 9 aprile 2018 e, conseguentemente, essere presente nel “Catalogo dei servizi Cloud per la PA qualificati” pubblicato sul sito di Agid”. Nel paragrafo 4.11 vengono stabilite le regole per la selezione e scarto dei documenti informatici. Queste regole sono importanti e costituiscono un’importante indirizzo sul tema dell’archiviazione del documento informatico. Il documento cartaceo occupa spazio il documento informatico non ha questo problema. Ma per evitare di conservare tutto, perché semplicemente non serve, bisogna ragionare, anche nel mondo digitale della selezione e scarto.

Modelli organizzativi della conservazione, i ruoli e le responsabilità

I ruoli

I ruoli delle parti coinvolte nel processo di conservazione dei dati digitali non viene mutata, ma vengono chiariti limiti e responsabilità vigenti nei rapporti tra Titolare dell’oggetto della conservazione, Responsabile della conservazione e conservatore nei casi di affidamento all’esterno della conservazione (terze persone responsabili).

Proprio in merito a quest’ultimo caso- ovvero la cessione dell’onere di conservazione dei dati a terze persone delegate dalla PA- si legge testualmente nelle Linee Guida AgID, “il produttore di PdV provvede a generare e trasmettere al sistema di conservazione i pacchetti di versamento nelle modalità e con i formati concordati con il conservatore e descritti nel manuale di conservazione del sistema di conservazione. Provvede inoltre a verificare il buon esito della operazione di trasferimento al sistema di conservazione tramite la presa visione del rapporto di versamento prodotto dal sistema di conservazione stesso”.

Nel caso delle Pubbliche Amministrazioni, non viene negata la possibilità di affidare conto terzi l’atto di archiviazione e conservazione dei dati digitali, ma viene posto l’obbligo di nominare un Responsabile Interno di questo processo.  Nel caso delle amministrazioni private, anche il Responsabile può essere un esterno alla società, a patto che sia in possesso di specifici requisiti giuridici, informatici ed archivistici e purché sia terzo rispetto al Conservatore al fine di garantire la funzione di verifica del Titolare dell’oggetto di conservazione rispetto al sistema di conservazione. Tutto questo per puntare alla competenza della figura che deve vigilare sull’integrità e la correttezza di tali operazioni.

Le responsabilità

Il Responsabile delle operazioni di Conservazione dei documenti informatici per la Pubblica Amministrazione, ha ancora la possibilità di delegare attività singole ai dipartimenti della propria struttura afferente, unica attività non delegabile resta quella della redazione del Manuale della conservazione che ogni Titolare, per il tramite del Responsabile nominato, deve redigere in proprio.

Sulla figura del Responsabile resta salda la responsabilità giuridica generale sui processi di conservazione. È per questo che il nominativo ed i riferimenti di quest’ultimo devono essere indicati nelle specifiche del contratto o della convenzione di servizio con il conservatore nel quale sono anche riportate le attività affidate al Responsabile del servizio di conservazione, visibile nella sezione “Amministrazione trasparente” prevista dall’art. 9 del d.lgs. 33/2013.

I modelli organizzativi

Il processo di conservazione può essere svolto all’interno o all’esterno della struttura organizzativa dell’ente. Le Pubbliche Amministrazioni realizzano il processo di conservazione ai sensi dall’art. 34, comma 1-bis, del CAD 3, fatte salve le competenze del Ministero per i beni e le attività culturali ai sensi del decreto legislativo 22 gennaio 2004, n. 42. Le Pubbliche Amministrazioni possono esternalizzare il servizio di conservazione solo attraverso l’affidamento ad un conservatore accreditato. I requisiti del processo di conservazione, le responsabilità e i compiti del responsabile della conservazione e del responsabile del servizio di conservazione, e le loro modalità di interazione sono formalizzate nel manuale di conservazione del Titolare dell’oggetto della conservazione e nelle specifiche del contratto o della convenzione di servizio. Tali modalità trovano riscontro anche nel manuale di conservazione del conservatore accreditato.