Conservazione digitale dei documenti: obblighi e criteri per il fornitore

Conservazione digitale: non è archiviazione, è un servizio regolato

Salvare un file su un disco, su un server aziendale o su un cloud generico non è conservazione digitale a norma. La conservazione protegge e custodisce nel tempo archivi di documenti e dati informatici; il sistema previsto dall'art. 44 del CAD deve garantirne autenticità, integrità, affidabilità, leggibilità e reperibilità, con le modalità delle Linee guida (art. 44, comma 1-ter, d.lgs. n. 82/2005). Sono questi cinque requisiti, non lo spazio di memoria, a determinare il valore giuridico e probatorio nel tempo.

AgID fissa le modalità operative della conservazione: natura e funzione del sistema, modelli organizzativi, ruoli e funzioni dei soggetti coinvolti, descrizione del processo e profili professionali dei responsabili impiegati. Per il fornitore, quindi, il servizio non è configurabile liberamente: processi, figure e documentazione devono corrispondere alla regolamentazione, perché su questi elementi committente e autorità di controllo valutano l'offerta.

Il perimetro degli obblighi conta quando si progetta o si acquista il servizio. Le pubbliche amministrazioni devono conservare tutti i documenti formati nella loro azione amministrativa; per il registro giornaliero di protocollo, dall'11 ottobre 2015 l'art. 7, comma 5, delle Regole tecniche per il Protocollo informatico impone l'invio in conservazione entro la giornata lavorativa successiva. Sempre per la PA, almeno una volta all'anno il responsabile della gestione dei documenti informatici trasmette al sistema di conservazione fascicoli e serie documentarie, anche di procedimenti non conclusi (art. 44, comma 1-bis). Un fornitore incapace di gestire versamenti ricorrenti e programmati non può rispettare queste cadenze.

Contrasto tra conservazione digitale e archiviazione generica

Le fonti che il fornitore deve conoscere

Il quadro di riferimento integra più fonti. Il Codice dell'amministrazione digitale (d.lgs. n. 82/2005) fissa i requisiti del sistema di conservazione (art. 44) e le regole tecniche (art. 71); le Linee guida AgID sulla formazione, gestione e conservazione del documento informatico, emanate a settembre 2020, dettano le modalità operative. Si aggiunge il Regolamento sui criteri per la fornitura dei servizi di conservazione dei documenti informatici, adottato con Determinazione AgID n. 455/2021, con Allegato A (requisiti generali, di qualità, di sicurezza e organizzazione per la fornitura del servizio) e Allegato B (indicazioni per il piano di cessazione del servizio), modificato con Determinazione n. 629/2021 per la parte sulla piattaforma di presentazione della domanda di qualificazione.

Date e abrogazioni incidono sul contenuto dei contratti. Il Regolamento è emanato ai sensi dell'art. 34, comma 1-bis, del CAD, integrato e modificato dal Decreto Semplificazione (D.L. 76/2020, convertito con Legge n. 120/2020), ed è in vigore dal 1° gennaio 2022: da quella data è abrogata la circolare n. 65/2014. Un capitolato o un'offerta che richiamano ancora la circolare abrogata segnalano documentazione non aggiornata e vanno corretti prima della firma.

Sul fronte europeo, il Regolamento eIDAS (Reg. UE n. 910/2014, emanato il 23 luglio 2014, con piena efficacia dal 1° luglio 2016) disciplina i servizi fiduciari usati nella conservazione: firma elettronica, sigillo elettronico, validazione temporale elettronica, recapito elettronico certificato e autenticazione di siti web, oltre al ruolo dei Qualified Trust Service Provider. L'art. 25, comma 3, stabilisce che una firma elettronica qualificata basata su un certificato qualificato rilasciato in uno Stato membro è riconosciuta come firma elettronica qualificata in tutti gli altri Stati membri; i formati richiesti sono definiti nella Decisione di esecuzione (UE) 2015/1506 dell'8 settembre 2015, tra cui il formato PDF. Per il fornitore è un requisito di interoperabilità: firme, sigilli e marche temporali usati nella sottoscrizione dei pacchetti devono restare verificabili anche fuori dal contesto nazionale in cui sono stati apposti.

Requisiti generali, di qualità, sicurezza e organizzazione: l'Allegato A

L'Allegato A al Regolamento adottato con la Determinazione n. 455/2021 contiene i requisiti generali e quelli di qualità, sicurezza e organizzazione necessari per fornire il servizio di conservazione. Per chi valuta un'offerta, è la griglia con cui leggere le dichiarazioni del fornitore, requisito per requisito.

Il profilo organizzativo richiede figure individuate, non generiche. AgID definisce i profili professionali dei responsabili impiegati nel processo di conservazione. In gara o in trattativa, chiedi la mappatura nominativa di queste figure e delle rispettive interfacce, indicando chi svolge quale attività del processo.

Requisiti chiave per la conservazione digitale secondo AgID

Il processo di conservazione gestito dal fornitore

Il servizio si articola in fasi verificabili, che devono tutte comparire nel contratto. Nel versamento, documenti e metadati associati vengono ricevuti, trasformati in pacchetti di versamento controllati e verificati, con rilascio contestuale del rapporto di versamento. Questo documento attesta cosa è entrato nel sistema; il committente deve riceverlo e conservarlo come prova della presa in carico.

Seguono la formazione dei pacchetti di archiviazione (PdA) e la generazione dell'indice dei pacchetti di archiviazione (iPdA); l'iPdA viene sottoscritto con firma digitale e marca temporale. Non sono adempimenti formali: la firma digitale identifica il soggetto che esegue la conservazione e la marca temporale fissa un riferimento temporale opponibile; entrambi rientrano tra i servizi fiduciari disciplinati da eIDAS. Il processo prosegue con la memorizzazione del PdA e la registrazione del processo di conservazione, che rende ricostruibile e documentabile l'intera operazione.

La validità nel tempo va mantenuta attivamente, non presupposta. Il processo prevede duplicati informatici o copie informatiche, anche per adeguare il formato all'evoluzione tecnologica: per definizione del CAD, il duplicato informatico è il documento ottenuto memorizzando, sullo stesso dispositivo o su dispositivi diversi, la medesima sequenza di valori binari del documento originario. Alla scadenza dei termini di conservazione previsti dalla normativa si scarta il pacchetto di archiviazione, informandone il produttore; per archivi pubblici o privati di interesse storico, lo scarto richiede l'autorizzazione del Ministero per i beni e le attività culturali, rilasciata al produttore secondo il d.lgs. 42/2004.

Continuità, reversibilità e piano di cessazione del servizio

L'Allegato B al Regolamento AgID contiene le indicazioni per il piano di cessazione del servizio. Decide se il committente resta vincolato al fornitore: se il contratto non disciplina l'uscita, pacchetti di archiviazione e metadati possono risultare non trasferibili, mentre l'obbligo di conservazione resta in capo al responsabile della conservazione del committente.

Il piano di cessazione va quindi redatto secondo l'Allegato B e richiamato nel contratto, perché l'uscita dal servizio non resti priva di disciplina.

La reversibilità è anche un requisito tecnico. I documenti devono restare accessibili, leggibili e validi al cambio di fornitore o di ambiente tecnologico: è la funzione delle copie e dei duplicati informatici prodotti nel tempo, che adeguano formato e supporto senza alterare la sequenza binaria. Un'offerta che condiziona l'esportazione a formati proprietari, o non descrive il passaggio dei metadati associati, introduce un rischio di lock-in che non si scarica sul fornitore uscente ma ricade su chi ha l'obbligo di conservare.

Qualificazione AgID, Cloud Marketplace e contratti delle pubbliche amministrazioni

Il riferimento per qualificare i fornitori è la sezione «servizi di conservazione» del Cloud Marketplace di AgID. Con la Determinazione n. 629/2021 è stato approvato il testo modificato del Regolamento proprio per la piattaforma con cui si sottopone la domanda di qualificazione: la domanda va presentata sulla piattaforma indicata dal Regolamento vigente.

Per le pubbliche amministrazioni che affidano la conservazione a soggetti non iscritti nella sezione «servizi di conservazione» del Cloud Marketplace c'è un obbligo preciso: trasmettere ad AgID i contratti entro trenta giorni dalla stipula, perché l'Agenzia possa verificare i requisiti generali e quelli di qualità, sicurezza e organizzazione dell'Allegato A del Regolamento.

Responsabile della conservazione: ruolo, interfacce e responsabilità

Il responsabile della conservazione risponde del processo e ne coordina le interfacce interne. Il CAD prevede che operi d'intesa con il responsabile del trattamento dei dati personali, con il responsabile della sicurezza e con il responsabile dei sistemi informativi; nella PA opera d'intesa anche con i soggetti dell'art. 44, comma 1-bis, primo fra tutti il responsabile della gestione documentale, oltre che con il responsabile del sistema di conservazione. Il sistema di gestione informatica dei documenti della PA è gestito da un responsabile che opera d'intesa con il dirigente dell'ufficio di cui all'art. 17 del CAD e con il responsabile del trattamento dei dati personali, ove nominato.

L'affidamento a terzi è ammesso, ma non trasferisce l'obbligo. Ai sensi dell'art. 34, comma 1-bis, lettera b), il responsabile della conservazione può affidare la conservazione dei documenti informatici ad altri soggetti, pubblici o privati, che offrano idonee garanzie organizzative, tecnologiche e di protezione dei dati personali. Nella PA il responsabile effettua la conservazione secondo l'art. 34, comma 1-bis, operando d'intesa con i responsabili già richiamati: l'outsourcing va deciso e documentato internamente, e il committente deve poter dimostrare quali garanzie ha valutato prima di scegliere il fornitore.

Da qui le richieste da rivolgere al fornitore: nominativo e contatti del responsabile della conservazione lato fornitore; elenco dei profili professionali impiegati nel processo come definiti da AgID; descrizione delle modalità di interazione con il responsabile della sicurezza e con il responsabile della protezione dei dati del committente; per la PA, coerenza con il sistema di gestione informatica dei documenti gestito dal responsabile di cui all'art. 44, comma 1-bis.

Criteri pratici per scegliere un fornitore o impostare un'offerta conforme

Conformità e qualificazione. Chiedi su quale base normativa e tecnica si fonda l'offerta e se il fornitore è iscritto nella sezione «servizi di conservazione» del Cloud Marketplace. Verifica che la mappatura delle figure professionali e dei responsabili corrisponda a quanto richiesto per il processo di conservazione. Per gli affidamenti delle pubbliche amministrazioni, controlla che il contratto richiami gli obblighi di trasmissione ad AgID nei casi e nei termini previsti.

Processo e ciclo di vita. Fatti descrivere fase per fase come il fornitore gestisce il processo di conservazione e quali documenti rilascia al committente in ciascuna fase. Chiedi che le attività siano contrattualizzate come fasi distinte, con tempi e modalità di verifica reciproca (v. sezione «Il processo di conservazione gestito dal fornitore»).

Formati, metadati e interoperabilità. Fatti indicare quali formati e metadati associati vengono gestiti e come avviene l'esportazione. Chiedi che firme, sigilli e marche temporali siano descritti con i formati e i requisiti di riconoscimento applicabili, così che i pacchetti restino verificabili nel lungo periodo e fuori dal contesto nazionale (v. sezione «Le fonti che il fornitore deve conoscere»).

Uscita, assistenza e aggiornamento. Il contratto deve richiamare un piano di cessazione secondo l'Allegato B, perché l'uscita dal servizio sia disciplinata. Assistenza e aggiornamento tecnologico vanno valutati come parte del servizio: la leggibilità nel tempo dipende dall'adeguamento periodico di formati e supporti.