Conservazione digitale dei documenti: obblighi e criteri per il fornitore

Conservazione digitale: non è archiviazione, è un servizio regolato

Salvare un file su un disco, su un server aziendale o su un cloud generico non è conservazione digitale a norma. La conservazione protegge e custodisce nel tempo archivi di documenti e dati informatici.

Il sistema previsto dall’art. 44 del CAD deve garantirne autenticità, integrità, affidabilità, leggibilità e reperibilità, con le modalità delle Linee guida (art. 44, comma 1-ter, d.lgs. n. 82/2005). Il valore giuridico e probatorio nel tempo dipende da questi cinque requisiti, non dallo spazio di memoria.

AgID fissa le modalità operative: natura e funzione del sistema, modelli organizzativi, ruoli e funzioni dei soggetti coinvolti, descrizione del processo e profili professionali dei responsabili impiegati. Il servizio del fornitore non è quindi configurabile liberamente. Processi, figure e documentazione devono corrispondere alla regolamentazione. Su questi elementi committente e autorità di controllo valutano l’offerta.

Le pubbliche amministrazioni devono conservare tutti i documenti formati nella loro azione amministrativa. Per il registro giornaliero di protocollo, dall’11 ottobre 2015 l’art. 7, comma 5, delle Regole tecniche per il Protocollo informatico impone l’invio in conservazione entro la giornata lavorativa successiva.

Sempre per la PA, almeno una volta all’anno il responsabile della gestione dei documenti informatici trasmette al sistema di conservazione fascicoli e serie documentarie, anche di procedimenti non conclusi (art. 44, comma 1-bis). Un fornitore incapace di gestire versamenti ricorrenti e programmati non può rispettare queste cadenze.

Le fonti che il fornitore deve conoscere

Il quadro di riferimento integra più fonti. Il Codice dell’amministrazione digitale (d.lgs. n. 82/2005) fissa i requisiti del sistema di conservazione (art. 44) e le regole tecniche (art. 71). Le Linee guida AgID sulla formazione, gestione e conservazione del documento informatico, emanate a settembre 2020, dettano le modalità operative.

Si aggiunge il Regolamento sui criteri per la fornitura dei servizi di conservazione dei documenti informatici, adottato con Determinazione AgID n. 455/2021. L’Allegato A contiene requisiti generali, di qualità, di sicurezza e organizzazione per la fornitura del servizio; l’Allegato B indicazioni per il piano di cessazione del servizio. Il Regolamento è stato modificato con Determinazione n. 629/2021 per la parte sulla piattaforma di presentazione della domanda di qualificazione.

Date e abrogazioni incidono sui contratti. Il Regolamento è emanato ai sensi dell’art. 34, comma 1-bis, del CAD; è stato integrato e modificato dal Decreto Semplificazione (D.L. 76/2020, convertito con Legge n. 120/2020) ed è in vigore dal 1° gennaio 2022. Da quella data è abrogata la circolare n. 65/2014: un capitolato o un’offerta che la richiamano ancora segnalano documentazione non aggiornata e vanno corretti prima della firma.

Sul fronte europeo, il Regolamento eIDAS (Reg. UE n. 910/2014, emanato il 23 luglio 2014, con piena efficacia dal 1° luglio 2016) disciplina i servizi fiduciari usati nella conservazione: firma elettronica, sigillo elettronico, validazione temporale elettronica, recapito elettronico certificato e autenticazione di siti web. Definisce anche il ruolo dei Qualified Trust Service Provider.

L’art. 25, comma 3, stabilisce che una firma elettronica qualificata basata su un certificato qualificato rilasciato in uno Stato membro è riconosciuta come firma elettronica qualificata in tutti gli altri Stati membri. I formati richiesti sono definiti nella Decisione di esecuzione (UE) 2015/1506 dell’8 settembre 2015, tra cui il formato PDF.

Per il fornitore è un requisito di interoperabilità. Firme, sigilli e marche temporali usati nella sottoscrizione dei pacchetti devono restare verificabili anche fuori dal contesto nazionale in cui sono stati apposti.

Principali date e abrogazioni nel quadro della conservazione digitale in Italia

Requisiti generali, di qualità, sicurezza e organizzazione: l'Allegato A

L’Allegato A al Regolamento adottato con la Determinazione n. 455/2021 contiene i requisiti generali e quelli di qualità, sicurezza e organizzazione necessari per fornire il servizio di conservazione. Per chi valuta un’offerta, è la griglia con cui leggere le dichiarazioni del fornitore, requisito per requisito.

Il profilo organizzativo richiede figure individuate, non generiche. AgID definisce i profili professionali dei responsabili impiegati nel processo di conservazione. In gara o in trattativa, chiedi la mappatura nominativa di queste figure e delle rispettive interfacce, indicando chi svolge quale attività del processo.

Il processo di conservazione gestito dal fornitore

Il servizio si articola in fasi verificabili, che devono tutte comparire nel contratto. Nel versamento, documenti e metadati associati vengono ricevuti, trasformati in pacchetti di versamento controllati e verificati, con rilascio contestuale del rapporto di versamento. Questo documento attesta cosa è entrato nel sistema; il committente deve riceverlo e conservarlo come prova della presa in carico.

Seguono la formazione dei pacchetti di archiviazione (PdA) e la generazione dell’indice dei pacchetti di archiviazione (iPdA); l’iPdA viene sottoscritto con firma digitale e marca temporale. Non sono adempimenti formali: la firma digitale identifica il soggetto che esegue la conservazione e la marca temporale fissa un riferimento temporale opponibile. Entrambi rientrano tra i servizi fiduciari disciplinati da eIDAS. Il processo prosegue con la memorizzazione del PdA e la registrazione del processo di conservazione, che rende ricostruibile e documentabile l’intera operazione.

La validità nel tempo va mantenuta attivamente, non presupposta. Il processo prevede duplicati informatici o copie informatiche, anche per adeguare il formato all’evoluzione tecnologica. Per definizione del CAD, il duplicato informatico è il documento ottenuto memorizzando, sullo stesso dispositivo o su dispositivi diversi, la medesima sequenza di valori binari del documento originario.

Alla scadenza dei termini di conservazione previsti dalla normativa si scarta il pacchetto di archiviazione, informandone il produttore. Per archivi pubblici o privati di interesse storico, lo scarto richiede l’autorizzazione del Ministero per i beni e le attività culturali, rilasciata al produttore secondo il d.lgs. 42/2004.

Fasi del processo di conservazione digitale conforme al CAD

Continuità, reversibilità e piano di cessazione del servizio

L’Allegato B al Regolamento AgID contiene le indicazioni per il piano di cessazione del servizio. Decide se il committente resta vincolato al fornitore: se il contratto non disciplina l’uscita, pacchetti di archiviazione e metadati possono risultare non trasferibili.

Il piano di cessazione va redatto secondo l’Allegato B e richiamato nel contratto. Così l’uscita dal servizio non resta priva di disciplina.

La reversibilità è anche un requisito tecnico. I documenti devono restare accessibili, leggibili e validi al cambio di fornitore o di ambiente tecnologico: a tal fine il processo di conservazione prevede la produzione di copie e duplicati informatici, anche per adeguare il formato. Un’offerta che condiziona l’esportazione a formati proprietari, o non descrive il passaggio dei metadati associati, introduce un rischio di lock-in. Questo rischio non si scarica sul fornitore uscente ma ricade su chi ha l’obbligo di conservare.

Qualificazione AgID, Cloud Marketplace e contratti delle pubbliche amministrazioni

Il riferimento per qualificare i fornitori è la sezione «servizi di conservazione» del Cloud Marketplace di AgID. La Determinazione n. 629/2021 ha approvato il testo modificato del Regolamento proprio per la piattaforma di presentazione della domanda di qualificazione. La domanda va presentata sulla piattaforma indicata dal Regolamento vigente.

Le pubbliche amministrazioni che affidano la conservazione a soggetti non presenti nella sezione del Cloud Marketplace dedicata ai servizi di conservazione hanno un obbligo preciso. Devono trasmettere ad AgID i contratti entro trenta giorni dalla stipula. L’Agenzia verifica così i requisiti generali e quelli di qualità, sicurezza e organizzazione dell’Allegato A del Regolamento.

Responsabile della conservazione: ruolo, interfacce e responsabilità

Il responsabile della conservazione risponde del processo e ne coordina le interfacce interne. Il CAD prevede che operi d’intesa con il responsabile del trattamento dei dati personali, con il responsabile della sicurezza e con il responsabile dei sistemi informativi.

Nella PA opera d’intesa anche con i soggetti del comma 1-bis dell’art. 44, primo fra tutti il responsabile della gestione documentale, oltre che con il responsabile del sistema di conservazione. Il sistema di gestione informatica dei documenti della PA è gestito da un responsabile. Questi opera d’intesa con il dirigente dell’ufficio di cui all’art. 17 del CAD e con il responsabile del trattamento dei dati personali, ove nominato.

Ai sensi della lettera b) del comma 1-bis dell’art. 34, il responsabile della conservazione può affidare la conservazione dei documenti informatici ad altri soggetti, pubblici o privati, che offrano idonee garanzie organizzative, tecnologiche e di protezione dei dati personali.

Nella PA il responsabile effettua la conservazione secondo tale comma, operando d’intesa con i responsabili già richiamati. L’outsourcing va deciso e documentato internamente; il committente deve poter dimostrare quali garanzie ha valutato prima di scegliere il fornitore.

Da qui le richieste da rivolgere al fornitore. Chiedi nominativo e contatti del responsabile della conservazione lato fornitore e l’elenco dei profili professionali impiegati nel processo come definiti da AgID.

Chiedi inoltre la descrizione delle modalità di interazione con il responsabile della sicurezza e con il responsabile della protezione dei dati del committente. Per la PA, verifica la coerenza con il sistema di gestione informatica dei documenti gestito dal responsabile di cui al comma 1-bis dell’art. 44.

Criteri pratici per scegliere un fornitore o impostare un'offerta conforme

Conformità e qualificazione. Chiedi su quale base normativa e tecnica si fonda l’offerta e se il fornitore è qualificato per i servizi di conservazione nel Cloud Marketplace. Verifica che la mappatura delle figure professionali e dei responsabili corrisponda a quanto richiesto per il processo di conservazione. Per gli affidamenti delle pubbliche amministrazioni, controlla che il contratto richiami gli obblighi di trasmissione ad AgID nei casi e nei termini previsti.

Processo e ciclo di vita. Fatti descrivere fase per fase come il fornitore gestisce il processo di conservazione e quali documenti rilascia al committente in ciascuna fase. Chiedi che le attività siano contrattualizzate come fasi distinte, con tempi e modalità di verifica reciproca (v. sezione «Il processo di conservazione gestito dal fornitore»).

Formati, metadati e interoperabilità. Fatti indicare quali formati e metadati associati vengono gestiti e come avviene l’esportazione. Chiedi che firme, sigilli e marche temporali siano descritti con i formati e i requisiti di riconoscimento applicabili. Così i pacchetti restano verificabili nel lungo periodo e fuori dal contesto nazionale (v. sezione «Le fonti che il fornitore deve conoscere»).

Uscita, assistenza e aggiornamento. Il contratto deve richiamare un piano di cessazione secondo l’Allegato B, perché l’uscita dal servizio sia disciplinata. Assistenza e aggiornamento tecnologico vanno valutati come parte del servizio: la leggibilità nel tempo dipende dall’adeguamento periodico di formati e supporti.

Criteri pratici per scegliere un fornitore conforme alla normativa italiana