Salta al contenuto

DIRITTI E PREVENZIONE > COME TUTELARE LA TUA PRIVACY

ricerca avanzata

Parere del Garante sullo schema di decreto del Presidente del Consiglio dei Ministri recante regole tecniche in materia di formazione, trasmissione, conservazione, copia, duplicazione, riproduzione e validazione temporale dei documenti informatici - 24 aprile 2013 [2460830]

[doc. web n. 2460830]

Parere del Garante sullo schema di decreto del Presidente del Consiglio dei Ministri recante regole tecniche in materia di formazione, trasmissione, conservazione, copia, duplicazione, riproduzione e validazione temporale dei documenti informatici - 24 aprile 2013

Registro dei provvedimenti
n. 213 del 24 aprile 2013

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

Nella riunione odierna, in presenza del dott. Antonello Soro, presidente, della dott.ssa Augusta Iannini, vice presidente, della prof.ssa Licia Califano e della dott.ssa Giovanna Bianchi Clerici, componenti e del dott. Giuseppe Busia, segretario generale;

Vista la richiesta di parere del Ministro per la pubblica amministrazione e la semplificazione;

Visto l'articolo 154, commi 4 e 5, del Codice in materia di protezione dei dati personali (d.lgs. 30 giugno 2003, n. 196);

Vista la documentazione in atti;

Viste le osservazioni dell'Ufficio formulate dal segretario generale ai sensi dell'art. 15 del regolamento del Garante n. 1/2000;

Relatore il dott. Antonello Soro;

PREMESSO

Con nota del Capo dell'ufficio legislativo del Ministro per la pubblica amministrazione e la semplificazione è stato richiesto il parere del Garante sullo schema di decreto del Presidente del Consiglio dei Ministri recante regole tecniche in materia di formazione, trasmissione, conservazione, copia, duplicazione, riproduzione e validazione temporale dei documenti informatici nonché di formazione e conservazione dei documenti informatici delle pubbliche amministrazioni.

Il decreto è adottato ai sensi dell'articolo 71 del Codice dell'amministrazione digitale di cui al decreto legislativo n. 82 del 2005 (infra CAD), e prevede le regole tecniche per i documenti informatici di cui agli articoli 20, commi 3 e 4, 22, commi 2 e 3, 23 e 23-bis, commi 1 e 2, del CAD (art. 2, comma 1, dello schema).

Il decreto è altresì adottato ai sensi dell'articolo 23-ter, comma 4, del CAD, e prevede le regole tecniche in materia di documenti amministrativi informatici e fascicolo informatico di cui agli articoli 23-ter, commi 3 e 5, 40, comma 1, e 41, comma 2-bis del CAD (art. 2, comma 2, dello schema).

Com'è noto, il CAD prevede, con norma generale (art. 71, comma 1), che le regole tecniche previste per l'applicazione della disciplina in materia siano dettate con decreti del Presidente del Consiglio dei Ministri o del Ministro delegato per la pubblica amministrazione e l'innovazione, di concerto con i Ministri competenti, sentita la Conferenza unificata, ed il Garante nelle materie di competenza, previa acquisizione obbligatoria del parere tecnico di Digit-PA (ora Agenzia per l'Italia digitale).

In più disposizioni del CAD si fa poi espresso riferimento a tali regole tecniche, da adottarsi appunto con le modalità di cui all'articolo 71. Al riguardo si richiama l'attenzione sull'articolo 20, comma 4, (cui l'odierno decreto dà attuazione) ai sensi del quale devono essere definite le "misure tecniche, organizzative e gestionali volte a garantire l'integrità, la disponibilità e la riservatezza delle informazioni contenute nel documento informatico.".

L'Amministrazione intende disciplinare la materia della formazione, gestione e conservazione dei documenti informatici anche mediante altri due decreti, recanti le regole tecniche, rispettivamente, sul sistema di conservazione dei documenti informatici e in materia di protocollo informatico, i cui schemi sono stati anch'essi trasmessi, per completezza ed analogia di materia, a questa Autorità e in ordine ai quali si esprime separato parere.

RILEVATO

1.  Struttura generale.

L'ambito di applicazione delle disposizioni in esame è quello previsto dall'articolo 2, commi 2 e 3, del CAD, con riferimento, quindi, alle pubbliche amministrazioni di cui all'articolo 1, comma 2, del decreto legislativo 30 marzo 2001, n. 165, nonché alle società, interamente partecipate da enti pubblici o con prevalente capitale pubblico inserite nel conto economico consolidato della pubblica amministrazione, come individuate dall'Istituto nazionale di statistica (ISTAT) ai sensi dell'articolo 1, comma 5, della legge 30 dicembre 2004, n. 311, oltre che ai privati, ai sensi dell'articolo 3 del d.P.R. 28 dicembre 2000, n. 445, recante il testo unico delle disposizioni legislative e regolamentari in materia di documentazione amministrativa (infra testo unico) (art. 2, comma 4, dello schema),

Lo schema di decreto si compone di un articolato e di 5 allegati che fanno parte integrante del decreto stesso, recanti il glossario (all. 1) e le pertinenti specifiche tecniche riguardanti i formati (all. 2), gli standard tecnici (all. 3), il pacchetto di archiviazione (all. 4) e i metadati (all. 5). Le predette specifiche tecniche sono aggiornate con delibera dell'Agenzia per l'Italia digitale (art. 1 dello schema).

Lo schema di decreto reca regole tecniche concernenti il documento informatico (Capo II) e il documento amministrativo informatico (Capo III), nonché disposizioni sui fascicoli, registri e repertori informatici (Capo IV).

Per documento informatico s'intende "la rappresentazione informatica di atti, fatti o dati giuridicamente rilevanti" (art. 1, comma 1, lett. p), del CAD).

Per documenti amministrativi informatici, invece, in base alle pertinenti disposizioni del CAD (che non reca una definizione al riguardo), dovrebbero intendersi gli "atti formati dalle pubbliche amministrazioni con strumenti informatici", nonché i "documenti informatici detenuti dalle stesse" (art. 23-ter, comma 1, del CAD).

2.  Il documento informatico.

Lo schema di decreto disciplina, innazitutto, la formazione del documento informatico, che avviene attraverso diverse modalità: redazione tramite utilizzo di appositi strumenti software; acquisizione di un documento informatico per via telematica o su supporto informatico, acquisizione della copia per immagine su supporto informatico di un documento analogico, e acquisizione della copia informatica di un documento analogico; registrazione informatica delle informazioni risultanti da transazioni o processi informatici o dalla presentazione telematica di dati attraverso moduli o formulari resi disponibili all'utente; generazione o raggruppamento anche in via automatica di un insieme di dati o registrazioni, provenienti da una o più basi dati, anche appartenenti a più soggetti interoperanti, secondo una struttura logica predeterminata e memorizzata in forma statica.

Sono poi disciplinate le copie per immagine su supporto informatico di documenti analogici, che sono prodotte mediante processi e strumenti in grado di assicurare l'identità di contenuto e di forma tra documento informatico e documento analogico (art. 4 dello schema). Le copie hanno la stessa efficacia probatoria degli originali, qualora la loro conformità sia attestata da un notaio o da altro pubblico ufficiale a ciò autorizzato con dichiarazione allegata al documento informatico o qualora la loro conformità all'originale non sia espressamente disconosciuta (art. 22, commi 2 e 3, del CAD).

Lo schema di decreto disciplina anche i duplicati informatici di documenti informatici i quali sono prodotti attraverso processi e strumenti in grado di assicurare che il documento informatico contenga la stessa sequenza di bit del documento informatico di origine (art. 5 dello schema). Ai sensi del CAD, i predetti duplicati hanno il medesimo valore giuridico del documento informatico purchè prodotti in conformità alle regole tecniche (art. 23-bis, comma 1, del CAD).
Sono disciplinati, infine, le copie e gli estratti informatici di documenti informatici che sono prodotti attraverso processi e strumenti in grado di assicurare la corrispondenza del contenuto della copia o dell'estratto informatico alle informazioni del documento informatico di origine (art. 6 dello schema). Le copie e gli estratti informatici del documento informatico, se prodotti in conformità alle vigenti regole tecniche, hanno la stessa efficacia probatoria dell'originale se la loro conformità all'originale è attestata da un pubblico ufficiale a ciò autorizzato o se la conformità non è espressamente disconosciuta (art. 23-bis, comma 2, del CAD). Al riguardo, lo schema di decreto prevede che la predetta attestazione di conformità possa essere inserita nel documento informatico contenente la copia o l'estratto sottoscritto con firma digitale del notaio o con firma figitale o elettronica qualificata del pubblico ufficiale a ciò autorizzato o in un documento informatico separato sottoscritto con firma digitale del notaio o con firma figitale o elettronica qualificata del pubblico ufficiale a ciò autorizzato (art. 6 dello schema).

3.  Il documento amministrativo informatico.

Al documento amministrativo informatico si applicano le disposizioni riferite, in generale, al documento informatico (di cui al Capo II), salvo quanto specificamente previsto (art. 9, comma 1).

In particolare, fra le peculiarità della disciplina del documento amministrativo emerge, ad esempio, come lo stesso sia identificato e trattato nel sistema di gestione informatica dei documenti di cui al capo IV del testo unico, comprensivo del registro di protocollo, dei repertori e degli archivi, nonché degli albi, degli elenchi e di ogni raccolta di dati concernente stati, qualità personali e fatti già realizzati dalle pp. aa. su supporto informatico (art. 9, comma 3); le istanze, le dichiarazioni e le comunicazioni di cui agli artt. 5-bis, 40-bis e 65 del CAD, sono anch'esse identificate e trattate come documenti amministrativi informatici nel sistema di gestione informatica (art. 9, comma 4).

Il documento amministrativo informatico è formato attraverso le medesime modalità previste per il documento informatico (art. 9, comma 3), assumendo caratteristiche di immodificabilità ed integrità anche con la registrazione nel registro di protocollo, negli ulteriori registri, nei repertori, negli albi, negli elenchi, negli archivi o nelle raccolte di dati contenute nel sistema di gestione informatica dei documenti (art. 9, comma 5, dello schema).

Al documento amministrativo informatico è associato l'insieme minimo di metadati di cui all'articolo 53 del testo unico (art. 9, comma 7, dello schema); ad ogni modo, eventuali ulteriori metadati rilevanti ai fini amministrativi sono anch'essi associati (art. 9, comma 8, dello schema).

Infine, ai fini della trasmissione telematica dei documenti amministrativi informatici, le pp. aa. pubblicano sui relativi siti gli standard tecnici di riferimento, le codifiche utilizzate e le specifiche per lo sviluppo degli applicativi software di colloquio (art. 9, comma 10, dello schema).

Si disciplinano, poi, le copie su supporto informatico di documenti amministrativi analogici formati (o detenuti) dalla p. a., le quali hanno il medesimo valore giuridico degli originali, se la loro conformità all'originale è assicurata dal funzionario a ciò delegato nell'ambito della p. a. di appartenenza, mediante l'utilizzo della firma digitale o di altra firma elettronica qualificata e nel rispetto delle pertinenti regole tecniche (art. 23-ter del CAD). Lo schema di decreto prevede che la predetta attestazione di conformità possa essere inserita nel documento informatico contenente la copia informatica o in un documento informatico separato sottoscritto con firma digitale o con la firma elettronica qualificata del funzionario delegato (art. 10 dello schema). 

4. Fascicoli, registri e repertori.

Lo schema di decreto disciplina altresì la formazione dei fascicoli informatici, dei registri e dei repertori informatici (artt. 13 ss. dello schema in attuazione dell'art. 41, comma 2-bis del CAD). In particolare, i fascicoli informatici, che rientrano nel sistema di gestione informatica dei documenti, contengono un insieme minimo dei metadati (amministrazione titolare del procedimento, altre pp. aa., responsabile del procedimento, oggetto del procedimento, elenco dei documenti contenuti ecc.). Per quanto riguarda, invece, i registri di protocollo (ed altri registri) sono formati mediante generazione o raggruppamento di un insieme di dati o registrazioni.

CONSIDERATO

5.  Formazione, immodificabilità e integrità del documento informatico.

5.1. Si è visto in precedenza che lo schema di decreto disciplina, innazitutto, la formazione del documento informatico, che avviene attraverso diverse modalità (art. 3, comma 1, dello schema).

Il documento informatico assume la caratteristica dell'immodificabilità qualora sia formato in modo che non sia alterabile, garantendone, al contempo, la staticità nella fase di conservazione (art. 3, commi 1 e 2, dello schema in attuazione degli artt. 20, commi 3 e 4, e 40, comma 1, del CAD).

L'Autorità riconnette particolare importanza al tema dell'immodificabilità e dell'integrità dei documenti, in quanto attaverso di essa può essere assicurata l'esattezza dei dati personali contenuti nei documenti e, in definitiva, la correttezza e la liceità del trattamento, ai sensi dell'articolo 11 del Codice in materia di protezione dei dati personali (di seguito "Codice"). Sul punto, pertanto, si ritengono necessari alcuni perfezionamenti del testo, di seguito indicati.

5.2. Nell'ipotesi in cui la formazione del documento informatico avvenga attraverso l'utilizzo di appositi strumenti software, le caratteristiche di immodificabilità e integrità sono determinate da una serie di operazioni (sottoscrizione con firma digitale o firma elettronica qualificata, apposizione di una validazione temporale, trasferimento a soggetti terzi con posta elettronica certificata con ricevuta completa, memorizzazione su sistemi di gestione documentale che adottino politiche di sicurezza, versamento ad un sistema di conservazione) (art. 3, comma 3).

Qualora la formazione del documento informatico avvenga attraverso l'acquisizione di un documento informatico per via telematica o su supporto informatico, le caratteristiche di immodificabilità e integrità sono determinate dall'operazione di memorizzazione in un sistema di gestione informatica dei documenti che garantisca l'inalterabilità del documento o in un sistema di conservazione (art. 3, comma 4).

Nell'ipotesi in cui la formazione del documento informatico avvenga attraverso  la registrazione informatica delle informazioni risultanti da transazioni o processi informatici o dalla presentazione telematica di dati attraverso moduli o formulari resi disponibili all'utente, nonché mediante la generazione o raggruppamento anche in via automatica di un insieme di dati o registrazioni, provenienti da una o più basi dati, anche appartenenti a più soggetti interoperanti, secondo una struttura logica predeterminata e memorizzata in forma statica, le caratteristiche di immodificabilità e integrità sono determinate dall'operazione di registrazione del relativo esito e dall'applicazione di misure per la protezione dell'integrità delle basi di dati e per la produzione e conservazione dei log di sistema ovvero con la produzione di una estrazione statica dei dati ed il relativo trasferimento nel sistema di conservazione (art. 3, comma 5).

In tutti i predetti casi appare necessario scindere le proprietà di immodificabilità e di integrità del documento informatico, disciplinandole partitamente, considerato che le predette caratteristiche sono effettivamente ottenute tramite l'uso di accorgimenti tecnici di natura diversa.

5.3. Nell'ipotesi in cui la formazione del documento informatico avvenga attraverso l'utilizzo di appositi strumenti software, le caratteristiche di immodificabilità e integrità sono descritte al comma 3 (v. supra, al punto 5.2). Al riguardo, si evidenzia che l'impostazione esemplificativa della disposizione crea dubbi in relazione all'individuazione delle operazioni effettivamente necessarie per determinare  le proprietà di immodificabilità e di integrità del documento; dalla lettura della norma, infatti, non si evince se le condizioni debbano essere tutte contemporaneamente verificate, ovvero bastino solo alcune e, in tal caso, quali siano le combinazioni richieste.

Inoltre, con riferimento specifico alla operazione di memorizzazione su sistemi di gestione documentale che adottino "politiche di sicurezza" (art. 3, comma 3, lett. d)), quest'ultimo riferimento appare troppo generico e non qualificato sotto il profilo dell'adeguatezza delle politiche (o delle misure) stesse. Si ritiene opportuno pertanto perfezionare tale riferimento.

5.4. Il comma 7 dell'articolo 3 stabilisce che l'"evidenza informatica" corrispondente al documento informatico immodificabile è prodotta in base ai formati dell'allegato 2, assicurando l'indipendenza delle piattaforme tecnologiche, l'interoperabilità tra sistemi informatici e la durata nel tempo dei dati in termini di accesso e di leggibilità.

Il predetto comma introduce nel testo il termine "evidenza informatica" la cui definizione, contenuta nel glossario ("sequenza di simboli binari (bit) che può essere elaborata da una procedura informatica"), appare generica e non chiarisce i suoi legami con il documento informatico cui è riferita. Si ritiene, pertanto, opportuna una definizione più specifica.

6. Profili inerenti la sicurezza dei dati e dei sistemi.

Lo schema di decreto reca disposizioni specifiche in materia di sicurezza del sistema di gestione documentale, distinte a secondo che il tema riguardi soggetti privati o le pubbliche amministrazioni (artt. 8 e 12).

In particolare, per quanto riguarda le pp. aa., il responsabile della gestione documentale in accordo con il responsabile della sicurezza ed il responsabile del sistema di conservazione (definiti nel glossario di cui all'allegato 1) predispone, nell'ambito del piano generale della sicurezza, il piano della sicurezza del sistema di gestione informatica dei documenti le cui misure sono indicate nel manuale di gestione, in coerenza con quanto previsto in materia dagli articoli 50-bis e 51 del CAD (art. 12 dello schema).

Com'è noto, infatti, ai sensi di tali ultime disposizioni, le pp. aa. definiscono il piano di continuità operativa e il piano di disaster recovery (parte integrante di quello di continuità operativa), che stabilisce le misure tecniche e organizzative per garantire il funzionamento dei centri di elaborazione dati e delle procedure informatiche rilevanti in siti alternativi a quelli di produzione. L'Agenzia per l'Italia digitale, sentito il Garante, definisce le linee guida per le soluzioni tecniche idonee a garantire la salvaguardia dei dati e delle applicazioni informatiche, verificando annualmente il costante aggiornamento dei piani di disaster recovery delle amministrazioni interessate (art. 50-bis del CAD). Inoltre, i documenti informatici delle pp. aa. devono essere custoditi riducendo al minimo i rischi di distruzione, perdita, accesso non autorizzato o non consentito o non conforme alle finalità della raccolta. Le pp. aa. hanno comunque l'obbligo di aggiornare tempestivamente i dati nei propri archivi, non appena vengano a conoscenza dell'inesattezza degli stessi (art. 51 del CAD).

Quanto ai soggetti privati, lo schema di decreto si limita a prevedere che coloro i quali appartengano ad organizzazioni che già adottano particolari regole di settore per la sicurezza dei sistemi informativi, possano adottare tali misure per garantire la tenuta del documento informatico; mentre tutti gli altri possano adottare quale modello di riferimento le regole di sicurezza di cui agli articoli 50-bis e 51 del CAD (art. 8 dello schema).

Al riguardo, data la delicatezza della materia e le reciproche implicazioni fra la sicurezza dei sistemi e dei dati, da un lato, e quella dei dati personali contenuti nei documenti informatici, dall'altro, appare necessario integrare gli articoli 8 e 12 dello schema prevedendo che il sistema di gestione informatica dei documenti, sia esso facente capo a soggetti privati o a soggetti pubblici, sia organizzato nel rispetto anche degli standard di sicurezza previsti dal Codice, e in particolare, delle misure di sicurezza di cui agli articoli da 31 a 36 e dal disciplinare tecnico di cui all'allegato B. Ciò, tenuto conto altresì che lo stesso CAD, con riferimento ai requisiti per la conservazione dei documenti informatici stabilisce che il sistema di conservazione deve assicurare, fra l'altro, anche il rispetto delle misure di sicurezza previste dal predetto Codice e dal relativo disciplinare tecnico pubblicato in allegato B (art. 44, comma 1, del CAD).

7. Aggiornamento delle specifiche tecniche.

Lo schema di decreto, come già anticipato sopra, prevede 5 allegati che fanno parte integrante del decreto stesso, recanti, oltre che il glossario, le pertinenti specifiche tecniche riguardanti i formati, gli standard tecnici, il pacchetto di archiviazione e i metadati. Tali specifiche tecniche potranno essere aggiornate con delibera dell'Agenzia per l'Italia digitale (art. 1, comma 1).

Considerato che le future delibere dell'Agenzia modificheranno il corpo del testo degli allegati parti integranti dell'odierno schema di decreto, su aspetti che possono riguardare la protezione dei dati personali, si reputa necessario, al riguardo, prevedere espressamente la previa acquisizione del parere del Garante.

IL GARANTE

esprime parere favorevole sullo schema di decreto  del Presidente del Consiglio dei Ministri recante regole tecniche in materia di formazione, trasmissione, conservazione, copia, duplicazione, riproduzione e validazione temporale dei documenti informatici nonché di formazione e conservazione dei  documenti informatici delle pubbliche amministrazioni, con le seguenti condizioni:

a) all'articolo 3, commi 3, 4 e 5, dello schema, si scindano  le proprietà di immodificabilità e di integrità del documento informatico, disciplinandole partitamente e individuando, per ciascuna di esse, le operazioni che le determinano (punto 5.2);

b) con specifico riferimento all'articolo 3, comma 3, dello schema, siano individuate con precisione le operazioni effettivamente necessarie per determinare  le proprietà di immodificabilità e di integrità del documento (punto 5.3);

c) all'articolo 1, comma 1, dello schema si preveda espressamente che l'Agenzia per l'Italia digitale adotti le delibere di aggiornamento delle specifiche tecniche di cui agli allegati 2, 3, 4 e 5 previo parere del Garante (punto 7);

e con le seguenti osservazioni:

a) con riguardo all'articolo 3, comma 3, lett. d), dello schema, valuti l'Amministrazione di specificare il riferimento generico alle "politiche di sicurezza" (punto 5.3);

b) con riguardo all'articolo 3, comma 7, dello schema, valuti l'Amministrazione di specificare il termine "evidenza informatica" la cui generica definizione, contenuta nel glossario, non chiarisce il legame con il documento informatico (punto 5.4);

c) si valuti di integrare gli articoli 8 e 12 dello schema prevedendo che i soggetti pubblici e privati cui si applica l'odierno decreto adeguino i propri sistemi di gestione informatica dei documenti agli standard di sicurezza previsti dal Codice, e in particolare, alle misure di sicurezza di cui agli articoli da 31 a 36 e dal disciplinare tecnico di cui all'allegato B, come stabilito, in generale, dalla normativa in materia di protezione dei dati personali, peraltro richiamata dal CAD (punto 6).

Roma, 24 aprile 2013

IL PRESIDENTE
Soro

IL RELATORE
Soro

IL SEGRETARIO GENERALE
Busia