di Saveria Coronese
L’Agenzia
per l’Italia Digitale, mediante la Circolare n.65 del 10 aprile 2014, ha
provveduto a disporre le modalità per l’accreditamento e la vigilanza sui
soggetti pubblici e privati che svolgono attività di conservazione dei
documenti informatici (di cui all’articolo 44-bis, comma 1, del decreto
legislativo 7 marzo 2005, n.82 del Codice dell’amministrazione digitale).
Il citato articolo riguarda i Conservatori
che vogliono accreditarsi, stabilendo che "i
soggetti pubblici e privati che svolgono attività di conservazione dei
documenti informatici e di certificazione dei relativi processi anche per conto
di terzi ed intendono conseguire il riconoscimento del possesso dei requisiti
del livello più elevato, in termini di qualità e di sicurezza, chiedono l’accreditamento
presso DigitPA".[1]
La Circolare in oggetto attua
l’art. 13 del DPCM 3 dicembre 2013 (indicante le Regole tecniche in materia di
sistema di conservazione ai sensi degli articoli 20, commi 3 e 5-bis, 23-ter,
comma 4, 43, commi 1 e 3, 44, 44-bis e 71, comma 1, del CAD) in base al quale sarà
l’AglD a definire le modalità per l’accreditamento e la vigilanza sui soggetti
di cui all’art. 44-bis del CAD che utilizzano le regole previste dal decreto in
questione per la gestione e la documentazione del sistema di conservazione e
per l’espletamento del processo di conservazione.[2]
Pertanto, affinché i
conservatori ex art. 44-bis possano conseguire tale riconoscimento, è
necessario che ottemperino a particolari doveri tra i quali riveste peculiare
importanza l’utilizzazione di personale dotato delle conoscenze,
dell’esperienza e delle competenze necessarie per i servizi forniti, in special
modo della competenza a livello gestionale, della conoscenza specifica nel
settore della gestione documentale e conservazione dei documenti informatici ed
esperto nelle procedure di sicurezza, nonché rispettoso delle norme del CAD e
del DPCM 3 dicembre 2013.
Le
modalità con le quali sono provati gli elementi della documentazione richiesta
e il possesso dei requisiti e dei criteri di valutazione adottati per espletare
i processo di accreditamento sono consultabili per via telematica sul sito
istituzionale dell’Agenzia.
Nel
Manuale di conservazione[3]
il Responsabile deve indicare, inoltre, la possibilità per il conservatore accreditato
di affidare ad altro conservatore accreditato le attività inerenti al processo
di conservazione, nei limiti di quelle riferite alle infrastrutture per la
memorizzazione, trasmissione ed elaborazione dei dati.
Per conseguire
l’accreditamento, è dovere del conservatore uniformarsi all’iter istruttorio
effettuato dall’AgID. Innanzitutto si procede con la presentazione
dell’apposita domanda, predisposta in formato elettronico, o fornita in copia
ai sensi dell’art. 22, comma 2 del CAD, sottoscritta con firma digitale o firma
elettronica qualificata dal legale rappresentante del conservatore e inviata
alla casella di posta elettronica certificata protocollo@pec.agid.gov.it.[4]
In estrema sintesi, nella
domanda verranno indicate la denominazione, la sede legale, le sedi operative e
il/i rappresentante/i legale/i della società, il nominativo e i recapiti di uno
o più referenti tecnici da contattare nel caso di problemi tecnico-operativi
risolvibili per le vie brevi e infine l’elenco dei documenti allegati.
La domanda si considera accolta
se, entro il termine di novanta giorni dalla data della sua presentazione,
sospendibile una sola volta entro trenta giorni dalla data di presentazione
della domanda[5],
non viene comunicato al conservatore il provvedimento di diniego.
L’AgID svolge l’attività
istruttoria attenendosi al documento intitolato "Requisiti di qualità e
sicurezza per l’accreditamento", pubblicato sul sito istituzionale
dell’Agenzia. Al termine della predetta attività la domanda potrà essere
accolta o respinta dall’AgID con provvedimento motivato, successivamente
comunicandolo al conservatore.
Qualora la domanda dovesse
essere respinta, il conservatore non potrà presentare una nuova domanda a meno
che non siano cessate le cause che ne hanno impedito l’accoglimento e non prima
di sei mesi dal provvedimento.
Al contrario, in caso di
accoglimento, il conservatore sarà iscritto dall’Agenzia in un apposito Elenco
dei conservatori accreditati[6].
I conservatori iscritti sono
sottoposti ad attività di vigilanza da parte dell’Agenzia per accertare la
conformità nel tempo dei requisiti che hanno reso possibile l’iscrizione – pena
la revoca dell’accreditamento e la conseguente cancellazione dall’elenco -e la
veridicità delle dichiarazioni nei documenti depositati.
Per tale
ragione il conservatore accreditato è obbligato a comunicare tempestivamente
all’AgID ogni modifica dei requisiti propri dell’accreditamento indicati nella
documentazione.
Unitamente alla Circolare è
stato pubblicato anche un documento rivolto ai profili professionali che la
struttura organizzativa del soggetto Conservatore deve includere. Ognuno di
essi ha competenze specifiche ma è anche ammessa la possibilità che ruoli
diversi siano ricoperti dalla medesima persona.
In questa sede si prenderà in
considerazione, tra le varie figure professionali, quella ricoperta dal
Responsabile del servizio di conservazione e dal Responsabile del trattamento
dei dati personali.[7]
Essi hanno il compito di sovraintendere e coordinare i flussi di dati e
documenti digitali nelle varie fasi che vanno dalla loro formazione o
acquisizione, all’accesso e condivisione, terminando con la conservazione a
norma.
Più nel dettaglio, per il Responsabile
del servizio di conservazione è richiesto il titolo di laurea seguito da
un’esperienza di almeno cinque anni nel ruolo. Qualora mancasse il requisito
della laurea, gli anni di esperienza in ruolo analogo aumentano fino a otto.
Il soggetto in questione si
occupa di definire e attuare le politiche complessive del sistema di
conservazione; definisce le caratteristiche e i requisiti del sistema di
conservazione in conformità alla normativa vigente; eroga correttamente il
servizio di conservazione all’ente produttore; gestisce le convenzioni,
definisce gli aspetti tecnico-operativi e controlla la validità dei
disciplinari tecnici che precisano gli aspetti di dettaglio e le modalità
operative di erogazione dei servizi di conservazione. La tipologia di rapporto
contrattuale previsto è a tempo indeterminato o della durata di almeno tre
anni.
Il Responsabile del
trattamento dei dati personali, invece, deve possedere il titolo di
laurea ed esperienza nel ruolo di almeno tre anni. Anche per quest’ultima
figura professionale, in mancanza del titolo di laurea, si esige l’esperienza
in ruolo analogo di almeno cinque anni.
Il Responsabile del trattamento
dei dati personali deve garantire il rispetto delle vigenti disposizioni in
materia di trattamento dei dati personali; garantire che il trattamento dei
dati che i Clienti hanno affidato avverrà nel rispetto delle istruzioni che il
titolare del trattamento dei dati personali ha impartito, con garanzia di
sicurezza e di riservatezza.[8]
È doveroso richiamare alla
mente l’art.44, comma 1-bis del CAD, il quale prevede che la gestione del
sistema di conservazione dei documenti informatici sia effettuata dal
Responsabile della conservazione d’intesa con il Responsabile del trattamento
dei dati personali e, ove previsto, con il Responsabile del servizio per la
tenuta del protocollo informatico, della gestione dei flussi documentali e
degli archivi.
Il successivo comma 1-ter
stabilisce ancora che la conservazione digitale dei documenti sia realizzata
sia dal Responsabile della conservazione all’interno della struttura
organizzativa dell’ente oppure, attraverso contratto o convenzione di servizio,
da un soggetto esterno denominato "Conservatore".
Si ricordi infine che,
contrariamente ad altri ruoli, il Responsabile della conservazione e il
Responsabile del trattamento dei dati personali (tutelati dalla legge n. 4/2013),
sono espressamente obbligati dalla legge a sottoporsi ad aggiornamenti
costanti.
Relativamente a queste due
figure, con lo scopo di regolamentarle e conferire loro il dovuto
riconoscimento, è recentemente nata l’associazione ANORC Professioni, che non solo
ha aperto due elenchi nazionali per i Responsabili della conservazione e per i
Responsabili del trattamento, ma offre loro una guida nella formazione ed
aggiornamento.
[1] In
aggiunta a quanto scritto, ai sensi dell’art. 5, comma 3, del DPCM 3 dicembre
2013, le PA possono attuare processi di conservazione solo all’interno della
loro struttura organizzativa ovvero rimettendo tali processi nelle mani di
Conservatori accreditatisi presso l’AgID.
[2] Esso
consiste, secondo l’art.9 del DPCM 3 dicembre 2013, nell’ acquisizione, la
verifica e l’eventuale rifiuto del pacchetto di versamento; la generazione,
anche automatica, del rapporto di versamento di uno o più pacchetti di
versamento; la sottoscrizione eventuale del rapporto di versamento mediante
firma digitale o firma elettronica qualificata apposta dal responsabile della
conservazione; la produzione di duplicati informatici o di copie informatiche
su richiesta degli utenti, in ottemperanza delle regole tecniche in materia di
formazione del documento informatico.
[3] Su definizione dell’art 8 del DPCM 3 dicembre 2013, il
Manuale di conservazione consiste in un documento informatico che illustra in
maniera dettagliata l’organizzazione, i soggetti coinvolti, i loro ruoli, il
modello di funzionamento, la descrizione del processo, le misure di sicurezza
adottate e le informazioni necessarie alla gestione e alla verifica del
funzionamento del sistema di conservazione nel tempo. Sono riportate inoltre le
responsabilità, gli obblighi e le eventuali deleghe dei soggetti coinvolti, le
tipologie degli oggetti sottoposti a conservazione, il processo di
conservazione e del trattamento dei pacchetti di archiviazione (soprattutto per
ciò che attiene alle modalità di presa in carico di uno o più pacchetti di versamento
e della predisposizione del rapporto di versamento, obbligatorio e
necessariamente dotato di riferimento temporale), le procedure per la
produzione di duplicati e copie, i tempi in cui le tipologie di documenti
devono essere scartate ovvero trasferite in conservazione (se, nel caso delle
pubbliche amministrazioni, non compaiono già nel manuale di gestione)e le
normative in vigore nei luoghi dove sono conservati i documenti.)
[4] Stesse
modalità per la documentazione allegata alla domanda afferente alla
dimostrazione del possesso dei requisiti e descritta dettagliatamente nel
documento "Documentazione per l’accreditamento", pubblicato sul sito
dell’AgID.
[5] La sospensione viene concessa
esclusivamente per la motivata richiesta di documenti che integrino o
completino la documentazione presentata e che non siano nella disponibilità
dell’ AgID o che non siano da essa autonomamente acquisibili. Il periodo di
sospensione termina con la ricezione della documentazione integrativa, la quale
deve essere improrogabilmente presentata entro centottanta giorni dalla data di
sospensione.
[6] La Circolare in esame specifica gli
elementi che devono essere presenti nell’Elenco dei conservatori accreditati:
denominazione della società; indirizzo della sede legale; nominativo del
rappresentante legale; il manuale di conservazione del soggetto; data di
iscrizione; stato dell’accreditamento.
[7] Oltre
a quelli già menzionati sono previsti anche i profili del Responsabile della
funzione archivistica di conservazione, Responsabile della sicurezza dei
sistemi per la conservazione, Responsabile dei sistemi informativi per la
conservazione, Responsabile dello sviluppo e della manutenzione del sistema di
conservazione.
[8] È stato sottolineato come tra i ruoli
obbligatori per i Conservatori accreditati, la Circolare non menzioni il
"privacy offer", figura che non compare nel nostro ordinamento , ma
sulla quale sono state avanzate proposte di introduzione anticipata.