La pubblicazione dei documenti amministrativi digitali è regolata da norme specifiche come il CAD e il d.lgs. 33/2013. Le PA devono rispettare formati aperti, accessibilità e trasparenza. I documenti vanno firmati elettronicamente e pubblicati su “Amministrazione trasparente” per 5 anni. La gestione digitale migliora efficienza e partecipazione dei cittadini. Particolare attenzione va posta al trattamento dei dati personali, al diritto all’oblio e al riutilizzo delle informazioni, bilanciando trasparenza e privacy.
La determinazione AGID n. 157/2020, «Emanazione delle Linee Guida per la sottoscrizione elettronica di documenti ai sensi dell’art. 20 del CAD», fornisce le indicazioni operative per firmare il documento informatico e attribuire una paternità certa all’atto (profili che possono essere traslati anche nei documenti amministrativi)
L’art. 20, «Validità ed efficacia probatoria dei documenti informatici», del d.lgs. n. 82/2005 stabilisce che il documento informativo firmato con firma digitale, o altro tipo di firma elettronica qualificata o una firma elettronica avanzata o, comunque, formato, previa identificazione informatica del suo autore:
Le Linee guida, aventi carattere vincolante e valenza erga omnes (quale atto di regolamentazione di natura tecnica), disciplinano le modalità atte a garantire la sicurezza, integrità e immodificabilità del documento e, in maniera manifesta e inequivoca, la sua riconducibilità all’autore (osservazioni estensibili a tutti gli atti formati digitalmente).
Destinatari delle Linee guida sono:
L’utilizzo del dispositivo di firma elettronica qualificata o digitale si presume riconducibile al titolare di firma elettronica, salvo che questi dia prova contraria, con l’evidente intento di formulare la piena identità digitale (SPID, della persona fisica e per uso professionale), con il pieno diritto di accedere ai servizi on line offerti dai soggetti pubblici (P.A. e gestori di pubblici servizi)[1].
Viene indicata concretamente la procedura di sottoscrizione da parte del gestore e di riflesso dell’utente con le proprie credenziali, indicando il processo di generazione del file, e relative regole tecniche di sicurezza (c.d. sigillo elettronico qualificato e il suo formato, specifiche PDF versione 1.7 o successive, profilo PDF/A-2a, secondo lo standard ISO/IEC 32000)[2].
Il comma 1 dell’art. 40, «formazione di documenti informatici», del d.lgs. n. 82/2005 stabilisce che «le pubbliche amministrazioni formano gli originali dei propri documenti, inclusi quelli inerenti ad albi, elenchi e pubblici registri, con mezzi informatici secondo le disposizioni di cui al presente codice e le Linee guida», con uno scopo di digitalizzare l’intera attività,inclusa la dematerializzazione, con conseguenti piani di sostituzione degli archivi cartacei con archivi informatici.
Associando ciò al “protocollo informatico”, viene completata la tracciatura dei documenti ricevuti o spediti dalle Pubbliche Amministrazioni, ex art. 53 del decreto del Presidente della Repubblica 28 dicembre 2000, n. 445, ovvero le comunicazioni che provengono da o sono inviate a domicili digitali eletti, nonché le istanze e le dichiarazioni presentate per via telematica.
A ben vedere, se l’accesso ai servizi on line è la regola, questa visione prospettica impone la riorganizzazione strutturale e gestionale delle P.A., volta al perseguimento dell’utilizzo delle tecnologie dell’informazione e della comunicazione per la realizzazione degli obiettivi di efficienza, efficacia, economicità, imparzialità, trasparenza, semplificazione e partecipazione nel rispetto dei principi di uguaglianza e di non discriminazione, nonché per l’effettivo riconoscimento dei diritti dei cittadini e delle imprese alla cittadinanza digitale, in conformità agli obiettivi indicati nei Piani triennali per l’informatica.
Questo processo di trasformazione (con l’affidamento al Responsabile per la transizione digitale) impone alle Pubbliche Amministrazioni in particolare a razionalizzare e semplificare i procedimenti amministrativi, le attività gestionali, i documenti, la modulistica, le modalità di accesso e di presentazione delle istanze da parte dei cittadini e delle imprese mediante documenti digitali.
Di converso, la Pubblica Amministrazione dovrà estendere le forme di trasparenza (secondo il modello FOIA) con la pubblicità dei documenti nei portali, nell’albo pretorio on line, nella sez. «Amministrazione Trasparente» dei propri siti istituzionali.
I documenti amministrativi (compresi i provvedimenti) devono, quindi, essere redatti in formato digitale (ex art. 20 del CAD), con l’esigenza di distinguere (secondo le definizioni dell’art. 1 del CAD):
– FORMATO APERTO (comma 1, lettera l bis): un formato di dati reso pubblico, documentato esaustivamente e neutro rispetto agli strumenti tecnologici necessari per la fruizione dei dati stessi;
– DATI DI TIPO APERTO (comma 1, lettera l ter): i dati che presentano le seguenti caratteristiche:
L’art. 68 del CAD, nel riferire sull’utilizzo di dati aperti, precisa: «le pubbliche amministrazioni acquisiscono programmi informatici o parti di essi nel rispetto dei princìpi di economicità e di efficienza, tutela degli investimenti, riuso e neutralità tecnologica, a seguito di una valutazione comparativa di tipo tecnico ed economico tra le seguenti soluzioni disponibili sul mercato: a) software sviluppato per conto della pubblica amministrazione; b) riutilizzo di software o parti di esso sviluppati per conto della pubblica amministrazione; c) software libero o a codice sorgente aperto; d) software fruibile in modalità cloud computing; e) software di tipo proprietario mediante ricorso a licenza d’uso; f) software combinazione delle precedenti soluzioni».
Inoltre, l’art. 23 ter, «Documenti amministrativi informatici», del d.lgs. n. 82/2005 dispone che «gli atti formati dalle pubbliche amministrazioni con strumenti informatici, nonché i dati e i documenti informatici detenuti dalle stesse, costituiscono informazione primaria ed originale da cui è possibile effettuare, su diversi o identici tipi di supporto, duplicazioni e copie per gli usi consentiti dalla legge».
Il primo comma dell’art. citato esprime una evidente esigenza di passare al digitale di tutti i documenti, rilevando al comma 1 bis che «la copia su supporto informatico di documenti formati dalle pubbliche amministrazioni in origine su supporto analogico è prodotta mediante processi e strumenti che assicurano che il documento informatico abbia contenuto identico a quello del documento analogico da cui è tratto, previo raffronto dei documenti o attraverso certificazione di processo nei casi in cui siano adottate tecniche in grado di garantire la corrispondenza del contenuto dell’originale e della copia».
Dunque, i documenti informatici (anche da copie analogiche), quando sono sottoscritti con firma digitale o di altra firma elettronica qualificata (nel rispetto delle Linee guida AGID), assolvono la loro funzione di autenticità, con l’obbligo di conservazione dell’originale del documento soddisfatto con la conservazione della copia su supporto informatico.
Chiarito, nei passi precedenti, la stesura del documento digitale si tratta di verificare le modalità della pubblicazione partendo dall’art. 52, «Accesso telematico e riutilizzo dei dati» del CAD dove si chiarisce che i dati e i documenti soggetti a pubblicazione, con qualsiasi modalità, senza l’espressa adozione di una licenza si «intendono rilasciati come dati di tipo aperto ai sensi all’articolo 1, comma 1, lettere l bis) e l ter), del presente Codice, ad eccezione dei casi in cui la pubblicazione riguardi dati personali».
A rafforzare tale obbligo di pubblicazione digitale, con dati di tipo aperto, il comma 4 dell’art. 52 cit. stabilisce che «le attività volte a garantire l’accesso telematico e il riutilizzo dei dati delle pubbliche amministrazioni rientrano tra i parametri di valutazione della performance dirigenziale», segnando un evidente raffronto in termini di capacità di assolvere concretamente le funzioni assegnate, dove la digitalizzazione del procedimento amministrativo ricopre un obiettivo fondamentale per il singolo dirigente.
Questo ultimo aspetto è ancorato ad un ulteriore obbligo di trasparenza in capo ai dirigenti, segnato dal comma 1 quater dell’art. 14 del d.lgs. n. 33/2013, quando si richiede che:
«Negli atti di conferimento di incarichi dirigenziali e nei relativi contratti sono riportati gli obiettivi di trasparenza, finalizzati a rendere i dati pubblicati di immediata comprensione e consultazione per il cittadino, con particolare riferimento ai dati di bilancio sulle spese e ai costi del personale, da indicare sia in modo aggregato che analitico. Il mancato raggiungimento dei suddetti obiettivi determina responsabilità dirigenziale ai sensi dell’articolo 21 del decreto legislativo 30 marzo 2001, n. 165», rafforzando l’obbligo con il dovere di verificare il raggiungimento dei suddetti obiettivi per un successivo conferimento di incarico dirigenziale.
Le due norme citate, con l’ulteriore apparato sanzionatorio previsto dagli artt. 46 e 47 del decreto Trasparenza (ex d.lgs. n. 33/2013)[3], impongono precisi obblighi di pubblicazione in capo alla dirigenza; obblighi di pubblicazione secondo il formato aperto, con le precisazioni che seguono.
In effetti l’art. 53, «Siti Internet delle pubbliche amministrazioni», del CAD a livello generale chiariscono gli obblighi di pubblicazione dei documenti amministrativi, rispettosi dei principi di accessibilità, nonché di elevata usabilità e reperibilità, anche da parte delle persone disabili, completezza di informazione, chiarezza di linguaggio, affidabilità, semplicità dì consultazione, qualità, omogeneità e interoperabilità.
L’art. 53 CAD dispone, altresì, che le P.A. nei siti istituzionali devono:
Giova rammentare per gli atti da pubblicare in «Amministrazione trasparente» rispetto al c.d. albo pretorio on line che nelle Linee Guida n. 15/2014 del Garante privacy al punto «3.a. Albo pretorio online degli enti locali» (ma estensibile a tutte le P.A.), si affronta sia la pubblicazione per “ragioni di trasparenza”, sul modello FOIA (rectius quello del d.lgs. n. 33/2013) che per ragioni di “efficacia legale”[4] della pubblicazione che si intendono assolti con la pubblicazione nei propri siti informatici da parte delle Amministrazioni e degli Enti pubblici obbligati (ai sensi della Legge 18 giugno 2009, n. 69, recante «Disposizioni per lo sviluppo economico, la semplificazione, la competitività nonché in materia di processo civile»): aspetti diversi.
Si afferma che i documenti oggetto di pubblicazione obbligatoria, ex d.lgs. n. 33/2013, vanno ordinariamente pubblicati nei termini indicati dal cit. decreto Trasparenza, osservando che l’art. 8 «Decorrenza e durata dell’obbligo di pubblicazione» detta le regole generali:
«I dati, le informazioni e i documenti oggetto di pubblicazione obbligatoria ai sensi della normativa vigente sono pubblicati per un periodo di 5 anni, decorrenti dal 1° gennaio dell’anno successivo a quello da cui decorre l’obbligo di pubblicazione, e comunque fino a che gli atti pubblicati producono i loro effetti, fatti salvi i diversi termini previsti dalla normativa in materia di trattamento dei dati personali e quanto previsto dagli articoli 14, comma 2, e 15, comma 4. Decorsi detti termini, i relativi dati e documenti sono accessibili ai sensi dell’articolo 5».
Si comprende che la norma indicata intende esprimere un concetto di pubblicazione legato ai termini individuati puntualmente ai fini della trasparenza, mentre in presenza di altre forme di trasparenza, quella legale, i termini sono individuati dalla fonte di riferimento speciale o specifica, come del resto per le pubblicazioni in generale dove bisogno individuare la base giuridica di legittimazione (c.d. base giuridica), specie quando sono presenti dati personali (identificativi).
Ad esempio, i provvedimenti amministrativi (quali le determinazioni/deliberazioni) per la loro pubblicazione (e la relativa durata in relazione al c.d. diritto all’oblio) devono trovare la propria fonte nella norma di riferimento, avendo cura di rilevare che l’art. 23 – «Obblighi di pubblicazione concernenti i provvedimenti amministrativi» – del d.lgs. n. 33/2013 dispone che tali determinazioni (i provvedimenti adottati dagli organi di indirizzo politico e dai dirigenti) sono pubblicate e aggiornate ogni sei mesi, in distinte partizioni della sezione «Amministrazione trasparente», non in forma integrale ma «in elenchi», con particolare riferimento ai provvedimenti finali dei procedimenti di:
Per gli altri atti, documenti e provvedimenti è necessario riferirsi alle diverse forme di pubblicità individuate dal d.lgs. n. 33/2013, meglio descritte nei singoli adempimenti nella determinazione ANAC n. 1310 del 28 dicembre 2016, «Prime linee guida recanti indicazioni sull’attuazione degli obblighi di pubblicità, trasparenza e diffusione di informazioni contenute nel d.lgs. 33/2013 come modificato dal d.lgs. 97/2016».
Occorre rammentare, in termini di trasparenza e formato aperto, che il comma 35, lettera f) dell’art. 1 della legge n. 190/2012, obbligava «di pubblicare tutti gli atti, i documenti e le informazioni di cui al presente comma anche in formato elettronico elaborabile e in formati di dati aperti. Per formati di dati aperti si devono intendere almeno i dati resi disponibili e fruibili on line in formati non proprietari, a condizioni tali da permetterne il più ampio riutilizzo anche a fini statistici e la ridistribuzione senza ulteriori restrizioni d’uso, di riuso o di diffusione diverse dall’obbligo di citare la fonte e di rispettarne l’integrità».
Il Capo I ter «Pubblicazione dei dati, delle informazioni e dei documenti» del d.lgs. n. 33/2013 si occupa di stabilire come vanno pubblicati tutti i documenti:
Art. 6 – QUALITÀ DELLE INFORMAZIONI: le informazioni riportate nei siti istituzionali devono rispettare gli obblighi di pubblicazione previsti dalla legge, assicurandone l’integrità, il costante aggiornamento, la completezza, la tempestività, la semplicità di consultazione, la comprensibilità, l’omogeneità, la facile accessibilità, nonché la conformità ai documenti originali in possesso dell’Amministrazione, l’indicazione della loro provenienza e la riutilizzabilità: la pubblicazione deve rispettare i termini previsti nel decreto Trasparenza: la qualità delle informazioni diffuse non può, in ogni caso, costituire motivo per l’omessa o ritardata pubblicazione dei dati, delle informazioni e dei documenti.
Art. 7 – DATI APERTI E RIUTILIZZO (c.d. open data): i documenti, le informazioni e i dati oggetto di pubblicazione obbligatoria, resi disponibili anche a seguito dell’accesso civico sono pubblicati:
Il Garante privacy[6] annota, sul punto, che il riutilizzo di tali documenti non deve pregiudicare il livello di tutela delle persone fisiche con riguardo al trattamento dei dati personali fissato dalle disposizioni di diritto europeo e nazionale in materia: le nuove disposizioni introducono specifiche eccezioni al riutilizzo fondate sui principi di protezione dei dati, prevedendo che una serie di documenti del settore pubblico contenenti tale tipologia di informazioni siano sottratti al riuso anche qualora siano liberamente accessibili online.
Si ricava che il principio generale del libero riutilizzo di documenti contenenti dati pubblici, stabilito dalla disciplina nazionale ed europea, riguarda essenzialmente documenti che non contengono dati personali oppure riguarda dati personali opportunamente aggregati e resi anonimi.
Conclude il Garante privacy che il semplice fatto che informazioni personali siano rese pubblicamente conoscibili on line per finalità di trasparenza questo non significa che le stesse siano liberamente riutilizzabili da chiunque e per qualsiasi scopo, bensì impone al soggetto chiamato a dare attuazione agli obblighi di pubblicazione sul proprio sito web istituzionale di determinare – qualora intenda rendere i dati riutilizzabili – se, per quali finalità e secondo quali limiti e condizioni eventuali utilizzi ulteriori dei dati personali resi pubblici possano ritenersi leciti alla luce del “principio di finalità” e degli altri principi di matrice europea in materia di protezione dei dati personali.
Art. 7 bis – RIUTILIZZO DEI DATI PUBBLICATI: dove si distinguono le pubblicazioni contenenti dati personali, diversi dai dati sensibili e dai dati giudiziari, che comportano la possibilità di una diffusione dei dati medesimi attraverso siti istituzionali, nonché il loro trattamento secondo modalità che ne consentono la indicizzazione e la rintracciabilità tramite i motori di ricerca web e il loro riutilizzo, ai sensi dell’articolo 7, nel rispetto dei principi sul trattamento dei dati personali.
Le pubblicazioni ulteriori, ovvero quello che non sussiste un obbligo di pubblicazione ai sensi del decreto Trasparenza o sulla base di specifica previsione di legge o regolamento, nel rispetto dei limiti indicati dall’articolo 5 bis, devono avvenire in forma anonima per i dati personali eventualmente presenti, con evidenti limitazioni in presenza di dati riferiti a determinate situazioni, rendendo non intelligibili i dati personali non pertinenti o, se sensibili o giudiziari, non indispensabili rispetto alle specifiche finalità di trasparenza della pubblicazione.
ART. 8 DECORRENZA E DURATA DELL’OBBLIGO DI PUBBLICAZIONE: vengono previsti i termini ordinatori di pubblicazione (salvo i casi specifici) il c.d. diritto all’oblio (cancellazione)[7]:
ART. 9 ACCESSO ALLE INFORMAZIONI PUBBLICATE NEI SITI: indica l’obbligo di inserire nella home page dei siti istituzionali un’apposita sezione denominata «Amministrazione trasparente», al cui interno sono contenuti i dati, le informazioni e i documenti pubblicati ai sensi della normativa vigente.
Per evitare eventuali duplicazioni, la suddetta pubblicazione può essere sostituita da un collegamento ipertestuale alla sezione del sito in cui sono presenti i relativi dati, informazioni o documenti, assicurando la qualità delle informazioni di cui all’articolo 6, chiarendo un dovere di natura cogente che impedisce alle P.A. di disporre filtri e altre soluzioni tecniche atte ad impedire ai motori di ricerca web di indicizzare ed effettuare ricerche all’interno della sezione «Amministrazione trasparente», salvo ovviamente i casi in cui siano presenti dati personali (particolari, i c.d. “ex sensibili” e giudiziari, o che creino disagio).
In effetti, la presenza di documenti, caso di specie, graduatorie, visibili e liberamente scaricabili, con la presenza di dati personali (indirizzo di residenza ed e-mail, codice fiscale, numero di telefono, dati riferiti all’invalidità) non è coerente con le regole sulla pubblicazione degli atti nel sito web istituzionale, atteso che le ulteriori informazioni di carattere personale relative ai soggetti inseriti nei testi documentali non risultano necessarie rispetto alla finalità perseguite con la pubblicazione.
Il Garante per la protezione dei dati personali conferma che la pubblicazione in chiaro, anche di informazioni non necessarie rispetto alle finalità perseguite con la pubblicazione, nonché dati relativi alla salute di taluni docenti, risulta un trattamento non conforme alla disciplina rilevante in materia di protezione dei dati personali, in violazione (oltre all’applicazione di una sanzione):
[1] La firma digitale in formato CAdES dà luogo un file con estensione finale <*.p7m> e può essere apposta a qualsiasi tipo di file, ma per visualizzare il documento oggetto della sottoscrizione è necessario utilizzare un’applicazione specifica. Invece, la firma digitale in formato PAdES, più nota come «firma PDF», è un file con normale estensione <*.pdf>, leggibile con i comuni readers disponibili per questo formato, sicché sussiste la piena equivalenza, riconosciuta a livello europeo, delle firme digitali nei formati CAdES e PAdES:, secondo la normativa nazionale, la struttura del documento firmato può essere indifferentemente PAdES o CAdES, Cass. civ, sezioni Unite, 27 aprile 2018, n. 10266.
[2] La c.d. “marcatura temporale” è il processo con cui un certificatore accreditato crea e appone su un documento informatico, digitale o elettronico una “firma digitale del documento” alla quale sono associate le informazioni relative alla data e all’ora di creazione che, ove siano state seguite le regole tecniche sulla validazione temporale, sono così opponibili ai terzi, Cass. civ., sez. I, ord., 13 febbraio 2019, n. 4251.
[3] Vedi il comma 7 dell’art. 1, del D.L. n. 162/2019, «Disposizioni urgenti in materia di proroga di termini legislativi, di organizzazione delle pubbliche amministrazioni, nonché di innovazione tecnologica».
[4] Si tratta di una previsione legale secondo cui, nel caso di atti non assoggettati a notifica individuale, il terminus a quo per l’impugnativa decorre dall’ultimo giorno della pubblicazione, se questa sia prevista da disposizioni di legge o di regolamento, Cons. Stato, sez. V, 27 settembre 2018, n. 5567.
[5] Sulla tipologia del formato si vedano DPCM 10 dicembre 2008, «Specifiche tecniche del formato elettronico elaborabile (XBRL) per la presentazione dei bilanci di esercizio e consolidati e di altri atti al registro delle imprese»;
DPCM 13 novembre 2014, «Regole tecniche in materia di formazione, trasmissione, copia, duplicazione, riproduzione e validazione temporale dei documenti informatici nonché di formazione e conservazione dei documenti informatici delle pubbliche amministrazioni ai sensi degli articoli 20, 22, 23 -bis, 23 -ter, 40, comma 1, 41, e 71, comma 1, del Codice dell’amministrazione digitale di cui al decreto legislativo n. 82 del 2005»;
Direttiva 2013/37/UE che modifica la direttiva 2003/98/CE relativa al riutilizzo dell’informazione del settore pubblico. Secondo le indicazioni AGID, i “Formati aperti” sono: «il formato dei dati digitali si definisce “aperto” quando ne viene resa pubblica, mediante esaustiva documentazione, la sintassi, la semantica, il contesto operativo e le modalità di utilizzo. Tali informazioni, unitamente ad una guida all’uso del formato, orientata alla lettura da parte dell’utilizzatore, devono essere presenti in uno o più documenti rilasciati dall’ente proponente lo standard».
[6] Garante per la protezione dei dati personali, «Linee guida in materia di trattamento di dati personali, contenuti anche in atti e documenti amministrativi, effettuato per finalità di pubblicità e trasparenza sul web da soggetti pubblici e da altri enti obbligati», Reg. provvedimenti n. 243 del 15 maggio 2014.
[7] La pubblicazione di un’informazione concernente una persona determinata, a distanza di tempo da fatti e avvenimenti che la riguardano, non può che integrare la violazione del fondamentale diritto all’oblio; Cass., sez. I, 20 marzo 2018, n. 6919.
[8] Garante per la protezione dei dati personali, doc. web n. 9283014, «Ordinanza ingiunzione nei confronti di …», Registro dei provvedimenti n. 21 del 30 gennaio 2020.
Articolo a cura di Maurizio Lucca
L'Unione Europea si trova nel mezzo di una trasformazione normativa senza precedenti con eIDAS 2,…
Al 22° Forum ICT Security, Igor Serraino – Independent ICT Advisor – ha trattato argomenti…
Il Federated Learning (FL) si configura come un paradigma emergente e altamente promettente nell'ambito dell'apprendimento…
Nel corso del Forum ICT Security 2024, l’intervento “Test di sicurezza avanzati: La sicurezza va…
L’intervento di Valerio Pastore, cofondatore di Cyber Grant, intitolato “Allarme Data Breach: 7 attacchi su…
L'evoluzione dell'Internet of Things (IoT) ha portato alla luce un fenomeno emergente nel panorama del…