CODICE AMMINISTRAZIONE DIGITALE: LE MODIFICHE IN GAZZETTA

E’ stato pubblicato sulla GU n. 214 del 13 settembre 2016 il d.lgs. n. 179 del 26 agosto 2016 recante modifiche ed integrazioni al Codice dell'amministrazione digitale (CAD), di cui  al  decreto  legislativo  7  marzo  2005,  n.   82,   ai   sensi dell'articolo 1 della Legge 7 agosto 2015, n. 124,  in  materia  di riorganizzazione delle amministrazioni pubbliche.

Si tratta di una complessa riforma che non solo modifica ed integra norme del CAD ma ne abroga diverse anche attraverso vari accorpamenti e semplificazioni.

Tale riforma era divenuta ormai necessaria al fine di promuovere e rendere effettivi i diritti di cittadinanza digitale dei cittadini e delle imprese, garantendo, contestualmente, il diritto di accesso ai dati, ai documenti e ai servizi di loro interesse in modalità digitale, semplificando le modalità di accesso ai servizi alla persona e realizzando - come indicato dal titolo con cui è rubricato l’art. 1 della Legge n. 124/2015 - una vera e propria “carta della cittadinanza digitale”.

L’iter approvativo di tale riforma è stato molto travagliato poiché un primo schema è passato al vaglio del Consiglio di Stato e del Garante per la protezione dei dati personali i quali, pur fornendo un parere favorevole, hanno rilevato una serie di incongruenze e criticità, per la verità non tutte risolte. Inoltre c’è stato un intervento importante anche delle Commissioni Parlamentari che hanno cercato di venire incontro alle maggiori critiche della comunità di giuristi succedutesi nel tempo.

Il provvedimento è stato predisposto in base ai principi e criteri direttivi esplicitamente previsti dalla normativa legislativa di riferimento - ovvero il già citato art. 1 della Legge n. 124/2015 - fra i quali la medesima Amministrazione richiama, in primo luogo, quelli volti a favorire “l’accesso dell’utenza ai servizi delle amministrazioni pubbliche in modalità digitale”.

Da un primo esame si evince che sebbene il legislatore abbia corretto diverse incongruenze del primo schema non ha potuto sconvolgere l’originario impianto normativo ed inevitabilmente vengono fuori tutte le difficoltà di regolazione proprie degli strumenti tecnologici le cui caratteristiche talvolta sono estremamente complesse.

Il legislatore con il provvedimento in esame ha voluto promuovere, in materia di digitalizzazione, una “riforma dei processi decisionali interni alle pubbliche amministrazioni”, attraverso: la razionalizzazione degli strumenti di coordinamento e collaborazione tra le pubbliche amministrazioni, favorendo l'uso di software open source; la razionalizzazione dei meccanismi e delle strutture di governance della digitalizzazione; la semplificazione dei procedimenti di adozione delle regole tecniche; la ridefinizione delle competenze dell'ufficio dirigenziale generale unico, istituito nelle pubbliche amministrazioni centrali con funzioni di coordinamento in materia digitale; nonché la digitalizzazione del processo di misurazione e valutazione della performance.

Ma l’obiettivo principale della riforma è stato quello di spostare l’attenzione dal processo di digitalizzazione ai diritti digitali di cittadini e imprese. Con la “carta della cittadinanza digitale” si riconoscono direttamente diritti a cittadini e imprese e si costituisce la base giuridica per implementare Italia Login, la piattaforma di accesso che, attraverso il Sistema pubblico d’identità digitale (SPID) e l’Anagrafe nazionale della popolazione residente, permetterà ai cittadini di accedere ai servizi pubblici - e a quelli degli operatori privati che aderiranno - con un unico nome utente e un’unica password (prenotazioni di visite mediche, iscrizioni a scuola, pagamento dei tributi). Ciò permetterà di superare la complessità della situazione attuale per cui ogni pubblica amministrazione o Ente pubblico che garantisce servizi on-line richiede proprie modalità di registrazione e di utilizzo dei servizi.

Il sistema SPID assume un ruolo centrale in questo nuovo CAD e viene definito come un insieme aperto di soggetti pubblici e privati che, previo accreditamento da parte dell'AgID, secondo modalità definite con specifico decreto ministeriale, identificano cittadini, imprese e pubbliche amministrazioni per consentire loro l’accesso ai servizi in rete.

Lo SPID, quindi, è un insieme di credenziali per accedere in rete a tutti i servizi della pubblica amministrazione e a quelli degli operatori commerciali che vi aderiranno. Lo SPID consente agli utenti di avvalersi di gestori dell’identità digitale e di gestori di attributi qualificati per permettere ai fornitori di servizi l’immediata verifica della propria identità e di eventuali attributi qualificati che li riguardano.

Con l'istituzione dello SPID le pubbliche amministrazioni potranno consentire l'accesso in rete ai propri servizi, oltre che con lo stesso SPID, solo mediante la carta d'identità elettronica e la carta nazionale dei servizi che alla fine avranno in tal senso una funzione solo residuale. La possibilità di accesso con carta d'identità elettronica e carta nazionale dei servizi resta comunque consentito indipendentemente dalle modalità predisposte dalle singole amministrazioni.

E’ chiaro, quindi, l’intento del legislatore di semplificare al massimo l’accesso ai servizi on line dei cittadini, superando le difficoltà connesse alle carte elettroniche, ma il pericolo “sicurezza” incombe sempre, poiché è evidente che con tale sistema si moltiplicano le identità digitali di un cittadino, che saranno diverse per ogni servizio e la prospettiva lascia perplessi. E’ anche vero che il sistema è continuamente monitorato dall’Autorità Garante giustamente preoccupata, ma è anche vero che se una singola identità digitale crea problemi figuriamoci tante.

Inoltre il decreto di riforma va anche al di là di quelle che sono le originarie funzioni dello SPID poiché l’art. 50 del provvedimento in esame introduce un comma 2-septies all’art. 64 del CAD per la verità poco chiaro: “Un atto giuridico può essere posto in essere da un soggetto identificato mediante SPID, nell’ambito di un sistema informatico avente i requisiti fissati nelle regole tecniche adottate ai sensi dell’articolo 71, attraverso processi idonei a garantire, in maniera manifesta e inequivoca, l’acquisizione della sua volontà………” Sinceramente vorrei vedere quale possa essere l’applicazione pratica di questa disposizione alquanto criptica.

Ma tornando all’esame del decreto di riforma del CAD si nota che il legislatore, sempre in linea di continuità con quanto detto in precedenza, introduce nelle definizioni di cui all’art. 1 del CAD nuove ed importanti definizioni e cioè quella di identità digitale “rappresentazione informatica della corrispondenza tra un utente e i suoi attributi identificativi, verificata attraverso l'insieme dei dati raccolti e registrati in forma digitale secondo le modalità fissate nel decreto attuativo dell’articolo 64” con chiaro rimando allo SPID e quella di domicilio digitale inteso come “l'indirizzo di posta  elettronica  certificata  o altro servizio elettronico di recapito certificato qualificato di cui al Regolamento (UE) 23 luglio 2014 n. 910 del  Parlamento  europeo  e del Consiglio in materia di  identificazione  elettronica  e  servizi fiduciari per le transazioni elettroniche nel mercato interno  e  che abroga la direttiva 1999/93/CE, di seguito «Regolamento  eIDAS»,  che consenta la prova del momento di ricezione di una comunicazione tra i soggetti di cui all'articolo 2, comma 2, e i soggetti giuridici,  che sia basato su standard o norme riconosciute  nell'ambito  dell'unione europea”. In effetti da sempre si è sostenuto che la comunicazione ad una PA del proprio indirizzo di PEC rappresenta una vera e propria elezione di domicilio digitale e tale concetto, quindi, è stato recepito a livello normativo con un’importante integrazione, difatti si parla anche di “altro servizio qualificato di recapito certificato” ed a questo punto è chiaro il riferimento al Regolamento e-IDAS n. 910/2014 del 23 luglio 2014 in materia di identificazione elettronica e servizi fiduciari nel mercato interno pubblicato nella G.U. dell’Unione Europea del 28 agosto 2014 che dovrà anch’esso entrare in vigore nel nostro ordinamento il 1° luglio 2016.

In effetti l’opportunità della riforma dell’intero CAD nasce anche dalla necessità di adeguare lo stesso a questo importante Regolamento comunitario noto con l’acronimo e-IDAS che sta per electronic IDentification Authentication and Signature (eTS electronic Trust Services), e stabilisce le condizioni per il riconoscimento reciproco in ambito di identificazione elettronica e le regole comuni per le firme elettroniche, l’autenticazione web ed i relativi servizi fiduciari per le transazioni elettroniche.

Il Regolamento è entrato in vigore direttamente in tutti gli Stati Membri UE, senza necessità di atti di recepimento, il 17 settembre 2014, anche se lo stesso è divenuto applicabile a decorrere dal 1° luglio 2016,ad eccezione delle disposizioni riportate nell’art. 52.

L’obiettivo fondamentale di questo provvedimento comunitario è quello dell’eliminazione delle barriere esistenti all’impiego transfrontaliero dei mezzi di identificazione elettronica utilizzati negli Stati membri almeno per l’autenticazione nei servizi pubblici. Il Regolamento, difatti, non intende intervenire riguardo ai sistemi di gestione dell’identità elettronica e relative infrastrutture istituiti negli Stati membri, ma intende garantire che per accedere ai servizi online transfrontalieri offerti dagli Stati membri si possa disporre di un’identificazione e un’autenticazione elettronica sicura.

Il Regolamento, quindi, innanzitutto disciplina l’identificazione elettronica intesa come “il processo per cui si fa uso di dati di identificazione personale in forma elettronica che rappresentano un’unica persona fisica o giuridica, o un’unica persona fisica che rappresenta una persona giuridica”, preoccupandosi del riconoscimento reciproco fra gli Stati membri dei mezzi di identificazione e autenticazione elettroniche per accedere a un servizio prestato da un organismo del settore pubblico online in uno Stato membro.

L’identificazione elettronica va distinta dalla c.d. “autenticazione” intesa come un processo elettronico che consente di confermare l’identificazione elettronica di una persona fisica o giuridica, oppure l’origine e l’integrità di dati in forma elettronica.

Particolare attenzione viene rivolta dal Regolamento ai prestatori di servizi fiduciari qualificati e non qualificati che devono rispettare determinati requisiti, assumono specifiche responsabilità in caso di danni causati per dolo o negligenza e sono sottoposti al controllo di organismi di vigilanza ed a specifiche verifiche da parte di organismi di valutazione della conformità.

La sezione 4 del Regolamento è dedicata alle firme elettroniche ed in linea generale le relative disposizioni non si discostano in modo rilevante dalla disciplina giuridica già introdotta in Italia dal Codice dell’Amministrazione Digitale (artt. 20 e ss.).

In particolare viene sancito che una firma elettronica qualificata ha gli stessi effetti giuridici di una firma autografa e la medesima efficacia probatoria. Inoltre una firma elettronica qualificata basata su un certificato qualificato rilasciato in uno Stato membro deve essere riconosciuta quale firma elettronica qualificata in tutti gli altri Stati membri.

Viene, quindi, dedicato ampio spazio ai requisiti della firma elettronica avanzata (già conosciuta in ambito comunitario), ai certificati qualificati delle firme elettroniche, ai requisiti ed alla certificazione dei dispositivi per la creazione di una firma elettronica qualificata, ed alla convalida delle firme elettroniche qualificate intesa come processo di verifica e conferma della validità di una firma o di un sigillo elettronico, che viene curato solo da un prestatore di servizi fiduciari qualificato. Particolare attenzione è rivolta anche al servizio di conservazione qualificato delle firme elettroniche qualificate che può essere prestato soltanto da un prestatore di servizi fiduciari qualificato che utilizza procedure e tecnologie in grado di estendere l’affidabilità della firma elettronica qualificata oltre il periodo di validità tecnologica.

Il Regolamento introduce, poi, un nuovo strumento, creato per le specifiche esigenze dell’e-business, che è il sigillo elettronico da intendersi come  “dati in forma elettronica, acclusi oppure connessi tramite associazione logica ad altri dati in forma elettronica per garantire l’origine e l’integrità di questi ultimi”.

Il sigillo elettronico ha lo stesso valore giuridico e la medesima efficacia probatoria della firma elettronica ed anche per questo nuovo strumento si parla di sigilli avanzati e qualificati, individuando le relative caratteristiche. In particolare una persona giuridica, nell’ambito di servizi pubblici, potrà essere titolare di un sigillo elettronico che svolgerà la funzione di  prova dell’emissione di un documento elettronico da parte di una determinata persona giuridica garantendo al documento stesso la certezza dell’origine e l’integrità del contenuto, o potrà servire anche per autenticare qualsiasi bene digitale della persona giuridica stessa, quali codici di software o server.

Anche per i sigilli elettronici qualificati si applicano le medesime disposizioni relative alla convalida ed alla conservazione delle firme elettroniche qualificate.

La Sezione 6 del Regolamento si occupa invece della validazione temporale elettronica intesa come “dati in forma elettronica che collegano altri dati in forma elettronica a una particolare ora e data, così da provare che questi ultimi esistevano in quel momento”. In altri termini si tratta della c.d. marca temporale, che al di là dei riconosciuti effetti giuridici e probatori, gode della presunzione di accuratezza della data e dell’ora che indica e di integrità dei dati ai quali tale data e ora sono associate.

Anche la validazione temporale può essere qualificata ed il regolamento ne fissa i relativi requisiti.

La Sezione 7 parla dei servizi elettronici di recapito certificato da intendersi come servizi che consentono la trasmissione di dati fra terzi per via elettronica e forniscono prove relative al trattamento dei dati trasmessi, fra cui prove dell’avvenuto invio e dell’avvenuta ricezione dei dati, e proteggono i dati trasmessi dal rischio di perdita, furto, danni o di modifiche non autorizzate. In altri termini si tratta della “versione europea” della nostra posta elettronica certificata che non ha mai avuto un riconoscimento comunitario.

Il Regolamento prevede e disciplina anche i requisiti dei servizi elettronici di recapito certificato qualificati.

Il Provvedimento comunitario dedica una specifica disposizione (art. 46) al riconoscimento degli effetti giuridici del documento elettronico ampiamente riconosciuti come del resto la loro efficacia probatoria. Nonostante quindi la medesima precisazione già contenuta nelle disposizioni in materia di firme elettroniche, si è voluto prevedere una disposizione più di carattere generale per fugare ogni dubbio e per sancire in modo chiaro il principio di “neutralità tecnologica” rispetto alla forma elettronica di un documento, peraltro principio già introdotto attraverso l’istituto giuridico della fattura elettronica con la direttiva 2006/112/CE, modificata poi dalla direttiva 45/2010/UE.

Tutti questi principi sono stati recepiti nel decreto di riforma del CAD ed un chiaro segnale in tal senso è innanzitutto rappresentato dall’adozione “in toto” di tutte le definizioni contenute nel Regolamento con conseguente abrogazione di molte definizioni originarie del CAD. Rimane la definizione della firma digitale, creazione tutta italiana (che ritorna come firma qualificata), mentre per il resto si fa spazio a tutte le definizioni del regolamento di identificazione, autenticazione, firma elettronica, firma elettronica qualificata, firma elettronica avanzata, validazione temporale e tante altre. Sinceramente questo “travaso” automatico di definizioni poco note al nostro paese non è facile da digerire, ma fortunatamente a seguito di numerose critiche intervenute dopo la lettura del primo schema è rimasta, anche se leggermente integrata, l’originaria e tradizionale definizione di documento informatico come “il documento elettronico che contiene la rappresentazione informatica di atti, fatti, o dati giuridicamente rilevanti”.

Ma vediamo adesso di sottolineare più nello specifico le principali novità di questa riforma:

- ampliamento dell'ambito di applicazione soggettivo ed oggettivo del CAD, estendendolo da un lato alle società a controllo pubblico, dall'altro al processo civile e penale anche se sono fatte salve le disposizioni del processo telematico (v. ad esempio quanto previsto dall’art. 2).

- Come già si è avuto modo di approfondire ampliamento del riconoscimento dei diritti di cittadinanza digitale e rafforzamento della tutela in caso di violazione degli stessi.

- Introduzione dell'obbligo per le pubbliche amministrazioni di rendere disponibili agli utenti presso i propri uffici idonee risorse di connettività ad Internet in modalità wi-fi (con l’introduzione di uno specifico art. 8-bis del CAD).

- Introduzione dell’obbligo per le società a controllo pubblico di accettare pagamenti spettanti a qualsiasi titolo mediante i servizi di pagamento elettronici che vengono agevolati attraverso una piattaforma tecnologica “per l’interconnessione e l’interoperabilità” messa a disposizione dall’AgID tra le pubbliche amministrazioni e i prestatori di servizi di pagamento abilitati, al fine di assicurare, attraverso strumenti condivisi di riconoscimento unificati, l'autenticazione certa dei soggetti interessati in tutta la gestione del processo di pagamento (art. 5).

- Affermazione del c.d. principio del "digital first" ("innanzitutto digitale"), anche in relazione al procedimento amministrativo, e rafforzamento del principio dell' "open data by default".

- Introduzione di un “Indice   degli    indirizzi    delle    pubbliche amministrazioni e dei gestori di pubblici servizi al fine  di assicurare la pubblicità dei riferimenti telematici delle  pubbliche amministrazioni e dei gestori dei pubblici servizi disciplinato dall’art. 6-ter del CAD (art. 7).

- Istituzione del “Punto unico di accesso telematico ai servizi pubblici” disciplinato dall’art. 64-bis del CAD (art. 50).

- Previsione dell’informatica giuridica come materia fondamentale sia per l’alfabetizzazione informatica dei cittadini che per la formazione informatica dei dipendenti pubblici (artt. 9 e 12).

- Riordino e razionalizzazione della governance del digitale ed in particolare previsione del c.d. “difensore civico per il digitale” inteso come dirigente di ruolo che sia in  possesso  di  adeguati  requisiti  di  terzietà, autonomia ed imparzialità. Al difensore civico  per  il  digitale  chiunque potrà inviare segnalazioni e reclami relativi ad ogni  presunta  violazione del Codice e di ogni altra norma in materia di digitalizzazione ed innovazione della  pubblica  amministrazione. Se tali segnalazioni risultano fondate, il difensore civico per il digitale potrà invitare l'ufficio responsabile della presunta  violazione a porvi rimedio tempestivamente e comunque nel termine di trenta giorni.  Lo stesso difensore potrà segnalare eventuali inadempienze all'ufficio competente per  i procedimenti disciplinari.

- Razionalizzazione e semplificazione della disciplina in materia di identità digitale, di Sistema pubblico di connettività (le cui disposizioni vengono abrogate o accorpate), nonché di trasmissione di dati e documenti informatici.

- Abrogazione dell'obbligo da parte dei cittadini e delle imprese di conservare il documento informatico se già in possesso della PA o dei gestori di pubblici servizi per obbligo di legge (art. 35).

- Coordinamento della disciplina nazionale in materia di documenti informatici e firme elettroniche con quella europea e, in particolare, con il già menzionato Regolamento (UE) n. 910/2014. In tal caso va sottolineato che dopo un’originaria e maldestra disposizione che attribuiva al documento con firma elettronica semplice una piena rilevanza probatoria si è ritornati sui propri passi, riconoscendo l’efficacia prevista dall’art. 2702 del c.c. solo al documento informatico sottoscritto con firma elettronica avanzata, qualificata o digitale. Inoltre, è evidente che il recepimento delle norme del Regolamento e-IDAS comporti anche una ridefinizione di alcuni organi e/o istituti (si pensi ad esempio ai certificatori) ed ai loro requisiti.

- Introduzione di vere e proprie sanzioni pecuniarie irrogate dall’AgID a carico dei prestatori di servizi fiduciari qualificati, dei gestori di posta elettronica certificata, dei gestori dell’identità digitale e dei conservatori in caso di inosservanza delle norme (art. 28). Purtroppo la severità della norma viene mitigata dalla previsione di una diffida preliminare da parte dell’AgID a conformare la propria condotta agli obblighi previsti  dal Regolamento e-IDAS o dal CAD che di fatto limita di molto la portata della disposizione.

- Previsione di un sistema “sia di gestione che di conservazione” dei documenti informatici, correggendo anche in tal caso la discussa previsione nello schema originario di “un solo sistema di gestione dei documenti informatici”. Lo stesso sistema così concepito prevede tutta una serie di requisiti già menzionati tra l’altro nel DPCM del 3 dicembre 2013 e deve essere gestito da un responsabile che deve operare d'intesa  con  il dirigente dell'ufficio dirigenziale generale di cui all'articolo 17 del CAD, il responsabile del trattamento dei dati personali di cui all'articolo 29 del d.lgs. 30 giugno 2003, n. 196 ove nominato e con il responsabile del sistema della  conservazione dei documenti informatici,  nella  definizione  e  gestione delle attività di rispettiva competenza.

- Riguardo i siti istituzionali delle pubbliche amministrazioni si introduce giustamente un esplicito riferimento al d.lgs. n. 33 del 2013 e viene prevista la pubblicazione anche  del catalogo  dei  dati  e  dei  metadati  definitivi,  nonché  delle relative  banche  dati  in possesso degli enti pubblici e dei regolamenti che disciplinano l'esercizio della facoltà di accesso telematico e il riutilizzo di tali dati e metadati, fatti salvi i  dati  presenti  in Anagrafe tributaria (artt. 43 e 44).

Ha fatto molto discutere presso gli addetti ai lavori anche la disposizione di coordinamento del decreto di riforma in argomento contenuta nell’art. 61 che sospende l’obbligo per le amministrazioni pubbliche di adeguare i propri sistemi di gestione informatica dei documenti, di cui all’articolo 17 del decreto del Presidente del Consiglio dei Ministri 13 novembre 2014, fino all’adozione del decreto ministeriale, che entro quattro mesi dalla data di entrata in vigore della riforma del CAD (14 settembre 2016) dovrà aggiornare e coordinare le regole tecniche previste dall’articolo 71 del Decreto legislativo 7 marzo 2005, n. 82.

In realtà le ragioni di tale sospensione, mal digerita specialmente da coloro che già stavano portando avanti  un discorso di adeguamento, sono sia di ordine tecnico che politico-strategico.

Innanzitutto dobbiamo evidenziare che le regole tecniche dettate dal DPCM del 13 novembre 2014 rappresentano un elemento fondamentale per la gestione e la conservazione sicura e corretta del documento informatico. Il Decreto, difatti, stabilisce tutte le modalità con le quali produrre un file digitale che abbia pieno valore legale, che si tratti di un certificato o di qualsiasi altro atto amministrativo. Naturalmente nell’ottica di rivisitazione dell’intero CAD alla luce del Regolamento e-IDAS diventa inevitabile apportare alcune modifiche e/o integrazioni delle stesse regole tecniche visto che il Regolamento comunitario, entrato direttamente in vigore il 1° luglio 2016, nel disciplinare concetti come l’identificazione e l’autenticazione elettronica dedica una particolare attenzione proprio alle firme elettroniche, al c.d. sigillo elettronico, alla validazione temporale elettronica, ai servizi elettronici di recapito certificato ed agli stessi effetti giuridici del documento elettronico dove proprio il principio di “neutralità tecnologica” rispetto alla forma elettronica di un documento ha creato non pochi problemi agli estensori della riforma del CAD.

Come non attendersi una pausa di riflessione dopo un simile impatto con il nostro ordinamento di tali disposizioni i cui effetti forse non sono chiari nemmeno agli addetti ai lavori?

Inoltre, come sempre accade negli ultimi tempi, specialmente in questo delicato settore della digitalizzazione in ambito pubblico con l’ormai imminente scadenza del fatidico termine del 12 agosto pochissime erano state le amministrazioni che stavano quantomeno cercando di adeguarsi, per cui la sospensione è stata vista come un’autentica manna dal cielo.

Il vero problema a parere di chi scrive è un altro e può racchiudersi nella proposizione di alcune domande che spero presto possano trovare risposta: quali saranno queste nuove regole tecniche contenute nel prossimo decreto ministeriale? Dovremo realmente aspettare solo 4 mesi? Fino a quando durerà la sospensione dell’efficacia del DPCM del 13 novembre 2014? Avremo mai un quadro chiaro ed esauriente degli aspetti tecnici connessi alla formazione, archiviazione e trasmissione dei documenti informatici? Possibile che nel nostro paese la soluzione a tali problematiche viene sempre trovata in rinvii e sospensioni?