Conservazione digitale a norma: obblighi e scelta del fornitore

Conservazione digitale a norma: cosa la distingue dall'archiviazione

La conservazione protegge e custodisce nel tempo archivi di documenti e dati informatici. Il sistema di conservazione, ai sensi dell'art. 44 del CAD, garantisce autenticità, integrità, affidabilità, leggibilità e reperibilità dei documenti informatici. Lo stesso articolo è il riferimento di un processo normato, che subentra dopo l'archiviazione e mira a conservare nel tempo le informazioni tramite sottoscrizione elettronica e marca temporale, assicurando l'accessibilità dei dati.

L'archiviazione elettronica è invece una memorizzazione non normata su personal computer o supporto esterno: non dà validità legale e fiscale ai documenti. La differenza sta nelle garanzie civilistiche. La conservazione tutela l'integrità (nessuna modifica non autorizzata, documento completo e inalterato), l'autenticità (nessuna alterazione, corrispondenza a ciò che dichiara di essere), la leggibilità (fruibilità delle informazioni per l'intero ciclo di gestione) e il valore probatorio: documenti creati, validati e conservati correttamente producono effetti giuridici.

Una definizione operativa utile quando si valuta un fornitore: la conservazione digitale è l'insieme di attività e processi che, con regole, procedure e tecnologie, garantiscono accessibilità, utilizzabilità (leggibilità e intelligibilità), autenticità (identificabilità univoca e integrità) e reperibilità di documenti e fascicoli informatici con i metadati associati nel medio e lungo periodo, in un ambiente tecnologico presumibilmente diverso da quello originario. Firma digitale e marca temporale certificano tecnicamente autenticità e immodificabilità; la materia è inquadrata anche dalla normativa europea, tra cui il regolamento eIDAS.

Archiviazione elettronica vs Conservazione digitale a norma

Quando la conservazione digitale è obbligatoria

Le pubbliche amministrazioni devono conservare tutti i documenti formati nella loro azione amministrativa. Per il registro giornaliero di protocollo l'obbligo è più stringente: dall'11 ottobre 2015, in base all'articolo 7, comma 5, delle Regole tecniche per il Protocollo informatico, va inviato in conservazione entro la giornata lavorativa successiva.

Per le imprese la conservazione digitale è obbligatoria per fatture elettroniche e documenti fiscalmente rilevanti e, in generale, per i documenti nativamente informatici con rilevanza civilistica: PEC, contratti, documenti sottoscritti con firma digitale e conferme d'ordine, oltre ai dati che possono finire in un futuro contenzioso o controllo. La conservazione conta ai fini probatori e di opponibilità ai terzi: protegge i contratti firmati digitalmente e, in casi particolari, consente di eliminare l'originale cartaceo.

Le garanzie di un sistema a norma: dal versamento allo scarto

Il servizio di conservazione accoglie il versamento dei documenti e dei metadati associati e li trasforma in pacchetti di versamento controllati e verificati, con contestuale rilascio del rapporto di versamento. Il rapporto di versamento attesta cosa è entrato nel sistema: va richiesto e conservato, perché è la prova del conferimento.

Il processo segue questo ordine: formazione dei pacchetti di archiviazione (PdA); generazione dell'indice dei pacchetti di archiviazione (iPdA); sottoscrizione dell'iPdA con firma digitale e marca temporale; memorizzazione del PdA; registrazione del processo di conservazione; mantenimento della validità con produzione di duplicati informatici o copie informatiche, anche per adeguare il formato.

Alla scadenza dei termini di conservazione previsti dalla normativa, il pacchetto di archiviazione viene scartato dal sistema con informativa al produttore. Se l'archivio, pubblico o privato, ha interesse storico, lo scarto richiede l'autorizzazione preventiva del Ministero per i beni e le attività culturali, rilasciata al produttore secondo il D.lgs. 42/04.

Processo di conservazione digitale a norma

Cosa chiede AGID a chi conserva

L'Agenzia per l'Italia Digitale definisce le modalità operative della conservazione: natura e funzione del sistema, modelli organizzativi, ruoli e funzioni dei soggetti coinvolti, descrizione del processo e profili professionali dei responsabili impiegati. Il quadro è completato dalle Linee guida sulla formazione, gestione e conservazione del documento informatico, emanate a settembre 2020.

Con la Determinazione n. 455/2021 è stato adottato il Regolamento sui criteri per la fornitura dei servizi di conservazione dei documenti informatici, con l'Allegato A (requisiti generali e requisiti di qualità, sicurezza e organizzazione per la fornitura) e l'Allegato B (indicazioni per il piano di cessazione del servizio). Con la Determinazione n. 629/2021 è stato approvato il testo modificato del Regolamento per la parte sulla piattaforma con cui presentare la domanda di qualificazione. Il Regolamento è emanato secondo l'articolo 34, comma 1-bis, del d.lgs. 82/2005, integrato e modificato dal Decreto Semplificazione (D.L. 76/2020), convertito con Legge n. 120/2020, ed è entrato in vigore il 1° gennaio 2022, data da cui è abrogata la circolare n. 65/2014.

Le amministrazioni che affidano la conservazione a soggetti non iscritti nella sezione «servizi di conservazione» del Cloud Marketplace devono trasmettere i contratti ad AgID entro trenta giorni dalla stipula, perché l'Agenzia verifichi i requisiti generali e i requisiti di qualità, sicurezza e organizzazione dell'Allegato A del Regolamento.

Requisiti principali per fornitori di conservazione digitale (AGID)

Cronologia delle disposizioni AGID sulla conservazione digitale

Come scegliere il fornitore di conservazione

Il primo controllo è la qualificazione: il fornitore è iscritto nella sezione «servizi di conservazione» del Cloud Marketplace, l'ambito della domanda di qualificazione prevista dal Regolamento AGID? Se non lo è, la pubblica amministrazione che gli affida il servizio deve trasmettere il contratto ad AgID entro trenta giorni dalla stipula; l'Agenzia verifica i requisiti generali, di qualità, sicurezza e organizzazione dell'Allegato A.

Sul piano tecnico e organizzativo, il contratto dovrebbe indicare chi è il responsabile della conservazione e con quale profilo professionale: ruoli, funzioni dei soggetti coinvolti e profili dei responsabili rientrano tra le modalità operative definite da AGID. Va chiesto il manuale di conservazione, che descrive il processo adottato — esistono modelli di manuale adottati dagli enti ai sensi delle Linee guida, come nel caso universitario — e va verificato che il versamento avvenga con rilascio del rapporto di versamento.

Reversibilità e uscita: l'Allegato B del Regolamento contiene le indicazioni per il piano di cessazione del servizio. Prima di firmare occorre vedere come è redatto, cosa prevede per restituire pacchetti di archiviazione e metadati e come assicura la continuità della conservazione. Collegato a questo è il mantenimento della validità: duplicati informatici e copie informatiche, prodotti anche per adeguare il formato, fanno parte del processo e servono a mantenere i documenti leggibili quando il contesto tecnologico cambia.

Da chiedere esplicitamente anche il supporto all'esibizione: il processo di conservazione deve rendere sempre possibile ottemperare all'obbligo di esibizione imposto dal legislatore. Serve quindi sapere con quali tempi e modalità il fornitore estrae documenti e metadati su richiesta dell'autorità o in caso di contenzioso. Sui costi, farsi indicare le singole voci del servizio (versamento, memorizzazione, produzione di duplicati o copie, esibizione, scarto) e ciò che è incluso o escluso.

Checklist operativa prima di affidare il servizio

Documenti e periodi: quali tipologie vanno conferite (fatture elettroniche e documenti fiscalmente rilevanti, PEC, contratti e documenti sottoscritti con firma digitale, conferme d'ordine e, per le pubbliche amministrazioni, registro giornaliero di protocollo) e per quali termini di conservazione. Allo scadere dei termini si procede allo scarto; per gli archivi di interesse storico serve l'autorizzazione ministeriale.

Ruoli e processo: chi è il responsabile della conservazione e chi ricopre gli altri ruoli previsti; come è organizzato il versamento e chi rilascia il rapporto di versamento; dove è descritto il processo nel manuale di conservazione; come sono gestite firma digitale e marca temporale sui pacchetti di archiviazione.

Leggibilità futura ed esibizione: con quale periodicità si producono duplicati informatici o copie informatiche e come si adegua il formato; come vengono garantite reperibilità e intelligibilità dei documenti nel medio e lungo periodo; come si risponde a una richiesta di esibizione in caso di controllo o contenzioso.

Rapporto contrattuale: il fornitore è iscritto nella sezione «servizi di conservazione» del Cloud Marketplace; se non lo è, chi provvede a trasmettere il contratto ad AgID entro trenta giorni dalla stipula; cosa prevede il piano di cessazione del servizio ex Allegato B; quali voci di costo compongono il servizio e in quali condizioni si esce dal contratto restituendo archivi e metadati.

Checklist operativa prima di affidare il servizio di conservazione digitale