agosto 2014

Di Stefano Pigliapoco

Con il presente articolo, dedicato all’analisi dei requisiti tecnologici e funzionali, si conclude l’analisi delle nuove regole tecniche per il protocollo informatico contenute nel DPCM 3 dicembre 2013, entrato in vigore il 12 aprile 2014.

 

Un “sistema di gestione informatica dei documenti”, o sistema di protocollo informatico, è rappresentato dall’insieme delle risorse di calcolo, degli apparati, delle reti di comunicazione e delle procedure informatiche utilizzati da una Pubblica Amministrazione per la gestione dei documenti(1), ossia per lo svolgimento delle attività finalizzate alla formazione, ricezione, spedizione, registrazione, classificazione, fascicolazione, assegnazione, gestione e reperimento dei documenti amministrativi formati o acquisiti da un ente, nell’ambito del sistema di classificazione d’archivio adottato.

In particolare, esso deve garantire la produzione e l’archiviazione del registro informatico di protocollo nel rispetto dei requisiti di natura giuridica che fanno di questo documento un atto pubblico di fede privilegiata(2). Non si tratta quindi di un generico sistema informatico sul quale memorizzare i dati identificativi dei documenti ricevuti o spediti, bensì di un sistema idoneo allo svolgimento di operazioni giuridicamente rilevanti ed essenziali per la formazione dell’archivio digitale. In quest’ottica, si comprendono i requisiti minimi di sicurezza riportati nell’articolo 7 del DPCM 3 dicembre 2013, che obbligano le Pubbliche Amministrazioni ad utilizzare sistemi di protocollo informatico capaci di assicurare:

a) l’univoca identificazione e autenticazione degli utenti. Al riguardo, si ricorda che l’uso delle credenziali di accesso, genericamente rappresentate da user-id e password, equivale ad apporre una firma elettronica sulle registrazioni effettuate. Una firma elettronica che, ai sensi dell’articolo 21, c. 1 del Codice dell’Amministrazione Digitale (CAD), sul piano probatorio è liberamente valutabile in giudizio, tenuto conto delle sue caratteristiche oggettive di qualità, sicurezza, integrità e immodificabilità;

b) la registrazione delle attività rilevanti ai fini della sicurezza svolte da ciascun utente, effettuata in modo da garantire l’identificazione dell’autore e impedire qualsiasi modifica non autorizzata;

c) il tracciamento di qualsiasi evento di modifica delle informazioni trattate con l’individuazione dell’autore. In un sistema di protocollo informatico a norma, quindi, ogni utente deve avere le credenziali di identificazione con associato un profilo di accessibilità, che specifica le operazioni che può compiere sul sistema.

Ogni accesso e ogni operazione eseguita sarà tracciata in modo da individuare i soggetti che le eseguono e quindi attribuire le responsabilità in caso di irregolarità accertate o gravi errori di trattazione. In queste circostanze, si applicherà il citato articolo 21, c. 1, del Codice dell’Amministrazione Digitale e quindi in sede giuridica sarà valutato il livello di sicurezza ed affidabilità delle credenziali di accesso, nonché delle misure adottate per garantire l’integrità e l’immodificabilità delle registrazioni, e si procederà di conseguenza all’attribuzione delle responsabilità personali. Tra i requisiti minimi di sicurezza, il legislatore ha indicato anche il controllo differenziato dell’accesso alle risorse del sistema di protocollo informatico per ciascun utente o gruppi di utenti, rendendo obbligatoria l’adozione delle misure di sicurezza previste dagli articoli da 31 a 36 e dal disciplinare tecnico di cui all’allegato B del Codice in materia di protezione dei dati personali, di cui al Decreto Legislativo n. 196/2003(3).

In effetti, in un contesto sempre più “digitalizzato”, dove i dati identificativi sui documenti e gli stessi documenti informatici convergono in un unico sistema accessibile in rete a tutti gli operatori dell’ente, assume grande rilevanza la capità di abilitare l’accesso alle risorse ai soli utenti autorizzati. Tra l’altro, non è così semplice coniugare l’esigenza di rendere disponibili i documenti a tutti gli utenti che ne hanno bisogno per lo svolgimento delle loro pratiche e allo stesso tempo garantire la loro riservatezza, anche perché un documento deve poter essere assegnato a uno o più uffici in base agli argomenti trattati, oppure reso disponibile solo ai componenti di un gruppo di lavoro di cui fanno parte operatori di uffici diversi, o al limite riservato al responsabile del trattamento dei dati sensibili in esso contenuti. Le problematiche connesse alla gestione della riservatezza dei documenti registrati sul sistema di protocollo informatico possono essere risolte con un’intensa attività di organizzazione, che specifichi chi può fare e che cosa, e con la disponibilità di soluzioni tecnologicamente avanzate che permettano di definire profili di accessibilità differenziati per tipologie di utenti e di documenti. Riguardo alle funzionalità del sistema di protocollo informatico, le indicazioni contenute nel DPCM 3/12/2013 sono piuttosto generiche. L’articolo 6, c. 1, dichiara come indispensabile la “funzionalità minima”, ovvero la componente del sistema di protocollo informatico che permette di eseguire le operazioni di registrazione di protocollo, annullamento o modifica delle stesse, segnatura di protocollo e classificazione dei documenti(4). Il c. 2 dello stesso articolo, però, rileva che per dare attuazione alle disposizioni contenute nel Codice dell’Amministrazione Digitale le Pubbliche Amministrazioni devono acquisire o realizzare le “funzionalità aggiuntive” sulla base del rapporto tra costi e benefici e nell’ambito dei propri obiettivi di miglioramento dei servizi e di efficienza operativa. Pertanto, considerato che le disposizioni del CAD si applicano alle Pubbliche Amministrazioni di cui all'articolo 1, comma 2, del Decreto Legislativo 30 marzo 2001, n. 165, nonché alle società interamente partecipate da enti pubblici o con prevalente capitale pubblico, sembra logico ritenere necessario – e non opzionale – l’utilizzo di sistemi di protocollo informatico dotati delle “funzionalità aggiuntive”, anche perché esse riguardano due componenti indispensabili per la trattazione dei documenti informatici: la gestione dei flussi documentali e l’accessibilità alle risorse informative e documentarie. Particolarmente rilevanti sono le funzionalità per la corretta produzione, archiviazione e conservazione del registro di protocollo informatico. Ai sensi dell’articolo 53 del DPR n. 445/2000, il sistema deve consentire la produzione del registro giornaliero di protocollo, costituito dall’elenco delle informazioni inserite di uno stesso giorno, e l’esecuzione delle operazioni di registrazione di protocollo in un’unica soluzione, con esclusione di interventi intermedi, anche indiretti, da parte dell’operatore.

A queste disposizioni, già in vigore da anni, l’articolo 7 del DPCM 3 dicembre 2013 aggiunge l’obbligo di trasmettere il registro giornaliero di protocollo, entro la giornata lavorativa successiva, al sistema di conservazione, garantendo l’immodificabilità del contenuto. In definitiva, al sistema di protocollo informatico sono richieste funzionalità tali da garantire la registrazione dei dati identificativi dei documenti (numero e data di protocollo, oggetto, mittente o destinatario) in un’unica operazione, la produzione giornaliera del registro di protocollo informatico e la sua trasmissione ad un sistema di conservazione digitale a norma.

Appare evidente la differenza tra questa impostazione e quella che vede il sistema di protocollo informatico solo come un mezzo per registrare i dati dei documenti da stampare e conservare su cartaceo; le nuove regole tecniche contenute nel DPCM 3/12/2013 puntano decisamente alla produzione, archiviazione e conservazione di registri giornalieri di protocollo direttamente su base digitale. La gestione dei documenti informatici, sia in entrata che in uscita, rende necessarie funzionalità specifiche per la loro ricezione e trasmissione attraverso il canale della posta elettronica certificata, nonché per la registrazione e segnatura informatica di protocollo. Innanzitutto, anche in considerazione di quanto stabilito dall’articolo 18, c. 2, del DPCM 3/12/2013, che impone alle Pubbliche Amministrazioni l’obbligo di istituire una casella di Posta Elettronica Certificata (PEC) per ogni AOO direttamente associata al registro di protocollo generale, si rileva l’opportunità dell’integrazione funzionale tra il servizio di PEC e il sistema di protocollo informatico, che permetta di acquisire automaticamente i messaggi in entrata e formare quelli in uscita, allegandovi i documenti con le relative segnature di protocollo.

In secondo luogo, nella prospettiva della dematerializzazione dei procedimenti amministrativi si dovrebbero attuare soluzioni tecnologiche che assicurino l’interoperabilità e la cooperazione applicativa tra il sistema di protocollo informatico e i sistemi utilizzati per l’informatizzazione dei procedimenti amministrativi, realizzando un’architettura applicativa dove ciascun sistema mette i propri dati, documenti e servizi a disposizione degli altri moduli del sistema informativo. In ultimo, sulla base delle disposizioni contenute nel DPCM 3 dicembre 2013, tra i requisiti tecnologici di un sistema di protocollo informatico figurano le funzionalità per effettuare la segnatura informatica di protocollo(5), eseguire la registrazione di protocollo dei messaggi di posta elettronica certificata ricevuti o spediti(6), calcolare e memorizzare tra i dati di protocollo l’impronta dei documenti informatici(7).