Codice dell'Amministrazione Digitale (CAD): il punto della situazione Analisi dei contenuti del testo unico che definisce le norme riguardanti l'informatizzazione della Pubblica Amministrazione nei rapporti con i cittadini e le imprese dal 2005 ad oggi

In questo articolo ci dedicheremo ad approfondire i contenuti del Codice dell'Amministrazione Digitale (noto anche come CAD): un atto normativo della Repubblica Italiana, emanato sotto forma di Decreto Legislativo (d.lgs 07/03/2005, n. 82), che regolamenta l'utilizzo dell'informatica come strumento privilegiato nei rapporti tra la pubblica amministrazione italiana e i cittadini dello Stato.

Dopo una prima parte dedicata alle vicissitudini storiche della normativa negli ultimi 15 anni, con l'intento di metterne a fuoco i principali obiettivi, ci dedicheremo all'approfondimento di alcuni istituti e strumenti specifici creati in fase attuativa, come il Sistema Pubblico di Connettività (SPC), il Difensore Civico Digitale e il concetto di Domicilio Digitale, nonché di fonti UE recepite dall'ordinamento italiano, come il Regolamento UE 910/2014 (eIDAS); nella parte conclusiva dell'approfondimento proveremo inoltre a mettere in luce i pro e i contro di alcuni standard attualmente utilizzati in Italia, come la Posta Elettronica Certificata (PEC), mettendoli a confronto con le alternative previste dall'Unione Europea.

Cenni storici

Il Codice dell'Amministrazione Digitale è stato emanato nel marzo del 2005 a seguito della delega al governo italiano contenuta nell'articolo 10 della legge 29 luglio 2003, n. 229, entrando in vigore a partire dal primo gennaio dell'anno successivo (2006); lo scopo del CAD è quello di assicurare e regolare la disponibilità, la gestione, l'accesso, la trasmissione, la conservazione e la fruibilità dell'informazione in modalità digitale utilizzando con le modalità più appropriate le tecnologie dell'informazione e della comunicazione all'interno della pubblica amministrazione: si tratta dunque di un insieme di metodologie volte a garantire un canale di comunicazione sicuro ed affidabile sia per i rapporti interni alla PA che per quelli tra la PA e i privati (intesi come cittadini e imprese), nonché - in alcuni limitati casi - per disciplinare alcuni aspetti dei rapporti tra privati.

Poiché la materia è estremamente "mobile", non c'è da stupirsi di come il CAD sia stato oggetto di una serie di aggiornamenti e correttivi, dei quali è opportuno ricordare i più significativi:

• Il d.lgs 4 aprile 2006, n. 159 ha inserito all'interno del CAD (per la precisione nel Capo VIII) l'intero testo già contenuto nel d.lgs n. 42 del 2005, disciplinante il Sistema Pubblico di Connettività (SPC) e la Rete Internazionale delle Pubbliche Amministrazioni.
• Il decreto-legge 29 novembre 2008, n. 185, poi convertito in legge 28 gennaio 2009, n. 2, ha modificato i commi 4 e 5 dell'art. 23, prevedendo per la copia firmata digitalmente lo stesso valore dell'originale senza obbligo di autentica da parte di notaio o di altro pubblico ufficiale, salvo i documenti da indicare con decreto del presidente del Consiglio dei ministri.
• La legge 18 giugno 2009, n. 69, Disposizioni per lo sviluppo economico, la semplificazione, la competitivita' nonche' in materia di processo civile, che nel Capo 1 (innovazione) introduce alcuni importanti adeguamenti alla normativa UE in materia di fornitura di reti e servizi di comunicazione elettronica, con particolare riguardo alla rete in fibra ottica.
• Il d.lgs 30 dicembre 2010, n. 235, che ha modificato ben 53 articoli su 92 originari e ne ha introdotti altri 9 con l'obiettivo di rendere più stringenti alcuni obblighi circa le comunicazioni sia all'interno delle amministrazioni nella gestione dei procedimenti amministrativi, sia tra queste e i cittadini; a tal fine sono state riviste anche le disposizioni in materia di firma digitale, documento informatico e servizi di pagamento.
• Il decreto-legge 18 ottobre 2012, n. 179, convertito con modificazioni dalla legge 17 dicembre 2012, n. 221, che introduce i concetti di domicilio digitale (art. 3-bis) e cloud computing (art. 68).
• Il d.lgs. 26 agosto 2016, n. 179 (parte integrante della "riforma Madia"), che recepisce il Regolamento UE 910/2014 - eIDAS (electronic IDentification Authentication and Signature) inserendolo all'interno del codice.
• Il d.lgs. 13 dicembre 2017, n.217: una vera e propria "riforma", enucleata all'interno di 67 articoli, che si pone l'obiettivo di definire un quadro normativo idoneo ad abilitare e supportare le azioni di attuazione dell'agenda digitale dotando cittadini, imprese e amministrazioni di strumenti e servizi idonei a rendere effettivi i diritti di cittadinanza digitale introdotti dalle precedenti normative.
• Il decreto legge del 16 luglio 2020, n.76, noto anche come "Decreto Semplificazioni", così come modificato dalla Legge 11 settembre 2020, n. 120, che ha reso il domicilio digitale obbligatorio dal 1° ottobre 2020 per imprese e professionisti.

L'intervento legislativo del dicembre 2017 è particolarmente importante, in quanto si inscrive nel più ampio contesto degli interventi di "semplificazione amministrativa" previsti dalla legge delega n. 124 del 2015. Il decreto è articolato nei seguenti punti fondamentali:

• Semplificare, razionalizzare e deregolamentare alcune disposizioni e regole tecniche presenti nel CAD, sostituendole in molti casi con delle linee guida la cui adozione viene affidata direttamente all'Agenzia per l'Italia Digitale (AgID): questa modifica ha lo scopo di evitare che la continua evoluzione tecnologica costringa PA e cittadini all'utilizzo di soluzioni e servizi meno moderni di quelli disponibili sul mercato.
• Sottolineare con maggior forza la natura di "carta di cittadinanza digitale" del CAD, aggiungendo una serie di disposizioni volte ad attribuire a cittadini e imprese il diritto a una identità e a un domicilio digitale, alla fruizione di servizi pubblici online in maniera semplice e mobile-oriented, a partecipare effettivamente al procedimento amministrativo per via elettronica e ad effettuare pagamenti online. Sempre in ottica di semplificazione viene prevista una nuova e più sintetica definizione di domicilio digitale (art. 1, comma 1, lett. n-ter) e aggiunto l'obbligo di dotarsi di un domicilio digitale ai soggetti tenuti in precedenza ad avere un indirizzo PEC (ovvero soggetti pubblici, professionisti tenuti all'iscrizione in albi ed elenchi e i soggetti tenuti all’iscrizione nel registro delle imprese).
• Promuovere integrazione e interoperabilità tra i servizi pubblici erogati dalle diverse amministrazioni in modo da garantire a cittadini e imprese il diritto a fruirne in maniera semplice e moderna attraverso un'unica interfaccia, una vera e propria dashboard di cittadinanza digitale. In particolare, tramite il decreto in esame, è stato introdotto uno specifico diritto per la cittadinanza di fruire dei servizi offerti dai soggetti pubblici “in forma digitale e in modo integrato” (art. 7, comma 01 CAD) anche per il tramite del “punto di accesso” di cui all’art. 64 bis del CAD. Con l'intento di dar seguito a queste previsioni è stato portato a termine lo sviluppo del Sistema Pubblico di Identità Digitale (SPID), che oggi costituisce uno dei traguardi più importanti raggiunti da Agenzia per l'Italia Digitale nel contesto della digitalizzazione dei servizi pubblici.
• Garantire maggiore certezza giuridica in materia di formazione, gestione e conservazione dei documenti digitali prevedendo maggiore elasticità rispetto alla normativa preesistente in materia di firma digitale, limitatamente ad alcune casistiche specifiche individuate dall'AgID. Si tratta di un'iniziativa che mira a promuovere l'adozione e l'utilizzo da parte di soggetti pubblici e privati di soluzioni digitali moderne e semplici da usare senza rinunciare al rispetto della disciplina vigente laddove impone il ricorso alla forma scritta per il compimento di taluni atti e contratti.
• Rafforzare l'applicabilità dei diritti di cittadinanza digitale, obiettivo perseguito sia istituendo presso l' AgiD il nuovo ufficio del Difensore Civico per il Digitale sia aumentando la misura delle sanzioni che la stessa AgID potrà erogare qualora i fornitori di servizi fiduciari violino le regole vigenti esponendo a rischio i diritti di cittadini e imprese.
• Promuovere un processo di autentica valorizzazione del patrimonio informativo pubblico riconducendo tale obiettivo tra le finalità istituzionali di ogni amministrazione e disegnando un contesto normativo che, nel rispetto della disciplina in materia di privacy e tutela dei dati personali, garantisca un utilizzo più efficace dei dati pubblici attraverso moderne soluzioni di data analysis.

Come si può vedere questa nuova riforma potenzia e arricchisce notevolmente il ruolo di Agenzia per l'Italia Digitale, che assume una rilevanza centrale nell'ambito dei rapporti con la cittadinanza sia relativamente ai rapporti con le pubbliche amministrazioni sia a livello di indirizzo che di controllo.

Sistema Pubblico di Connettività

Il Sistema Pubblico di Connettività (SPC) non va immaginato come un sistema informatico vero e proprio, quanto piuttosto come una cornice nazionale di interoperabilità: in altre parole, si tratta di un insieme organico di modalità preferenziali che i sistemi informativi delle pubbliche amministrazioni devono adottare per essere tra loro interoperabili.

La definizione "ufficiale" del SPC è contenuta nell'atto normativo con cui esso è stato istuito e disciplinato, ovvero il già citato decreto legislativo del 28 febbraio 2005, n. 42,  dove viene definito nel seguente modo:

L'insieme di infrastrutture tecnologiche e di regole tecniche per lo sviluppo, la condivisione, l'integrazione e la diffusione del patrimonio informativo e dei dati della pubblica amministrazione, necessarie per assicurare l'interoperabilità di base ed evoluta e la cooperazione applicativa dei sistemi informatici e dei flussi informativi, garantendo la sicurezza, la riservatezza delle informazioni, nonché la salvaguardia e l'autonomia del patrimonio informativo di ciascuna pubblica amministrazione.

Tale formulazione si ritrova anche nell'articolo 73 del Codice dell'Amministrazione Digitale.

Composizione

Il SPC fu progettato nel 2003 e successivamente realizzato mediante una serie di gare pubbliche bandite dal CNIPA nel 2005, che videro l'aggiudicazione di Fastweb, Telecom Italia, Wind Telecomunicazioni e BT Italia (successivamente consorziatisi nel QXN, nodo di interconnessione delle reti pubbliche).

Nel 2012, in conseguenza della soppressione del DigitPA (ex-CNIPA), le attività di centrale di committenza relativa al SPC furono affidate a Consip. E' dunque Consip che, nel 2013, bandisce la nuova gara per SPC, alla quale partecipano 7 concorrenti. Il 28 aprile 2015, al termine di una lunga e complessa serie di vicende, Consip ha ufficializzato l'aggiudicazione della gara per l’affidamento dei servizi di connettività nell’ambito del Sistema Pubblico di Connettività (SPC): in base a quanto stabilito dal Disciplinare di gara, la fornitura viene suddivisa tra i fornitori disponibili secondo le seguenti quote percentuali:

• Tiscali 60%
• BT Italia 20%
• Vodafone 20%

Con ciascun fornitore è stato stipulato un contratto quadro della durata di sette anni; durante questo periodo, il fornitore si impegna a stipulare contratti esecutivi del contratto quadro con le singole amministrazioni, alle quali viene garantita la fruizione di elevati livelli di disponibilità dei servizi e delle stesse condizioni economiche proposte dal miglior offerente.

Nel dicembre 2016 la società Fastweb Spa è subentrata a Tiscali in virtù di un contratto di acquisizione con cui, tra l'altro, si perfeziona la cessione del ramo d'azienda Tiscali Business a Fastweb, incluso il sistema pubblico di connettività aggiudicato in giugno da Consip.

Obiettivi

Il Sistema Pubblico di Connettività si pone i seguenti obiettivi:

• Fornire un insieme di servizi di connettività condivisi dalle pubbliche amministrazioni (PA) interconnesse, graduabili in modo da poter soddisfare le differenti esigenze.
• Garantire l'interazione della PA centrale e locale con tutti gli altri soggetti connessi a internet, nonché con le reti di altri enti, promuovendo l'erogazione di servizi di qualità per cittadini e imprese.
• Fornire un'infrastruttura condivisa di interscambio che consenta l'interoperabilità tra tutte le reti delle PA esistenti.
• Fornire servizi di connettività e cooperazione alle PA che ne facciano richiesta, per permettere l'interconnessione delle proprie sedi e realizzare così anche l'infrastruttura interna di comunicazione.
• Realizzare un modello di fornitura dei servizi multifornitore coerente con l'attuale situazione di mercato e le dimensioni del progetto stesso.
• Garantire lo sviluppo dei sistemi informatici salvaguardando la sicurezza dei dati, la riservatezza delle informazioni, nel rispetto dell'autonomia del patrimonio informativo delle singole amministrazioni.

Regolamento UE 910/2014 (eIDAS)

Il Regolamento eIDAS (electronic IDentification Authentication and Signature), noto anche come Regolamento UE n. 910/2014 sull’identità digitale, è stato emanato con l'obiettivo di fornire una base normativa a livello comunitario per i servizi fiduciari e i mezzi di identificazione elettronica degli stati membri: in altre parole, si pone lo scopo di fornire una base normativa comune per interazioni elettroniche sicure fra cittadini, imprese e pubbliche amministrazioni, incrementando la sicurezza e l’efficacia dei servizi elettronici e delle transazioni di e-business e commercio elettronico nell'Unione Europea.

Il Regolamento è in vigore dal 1 luglio 2016 e sostituisce di fatto la normativa precedente, rappresentata all'interno della Direttiva 1999/93/CE: come si può vedere, la prima novità consiste proprio nella sostituzione di una Direttiva con uno strumento giuridico più potente: il Regolamento, direttamente applicabile in tutti gli Stati membri dell’Unione Europea senza la necessità di atti di recepimento nei singoli Stati; tale scelta fa ben comprendere l'importanza attribuita al legislatore alla normazione di una materia che, stante l'evoluzione degli strumenti digitali in tutti gli stati membri, è diventata di fondamentale importanza per contribuire all'attuazione di uno degli obiettivi fondamentali dell'Unione: il rafforzamento della coesione economica, sociale e territoriale tra gli Stati membri.

Contenuti e obiettivi

Il Regolamento è suddiviso in quattro parti:

• Definizioni
• Identificazione e Autenticazione Elettronica
• Firme Elettroniche (e-signatures)
• Servizi Fiduciari (trust services)

Per quanto riguarda i sistemi di identificazione, il regolamento lascia ad ogni Stato la libertà di utilizzare gli strumenti di identificazione online già in uso, limitandosi a inviare alla commissione un elenco dei sistemi adottati così da poterli inserire all'interno di una apposita lista. Se lo schema di identificazione notificato dallo Stato membro è pubblicato, ogni cittadino può usare il proprio sistema di identificazione elettronica negli altri Stati, attuando così il principio del riconoscimento reciproco dell'identificazione in materia di servizi online.

In relazione alle firme elettroniche, viene confermato il principio del non disconoscimento del documento informatico e delle firme elettroniche, secondo cui non può essere negata dignità e rilevanza giuridica ad una firma elettronica solo in ragione della sua forma. Vengono inoltre aggiunte le definizioni di firma elettronica avanzata, della quale si ribadisce il principio di neutralità tecnologica, e firma elettronica qualificata, della quale viene prevista una equiparazione automatica (in senso giuridico) alla firma autografa. Viene inoltre introdotto il sigillo elettronico, un insieme di metadati in forma elettronica acclusi o connessi ad altri dati allo scopo di garantirne la provenienza e l’integrità.

L'ultima parte del regolamento è relativa ai cosiddetti trust services: si tratta di una serie di servizi informatici che consentono di effettuare una serie di attività di creazione, verifica e convalida e conservazione di firme elettroniche, sigilli e certificati. In questa sezione viene anche introdotto il concetto di validazione temporale elettronica, più nota in Italia con il nome di marca temporale: una particolare tipologia di sigillo elettronico che consente di associare un'ora e una data a un documento, così da comprovarne l'esistenza in quel particolare momento storico. E' importante precisare che la validazione temporale elettronica non è quello di  attestare che il documento è stato creato in quel preciso momento, ma soltanto di certificare la sua esistenza.

Difensore Civico Digitale

Il Difensore Civico per il Digitale è una figura prevista dal Codice per l'Amministrazione Digitale a garanzia dei diritti digitali di cittadini e imprese. Questa figura ha una duplice funzione:

• raccoglie le segnalazioni relative alle presunte violazioni del Codice dell’Amministrazione Digitale (CAD) o di ogni altra norma in materia di digitalizzazione ed innovazione, (art.17, comma 1 quater del CAD);
• in caso di contestazione sulla dichiarazione di accessibilità o di esito insoddisfacente del monitoraggio decide in merito alla corretta attuazione della legge sulla accessibilità agli strumenti informatici per le persone con disabilità; in caso di reclami di utenti relativi a dichiarazioni di accessibilità dispone inoltre eventuali misure correttive (art.3-quinquies della legge n.4/2004).

Per ulteriori informazioni è possibile consultare la pagina dedicata sul sito ufficiale AgID.

Domicilio Digitale

Con il termine Domicilio Digitale si intede un Indirizzo digitale a cui far pervenire comunicazioni ai cittadini o altri soggetti privati o pubblici: esso può essere usato dalla pubblica amministrazione, dai privati e da tutti gli altri soggetti che hanno interesse a dialogare con il titolare del Domicilio Digitale per finalità legali di qualsivoglia tipo. Si tratta dunque del luogo virtuale in cui cittadini, imprese e professionisti decidono di voler ricevere le comunicazioni in formato digitale.

Come abbiamo ricordato in uno dei paragrafi precedenti, l'articolo 37 del Decreto Semplificazioni (D.L. 76/2020) ha reso il domicilio digitale obbligatorio dal 1° ottobre 2020 per imprese e professionisti.

Differenze con la PEC

Il Domicilio Digitale non va confuso con la Posta Elettronica Certificata (PEC), in quanto quest'ultima è soltanto uno dei possibili strumenti previsti per attivarlo: è dunque corretto affermare che tra PEC e Domicilio Digitale c'è un rapporto di “mezzo a fine”, nel senso che la prima può essere utilizzata per soddisfare uno dei principali requisiti del secondo.

In dettaglio, per poter attivare il proprio domicilio digitale, cittadini e imprese devono:

• dotarsi di un indirizzo di Posta Elettronica Certificata (PEC) o, in alternativa, di un servizio elettronico di Recapito Certificato Qualificato (SERCQ) in linea con la normativa UE;
• richiedere l’attivazione del domicilio al proprio Comune di residenza, compilando l’apposito modulo di domanda.

Una volta ricevuta la richiesta, il Comune provvederà a inserire l’indirizzo PEC nell’elenco dell'Anagrafe Nazionale della Popolazione Residente (ANPR) e reso disponibile alle Pubbliche Amministrazioni e ai gestori di pubblici servizi per le comunicazioni con i cittadini.

Il "miraggio" del SERCQ

Come abbiamo detto nel paragrafo precedente, per soddisfare il primo dei requisiti necessari per eleggere il proprio domicilio digitale il cittadino o l'impresa può scegliere tra la Posta Elettronica Certificata (la versione digitale della raccomandata A/R ) e un servizio elettronico di recapito certificato qualificato (denominato SERCQ o SERC).

Rispetto alla PEC, il SERCQ presenta importanti caratteristiche di sicurezza e garanzia aggiuntive, tra cui la possibilità di verificare con certezza l'identità di mittente e destinatario, cosa che la PEC non è in grado di fare senza l'utilizzo congiunto della firma elettronica o di altri strumenti di identificazione sicura esterni allo standard.

Sfortunatamente, però, la PEC è a tutt'oggi l'unico strumento utilizzabile in Italia, dato che non è stata ancora emanata a livello UE la normativa esecutiva sui SERCQ. Tale "paralisi attuativa" ha costretto il legislatore italiano a posticipare l'abrogazione della PEC, inizialmente prevista per il 1 gennaio 2019.

Limiti e svantaggi della PEC

Se la Posta Elettronica Certificata (PEC) non consente di verificare l'identità del mittente e del destinatario, in cosa si differenzia dalla normale posta elettronica? La risposta, prescindendo da ogni giudizio di merito, è la seguente: la PEC, oltre ad obbligare i provider certificati a configurare i propri server di invio e ricezione nel rispetto di determinate norme di sicurezza, consente al mittente di disporre di una documentazione legalmente valida dell’invio e dell'avvenuto recapito della comunicazione. Queste caratteristiche, che hanno consentito al legislatore di equipararla a una Posta Raccomandata A/R, non sono ovviamente sufficienti a rendere la PEC un canale "sicuro" o a considerare tale standard adeguato a garantire la riservatezza, l'integrità e la disponibilità dei dati trasmessi.

Nello specifico:

• la riservatezza è minata alla base dal fatto che i software per la PEC vengono installati e utilizzati sui PC che gli utenti normalmente usano, i quali sono inevitabilmente esposti al rischio derivante da spyware e malware;
• l'integrità è indebolita dalla possibilità di cancellare (ovvero, in determinate condizioni, modificare) qualsiasi messaggio o allegato presente nella casella, comprensivo di eventuali ricevute, sia intenzionalmente (ad es. da parte di malintenzionati) che inavvertitamente (ad es. da parte dello stesso destinatario); l'esercizio di tale facoltà con relativa semplicità è una diretta conseguenza della scelta di basare lo standard PEC su una tecnologia specifica (la posta elettronica), in aperto contrasto con le specifiche UE (eIDAS) che adottano il principio della "neutralità tecnologica".
• la disponibilità è compromessa da due importanti aspetti che non sono stati opportunamente normati dal legislatore italiano: A) il fatto che la data di notifica del file depositato coincide legalmente con la data del deposito: questa decisione comporta la necessità, da parte del soggetto, di monitorare regolarmente la propria casella di posta certificata per evitare il decorso di eventuali termini contenuti in un atto che, per ipotesi, si andrà a scaricare dopo un certo lasso di tempo; B) le problematiche relative alla capienza delle caselle di posta, nonché alla conservazione dei messaggi.

Gli aspetti legati alla disponibilità sono particolarmente importanti e meritano un approfondimento ulteriore. Nella normativa non esiste cenno a cosa accada se la serie di messaggi PEC supera la capienza della casella acquistata, sia dal mittente sia dal ricevente; tecnicamente, poiché la PEC si basa sulla tecnologia della posta elettronica, se la casella del destinatario è piena, il mittente riceverà - in luogo della ricevuta di avvenuta consegna - un messaggio d'errore di sistema che informa, con la relativa diagnostica, dell'impossibilità di consegnare il messaggio.

Questa situazione è ulteriormente complicata dal fatto che ad oggi non sono previste opzioni gratuite per utilizzare la PEC: per attivarla occorre pagare i servizi di un'azienda privata che ha ricevuto l'autorizzazione a entrare a far parte del sistema di distribuzione autorizzato. In conseguenza di tale infausta scelta la PEC non soltanto costituisce un onere aggiuntivo per professionisti e società tale da  eroderne ulteriormente la competitività in ambito internazionale, dove la PEC è (comprensibilmente) sconosciuta, ma costringe chiunque abbia necessità di mantenere un archivio certificato e con piena validità di legge delle comunicazioni ricevute a dotarsi di strumenti di conservazione ulteriormente costosi e difficili da utilizzare, complicando ulteriormente la gestione quotidiana e rendendo più complesso lo sviluppo di processi di ricezione automatizzati.

Conclusioni

Per il momento riteniamo utile fermarci qui, riservandoci di pubblicare ulteriori approfondimenti in articoli futuri. Ci auguriamo che questa panoramica sul Codice dell'Amministrazione Digitale possa essere utile a chiunque sia interessato ad approfondire le tematiche relative al percorso di digitalizzazione nel nostro paese, anche in conformità con quanto previsto dai Regolamenti e dalle Direttive UE.

Print Friendly & PDF Download