Il Responsabile della Conservazione dei Dati
Nel maggio 2021 l’Agenzia Italia Digitale (AgID) ha pubblicato le “Linee guida sulla formazione, gestione e conservazione dei documenti informatici” (in vigore dal Gennaio 2022), con le quali è stata introdotta la figura del Responsabile della Conservazione.
Il Responsabile della conservazione è colui che definisce e attua le politiche complessive del sistema di conservazione e ne governa la gestione con piena responsabilità ed autonomia. Egli si dedica ai flussi in entrata e in uscita dei documenti e ne garantisce la conservazione digitale, affinché essi mantengano la loro validità giuridica e probatoria.
All’interno di società di diritto privato il Responsabile può essere sia interno (“Responsabile Titolare”) che esterno (“Responsabile Delegato”). A quest’ultimo può, però, essere delegata soltanto la conservazione sostitutiva, cioè l’attività attraverso cui si trasformano documenti cartacei in digitali al fine di una conservazione a norma di legge. Inoltre, mentre il Responsabile esterno può essere anche una persona giuridica, quello interno deve essere sempre una persona fisica interna alla società (manager/addetto specializzato).
Nelle Pubbliche Amministrazioni, invece, dove questo incarico può essere ricoperto solo da un dirigente, il responsabile può essere soltanto interno.
Le linee guida assegnano al responsabile della conservazione diversi compiti, fra cui:
- Definire le politiche di conservazione e i requisiti funzionali del sistema di conservazione in conformità alla normativa vigente e tenendo conto degli standard internazionali. Questa attività va effettuata considerando la specificità degli oggetti digitali da conservare, della natura delle attività svolte dal titolare dell’oggetto di conservazione e delle caratteristiche del sistema di gestione informatica dei documenti utilizzato;
- Generare e sottoscrivere il pacchetto di distribuzione con firma digitale o firma elettronica qualificata, nei casi previsti dal manuale di conservazione e, secondo le modalità di quest’ultimo, generare e sottoscrivere il rapporto di versamento;
- Predisporre le misure necessarie per la sicurezza fisica e logica del sistema di conservazione ed effettuare il monitoraggio della corretta funzionalità dello stesso;
- Verificare periodicamente, con cadenza non superiore ai cinque anni, l’integrità e la leggibilità dei documenti informatici e delle aggregazioni documentarie degli archivi;
- Adottare misure per rilevare tempestivamente eventuali malfunzionamenti dei sistemi di memorizzazione e delle registrazioni e, ove necessario, per ripristinarne la corretta funzionalità e adottare analoghe misure per l’obsolescenza dei formati;
- Provvedere alla duplicazione, aggiornamento o copia dei documenti informatici in relazione all’evolversi del contesto tecnologico, secondo quanto previsto dal manuale di conservazione;
- Assicurare agli organismi competenti previsti dalle norme vigenti l’assistenza e le risorse necessarie per l’espletamento delle attività di verifica e di vigilanza, nonché la presenza di un pubblico ufficiale nei casi in cui sia richiesto il suo intervento;
- Provvedere per le amministrazioni statali centrali e periferiche a versare i documenti, aggregazioni e archivi informatici, nonché gli strumenti che ne garantiscono la consultazione, all’archivio centrale dello Stato e agli archivi di stato territorialmente competenti;
- Predisporre il manuale di conservazione e ne curarne l’aggiornamento periodico in caso di cambiamenti normativi, organizzativi, procedurali e tecnologici rilevanti. Questo manuale consiste in un documento informatico che deve illustrare: l’organizzazione; i soggetti coinvolti e quali ruoli svolgono; il modello di funzionamento; la descrizione del processo, delle architetture e delle infrastrutture utilizzate; le misure di sicurezza adottate.
Alla luce di quanto detto sinora risulta chiaro come il Responsabile debba essere una persona adeguatamente qualificata: gli si richiedono infatti diverse competenze in ambito informatico e non solo, tra cui a) essere in grado di applicare le regole tecniche e avere una corretta comprensione dell’archivio digitale; b) saper gestire le operazioni di registrazione, firma e classificazione; c) sapere gestire i metadati di formazione, gestione e conservazione documentale.
Il Responsabile della conservazione deve monitorare attentamente tutti i processi e i passaggi della conservazione, in quanto è il soggetto giuridicamente responsabile rispetto all’effettiva correttezza di tutte le attività di conservazione dei dati. Nel caso in cui le funzioni vengano affidate, in tutto o in parte, a un conservatore esterno sarà il Responsabile interno a supervisionare anche l’attività del responsabile della conservazione “delegato” e a coordinarsi con quest’ultimo e con tutti gli altri responsabili coinvolti.
Il mancato rispetto delle linee guida dell’AgId, nonché delle normative vigenti in materia (norme di settore e GDPR), può portare a sanzioni. L’articolo 9 del D.lgs. 471/1997, ad esempio, sanziona la mancata redazione del Manuale di Conservazione (fino ad 8.000,00 €) e la non corretta conservazione di scritture contabili, documenti e i registri previsti dalla legge tributaria.
L’AgId, inoltre, ha potere sanzionatorio diretto verso le Pubbliche Amministrazioni; potere non in suo possesso, invece, con riferimento a soggetti privati.
Difatti, nel caso l’AgId venisse a conoscenza di possibili violazioni dell’art. 18bis CAD (Codice dell’Amministrazione Digitale), successivamente sarebbe tenuta ad effettuare accertamenti preliminari per verificare l’esistenza dei presupposti sanzionatori; ciò anche attraverso richieste di informazioni ed audizioni rivolte al soggetto vigilato. Trascorsi 90 giorni, qualora lo ritenga opportuno, l’AgId può avviare il procedimento di accertamento.
La comunicazione di avvio del procedimento di accertamento, trasmessa al soggetto vigilato, contiene: a) l’indicazione del Responsabile del procedimento; b) l’oggetto dell’accertamento; c) l’espresso avvertimento che in caso di mancata ottemperanza alla richiesta di dati, documenti o informazioni richiesti nel corso dell’istruttoria, ovvero in caso di trasmissione di informazioni o dati parziali o non veritieri, si applicheranno le sanzioni di cui all’art. 18-bis, commi 1 e 5; d) l’indicazione degli obblighi di AgID di segnalazione all’ufficio competente per i procedimenti disciplinari e agli organismi indipendenti di valutazione conseguenti all’accertamento di violazioni rilevanti ai sensi dell’art-18 bis del CAD, degli obblighi di pubblicazione sul sito istituzionale, nonché l’indicazione delle sanzioni amministrative comminabili; e) l’indicazione che l’accertamento si concluderà entro 180 giorni, salvo eventuali sospensioni indicate.
Nel corso dell’istruttoria il Responsabile del procedimento può svolgere audizioni con il soggetto vigilato, eseguire verifiche ispettive anche da remoto, rivolgere al soggetto vigilato o a terzi quesiti in forma scritta, o richiedere informazioni, documenti e dati, assegnando un termine per la risposta o l’invio.
Al termine della fase istruttoria il responsabile dell’Area (qualora fosse diverso dal responsabile del procedimento), verificate le violazioni, diffida il soggetto vigilato a conformarsi agli obblighi previsti, concedendo un congruo termine perentorio. Qualora questi non ottemperasse, il responsabile del procedimento trasmette gli atti al Direttore Generale per l’avvio del procedimento sanzionatorio. L’entità delle eventuali sanzioni non può superare i valori minimi e massimi indicati all’articolo 18-bis, comma 5, del CAD.
In presenza invece di soggetti privati, eventuali sanzioni potrebbero venir comminate dalle autorità competenti caso per caso a seguito di particolari accertamenti, in base alla violazione compiuta. Tra le autorità si menzionano il Garante Privacy e l’ufficio competente dell’Agenzia delle Entrate, competenti per le violazioni di rispettiva pertinenza.
Pare, pertanto, sempre più importante porre estrema attenzione alla figura e all’operato del responsabile della conservazione, nonché agli obblighi imposti dalle norme vigenti. Ciò al fine di garantire la corretta conservazione digitale dei documenti cui si è in possesso, mantenere la loro validità giuridica e probatoria ed evitare possibili e spiacevoli – oltre che alquanto onerose – sanzioni.
Avv. Chiara Micera
