Nella Pubblica Amministrazione, il sistema di gestione documentale trasferisce al sistema di conservazione, ai sensi dell’art. 44, comma 1-bis, del CAD:
4.6
Rispetto a quanto indicato in:
“Il responsabile della conservazione, sotto la propria responsabilità,
può delegare lo svolgimento delle proprie attività o parte di esse a uno o più soggetti,
che all’interno della struttura organizzativa, abbiano specifiche competenze ed esperienze.”
Osservo che in alcune pubbliche amministrazioni con limitate risorse, non sono presenti internamente competenze
che permettano a responsabile della conservazione di effettuare deleghe operative interne; ed in tali casi l’apporto
di professionisti con specifiche competenze ed esperienze, esterni, può risultare utile per garantire la qualità
e continuità stessa della operatività della conservazione.
Per il punto 4.9 – Infrastrutture.
I requisiti:
“I sistemi di conservazione delle Pubbliche Amministrazioni e i sistemi di conservazione dei conservatori accreditati, ai fini della vigilanza da parte dell’Agenzia per l’Italia digitale su questi ultimi, prevedono la materiale conservazione dei dati e delle copie di sicurezza sul territorio nazionale”
e
“Le componenti tecnologiche hardware e software utilizzate dai sistemi di conservazione delle Pubbliche Amministrazioni e dei conservatori accreditati sono segregate fisicamente e logicamente per i servizi di cui all’art. 29 del CAD”,
determinano, per la fruizione del servizio di conservazione in Cloud, la introduzione nel contratto di servizio di clausole contrattuali impossibili da rispettare o il cui costo di realizzazione vanifica le economie di scala del fornitore, e quindi i vantaggi economico-organizzativi attesi dalla PA nel ricorso a tale soluzione.
Sarebbe utile allentare questi vincoli permettendo la dislocazione fisica dei server almeno all’interno della UE e modificando il secondo requisito in modo da non vincolare le parti hardware / fisiche della infrastruttura, adottando per esempio una formulazione tipo “Le componenti tecnologiche software utilizzate dai sistemi di conservazione delle Pubbliche Amministrazioni e dei conservatori accreditati sono segregate logicamente per i servizi di cui all’art. 29 del CAD”
REFUSI:
Paragrafo 4.1, secondo capoverso, lettera a:
i documenti informatici e i documenti amministrativi informatici con i metadati ad essi associati [STRIKEOUT:;]
ATTENZIONE: esportando il testo in PDF gli elenchi numerati con lettere sono stampati con numeri! Nel penultimo capoverso del paragrafo 4.7 si fa riferimento a una lettera m) che nel testo stampato compare come numero 13
Paragrafo 4.9
secondo capoverso
come previsto dalla Circolare Agid n. 3 del 9 aprile 2019 [l’anno corretto è 2018]
Paragrafo 4.12, terzo capoverso:
“lo comunica al responsabile della gestione documentale o del [correggere in “al”] coordinatore della gestione documentale”
Da correggere in emtrambe le occorrenze della frase.
Paragrafo 4.5
Si suggerisce di spostare uno dopo l’altro e magari unire i capoversi 2 ("Nelle pubbliche amministrazioni…) e 4 ("Nelle pubbliche amministrazioni…) perché danno entrambi indicazioni sul produttore del PdV.
Nel quarto capoverso si suggerisce di sostituire "…il responsabile della gestione documentale o il coordinatore della gestione documentale, ove nominato,… " con “…il responsabile della gestione documentale o, ove nominato, il coordinatore della gestione documentale,…”. Questo per eliminare il dubbio che entrambi i ruoli siano facoltativi.
Alternativa: usare un “ove quest’ultimo sia nominato”
Idem al paragrafo 4.6, secondo capoverso lettera c (o numero 3).
Paragrafo 4.11
“…provvede a predisporre, nell’ambito del piano generale della sicurezza, il piano della sicurezza del sistema di conservazione, …”
Il piano generale della sicurezza è definito nel glossario (allegato 1). Esistono riferimenti normativi che ne descrivono contenuto e/o modalità di formazione? In caso affermativo, inserirli (anche in nota)
Paragrafo 4.12
“Nel caso degli archivi pubblici e degli archivi privati, dichiarati di interesse storico particolarmente importante, l’autorizzazione è rilasciata dalla Direzione generale Archivi, secondo quanto previsto dalla normativa vigente in materia di beni culturali.”
Questo è in effeti quanto previsto dal “combinato disposto” dell’art. 21, comma 1, lett d) del Codice dei beni culturali (d.lgs 42/2004) e dell’art. 15, comma 2. lett. c) del dpcm 19 giugno 2019 (riorganizzazione dell’allora MIBAC). Inserire in nota?
Sarebbe comunque utile, per chi legge le linee guida, sapere a chi presentare la proposta di scarto. Soprintendenza?
Penso che a fronte delle esigenze strategiche di avere in ogni momento il controllo fisico totale delle infrastrutture in cui sono conservati i dati, il costo di realizzazione sia un elemento del tutto secondario (direi irrilevante). Mi rendo conto che una guerra (o sommosse o altri eventi non controllabili dall’Italia) con la Romania, per dire uno Stato UE a caso, sia improbabile, ma se capitasse, al governo romeno basterebbe staccare un filo e addio accesso ai dati. Non si può trascurare questo riscio, c’è troppo in gioco.
Capisco e condivido la preoccupazione, ma mi pare che si stia confondendo il requisito strategico
(garantire l’accesso e, più in generale, la sicurezza delle informazioni) con la modalità di implementazione (posizionamento della infrastruttura fisica di storage in Italia).
La sicurezza delle informazioni (intesa classicamente come riservatezza, integrità, disponibilità, non ripudiabilità e altri attributi che si possono aggiungere) si deve ottenere, anche in Cloud, a prescindere dalla localizzazione delle macchine fisiche, adeguando l’infrastruttura, le procedure operative, e l’organizzazione di chi eroga il servizio alle normative sulla sicurezza delle informazioni indicate da AgID e verificate, nel caso dei conservatori accreditati, attraverso i controlli presenti nella lista di riscontro.
C’è anche l’aspetto legato alla necessità, per lo Stato Italiano, di poter disporre atti amministrativi e,
nel caso, anche giudiziari, ma per questo dovrebbe essere sufficiente il posizionamento della infrastruttura fisica in uno Stato aderente alla convenzione di reciproca assistenza con l’Italia; perciò suggerivo, per semplificare, di permettere la localizzazione fisica dello storage in uno Stato europeo.
Questa impostazione sarebbe fra l’altro compatibile con quanto già previsto da gran parte dei Cloud provider, anche i più grossi, come opzione contrattuale.
Per concludere: se non siamo disposti ad accettare le condizioni al contorno sulle quali si basano i vantaggi dell’utilizzo di servizi Cloud, tanto vale allora vietarne espressamente l’uso alla PA, anche per la fruizione di altri tipi di servizi SaaS, IaaS o Paas che siano.
Per la conservazione dei documenti informatici non penso si tratti solo di accesso e sicurezza dell’informazione.
Oltre a quanto già espresso da @Elena_S, io aggiungerei anche che, per come è disciplinata adesso dalla normativa, la conservazione digitale prima ancora che a una funzione di conservazione imperitura della memoria del paese (che già avrebbe i suoi validi motivi per compiersi entro i confini domestici), assolve a una funzione di garanzia del valore giuridico-probatorio del documento sin dal momento della sua formazione. Che gli oggetti conservati siano fisicamente in Italia serve non solo all’AgID per le ispezioni, ma anche all’autorità giudiziaria per accessi documentali che potrebbero portare anche, in casi estremi, a sequestri parziali o totali del sistema : si entra in inarrivabili questioni di territorialità e giurisdizione, probabilmente il giudice riuscirebbe ad avere pieno accesso anche a un sistema posto in altro stato europeo, ma a che costo?
Siamo poi naturalmente portati a pensare i documenti informatici come immateriali, ma se qualcuno ha mai provato l’esperienza di un disco rigido su un piede può testimoniare che il digitale non è immateriale! In un certo senso il sistema di conservazione è il luogo dove il documento informatico si cristallizza in una sua materialità fissa. Non sembra quindi così irragionevole pensare a segregazioni fisiche e logiche, stabilite sul territorio nazionale.
La conservazione digitale dei documenti ha quindi una sua peculiarità che obbliga a trattarla con criteri diversi rispetto ad altri servizi informatici.
Rileggendo il paragrafo 4.9:
“Le componenti tecnologiche hardware e software utilizzate dai sistemi di conservazione delle Pubbliche Amministrazioni e dei conservatori accreditati sono segregate fisicamente e logicamente per i servizi di cui all’art. 29 del CAD”
Cosa aggiunge alla disposizione la parte evidenziata? Fra l’altro, l’art. 29 è rubricato “Qualificazione e accreditamento” e quindi parla di chi i servizi li eroga non dei servizi stessi. Comunque l’art. 29 cita i servizi fiduciari qualificati, la posta elettronica certificata e l’identità digitale. Qui si parla di conservazione digitale di documenti, quindi ci si riferisce a componenti hardware e software di un sistema di conservazione…
A mio parere andrebbe meglio specificato cosa si intende, nell’art.44 del CAD, “Almeno una volta all’anno il responsabile della gestione dei documenti informatici provvede a trasmettere al sistema di conservazione i fascicoli e le serie documentarie anche relative a ((procedimenti non conclusi))”.
Da quanto si può capire dal punto 4.1 sembrerebbe che per i fascicoli relativi a procedimenti chiusi il riversamento sia da intendersi del fascicolo E di tutti i documenti acclusi (ma non è specificato in modo esplicito, meglio sarebbe farlo), mentre per quelli non ancora chiusi il versamento dei documenti è facoltativo.
Diversi dubbi :
A mio avviso la localizzazione fisica non è indifferente rispetto al conseguimento del requisito strategico della sicurezza e accessiblità delle informazioni. Ripeto, se l’infrastruttura fisica si trovasse che so, in Polonia, e la Russia la invadesse prendendo controllo del luogo fisico in cui si trovano gli apparati, si potrebbe certamente conseguire l’accesso ai dati usando server mirror localizzati altrove (salvi altri problemi o attacchi), ma i dischi col loro contenuto resterebbero in mano ad ‘altri’. Va bene la crittografia, la cancellazione da remoto e quel che si vuole, ma penso sia un rischio da evitare. Ben venga la localizzazione obbligatoria in Italia, altrimenti sì, tanto vale rinunciare a tutti i servizi saas iaas e paas.
Paragrafo 4.3 Modelli organizzativi della conservazione
Consiglio di spostare il seguente capoverso “ I requisiti del processo di conservazione, le responsabilità e i compiti del responsabile della conservazione e del responsabile del servizio di conservazione, e le loro modalità di interazione sono formalizzate nel manuale di conservazione del Titolare dell’oggetto della conservazione e nelle specifiche del contratto o della convenzione di servizio. Tali modalità trovano riscontro anche nel manuale di conservazione del conservatore accreditato .”
Subito dopo il capoverso “ Il processo di conservazione può essere svolto all’interno o all’esterno della struttura organizzativa dell’ente.” in quanto è opportuno che disciplini sia le disposizioni per i soggetti Privati che per le Pubbliche Amministrazioni.
Lasciato così com’è, sembra si riferisca alla sole Pubbliche Amministrazioni invece a mio avviso è importante sottolineare con chiarezza che la contrattualizzazione del servizio e il manuale della conservazione sono obbligatori per tutti.
Grazie per l’attenzione
Paragrafo 4.5 Ruoli e responsabilità
Si propone di aggiungere un completamento molto importante in calce al seguente capoverso
“Nel caso di affidamento a terzi, il produttore di PdV provvede a generare e trasmettere al sistema di conservazione i
pacchetti di versamento nelle modalità e con i formati concordati con il conservatore e descritti nel manuale di conservazione del sistema di conservazione. Provvede inoltre a verificare il buon esito della operazione di trasferimento al sistema di conservazione tramite la presa visione del rapporto di versamento prodotto dal sistema di conservazione stesso.”
A mio avviso i Conservatori devono mettere a disposizione il rapporto di versamento ai Produttori di PdV proprio perché va verificato l’esito di presa in carico (il RdV è previsto nel paragrafo 4.8 Processo di conservazione e rappresenta proprio l’esito finale della presa in carico dei PdV, è una sorta di ricevuta del servizio di conservazione che delimita anche i perimetri di responsabilità e rappresenta una evidenza utile in eventuali giudizi. Una volta che è stato generato un RdV con esito positivo il Conservatore è tenuto alla conservazione dei documenti).
Grazie per l’attenzione
4.6 Responsabile della conservazione
Consiglio di sostituire il Capoverso seguente:
“Nel caso in cui il servizio di conservazione venga affidato ad un conservatore accreditato, le attività suddette o alcune di esse, ad esclusione della lettera m), potranno essere affidate al responsabile del servizio di conservazione.
con
“Nel caso in cui il servizio di conservazione venga affidato ad un Conservatore, le attività suddette o alcune di esse, ad esclusione della lettera m), potranno essere affidate al Conservatore e quindi al suo responsabile del servizio di conservazione.”
É a mio avviso assolutamente necessario eliminare il termine “accreditato” in quanto nell’ambito Privato è conforme alla normativa (art. 44 comma 1-quater del CAD) il modello che prevede di affidare in esterno le attività di conservazione dei documenti informatici ad un Conservatore, quindi anche non accreditato.
Consiglio inoltre di utilizzare le lettere maiuscole quando si fa riferimento ad una definizione riportata nel Glossario. Questo è da verificare in tutte le linee guida ma immagino lo abbiate già pianificato nella fase di finalizzazione.
Grazie per l’attenzione
4.6 Responsabile della conservazione
Consiglio di sostituire il Capoverso seguente
Si precisa che il nominativo ed i riferimenti del responsabile della conservazione devono essere indicati nelle specifiche del contratto o della convenzione di servizio con il Conservatore accreditato nel quale sono anche riportate le attività affidate al responsabile del servizio di conservazione.
con
“Si precisa che il nominativo ed i riferimenti del responsabile della conservazione devono essere indicati nelle specifiche del contratto o della convenzione di servizio con il Conservatore nel quale sono anche riportate le attività affidate al suo responsabile del servizio di conservazione.
Anche in questo caso è a mio avviso assolutamente necessario eliminare il termine “accreditato” in quanto nell’ambito Privato è conforme alla normativa il modello che prevede di affidare in esterno le attività di conservazione dei documenti informatici ad un Conservatore, quindi anche non accreditato.
Grazie per l’attenzione
Buongiorno,
seguito a lettura della tematica in oggetto,
sono a proporre quattro modifiche al testo pubblicato:
MOTIVAZIONE:
in ottemperanza all’ art. 44 comma 1-quater del CAD nell’ambito privato è possibile affidare in esterno le attività di conservazione dei documenti informatici ad un Conservatore, pubblico o privato, che offra idonee garanzie organizzative, e tecnologiche e di protezione dei dati personali, quindi va eliminato il termine “accreditato” in quanto è vincolante solo in caso di esternalizzazione da parte di pubbliche amministrazioni.
Per tal ragione si raccomanda di far riferimento alla definizione di Conservatore presente nell’Allegato 1 nei seguenti capoversi:
MODIFICHE PROPOSTE:
I MODIFICA - ARTICOLO 4.6
Si precisa che il nominativo ed i riferimenti del responsabile della conservazione devono essere indicati nelle specifiche del contratto o della convenzione di servizio con il Conservatore nel quale sono anche riportate le attività affidate al suo responsabile del servizio di conservazione.
II MODIFICA - ARTICOLO 4.6
Nel caso in cui il servizio di conservazione venga affidato ad un Conservatore, le attività suddette o alcune di esse, ad esclusione della lettera m), potranno essere affidate al Conservatore e quindi al suo responsabile del servizio di conservazione.
III MODIFICA - ARTICOLO 4.8
La preparazione e gestione del pacchetto di archiviazione sulla base delle specifiche della struttura dati contenute nell’allegato 4 “Standard e specifiche tecniche” e secondo le modalità riportate nel manuale di conservazione, la sottoscrizione dell’indice del pacchetto di archiviazione con firma digitale o firma elettronica qualificata o avanzata del responsabile della conservazione o in caso di delega del responsabile del servizio di conservazione o in alternativa la sottoscrizione con il sigillo elettronico qualificato o avanzato del Titolare dell’oggetto di conservazione o del Conservatore.
IV MODIFICA - ARTICOLO 4.8
“Nel caso di affidamento a terzi del servizio di conservazione le modalità sono indicate nei manuali del Titolare dell’oggetto di conservazione e del Conservatore e concordate tra le parti.”
4.12
> Nel caso di affidamento esterno del servizio di conservazione le modalità operative sono concordate dal Titolare dell’oggetto di conservazione e dal Conservatore.
> Il responsabile della conservazione genera l*’elenco dei pacchetti di archiviazione** contenenti i documenti destinati allo scarto e, dopo aver verificato il rispetto dei termini temporali stabiliti dal piano di conservazione, lo comunica al responsabile della gestione documentale o del coordinatore della gestione documentale, ove nominato*
Risulta inefficiente e prona ad errori l’ipotesi di utilizzare tante descrizioni archivistiche (che tra le loro caratteristiche hanno il termine del periodo di conservazione previsto) quante sono le fattispecie di formazione e scarto, non di meno quella di richiedere la generazione di pacchetti di archiviazione sufficientemente omogenei (fascicolo / tipo documento periodo di scarto) per essere scartati per intero, come richiesto ne secondo paragrafo riportato.
I sistemi di gestione sono oggi i soli detentori (master) dei piani di gestione e conservazione e si interfacciano ad un numero crescente di sistemi esterni, inclusa una pluralità di sistemi di conservazione, eventualmente ognuno deputato alla conservazione di fattispecie archivistiche specifiche. Nessun conservatore conosce tutti i legami tra le UD/Documento conservate e i fascicoli, procedimenti, serie e pratiche il mano alla gestione corrente.
Se mantenuta la formulazione corrente
il conservatore deve richiedere l’utilizzo di decine di archivi (descrizioni archivistiche) differenti e una straordinaria, quanto non necessaria, frammentazione dei volumi destinati alla conservazione, nella formazione dei pacchetti di versamento, in modo da formare pacchetti di archiviazione come richiesti (fascicolo / tipo documento periodo di scarto), in modo che possano essere scartati per intero.
Il fase di selezione per lo scarto archivistico ogni conservatore dovrà applicare una prima selezione e indicare ai Produttori i PdA. Ogni Ente dovrebbe raccogliere gli elenchi di scarto (PdA), unirli, verificare le UD (documenti e fascicoli) suggeriti dai conservatori e poi produrre comunque nuovi indici e riepiloghi di scarto, per la Soprintendenza prima e per i conservatori poi.
Il suggerimento in sostanza è che il sistema si conservazione si occupi della preservazione e della consultazione dell’archivio (di deposito) digitale per l’Ente, senza commistione rispetto alle attività di Gestione che è bene siano organicamente eseguite dallo stesso sistema che “orchestra” i procedimenti e i documenti oggetto di scarto. I sistemi di conservazione riceverebbero così un solo elenco (di UID, coordinate di archivio, puntatori, ecc) di scarto, già approvato e potrà provvedere ad aggiornare i PdA in base alla variazione richiesta; parallelamente il sistema di gestione potrà utilizzare il rapporto di scarto come riferimento nei documenti posti (conservati) in sostituzione di quelli scartati, al fine di non generare incomprensibili buchi nei fascicoli conservati e poi destinati all’archivio Storico.
Rispetto alla tesi proposta, la normativa europea pone un vincolo non travalicabile con normazione nazionale in merito alla circolazione dei dati non personali: REG.UE_2018-1807.
Pur condividendo le ragioni (accessibilità e sicurezza) non penso sia oggi possibile imporre l’obbligo di mantenere ogni sorta di dato in Italia; piuttosto potremmo giovarci di corrette classificazioni in termini di privacy e severity, in modo da instradare, vincolare e spostare correttamente i documenti durante il loro ciclo di vita, in gestione corrente, come in conservazione.
Rimanendo soprattutto alla conservazione, a maggior ragione quando i dati sono di interesse Storico (NON Nazionale), dovrebbero essere trattati e pubblicati in modo da essere fruibili da chiunque e sicuramente non gravati da vincoli territoriali, ma piuttosto agevolati e garantiti da una distribuzione geografica diffusa quanto più possibile.
In merito al capitolo 4 Conservazione, alcuni osservazioni/domande:
Al punto 4.2 Pacchetti informativi, si cita lo standard UNI 11386. Come è in relazione questo punto rispetto al piano Triennale al punto 4.1.3.3 dove si definisce una azione per la “Realizzazione del Registro dei vocabolari controllati e dei modelli dei dati” che è consultabile in https://github.com/italia/daf-ontologie-vocabolari-controllati.
Al punto 4.2 Pacchetti informativi l’affermazione "L’interoperabilità tra i sistemi di conservazione dei soggetti che svolgono attività di conservazione è garantita dall’applicazione
delle specifiche tecniche del pacchetto di archiviazione definite dalla norma UNI 11386 " è perentoria. In molte esperienze reali ciò non è sempre verificabile. Perchè non è stato previsto anche in questo caso un processo di controllo e di valutazione della corretta interoperabilità semantica , sintattica ed archivistica di un intero ARCHIVIO conservato ? Dato che abbiamo scenari in cui il rischio di un cambiamento del Conservatore nel tempo è praticamente certo, questo va gestito. Il punto 6 del piano di conservazione potrebbe essere più esplicito e far riferimento al caso di completa migrazione di un archivio conservato digitalmente fra un Conservatore ed un altro. Ciò anche per identificare i vincoli reali di interoperabilità semantica e archivistica.