Questo contributo si inserisce in una serie di approfondimenti dedicati al tema della gestione del rischio informatico in ambito sanitario come misura tecnico-organizzativa di conformità normativa. In questo articolo, l’attenzione si concentra sul ruolo della gestione del rischio nella gestione del documento informatico, analizzando come la corretta formazione, gestione e conservazione dei documenti digitali rappresentino un elemento essenziale per garantire sicurezza, conformità normativa e continuità operativa nel settore sanitario. L’approfondimento introduce i principali riferimenti normativi, le logiche della dematerializzazione e i processi di gestione documentale nel contesto della trasformazione digitale.
Gestione del documento informatico: definizione e rilevanza giuridica
Il documento informatico viene definito come “la rappresentazione digitale di atti, fatti o dati aventi rilevanza giuridica[1]”. In questa prospettiva, il documento può essere inteso come un’entità idonea a rappresentare un fatto dotato di rilevanza giuridica, ovvero come qualsiasi elemento capace di rendere conoscibile un fatto, che è una persona e non un oggetto rappresentativo.
In tale concezione emergono alcuni profili di evidente innovazione rispetto alla nozione tradizionale di documento. In particolare, il documento non si configura più come una realtà materiale, bensì come un’entità immateriale, caratterizzata da una natura informatica. Inoltre, la sua funzione rappresentativa non si limita alla mera attestazione di fatti o atti giuridici, ma si estende alla rappresentazione di dati, assumendo così una portata conoscitiva più ampia e articolata[2].
Si distingue a questo punto, oltre che dalla semplice nozione di “file”[3], anche dal documento analogico, inteso, invece, come la raffigurazione non digitale dei medesimi contenuti giuridicamente significativi.
Sulla base delle “Linee Guida[4] sulla formazione, gestione e conservazione dei documenti informatici”[5], tutte le pubbliche amministrazioni sono obbligate a adeguare i propri sistemi di gestione documentale e questo comporta un’estensione del concetto tradizionale di documento, che oggi ricomprende anche elementi normalmente non percepiti come tali: ad esempio registrazioni digitali, e-mail non certificate, messaggi di chat e, più in generale, ogni traccia informatica prodotta nel corso delle attività online. Perciò, ‹‹in quella che definiamo “amministrazione pubblica digitale”, accanto ai documenti cartacei trovano posto i documenti informatici, anche sottoscritti con firma digitale, che seguono canali di comunicazione differenti e sono prodotti con strumenti di vario genere[6]››.
Per affrontare il tema sotto il profilo giuridico, oltre a far riferimento all’articolo 20 del CAD[7] comma 1 e al d.lgs. 82 del 2005, bisogna menzionare anche il Regolamento (UE) n. 910/2014 (eIDAS[8]), che rappresenta il quadro normativo europeo in materia di identificazione elettronica e servizi fiduciari digitali. In particolare, l’articolo 46[9] stabilisce che a un documento elettronico non può essere negata efficacia giuridica né ammissibilità come mezzo di prova in giudizio esclusivamente a causa della sua forma elettronica, sottolineando i profili inerenti alla generazione e alla memorizzazione su supporto digitale di documenti con contenuto testuale, visivo o audiovisivo[10].
La caratteristica digitale del documento emerge chiaramente dalla disciplina contenuta nel codice dell’amministrazione digitale e, in particolare, dall’art. 40, che, pur rivolgendosi espressamente alle pubbliche amministrazioni, contribuisce a definire in via generale la nozione di documento informatico come atto formato mediante strumenti informatici nel rispetto delle regole tecniche previste dall’art. 71 del CAD[11]. In questo senso, il documento informatico è tale non solo per il suo contenuto, ma soprattutto per le modalità con cui viene creato sin dall’origine.
Le regole tecniche che disciplinano la formazione del documento informatico sono state adottate, inoltre, con il DPCM 13 novembre 2014, entrato in vigore nel febbraio 2015, e sono rimaste applicabili anche oltre il termine inizialmente previsto per l’adeguamento delle amministrazioni, successivamente sospeso dal legislatore. Tale sospensione, finalizzata all’aggiornamento delle regole tecniche in coerenza con le modifiche introdotte dal d.lgs. 179/2016 e dal regolamento eIDAS, ha tuttavia prodotto un rallentamento nel processo di piena attuazione del principio del digital first[12], pur senza incidere sulla vigenza delle disposizioni tecniche esistenti.
Dematerializzazione e trasformazione digitale nella PA
La disciplina tecnica si concentra, innanzitutto, sulle modalità di formazione del documento informatico, che può avvenire attraverso la redazione diretta mediante software, l’acquisizione di documenti informatici già esistenti o la trasformazione di documenti analogici in formato digitale, nonché tramite la registrazione automatica di dati derivanti da processi informatici o dall’aggregazione strutturata di informazioni provenienti da banche dati interoperabili. L’analisi complessiva delle norme mostra come il legislatore attribuisca un ruolo centrale al documento nativamente digitale, mentre per i documenti ottenuti mediante acquisizione o aggregazione sia necessario adottare ulteriori misure tecniche e organizzative idonee a garantirne l’integrità e l’immodificabilità.
Le regole tecniche non si limitano, tuttavia, a disciplinare la fase genetica del documento, ma anticipano requisiti minimi funzionali alla sua corretta gestione nel tempo, in vista della conservazione. Emblematica, in tal senso, è la previsione dei metadati obbligatori, intesi come informazioni descrittive essenziali per identificare il documento, collocarlo nel suo contesto e assicurarne la gestione all’interno dei sistemi di conservazione. La centralità dei metadati mette in luce anche rilevanti criticità applicative, in particolare nel processo civile telematico, dove una gestione non sempre accurata di tali informazioni rischia di compromettere la qualità e l’affidabilità del documento informatico.
Il collegamento strutturale tra formazione del documento e conservazione emerge ulteriormente dalle disposizioni che regolano il trasferimento dei documenti nei sistemi di conservazione e la predisposizione del pacchetto di versamento, che rappresenta il primo passaggio del procedimento conservativo. Ciò conferma come la disciplina del documento informatico sia concepita in modo unitario, secondo una logica che integra fin dall’origine le esigenze di autenticità, integrità e durata nel tempo.
In questo quadro, il processo di digitalizzazione della pubblica amministrazione e della giustizia non può non prescindere da una corretta formazione e gestione dei documenti in modalità esclusivamente digitale. La piena valorizzazione delle potenzialità del digitale richiede, infatti, di considerare il documento non soltanto come testo leggibile dall’uomo, ma anche come insieme strutturato di dati, funzionale allo scambio di informazioni, all’interoperabilità dei sistemi e alla cooperazione applicativa.
Alla luce di tali considerazioni, appare auspicabile un’interpretazione dell’art. 40 del CAD[13] che renda obbligatoria la formazione e l’emanazione di regole tecniche, destinata a determinare l’immediata applicazione dell’obbligo di formazione digitale dei documenti amministrativi.
In tale quadro di progressiva digitalizzazione dei processi amministrativi, il settore sanitario emerge come uno degli ambiti in cui l’evoluzione del documento informatico assume una rilevanza particolarmente significativa. La sanità, infatti, costituisce uno dei campi nei quali la trasformazione digitale ha prodotto gli effetti più incisivi, non soltanto in termini di efficienza organizzativa e continuità dell’azione amministrativa, ma anche con riguardo alla tutela dei diritti fondamentali della persona, primo fra tutti il diritto alla salute[14].
L’impiego del documento informatico in ambito sanitario si colloca, pertanto, all’interno di un contesto normativo e tecnologico complesso, nel quale le esigenze di dematerializzazione e interoperabilità dei sistemi informativi devono necessariamente bilanciarsi con l’obbligo di assicurare elevati livelli di sicurezza, integrità e riservatezza dei dati personali. In tale prospettiva, assume particolare centralità la nozione di documento informatico sanitario, inteso quale strumento imprescindibile per la corretta gestione, conservazione e circolazione delle informazioni cliniche nel sistema sanitario digitale.
Un passaggio cruciale del processo di digitalizzazione in ambito sanitario è rappresentato dall’adozione, appunto, da parte delle strutture sanitarie, di strumenti informatici avanzati per la gestione delle informazioni cliniche. L’obiettivo principale di tali strumenti è migliorare l’efficacia delle attività di assistenza e di prevenzione[15]. Tra questi assume un ruolo centrale il Fascicolo Sanitario Elettronico[16] (FSE), una piattaforma digitale che raccoglie e organizza i dati relativi alla salute del paziente.
Si configura come una risorsa innovativa e strategica per i professionisti del settore medico e ospedaliero. Il suo funzionamento si basa essenzialmente su due fasi: la prima riguarda la raccolta e la conservazione strutturata di un elevato numero di dati e documenti sanitari; la seconda consiste nella possibilità di rendere tali informazioni accessibili e condivisibili tra i diversi soggetti autorizzati, consentendo così un utilizzo coordinato e legittimo dei dati all’interno del sistema sanitario. In particolare, il FSE consente di ricostruire in maniera unitaria il percorso clinico dell’individuo, rendendo accessibili i dati e i documenti prodotti dai soggetti appartenenti al Servizio Sanitario Nazionale, nonché dalle strutture sanitarie private che partecipano all’erogazione delle prestazioni assistenziali.
Il fascicolo, inoltre, viene alimentato da una pluralità di attori del sistema sanitario, tra cui aziende sanitarie locali, strutture ospedaliere, medici di medicina generale, pediatri e altri professionisti sanitari.
All’interno del FSE confluiscono le informazioni relative agli eventi clinici che hanno interessato l’assistito nel corso del tempo, quali referti diagnostici, verbali di accesso al pronto soccorso, lettere di dimissione ospedaliera, prescrizioni farmacologiche e, più in generale, tutta la documentazione idonea a descrivere lo stato di salute e le prestazioni ricevute. A tale patrimonio informativo possono aggiungersi ulteriori documenti caricati direttamente dall’interessato, contribuendo ad arricchire il contenuto.
Dunque, è stato pensato e creato come uno strumento a carattere longitudinale, destinato ad accompagnare l’assistito lungo l’intero arco della sua vita. Persegue, quindi, sotto il profilo funzionale, l’obiettivo di garantire un punto di accesso unico, sicuro e continuo alla storia sanitaria del cittadino, favorendo in tal modo, la disponibilità immediata delle informazioni cliniche, indipendentemente dal luogo in cui esse sono state prodotte, agevolando la continuità delle cure e il coordinamento tra i diversi professionisti coinvolti nell’assistenza.
La condivisione controllata dei dati contribuisce, inoltre, a ridurre la duplicazione di esami diagnostici e di prestazioni sanitarie non necessarie, con evidenti benefici in termini di efficienza del sistema. Dunque, il FSE è destinato ai cittadini maggiorenni iscritti e assistiti dal Sistema Sanitario Regionale e trova la propria disciplina nel D.P.C.M. n. 178 del 2015[17]. A partire dal 19 maggio 2020, viene alimentato in modo sistematico e tempestivo dai soggetti, pubblici e privati, che prendono in carico l’assistito, mediante l’inserimento dei dati relativi alle prestazioni sanitarie erogate.
Tra i contenuti del fascicolo rientrano, a titolo esemplificativo, le certificazioni vaccinali, i promemoria di prenotazione delle visite, i profili sanitari sintetici, le dichiarazioni di consenso o di diniego alla donazione di organi e tessuti, nonché i piani diagnostico-terapeutici. Il sistema consente altresì all’interessato di integrare il proprio fascicolo attraverso un’apposita sezione denominata “taccuino”[18], nella quale è possibile inserire documentazione clinica, annotazioni personali e dati relativi al monitoraggio di specifici parametri di salute, quali pressione arteriosa, glicemia e colesterolo.
In tale ambito possono essere caricati anche documenti sanitari riferiti a prestazioni effettuate al di fuori del Servizio Sanitario Nazionale prima del 18 maggio 2020. I dati inseriti possono essere visualizzati in forma aggregata e grafica, esportati e, su scelta dell’utente, resi accessibili al medico curante. L’accesso al Fascicolo è consentito mediante strumenti di identificazione digitale, quali la Tessera Sanitaria, la Carta d’Identità Elettronica (CIE) o il Sistema Pubblico di Identità Digitale (SPID). Attraverso il portale istituzionale di riferimento è possibile consultare il fascicolo ed esprimere i consensi necessari alla sua utilizzazione. In assenza di strumenti di autenticazione già attivi, l’interessato può rivolgersi ai punti territoriali competenti per procedere all’abilitazione e all’attivazione del servizio.
La finalità ultima rimane, comunque, quella di realizzare un punto unico di aggregazione e condivisione delle informazioni sanitarie e sociosanitarie rilevanti, generate dai diversi attori del sistema sanitario. Ciò consente, da un lato, all’assistito di disporre della propria documentazione clinica in formato digitale in modo continuo e ubiquo, favorendo una maggiore consapevolezza e libertà nelle scelte di cura; dall’altro, agevola l’attività dei professionisti sanitari, che possono accedere tempestivamente alle informazioni necessarie per garantire un’assistenza più efficace e appropriata, anche in situazioni di emergenza, agevolando al contempo il rapporto tra medico e paziente.
Gestione documentale e sicurezza delle informazioni
Nel contesto dell’amministrazione digitale, il documento non può più essere considerato un oggetto statico, bensì il risultato di un processo dinamico che richiede una governance[19]continua e strutturata. La gestione documentale si configura, pertanto, come un insieme coordinato di regole, strumenti e attività finalizzate ad assicurare la corretta produzione, circolazione e conservazione delle informazioni nel tempo.
L’efficacia di tale sistema dipende in larga misura dalla capacità di presidiare l’intero ciclo di vita del documento[20], che prende avvio con la sua creazione[21], prosegue con le fasi di utilizzo e organizzazione (gestione) e si conclude con la conservazione, temporanea o permanente[22]. In ciascuna di queste fasi emergono esigenze differenti – operative e giuridiche – che impongono l’adozione di soluzioni metodologiche e tecnologiche specifiche. In particolare, l’introduzione di sistemi informatici di gestione documentale richiede l’implementazione di procedure formalizzate e controlli costanti, indipendentemente dal fatto che tali sistemi siano gestiti internamente o affidati a soggetti esterni.
Tali sistemi devono essere in grado di garantire sicurezza, affidabilità e tracciabilità delle operazioni, nel rispetto dei principi in materia di trattamento dei dati personali e sulla base di un’attenta analisi dei rischi connessi all’utilizzo delle tecnologie digitali.
La formazione del documento informatico costituisce la fase iniziale del suo ciclo di vita ed è determinante ai fini del riconoscimento del valore giuridico e probatorio del documento stesso. In questa fase devono essere assicurati, sin dall’origine, criteri di razionalità organizzativa, qualità formale, accessibilità e coerenza con le regole tecniche vigenti. In questa prospettiva, la gestione documentale non può prescindere dall’adozione di strumenti di pianificazione e controllo, quali il manuale di gestione documentale, i sistemi di workflow[23] e le piattaforme di Document & Content Management[24], capaci di operare in ambienti interoperabili e ad elevato grado di automazione.
Il documento informatico, in questo contesto, può essere formato attraverso diverse modalità, tra cui la creazione mediante strumenti software o servizi cloud qualificati, l’acquisizione per via telematica o su supporto informatico, la produzione di copie informatiche di documenti analogici, nonché la generazione automatica di dati derivanti da processi informatici o da sistemi informativi interoperanti. Indipendentemente dalla modalità adottata, il documento deve essere identificato in modo univoco e persistente, così da consentirne la tracciabilità lungo l’intero ciclo di vita.
Elemento essenziale della fase di formazione è il conseguimento delle caratteristiche di immodificabilità e integrità del documento informatico. Tali caratteristiche possono essere garantite mediante l’apposizione di una firma elettronica (avanzata, qualificata o digitale) o di un sigillo elettronico avanzato o qualificato[25], attraverso la memorizzazione in sistemi di gestione documentale dotati di adeguate misure di sicurezza, mediante l’invio tramite servizi di recapito certificato, ovvero mediante il versamento in un sistema di conservazione. In tal modo, il documento viene sottratto a modifiche non autorizzate e ne viene assicurata la stabilità nel tempo.
Contestualmente alla formazione del documento informatico, devono essere generati e associati in modo permanente i metadati[26], ossia le informazioni strutturate che descrivono il documento, ne contestualizzano la produzione e ne consentono l’identificazione, la gestione e la conservazione. L’insieme minimo dei metadati è definito dalle Linee Guida AgID e deve essere integrato, ove necessario, da ulteriori elementi informativi specificati nel manuale di gestione documentale dell’ente.
Fondamentale in questa fase, inoltre, è la questione sulla selezione del formato del documento, che inevitabilmente incide direttamente sulla resilienza del documento rispetto a incidenti tecnici, sulla possibilità di migrazione futura e sulla facilità di gestione dei file. L’adozione di formati non idonei o deprecati può comportare impatti significativi sull’organizzazione, rendendo necessarie complesse attività di conversione e aumentando il rischio di perdita di informazioni[27].
In questo contesto si inserisce anche il concetto di dematerializzazione[28], che rappresenta il processo attraverso il quale documenti originariamente formati su supporto analogico vengono trasformati in documenti informatici, idonei a sostituire gli originali cartacei ai fini giuridici, amministrativi e archivistici[29]. Tale processo non si esaurisce in una mera attività di scansione, ma si configura come un’operazione complessa, disciplinata da precise regole tecniche e normative, finalizzate a garantire la conformità, l’affidabilità e la qualità del documento risultante.
Secondo le Linee Guida AgID, la copia per immagine su supporto informatico di un documento analogico deve essere prodotta mediante processi e strumenti idonei ad assicurare la perfetta corrispondenza di forma e contenuto tra il documento originale e quello digitalizzato. Tale corrispondenza deve essere verificata attraverso un raffronto diretto tra i documenti, cioè nei casi di dematerializzazione massiva, mediante l’adozione di una certificazione di processo, che attesti la correttezza e l’affidabilità dell’intero flusso di digitalizzazione.
Proseguendo, invece, con la seconda fase, cioè quella di gestione documentale si nota come quest’ultima comprenda l’insieme delle attività finalizzate all’organizzazione, al trattamento e all’utilizzo dei documenti informatici nel corso della loro vita. Essa assicura il corretto svolgimento dei procedimenti amministrativi, la trasparenza dell’azione amministrativa e la possibilità di reperire tempestivamente le informazioni.
Un momento centrale della gestione è rappresentato dalla registrazione informatica dei documenti, che consente l’identificazione certa e inequivocabile di ciascun documento prodotto o ricevuto. Per le pubbliche amministrazioni, la registrazione di protocollo assume un ruolo fondamentale, in quanto garantisce la tracciabilità del documento, l’immodificabilità dei dati essenziali e la storicizzazione delle operazioni effettuate. La registrazione si accompagna alla segnatura di protocollo, che associa stabilmente al documento un insieme di informazioni identificative.
Ulteriore attività imprescindibile della gestione documentale è la classificazione, finalizzata all’organizzazione logica dei documenti in relazione alle funzioni e alle competenze dell’ente. La classificazione, effettuata sulla base di un piano di classificazione preventivamente definito, costituisce parte integrante dei metadati del documento e guida la formazione dell’archivio e delle aggregazioni documentali. Nel sistema di gestione informatica dei documenti, i documenti vengono organizzati in aggregazioni documentali informatiche, quali fascicoli, serie documentarie e serie di fascicoli.
In particolare, il fascicolo informatico rappresenta lo strumento attraverso cui vengono gestiti i flussi documentali relativi a procedimenti amministrativi o ad affari omogenei, assicurando la coerenza, la completezza e la ricostruibilità dell’attività amministrativa. La gestione documentale è presidiata da specifiche figure organizzative, tra cui il responsabile della gestione documentale, ed è regolata da strumenti fondamentali quali il Manuale di gestione documentale[30], che descrive ruoli, procedure, sistemi e metadati adottati dall’ente.
Dopodiché, c’è la conservazione del documento informatico[31], che rappresenta la fase conclusiva del ciclo di vita documentale ed è finalizzata a garantire, nel lungo periodo, le caratteristiche di autenticità, integrità, affidabilità, leggibilità e reperibilità dei documenti. Essa risponde non solo a esigenze giuridiche e amministrative, ma anche a finalità archivistiche e storiche. La conservazione è svolta all’interno di un sistema di conservazione appositamente dedicato, distinto dai sistemi di gestione corrente, al quale i documenti vengono trasferiti mediante appositi processi di versamento.
All’interno del sistema di conservazione, i documenti sono organizzati in pacchetti informativi e sottoposti a controlli che ne garantiscono la permanenza e la validità nel tempo[32]. Il processo di conservazione è regolato da procedure formalizzate e da misure di sicurezza fisica e logica, volte a prevenire rischi di perdita, alterazione o accesso non autorizzato. Esso può comprendere, ove necessario, operazioni di riversamento o migrazione dei documenti verso nuovi formati, al fine di contrastare l’invecchiamento tecnologico e mantenere la leggibilità nel tempo. Figura centrale della fase di conservazione è il responsabile della conservazione, cui compete la definizione delle politiche conservative e la supervisione dell’intero processo, sulla base di quanto descritto nel manuale di conservazione[33].
Quest’ultima fase costituisce una fase autonoma e altamente specializzata, affidata a sistemi dedicati progettati per assicurare la leggibilità, l’integrità e l’autenticità dei documenti nel lungo periodo. Tuttavia, le esigenze conservative devono essere considerate fin dall’origine, poiché scelte inadeguate nella fase di formazione possono compromettere la validità giuridica e la durata nel tempo dei documenti stessi.
Dall’analisi emerge, dunque, come la gestione documentale, in via generale, costituisca uno dei principali presìdi della sicurezza informativa. La corretta formazione, gestione e conservazione dei documenti informatici deve contribuire, come già detto, a garantire la riservatezza, l’integrità e la disponibilità delle informazioni, riducendo il rischio di accessi non autorizzati, alterazioni o perdita dei dati.
L’articolo ha evidenziato come la gestione del documento informatico costituisca un presidio fondamentale per la sicurezza delle informazioni, approfondendo il ciclo di vita documentale, i requisiti di integrità e autenticità, nonché il ruolo della dematerializzazione e dei sistemi di conservazione digitale, con particolare riferimento al contesto sanitario. Nel prossimo approfondimento verrà analizzato il caso ASL 1 Abruzzo, con focus su l’incidente e il contesto organizzativo e sulle criticità emerse e misure correttive.
Per approfondire ulteriormente questi temi, è possibile scaricare il white paper gratuito “La gestione del rischio informatico in ambito sanitario come misura tecnico-organizzativa di conformità normativa”, a cura di Piergiorgio Verrecchia.
Note
[1] Si veda il Codice dell’Amministrazione Digitale (CAD), introdotto con il decreto legislativo 7 marzo 2005, n. 82 (d.lgs. 82/2005), che ha l’obiettivo di promuovere lo sviluppo dell’innovazione digitale all’interno della pubblica amministrazione, favorendo un miglioramento in termini di efficienza, trasparenza e accessibilità dei servizi erogati. Per un approfondimento: www.letrattitve.it.
[2] F. CARNELUTTI, Documento – Teoria moderna, in Nov. Digesto Italiano, VI, Torino, 1957, pag. 85.
[3] Il file rappresenta un’unità digitale destinata alla conservazione di dati, all’interno della quale possono essere archiviati contenuti di natura diversa. Esso può assumere la forma di un testo, di un’immagine, di un contenuto audiovisivo, di un brano sonoro o di un’applicazione informatica. Ogni file è identificato da una denominazione specifica e da un’estensione, elementi che consentono di riconoscerne la tipologia e la funzione. I file possono essere strutturati secondo differenti formati, ciascuno dei quali è sviluppato per rispondere a finalità precise, quali la redazione di documenti testuali, la gestione di immagini o la riproduzione di contenuti audio. Si veda www.anap.it.
[4] Le Linee Guida racchiudo le regole sugli ambiti materiali regolati dalle seguenti disposizioni del CAD: ‹‹Art. 20, Validità ed efficacia probatoria dei documenti informatici, fatte salve le norme in materia di generazione, apposizione e verifica di qualsiasi tipo di firma elettronica; Art. 21, Ulteriori disposizioni relative ai documenti informatici, sottoscritti con firma elettronica avanzata, qualificata o digitale; Art. 22, commi 2 e 3, Copie informatiche di documenti analogici; Art. 23, Copie analogiche di documenti informatici; Art. 23-bis, Duplicati e copie informatiche di documenti informatici; Art. 23-ter, Documenti amministrativi informatici; Art. 23-quater, Riproduzioni informatiche; Art. 34, Norme particolari per le Pubbliche Amministrazioni; Art. 40, Formazione di documenti informatici; Art. 40-bis, Protocollo informatico; Art. 41, Procedimento e fascicolo informatico; Art. 42, Dematerializzazione dei documenti delle Pubbliche Amministrazioni; Art. 43, Riproduzione e conservazione dei documenti; Art. 44, Requisiti per la conservazione dei documenti informatici; Art. 45, Valore giuridico della trasmissione; Art. 46, Dati particolari contenuti nei documenti trasmessi; Art. 47, Trasmissione dei documenti tra le Pubbliche Amministrazioni; Art. 49, Segretezza della corrispondenza trasmessa per via telematica; Art. 50, Disponibilità dei dati delle Pubbliche Amministrazioni; Art. 51, Sicurezza e disponibilità dei dati, dei sistemi e delle infrastrutture delle Pubbliche Amministrazioni; Art. 64-bis, Accesso telematico ai servizi della Pubblica Amministrazione; Art. 65, Istanze e dichiarazioni presentate alle Pubbliche Amministrazioni per via telematica››. Si veda www.docs.italia.it.
[5] L’Agenzia per l’Italia Digitale (AgID) ha il compito di favorire lo sviluppo dell’innovazione digitale a livello nazionale, incentivando l’adozione delle tecnologie informatiche all’interno della pubblica amministrazione e migliorando l’interazione tra amministrazioni, cittadini e imprese, come previsto dall’art. 14-bis, comma 1. L’Agenzia esercita numerose funzioni: definisce linee guida per l’attuazione del Codice dell’amministrazione digitale (art. 71), pianifica e coordina l’impiego delle tecnologie dell’informazione e della comunicazione da parte delle amministrazioni pubbliche, verifica lo stato di avanzamento delle attività e cura la realizzazione di progetti innovativi, promuovendo al contempo la diffusione della cultura digitale. AgID fornisce inoltre supporto tecnico attraverso pareri sulle procedure di acquisizione di sistemi informativi automatizzati e svolge attività di vigilanza nei confronti dei prestatori di servizi fiduciari, dei gestori di posta elettronica certificata e dei soggetti aderenti al sistema SPID. A tali compiti si aggiungono ulteriori funzioni attribuite dalla normativa vigente e dallo Statuto, come stabilito dall’art. 14-bis, comma 2.
[6] In questi termini S. PIGLIAPOCO, Il fascicolo elettronico, Atti del Convegno del 9 luglio 2010 Roma, Accademia dei Lincei, p. 33.
[7] Art. 20 comma 1 CAD: “Il documento informatico da chiunque formato, la su supporto informatico e la trasmissione con strumenti telematici conformi alle regole di registrazione tecniche di cui all’ articolo 71 sono validi e rilevanti agli effetti di legge, ai sensi delle disposizioni del presente codice”.
[8] electronic IDentification Authentication and Signature.
[9] eIDAS art. 46 – Effetti giuridici dei documenti elettronici – Regolamento (UE) n. 910/2014: “A un documento elettronico non sono negati gli effetti giuridici e l’ammissibilità come prova in procedimenti giudiziali per il solo motivo della sua forma elettronica”.
[10] R. BORRUSO, S. RUSSO, C. TIBERI, L’informatica per il giurista. Dal bit a Internet, 2009, p. 29.
[11] Art. 71 CAD, comma 1: “Le regole tecniche previste nel presente codice sono dettate, con decreti del Presidente del Consiglio dei Ministri o del Ministro delegato per l’innovazione e le tecnologie, di concerto con il Ministro per la funzione pubblica e con le amministrazioni di volta in volta indicate nel presente codice, sentita la Conferenza unificata di cui all’articolo 8 del decreto legislativo 28 agosto 1997, n. 281, ed il Garante per la protezione dei dati personali nelle materie di competenza, in modo da garantire la coerenza tecnica con le regole tecniche sul sistema pubblico di connettività di cui all’articolo 16 del decreto legislativo 28 febbraio 2005, n. 42, e con le regole di cui al disciplinare pubblicato in allegato B al decreto legislativo 30 giugno 2003, n. 196”; art 71, comma 2: “Le regole tecniche vigenti nelle materie del presente codice restano in vigore fino all’adozione delle regole tecniche adottate ai sensi del presente articolo”.
[12] Il processo di digitalizzazione della Pubblica Amministrazione si sviluppa da tempo secondo il principio del Digital First, con la finalità di modernizzare l’azione amministrativa e di semplificare l’interazione tra apparato pubblico, cittadini e imprese. L’adozione sistematica delle tecnologie digitali costituisce lo strumento attraverso cui si intende migliorare l’efficienza dei servizi e ridurre le distanze tra istituzioni e utenti. Il quadro giuridico di riferimento è rappresentato dal Codice dell’Amministrazione Digitale, introdotto con il decreto legislativo 7 marzo 2005, n. 82, che ha dato organicità alle disposizioni in materia di informatizzazione dell’attività amministrativa. Nel corso degli anni, tale corpus normativo è stato più volte aggiornato per adeguarlo all’evoluzione tecnologica; tra gli interventi più rilevanti si segnala il decreto legislativo 13 dicembre 2017, n. 217, volto a rafforzare l’effettività dei diritti legati alla cittadinanza digitale.
A questo impianto si sono aggiunte ulteriori misure di sostegno e promozione della trasformazione digitale, previste dalla legge di bilancio 2020 e dal decreto-legge n. 162 del 2019, che hanno introdotto strumenti diretti a favorire l’innovazione all’interno delle amministrazioni pubbliche. Un’accelerazione significativa è intervenuta con il decreto-legge n. 18 del 2020 (Cura Italia), convertito dalla legge n. 27 del 2020, che ha infatti previsto specifiche disposizioni finalizzate al potenziamento dei processi di digitalizzazione.
Il percorso di rinnovamento è stato ulteriormente consolidato attraverso il decreto-legge n. 76 del 2020, dedicato alla semplificazione amministrativa e all’innovazione digitale, nonché tramite il decreto-legge n. 34 del 2020 (decreto Rilancio), adottato per sostenere la ripresa economica e rafforzare il ruolo delle tecnologie digitali nel settore pubblico. Infine, il decreto-legge 1° marzo 2021, n. 22 ha ridefinito l’organizzazione delle competenze in materia di innovazione tecnologica e transizione digitale, con particolare attenzione alla digitalizzazione della pubblica amministrazione e delle imprese e allo sviluppo delle infrastrutture digitali. Per un approfondimento sul tema: www.altalex.it.
[13] Art. 40 CAD: “Le pubbliche amministrazioni formano gli originali dei propri documenti, inclusi quelli inerenti ad albi, elenchi e pubblici registri, con mezzi informatici secondo le disposizioni di cui al presente codice e le regole tecniche di cui all’articolo 71”.
[14] Art. 32 Cost.: “La Repubblica tutela la salute come fondamentale diritto dell’individuo e interesse della collettività, e garantisce cure gratuite agli indigenti. Nessuno può essere obbligato a un determinato trattamento sanitario se non per disposizione di legge. La legge non può in nessun caso violare i limiti imposti dal rispetto della persona umana”.
[15] Nel piano triennale, con riferimento all’ecosistema sanità, vengono individuati tre progetti rappresentativi a titolo esemplificativo e cioè: il Fascicolo Sanitario Elettronico (FSE), il quale è indicato come esempio di infrastruttura abilitante; il Centro Unico di Prenotazione (CUP), che rappresenta un modello di semplificazione dei rapporti tra la pubblica amministrazione e il cittadino; la telemedicina, infine, richiamata come esempio di integrazione e relazione con il territorio. Si veda per un approfondimento: www.agid.gov.it.
[16] Bisogna fare prima un appunto sul fascicolo elettronico (in termini generali): “Il fascicolo informatico, come definito dall’allegato delle Linee guida, è un’aggregazione documentale informatica strutturata e univocamente identificata contenente atti, documenti o dati informatici prodotti e funzionali all’esercizio di una attività o allo svolgimento di uno specifico procedimento”. Si veda www.agid.gov.it.
[17] L’istituzione del Fascicolo Sanitario Elettronico trova il suo fondamento normativo nell’art. 12 del d.l. n. 179/2012, mentre la disciplina attuativa è stata definita dapprima dal D.P.C.M. n. 178/2015 e, più di recente, dal decreto del 7 settembre 2023, recante l’aggiornamento del sistema nella versione FSE 2.0.
[18] “Il Taccuino è uno spazio interattivo digitale dedicato all’utente dov’è possibile caricare documenti e referti utili alla storia clinica personale. È utile per mettere digitalmente a disposizione documenti che non sono presenti sul FSE perché, ad esempio, prodotti in altre regioni o fuori dal Sistema Sanitario Nazionale.
È inoltre possibile registrare parametri importanti per la valutazione e monitoraggio della nostra salute, come peso, pressione, frequenza cardiaca, etc. Oltre all’utente principale, può visualizzare quanto contenuto sul Taccuino anche un suo delegato (in base all’ambito di operatività della delega stessa). Il delegato può anche caricare documenti e registrare rilevazioni dei parametri in sostituzione dell’utente principale. Al momento, né il MMG/PLS né altri professionisti della salute possono accedere ai contenuti”. Si veda www.aussl2.veneto.it.
[19] Da Garzanti Linguistica: “l’insieme delle procedure e dei principi che consentono la gestione…”
[20] Le Linee guida AgID sulla formazione, gestione e conservazione del documento informatico delineano un modello sistemico di gestione documentale, fondato su principi di qualità, sicurezza, interoperabilità e tracciabilità. In tale prospettiva, la gestione documentale non si esaurisce in una mera attività di archiviazione, ma costituisce un processo continuo che incide direttamente sulla validità giuridica del documento e sulla tutela delle informazioni in esso contenute.
[21] La fase di formazione del documento prevede: valutazione; monitoraggio; ri-progettazione e reingegnerizzazione.
[23] Con il termine workflow si fa riferimento a un sistema di organizzazione digitale delle attività operative, finalizzato alla razionalizzazione dei processi e al miglioramento dell’efficienza complessiva. Tale modello consente di strutturare e coordinare le singole fasi di lavoro attraverso procedure automatizzate, ottimizzando l’impiego delle risorse disponibili. Attraverso l’automazione dei compiti interni, il workflow permette di ridurre interventi manuali e tempi di inattività, assicurando la continuità del processo. Il completamento di una fase operativa determina, infatti, l’attivazione automatica della fase successiva, garantendo uno svolgimento fluido e ininterrotto delle attività. Si veda per un approfondimento www.chcbs.ch.it.
[24] Document Management System (DMS) costituiscono oggi un elemento chiave nei percorsi di trasformazione digitale delle organizzazioni. Essi non si limitano alla mera conservazione dei documenti, ma offrono funzionalità avanzate per l’organizzazione, il reperimento e la valorizzazione delle informazioni, incidendo in modo significativo sull’ottimizzazione dei processi interni. Attraverso l’automazione dei flussi operativi e l’integrazione con altri ambienti applicativi, i DMS contribuiscono a migliorare la produttività e a rafforzare il coordinamento tra le diverse funzioni aziendali.
In questo contesto si colloca TopMedia SIX, una soluzione basata su un’architettura modulare e flessibile, concepita per supportare in maniera evoluta la gestione documentale, il controllo dei workflow e la collaborazione tra gli utenti, rispondendo alle esigenze di efficienza e governance informativa delle imprese. Per un approfondimento www.agendadigitale.eu.it.
[25] In base al Regolamento eIDAS, il Sigillo Elettronico Avanzato (AdESeal) deve soddisfare 4 requisiti: è strettamente associato al suo creatore; è in grado di identificarlo in maniera inequivocabile; deve essere generato usando dati che il creatore può controllare con un elevato standard di sicurezza; deve essere intrinsecamente legato ai dati cui si riferisce in modo da consentire la rilevazione di ogni loro successiva modifica. Il Sigillo Elettronico Avanzato è idoneo a produrre effetti giuridici e può essere ammesso come prova nei procedimenti giudiziari. Il Sigillo Elettronico Qualificato è l’unica tipologia di sigillo venduta da Namirial e ha le stesse caratteristiche del Sigillo Elettronico Avanzato, ma presenta un ulteriore elemento distintivo.
Questo tipo di sigillo è creato tramite un dispositivo dotato di un certificato qualificato rilasciato da un fornitore di servizi di fiducia qualificato (QTSP) come Namirial. Un Sigillo Elettronico Qualificato svolge tre funzioni: individua il soggetto che ha generato il sigillo, prova la provenienza del file digitale su cui è apposto, fa assumere alla persona giuridica che lo appone la paternità del documento. Si veda www.namirial.it.
[26] I metadati: “Identificativo univoco e persistente associato in modo univoco e permanente al documento informatico in modo da consentirne l’identificazione”. Visionare allegato 5 al documento “Linee Guida sulla formazione, gestione e conservazione dei documenti informatici”.
[27] Per non incorrere in errori o scelte sbagliate, è opportuno orientarsi verso formati di file che garantiscano il massimo livello di interoperabilità e che siano fondati su standard aperti e riconosciuti a livello normativo. Parallelamente, risulta consigliabile adottare una struttura documentale essenziale e lineare, in modo da ridurre al minimo le criticità che possono emergere nelle fasi di conversione tra formati differenti. A tal fine, è preferibile impiegare tipografie di uso comune, evitando soluzioni grafiche particolari che potrebbero non essere correttamente interpretate da tutti i sistemi. Allo stesso modo, l’utilizzo di macro, campi personalizzati o funzionalità avanzate dovrebbe essere contenuto, poiché tali elementi possono compromettere la corretta trasformazione del documento. Per quanto riguarda gli elementi grafici, è consigliabile ancorare le immagini al testo piuttosto che inserirle in cornici o strutture complesse, così da preservarne il posizionamento anche in caso di migrazione del formato. Infine, è buona prassi verificare preventivamente i processi di conversione, attraverso test mirati, al fine di individuare le principali difficoltà operative e definire in anticipo le modalità più adeguate ad affrontarle.
[28] Le attività di dematerializzazione sono orientate alla trasposizione di documenti originariamente prodotti su supporto cartaceo in documenti in formato digitale – o, secondo la più recente terminologia europea, in documenti elettronici ai sensi del Regolamento (UE) n. 910/2014 (eIDAS) – assicurando la permanenza della loro efficacia giuridica e del relativo valore probatorio.
Tale risultato è conseguito attraverso l’adozione di formati documentali adeguati, l’impiego di strumenti di sottoscrizione elettronica e di validazione temporale, nonché mediante l’inserimento del documento all’interno di sistemi di gestione documentale caratterizzati da elevati livelli di sicurezza, fino al successivo versamento nei sistemi di conservazione a norma. Parallelamente, i processi di dematerializzazione devono garantire il mantenimento delle informazioni contestuali e delle relazioni archivistiche che inquadrano il documento nel proprio ambito amministrativo e funzionale, preservandone così non solo il contenuto informativo, ma anche il significato documentale complessivo.
[29] Soffermandoci su tale concetto da un punto di vista sanitario, si parla molto di dematerializzazione dei referti medici e delle cartelle cliniche, che rappresenta un percorso finalizzato alla realizzazione di un sistema documentale interamente digitale, in cui i documenti informatici siano dotati di piena validità giuridica e destinati a sostituire progressivamente quelli cartacei, con l’obiettivo di migliorare la qualità e l’efficienza dei servizi offerti ai cittadini. Si veda la circolare AgID n. 1/2018 del 24 gennaio 2018 “Linee guida per la dematerializzazione del consenso informato in diagnostica per immagini” e www.agid.gov.it.
[30] Si veda “Linee Guida sulla formazione, gestione e conservazione dei documenti informatici” in cui viene descritto il manuale di gestione documentale come strumento attraverso il quale l’amministrazione definisce in modo organico il funzionamento del proprio sistema di gestione dei documenti informatici. Esso stabilisce regole operative, ruoli e responsabilità necessari a garantire un governo corretto ed efficace del protocollo informatico, dei flussi documentali e dell’assetto archivistico. Il manuale disciplina l’utilizzo degli strumenti informatici per la creazione, la trasmissione e la circolazione dei documenti, individuando le competenze delle unità organizzative coinvolte, le modalità di assegnazione e instradamento degli atti e i criteri di autorizzazione all’accesso al sistema documentale.
Particolare rilievo è attribuito alla scelta dei formati documentali e alle procedure volte a garantire interoperabilità, leggibilità e conservazione nel tempo, anche attraverso operazioni di conversione e riversamento. Un ulteriore ambito regolato riguarda le attività di protocollazione e registrazione, incluse le modalità di gestione delle eccezioni, dei registri di emergenza e delle registrazioni particolari, nonché la definizione dei metadati necessari a garantire identificazione, tracciabilità e corretto trattamento dei documenti. Il manuale fornisce inoltre indicazioni sull’organizzazione dell’archivio digitale, sul sistema di classificazione e sulla formazione dei fascicoli e delle aggregazioni documentali, assicurando continuità gestionale, certezza giuridica e trasparenza amministrativa. In tale contesto, assume rilievo anche la formalizzazione dei flussi di lavoro documentali, finalizzata a chiarire i passaggi operativi e le interazioni tra le strutture dell’amministrazione.
Rilevante è infine la funzione del manuale in materia di sicurezza delle informazioni, poiché esso individua le misure tecniche e organizzative adottate per proteggere i documenti e i dati personali da rischi di accesso non autorizzato, perdita o alterazione. Il manuale disciplina altresì le modalità di conservazione dei documenti informatici, definendo tempi, criteri e procedure di trasferimento o scarto. Per un’ulteriore analisi sul tema: www.agid.gov.it.
[31] Le Linee Guida AgID adottano una visione sistemica e integrata della gestione documentale, evidenziando come la qualità della conservazione dipenda in larga misura dalle scelte effettuate nelle fasi di formazione e gestione. Ne consegue che l’attenzione agli aspetti conservativi deve essere posta sin dal momento della creazione del documento, affinché l’intero ciclo di vita sia governato in modo coerente, efficiente e conforme alla normativa vigente.
[32] La dimensione archivistica assume rilievo lungo tutto il processo documentale e non soltanto nella fase finale di conservazione. Tradizionalmente, i documenti vengono organizzati in relazione alla loro funzione e al loro grado di utilizzo, distinguendo tra documentazione attiva, documentazione non più corrente ma ancora rilevante sotto il profilo amministrativo o giuridico, e documentazione destinata alla conservazione permanente. Tale articolazione risponde all’esigenza di garantire un uso efficiente delle informazioni e una corretta selezione dei documenti nel tempo.
[33] Il manuale di conservazione costituisce un documento informatico di carattere fondamentale, volto a descrivere in maniera analitica l’assetto organizzativo del sistema di conservazione, i soggetti che vi operano e le rispettive responsabilità, nonché il modello operativo adottato. Esso deve inoltre fornire una rappresentazione puntuale delle fasi del processo di conservazione, delle soluzioni architetturali e delle infrastrutture tecnologiche impiegate, unitamente alle misure di sicurezza implementate e a ogni ulteriore elemento informativo necessario a garantire il corretto governo, il controllo e la verificabilità, nel tempo, del sistema stesso. Il contenuto minimo del manuale è definito dalle “Linee Guida sulla formazione, gestione e conservazione dei documenti informatici”, che ne disciplinano la struttura al paragrafo 4.6. In tale quadro, le pubbliche amministrazioni sono obbligate a predisporre il manuale di conservazione, a adottarlo mediante un formale atto amministrativo e a renderlo pubblicamente accessibile attraverso il proprio sito istituzionale. L’obbligo di redazione del manuale si estende altresì ai soggetti privati in tutti i casi in cui l’ordinamento preveda specifici doveri di conservazione dei documenti.
Praticante avvocato con una formazione avanzata all’intersezione tra diritto e innovazione tecnologica. Laureato in Giurisprudenza presso l’Università degli Studi del Molise, ha successivamente conseguito un Master di II livello in Informatica Giuridica, Nuove Tecnologie e Diritto dell’Informatica presso l’Università La Sapienza di Roma, con una ricerca focalizzata sulla gestione del rischio informatico in ambito sanitario come misura tecnico-organizzativa di conformità normativa.
Il suo ambito di interesse e approfondimento comprende la cybersecurity compliance, la protezione dei dati personali, la responsabilità giuridica legata all’uso delle tecnologie digitali e le implicazioni normative dei sistemi informatici in settori ad alta criticità.
https://www.ictsecuritymagazine.com/articoli/documento-informatico/
