Carattere continuativo degli illeciti privacy e conseguenze sulla prescrizione

Gli illeciti amministrativi per omessa informativa e omessa acquisizione del consenso per il trattamento dei dati non si consumano uno actu, ma hanno carattere continuativo, potendo le violazioni essere sanate da un comportamento successivo.

Il principio – lungi dall’essere una questione squisitamente dottrinale – ha grande impatto per titolari e gestori di banche dati, incidendo profondamente sulla prescrizione dell’illecito e, dunque, anche sulla durata dei procedimenti.

Il caso Postel

L’ordinanza n. 18288 del 3 settembre 2020 (udienza 12 novembre 2019) della Corte di Cassazione, seconda sezione civile, trae origine dall’ingiunzione inflitta a Postel S.p.A. dal Garante privacy nel 2013. La sanzione di euro 340.000 per omessa informativa, omessa acquisizione del consenso e omessa informazione o esibizione al Garante, era stata successivamente ridotta dal Tribunale di Roma, che aveva altresì rigettato le questioni di legittimità costituzionale in quella sede proposte.

Le questioni di legittimità costituzionale

Postel ha riproposto anche, con ricorso per Cassazione, le due questioni di legittimità costituzionale.
Secondo la ricorrente, infatti, le norme sulle quali si basava l’ingiunzione del Garante (e cioè gli articoli 162, comma 2-bis e 164-bis[1] Codice della privacy) sarebbero state introdotte con decreto legge (D.L. 207/2008), pur non sussistendo casi straordinari di necessità e urgenza, requisito previsto dalla Costituzione, all’art. 77[2], per l’adozione di tali atti.

La Corte ha considerato la questione manifestamente infondata, ritenendo che l’introduzione di inasprimenti sanzionatori con decreto legge fosse giustificata dalla necessità e urgenza di tutelare l’interessato, proprio in contesti di abuso di banche dati a fini di promozione commerciale e telemarketing.

Parallelamente, si evidenziava nel ricorso che l’art. 164-bis comma 2 del Codice privacy avrebbe sanzionato le medesime condotte già oggetto degli articoli 161 e 162 comma 2-bis, in violazione del ne bis in idem, principio generale che tutela il cittadino dalla possibilità di essere giudicato due volte per la stessa azione[3].

La questione è stata dalla Corte ritenuta inammissibile nel caso specifico e comunque infondata, posto che il principio ne bis in idem, anche nella giurisprudenza della Corte Europea dei diritti dell’uomo, ha il fine di evitare una duplicazione sanzionatoria di ipotesi punibili al contempo sul piano amministrativo e penale. Nel caso in esame, invece, non vi era stata applicazione di sanzioni penali né avvio parallelo di procedimenti penali per i medesimi fatti e dunque non poteva ravvisarsi alcuna duplicazione.

Il carattere continuativo degli illeciti privacy

Postel S.p.A. ha basato l’impugnazione su tre motivi:

le violazioni contestate (omessa informativa di cui all’art. 161 e omessa acquisizione del consenso per i dati acquisiti dalle liste elettorali dei cittadini), non potendo essere sanate da un comportamento successivo, si sarebbero consumate uno actu prima della vigenza del Decreto Legge n. 207/2008, così che alla data degli accertamenti del Garante, nell’aprile del 2009, le sanzioni previste dalla novella non sarebbero state applicabili;
per la stessa ragione, al momento dell’irrogazione dell’ordinanza-ingiunzione doveva ritenersi ormai decorso il termine di prescrizione degli illeciti ascritti, pari a cinque anni;
il Tribunale, infine, erroneamente non avrebbe considerato violato il termine di novanta giorni previsto (dalla Legge 689/1981, art. 14) per la contestazione delle condotte.

Il terzo motivo è stato considerato dalla Corte infondato sulla base del consolidato indirizzo secondo cui il termine di novanta giorni previsto per la notificazione del verbale di contestazione decorre dall’accertamento della violazione, laddove deve intendersi per accertamento non il momento della generica e approssimativa percezione del fatto e l’acquisizione della documentazione, ma l’elaborazione dei dati ottenuti per individuare gli elementi costitutivi delle eventuali violazioni (così, ex multis, Cass. 14678/2018).

Il Tribunale ha, secondo l’ordinanza, correttamente affermato – e ampiamente argomentato – la complessità degli accertamenti ispettivi, dovuta anche alla mancanza di collaborazione ed informazione da parte della stessa ricorrente, accertamenti che si sono conclusi solo nel marzo 2010.

Anche gli altri due motivi di ricorso sono stati ritenuti infondati, sulla base del principio – di grande rilevanza pratica – secondo il quale l’illecito non si esaurisce uno actu, ma si protrae nel tempo, ha carattere continuativo e dunque “perdurante” fino agli accertamenti. Ciò perché la condotta di gestione, trattamento e conservazione dei dati in mancanza di informativa e raccolta del necessario consenso – e dunque l’offesa del bene giuridico tutelato – si è protratta nel tempo e sino alla data indicata nel provvedimento del Garante, pur potendo la società farla cessare in qualsiasi momento.

Le conseguenze di tale principio, è evidente, hanno un enorme impatto sulla prescrizione dell’illecito amministrativo e, dunque, sulla ragionevole durata dei procedimenti.

Il cumulo materiale delle sanzioni amministrative

L’altro principio di grande interesse espresso con l’ordinanza in commento origina, invece, dal ricorso incidentale del Garante per la protezione dei dati personali, secondo il quale il Tribunale aveva erroneamente annullato parte della sanzione originariamente comminata per il principio ne bis in idem, del quale si è detto nei paragrafi precedenti (in particolare, la sanzione applicata dall’art. 162, comma 2-bis Codice della privacy era stata ritenuta assorbita in quella dell’art. 164-bis del citato codice)[4].

La Corte ha accolto il ricorso incidentale, ribadendo un altro principio di grande rilevanza pratica: in tema di illeciti amministrativi di cui al Codice privacy, la fattispecie prevista dall’art. 164-bis, comma 2 (vedasi il testo in nota), costituisce non un’ipotesi aggravata rispetto alle violazioni semplici ivi richiamate, ma una figura d’illecito del tutto autonoma. Essa prevede, infatti, la possibilità che una pluralità di ipotesi semplici vengano infrante – anche con più azioni e in tempi diversi – con specifico riferimento a «banche di dati di particolare rilevanza o dimensioni».

Nel caso, dunque, in cui violazioni di altre disposizioni concorrano con la violazione di cui all’art. 164-bis, comma 2, non costituendo questa un’aggravante ma un’autonoma figura di illecito, ne deriva un’ipotesi di cumulo materiale delle sanzioni amministrative.

Note

[1] Ai sensi dell’art. 164-bis, comma 2 del Codice della privacy: «In caso di più violazioni di un’unica o di più disposizioni di cui al presente Capo, a eccezione di quelle previste dagli articoli 162, comma 2, 162-bis e 164, commesse anche in tempi diversi in relazione a banche di dati di particolare rilevanza o dimensioni, si applica la sanzione amministrativa del pagamento di una somma da cinquantamila euro a trecentomila euro. Non è ammesso il pagamento in misura ridotta».

[2] Sui requisiti di necessità e urgenza ex art. 77 Cost. si vedano, tra le più recenti, Corte Cost. n. 170/2017, n. 22/2012, n. 93/2011, n. 355/2010.

[3] Sul principio ne bis in idem, si veda la scheda predisposta dalla Corte Europea dei Diritti dell’Uomo a questo link: https://www.echr.coe.int/Documents/FS_Non_bis_in_idem_ENG.pdf.

[4] Sul cumulo materiale delle sanzioni amministrative, si veda anche Cass. civ. Sez. I, 17/08/2016, n. 17143.

Articolo a cura di Maria Elena Iafolla

Avvocato del Foro di Milano e titolare dello Studio Legale Iafolla, si occupa di diritto dell’informatica e delle nuove tecnologie, innovazione, trattamento dei dati e cyber-security.

Laureata presso l’Università Cattolica del Sacro Cuore di Milano, autrice e formatrice sui temi del diritto dell’informatica e privacy/GDPR.

Vice Presidente dell’associazione DFA – Digital Forensics Alumni.

https://www.ictsecuritymagazine.com/articoli/carattere-continuativo-degli-illeciti-privacy-e-conseguenze-sulla-prescrizione/

Credi a ciò che vedi? Il sempre più sottile confine fra reale e virtuale

La diffusione di strumenti di manipolazione di immagini e video facilmente accessibili a un sempre più vasto numero di persone ha fatto crescere, negli ultimi anni, i problemi legati alla verifica di autenticità e alla credibilità dei dati multimediali. Il noto detto popolare “credo a ciò che vedo” non può più essere considerato un paradigma valido: oggi, quando si osserva un contenuto multimediale, non è affatto scontato il fatto di essere davanti a qualcosa di autentico e reale, quanto piuttosto al frutto di una rielaborazione o addirittura di una sintesi artificiale. Per questo è fondamentale disporre di tecniche che consentano di rivelare possibili alterazioni dei contenuti, specie quando queste sono realizzate in maniera talmente accurata da essere non percepibili ad occhio nudo.

L’ingegneria forense applicata alla multimedialità si occupa esattamente di questo. L’idea è quella di produrre algoritmi il più possibile automatizzati in grado di scoprire una serie di tracce nascoste nei dati, che a loro volta consentano di determinare la sorgente dell’informazione (ad esempio quale modello di fotocamera è stata usato nell’acquisizione), così come eventuali elaborazioni effettuate sui dati a valle dell’acquisizione (fotomontaggi, inserimento di contenuti sintetici, filtraggi, ecc.).

I progressi ottenuti nell’ambito del multimedia forensics negli ultimi decenni sono estremamente rilevanti, ma vanno di pari passo con i progressi delle tecniche di generazione e manipolazione di immagini, in una sorta di sfida continua. In questo senso, un grosso asset nelle mani dei manipolatori è oggi costituito dall’intelligenza artificiale (AI).

Attualmente esistono tecniche basate su AI capaci di generare immagini e video falsi di eccezionale qualità, senza la necessità di grandi competenze da parte dell’utilizzatore. Studi recenti dimostrano come la generazione di visi umani basata su tecnologie di AI (es. StyleGAN2 [1]) sia in grado di produrre immagini che il nostro cervello non riesce a distinguere da visi reali. Queste tecnologie sono alla base dei cosiddetti deepfakes, video in cui una persona viene inserita in maniera estremamente realistica in situazioni mai avvenute nella realtà [2]. Le vittime abituali di questi tool sono le persone maggiormente popolari (politici, attori, sportivi, ecc.), sia per l’impatto e la visibilità ottenuti dalla manipolazione, sia per il fatto che di tali persone sono disponibili grandi moli di dati e immagini, necessarie ai motori di AI in fase di addestramento. È così possibile creare sequenze video particolarmente accurate in cui alla vittima vengono fatte dire frasi completamente inventate, sovrapponendo espressioni facciali impostate dal creatore o semplicemente copiate da un modello umano (un attore).

Tutto ciò pone domande cruciali rispetto al confine esistente fra mondo reale e mondo virtuale e alla possibilità, per un utente umano, di distinguere tra i due. Per evitare che tali metodologie possano essere utilizzate in maniera non controllata, l’ingegneria forense studia sempre nuovi metodi di difesa, ideando tecniche via via più sofisticate. Ad esempio, è oggi possibile imparare i modelli facciali di una persona, per poi costruire una sorta di firma digitale unica e robusta (una sorta di impronta digitale) che possa essere utilizzata per identificare, con elevata affidabilità, sequenze manipolate o create ad hoc come dati non reali [3][4].

Un altro aspetto molto importante da tenere in considerazione è l’abitudine sempre più diffusa di condividere e scambiare dati multimediali e altre informazioni tramite social media e canali web. Questi strumenti possono diventare armi potentissime nelle mani dei manipolatori di informazioni, con lo scopo malevolo di influenzare l’opinione degli utenti [5][6]. Si ricordi, ad esempio, il caso del video della Presidente della Camera dei Rappresentanti statunitense Nancy Pelosi, condiviso su Twitter e diventato immediatamente virale, in cui un semplice ritardo introdotto nella sequenza suggeriva volutamente uno stato di ubriachezza. Il video – inizialmente scambiato per vero anche dalle persone vicine a Pelosi – aveva scatenato, forse per la prima volta in questa misura, un’accesa discussione sull’impatto diffamatorio dei video manipolati. Dal punto di vista tecnico, la condivisione dei fake via social media ha due impatti principali: da un lato genera una diffusione rapidissima, virale e poco controllabile dei contenuti, e dall’altro rischia di far perdere traccia della sorgente delle informazioni manipolate, a seguito delle elaborazioni insite nei passaggi da un social all’altro.

Nasce quindi un altro ruolo importante dell’ingegneria forense, consistente nella capacità di ricostruire la sequenza di passaggi subiti da un contenuto multimediale durante il suo ciclo di vita. Possiamo immaginare a tal proposito una sequenza in cui il video viene acquisito (ad esempio da un’emittente televisiva), manipolato (ad esempio ricodificato per caricarlo sulla pagina web dell’emittente) e scaricato da un utente, che lo elabora per manipolarne maliziosamente il contenuto per poi condividerlo sul social A, da cui viene potenzialmente ri-condiviso sul social B. La versione finale del video sul social B si porterà dietro una serie di tracce (dati, metadati, forma, contenuto) lasciate dai vari passaggi subiti che, almeno teoricamente, potrebbero consentire di ricostruirne il ciclo di vita a partire dalla creazione.

Allo stato attuale, la ricerca ha portato alla definizione di soluzioni valide per la rilevazione di molte di queste tracce quali, ad esempio, quelle lasciate dal sistema di acquisizione, la codifica e ri-codifica del segnale, alcune tecniche comuni di elaborazione, alcuni meccanismi di condivisione su social. Molto più complesso (e, al momento, risolto solo in piccola parte) è il problema di valutare queste cose all’interno di una catena di elaborazione come quella sopra esemplificata, in cui ogni passaggio può in parte coprire le tracce dei passaggi precedenti. Molte delle tecniche ideate ad oggi, inoltre, hanno il problema di uscire dalla realtà controllata dei laboratori di ricerca, per affrontare l’analisi in the wild, dove gli scenari diventano estremamente complessi e variabili.

L’estensione dell’analisi forense a questi nuovi scenari richiede l’abilità di affrontare problemi tecnologici significativi, richiedendo metodologie che possano lavorare in maniera affidabile in condizioni molto generali. D’altra parte, la capacità di affrontare problemi quali il recupero di informazioni sul ciclo di vita del dato multimediale, in termini di provenienza, manipolazioni e condivisioni subite, rappresenterebbe un supporto fondamentale per i servizi di intelligence, per la polizia postale e per tutti gli attori preposti a tracciare contenuti maliziosi. In generale, questi strumenti potranno aiutare a garantire la veridicità dei contenuti multimediali, ripristinando il tradizionale concetto di affidabilità legato all’informazione visiva.

Riferimenti

[1] Karras, T., Laine, S., Aittala, M., Hellsten, J., Lehtinen, J., Aila, T.: Analyzing and Improving the Image Quality of StyleGAN, arXiv:1912.04958 (2019)

[2] Verdoliva, L.: Media forensics and deepfakes: an overview. IEEE Journal of Selected Topics in Signal Processing, vol 14, n. 5 (2020)

[3] Agarwal, S., Farid, H., Gu, Y., He, M., Nagano, K., Li, H.: Protecting world leaders against deep fakes. IEEE Conference on Computer Vision and Pattern Recognition (CVPR) Workshops (2019)

[4] Marra, F., Saltori, C., Boato, G., Verdoliva, L.: Incremental learning for the detection and classification of GAN-generated images. IEEE International Workshop on Information Forensics and Security (2019)

[5] Cao, J., Qi, P., Sheng, Q., Yang, T., Guo, J., Li, J.: Exploring the role of visual content in fake news detection. Disinformation, Misinformation, and Fake News in Social Media, (2020)

[6] Phan, Q., Boato, G., Caldelli, R., Amerini, I.: Tracking multiple image sharing on social networks. IEEE International Conference on Acoustics, Speech and Signal Processing (2019)

Articolo a cura di Giulia Boato e Francesco De Natale

https://www.ictsecuritymagazine.com/articoli/credi-a-cio-che-vedi-il-sempre-piu-sottile-confine-fra-reale-e-virtuale/

Attacchi ransomware alle strutture ospedaliere: il caso tedesco e i profili penalistici in Italia

Lo scorso 10 settembre in Germania, presso l’ospedale universitario di Düsseldorf, si è verificato quello che potrebbe essere il primo caso di decesso direttamente connesso a un ransomware[1].

L’attacco informatico – consistente nell’infettare un sistema, rendendone inaccessibili o criptati i dati fino al pagamento di un riscatto (“ransom”, appunto) richiesto magari in criptovalute[2] – era in realtà indirizzato verso una vicina università, ma ha finito per colpire anche il polo ospedaliero.
Lo shut-down dei sistemi informatici della clinica ha impedito il tempestivo ricovero di diversi pazienti, tra cui una donna giunta per una grave emergenza, che è stata quindi trasferita presso una struttura distante oltre 30 km (a Wuppertal), dove i medici non sono stati in grado di iniziare per tempo le cure.
Il ransomware, difatti, sfruttando una vulnerabilità dei gateway Citrix, denominata CVE-2019-19871, aveva causato il blocco di 30 server interni all’ospedale ed è stato fatale, nonostante la falla del sistema fosse nota già da tempo e solo il giorno prima del cyberattack le autorità tedesche fossero state avvisate del rischio e sollecitate ad aggiornare il gateway.

A seguito della notizia che il malware aveva colpito la clinica di Düsseldorf, gli attaccanti hanno immediatamente interrotto l’operazione, consentendo alla struttura di riprendere a ricevere i pazienti; ma le conseguenze delle loro azioni avevano già comportato rilevantissimi danni.

Non è certo la prima volta che un attacco cyber prende di mira delle strutture ospedaliere, spesso del tutto impreparate sotto il profilo IT.
Il celebre ransomware WannaCry[3], che nel maggio 2017 ha colpito 200.000 sistemi informatici in ben 15 paesi, aveva bloccato il Servizio Sanitario Nazionale del Regno Unito[4].

L’attacco – pur non cagionando direttamente alcun decesso – ha fatto registrare un aumento del tasso di mortalità dovuto al rallentamento delle attività ospedaliere, data la necessità di difendersi dalle attività malevole in corso (ad esempio, ci sono voluti 2,7 minuti in più per effettuare un elettrocardiogramma ai pazienti a rischio infarto).

Sempre più numerosi macchinari ospedalieri sono connessi alla rete e una ricerca della Vanderbilt University di Nashville, Tennessee, ha rilevato un incremento del tasso di mortalità connesso all’attacco WannaCry[5].

Ciò ha comportato 36 morti in più ogni 10mila attacchi cardiaci, probabilmente dovuti alle conseguenze dei malware, che hanno reso più lenti i sistemi di reazione, nonché un’interruzione nell’assistenza dei pazienti, come l’annullamento di quasi 20mila appuntamenti o il trasferimento forzato dei degenti in altre strutture ospedaliere.

Tornando al caso di Düsseldorf, gli investigatori stanno ora analizzando nello specifico le cause della morte della donna tedesca e non è esclusa un’indagine per omicidio a carico dei criminali informatici.

Nonostante le vane promesse degli hacker di non prendere mai di mira gli ospedali, anche in Italia si sono di recente registrati ransomware diretti allo Spallanzani di Roma (proprio lo scorso marzo, nel periodo “caldo” dell’emergenza da Covid-19[6]) e al Fatebenefratelli di Erba, nel dicembre 2019.

Se un ransomware rivolto verso una qualsiasi società, però, può portare dei rilevanti danni economici e di violazione della privacy, gli attacchi agli ospedali possono causare anche rischi alla salute e addirittura decessi tra i pazienti. Per questo è necessario alzare l’asticella del livello di sicurezza informatica in tutte le strutture ospedaliere, per evitare – o quantomeno ridurre al massimo – il rischio che l’azienda possa diventare vittima di attacchi.

D’altro lato, se un ransomware in Italia può configurare fattispecie criminali quali estorsione[7], danneggiamento[8] o accesso abusivo a sistema informatico o telematico[9], un attacco che porti alla morte di un paziente, come accaduto in Germania, potrebbe non solo raffigurare un omicidio colposo[10], ma eventualmente anche integrare tale delitto nella sua ipotesi volontaria[11], con “dolo eventuale”. Un giudice nostrano potrebbe, infatti, astrattamente ritenere che l’autore di un cyberattack nei confronti di una struttura ospedaliera si fosse rappresentato – e avesse accettato – il rischio di porre in pericolo la vita di qualche degente, così rispondendo della più grave forma di omicidio.

Note

[1] Si veda su questa Rivista “Ransomware: cosa sono? Come proteggersi?”, 26 settembre 2016, https://www.ictsecuritymagazine.com/articoli/ransomware-cosa-proteggersi/

[2] Si veda su questa Rivista L.N. Meazza, “I risvolti penalistici delle criptovalute”, 22 gennaio 2020, https://www.ictsecuritymagazine.com/articoli/i-risvolti-penalistici-delle-criptovalute/

[3] Per approfondirne i dati tecnici si veda, su questa rivista, M. Caranti, “PETYA Virus, Vulnerabilità e Pentesting”, 13 luglio 2017, https://www.ictsecuritymagazine.com/articoli/petya-virus-vulnerabilita-pentesting/ e “Guida al Pentesting: ed. 2020”, 29 giugno 2020.

[4] Si veda su questa Rivista “WannaCry – Sempre più pericolosa la militarizzazione del cyber spazio”, 17 maggio 2017, https://www.ictsecuritymagazine.com/notizie/wannacry-sempre-piu-pericolosa-la-militarizzazione-del-cyber-spazio/

[5] Si veda B. Krebs, “Study: Ransomware, Data Breaches at Hospitals tied to Uptick in Fatal Heart Attacks”, 7 novembre 2019, https://krebsonsecurity.com/2019/11/study-ransomware-data-breaches-at-hospitals-tied-to-uptick-in-fatal-heart-attacks/

[6] Si veda su questa Rivista M. Pereira, “L’AI per bloccare l’avanzata dei cybercriminali nell’era della pandemia”, 30 giugno 2020, https://www.ictsecuritymagazine.com/notizie/lai-per-bloccare-lavanzata-dei-cybercriminali-nellera-della-pandemia/

[7] Art. 629 c.p.: “Chiunque, mediante violenza o minaccia, costringendo taluno a fare o ad omettere qualche cosa, procura a sé o ad altri un ingiusto profitto con altrui danno, è punito con la reclusione da cinque a dieci anni e con la multa da euro 1.000 a euro 4.000 (…)”.

[8] Art. 635bis c.p.: “Salvo che il fatto costituisca più grave reato, chiunque distrugge, deteriora, cancella, altera o sopprime informazioni, dati o programmi informatici altrui è punito, a querela della persona offesa, con la reclusione da sei mesi a tre anni. Se il fatto è commesso con violenza alla persona o con minaccia ovvero con abuso della qualità di operatore del sistema, la pena è della reclusione da uno a quattro anni”.

[9] Art. 615ter c.p.: “Chiunque abusivamente si introduce in un sistema informatico o telematico protetto da misure di sicurezza ovvero vi si mantiene contro la volontà espressa o tacita di chi ha il diritto di escluderlo, è punito con la reclusione fino a tre anni (…)”.

[10] Art. 589 c.p.: “Chiunque cagiona per colpa la morte di una persona è punito con la reclusione da sei mesi a cinque anni (…)”.

[11] Art. 575 c.p.: “Chiunque cagiona la morte di un uomo è punito con la reclusione non inferiore ad anni ventuno”.

Articolo a cura di Lorenzo Nicolò Meazza

Lorenzo Nicolò Meazza è Avvocato penalista, titolare dell’omonimo studio legale a Milano. L’area di attività prevalente è il diritto penale d’impresa, con attenzione a criminalità informatica, diritto penale delle nuove tecnologie e digital forensics.

Laureato con il massimo dei voti all’Università degli Studi di Pavia, si è distinto tra i migliori cinque studenti del Master in Diritto Penale dell’Impresa presso l’Università Cattolica di Milano.

È stato selezionato dall’Ordine forense di Milano e dal Pool Reati Informatici della Procura milanese tra gli avvocati esperti in diritto dell’informatica e fa parte dei legali con specifica competenza nella trattazione dei reati informatici che costituiscono uno specifico sportello.

Presidente di un Organismo di Vigilanza ex D.Lgs. 231/2001, redattore di AODV231, è stato membro della Commissione Nazionale in materia, istituita dall’Unione Camere Penali Italiane. È membro della Commissione Giustizia Penale dell’Ordine di Milano, Cultore di materie penalistiche presso l’Università Statale di Milano, Responsabile della sede milanese della Scuola Nazionale di Alta Formazione dell’Avvocato Penalista e Direttore Responsabile della rivista giuridica Giurisprudenza Penale.

Website: www.studiolegalemeazza.com

https://www.ictsecuritymagazine.com/articoli/attacchi-ransomware-strutture-ospedaliere-caso-tedesco-e-profili-penalistici-in-italia/

Le novità per la vita digitale di cittadini e imprese nel Decreto Semplificazioni – parte II

Segue dalla prima parte

Notificazione degli atti della Pubblica Amministrazione e utilizzo della PEC

La Presidenza del Consiglio dei Ministri gestirà una piattaforma unica volta a semplificare e rendere meno costosa la notificazione di provvedimenti, avvisi e comunicazioni da parte della P.A. (sono esclusi gli atti del processo civile, penale, amministrativo, tributario e contabile).

Come già anticipato, anche in questo caso ai fini della accessibilità alla piattaforma si potranno utilizzare gli strumenti messi a disposizione (SPID, CIE, AppIO). L’istituzione della piattaforma è prevista dalla L. 160 del 27 dicembre 2019; il suo sviluppo è affidato alla società PagoPA S.p.A. per il tramite di Poste Italiane S.p.A. e con il riutilizzo di infrastrutture tecnologiche esistenti.

La modifica prevede che le Pubbliche Amministrazioni e gli Agenti della Riscossione possano avvalersi ai fini delle notificazioni della predetta piattaforma sulla quale verranno messi a disposizione dell’utente gli atti.

La norma non prevede l’obbligatorietà dell’uso della piattaforma, ergo potranno essere utilizzate in alternativa le forme ordinarie ai sensi degli articoli 137 e segg. del Codice di Procedura Civile.

L’articolo 26, comma 3 del Decreto Semplificazioni in ogni caso specifica poi che la piattaforma potrà essere utilizzata anche per la trasmissione di atti, provvedimenti, avvisi e comunicazioni per i quali non è previsto l’obbligo di notificazione al destinatario.

Ove utilizzata la piattaforma, come detto, i documenti (informatici) saranno resi disponibili, eventualmente anche mediante l’utilizzo di tecnologie basate sui registri distribuiti (blockchain) in un’apposita area riservata accessibile ai destinatari o loro delegati.

Nel caso di notificazione, quando potrà essa dirsi perfezionata?

È previsto che il gestore della piattaforma invii al destinatario un “avviso di ricezione” con il quale comunichi l’esistenza e l’identificativo univoco della notificazione (IUN), nonché le modalità di accesso alla piattaforma e di acquisizione del documento oggetto di notificazione. L’avviso di avvenuta ricezione, in formato elettronico, è inviato con modalità telematica ai destinatari titolari di un indirizzo di posta elettronica certificata o di un servizio elettronico di recapito certificato qualificato.

Il perfezionamento della notifica è argomento molto importante in quanto proceduralmente, è il momento al quale scattano gli obblighi di provvedere, oppure le facoltà di contrastare (giudizialmente) il contenuto e finalità del documento.

La notificazione si perfezionerà:

per l’amministrazione, nella data in cui il documento informatico è reso disponibile sulla piattaforma;
per il destinatario:

il settimo giorno successivo alla data di consegna dell’avviso di avvenuta ricezione in formato elettronico, risultante dalla ricevuta che il gestore della casella di posta elettronica certificata o del servizio elettronico di recapito certificato qualificato del destinatario trasmette al gestore della piattaforma. Se l’avviso di avvenuta ricezione è consegnato al destinatario dopo le ore 21.00, il termine di sette giorni si computa a decorrere dal giorno successivo;
il quindicesimo giorno successivo alla data del deposito dell’avviso di mancato recapito nei casi di casella postale satura, non valida o non attiva;
il decimo giorno successivo al perfezionamento della notificazione dell’avviso di avvenuta ricezione in formato cartaceo;
in ogni caso, se anteriore, nella data in cui il destinatario, o il suo delegato, ha accesso, tramite la piattaforma, al documento informatico oggetto di notificazione.

La messa a disposizione ai fini della notificazione del documento informatico sulla piattaforma impedisce qualsiasi decadenza dell’amministrazione e interrompe il termine di prescrizione correlato alla notificazione dell’atto, provvedimento, avviso o comunicazione.

È previsto, dunque, che l’avviso di ricevimento sia comunicato con modalità telematiche, idonee ad assicurare l’avvenuta ricezione, ai destinatari che abbiano un domicilio (digitale), e pertanto ove:

a) inseriti in uno degli elenchi di cui agli articoli 6-bis, 6-ter e 6-quater del CAD, ovvero l’indice nazionale dei domicili digitali delle imprese e dei professionisti (INI-PEC[1]), l’indice dei domicili digitali delle pubbliche amministrazioni e dei gestori di pubblico servizio (IPA) e l’indice nazionale dei domicili digitali delle persone fisiche e degli altri enti di diritto privato non tenuti all’iscrizione in albi professionali o nel registro delle imprese;
b) eletto come domicilio speciale per determinati atti o affari, se a tali atti o affari è riferita la notificazione;
c) eletto per la ricezione delle notificazioni degli atti delle pubbliche amministrazioni effettuate tramite piattaforma e comunicato al gestore della piattaforma.

Sarà poi onere del destinatario, in proprio o tramite suo delegato, accreditarsi presso la piattaforma la quale renderà reperibile il provvedimento, appunto, in apposite aree riservate.

Rimane ferma la possibilità di notifica a mezzo posta della copia analogica ai destinatari non dotati di domicilio digitale.

Un breve cenno sugli elenchi nazionali, ovvero gli indici dei domicili digitali

Il DL Semplificazioni ha previsto l’inclusione nel registro INI-PEC di nuovi soggetti quali, ad esempio, liberi professionisti non iscritti ad albi, elenchi o registri tenuti da Pubbliche Amministrazioni.

Novità anche nei confronti di imprese individuali e società le quali avranno l’obbligo di comunicare il proprio domicilio digitale entro l’1 ottobre 2020 con previsione di una procedura di cancellazione d’ufficio (o su segnalazione) nel caso di domicilio inattivo, e possibilità di assegnazione d’ufficio di un domicilio digitale (si pensi a tutte quelle casistiche di soggetti che non provvedono al rinnovo della Posta Elettronica Certificata con impossibilità a procedere nei loro confronti a notificazioni digitali).

Il registro INI-PEC, come detto, assume importanza elevata in quanto utilizzato ai fini delle notifiche giudiziali, a mezzo PEC, alternativamente al sistema cartaceo e nei confronti di soggetti privati.

Quanto invece ai soggetti pubblici, altro registro ben noto agli operatori del diritto, e contenente gli indirizzi PEC ai fini delle notifiche, è il REGINDE[2] (Registro Generale degli Indirizzi Elettronici) il quale contiene invece i dati identificativi, nonché l’indirizzo di posta elettronica certificata, di appartenenti ad un Ente Pubblico (Pubblica Amministrazione), parimenti in utilizzo alle Pubbliche Amministrazioni è Registro PP.AA. (Registro contenente gli indirizzi di Posta Elettronica Certificata delle Amministrazioni pubbliche ai sensi del DL 179/2012 art 16, comma 12 – consultabile esclusivamente dagli uffici giudiziari, dagli uffici notificazioni, esecuzioni e protesti, e dagli avvocati).

In pratica un operatore del diritto, ai fini delle notifiche a mezzo PEC, era solito reperire gli indirizzi di posta dal registro INI-PEC nel caso di destinatari privati, mentre nel caso di destinatari pubblici utilizzava i registri in uso alle Pubbliche Amministrazioni, con il dato negativo, però, che pochissime PP.AA. avevano (hanno) ottemperato alla comunicazione del proprio indirizzo PEC presso i pubblici registri, così costringendo i notificanti ad adottare gli ordinari metodi “analogici” notifica cartacea (con dispendio di tempo e di costi).

È accaduto, poi, che la Cassazione, Sez. III, con la sentenza 8 febbraio 2019, n. 3709, abbia creato un po’ di confusione in ordine alla regolarità delle notificazioni, affermando che solo la notifica effettuata nei confronti del destinatario risultante dal Registro Generale degli Indirizzi Elettronici (REGINDE) risulterebbe valida ed efficace mentre, da considerarsi nulla se effettuata a un destinatario risultante dall’INI-PEC (si pensi anche al caso in cui un avvocato, operatore del diritto anch’esso presente solitamente nel REGINDE, si fosse trovato a dover notificare un atto ad una controparte che aveva eletto a sua volta domicilio digitale presso l’indirizzo PEC del proprio avvocato. Se tale indirizzo PEC di destinazione, per qualsiasi ragione, non fosse stato presente all’interno del REGINDE, a seguito del nuovo indirizzo della Cassazione, in ipotesi, non si sarebbe potuto notificare digitalmente seppure il medesimo indirizzo di destinazione fosse stato presente nei registri INI-PEC).

Tale erronea interpretazione, che stabiliva una preminenza del registro REGINDE, viene definitivamente superata, ed inoltre lo stesso DL semplificazioni, in relazione in particolar modo agli indirizzi PEC degli Enti Pubblici, stabilisce la validità dell’IPA (Indice PA[3]) tra i Pubblici Elenchi per le notifiche in proprio da parte degli avvocati.

In pratica, anche ove un Ente pubblico non fosse presente nel REGINDE (o nel registro PP.AA.), ai fini della notificazione sarebbe allora sufficiente reperire la relativa PEC di destinazione all’interno, appunto, dell’IPA.

La conservazione dei documenti informatici

Infine, il Decreto Semplificazione è intervenuto su un aspetto molto delicato in tema di digitalizzazione: la conservazione dei documenti.

In particolare, l’art. 34 comma 1bis del CAD, come modificato dal Decreto Semplificazione, comporterà che le PA potranno o conservare internamente o affidare il servizio all’esterno, non più a soggetti accreditati, ma a coloro che possiedano i requisiti di qualità, di sicurezza e organizzazione individuati, nel rispetto della disciplina europea, nelle Linee guida di cui all’art. 71 relative alla formazione, gestione e conservazione dei documenti informatici nonché in un regolamento sui criteri per la fornitura dei servizi di conservazione dei documenti informatici emanato da AgID, avuto riguardo all’esigenza di assicurare la conformità dei documenti conservati agli originali nonché la qualità e la sicurezza del sistema di conservazione.

Viene poi modificato l’art. 29 che aveva legato l’accreditamento dei conservatori alle qualificazioni dei servizi fiduciari previsti dal Regolamento eIDAS, nonostante questi non prevedesse (e non preveda) obblighi diretti sulla conservazione[4].

Il DL semplificazioni interviene anche sulle attività di vigilanza da parte di AgID, ridimensionando le sanzioni applicabili ai conservatori.

La conservazione digitale di atti ora è disciplinata dal CAD. La previgente versione dell’art. 44-bis prevedeva che ove soggetti pubblici e privati che svolgevano attività di conservazione dei documenti informatici per conto di terzi avessero voluto conseguire il riconoscimento del possesso dei requisiti del livello più elevato, in termini di qualità e di sicurezza, avrebbero dovuto richiedere l’accreditamento presso l’allora DigitPA (poi confluita in AgID).

Successivamente, con l’introduzione delle regole tecniche di cui al DPCM 3 dicembre 2013^[5], l’accreditamento è stato reso pre-requisito obbligatorio per poter affidare all’esterno la realizzazione del servizio di conservazione.

AgID, quindi, con circolare 65/2014[6], ha poi introdotto una specifica procedura di accreditamento che è stata via via arricchita di ulteriori requisiti di qualità e sicurezza.

Oltre all’obbligo di accreditamento, la normativa prevedeva anche un’attività di vigilanza da parte dell’AgiID che negli ultimi 3 anni è stata realizzata con azioni ispettive presso i soggetti conservatori e che, in alcuni casi, ha portato alla cancellazione “spontanea” del conservatore inadempiente dall’elenco degli accreditati.

L’eliminazione dell’accreditamento e dell’elenco dei conservatori, comunque, renderà non facile l’attività di vigilanza dell’AgID, senza contare anche la perdita di un importante strumento di verifica dei propri fornitori per le Aziende nella scelta di un soggetto conservatore.

Un ultimo aspetto. Ad oggi, i requisiti di accreditamento restano quelli della circolare 65/2014, sino a nuovo regolamento, sempre a cura di AgID, che individuerà i requisiti sia organizzativi, di qualità e sicurezza da possedere per erogare il servizio di conservazione. Allo stesso modo, le nuove Linee guida su formazione, gestione e conservazione del documento informatico andranno a sostituire (com’era già previsto) le attuali regole tecniche[7].

Solo allora potremo avere un quadro reale delle effettive modifiche volute dal Legislatore con il DL Semplificazione, sperando che si tratti solo di una mera e corretta operazione di sistemazione per non svilire il lavoro degli attori che in questi anni hanno lavorato per migliorare un settore così delicato come la conservazione dei documenti digitali.

Nota degli autori del 18 settembre 2020

Il decreto-legge Semplificazione è stato approvato dal Parlamento ed è “diventato” la “Legge 11 settembre 2020, n. 120, di conversione con modifiche del decreto-legge 16 luglio 2020, n. 76 (c.d. Decreto Semplificazioni)”, recante misure urgenti per la semplificazione e l’innovazione digitale.

Durante l’iter parlamentare, il testo si è arricchito di ulteriori 32 articoli (dai 65 originari, sono “lievitati” fino a 97) in materie strategiche, tra cui la circolazione stradale e l’università. Ma non tutte le norme saranno subito operative in quanto, per molte, la relativa l’attuazione abbisogna dei relativi decreti che, scansionando l’intero provvedimento, ammontano a ben 64.

La conversione del decreto-legge non ha, tuttavia, modificato aspetti descritti e analizzati nel presente contributo, i cui contenuti restano validi, ma ha aggiunto una modifica rispetto al domicilio digitale delle imprese. Sostanzialmente dal 1° ottobre 2020, in caso di mancata indicazione del domicilio digitale, le imprese in forma societaria incorreranno nella sanzione ex art. 2630 c.c. raddoppiata nell’importo (da 206,00 euro a 2.064,00 euro), mentre quelle in forma individuale nella sanzione ex art. 2194 c.c., triplicata (da 30,00 euro a 1.548,00 euro). L’introduzione di questa sanzione ha l’evidente scopo di portare la vita delle imprese sempre di più su un piano digitale.

Note

[1] https://www.inipec.gov.it/: consultando questo registro si possono rinvenire le PEC di professionisti e imprese, valide ai fini della notificazione.

[2] In accordo con quanto regolamentato dal DM 44/2011, il Registro Generale degli Indirizzi Elettronici (ReGIndE), gestito dal Ministero della Giustizia, contiene i dati identificativi nonché l’indirizzo di posta elettronica certificata (PEC) dei soggetti abilitati esterni, ovverossia: appartenenti a un ente pubblico, professionisti iscritti in albi ed elenchi istituiti con legge, ausiliari del giudice non appartenenti ad un ordine di categoria o che appartengono ad ente/ordine professionale che non abbia ancora inviato l’albo al Ministero della giustizia (questo non si applica per gli avvocati, il cui specifico ruolo di difensore implica che l’invio dell’albo deve essere sempre fatto dall’ordine di appartenenza o dall’ente che si difende).

[3] L’indice dei domicili digitali delle Pubbliche Amministrazioni e dei gestori di pubblici servizi (IPA), gestito dall’Agenzia per l’Italia Digitale, è l’elenco pubblico di fiducia contenente i domicili digitali da utilizzare per le comunicazioni e per lo scambio di informazioni e per l’invio di documenti validi a tutti gli effetti di legge tra le pubbliche amministrazioni, i gestori di pubblici servizi e i privati (https://indicepa.gov.it/documentale/index.php).

[4] Sul punto, è intervenuta da tempo la stessa Commissione EU con una risposta riportata in un documento di FAQ del 2014, nella quale distingue nettamente i servizi di conservazione delle firme e dei sigilli elettronici (e le soluzioni tecniche richieste ) dalla conservazione dei documenti (definita come forma di electronic archiving), https://ec.europa.eu/commission/presscorner/detail/en/MEMO_14_586.

[5] https://www.agid.gov.it/sites/default/files/repository_files/leggi_decreti_direttive/dpcm_3-12-2013_conservazione.pdf

[6] https://www.agid.gov.it/sites/default/files/repository_files/circolari/circolare_accreditamento_conservatori_n_65_10-04-2014.pdf

[7] Le Linee guida sono state emanate in prima bozza a novembre 2019, per poi essere trasmesse alla Commissione europea per eventuali osservazioni sul testo, qualora il contenuto dovesse avere un impatto sul mercato interno dell’Unione europea ai sensi del Regolamento UE n. 1025/2012.
Come comunicato dalla stessa AgID, la bozza ha subito uno stop in Commissione europea che ha emanato un parere circostanziato relativo alla presunta violazione da parte delle Linee guida sulla formazione, gestione e conservazione sui documenti informatici delle norme sul commercio elettronico (Direttiva 2000/31/UE) e sulla libera circolazione dei dati non personali all’interno dell’Unione europea (Regolamento (UE) 2018/1807). Attualmente, pertanto, si è in attesa di un’evoluzione.

Articolo a cura di Alessandra Delli Ponti e Adriano Colomban

L’Avvocato Alessandra Delli Ponti (www.avvocatodelliponti.it ) è Of counsel dello Studio Legale Stefanelli&Stefanelli (www.studiolegalestefanelli.it), con cui collabora dal 1999.

Ha maturato esperienza pluriennale in materia di privacy e diritto delle nuove tecnologie e lavora principalmente con imprese e professionisti.

Nel 2016 ha conseguito il diploma di Data Protection officer ottenendo la Certificazione del Personale Schema CDP – Privacy Officer e Consulente della Privacy, presso TÜV Italia srl.

Ha competenza nell’implementazione di sistemi di gestione e, in particolare, costruzione di Modelli Organizzativi di prevenzione e gestione dei rischi reato ai sensi del D.L.gs. 231/2001.

E’ membro di diversi Organismi di Vigilanza (Odv) e possiede la qualifica per l’iscrizione con Audiotor 231 all’Albo SICEV.

L’avv. Adriano Colomban ha improntato la propria formazione con la finalità di assistere le imprese sotto molteplici punti di vista.

Si è laureato presso la Facoltà di Giurisprudenza (Università degli Studi di Pisa) ed è iscritto presso l’Ordine degli Avvocati di Bologna, città nella quale ha frequentato la Scuola di Alta Formazione in Diritto del lavoro, Sindacale e della Previdenza Sociale dell’AGI (Associazione Giuslavoristi Italiani), la Scuola C.S.I.M.A. Centro Studi Indirizzo Magistratura Avvocatura nonché, sempre in ambito post-universitario, l’Alma Mater Studiorum Università di Bologna presso la quale ha conseguito un Master Internazionale di Studi sulla Filantropia e l’imprenditorialità Socialmente Responsabile.

Successivamente ha partecipato ad un Corso di Alta Formazione Tributaria presso la SPISA, prestigiosa scuola di specializzazione in studi sull’Amministrazione Pubblica.

Si è aggiornato sul recente Regolamento Europeo 679/2016 in materia di protezione dei dati personali, stante le ricadute dello stesso sulle aziende, nonché sulla normativa ambientale e la gestione delle relative autorizzazioni.

Collabora da innumerevoli anni con lo Studio Legale Stefanelli&Stefanelli di Bologna principalmente in materia di diritto delle imprese e del lavoro, appalti pubblici, gestione e recupero del credito.

Nel 2019 l’avvocato Colomban ha avviato un progetto volto a creare una rete di professionisti specializzati nella consulenza e nell’assistenza alle imprese. E’ così nato il network ASSIDEO, che ha l’obiettivo di assistere i clienti nella complessità dei marcati attuali, nella difficile interpretazione delle norme nazionali e sovranazionali, nella ottimizzazione delle risorse aziendali mettendo a disposizione un team dotato di competenze multidisciplinari per la gestione degli aspetti civili, giuslavoristici, penali, ambientali e societari (www.assideo.net).

E’ autore di articoli e approfondimenti giuridici e partecipa ad incontri, convegni e focus-group di settore

https://www.ictsecuritymagazine.com/articoli/le-novita-per-la-vita-digitale-di-cittadini-e-imprese-nel-decreto-semplificazioni-parte-ii/

Le novità per la vita digitale di cittadini e imprese nel Decreto Semplificazioni – parte I

Il Decreto Legge 16 luglio 2020 n. 76 (di seguito solo Decreto Semplificazione), convertito nella Legge 11 settembre 2020, n. 120 sulla Semplificazione e Innovazione digitale, contiene importanti modifiche per imprese e cittadini[1].

Se da una parte il decreto rappresenta un segnale chiaro che l’agenda sul digitale è tornata (finalmente) tra le priorità della politica, dall’altro la maggior parte delle norme completano percorsi di trasformazione già da tempo delineati nel nostro ordinamento.

Indubbiamente la digitalizzazione dei sistemi amministrativi vuol dire sicuramente semplificazione, ma non senza un cambiamento culturale che passa attraverso l’apprendimento di nuovi linguaggi (digitali) da parte di tutti: cittadini, imprese, operatori giuridici, pubblica amministrazione. Per gli attori coinvolti, quindi si tratta di novità importanti che vanno assimilate e digerite. Ne consegue che le scadenze così stringenti indicate dal Decreto Semplificazione potrebbero essere un po’ ottimistiche rispetto alla reale attuazione e magari subire qualche aggiustamento in sede di conversione.

Ma procediamo con ordine.
In questa sede ci soffermeremo sugli aspetti di maggiore novità per cittadini e imprese nel rapporto con la Pubblica amministrazione.
In particolare, esamineremo le novità che il Decreto semplificazioni apporta al Codice della Amministrazione Digitale (CAD)[2].

Ma non è certamente da oggi che si parla di cittadinanza digitale, di diritti all’identità e al domicilio digitale, di fruizione di servizi pubblici on-line e mobile oriented. Infatti, è almeno dalla riforma del 2016-2017 che la normativa si è prefissata l’obiettivo di rafforzare l’applicabilità dei diritti di cittadinanza digitale promuovendo l’innalzamento del livello di qualità dei servizi pubblici e fiduciari in digitale, istituendo in relazione a questi ultimi, da un lato, presso l’AgID, l’Ufficio del Difensore civico per il digitale[3], dall’altro aumentando la misura delle sanzioni irrogabili nel caso di violazione delle norme da parte dei servizi fiduciari stessi[4].

In questo quadro si inseriscono le nuove disposizioni che mirano a fornire un’identità digitale ai cittadini, i quali – consapevolmente o meno – ne hanno già oggi di plurime, seppure in differenti contesti (si pensi ad esempio al social più famoso – Facebook – così come quelle presso i fornitori di servizi, es. Amazon, e così via). L’intento della normativa, così come integrata dal Decreto Semplificazioni, è creare una interlocuzione semplificata (o meglio accelerata) tra cittadino/soggetto privato e Pubblica Amministrazione, fornendo all’utente una identità e un domicilio digitale dove poter essere raggiunto sempre, comunque e per qualsivoglia comunicazione.

Identità e domicilio digitale: accesso ai servizi della PA

Il Codice della Amministrazione Digitale prevede una specifica sezione intitolata “Carta della cittadinanza digitale”. Precedentemente alla riforma del 2017 la rubrica era intitolata semplicemente “Diritti dei cittadini e delle imprese”. La specifica sezione del CAD, dunque, precisa che chiunque ha diritto di usare, in modo accessibile ed efficace, le soluzioni e gli strumenti previsti dal Codice anche ai fini dell’esercizio dei diritti di accesso e della partecipazione al procedimento amministrativo.
Prosegue poi il CAD, all’articolo 3-bis, sancendo inoltre che chiunque ha diritto ad accedere ai servizi on-line offerti dalle pubbliche amministrazioni, dai gestori di servizi pubblici, dalle società a controllo pubblico, etc. anche attraverso (e qui interviene la modifica ad opera del Decreto Semplificazioni) il punto di accesso telematico di cui all’articolo 64-bis del medesimo CAD.
Occorre dunque capire quali saranno le modalità di accesso alla Pubblica Amministrazione da parte degli utenti e dei cittadini alla luce del CAD e delle integrazioni apportate dal DL Semplificazioni.

Il DL Semplificazioni, sinteticamente, estende la possibilità per i cittadini di fruire dei servizi attraverso la propria identità digitale, ampliandola a quelli erogati dai concessionari di pubblici servizi e dalle società a controllo pubblico.
La questione “punto di accesso telematico” è degna di nota in quanto, nell’ottica della famosa accelerazione di cui si parlava, entro il 28 febbraio 2021 le Pubbliche Amministrazioni dovranno rendere fruibili i propri servizi in rete su applicazioni mobili, anche attraverso la AppIO.
La AppIO è un’applicazione che permette di interagire facilmente con diverse Pubbliche Amministrazioni, locali o nazionali, raccogliendo tutti i loro servizi, comunicazioni, pagamenti e documenti, il tutto, appunto, in un’unica app[5].

Le modifiche apportate al CAD dal Decreto Semplificazioni hanno quindi il merito di rafforzare gli strumenti necessari a portare a compimento il percorso di accesso ai servizi on-line in ambito pubblico.
La AppIO è, dunque, solo uno degli strumenti per poter interloquire, e promuovere istanza, in maniera più rapida con la Pubblica Amministrazione.

In un prossimo futuro sarà usuale parlare anche di Carta di Identità Elettronica (CIE) e di Carta Nazionale dei Servizi (CNS), oppure di Sistema Pubblico di Identità Digitale (SPID) – quest’ultimo quale modalità di accesso (già in vigore per la verità) ai servizi online della Pubblica Amministrazione per il tramite di propria Identità Digitale (username e password) utilizzabile da computer, tablet e smartphone – oppure di recapito digitale (e PEC), di Domicilio Digitale, etc.
A tal proposito l’articolo 24, comma 4 del DL Semplificazioni prevede il divieto per la P.A., a partire dal febbraio 2021, di rilasciare credenziali per l’accesso, se diverse da SPID, CIE, CNS (Carta Nazionale dei Servizi), fermo restando che ogni futura interlocuzione dovrà utilizzare gli strumenti messi a diposizione ma dovrà altresì necessariamente ogni utente possedere una identità digitale e/o domicilio digitale.

Parlando allora di Carta di Identità Elettronica quale strumento anch’esso che sarà necessario per interloquire con la P.A., essa rappresenta proprio un sistema di identità digitale. Può (e potrà) essere uno strumento di accesso ai servizi alternativo a SPID. In un futuro prossimo le Pubbliche Amministrazioni utilizzeranno esclusivamente le identità digitali e la carta di identità elettronica ai fini dell’identificazione dei cittadini, imprese e professionisti che accederanno ai servizi on-line.
Potrà quindi essere utilizzata per accedere ai servizi in rete non solo italiani, ma di tutte le pubbliche amministrazioni dell’Unione europea, tenendo conto che gli altri Stati membri hanno (avrebbero) già l’obbligo di far accedere ai propri servizi in rete i cittadini dotati di SPID, mentre a partire dal 13 settembre 2020 diverrà obbligatorio consentire l’accesso anche con la CIE.
Pertanto, anche e soprattutto, per interloquire più velocemente ed efficacemente con la Pubblica Amministrazione, l’identità digitale diverrà fondamentale.

Una volta ottenuta, quindi, l’identità (digitale) si avrà necessità di un vero e proprio spazio digitale presso il quale poter essere rintracciati. In altri termini, un domicilio digitale. Il Decreto Semplificazione ha introdotto regole più certe per la tenuta, la gestione e l’eventuale cancellazione dei “domicili digitali” dall’elenco previsto all’articolo 6-quater del CAD[6] e si prevede che, nel caso in cui l’indirizzo PEC del cittadino non risulti più attivo, si proceda alla cancellazione d’ufficio dello stesso dall’Indice nazionale dei domicili digitali delle persone fisiche e degli altri enti di diritto privato, con le modalità fissate nelle Linee Guida adottate da AgID[7].

La finalità, già prevista nel CAD, è quella di privilegiare le comunicazioni telematiche, limitando la facoltà di cancellarsi ad libitum dall’elenco così da rendere più certo il domicilio digitale dei cittadini che ne abbiano eletto uno.

Ma si rafforzano anche le clausole di salvezza volte a tutelare il cittadino che non abbia accesso a un domicilio digitale.
La relazione illustrativa al DL Semplificazioni sottolinea come sia stata introdotta una modifica volta a stabilire le modalità con le quali potrà essere reso disponibile un domicilio digitale a coloro che non abbiano ancora provveduto a eleggerlo ovvero saranno messi a disposizione o consegnati i documenti a coloro che non abbiano accesso ad alcun domicilio digitale (articolo 3-bis del CAD). Con tale modifica si amplia l’oggetto del decreto che, al fine di superare il digital divide, definisce non solo le modalità di consegna ma anche quelle di messa a disposizione dei documenti per i soggetti che non abbiano accesso al domicilio digitale, in tal modo coordinando la norma anche con quanto previsto dalla disposizione di cui all’articolo 26 del DL Semplificazioni in materia di piattaforma notificazione digitale degli atti della pubblica amministrazione di cui diremo più avanti.
L’obiettivo della norma è realizzare l’Indice Nazionale dei Domicili Digitali (INAD) valevole per tutte le persone fisiche nonché per gli enti di diritto privato non tenuti a un’iscrizione presso il Registro delle Imprese o in Albi professionali.

Non può, infine, non menzionarsi l’articolo 65 del CAD (Istanze e dichiarazioni presentate alle Pubbiche Amministrazioni per via telematica), anch’esso integrato/modificato dal Decreto Semplificazioni.
Come si possono (e si potranno) promuovere istanze e dichiarazioni alla Pubblica Amministrazione alla luce delle identità digitali e domicili digitali, così come eletti dagli utenti?
Le richieste saranno valide se:

I. presentate a mezzo di documento informatico sul quale, per soddisfare il requisito della forma scritta con l’efficacia prevista dall’articolo 2702 del Codice civile[8], dovrà essere apposta una firma digitale o altro tipo di firma elettronica qualificata o una firma elettronica avanzata o, comunque, il documento dovrà essere formato, previa identificazione informatica del suo autore, attraverso un processo avente i requisiti fissati dall’AgID e con modalità tali da garantire la sicurezza, integrità e immodificabilità del documento e, in maniera manifesta e inequivoca, la sua riconducibilità all’autore. In tutti gli altri casi, l’idoneità del documento informatico a soddisfare il requisito della forma scritta e il suo valore probatorio saranno liberamente valutabili in giudizio, in relazione alle caratteristiche di sicurezza, integrità e immodificabilità. La data e l’ora di formazione del documento informatico saranno opponibili ai terzi se apposte in conformità alle Linee guida (così recita l’articolo 20 comma 1-bis del CAD);
II. oppure quando l’istante o dichiarante viene identificato attraverso SPID o attraverso la CNS;
III. oppure se le istanze o le dichiarazioni vengono inoltrate tramite il punto di accesso telematico di cui abbiamo detto sopra (art. 64-bis CAD);
IV. oppure se trasmesse dal proprio domicilio digitale iscritto in apposito elenco ovvero, in assenza di un domicilio digitale iscritto, da un semplice indirizzo elettronico eletto presso un servizio di posta elettronica certificata o un servizio elettronico di recapito certificato qualificato, come definito dal regolamento eIDAS[9]. In quest’ultimo caso la semplice trasmissione, in assenza quindi di un domicilio digitale iscritto in elenco, costituisce essa stessa elezione di domicilio digitale.

L’obiettivo che la normativa vuole portare a compimento è chiaro: spostare le comunicazioni da un piano analogico (casella di posta cartacea) a uno digitale, previa identificazione dell’interlocutore (cittadino/impresa).

Note

[1] Il presente articolo è stato redatto prima della conversione in Legge del Decreto Semplificazione, tuttavia i contenuti restano validi.

[2]Il Codice della Amministrazione digitale è stato istituito nel 2005 e poi successivamente modificato e integrato prima con il Decreto Legislativo 22 agosto 2016 n. 179 e poi con il Decreto Legislativo 13 dicembre 2017 n. 217.

[3] Il Difensore civico per il digitale è una figura prevista dal Codice dell’amministrazione digitale a garanzia dei diritti digitali di cittadini e imprese.
In particolare, si rinvia a: https://www.agid.gov.it/it/agenzia/difensore-civico-il-digitale per il dettaglio delle attività e delle modalità di funzionamento del difensore civico.

[4] Con il termine servizio fiduciario si indica un insieme di servizi elettronici, generalmente forniti a pagamento. In particolare, si rinvia a https://www.agid.gov.it/it/piattaforme/eidas/servizi-fiduciari.

[5] https://io.italia.it/

[6] Art. 6-quater – Indice nazionale dei domicili digitali delle persone fisiche, dei professionisti e degli altri enti di diritto privato, non tenuti all’iscrizione in albi, elenchi o registri professionali o nel registro delle imprese.

È istituito il pubblico elenco dei domicili digitali delle persone fisiche, dei professionisti e degli altri enti di diritto privato non tenuti all’iscrizione nell’indice di cui all’articolo 6-bis, nel quale sono indicati i domicili eletti ai sensi dell’articolo 3-bis, comma 1-bis. La realizzazione e la gestione del presente Indice sono affidate all’AgID, che vi provvede avvalendosi delle strutture informatiche delle Camere di commercio già deputate alla gestione dell’elenco di cui all’articolo 6-bis. È fatta salva la facoltà del professionista, non iscritto in albi, registri o elenchi professionali di cui all’articolo 6-bis, di eleggere presso il presente Indice un domicilio digitale professionale e un domicilio digitale personale diverso dal primo.
Per i professionisti iscritti in albi ed elenchi il domicilio digitale è l’indirizzo inserito nell’elenco di cui all’articolo 6-bis, fermo restando il diritto di eleggerne uno diverso ai sensi dell’articolo 3-bis, comma 1-bis. Ai fini dell’inserimento dei domicili dei professionisti nel predetto elenco il Ministero dello sviluppo economico rende disponibili all’AgID, tramite servizi informatici individuati nelle Linee guida, i relativi indirizzi già contenuti nell’elenco di cui all’articolo 6-bis.
Al completamento dell’ANPR di cui all’articolo 62, AgID provvede al trasferimento dei domicili digitali delle persone fisiche contenuti nell’elenco di cui al presente articolo nell’ANPR.

[7] In questo senso, le Linee guida già previste, oltre ad indicare le modalità per comunicare la modifica o la variazione del domicilio digitale, definiscono le modalità di gestione e di aggiornamento dell’elenco dei domicili delle persone fisiche e degli enti di diritto privato (di cui all’art. 6-quater CAD), in conformità anche con le previsioni contenute nei commi 3-bis e 4-bis dell’articolo 3-bis del CAD, nei casi di decesso del titolare del domicilio digitale o di impossibilità sopravvenuta di avvalersi del domicilio (fonte: relazione illustrativa DL Semplificazioni).

[8] Articolo 2702 Codice civile: “La scrittura privata fa piena prova, fino a querela di falso, della provenienza delle dichiarazioni da chi l’ha sottoscritta, se colui contro il quale la scrittura è prodotta ne riconosce la sottoscrizione, ovvero se questa è legalmente considerata come riconosciuta”. L’accertamento dell’autenticità delle firme, principalmente in relazione al riconoscimento espresso o tacito di colui contro il quale il documento è prodotto, fa piena prova della paternità dell’atto.

[9] Il Regolamento europeo 910/2014 noto anche come eIDAS ha introdotto il servizio elettronico di recapito certificato (Serc) come un “servizio che consente la trasmissione di dati fra terzi per via elettronica e fornisce prove relative al trattamento dei dati trasmessi, fra cui prove dell’avvenuto invio e dell’avvenuta ricezione dei dati, e protegge i dati trasmessi dal rischio di perdita, furto danni o di modifiche non autorizzate”. Rispetto alla nostra PEC, il servizio europeo richiede la garanzia dell’identificazione del destinatario prima della trasmissione dei dati e anche un elevato livello di sicurezza per l’identificazione del mittente. Per il resto PEC e SERC soddisfano i principi richiesti, tecnologicamente neutri, di data e ora dell’invio e ricezione e di integrità della trasmissione (fonte: https://www.agendadigitale.eu/cittadinanza-digitale/servizio-elettronico-recapito-certificato-cose-perche-pensionare-la-pec/).