L’attenzione su eIDAS 2, il nuovo Regolamento europeo su electronic IDentification Authentication and Signature (che aggiornerà il precedente Regolamento UE n° 910/2014) è molto catalizzata sul tema del digital identity wallet e sulle evoluzioni in genere legate ai servizi fiduciari.
Tuttavia, le bozze di eIDAS 2, che al momento sono nella fase di negoziato interistituzionale tra Commissione, Parlamento e Consiglio Europeo (il Trilogue), contengono molte altre novità importanti, tra cui una che avrà grande impatto sul mercato italiano ed europeo: l’evoluzione dell’e-archiving.
Nel Regolamento eIDAS attualmente vigente, il concetto di e-archiving praticamente non esiste: si parla solamente di Qualified preservation service for qualified electronic signatures (art. 34), cioè di un servizio fiduciario qualificato capace di estendere l’affidabilità delle firme qualificate oltre la loro validità tecnologica, superandone cioè l’obsolescenza. È un servizio con una forte connotazione tecnologica e crittografica, che a ben vedere non ha avuto un grande ritorno di mercato, con 19 QTSP nella Trust List europea, concentrati principalmente nei Paesi dell’Est Europa. eIDAS 2 affianca finalmente a questo servizio di signature preservation, un servizio di electronic archiving, con due definizioni leggermente diverse tra loro nelle due varianti in discussione all’European Council e all’European Parliament, ma fondamentalmente molto diverse rispetto alla precedente versione del Regolamento.
Le nuove definizioni dell’eArchiving
L’eArchiving è definito, nella bozza dell’European Council, come un servizio che garantisce la ricezione, la conservazione, il recupero e la cancellazione dei dati elettronici, al fine di garantirne la durata e la leggibilità, nonché di preservarne l’integrità, la riservatezza e la prova dell’origine, per tutto il periodo di conservazione. Parallelamente la bozza di definizione dell’European Parliament che lo definisce un servizio che garantisce la conservazione di dati o documenti elettronici, al fine di garantirne l’integrità, l’accuratezza dell’origine e le caratteristiche legali, per tutto il periodo di conservazione. Si supera, quindi, il mero concetto di estensione della validità delle firme, affiancandovi un perimetro molto più vicino a quello che in Italia abbiamo come “conservazione a norma”, legato alla leggibilità, all’integrità, all’affidabilità, all’autenticità del documento informatico, inteso come la rappresentazione informatica di atti, fatti o dati giuridicamente rilevanti.
Il Glossario (Allegato 1) delle Linee Guida AgID sulla formazione, gestione e conservazione dei documenti informatici (pienamente applicabili dallo scorso anno) definisce la ‘conservazione’ come ‘l’insieme delle attività finalizzate a definire ed attuare le politiche complessive del sistema di conservazione e a governarne la gestione in relazione al modello organizzativo adottato, garantendo nel tempo le caratteristiche di autenticità, integrità, leggibilità, reperibilità dei documenti’.
Sarà interessante poi vedere se prevarrà la versione del Parlamento, che parla di preservation e di documents oltre che di data, o la versione del Consiglio, che con più sfumature introduce le attività di “ricezione, archiviazione, recupero, cancellazione”’ e aggiunge nella definizione anche la “confidenzialità”.
Gli effetti legali dell’eArchiving
Oltre alle definizioni, anche una parte dell’art. 45 è dedicato all’e-archiving, e in particolar modo ai suoi effetti legali:
- i dati elettronici archiviati mediante un servizio di e-archiving non possono essere negati come elementi di prova nei procedimenti giudiziari solo per il fatto che sono in forma elettronica o che non sono conservati utilizzando un servizio qualificato di e-archiving;
- i dati elettronici conservati mediante un servizio qualificato di e-archiving godono della presunzione di integrità e di origine per la durata del periodo di conservazione da parte del Qualified Trust Service Provider;
- un servizio qualificato di e-archiving in uno Stato membro è riconosciuto come servizio qualificato di e-archiving in qualsiasi altro Stato membro.
(bozza dell’European Council)
- l’effetto giuridico e l’ammissibilità dei dati e dei documenti archiviati utilizzando un servizio di e-archiving come prove legali non possono essere rifiutati per il solo motivo che il servizio è in forma elettronica o non soddisfa i requisiti di un servizio di e-archiving;
- i dati e i documenti archiviati mediante un servizio di e-archiving qualificato beneficiano di una presunzione relativa all’integrità dei dati e dei documenti archiviati, alla loro disponibilità, alla loro tracciabilità, alla loro accuratezza e origine, nonché all’identificazione degli utenti.
(bozza dell’European Parliament)
Il nuovo scenario competitivo
Questo introduce un mutuo riconoscimento tra gli Stati membri, facendo così per i servizi di conservazione quello che il primo eIDAS ha fatto per le firme qualificate: l’azzeramento delle barriere tra Paesi e un unico singolo mercato europeo comune a tutti.
È un cambiamento rilevante dello scenario competitivo che, come sempre, porta con sé rischi ma anche grandi opportunità per il Sistema Paese: l’Italia è da sempre all’avanguardia nella scienza archivistica digitale, anche nella sua implementazione concreta, a supporto dei processi di trasformazione digitale di PPAA e imprese. Questa posizione può consentire la costruzione di campioni nazionali che possano esportare in altri Paesi l’eccellenza archivistica italiana. Al contempo, il digital single market crea un abbassamento delle barriere all’ingresso, consentendo l’arrivo sul mercato domestico di Provider stranieri, aumentando il già elevato tasso di competitività sul mercato dell’archiviazione e della conservazione digitale.
L’art. 45 delle bozze di Regolamento presenta una prima lista di requisiti che il Qualified Trust Service Provider deve possedere per erogare il servizio di qualified archiving. I servizi qualificati di e-archiving dovrebbero soddisfare i seguenti requisiti:
- sono forniti da Qualified Trust Service Provider;
- utilizzano procedure e tecnologie in grado di estendere la durata e la leggibilità dei dati elettronici oltre il periodo di validità tecnologica, e almeno per tutto il periodo di conservazione a norma o contrattuale, mantenendo la loro integrità e la loro origine;
- garantiscono che i dati elettronici siano conservati in modo tale da essere protetti contro la perdita e l’alterazione, ad eccezione delle modifiche del loro supporto o del formato;
- consentono ai soggetti affidatari autorizzati di ricevere automaticamente un report che confermi che i dati recuperati da un qualified electronic archive godono della presunzione dell’integrità, dall’inizio del periodo di conservazione, fino al momento del recupero. Tale report è fornito in modo affidabile ed efficiente, e reca la firma elettronica qualificata o il sigillo elettronico qualificato del provider del qualified electronic archiving service.
(bozza dell’European Council)
- sono creati o gestiti da un Qualified Trust Service Provider;
- garantiscono l’integrità e l’accuratezza dell’origine e delle caratteristiche legali per tutto il periodo di conservazione;
- garantiscono l’esattezza della data e dell’ora del processo di archiving.
(bozza dell’European Parliament)
Questo posiziona a tutti gli effetti i servizi di conservazione tra i Qualified Trust Service, cioè tra i servizi fiduciari qualificati, al pari delle firme digitali, delle marche temporali, dei sigilli elettronici, così come era stato inizialmente intuito da AgID con i primi accreditamenti dei Conservatori, recentemente rivisti in favore di un marketplace dei servizi di conservazione.
Per quanto riguarda gli altri requisiti, la garanzia di data/ora certa dei pacchetti di archiviazione, la produzione di report, il mantenimento di integrità, reperibilità, leggibilità a lungo termine e in contrasto all’obsolescenza tecnologica: sono da anni il pane quotidiano dei Conservatori italiani, che sono in Europa tra coloro che hanno maggior esperienza nel settore, sia temporalmente (si pensi che la prima deliberazione dell’allora CNIPA sul tema risale al 2004) che come quantità di oggetti già conservati.
L’articolo 45 delle bozze del Regolamento fa infine riferimento a degli implementing acts per stabilire specifiche tecniche e standard di riferimento, attesi presumibilmente per la fine del 2024, su cui non c’è ancora visibilità, ma che ci si aspetta siano collegati ai lavori del CEN/TC 468/WG 1 – General concepts for preservation of digital information.
Italia all’avanguardia: un’opportunità da cogliere
Così come è stato fatto per altri servizi qualificati nel primo eIDAS, la grande esperienza italiana può risultare ancora una volta di fondamentale importanza in questi momenti decisivi di dialogo e stesura tecnica. Non dobbiamo solo farci trovare pronti, ma abbiamo la possibilità per esperienza e competenza di guidare le decisioni tecniche e conseguentemente il futuro di questi servizi.
Riuscire ad agire maggiormente compatti e coordinati come sistema Paese nelle interazioni con gli organi regolatori europei e con i partner industriali esteri potrebbe valorizzare gli elementi oggettivi che ci vedono leader in questo segmento del digital trust, ma sono noti solo a pochi, e aprire opportunità ulteriori per tante realtà produttive italiane. In questo contesto si colloca anche la reason why di Assoconservatori Assintel, che crea le condizioni per valorizzare la community di aziende della conservazione italiana.
