Cosa accade in caso di trasferimento del servizio di conservazione documentale? Quali sono i potenziali rischi legati alla custodia del proprio patrimonio informativo?
Secondo quanto previsto dal Codice per l’Amministrazione Digitale (Cad), dovrebbe essere adottato un preciso “piano”, nel quale prevedere e standardizzare tutti gli eventi legati alla fase di cessazione del servizio e migrazione a un altro fornitore.
In attuazione di quanto previsto dal CAD, l’Agenzia per l’Italia Digitale ha stilato la bozza di “Linee guida per la stesura del piano di cessazione del servizio di conservazione”.
Le novità
Lo schema individua le regole tecniche e di indirizzo che il “conservatore” di documenti informatici deve seguire per stilare correttamente un piano di migrazione del patrimonio informativo, dovuto sia all’eventualità della cessazione del servizio che di ritiro dell’accreditamento da parte di AgID all’operatore che lo fornisce. Nel predisporre tale piano, il conservatore deve tenere conto di molteplici variabili e fattori di rischio, tra cui il grado di interoperabilità nei processi di migrazione, l’affidabilità dell’impianto tecnologico, i livelli di aggiornamento e di sicurezza fisica e logica.
Le richieste del Garante
Il Garante ha espresso il proprio parere sulla bozza, chiedendo ad AgID alcune integrazioni sullo schema in modo da assicurare specifiche tutele per i dati personali trattati in linea con il GDPR.
Importante anche l’ulteriore integrazione della “analisi dei rischi”, considerando quelli connessi al trattamento dei dati personali, specie se appartenenti a categorie particolari. Anche la parte relativa alle misure di sicurezza per il “trasferimento degli archivi di conservazione”, dovrà essere opportunamente integrata per garantire riservatezza, integrità e disponibilità dei dati contenuti nei documenti.
Il Garante precisa, inoltre, l’importanza dell’indicazione delle tempistiche. Nel piano predisposto, il conservatore cessante dovrà infine indicare per quanto tempo sarà garantita l’accessibilità dei documenti, e definire modalità sicure per la “cancellazione degli archivi di conservazione”.
Le ultime integrazioni richieste dell’Autorità, se applicate, garantiranno a pubbliche amministrazioni e imprese una digitalizzazione in perfetto equilibrio con le esigenze dettate dalla protezione dei dati, riducendo i rischi per i diritti e le libertà degli interessati.
Conclusioni
L’associazione ANORC lavora da tempo per presidiare l’attenzione per il rispetto delle norme sulla protezione dei dati personali anche nei sistemi di conservazione di documenti informatici.
Proprio su tali temi, c’è un dialogo aperto con l’Autorità Garante, anche in merito all’adozione di Regole deontologiche per il trattamento di dati personali nell’ambito di sistemi di conservazione, destinate a tutti i soggetti, pubblici e privati, che implementino o gestiscano, per sé o per terzi, sistemi di conservazione di dati, informazioni e documenti digitali e quindi trattino i dati personali in relazione a tali servizi di conservazione.
Il parere dell’Autorità Garante evidenzia ancora una volta che in ogni fase di gestione di dati, informazioni o documenti informatici sia necessario valutare gli aspetti relativi al corretto trattamento dei dati personali, in conformità al GDPR e al D.Lgs. n. 196/2003. Nello specifico, per quanto attiene ai sistemi di conservazione, si dovranno adottare, ai sensi dell’art. 32 del GDPR, misure tecniche e organizzative adeguate a garantire la protezione dei dati personali contenuti nei documenti oggetto di conservazione. In tal senso, l’Autorità Garante ha sottolineato che nella programmazione delle attività relative alla cessazione del servizio di conservazione venga coinvolto anche il DPO.
