Source: http://docplayer.it/1444794-Documenti-informatici-e-firme-elettroniche.html
Timestamp: 2018-03-18 02:32:44+00:00

Document:
Documenti informatici e firme elettroniche: - PDF
Download "Documenti informatici e firme elettroniche:"
Geraldo Torre
1 Documenti informatici e firme elettroniche: Ma chi li conserva? Avv. Andrea Lisi Presidente ANORC Coordinatore Digital&Law Department
2 Oggi gestire correttamente i propri documenti e le proprie informazioni rilevanti significa adottare modelli e metodologie a norma finalizzati a garantire l attribuibilità, l integrità, l autenticità, la sicurezza, la corretta archiviazione e la conservazione nel tempo al proprio patrimonio di dati digitali
3 Autenticazione : - PEC - VPN e SPC - EDI - Aree Riservate Firma Digitale: - Autenticità - Integrità - Conservazione - Sicurezza - ing Il Responsabile della Conservazione È il custode dell autenticità del documento privo di peso
5 La scommessa del futuro digitale è: Garantire: -La (ragionevolmente) certa paternità -La corretta trasmissibilità e gestione -L idonea archiviazione e conservazione quindi, la sopravvivenza nel tempo a tutti i dati digitali che abbiano un rilievo giuridico attraverso avanzate tecniche di sicurezza informatica
6 Lo scopo della Normativa (dovrebbe essere...) Garantire al Documento Informatico Amministrativo, Contabile e Fiscale: - La paternità (Firma Digitale o altri sistemi di identificazione) - L integrità (Firma Digitale) - La trasmissibilità informatica (PEC o EDI o altro) - la corretta gestione (archiviazione elettronica) - La memorizzazione digitale nel tempo (Firma Digitale, Marca Temporale e Procedure di Sicurezza) attraverso una complessa procedura di conservazione N.B.: Duplice funzione della firma digitale
7 Il documento informatico è valido e rilevante, ma non è carta informatica e non garantisce sempre la forma scritta : «documento digitale»: testi, immagini, dati strutturati, disegni, programmi, filmati formati tramite una grandezza fisica che assume valori binari, ottenuti attraverso un processo di elaborazione elettronica, di cui sia identificabile l'origine - art. 1 lett. d) DMEF 23 gennaio Modalita' di assolvimento degli obblighi fiscali relativi ai documenti informatici ed alla loro riproduzione in diversi tipi di suppporto) documento informatico: rappresentazione informatica di atti, fatti, dati Documento informatico non è solo un.pdf o comunque un immagine digitalizzata di un foglio di carta, ma è qualsiasi dato digitale giuridicamente rilevante e strategico per l impresa o la PA: un tracciato EDI, un log file generato da una transazione commerciale su un sito web, una comunicazione , un analisi di dati di navigazione, un filmato digitale etc. giuridicamente rilevanti (C.A.D., art. 1, comma 1, lett.p) documento informatico penalmente rilevante - art. 491 bis c.p. ( ) per documento informatico si intende qualunque supporto informatico contenente dati o informazioni aventi efficacia probatoria o programmi specificamente destinati ad elaborarli (L. 48/2008). Documento amministrativo informatico - Rappresentazione, comunque formata (grafica, cinematografica, informatica, etc.), del contenuto di atti, anche interni o non relativi ad uno specifico procedimento, detenuti da una pubblica amministrazione e concernenti attività di pubblico interesse, indipendentemente dalla natura pubblicistica o privatistica della loro disciplina sostanziale - Legge 7 agosto 1990, n Art. 22, comma 2, così come modificato dalla legge 11 febbraio 2005, n. 15)
8 Definizione di dato personale Decreto legislativo 30 giugno 2003, n. 196 CODICE IN MATERIA DI PROTEZIONE DEI DATI PERSONALI (Pubblicato sulla GU n.174 del Suppl. Ordinario n.123) Art. 4 comma 1 lett. b) dato personale", qualunque informazione relativa a persona fisica, persona giuridica, ente od associazione, identificati o identificabili, anche indirettamente, mediante riferimento a qualsiasi altra informazione, ivi compreso un numero di identificazione personale;
11 I concetti fondamentali e le domande che meritano risposte per garantire un identità certa ai cittadini della Società dell informazione (e per gestire archivi che garantiscano la pubblica fede ) - Chi sono nella Società dell Informazione? - Chi ha firmato nella Società dell Informazione? - Come gestisco informazioni certe e immutabili nella Società dell Informazione? - Come archivio nel tempo i documenti nella Società dell Informazione? - Come garantisco l autenticità dei documenti informatici nel tempo? - Sono in grado di esibire a un giudice una prova informatica incontrovertibile? Oppure stiamo ancora al galoppo di mouse non sicuri nel WWW?
12 La legge attualmente in vigore e le sue definizioni Il Codice per la protezione dei dati personali (art. 4) c) "autenticazione informatica", l'insieme degli strumenti elettronici e delle procedure L identità per la verifica anche indiretta dell'identità; d) 2. "credenziali Le di autenticazione", consistono i dati in ed un i codice per l'identificazione dell'incaricato dispositivi, associato a in una possesso parola chiave di una riservata persona, conosciuta da solamente Provvedimento dal medesimo oppure Garante in un dispositivo Privacy - questa di autenticazione conosciuti in o possesso ad essa e univocamente uso esclusivo dell'incaricato, 27 eventualmente Novembre associato a Misure un codice e correlati, identificativo utilizzati o a una per parola l'autenticazione chiave, oppure in una caratteristica accorgimenti, biometrica dell'incaricato, prescritti ai titolari dei eventualmente associata a un codice identificativo o a una parola chiave (allegato B). informatica; e) "parola chiave", componente di una credenziale di autenticazione associata ad una persona ed a questa nota, costituita da una sequenza di caratteri o altri dati in forma elettronica; f) "profilo di autorizzazione", l'insieme delle informazioni, univocamente associate ad una persona, che consente di individuare a quali dati essa può accedere, nonché i trattamenti ad essa consentiti; g) "sistema di autorizzazione", l'insieme degli strumenti e delle procedure che abilitano l'accesso ai dati e alle modalità di trattamento degli stessi, in funzione del profilo di autorizzazione del richiedente. trattamenti effettuati con strumenti elettronici relativamente alle attribuzioni delle funzioni di amministratore di sistema (in vigore dal 15 dicembre 2009) La stabilizzazione dei log file Provvedimento - 12 maggio Prescrizioni in materia di circolazione delle informazioni in ambito bancario e di tracciamento delle operazioni bancarie e la prova informatica di un determinato comportamento
13 La legge attualmente in vigore e le sue definizioni Il Codice della amministrazione digitale (art. 1) Firma elettronica (lett. q) - L insieme dei dati in forma elettronica, allegati oppure connessi tramite associazione logica ad altri dati elettronici, utilizzati come metodo di identificazione informatica Firma elettronica avanzata (lett. q-bis) - Insieme di dati in forma elettronica allegati oppure connessi a un documento informatico che consentono l identificazione del firmatario del documento e garantiscono la connessione univoca al firmatario, creati con mezzi sui quali il firmatario può conservare un controllo esclusivo, collegati ai dati ai quali detta firma si riferisce in modo da consentire di rilevare se i dati stessi siano stati successivamente modificati Firma elettronica qualificata (lett. r) - Un particolare tipo di firma elettronica avanzata che sia basata su un certificato qualificato e realizzata mediante un dispositivo sicuro per la creazione della firma Firma digitale (lett. s) - Un particolare tipo di firma elettronica avanzata basata su un certificato qualificato e su un sistema di chiavi crittografiche, una pubblica e una privata, correlate tra loro, che consente al titolare tramite la chiave privata e al destinatario tramite la chiave pubblica, rispettivamente, di rendere manifesta e di verificare la provenienza e l integrità di un documento informatico o di un insieme di documenti informatici L imputabilità giuridica Il caos nelle PA: -DPCM 6 maggio 2009: la PEC è sottoscrizione - art. 65 del CAD invio delle istanze via PEC la firma non è sempre sottoscrizione del documento
14 La legge attualmente in vigore e le sue definizioni Il Codice della amministrazione digitale (artt. 20, 21) 1-bis. L'idoneità del documento informatico a soddisfare il requisito della forma scritta e il suo valore probatorio sono liberamente valutabili in giudizio, tenuto conto delle sue caratteristiche oggettive di qualità, sicurezza, integrità ed immodificabilità, fermo restando quanto disposto dall articolo Il documento informatico, cui è apposta una firma elettronica, sul piano probatorio è liberamente valutabile in giudizio, tenuto conto delle sue caratteristiche oggettive di qualità, sicurezza, integrità e immodificabilità. 2. Il documento informatico sottoscritto con firma elettronica avanzata, qualificata o digitale, formato nel rispetto delle regole tecniche di cui all'articolo 20, comma 3, che garantiscano l'identificabilità dell'autore, l'integrità e l'immodificabilità del documento, ha l'efficacia prevista dall'articolo 2702 del codice civile. L'utilizzo del dispositivo di firma si presume riconducibile al titolare, salvo che questi dia prova contraria. 2-bis). Salvo quanto previsto dall articolo 25, le scritture private di cui all articolo 1350, primo comma, numeri da 1 a 12, del codice civile, se fatte con documento informatico, sono sottoscritte, a pena di nullità, con firma elettronica qualificata o con firma digitale. I formati documentali Il caos nelle PA: -I procedimenti interni (art. 23 ter comma 2 e art. 34 comma 2) - le regole tecniche per la firma elettronica avanzata - le regole tecniche per la conservazione la firma che non firma
15 FIRMA DIGITALE valore formale e probatorio predefinito per legge difficilmente disconoscibile equivale alla sottoscrizione cartacea associata alla marca temporale conferisce al documento certezza giuridica E la firma elettronica avanzata? FIRMA ELETTRONICA è genus indefinito La sua valenza formale e probatoria è relativa può essere facilmente disconoscibile garantisce la paternità, non sempre l autenticità
16 La firma elettronica avanzata Le nuove regole Tecniche La Firma Elettronica Avanzata, non è un determinato software, né una determinata tecnologia, ma è un sistema neutro, sicuro e affidabile che garantisca l appartenenza di un documento informatico reso immodificabile ad un soggetto Art. 56 Caratteristiche delle soluzioni di firma elettronica avanzata 1. Le soluzioni di firma elettronica avanzata devono garantire: a) l identificazione del firmatario del documento; b) la connessione univoca della firma al firmatario; c) il controllo esclusivo del firmatario del sistema di generazione della firma, ivi inclusi i dati biometrici eventualmente utilizzati per la generazione della firma; d) la possibilità di verificare che l oggetto della sottoscrizione non abbia subito modifiche dopo l apposizione della firma; e) la possibilità per il firmatario di ottenere evidenza di quanto sottoscritto; f) l individuazione del soggetto di cui all art. 55, comma 2, lettera a); g) l assenza di qualunque elemento nell oggetto della sottoscrizione atto a modificarne gli atti, fatti o dati nello stesso rappresentati. La sua valenza formale e probatoria dipende dal sistema che si sviluppa E ricordiamoci sempre: Articolo 1352 c.c. Se le parti hanno convenuto per iscritto di adottare una determinata forma per la futura conclusione di un contratto, si presume che la forma sia stata voluta per la validità di questo Esempio di firma elettronica avanzata: strong authentication + sistema sicuro di transazione + sistema di conservazione dei log
17 La firma elettronica avanzata - Le nuove regole Tecniche Art Obblighi per i soggetti che erogano per proprio conto soluzioni di firma elettronica avanzata 1. I soggetti di cui all art. 55, comma 2, lettera a) devono: a) identificare in modo certo l utente, informarlo in merito agli esatti termini e condizioni relative all'uso del servizio, compresa ogni eventuale limitazione dell'uso, subordinare l attivazione del servizio alla sottoscrizione di una dichiarazione di accettazione delle condizioni del servizio da parte dell utente; b) conservare per almeno venti anni la dichiarazione di cui al punto a) ed ogni altra informazione atta a dimostrare l ottemperanza a quanto previsto all art. 56, comma 1, garantendone la disponibilità, integrità, leggibilità e autenticità; c) fornire liberamente e gratuitamente copia della dichiarazione e le informazioni di cui alla lettera b) al firmatario, su richiesta di questo; d) rendere note le modalità con cui effettuare la richiesta di cui al punto c), pubblicandole anche sul proprio sito internet; e) rendere note le caratteristiche del sistema realizzato atte a garantire quanto prescritto dall art. 56, comma 1, specificando le caratteristiche delle tecnologie utilizzate e come queste consentono di ottemperare a quanto prescritto, pubblicandole anche sul proprio sito internet; f) consentire l uso della firma elettronica qualificata e della firma digitale, ove applicabile, in alternativa alla firma elettronica avanzata per i procedimenti per i quali è previsto l uso della firma elettronica avanzata; g) assicurare la disponibilità di un servizio di revoca relativo alla firma elettronica avanzata, ove applicabile, e un servizio di assistenza. + copertura danni sino a (copertura assicurativa) e pubblicazione su sito web del sistema di copertura Limiti d uso: La firma elettronica avanzata realizzata in conformità con le disposizioni delle presenti regole tecniche, è utilizzabile limitatamente ai rapporti giuridici intercorrenti tra il sottoscrittore e il soggetto di cui all art. 55, comma 2, lettera a) (art. 60 Regole Tecniche) Non è prevista alcuna autorizzazione preventiva Le domande: so quello che firmo? - Come associo la firma al documento? - cosa conservo? E chi conserva? - rilascio ricevute certe su ciò che si è firmato? Etc.
18 La firma biometrica La prima firma biometrica è la sottoscrizione cartacea! Il termine riconoscimento biometrico fa riferimento all identificazione o alla verifica automatica dell identità attraverso strumenti di valutazione di caratteristiche fisiche o comportamentali (Linee Guida CNIPA 2004) Acquisizione sul documento dell immagine della sottoscrizione di un soggetto Acquisizione evoluta sul documento di vari dati comportamentali di chi firma (può richiedere la necessità di interpello ai sensi dell art. 17 Codice privacy e la sua valenza probatoria può essere robusta) Acquisizione biometrica come credenziale forte di autenticazione (può richiedere la necessità di interpello ai sensi dell art. 17 Codice privacy e può servire per sbloccare in remoto certificati di firma digitale) Se non è verificabile il comportamento di chi firma, non è biometria e non crea problemi tecnici e di privacy, ma ha scarso valore giuridico È la versione elettronica della sottoscrizione cartacea. Può essere di volta in volta verificabile la sua autenticità e non c è centralizzazione di dati biometrici Può servire a garantire un accesso riservato di transazione, ma anche come modello di sottoscrizione digitale e, quindi, garantire un accesso in remoto al proprio certificato di firma custodito da un HSM
19 Definizione di formazione di documento informatico Bozza Regole tecniche del documento informatico e gestione documentale Versione del 05/08/2011 Art. 3 comma 1 La formazione del documento informatico comprende le attività di cui alle seguenti principali tipologie: a) redazione tramite l utilizzo di appositi strumenti software; b) acquisizione della copia per immagine su supporto informatico di un documento analogico, acquisizione della copia informatica di un documento analogico, acquisizione per via telematica o su supporto informatico; c) registrazione informatica delle informazioni risultanti da transazioni informatiche o dalla presentazione telematica di dati attraverso moduli o formulari resi disponibili all utente; d) generazione o raggruppamento anche in via automatica di un insieme di dati, provenienti da una o più basi dati anche appartenenti a più soggetti interoperanti, secondo una struttura logica predeterminata e memorizzata in forma statica. Integrità e immodificabilità?
20 Riferimento temporale/marca temporale Dematerializzazione e conservazione sostitutiva Attribuibilità e immodificabilità del documento Formazione del documento o sua riproduzione sostitutiva Conservazione documento Firme Elettroniche/ Digitali e Riferimenti Temporali su singoli documenti Archiviazione Elettronica Firma digitale + Marca Temporale sul lotto di documenti (C.A.D. e Del. CNIPA n. 11/2004) Outsourcing (art. 44 comma 1ter CAD e art. 5 Del. CNIPA) Sicurezza della conservazione Misure di sicurezza: Business Continuity, Back up, Disaster Recovery, e Restore
22 Non è solo questione di adeguamento a leggi: è in gioco il futuro delle nostre informazioni rilevanti e, per rendere sicuro questo futuro, l unico scenario possibile è garantire nell ente pubblico e nell impresa la possibilità di sviluppare una nuova forma di organizzazione e di gestione dei flussi documentali digitalizzati in modo certo e incontrovertibile! E solo un sistema di conservazione digitale a norma può consentire un futuro giuridicamente rilevante ai nostri documenti informatici!
23 ART. 43 CAD (Riproduzione e conservazione dei documenti) 1. I documenti degli archivi, le scritture contabili, la corrispondenza ed ogni atto, dato o documento di cui e prescritta la conservazione per legge o regolamento, ove riprodotti su supporti informatici sono validi e rilevanti a tutti gli effetti di legge, se la riproduzione e la conservazione nel tempo sono effettuate in modo da garantire la conformita' dei documenti agli originali, nel rispetto delle regole tecniche stabilite ai sensi dell'art. 71. La conservazione digitale non è una scelta eventuale, ma un dovere! 3. I documenti informatici, di cui è prescritta la conservazione per legge o regolamento, possono essere archiviati per le esigenze correnti anche con modalità cartacee e sono conservati in modo permanente con modalità digitali, nel rispetto delle regole tecniche stabilite ai sensi dell'art. 71.
24 Dal nuovo Codice della Amministrazione Digitale : Art. 44 (Requisiti per la conservazione dei documenti informatici) 1. Il sistema di conservazione dei documenti informatici assicura: a) l identificazione certa del soggetto che ha formato il documento e dell amministrazione o dell area organizzativa omogenea di riferimento di cui all articolo 50, comma 4, del decreto del Presidente della Repubblica 28 dicembre 2000, n. 445; b) l integrità del documento; c) la leggibilità e l agevole reperibilità dei documenti e delle informazioni identificative, inclusi i dati di registrazione e di classificazione originari; d) il rispetto delle misure di sicurezza previste dagli articoli da 31 a 36 del decreto legislativo 30 giugno 2003, n. 196, e dal disciplinare tecnico pubblicato in Allegato B a tale decreto. Chiave interpretativa per la normativa sulla conservazione sostitutiva e sulla fatturazione elettronica
25 Dal nuovo Codice della Amministrazione Digitale: Art. 44, comma 1 bis (Requisiti per la conservazione dei documenti informatici) - NEW Il sistema di conservazione è gestito da un responsabile che opera d intesa con il responsabile del trattamento dei dati personali di cui all articolo 29 del decreto legislativo 30 giugno 2003, n. 196, e, ove previsto, con il responsabile del servizio per la tenuta del protocollo informatico, della gestione dei flussi documentali e degli archivi di cui all articolo 61 del decreto del Presidente della Repubblica 28 dicembre 2000, n. 445, nella definizione e gestione delle attività di rispettiva competenza. Importante risulta la modifica all'art. 44, sollecitata anche da ANORC, con il nuovo comma 1-bis, sul sistema di conservazione dei documenti informatici che ora vede tre figure: - il responsabile della conservazione - il responsabile della privacy - il responsabile della gestione dei flussi documentali e degli archivi
26 Dal nuovo Codice della Amministrazione Digitale: Art. 44, comma 1 ter (Requisiti per la conservazione dei documenti informatici) - NEW Il responsabile della conservazione può chiedere la conservazione dei documenti informatici o la certificazione della conformità del relativo processo di conservazione a quanto stabilito dall articolo 43 e dalle regole tecniche ivi previste, nonché dal comma 1 ad altri soggetti, pubblici o privati, che offrono idonee garanzie organizzative e tecnologiche. Possibilità anche per la P.A. di affidare in outsourcing i processi di conservazione digitale e ottenere la certificazione di conformità dei relativi processi!
27 Dal nuovo Codice della Amministrazione Digitale: Art. 44 bis (Conservatori accreditati) - NEW 1. I soggetti pubblici e privati che svolgono attività di conservazione dei documenti informatici e di certificazione dei relativi processi anche per conto di terzi ed intendono conseguire il riconoscimento del possesso dei requisiti del livello più elevato, in termini di qualità e di sicurezza, chiedono l accreditamento presso DigitPA. 2. Si applicano, in quanto compatibili, gli articoli 26, 27, 29, ad eccezione del comma 3, lettera a) e I soggetti privati di cui al comma 1 sono costituiti in società di capitali con capitale sociale non inferiore a euro Vi è ora la possibilità di far accreditare presso DigitPA i propri processi di conservazione sotto il profilo della sicurezza e della qualità (nel rispetto, quindi, di una serie di misure di sicurezza che variano a seconda della tipologia del dato trattato e degli strumenti utilizzati).
28 Sicurezza informatica nella conservazione dei documenti : 51. Sicurezza dei dati. 1. Le norme di sicurezza definite nelle regole tecniche di cui all'articolo 71 garantiscono l'esattezza, la disponibilità, l'accessibilità, l'integrità e la riservatezza dei dati. 2. I documenti informatici delle pubbliche amministrazioni devono essere custoditi e controllati con modalità tali da ridurre al minimo i rischi di distruzione, perdita, accesso non autorizzato o non consentito o non conforme alle finalità della raccolta. Non c è conservazione senza sicurezza informatica
29 Nuovo CAD delega contenuta nell art. 33 L. 69/20098 Dopo l articolo 50 del decreto legislativo 7 marzo 2005, n. 82, è inserito il seguente: Art. 50-bis - (Continuità operativa) In relazione ai nuovi scenari di rischio, alla crescente complessità dell attività istituzionale caratterizzata da un intenso utilizzo della tecnologia dell informazione, le pubbliche amministrazioni predispongono i piani di emergenza in grado di assicurare la continuità delle operazioni indispensabili per il servizio e il ritorno alla normale operatività. 2. Il Ministro per la pubblica amministrazione e l innovazione assicura l omogeneità delle soluzioni di continuità operativa definite dalle diverse Amministrazioni e ne informa con cadenza almeno annuale il Parlamento. 3. A tali fini, le pubbliche amministrazioni definiscono : a) il piano di continuità operativa, che fissa gli obiettivi e i principi da perseguire, descrive le procedure per la gestione della continuità operativa, anche affidate a soggetti esterni. Il piano tiene conto delle potenziali criticità relative a risorse umane, strutturali, tecnologiche e contiene idonee misure preventive. Le amministrazioni pubbliche verificano la funzionalità del piano di continuità operativa con cadenza biennale; b) il piano di disaster recovery, che costituisce parte integrante di quello di continuità operativa di cui alla lettera a) e stabilisce le misure tecniche e organizzative per garantire il funzionamento dei centri di elaborazione dati e delle procedure informatiche rilevanti in siti alternativi a quelli di produzione. DigitPA assicura l omogeneità delle soluzioni tecniche idonee a garantire la salvaguardia dei dati e delle applicazioni informatiche, verifica annualmente il costante aggiornamento dei piani di disaster recovery delle amministrazioni interessate e ne informa annualmente il Ministro per la pubblica amministrazione e l innovazione. 4. I piani di cui al comma 3 sono adottati da ciascuna amministrazione sulla base di appositi e dettagliati studi di fattibilità tecnica; su tali studi è obbligatoriamente acquisito il parere di DigitPA.. In vigore dall aprile del 2012!
30 E chi conserverà intanto le nostre identità digitali, le informazioni e i nostri documenti informatici nelle PA?
31 Dal Codice Privacy: Chi è il responsabile? Art. 4 lett. g) "responsabile", la persona fisica, la persona giuridica, la pubblica amministrazione e qualsiasi altro ente, associazione od organismo preposti dal titolare al trattamento di dati personali Art Il responsabile e' designato dal titolare facoltativamente. 2. Se designato, il responsabile e' individuato tra soggetti che per esperienza, capacita' ed affidabilita' forniscano idonea garanzia del pieno rispetto delle vigenti disposizioni in materia di trattamento, ivi compreso il profilo relativo alla sicurezza. (scelta due diligence) 3. Ove necessario per esigenze organizzative, possono essere designati responsabili piu' soggetti, anche mediante suddivisione di compiti (organizzazione) 4. I compiti affidati al responsabile sono analiticamente specificati per iscritto dal titolare (contratto) 5. Il responsabile effettua il trattamento attenendosi alle istruzioni impartite dal titolare il quale, anche tramite verifiche periodiche, vigila sulla puntuale osservanza delle disposizioni di cui al comma 2 e delle proprie istruzioni (responsabilità) Allegato B Il titolare che adotta misure minime di sicurezza avvalendosi di soggetti esterni alla propria struttura, per provvedere alla esecuzione riceve dall'installatore una descrizione scritta dell'intervento effettuato che ne attesta la conformita' alle disposizioni del presente disciplinare tecnico.
32 i servizi in outsourcing Fatturazione Chi firma? Chi controlla? Chi è responsabile? Cliente Outsourcer L esternalizzazione di alcuni processi aziendali fortemente specializzati e complessi Servizi di conservazione con nomina quale responsabile esterno della conservazione sostitutiva Verifica e certificazione dei processi
33 Criteri di scelta di un buon responsabile: la capacità di fornire una prestazione altamente qualificata e specifica; l esperienza del fornitore nella conservazione sostitutiva in generale e, in particolare, per la specifica tipologia di documenti da conservare (nel caso, ad esempio, si tratti di documenti fiscalmente rilevanti da conservare, sarà opportuno verificare la particolare esperienza del fornitore nella conservazione sostitutiva di tali documenti); la conoscenza ed il rispetto della normativa privacy, anche in considerazione della nuova formulazione dell art. 44 del Codice dell Amministrazione digitale; l ampiezza dei servizi offerti, tra i quali merita di essere attentamente valutata anche l offerta di applicazione dei modelli organizzativi nell azienda di cui al D. Lgs. 231/01; il possesso di eventuali certificazioni sui servizi proposti; il prezzo del servizio; le referenze;
34 le garanzie tecnologiche e di sistema offerte dal fornitore in relazione agli standard di sicurezza informatica, per esempio, in riferimento alla protezione dei dati personali e delle informazioni scambiate. Per quanto concerne la sicurezza informatica della globalità del sistema di conservazione, le norme ISO/IEC e e la specifica ETSI TS ( Policy requirements for trust service providers signing and/or storing data for digital accounting ) dettano le condizioni per la gestione e valutazione di sistemi sicuri ed affidabili per la conservazione elettronica delle informazioni; il livello di professionalità del personale; le dimensioni ed il grado di umidità dei locali in cui saranno conservati gli eventuali documenti analogici non distrutti in seguito al processo di conservazione, verificando preventivamente che siano stati rispettati gli standard richiesti dalla normativa europea; l eventuale accreditamento del fornitore ex art. 44-bis del CAD, così come modificato dal D.lgs. 235/2010.
35 Outsourcing a cosa prestare attenzione? - Formati da utilizzare (art. 68 CAD) - Supporti idonei - Certificazione di processi - Modelli di disaster recovery - Modelli di business continuity - La copia della copia della copia chi la effettua? - Etc.
36 Un possibile schema di esternalizzazione dei servizi di conservazione Titolare dei Documenti e dei Dati (nomina Responsabile interno della conservazione) Impossibile visualizzare l'immagine. Responsabile del procedimento di conservazione (referente interno) Delegato al alcuni processi (back up, disaster recovery, verifiche, restore, procedure operative etc.) Organismo di Vigilanza e Certificazione
37 e per contatti o ulteriori informazioni: Impossibile visualizzare l'immagine. Avv. Andrea Lisi Digital&Law Department Studio Legale Lisi Ufficio Presidenza ANORC Tel. 0832/ Fax 0832/ e.mail:
La forma scritta informatica tra firma digitale e firma biometrica e i processi di conservazione a norma
La forma scritta informatica tra firma digitale e firma biometrica e i processi di conservazione a norma Docente SDA Bocconi A cura di Andrea Lisi Avvocato specializzato in diritto dell ICT e privacy Presidente

References: art. 1
 art. 1
 art. 491
 Art. 22
 Art. 4
 art. 65
 articolo 25
 articolo 1350
 art. 34
 Art. 56
 art. 55
 Articolo 1352
 art. 55
 art. 56
 art. 56
 art. 55
 art. 17
 art. 17
 Art. 3
 art. 5
 ART. 43
 Art. 44
 articolo 50
 Art. 44
 articolo 29
 articolo 61
 Art. 44
 articolo 43
 Art. 44
 art. 33
 articolo 50
 Art. 50
 Art. 4
 art. 44
 art. 44