Gullo: “Ecco perché Pec e Cad avranno lunga (e vegeta) vita”

Mi viene gentilmente e insistentemente richiesto di intervenire su “eIDAS vs CAD” e con un po’ di ritardo provo a toccare alcuni aspetti, godendo del vantaggio di chi può commentare gli articoli già pubblicati. Ma non approfitterò eccessivamente della pazienza dei lettori, siamo a fine luglio e il clima richiede leggerezza e un cauto ottimismo.

Cominciamo con le conclusioni: 1) non siamo ultimi in nessuna classifica su “regolazione e utilizzo di servizi fiduciari” (anzi, mi pare siamo i primi); 2) la PEC è viva e vegeta e possiamo usarla senza paura; 3) il CAD sarà, ancor di più e meglio, reso coerente con eIDAS.

Una premessa. eIDAS incide profondamente sugli ordinamenti dei paesi UE, ma non tanto sulle PA, quanto sul “resto”. Quasi ogni paese membro o ha una legislazione simile al CAD o la vorrebbe avere e quasi tutti avevano già regolato l’uso dei servizi fiduciari e in queste settimane stanno adattando i propri ordinamenti per far posto a eIDAS. Paese che vai, CAD che trovi, direbbe qualcuno.

La portata del cambiamento che si è voluto implementare in materia di PA digitale (delineata dall’art.1 della L. 124/2015, la c.d. “Riforma Madia”) è assai ampia, andando a riformare e incidere sui rapporti tra cittadino e PA, rendendo il cittadino fulcro del sistema per, come già osservato in un precedente intervento, “provare ad alleggerirlo di doveri da spostare sulle spalle più robuste delle amministrazioni”.

Il CAD su cui si è stati chiamati a lavorare, con la delega appunto a “novellare” il testo finora vigente, contiene una serie di principi generali importanti, che dovranno poi trovare attuazione attraverso diversi regolamenti e procedure interne, che richiederanno un ripensamento sul complesso funzionamento dell’Amministrazione pubblica. Il lavoro complesso richiesto dalla modifica del CAD è stato pianificato con la consapevolezza della entrata in vigore del Regolamento eIDAS: facendo affidamento su un iter più rapido, si era pensato di “anticipare” nel CAD i principi eIDAS, in modo da renderne indolore, se possibile, la sua efficacia.

Si è trattato evidentemente di un’operazione non facile in quanto i principi ispiratori originari del CAD non sono esattamente coincidenti con quelli eIDAS (ad esempio sul valore delle firme) e non è stato semplice allineare i primi con i secondi. La delega a novellare il CAD è stata, in tal senso, un’occasione per cercare di “sgombrare il campo” per garantire ad eIDAS un “atterraggio” il più morbido possibile sul nostro ordinamento. Molti altri paesi membri, con normativa CAD-like hanno fatto (o stanno facendo) lo stesso lavoro.

Non è dunque necessario sottolineare che un cambio di prospettiva di tal sorta ha inevitabilmente chiesto del tempo; il procedimento di approvazione definitiva, come è stato più volte sottolineato e come in parte poteva già essere immaginato, dati i tempi “fisiologici” legati essenzialmente all’ottenimento dei prescritti pareri, interverrà dunque a seguito della definitiva entrata in vigore nel nostro ordinamento del Regolamento eIDAS. Si tratta, tuttavia, mi preme sottolinearlo, di un ritardo minimo, dovuto alla complessità dei temi trattati e alla necessità di rispondere prontamente ed efficacemente alle osservazioni fatte pervenire dagli organi competenti. E’ vero dunque che si tratta di un ritardo e di una non perfetta coincidenza dei tempi tra CAD ed eIDAS ma non è vero che “[…] non avremo un CAD coordinato con il Regolamento eIDAS”, come alcuni commentatori sottolineano, “creando notevole incertezza in merito alle norme applicabili” (ma il CAD è ancora da approvare, come è a tutti noto). A poche settimane dall’entrata in vigore di eIDAS, nonostante la non perfetta e puntuale coincidenza dei tempi, non mi pare che la situazione sia degenerata o si sia stati travolti da chissà quale ostacolo dovuto alla paventata “incertezza in merito alle norme applicabili”.

Le novità portate da eIDAS all’interno del nostro ordinamento sono importanti e notevoli, come è ben noto, e toccano argomenti centrali anche per un corretto funzionamento della PA digitale, nonché per l’armonizzazione delle burocrazie europee, tra loro profondamente diverse. La scelta di adottare un regolamento comunitario direttamente applicabile per riformare i servizi fiduciari costringe ogni Stato a intervenire sulla propria legislazione attraverso un lavoro puntuale di eliminazione delle incompatibilità con il nuovo regolamento presenti nelle definizioni e nelle norme attuative che a tutt’oggi regolano i servizi fiduciari.

Nel nostro paese tale impegno è stato piuttosto gravoso ed il dibattito sulle modalità per assicurare la complessiva coerenza delle previgenti disposizioni con il nuovo Regolamento eIDAS ha in un certo senso rallentato il processo di riforma della normativa. Tuttavia, tale complesso processo di attuazione è in realtà dovuto alla circostanza per cui in passato l’Italia era lo Stato membro che aveva fatto i maggiori sforzi per l’attuazione della Direttiva 1999/93/EC sulle firme elettroniche con una legislazione particolarmente articolata e complessa sulle firme digitali e su altri servizi fiduciari (posta elettronica certificata e conservazione digitale). E dunque, in realtà, l’Italia si è fatta trovare tutt’altro che impreparata: al contrario, il livello di avanzamento ed il grado di maturità della nostra normativa in materia è tra i più avanzati d’Europa. Ulteriore riprova di ciò, e quindi anche del livello di avanzamento di tutta la disciplina italiana della materia, sono i principi ispiratori dell’ eGovernment Action Plan della Commissione Europea pubblicato in aprile: facilmente si noterà che essi sono identici, nei contenuti e nelle definizioni, ai principi ispiratori del fondamentale articolo 1 della legge Madia, da cui scaturiscono tutti gli ultimi interventi adottati dal Governo per l’attuazione della cittadinanza digitale (articolo 1 scritto nell’agosto 2014, quando ancora a Bruxelles non avevano pronto l’indice del piano di azione, giusto per precisare). In questo caso sicuramente l’Italia non ha avuto bisogno di copiare, ma non mi pare di aver letto molti commenti in tal senso.

Inoltre, è importante sottolineare come il nuovo CAD affronti il tema della rapida obsolescenza che in passato ha caratterizzato la legislazione relativa alla PA digitale attraverso una struttura modulare che tenta di rendere le nuove norme il più possibile in grado di resistere a lungo senza comportare la necessità di riattivare il processo di riforma mediante normativa di rango primario.

Nel nuovo CAD sono stati infatti inseriti, in prevalenza, principi generali, dei quali necessita l’attuazione dal punto di vista delle specifiche, e norme essenzialmente tecniche. Come ho già osservato, il CAD non è un elenco di progetti da attuare: è una norma di rango primario non un regolamento attuativo o un programma di interventi.

A loro volta le norme tecniche di cui sopra sono state delegate ad organi/enti in grado di emanarle: non sarà questa volta il Legislatore (sia esso il Parlamento o il Governo) a occuparsi direttamente, mediante commissioni o unità di missione preposte, della stesura delle normative tecniche da inserire direttamente nel CAD.

Premesso quindi che mi pare che tutto proceda regolarmente e che nessuna catastrofe sia in corso, intervengo su alcuni degli spunti offerti dagli autorevoli commenti che l’entrata in vigore di eIDAS ha suscitato: il primo che mi preme sottolineare riguarda SPID. Com’è noto, nel periodo necessario all’esame del “nuovo CAD”, si è proceduto alla diffusione delle prime identità digitali tramite SPID: nel marzo 2016 è partita la distribuzione delle prime identità digitali da parte dei tre gestori di identità per ora autorizzati dall’Agenzia per il Digitale (Poste, Infocert e Telecom Italia Trust Services). Ad oggi, secondo quanto riportato sul sito dell’Agenzia per l’Italia Digitale, sono 183 le amministrazioni attive, e più di 80.000 le identità erogate per accedere a oltre 550 servizi online (nello stesso primo quadrimestre di attivazione, il servizio UK disponeva di un quarto di identità e un centesimo dei servizi rispetto al nostro SPID).

Ma, si obietta, non si è avviato il processo di notifica di SPID alla Commissione Europea per assicurarne il riconoscimento a livello comunitario; niente di più vero, tuttavia mi preme evidenziare che nessun paese dell’UE ha notificato alla Commissione il proprio sistema di identità digitale: quindi, o siamo tutti in ritardo oppure questo in realtà è un non-problema.

Se anche l’Italia avesse notificato – prima in UE – SPID alla Commissione, quali vantaggi concreti sarebbero potuti derivare agli 80.000 utenti SPID italiani?

Altra questione centrale è quella che riguarda la PEC: come sottolineato in uno dei contributi pubblicati in questa sede la Posta Elettronica Certificata, con oltre otto milioni di utilizzatori che producono circa duecento milioni di messaggi l’anno, è un servizio da anni in uso in Italia, e rappresenta un unicum nel panorama europeo.

L’entrata in vigore di eIDAS non mette fuori uso, non schiaccia la PEC; per divenire “servizio qualificato” il sistema italiano richiederà alcuni correttivi. Anche in questo caso, stanti le norme, continuerà a essere usabile nel territorio nazionale (non ripeto quello che hanno scritto gli ottimi Arbia e Manca su questa testata).

In conclusione, nonostante i commenti, le dichiarazioni e i cinguettii vari, a meno di un mese dall’entrata in vigore di eIDAS mi pare che niente si sia stravolto per i cittadini e per le imprese, né tantomeno per il lavoro di Agid e di quanti operano nel settore ; e, soprattutto, mi pare che i nostri servizi fiduciari funzionino con la stessa regolarità di 30 giorni fa. Il CAD è all’esame delle commissioni parlamentari e frutto di ampio lavoro di rifinitura che lo renderà migliore rispetto a quello approvato in via preliminare. Insomma, mi pare che ci sia da essere cautamente ottimisti.

Scaldiamo invece muscoli e cervello per lavorare sui regolamenti attuativi, molti dei quali andranno ritoccati o riscritti. Ma ne riparleremo in autunno, a mente fresca.