La piattaforma digitale nazionale dati (PDND)

L’art. 50-ter del Codice dell’Amministrazione Digitale (c.d. CAD – d. lgs. n. 82/2005) prevede la realizzazione di una Piattaforma Digitale Nazionale Dati (PDND), ossia di una infrastruttura tecnologica, gestita dalla Presidenza del Consiglio dei Ministri, finalizzata a rendere possibile l'interoperabilità dei sistemi informativi e delle basi di dati delle pubbliche amministrazioni e dei gestori di servizi pubblici.
Nel presente approfondimento, preliminarmente, si illustreranno le caratteristiche generali e i riferimenti normativi riguardanti l’interoperabilità tra le pubbliche amministrazioni e, successivamente, si esamineranno le disposizioni riguardanti la PDND e l’Avviso, recentemente pubblicato dal Ministero dell’Innovazione e Transizione Digitale (Avviso Misura 1.3.1 "Piattaforma Digitale Nazionale Dati"), finalizzato all’erogazione di contributi, in favore dei Comuni, per l’integrazione dei propri servizi nell’ambito della piattaforma.

1. L’interoperabilità tra le pubbliche amministrazioni
L’interoperabilità, ai sensi del CAD (art. 1, comma 1, lett. dd), è definita come la “caratteristica di un sistema informativo, le cui interfacce sono pubbliche e aperte, di interagire in maniera automatica con altri sistemi informativi per lo scambio di informazioni e l'erogazione di servizi”.
Gli obiettivi in materia di interoperabilità individuati nel CAD, e tra i quali vi è certamente quello di dare piena ed effettiva attuazione al principio once only (“solo una volta”), secondo il quale le pubbliche amministrazioni devono evitare di chiedere ai cittadini e alle imprese informazioni già fornite, possono così essere individuati:

• consentire che qualunque dato trattato da una pubblica amministrazione (fatti salvi i casi di esclusione previsti dalla legge, nonché il rispetto della normativa in materia di protezione dei dati personali) sia reso accessibile e fruibile alle altre amministrazioni, quando l'utilizzazione del dato sia necessaria per lo svolgimento dei compiti istituzionali dell'amministrazione richiedente (art. 50, comma 2);
• consentire alle pubbliche amministrazioni, nell'ambito delle proprie funzioni istituzionali, di procedere all'analisi dei propri dati anche in combinazione con quelli detenuti da altre pubbliche amministrazioni (art. 50, comma 2-bis);
• consentire la fruizione dei dati detenuti dalle pubbliche amministrazioni certificatrici ai soggetti che hanno diritto di accedervi (art. 50, comma 3-bis);
• mediante la realizzazione di una Piattaforma Digitale Nazionale Dati, favorire la conoscenza e l'utilizzo del patrimonio informativo detenuto per finalità istituzionali dalle pubbliche amministrazioni e attuare la condivisione dei dati tra i soggetti che hanno diritto ad accedervi ai fini dell'attuazione dell'art. 50 CAD, nonché semplificare gli adempimenti amministrativi dei cittadini e delle imprese, in conformità alla disciplina vigente (art. 50-ter, comma 2);
• nell’ambito dei servizi affidati in concessione, e al fine di promuovere la valorizzazione del patrimonio informativo pubblico, per fini statistici e di ricerca e per lo svolgimento dei compiti istituzionali, consentire alle altre pubbliche amministrazioni di accedere a tutti i dati acquisiti e generati nella fornitura del servizio e relativi anche all'utilizzo del servizio medesimo da parte degli utenti (art. 50-quater).

Completa il quadro in materia l’art. 64-bis CAD, il quale prevede che le pubbliche amministrazioni progettino e sviluppino i propri sistemi e servizi in maniera interoperabile, rendendo quest’ultimi fruibili in rete e anche in modalità digitale, ed esponendo per ciascuno di essi le relative interfacce di programmazione delle applicazioni (c.d. API, acronimo di Interfaccia di programmazione applicazioni, si tratta sostanzialmente delle interfacce applicative dei servizi informatici accessibili tramite Internet).
Nella prassi, al fine di attuare la interoperabilità e di fornire alle amministrazioni le necessarie indicazioni tecniche e operative, l’Agenzia per l’Italia Digitale (AGID) ha emanato alcune linee guida, ossia:

• le “Linee guida sull’interoperabilità tecnica delle Pubbliche Amministrazioni” (adottate con determinazione n. 547/2021 – G.U.R.I. n. 247 del 15 ottobre 2021), con le quali sono state individuate le tecnologie che abilitano l’interoperabilità tra pubbliche amministrazioni, cittadini e imprese, nonché i modelli e i profili di interoperabilità;
• le “Linee Guida Tecnologie e standard per la sicurezza dell’interoperabilità tramite API dei sistemi informatici” (adottate con la medesima determinazione di cui al punto precedente), che riguardano le soluzioni tecniche idonee a garantire l’autenticazione dei soggetti coinvolti e la protezione, l’integrità e la riservatezza dei dati scambiati nelle interazioni tra sistemi informatici della pubblica amministrazione e di questi con i sistemi informatici di soggetti privati per il tramite di una API e di una rete di collegamento informatica;
• le “Linee Guida sull’infrastruttura tecnologica della Piattaforma Digitale Nazionale Dati per l’interoperabilità dei sistemi informativi e delle basi di dati” (adottate con determinazione n. 627/2021 – G.U.R.I. n. 305 del 24 dicembre 2021, e successivamente modificate con determinazione n. 26/2022), aventi ad oggetto la già menzionata infrastruttura tecnologica per l’interoperabilità dei sistemi informativi e delle basi di dati (PDND), e che fornisce indicazioni sui processi di accreditamento, identificazione e autorizzazione assicurati dalla stessa, sulle modalità con cui i soggetti interessati danno seguito alle reciproche transazioni per il tramite dell’infrastruttura, e sulle procedure di raccolta e conservazione delle informazioni relative agli accessi e alle transazioni effettuate per il tramite della piattaforma;
• le “Linee guida sul punto di accesso telematico ai servizi della Pubblica Amministrazione” (adottate  con Determinazione n. 598/2021 - G.U.R.I. n. 273 del 16 novembre 2021), attuative dell’articolo 64-bis del CAD, cui hanno fatto seguito le "Regole tecniche per la gestione delle sessioni di autenticazione e del single sign-on" (adottate con determinazione n. 172/2022) relative al punto di accesso telematico attivato presso la Presidenza del Consiglio dei Ministri (l’ormai nota  App IO) attraverso cui le pubbliche amministrazioni rendono fruibili i propri servizi in rete.

2. La Piattaforma Digitale Nazionale Dati (PDND)
La PDND ha l’obiettivo di rendere possibile l’interoperabilità dei sistemi informativi e delle basi di dati dei soggetti interessati mediante l’accreditamento, l’identificazione e la gestione dei livelli di autorizzazione dei soggetti abilitati a operare sulla stessa, nonché attraverso la raccolta e la conservazione delle informazioni relative agli accessi e alle transazioni effettuati sulla piattaforma.
L’attuazione di tale meccanismo avviene mediante l’instaurazione di un rapporto tra ente erogatore ed ente fruitore dei dati, nel quale la PDND riveste esclusivamente il ruolo di tramite: l’infrastruttura in questione, infatti, non gestirà, tratterà o conserverà le informazioni detenute dalle pubbliche amministrazioni, ma consentirà l’interoperabilità tra di esse, permettendo che entrino in comunicazione e scambino i dati e le informazioni con modalità tecnico-amministrative predefinite e standardizzate.
L’intendimento, in sostanza, è quello di realizzare una sorta di “marketplace” di dati e servizi, al quale possono accedere tutte le amministrazioni, per condividere le proprie informazioni o fruire di quelle detenute da altre pubbliche amministrazioni, sostituendo in tal modo tutte le convenzioni e gli accordi (bilaterali) sino ad oggi utilizzati per tali finalità.

Definizioni
Per comprendere il funzionamento della PDND, è necessario conoscere alcune definizioni ed i concetti fondamentali posti alla base dello stesso, tra i quali:

• “Aderente”, ossia il soggetto che aderisce alla PDND per erogare e/o usufruire di servizi mediante le funzionalità della stessa;
• “Ente Erogatore”, ossia un aderente che rende disponibili dei servizi digitali ad altri aderenti mediante la PDND, per la fruizione di dati in proprio possesso o per l’integrazione di processi;
• “Ente Fruitore”, ossia un Aderente che fruisce dei servizi digitali messi a disposizione da un ente erogatore mediante la PDND;
• “API” (Interfaccia di programmazione applicazioni), ossia un insieme di procedure, funzionalità e/o operazioni disponibili al programmatore, di solito raggruppate a formare un insieme di strumenti specifici per l’espletamento di un determinato compito (come già detto si tratta delle interfacce applicative dei servizi informatici accessibili tramite Internet);
• “e-service” (servizi digitali), ossia i servizi digitali realizzati da un erogatore per assicurare l’accesso ai propri dati e/o l’integrazione dei propri processi attraverso l’interazione dei suoi sistemi informatici con quelli dei fruitori, e che trovano attuazione nell’implementazione di API;
• “Catalogo API”, ossia la componente unica e centralizzata, resa disponibile dalla PDND, che assicura agli enti erogatori la registrazione e la pubblicazione dei propri servizi digitali (e-service), e agli enti fruitori la consultazione di quest’ultimi.

Ciascun soggetto (erogatore o fruitore che sia), al fine di utilizzare le funzionalità messe a disposizione dalla PNDP, è previsto che sottoscriva un accordo di adesione a quest’ultima, uguale per tutti gli aderenti.

Il funzionamento della PDND
Per ciò che riguarda il funzionamento della PDND, lo stesso può essere così schematizzato:

• un ente erogatore, che ha sviluppato un servizio digitale (e-service), pubblica quest’ultimo nel catalogo API reso disponibile dalla PDND, indicandone le modalità di utilizzo, gli attributi necessari ai fruitori per accedervi (cioè le caratteristiche che il fruitore deve possedere, o dimostrare di possedere, a norma di legge) e la soglia di chiamate API giornaliere (cioè il numero massimo di richieste di accesso che può ricevere ogni giorno);
• un aderente, individuato un servizio digitale (e-service) di proprio interesse nel catalogo API della piattaforma, invia una richiesta di fruizione, dichiarando di possedere gli attributi richiesti e specificando le finalità per le quali effettua la richiesta, indicando altresì la c.d. stima di carico (ossia, il numero preventivabile di richieste che effettuerà al servizio digitale in merito alla specifica finalità e che, nel caso in cui superi la soglia di chiamate API predeterminata dall’erogatore, comporta la necessità che quest’ultimo verifichi e approvi l’accesso);
• l’ente erogatore, ove ne ricorrano i presupposti, approva la richiesta di fruizione in modo automatico o manuale. Se all'atto della creazione di una versione di un servizio digitale l'erogatore ha indicato di voler attivare manualmente le richieste di fruizione, l'attivazione sarà sempre e comunque manuale, indipendentemente dalle circostanze; se, invece, ha optato per una gestione automatica (funzionante solo nel caso in cui il fruitore possegga già all’atto della presentazione della richiesta tutti gli attributi verificati richiesti), la PDND gestirà, laddove possibile, le relative richieste automaticamente. Oltre ad approvarla, l'ente erogatore ha anche la possibilità di rifiutare una richiesta se, a suo giudizio, il fruitore non ha dimostrato di possedere tutti i requisiti necessari all'accesso;
• l’ente fruitore, in caso di approvazione della richiesta, ottiene un token (ossia, una chiave di accesso che consente l’utilizzo del servizio richiesto) di durata limitata (decisa dall’ente erogatore), relativo ad una determinata API e per una precisa finalità, che dovrà essere utilizzato per accedere al servizio digitale dell’ente erogatore e con il quale viene abilitato lo scambio di informazioni tra gli enti.

Come può evincersi dallo schema di funzionamento sopra illustrato, la PDNP non conserva le informazioni scambiate tra gli enti e non permette un accesso diffuso o generalizzato ai dati: è l’ente erogatore che stabilisce se fornire le informazioni, nonché le condizioni e i soggetti a cui possono essere rese accessibili; sotto altro aspetto, e in linea con quanto previsto dall’art. 50-ter, comma 2, CAD, la PDND fornisce il supporto per il tracciamento e l’osservazione delle interazioni tra erogatori e fruitori, raccogliendo e conservando le informazioni sugli accessi e le transazioni tra tali enti.
Si rammenta, inoltre, che, ai sensi dell’art. 50, comma 3-bis, CAD, il trasferimento di un dato da un sistema informativo a un altro non ne modifica la titolarità e che, sotto il profilo certamente rilevante e delicato del trattamento dei dati personali (al quale è dedicato il paragrafo 14 delle linee guida AGID sulla PDND), l’art. 50-ter, comma 6, CAD stabilisce espressamente che l'accesso ai dati attraverso la piattaforma non modifichi la disciplina relativa alla titolarità del trattamento, ferme restando le specifiche responsabilità ai sensi dell'articolo 28 GDPR in capo al soggetto gestore della Piattaforma, nonché le responsabilità dei soggetti accreditati che trattano i dati in qualità di titolari autonomi del trattamento. 

3. L’Avviso Misura 1.3.1 "Piattaforma Digitale Nazionale Dati" rivolto ai Comuni
Il Ministero dell’Innovazione e Transizione Digitale, terminata la realizzazione della PDND lo scorso ottobre, nell’ambito degli interventi attuativi del PNRR, ha pubblicato un avviso (Misura 1.3.1 "Piattaforma Digitale Nazionale Dati") rivolto esclusivamente ai Comuni e destinato al finanziamento dello sviluppo di API da parte di quest’ultimi.
Aderendo al suddetto Avviso, i Comuni avranno l’opportunità di erogare delle API nel relativo Catalogo reso disponibile dalla PDND e, a tal fine, dovranno procedere a:

• definire l’API da erogare, ossia cosa erogare (cioè il dataset, ovvero l’insieme di dati che intende porre alla base del servizio digitale), come erogare (tecnologia e interfaccia) nonché la cornice di sicurezza in aderenza con le linee guida AGID sulla sicurezza dell’interoperabilità;
• aderire alla piattaforma;
• sviluppare il servizio digitale (e-service);
• pubblicare l’API sull’ambiente Test della PDND, utilizzabile (solo con dati fittizi) per testare l'integrazione tra aderenti, oppure da parte di un singolo aderente per verificare la propria integrazione con la PDND;
• testare l’API pubblicata;
• pubblicare l’API sull’ambiente Produzione della PDND, con conseguente erogazione di dati reali da parte del servizio digitale realizzato.

L’Avviso, pubblicato lo scorso 20 ottobre 2022 e avente scadenza il 17 febbraio 2023, prevede la suddivisione dei Comuni in sette fasce basate sul numero di abitanti, cui corrisponde un numero predefinito di API da erogare (da una, per i Comuni sino a 5.000 abitanti, a sette per i Comuni con più di 250.000 abitanti) e l’importo del contributo riconosciuto (da € 10.171,75 per i Comuni delle fasce più basse, sino a € 474.775,20 per quelli di fascia alta).
Lo stesso avviso prevede che le attività per il raggiungimento degli obiettivi ivi prefissati possano essere svolte dai Comuni tramite il supporto di un Partner/Intermediario Tecnologico (già contrattualizzato o ancora da individuarsi) che curi lo sviluppo dei processi di reingegnerizzazione necessari per garantire l’integrazione informatica con le soluzioni gestionali in uso presso i Comuni e la piena rispondenza alle specifiche tecnico-operative previste per l’integrazione del servizio digitale con la PDND.
Anche il cronoprogramma previsto per l’esecuzione di tutte le suddette attività è stato differenziato sulla base delle dimensioni dei Comuni interessati: mentre per gli enti fino a 50.000 abitanti l’attivazione dei servizi dovrà avvenire al massimo entro nove mesi dalla data di notifica del decreto di finanziamento, per i Comuni con popolazione superiore la tempistica arriva al massimo ad un anno dalla medesima data.
Il processo di integrazione ed erogazione dei servizi si intenderà concluso con esito positivo nel momento in cui le API verranno pubblicate ed attivate dalla pubblica amministrazione nel relativo Catalogo della PDND, e l’evidenza del completamento di tali attività sarà riscontrabile interrogando gli appositi servizi della piattaforma che restituiranno, per ogni Comune, il nome ed il numero di API presenti nel Catalogo.

Articolo di Alessandro Rizzo