800 561720
La transizione digitale della PA ha trasformato il protocollo informatico nel cuore nevralgico della gestione documentale. Per questo, un protocollo mal configurato non rappresenta solo un mero problema archivistico, ma una grave vulnerabilità per la data protection. In particolare, nonostante le molteplici pronunce del Garante sul tema, falle nella gestione dei permessi continuano ad esporre gli enti pubblici a data breach e sanzioni. In questo scenario, il DPO assume un ruolo di garanzia imprescindibile. Approfondiamo le regole tecniche per l’implementazione del protocollo e quali audit condurre per assicurare la compliance dell’ente.
Il protocollo informatico: fulcro della gestione documentale
Il protocollo informatico costituisce il fulcro dell’azione amministrativa e della gestione documentale all’interno di qualsiasi ente pubblico. Dal punto di vista giuridico, tecnico e archivistico, esso non rappresenta un mero registro per la classificazione della corrispondenza in entrata e in uscita, ma si configura come lo strumento primario per garantire la certezza del diritto, la trasparenza dell’azione amministrativa e la validità probatoria dei flussi documentali. Tale centralità, storicamente radicata nel Testo Unico della documentazione amministrativa (D.P.R. 28 dicembre 2000, n. 445), è stata successivamente rafforzata dal Codice dell’Amministrazione Digitale (CAD, D.lgs. n. 82/2005) e disciplinata organicamente dalle “Linee guida sulla formazione, gestione e conservazione dei documenti informatici” emanate dall’Agenzia per l’Italia Digitale (AgID).
All’interno delle Linee guida, AgID richiede che la gestione dei documenti informatici sia presidiata da strumenti tecnologici e procedure rigorose sin dalla fase di formazione del documento digitale. Se nel mondo analogico la segregazione di un fascicolo riservato era garantita dalla sua materiale custodia in armadi chiusi a chiave, la dematerializzazione ha trasformato il protocollo in un archivio massivo, accessibile simultaneamente da decine di terminali. In questo ecosistema confluiscono enormi moli di dati personali, inclusi dati appartenenti a categorie particolari (ex art. 9 del GDPR) e dati inerenti a condanne penali, reati o procedimenti disciplinari (ex art. 10 GDPR).
I rischi della dematerializzazione
Come evidenziato dagli interventi del Garante, i data breach nel settore pubblico derivano spesso da vulnerabilità endogene, derivanti proprio dalla dematerializzazione. Tali falle interne sono il prodotto diretto di un’errata architettura dei privilegi di accesso, di una mancata profilazione degli utenti e, in ultima analisi, della mancata adozione dei principi di Privacy by Design e Privacy by Default.
Nello specifico, all’interno dell’ente, i dipendenti sono legittimati a trattare i dati personali esclusivamente in veste di soggetti autorizzati e nei limiti delle mansioni assegnate: la messa a disposizione di un documento a un dipendente privo di competenza funzionale configura una illecita “comunicazione di dati a soggetti terzi”. Per tale ragione, una configurazione software errata si traduce per l’ente in una violazione dei principi di liceità, minimizzazione, integrità e riservatezza ex art. 5 del GDPR.
Il caso della Città Metropolitana di Sassari: 12.000 euro di sanzione
Il Provvedimento n. 426 dell’11 giugno 2026, emesso nei confronti della Città Metropolitana di Sassari, rappresenta l’ultimo di una lunga serie di pronunce del Garante sul tema. La vicenda trae origine da una notifica di data breach effettuata dall’ente. Un documento altamente riservato – contenente la richiesta di avvio di un procedimento disciplinare a carico di un dirigente – era stato protocollato assegnandogli il livello di visibilità 9. Nel gestionale dell’ente, tale livello avrebbe dovuto circoscrivere la consultazione alle sole figure apicali; per effetto di una configurazione errata, tuttavia, la nota risultava accessibile a una platea di ventinove dipendenti, di cui sette totalmente estranei all’ufficio protocollo.
L’istruttoria del Garante ha rilevato l’illiceità del trattamento per violazione degli artt. 5, 6, 9, 10 e 25 del Regolamento. Il Titolare ha omesso di attuare i principi di “minimizzazione”, “integrità e riservatezza” e “protezione dei dati fin dalla progettazione e per impostazione predefinita”. Ulteriore fattore aggravante è emerso sul fronte dell’accountability: l’ente ha dovuto ammettere l’impossibilità tecnica di risalire ai soggetti che avevano effettivamente visionato il documento a causa della mancata conservazione dei file di log. L’Autorità ha così stabilito che in assenza di log immutabili, l’accessibilità potenziale si presume consultazione effettiva.
I requisiti minimi AgID per i sistemi documentali
Per assicurare la conformità ed evitare sanzioni, la gestione del protocollo informatico deve ottemperare alle regole tecniche dettate dall’Agenzia per l’Italia Digitale (AgID). Nelle Linee Guida, il paragrafo 3.1.6 fissa i requisiti minimi di sicurezza che i sistemi di protocollo devono inderogabilmente garantire.
“Il sistema di protocollo informatico deve garantire:
a) l’univoca identificazione ed autenticazione degli utenti;
b) la garanzia di accesso alle risorse esclusivamente agli utenti abilitati e/o a gruppi di utenti secondo la definizione di appositi profili;
c) il tracciamento permanente di qualsiasi evento di modifica delle informazioni trattate e l’individuazione del suo autore.”
A ciò si affianca il quadro prescrittivo del paragrafo 3.9, che impone ai Titolari:
- l’implementazione delle misure minime di sicurezza ICT emanate dall’AgID con circolare del 18 aprile 2017, n. 2/2017;
- la predisposizione del piano della sicurezza del sistema di gestione informatica dei documenti, redatto d’intesa con il Responsabile per la Transizione Digitale (RTD), il responsabile della gestione documentale;
- la descrizione della procedura da adottarsi in caso di violazione dei dati personali ai sensi degli artt. 33-34 del Regolamento, da includersi nel piano della sicurezza del sistema di gestione informatica dei documenti;
- il parere formale del DPO sul manuale di gestione documentale (comprensivo di piano della sicurezza del sistema di gestione informatica dei documenti);
- misure tecniche e organizzative per garantire un livello di sicurezza adeguato al rischio in materia di protezione dei dati personali, ai sensi dell’art. 32 del Regolamento;
- la gestione dei ruoli e delle responsabilità, ai sensi dell’art. 28 del Regolamento, nei confronti dei soggetti esterni a cui è eventualmente delegata la tenuta del sistema di gestione informatica dei documenti.
Minimizzazione e segregazione dei flussi: le indicazioni del Garante
Dalle varie pronunce dell’Autorità Garante si ricavano ulteriori indicazioni utili sui requisiti da rispettare nella configurazione del protocollo.
- La minimizzazione dei dati in oggetto
Attraverso il provvedimento n. 70 del 13 febbraio 2025 il Garante ha sanzionato l’Azienda ULSS 9 Scaligera in seguito al reclamo di un dipendente il cui provvedimento disciplinare era stato comunicato mediante il protocollo informatico in modalità “conoscibile a tutti i dipendenti” (circa 50-60 persone) appartenenti alla medesima struttura. L’istruttoria ha rivelato che la violazione non risiedeva nella visibilità dell’allegato, ma primariamente nella stesura dell’oggetto del protocollo, che conteneva in chiaro i dati identificativi del destinatario associati alla dicitura della sanzione disciplinare.
L’Autorità ha quindi chiarito che l’oggetto del protocollo non deve mai contenere descrizioni in chiaro che rivelino, ad esempio, procedimenti disciplinari o categorie di dati particolari. Esporre informazioni sensibili in oggetto svuota di efficacia qualsiasi misura protettiva applicata successivamente al file allegato (crittografia e blocchi tecnici), poiché la violazione si consuma istantaneamente alla lettura dell’indice del registro.
- L’implementazione di flussi documentali riservati
Mediante il provvedimento n. 733 del 4 dicembre 2025, l’Autorità ha sanzionato la prassi di non filtrare adeguatamente le comunicazioni in entrata. In questo caso il Garante, richiamando espressamente le “Linee guida in materia di trattamento di dati personali di lavoratori per finalità di gestione del rapporto di lavoro in ambito pubblico” [doc. web n. 1417809">, ha imposto la creazione di una sezione denominata “Protocollo Riservato”. Il documento deve essere importato nel sistema, assegnando la marcatura temporale e il numero di protocollo a garanzia della certezza amministrativa, ma il suo contenuto e gli allegati devono essere inaccessibili all’operatore di primo livello. Il fascicolo informatico deve essere deviato istantaneamente verso il protocollo riservato, la cui visibilità deve essere concessa per impostazione predefinita solo alle figure apicali autorizzate, quali, nel caso in esame, il Dirigente Scolastico e il Direttore dei Servizi Generali e Amministrativi (DSGA).
Quali controlli devono svolgere i DPO? sintesi operativa
Per supportare i professionisti nella verifica della conformità dei sistemi di protocollo informatico, abbiamo sviluppato una guida operativa. Ecco i controlli da effettuare:
- Identity & Access Management (IAM): verificare la corrispondenza tra la matrice dei ruoli a sistema (es. profili e livelli di visibilità) e la reale struttura organizzativa dell’ente, accertando che le abilitazioni siano limitate ai soli profili operativi indispensabili e riesaminate periodicamente;
- Privacy by Design e configurazione dei campi: controllare che esistano filtri o blocchi tecnici idonei a impedire l’inserimento di categorie particolari si dati o di giudiziari nel campo descrittivo dell’“Oggetto”, soggetto ad ampia visibilità;
- Protocollo riservato: appurare l’effettiva attivazione di flussi segregati che devino i documenti sensibili verso canali protetti, inibendo tecnicamente la lettura da parte del personale non autorizzato;
- Log Management e accountability: verificare che il sistema generi e conservi registri informatici (log) immutabili e granulari su ogni accesso o estrazione, evitando sovrascritture a breve termine che compromettano evidenze utili in caso di audit o controlli delle Autorità competenti;
- Data Retention e procedure di scarto: appurare che il sistema di conservazione preveda tempistiche certe di selezione e scarto dei pacchetti documentali secondo il piano di conservazione, in ottemperanza ai limiti imposti dall’art. 5 del GDPR e dalle disposizioni AgID;
- Parere obbligatorio: verificare di aver rilasciato il proprio parere formale sull’intero impianto del Manuale di gestione documentale (compresa la sezione del piano di sicurezza), come espressamente richiesto dalle Linee Guida AdID;
- Istruzione degli Incaricati: controllare che il personale addetto allo smistamento abbia ricevuto lettere di autorizzazione e direttive operative verticali per riconoscere e trattare correttamente i flussi riservati;
- Incident Response documentale: monitorare la presenza di una procedura (es. "Codice Rosso") per isolare tempestivamente le errate protocollazioni e delimitare il perimetro del data breach interno.
La corretta implementazione di questi presidi rappresenta la principale difesa per tutelare l’ente pubblico contro il rischio di sanzioni e contenziosi.
Per restare sempre aggiornato sulle novità normative e confrontarti con i colleghi sulle migliori pratiche di compliance, ti invitiamo ad unirti alla nostra community: aderisci ad ASSO DPO.
