Testo dell'articoloVigente
Art. 2 D.Lgs. 82/2005 CAD — Finalità e ambito di applicazione
In vigore dal 01/01/2006
1. Lo Stato, le Regioni e le autonomie locali assicurano la disponibilità, la gestione, l'accesso, la trasmissione, la conservazione e la fruibilità dell'informazione in modalità digitale e si organizzano ed agiscono a tale fine utilizzando con le modalità più appropriate e nel modo più adeguato al soddisfacimento degli interessi degli utenti le tecnologie dell'informazione e della comunicazione.
2. Le disposizioni del presente Codice si applicano: a) alle pubbliche amministrazioni di cui all' articolo 1, comma 2, del decreto legislativo 30 marzo 2001, n. 165 , nel rispetto del riparto di competenza di cui all' articolo 117 della Costituzione , ivi comprese le autorità di sistema portuale, nonché alle autorità amministrative indipendenti di garanzia, vigilanza e regolazione; b) ai gestori di servizi pubblici, ivi comprese le società quotate, in relazione ai servizi di pubblico interesse; c) alle società a controllo pubblico, come definite nel decreto legislativo 19 agosto 2016, n. 175 , escluse le società quotate di cui all'articolo 2, comma 1, lettera p), del medesimo decreto che non rientrino nella categoria di cui alla lettera b).
2-bis. COMMA ABROGATO DAL D.LGS. 30 DICEMBRE 2010, N. 235 .
3. Le disposizioni del presente Codice e le relative Linee guida concernenti il documento informatico, le firme elettroniche e i servizi fiduciari di cui al Capo II, la riproduzione e conservazione dei documenti di cui agli articoli 43 e 44, il domicilio digitale e le comunicazioni elettroniche di cui all'articolo 3-bis e al Capo IV, l'identità digitale di cui agli articoli 3-bis e 64 si applicano anche ai privati, ove non diversamente previsto.
4. Le disposizioni di cui al capo V, concernenti l'accesso ai documenti informatici e la fruibilità delle informazioni digitali, si applicano anche agli organismi di diritto pubblico.
5. Le disposizioni del presente Codice si applicano nel rispetto della disciplina in materia di trattamento dei dati personali e, in particolare, delle disposizioni del Codice in materia di protezione dei dati personali approvato con decreto legislativo 30 giugno 2003, n. 196 ;
6. Le disposizioni del presente Codice non si applicano limitatamente all'esercizio delle attività e funzioni di ordine e sicurezza pubblica, difesa e sicurezza nazionale, polizia giudiziaria e polizia economico-finanziaria e consultazioni elettorali , nonché alle comunicazioni di emergenza e di allerta in ambito di protezione civile. Le disposizioni del presente Codice si applicano al processo civile, penale, amministrativo, contabile e tributario, in quanto compatibili e salvo che non sia diversamente disposto dalle disposizioni in materia di processo telematico. ((52))
6-bis. Ferma restando l'applicabilità delle disposizioni del presente decreto agli atti di liquidazione, rettifica, accertamento e di irrogazione delle sanzioni di natura tributaria, con decreto del Presidente del Consiglio dei ministri o del Ministro delegato, adottato su proposta del Ministro dell'economia e delle finanze, sono stabiliti le modalità e i termini di applicazione delle disposizioni del presente Codice alle attività e funzioni ispettive e di controllo fiscale.
Commento
L'articolo 2 contiene una dichiarazione programmatica: la PA non «può» digitalizzarsi, «deve» farlo, e deve farlo orientandosi all'utente. Il legislatore costruisce un obbligo di mezzo (utilizzare le ICT) finalizzato a una serie di risultati (disponibilità, gestione, accesso, trasmissione, conservazione e fruibilità dell'informazione). La formulazione, intenzionalmente ampia, copre tutte le fasi del ciclo di vita del dato, dal momento in cui entra nella PA fino alla sua archiviazione di lungo periodo. È un articolo «cornice» che funge da bussola interpretativa per tutto il CAD: ogni disposizione successiva va letta come strumento per realizzare quei sei verbi.
La definizione dell'ambito soggettivo è il vero cuore della norma. La scelta dei tre cerchi (PA in senso stretto, gestori di servizi pubblici, società a controllo pubblico) supera la nozione tradizionale di «pubblica amministrazione» dell'articolo 1, comma 2, del D.Lgs. 165/2001 e estende il perimetro a soggetti formalmente privati ma sostanzialmente pubblici. La scelta è coerente con l'idea che la digitalizzazione non si fermi alla burocrazia centrale ma raggiunga ogni servizio rivolto alla collettività. Per le società a controllo pubblico l'esclusione delle quotate non «di pubblico interesse» risponde alla logica di non gravare di obblighi pubblicistici realtà che operano sul mercato in condizioni concorrenziali.
L'estensione ai privati del comma 3 è particolarmente delicata. Quando due imprese si scambiano un documento informatico sottoscritto con firma qualificata, applicano il regime probatorio del CAD (articoli 20 e 21) e non una disciplina civilistica autonoma. Lo stesso vale per il domicilio digitale eletto dal singolo cittadino o dal professionista: produce effetti pari alla raccomandata anche nei rapporti privati. È un meccanismo che ha cambiato il diritto delle comunicazioni in Italia, perché ha trasformato il digitale da opzione in regola, almeno quando le parti scelgono di servirsene. Il coordinamento con il Regolamento eIDAS è continuo: il CAD presuppone definizioni e regimi europei e li applica al contesto nazionale.
Il comma 5 (rispetto della disciplina sulla protezione dei dati personali) e il comma 6 (esclusioni e processi) gestiscono il rapporto del CAD con altri rami dell'ordinamento. La clausola di salvaguardia GDPR significa che ogni misura tecnica del CAD (per esempio l'apertura di una piattaforma pubblica per i pagamenti elettronici, o la pubblicazione di dati aperti) deve essere progettata con principi di privacy by design e by default, minimizzazione dei dati e individuazione di una base giuridica idonea ai sensi dell'articolo 6 GDPR. L'esclusione delle attività di ordine e sicurezza pubblica, difesa, polizia giudiziaria, polizia economico-finanziaria e consultazioni elettorali non significa che in tali ambiti non si digitalizzi, ma che la disciplina è speciale (per esempio il codice dell'ordinamento militare o le regole sull'archiviazione delle indagini penali). Quanto ai processi telematici, il «in quanto compatibile» introduce una regola di sussidiarietà: prima la disciplina processuale speciale (rito civile, penale, amministrativo, contabile, tributario), poi il CAD a colmare le lacune. La giurisprudenza è intervenuta più volte per chiarire i confini, soprattutto in tema di notifiche a mezzo PEC e di validità della firma elettronica negli atti processuali. I problemi applicativi tipici riguardano gli enti misti o le società partecipate al 50%, che non rientrano automaticamente nell'articolo 2 ma vanno qualificate alla luce del D.Lgs. 175/2016. Il coordinamento con il GDPR, infine, impone alla PA di tenere distinta la disciplina «strumentale» del CAD da quella «sostanziale» della protezione dei dati, senza confondere le due sfere.
Casi pratici
Caso 1: Società mista pubblico-privata e obblighi CAD
Una società per azioni con il 60% di capitale comunale e il 40% di un gruppo privato gestisce il servizio idrico integrato di un'area. Per stabilire se sia soggetta al CAD occorre verificare due profili: rientra tra le «società a controllo pubblico» del D.Lgs. 175/2016 (sì, perché il Comune detiene il controllo) e gestisce un «servizio pubblico» (sì, l'acqua è servizio di pubblico interesse). La società ricade quindi nel secondo e terzo cerchio dell'articolo 2, comma 2, e deve adottare PEC istituzionale, SPID/CIE per l'accesso ai servizi online, fatturazione elettronica e tutte le altre regole del CAD. La verifica va condotta caso per caso esaminando lo statuto e l'effettivo controllo.
Caso 2: Pubblicazione di dataset con dati personali
Un'agenzia regionale per il lavoro intende pubblicare in open data le statistiche sui beneficiari di un sussidio occupazionale, includendo per ciascuno comune di residenza, età e importo erogato. Pur rispettando l'articolo 1 sul formato aperto, la pubblicazione si scontra con il comma 5 dell'articolo 2: il CAD si applica «nel rispetto della disciplina in materia di trattamento dei dati personali». Senza una base giuridica idonea ai sensi dell'articolo 6 GDPR e senza una valutazione d'impatto (DPIA) sui rischi di reidentificazione, la pubblicazione è illegittima. La soluzione è anonimizzare i dati o aggregarli in classi sufficientemente ampie (per esempio per provincia e fascia di età), in modo da rispettare entrambi gli obblighi: trasparenza informativa e protezione dei dati.
Domande frequenti
Una società in house è soggetta al CAD?
Sì, se rientra tra le società a controllo pubblico ai sensi del D.Lgs. 175/2016 (Testo Unico Società Partecipate). Le società in house sono per definizione controllate da una o più amministrazioni e svolgono attività prevalentemente per esse: ricadono nel terzo cerchio dell'articolo 2, comma 2, lettera c). L'unica eccezione riguarda le società quotate che non gestiscono servizi di pubblico interesse. La conseguenza pratica è che l'in house deve adottare il documento informatico, la PEC, lo SPID/CIE per l'accesso ai propri servizi e tutta la disciplina del CAD nei rapporti con utenti e imprese.
Il CAD si applica ai processi giudiziari?
Sì, ma «in quanto compatibile» con la disciplina del processo telematico. Le regole speciali del PCT (Processo Civile Telematico), del PAT (Processo Amministrativo Telematico), del PTT (Processo Tributario Telematico) e del processo penale telematico prevalgono sul CAD nelle parti specificamente disciplinate. Il CAD colma le lacune: per esempio la nozione di firma digitale o di domicilio digitale resta quella del codice anche nel processo, mentre le regole su deposito e notificazione seguono la disciplina processuale. La giurisprudenza ha ripetutamente affermato la complementarità tra i due insiemi di norme.
Le forze di polizia sono escluse dal CAD?
Non integralmente. L'articolo 2, comma 6, esclude le «attività e funzioni di ordine e sicurezza pubblica, difesa e sicurezza nazionale, polizia giudiziaria e polizia economico-finanziaria»: si tratta delle attività core, regolate da norme speciali (per esempio sulla conservazione degli atti di indagine). Le funzioni amministrative ordinarie di un ministero dell'interno o di un comando di polizia, invece, restano nel CAD: rilascio di documenti, gestione del personale, contratti pubblici, comunicazioni con cittadini e imprese. La regola è funzionale, non soggettiva.
Posso usare la PEC per comunicare con un'autorità indipendente?
Sì. Le autorità amministrative indipendenti di garanzia, vigilanza e regolazione (per esempio AGCOM, Garante Privacy, ANAC, Banca d'Italia per le funzioni amministrative) sono espressamente incluse nell'articolo 2, comma 2, lettera a). Devono quindi pubblicare e mantenere aggiornato il proprio domicilio digitale nell'IPA (Indice degli indirizzi della pubblica amministrazione, articolo 6-ter del CAD). Le comunicazioni inviate al loro domicilio digitale producono gli effetti della raccomandata con ricevuta di ritorno ai sensi dell'articolo 6 del CAD.
Vedi anche