Migrazione cloud PA locale: controllo gestione e garanzie dati (Corte dei Conti Sez. contr. gestione Stato n. 17 del 06.02.2025)

Principi di diritto (Massima)
Il controllo sulla gestione degli interventi finanziati dal PNRR, ai sensi dell’art. 3, comma 4, legge n. 20/1994 e dell’art. 7, comma 7, d.l. n. 77/2021, verifica la corrispondenza dei risultati dell’attività amministrativa agli obiettivi stabiliti e valuta comparativamente costi, modi e tempi dell’azione. La migrazione al cloud delle amministrazioni pubbliche locali costituisce strumento di buona amministrazione, in quanto promuove efficacia, efficienza ed economicità dell’azione amministrativa. L’attuazione dell’investimento deve essere compatibile con i principi che presiedono alla sicurezza dei dati e alla protezione dei dati personali, nonché con l’esigenza di data sovereignty. L’amministrazione titolare è tenuta a garantire una piena simmetria informativa verso la Corte e verso gli organi di governance del Piano, comunicando lo stato di avanzamento degli obiettivi e le criticità riscontrate.

Il Fatto

La Sezione centrale di controllo sulla gestione delle Amministrazioni dello Stato della Corte dei conti ha sottoposto a verifica l’investimento M1C1-1.2 “Abilitazione e facilitazione migrazione al cloud”, complementare all’investimento 1.1 sulle infrastrutture digitali. L’intervento, a titolarità della Presidenza del Consiglio dei ministri, mira a supportare la migrazione di dataset e applicativi di una parte sostanziale della pubblica amministrazione locale verso un’infrastruttura cloud sicura, secondo una logica di migration as a service.

Il rapporto esamina il quadro finanziario, le risorse umane impiegate e gli step attuativi dell’investimento, alla luce del contraddittorio sviluppato con l’amministrazione titolare e con le altre amministrazioni coinvolte. All’esito dell’istruttoria la Sezione ha deliberato l’approvazione del rapporto con le indicazioni formulate in camera di consiglio.

La Motivazione della Corte

La Corte muove dalla constatazione che la centralità del cloud computing nell’architettura del Piano Nazionale di Ripresa e Resilienza impone una verifica rigorosa delle modalità del passaggio di dati e applicazioni alla “nuvola”. La transizione digitale, sostenuta dal Regolamento (U.E.) 2021/241, si riflette nella Missione 1 e nel principio cloud first, che impegna le amministrazioni ad adottare primariamente il paradigma cloud.

Il percorso argomentativo si sofferma sui profili di rischio connessi alla sicurezza dei dati. La Corte richiama la “Strategia Cloud Italia” e il Regolamento (U.E.) 2016/679, valorizzando i principi di privacy by design e privacy by default, nonché il diritto dell’interessato al pieno controllo delle proprie informazioni. La migrazione deve, inoltre, confrontarsi con la normativa extra U.E. che potrebbe consentire richieste unilaterali di accesso ai dati.

Quanto agli step attuativi, la Corte dà atto dell’avvenuto conseguimento della Milestone intermedia del 31 marzo 2023, relativa all’aggiudicazione dei bandi di abilitazione al cloud, e del Target M1C1-139, concernente la migrazione, entro settembre 2024, di 4.083 amministrazioni locali verso ambienti cloud certificati. Le risorse finanziarie assegnate all’investimento ammontano a un miliardo di euro.

Il Collegio raccomanda al Dipartimento un monitoraggio costante, affinché lo sviluppo dell’intervento resti coerente con gli obiettivi del Piano, le infrastrutture presentino le caratteristiche di qualità e portabilità delineate dal Regolamento AGID n. 628/2021 e l’intervento risulti appieno compatibile con i principi di sicurezza dei dati. Particolare attenzione è richiesta all’oculato impiego delle risorse e all’adeguatezza delle professionalità impiegate.

La Corte sottolinea, infine, la nodale importanza dell’Unità di Missione presso il Dipartimento per la trasformazione digitale e la necessità di un costante raccordo tra i soggetti coinvolti e con gli organi di controllo, a presidio della simmetria informativa. Le amministrazioni interessate comunicheranno alla Corte e al Parlamento, entro quattro mesi, le misure consequenziali adottate.