Migrazione cloud PA locale: controlli PNRR e tutela dei dati (Corte dei Conti Sez. contr. gestione Stato n. 41 del 13.02.2024)

Principi di diritto (Massima)
La migrazione di basi dati e applicazioni delle amministrazioni pubbliche locali verso ambienti cloud certificati costituisce strumento di buona amministrazione, attuativo dei canoni di cui all’art. 97 Cost. e all’art. 41 della Carta di Nizza-Strasburgo. Il controllo sulla gestione di cui all’art. 3, comma 4, della legge n. 20/1994 e all’art. 7, comma 7, del d.l. n. 77/2021 accompagna l’azione amministrativa nel suo farsi, secondo una logica di integrazione e non di mera conformazione. L’attuazione dell’investimento PNRR deve essere sorretta da un monitoraggio costante, perché siano garantiti qualità, affidabilità, scalabilità e portabilità delle infrastrutture e dei servizi, nonché la piena sicurezza dei dati oggetto di trasferimento.

Il Fatto

La Sezione centrale di controllo sulla gestione delle Amministrazioni dello Stato ha esaminato l’investimento 1.2 del PNRR, “Abilitazione e facilitazione migrazione al cloud”, complementare all’investimento 1.1 sulle infrastrutture digitali. L’intervento, di titolarità della Presidenza del Consiglio dei ministri e gestito dal Dipartimento per la trasformazione digitale, mira a sostenere le amministrazioni locali nel trasferimento di dataset e applicazioni verso un’infrastruttura cloud sicura.

L’indagine si colloca nel quadro programmatico dei controlli PNRR definito con la deliberazione n. 7/2023/G. Il monitoraggio si è svolto attraverso successivi momenti di contraddittorio con l’amministrazione titolare, con richieste istruttorie e riscontri aggiornati fino alla data del 31 dicembre 2023.

La Motivazione della Corte

La Corte muove dalla constatazione che la transizione digitale e il cloud computing sono misurabili con lo strumento del controllo sulla gestione, che si concreta in un raffronto ex post tra obiettivi e risultati e accompagna l’attività amministrativa anche in corso di esercizio. Alla dinamicità del progresso tecnologico deve correlarsi un controllo di integrazione e un monitoraggio che inneschi processi di autocorrezione.

Quanto al quadro finanziario, le risorse dell’investimento ammontano a complessivi euro 1.000.000.000,00, assegnate alla P.C.M. quale amministrazione centrale titolare. Il cronoprogramma prevede la migrazione di 12.464 amministrazioni locali verso ambienti cloud certificati, con tappe intermedie scandite da milestone e target.

La Corte dà atto dell’avvenuto conseguimento della milestone intermedia del 31 marzo 2023, relativa all’aggiudicazione dei bandi per l’abilitazione al cloud, e del Target M1C1-139 concernente la migrazione di 1.064 amministrazioni locali. Rileva, altresì, che l’amministrazione ha rappresentato il raggiungimento agevole del target di settembre 2024.

Sul piano dei presidi, la Sezione sottolinea che l’attuazione deve essere compatibile con i principi posti a tutela della sicurezza dei dati. Richiama il GDPR e la necessità di osservare i principi di data protection by design e by default, nonché la data sovereignty, a salvaguardia degli interessi essenziali dello Stato. L’architettura cloud non può non assicurare l’effettiva tutela dei dati oggetto di migrazione.

La Corte raccomanda infine un costante raccordo tra i soggetti coinvolti e una piena simmetria informativa verso gli organi di controllo, con segnalazione delle criticità e verifica in itinere dell’adeguatezza delle risorse finanziarie e umane. La deliberazione è stata trasmessa alle Presidenze delle Camere, al Ministro dell’economia e delle finanze, all’AgID e all’ACN, con obbligo di comunicazione delle misure consequenziali entro quattro mesi.