L’Amministrazione è scusata per gli errori dei propri fornitori di servizi

"Nel caso di specie, l'attestazione di SOGEI è proprio nel senso di evidenziare il mancato completamento della predetta attività prima del 14 maggio 2018 (è questa la data in cui risulta dall'atto depositato il completamento della notifica), sì da non potersi inverare prima (l'avvio alla notifica in data 4 aprile 2018) la condizione idonea alla decorrenza del termine breve. Ricorre, dunque, nella specie l'ipotesi accordata anche dalla Plenaria di difetto di funzionamento non imputabile al destinatario idoneo a far venire meno gli effetti della notifica PEC (Cons. Stato, Ad. Plenaria, del 10 dicembre 2014, n. 33; Cons. Stato, del 7 dicembre 2016, n. 5164). Ne consegue che – nella specie che occupa – non poteva esservi la notifica, prima del completamento dell'operazione di consegna del messaggio PEC, che risulta essere stato oggetto di incidente informatico (vedi relazione del gestore allegata alla memoria del 19 giugno 2018)”.

Il Ministero dell'interno notificava al Comune l'atto di appello avverso la sentenza che riconosceva la legittimità dello scioglimento di un Comune. Il Comune, costituendosi in giudizio, riteneva l'appello tardivo in quanto notificato successivamente al decorso del termine breve. Infatti, la sentenza era stata notificata in data 4 aprile 2018 e l'appello il 30 maggio 2018, sebbene al procedimento dovesse applicarsi il rito abbreviato di cui all'art. 119 del codice del processo amministrativo, visto l'oggetto della causa (provvedimenti di scioglimento degli organi di governo degli enti locali).

L'Avvocatura eccepiva, tuttavia, che non fosse decorso il termine breve dal momento che la notifica della sentenza a mezzo PEC sarebbe stata nulla. Ciò, in ragione del fatto che l'attestazione di conformità del provvedimento avrebbe violato le specifiche tecniche in materia, oltre a non recare l'hash informatico, oltre alla mancanza di alcuni requisiti nella relata di notifica.

In secondo luogo, l'Avvocatura chiedeva il riconoscimento dell'errore scusabile dal momento che la tardività nella consegna del messaggio PEC era dovuto a un errore di funzionamento del sistema informatico non attribuibile all'Avvocatura ma al gestore della posta elettronica certificata SOGEI.

La sentenza in commento affronta varie questioni rilevanti dal punto di vista dell'informatica giuridica.

In primo luogo, il Collegio è chiamato a pronunciarsi sull'irregolarità (sanabile) del provvedimento non munito di attestazione di conformità da parte del mittente, in ragione dell'applicabilità dell'art. 23-bis del Codice dell'Amministrazione Digitale.

In secondo luogo, con riferimento al valore giuridico della ricevuta di consegna del messaggio PEC notificato, i giudici di Palazzo Spada ne affermano la piena efficacia fino a querela di falso.

L'aspetto che più di altri rappresenta una novità è la concessione del rimedio della rimessione in termini, considerando scusabile la tardività della notifica dovuta a fatto del gestore del messaggio di posta elettronica certificata.

L'istituto dell'errore scusabile di cui all'art. 37 c.p.a. rappresenta terreno assai proficuo per l'intervento giurisprudenziale, viste le numerose pronunce in materia. Il codice del processo amministrativo, infatti, indica che il giudice può disporre la rimessione in termini in presenza di “oggettive ragioni di incertezza su questioni di diritto o di gravi impedimenti di fatto”. Risulta, quindi, fondamentale l'elaborazione giurisprudenziale per individuare la ricorrenza dei presupposti nelle varie fattispecie.

In materia di processo amministrativo telematico, l'istituto è stato più volte applicato nella fase iniziale di avvio del nuovo sistema, in ragione della novità della materia e dei contrasti giurisprudenziali su alcune questioni (nota è la vicenda dell'inesistenza o meno della notifica a mezzo PEC prima della data di entrata in vigore del PAT. Ex multis TAR Lazio, Sez. II bis, 5 luglio 2016, n. 7676).

Elemento di novità della pronuncia del Consiglio di Stato, riguarda la correlazione tra il completamento del processo di notifica in caso di “errore scusabile” e il momento di perfezionamento dello stesso in ragione del principio di scissione del perfezionamento della notifica per effetto della pronuncia della Corte costituzionale n. 28/2004, qualora la determinazione di tale momento vada imputata a soggetto esterno il destinatario.

Vale la pena soffermarsi sul funzionamento dell'invio di un messaggio PEC a un'altra casella di posta elettronica certificata.

Il mittente (client) invia il messaggio tramite il proprio fornitore di servizio PEC (provider), che genera (inviandolo al mittente) una prima ricevuta di accettazione per segnalare che la richiesta di invio è stata accolta, attestando il momento dell'invio. Al messaggio (busta) viene applicata una firma elettronica per garantire l'immodificabilità dello stesso, come se si trattasse di un sigillo.

Se potessimo idealmente seguire l'impulso elettrico che racchiude la sequenza binaria della busta elettronica attraverso l'infrastruttura informatica, potremmo arrivare al fornitore del servizio PEC del destinatario. A questo punto, il destinatario non è ancora in grado di visualizzare il messaggio PEC aprendo la busta. Il gestore deve, infatti, effettuare dei controlli per generare la ricevuta di consegna e attestare l'avvenuta consegna, la data di consegna e il contenuto consegnato al momento di inserimento della busta nell'inbox del mittente. In caso di errore di ricezione, non solo il destinatario non avrà accesso al messaggio, ma il fornitore non potrà generare la ricevuta di consegna.

Viste le fasi del processo notificatorio a mezzo PEC, il Consiglio di Stato si è interrogato sul momento del perfezionamento della notifica ai fini della tardività dell'atto di appello.

Il Consiglio di Stato ha ritenuto pacificamente operante, nel caso di specie, il principio di scissione del perfezionamento della notifica di cui alla sentenza della Consulta n. 28/2004.

Il perfezionamento, per il mittente, fa riferimento alla data di generazione della ricevuta di accettazione, mentre il perfezionamento per il destinatario, è da ricondurre alla data di generazione del messaggio di avvenuta consegna.

Quando, come nel caso di specie, la ricevuta di consegna non viene generata per un malfunzionamento del sistema, il processo notificatorio non si completa, determinando la tardività dell'appello proposto dal Comune.

Visto il procedimento di invio della busta dal mittente al destinatario attraverso i reciproci gestori PEC, risulta invece innovativo il principio che riconosce l'errore scusabile nel caso di specie.

La giurisprudenza è più volte tornata sugli indici che determinano una “oggettiva ragione di incertezza” o “gravi impedimenti di fatto”.

L'errore scusabile e la conseguente rimessione in termini presuppone, infatti, una situazione normativa confusa oppure uno stato di incertezza per la oggettiva difficoltà di interpretazione di una norma, o ancora, per contrasti giurisprudenziali esistenti o per il comportamento non lineare dell'amministrazione, idoneo a ingenerare convincimenti non esatti, o comunque di errore non imputabile al ricorrente.

Si possono quindi distinguere due categorie di indici per identificare uno scenario “scusabile”.

Da un lato, il riconoscimento dell'errore scusabile per la sussistenza di contrasti giudiziari, per l'incertezza del quadro normativo di riferimento o per la complessità della situazione di fatto (cfr., ex multis, Consiglio di Stato, sez. I, 6 settembre 2017, n. 4226), dall'altro, la presenza di un errore non imputabile alla parte.

La non imputabilità dell'errore alla parte, deve tuttavia fare riferimento all'accadimento di fatti che esulino dal controllo dello stessa, deve cioè trattarsi di una causa di forza maggiore.

Il Consiglio di Stato, invece, ritiene ricorrere un grave impedimento non imputabile alla sfera di controllo dell'Amministrazione per due motivi.

In primo luogo, la sentenza ricostruisce il rapporto esistente tra il Ministero e il fornitore del servizio PEC, ritenendo che l'errore vada attribuito al gestore e non alla parte processuale.

Secondo il Consiglio di Stato, infatti, non ci sarebbe un rapporto di identificazione interorganica tra SOGEI e l'Amministrazione. Per tale motivo, l'errore non potrebbe essere attribuito all'Avvocatura, dal momento che il malfunzionamento del sistema informatico e il ritardo nella generazione della ricevuta di consegna va collocato al di fuori della sfera di controllo dell'Avvocatura (e, quindi, del Ministero).

In secondo luogo, i Giudici di Palazzo Spada, richiamano una precedente pronuncia dell'Adunanza Plenaria del Consiglio di Stato in tema di funzionamento della PEC, in quanto “ricorre, dunque, nella specie l'ipotesi accordata anche dalla Plenaria di difetto di funzionamento non imputabile al destinatario idoneo a far venire meno gli effetti della notifica PEC”.

La pronuncia dell'Adunanza Plenaria riguardava la concessione dell'errore scusabile nel caso dell'invio dell'avviso di perenzione, ritenendo che la sicurezza della PEC come strumento di comunicazione comporti il ricorrere dell'errore scusabile solo qualora il malfunzionamento non sia imputabile al destinatario e rappresenti una causa di forza maggiore (Consiglio di Stato, Adunanza Plenaria, 10 dicembre 2014, n. 33).

La fattispecie analizzata dall'Adunanza Plenaria riguarda, pertanto, l'invio di comunicazioni tra ufficio giudiziario e parte e non la notificazione a mezzo PEC tra le parti. Tale orientamento è stato recentemente confermato dal TAR Lazio, Sez. II bis, sent. 12 settembre 2018 n. 9312, che ritiene non ricorrere errore scusabile quando il destinatario riceva effettivamente il messaggio e non vi siano, pertanto, difetti di funzionamento del sistema informatico.

La concessione della rimessione in termini, nel caso di specie, ha consentito all'Amministrazione di effettuare la notifica dell'atto di appello ben dopo la scadenza naturale del termine breve, ritenendo il Collegio che il perfezionamento della notifica, anche ai fini del computo del termine breve, vada ricondotto al momento di effettiva generazione (tardiva) della ricevuta di consegna.

Tale impostazione, tuttavia, è foriera di prestarsi a gravi conseguenze, dal momento che, in tal modo, si finisce per attribuire al destinatario la capacità di determinare il momento da cui far decorrere i termini dell'impugnazione della sentenza. Il mittente, infatti, pur facendosi parte diligente, non potrebbe giovarsi del termine breve, dovendosi così arrendere alla validità di un atto notificato successivamente, senza avere alcun controllo nella determinazione del perfezionamento della propria notifica.

Come visto, infatti, la generazione della ricevuta di consegna dipende dal gestore del destinatario.

La soluzione proposta dal Consiglio di Stato contrasta con la più recente giurisprudenza della Corte di Cassazione.

Recentemente, la Corte di Cassazione ha stabilito che in caso di “casella PEC piena” del destinatario, la notifica a mezzo PEC debba considerarsi comunque perfezionata (Corte di Cassazione, sez. Lavoro, sentenza 21 maggio 2018, n. 12451). Secondo la Suprema Corte, infatti, ogni titolare di account di posta elettronica certificata ha il dovere di assicurarsi il corretto funzionamento della propria casella postale, di utilizzare dispositivi di vigilanza e di controllo, e di “attivarsi affinché i messaggi possano essere regolarmente recapitati” (nello stesso senso anche Corte di Cassazione, Sez. Lavoro, sentenza 13 marzo 2014, n. 15070).

Tale orientamento appare preferibile, dal momento che ciascun ente pubblico o privato deve essere chiamato a rispondere dei fornitori che coinvolge nella propria struttura organizzativa. Sebbene non applicabile al caso di specie, la normativa in materia di protezione dei dati personali pone massima importanza a tale impostazione.

Il recente Regolamento Europeo n. 679/2016 ha confermato che i titolari del trattamento dei dati personali sono chiamati a dare istruzioni ai c.d. data processor, cioè soggetti che effettuano trattamenti di dati personali per loro conto, dovendo inoltre essere in grado di dimostrare di poter esercitare concreti controlli sugli stessi anche tramite audit.

Anche in materia di sicurezza delle informazioni, è pacifica la medesima impostazione: ogni ente pubblico o privato deve adottare misure tecniche e organizzative per creare una catena di fiducia che coinvolga tutti i fornitori, soprattutto qualora gestiscano asset così importanti (si pensi, tra tutte, alle misure di sicurezza proposte dallo standard ISO/IEC 27001:2013 in materia di sicurezza informatica o lo standard ISO/IEC 27018:2014 sul trattamento dei dati tramite servizi cloud).

Rientra tra tali misure tecniche assicurare misure di disaster recovery che limitino gli effetti del malfunzionamento nel tempo o stipulare specifici accordi con i fornitori di servizi per assicurare un livello di sicurezza adeguato.

A conferma di tale impostazione, è curioso notare, tra l'altro, che la natura del rapporto tra SOGEI e la Pubblica Amministrazione nel senso dell'imputabilità alla P.A. dell'operato della società in house, è stato recentemente affermato dal TAR Lazio.

La vicenda riguarda il malfunzionamento di un software fornito da SOGEI alla società di gestione dell'ippodromo romano, sulla base di una convenzione esistente tra SOGEI e Ministero dell'Economia e delle Finanze.

Il giudice romano ha ritenuto che il malfunzionamento fosse imputabile all'Amministrazione.

Non solo: la pronuncia contiene un obiter dictum, secondo cui il MEF avrebbe titolo per rivalersi su SOGEI, dovendo in tale autonomo giudizio “dimostrare che il proprio inadempimento sia riconducibile, a monte, ad un inadempimento di detta Società (SOGEI) nella gestione e manutenzione del sistema del totalizzatore” (TAR Lazio, Sez. II bis, sent. 12 settembre 2018, n. 9312).

Il rapporto esistente tra la Società in house e l'Amministrazione, se riconosciuto dal Consiglio di Stato, non avrebbe mai potuto portare a considerare “non dipendente dall'Avvocatura” il malfunzionamento del suo fornitore di servizi, in tal modo frustrando la diligenza della parte vincitrice in primo grado.