Archiviare le buste paga in linea non comporta le stesse esigenze di archiviare le foto delle vacanze. Il caveau digitale Arkevia, edito da Cegedim, mira precisamente alla conservazione a lungo termine di documenti HR sensibili. La domanda che sorge è: quali criteri tecnici e normativi distinguono realmente questo tipo di servizio da un semplice spazio di archiviazione cloud?
Caveau digitale e archiviazione cloud: criteri di distinzione normativi
La confusione tra uno spazio di archiviazione classico e un caveau digitale persiste perché l’interfaccia utente spesso si somiglia. Le differenze si trovano sotto, nelle garanzie tecniche e legali.
| Criterio | Archiviazione cloud classica | Caveau digitale (tipo Arkevia) |
|---|---|---|
| Accesso ai documenti | Fornitore e utente | Solo utente (e persone delegate) |
| Crittografia dei contenuti | Variabile, spesso solo in transito | Crittografia che rende i dati incomprensibili a terzi non autorizzati |
| Norma di archiviazione | Nessun obbligo specifico | NF Z42-020 (integrità e tracciabilità) |
| Durata di conservazione garantita | Legata all’abbonamento | Fino a 50 anni o 75 anni dall’utente |
| Hosting | Server internazionali frequenti | Server localizzati in Francia |
| Quadro CNIL applicabile | RGPD generale | Raccomandazione CNIL di ottobre 2023 sui caveau digitali |
La raccomandazione pubblicata dalla CNIL in ottobre 2023 precisa che il termine “caveau digitale” impone obblighi specifici. Il servizio deve garantire che i documenti rimangano inaccessibili e incomprensibili a qualsiasi terzo non autorizzato, incluso lo stesso editore. Le informazioni fornite all’utente devono essere esplicite sul tipo esatto di spazio messo a disposizione e sui suoi eventuali limiti.
Per saperne di più su Arkevia e il suo caveau, è necessario comprendere che questa distinzione normativa non è cosmetica. Essa condiziona il valore probatorio dei documenti archiviati in caso di contenzioso o di controllo.
Norma NF Z42-020 e sigillatura digitale: cosa protegge realmente Arkevia
La norma NF Z42-020 regola i componenti di un caveau digitale nel senso stretto. Essa definisce i requisiti di integrità, tracciabilità e restituzione dei documenti elettronici a lungo termine.
Arkevia si basa su un meccanismo di sigillatura digitale che impedisce qualsiasi modifica dopo il deposito. Ogni documento depositato riceve un timestamp e un’impronta crittografica. Se il file viene alterato, anche di un solo byte, l’impronta non corrisponde più e l’anomalia è rilevabile.
Questo sistema differisce fondamentalmente da un semplice versionamento di file. In uno spazio cloud standard, un documento può essere sovrascritto, rinominato o eliminato dall’utente o dall’amministratore. In un caveau conforme NF Z42-020, il documento sigillato non può essere né modificato né eliminato prima della scadenza legale.
Limiti della sigillatura nella pratica
La sigillatura garantisce l’integrità del file depositato, non la qualità del documento sorgente. Se il datore di lavoro deposita un busta paga contenente un errore, il caveau conserva fedelmente questo errore. La correzione richiede un nuovo deposito, il precedente rimane archiviato con il suo timestamp originale.
La reversibilità dei dati costituisce un altro punto tecnico notevole. Se l’azienda cambia fornitore o cessa l’attività, il dipendente deve poter recuperare l’interezza dei suoi documenti. Arkevia mantiene l’accesso ai file anche dopo il trasferimento del dipendente dall’azienda, per tutta la durata legale di conservazione.
Conservazione a lungo termine delle buste paga: obblighi del datore di lavoro e diritti del dipendente
L’automazione del flusso tra il software di busta paga e il caveau digitale elimina l’intervento manuale. Le buste paga arrivano direttamente nello spazio personale del dipendente, ogni mese, senza azione da parte sua. Questo funzionamento riduce i rischi di perdita legati alla distribuzione cartacea o all’invio tramite email non sicura.
Tre elementi condizionano l’affidabilità di questa conservazione:
- La durata legale di conservazione di 50 anni (o fino ai 75 anni del dipendente) si applica indipendentemente dal legame contrattuale tra il datore di lavoro e l’editore del caveau
- Il dipendente conserva un accesso personale tramite identificativi unici, anche dopo aver lasciato l’azienda
- I documenti personali (documenti d’identità, contratti, attestazioni) possono essere archiviati in uno spazio dedicato, distinto dallo spazio del datore di lavoro
Quest’ultimo punto è spesso sottovalutato. Lo spazio personale gratuito integrato in Arkevia consente al dipendente di centralizzare i propri documenti amministrativi accanto alle proprie buste paga. La separazione tra i due spazi garantisce che il datore di lavoro non abbia accesso ai file personali del dipendente.
Raccomandazione CNIL 2023: impatto concreto sui caveau digitali HR
La raccomandazione della CNIL di ottobre 2023 sui servizi di caveau digitale destinati ai privati introduce requisiti che i contenuti esistenti su Arkevia non dettagliano.
Il fornitore deve informare chiaramente l’utente delle condizioni esatte del servizio. Ciò include le modalità di crittografia utilizzate, le persone che potrebbero accedere tecnicamente ai dati e gli scenari di restituzione in caso di chiusura del servizio.
Questa trasparenza non è opzionale. Un servizio che si presenta come “caveau digitale” senza rispettare queste condizioni di informazione si espone a una riqualificazione. In pratica, ciò significa che l’appellativo stesso impegna giuridicamente il fornitore su un livello di protezione superiore al semplice archiviazione.
Isolamento e crittografia lato server
La raccomandazione insiste sull’isolamento forte tra gli utenti. In un contesto HR in cui migliaia di dipendenti condividono la stessa infrastruttura tecnica, questo isolamento impedisce che una falla su un conto comprometta i documenti di un altro dipendente.
La crittografia deve rendere i contenuti incomprensibili anche per il personale tecnico del fornitore. Questo livello di esigenza supera ciò che offrono la maggior parte delle soluzioni di archiviazione online per il grande pubblico, dove l’hosting generalmente conserva la capacità tecnica di leggere i file.
La protezione dei documenti HR sensibili si basa quindi meno sull’interfaccia utente e più sull’architettura tecnica sottostante. Un caveau digitale conforme protegge i file anche contro il proprio editore, il che rimane il criterio più affidabile per valutare la solidità di una soluzione come Arkevia.