Certificare le ore donate: tracciabilità e verificabilità dell’impatto

Registrare le ore donate è necessario, ma non basta per certificare l’impatto. Un sistema credibile collega identità, attività, tempi, validazioni e deliverable, distinguendo ciò che è stato dichiarato da ciò che è stato verificato.

Tre livelli da non confondere

• Tracciamento operativo: chi ha svolto quale attività, per quale progetto e in quale periodo.
• Integrità tecnica: possibilità di rilevare modifiche non autorizzate e dimostrare che un’evidenza esisteva in un certo momento.
• Impatto: cambiamento prodotto per gli stakeholder, valutato con dati e criteri ulteriori rispetto alle ore.

Un registro perfettamente integro può contenere un dato inserito male. La tecnologia protegge il record dopo la registrazione, ma non sostituisce la qualità del processo che genera e valida l’informazione.

Quali dati rendono verificabile un’attività

Per ogni voce è utile conservare almeno:

• identificativo del progetto e dell’attività;
• persona, ruolo e organizzazione di appartenenza;
• data, durata e modalità di rilevazione;
• descrizione sintetica dell’attività;
• deliverable o evidenza collegata;
• soggetto che valida e momento della validazione;
• eventuali correzioni, con motivazione e traccia della versione precedente.

Il processo di validazione

1. il partecipante registra l’attività in modo tempestivo;
2. il responsabile di progetto controlla coerenza con piano e calendario;
3. l’ETS beneficiario conferma, quando pertinente, attività e utilità del deliverable;
4. le anomalie vengono corrette senza cancellare la storia del dato;
5. il report usa soltanto voci validate e indica il perimetro considerato.

Blockchain e registri distribuiti

Secondo il NIST, una blockchain è un registro condiviso progettato per rendere le alterazioni evidenti e resistenti. Può essere utile per ancorare l’impronta crittografica di un’evidenza, ma non dimostra da sola che il contenuto originario fosse vero, completo o raccolto legittimamente.

Per molti programmi un registro applicativo ben governato, con controllo degli accessi, log delle modifiche, firme e procedure di validazione, può essere più proporzionato. La scelta tecnologica deve seguire il rischio e l’uso del dato, non la moda.

Data certa e valore probatorio

Nel quadro eIDAS, una marca temporale elettronica collega data e ora a dati digitali. La marca temporale elettronica qualificata gode nell’Unione europea della presunzione di accuratezza della data e dell’ora e di integrità dei dati ai quali è collegata.

Un ancoraggio su blockchain non equivale automaticamente a una marca temporale qualificata. Se il progetto richiede efficacia probatoria specifica, occorre definire il servizio fiduciario, la conservazione e le responsabilità con competenze legali e tecniche adeguate.

Privacy e minimizzazione

Tracciabilità non significa pubblicare informazioni personali. Vanno raccolti soltanto i dati necessari, definiti tempi di conservazione e limitato l’accesso. Anche hash, identificativi e metadati devono essere valutati nel contesto, soprattutto quando possono essere ricondotti a una persona.

Fonti ufficiali

• NIST – Blockchain
• Commissione europea – eSignature FAQ e marche temporali

Questo contenuto è informativo e non sostituisce una valutazione legale, probatoria, privacy o di sicurezza sul caso concreto.