Data room per appalti pubblici e progetti PNRR: fascicolo di gara, accesso agli atti, conservazione documentale

Perché una stazione appaltante ha bisogno di una data room oltre alla piattaforma di e-procurement

Il Codice dei contratti pubblici (D.Lgs. 36/2023) ha reso la gestione digitale dell'intero ciclo di vita del contratto la regola e non l'eccezione. Dal 1° gennaio 2024 le procedure si svolgono attraverso piattaforme di approvvigionamento digitale certificate, interoperabili con la Banca Dati Nazionale dei Contratti Pubblici gestita da ANAC attraverso l'infrastruttura della Piattaforma Digitale Nazionale Dati. Questa architettura copre la pubblicazione degli avvisi, la ricezione e la custodia delle offerte, le comunicazioni formali ai concorrenti e l'alimentazione dei dati verso la BDNCP.

Non copre, però, tutto ciò che accade prima, accanto e dopo la procedura di gara. Prima: la programmazione, la progettazione, le verifiche preventive, i pareri degli enti terzi, gli studi di fattibilità tecnica ed economica, la documentazione ambientale, il confronto con i progettisti esterni. Accanto: l'istruttoria riservata della commissione giudicatrice, i verbali in bozza, il soccorso istruttorio, le verifiche sui requisiti, la corrispondenza con l'ufficio legale. Dopo: l'esecuzione del contratto, i SAL, le varianti, i subappalti, il collaudo, la rendicontazione al soggetto attuatore e i controlli di secondo livello.

È esattamente in questi tre spazi che si concentra il rischio documentale di un intervento pubblico, ed è qui che la maggior parte delle amministrazioni italiane lavora ancora con posta elettronica ordinaria, cartelle di rete condivise senza tracciamento, servizi di trasferimento file consumer e chiavette USB. Il risultato è prevedibile: quando arriva la richiesta di accesso agli atti, o quando arriva l'audit, nessuno riesce a ricostruire con certezza chi ha ricevuto quale versione di quale documento e in quale data. Una data room virtuale non è un adempimento in più: è il luogo in cui questa ricostruzione diventa automatica.

Se sta valutando lo strumento per la prima volta, la nostra introduzione alla Virtual Data Room spiega il concetto generale; questa pagina si concentra sul caso d'uso pubblico italiano.

• Vuoto a monte della gara: la piattaforma di e-procurement si attiva con l'avvio della procedura, ma la documentazione progettuale circola per mesi prima, tra RUP, progettisti, verificatori ed enti terzi.
• Vuoto laterale: l'istruttoria della commissione, le bozze di verbale e i pareri legali non sono atti da caricare in piattaforma finché non sono definitivi, ma devono comunque essere condivisi in modo controllato.
• Vuoto a valle: l'esecuzione contrattuale genera un volume documentale spesso superiore a quello della gara, e quasi sempre viene gestita fuori dalla piattaforma.
• Vuoto verso l'esterno: operatori economici, RTI, subappaltatori, direzione lavori e collaudatori hanno bisogno di accessi differenziati che le cartelle di rete dell'ente non sanno gestire.

Cosa impone il Codice dei contratti pubblici e dove si ferma la piattaforma di e-procurement

Il Libro I, Parte II del Codice dedica un intero titolo alla digitalizzazione del ciclo di vita dei contratti. Il principio guida è l'unicità dell'invio: un dato o un documento trasmesso una volta a un'amministrazione non deve essere richiesto una seconda volta, perché le banche dati devono parlarsi. L'articolo 25 disciplina le piattaforme di approvvigionamento digitale, che devono essere certificate per potersi interfacciare con i servizi della BDNCP. L'articolo 23 disciplina la Banca Dati Nazionale dei Contratti Pubblici e il fascicolo virtuale dell'operatore economico.

Il Fascicolo Virtuale dell'Operatore Economico (FVOE) ha sostituito il vecchio AVCPass come repository dei documenti che comprovano i requisiti di partecipazione. Dopo il decreto correttivo del 2024 e i successivi comunicati ANAC, l'accesso della stazione appaltante al fascicolo è divenuto automatico, senza autorizzazione preventiva, e passa attraverso le piattaforme di approvvigionamento digitale certificate e interoperabili. Questo riduce sensibilmente la documentazione che l'ente deve chiedere direttamente al concorrente, ma non azzera il fabbisogno di scambio documentale riservato: le dichiarazioni integrative, i chiarimenti sostanziali, gli allegati tecnici e la corrispondenza istruttoria restano fuori dal fascicolo.

Va detto con chiarezza, perché è la principale fonte di equivoco: una data room virtuale non è una piattaforma di approvvigionamento digitale e non può sostituirla. Non riceve offerte, non le custodisce con marcatura temporale ai fini della gara, non genera il CIG, non dialoga con la BDNCP. Chi propone una VDR come alternativa alla piattaforma certificata sta descrivendo male il prodotto. La data room è uno strumento di collaborazione documentale controllata che si colloca a monte, a lato e a valle della procedura formale.

Tracciare questo confine è il primo esercizio da fare quando si introduce una data room in un ente. Se il confine è vago, il personale caricherà gli stessi documenti in due posti, oppure ne caricherà alcuni solo nel posto sbagliato: entrambi gli esiti sono peggiori della situazione di partenza. La regola operativa più semplice è che tutto ciò che ha rilevanza procedimentale formale verso i concorrenti vive in piattaforma; tutto ciò che è istruttoria, collaborazione, preparazione o esecuzione vive in data room.

Un secondo criterio utile riguarda il destinatario. La piattaforma parla con gli operatori economici che partecipano alla procedura, in forma pubblica o comunque formalizzata. La data room parla con soggetti selezionati e nominativi: il progettista incaricato, il verificatore del progetto, il commissario di gara, il legale esterno, il direttore dei lavori, il collaudatore, il revisore che esegue il controllo di secondo livello sul progetto PNRR. Sono controparti che non hanno una casella nella piattaforma di gara e che oggi ricevono i file per posta elettronica.

Un terzo criterio riguarda la durata. La piattaforma conserva l'evidenza della procedura secondo le proprie regole e i propri profili di accesso, ma non è pensata come archivio di lavoro pluriennale del progetto. Un intervento PNRR può durare quattro o cinque anni tra progettazione, gara, esecuzione e rendicontazione, e la documentazione dovrà restare recuperabile ben oltre il collaudo. La data room copre l'intero arco temporale del progetto con un indice stabile, e alimenta poi il sistema di conservazione a norma con i documenti che devono mantenere valore probatorio.

• Piattaforma di approvvigionamento digitale: certificata, interoperabile con la BDNCP, gestisce bando, offerte, comunicazioni formali, aggiudicazione, stipula. Obbligatoria.
• Fascicolo Virtuale dell'Operatore Economico: repository dei documenti sui requisiti, alimentato dagli enti certificatori, consultato dalla stazione appaltante via piattaforma.
• Data room virtuale: spazio riservato di condivisione documentale con permessi granulari, filigrana dinamica, NDA a monte dell'accesso e registro accessi esportabile. Facoltativa, ma decisiva sulla difendibilità del procedimento.
• Sistema di conservazione a norma: destinazione finale dei documenti informatici con valore probatorio nel tempo, secondo le Linee Guida AgID. Distinto sia dalla piattaforma sia dalla data room.

I quattro flussi documentali di un appalto PNRR che una data room governa davvero

Un intervento finanziato dal Piano Nazionale di Ripresa e Resilienza genera quattro flussi documentali distinti, con destinatari, riservatezza e orizzonti temporali diversi. Confonderli in un'unica cartella condivisa è la causa più frequente dei problemi che emergono in sede di controllo. Separarli in aree con permessi propri, fin dal primo giorno, costa mezza giornata di lavoro e risparmia settimane di ricostruzione successiva.

Il primo flusso è quello progettuale: dal documento di indirizzo alla progettazione fino al progetto esecutivo validato, passando per le verifiche, i pareri, le autorizzazioni paesaggistiche e ambientali, le conferenze di servizi. Coinvolge professionisti esterni e altre amministrazioni. Il secondo è quello procedurale: la documentazione di gara in senso stretto, il disciplinare, il capitolato, i chiarimenti, i verbali, le verifiche sui requisiti, l'aggiudicazione. Coinvolge la commissione, il RUP, gli uffici e i concorrenti.

Il terzo flusso è quello esecutivo: consegna dei lavori o avvio del servizio, ordini di servizio, SAL, contabilità, varianti, riserve, subappalti, sicurezza, collaudo o verifica di conformità. Coinvolge l'appaltatore, il direttore dei lavori o dell'esecuzione, il coordinatore per la sicurezza. Il quarto è quello di rendicontazione e controllo, specifico dei progetti finanziati: milestone e target, indicatori, checklist di autocontrollo, evidenze su titolarità effettiva, conflitto di interessi, doppio finanziamento, principio di non arrecare un danno significativo. Coinvolge il soggetto attuatore, l'amministrazione titolare della misura, gli organismi di audit.

• Flusso 1 — progettazione: cartella con sottolivelli per fase (fattibilità, definitivo, esecutivo), accesso in scrittura per il progettista incaricato, accesso in sola lettura per gli uffici, filigrana per gli enti terzi.
• Flusso 2 — procedura: area a doppia chiave, con una sottocartella accessibile alla sola commissione giudicatrice e una accessibile al RUP e al supporto amministrativo.
• Flusso 3 — esecuzione: cartella di commessa condivisa con appaltatore e direzione lavori, con caricamento consentito alla sola impresa nelle sezioni di sua competenza.
• Flusso 4 — rendicontazione: fascicolo di progetto in sola lettura, congelato a ogni scadenza di rendicontazione, con registro accessi esportato e allegato alla dichiarazione.

Il fascicolo di gara digitale: una struttura a dodici sezioni che regge fino all'audit

L'indice del fascicolo è la decisione più importante e la meno reversibile. Una struttura definita all'apertura e mai più modificata consente a chiunque, anche a distanza di anni e con il personale nel frattempo cambiato, di citare un documento con un riferimento univoco. Una struttura che cresce per accumulo, con cartelle chiamate «varie», «da sistemare» o con il cognome del dipendente che le ha create, rende ogni verifica successiva un lavoro archeologico.

La numerazione a due cifre delle sezioni di primo livello, con sottocartelle numerate a loro volta, è una convenzione semplice che funziona su ogni piattaforma. Ogni file dovrebbe avere un nome che inizia con la data in formato anno-mese-giorno, prosegue con il tipo di atto e termina con la versione. Questa disciplina, banale a descriversi, è ciò che distingue un fascicolo consultabile da un archivio inservibile.

Lo schema seguente è pensato per una procedura aperta sopra soglia relativa a un intervento di lavori finanziato dal PNRR. Per servizi e forniture le sezioni tecniche si semplificano, ma l'ossatura resta valida. Per la parte contrattuale ed esecutiva conviene aprire, fin dall'inizio, le sezioni che verranno riempite solo dopo l'aggiudicazione: lasciarle vuote e visibili ricorda a tutti che quella documentazione andrà prodotta.

• 01 — Programmazione e finanziamento: programma triennale e elenco annuale, atto di ammissione a finanziamento, atto d'obbligo o convenzione con l'amministrazione titolare, CUP, quadro economico iniziale.
• 02 — Progettazione: documento di indirizzo alla progettazione, progetto di fattibilità tecnica ed economica, progetto esecutivo, relazioni specialistiche, computo metrico, elenco prezzi.
• 03 — Verifiche e autorizzazioni: rapporto di verifica del progetto, validazione, pareri di enti terzi, autorizzazioni paesaggistiche e ambientali, verbali di conferenza di servizi.
• 04 — Determinazione a contrarre e nomina RUP: atto di nomina del responsabile unico del progetto, determinazione a contrarre, CIG, decisioni sulla procedura e sul criterio di aggiudicazione.
• 05 — Documentazione di gara: bando o avviso, disciplinare, capitolato speciale, schema di contratto, modulistica, DGUE, criteri di valutazione e relative formule.
• 06 — Chiarimenti e comunicazioni: quesiti ricevuti, risposte pubblicate, eventuali rettifiche, proroghe dei termini, comunicazioni ai concorrenti.
• 07 — Commissione giudicatrice: atto di nomina, curricula, dichiarazioni di assenza di conflitto di interessi e di incompatibilità, verbali di seduta riservata, schede di valutazione.
• 08 — Valutazione e aggiudicazione: verbali di seduta pubblica, graduatoria, verifica dell'anomalia, proposta di aggiudicazione, provvedimento di aggiudicazione, comunicazioni di esito.
• 09 — Verifiche sull'aggiudicatario: esiti FVOE, verifiche antimafia, regolarità contributiva, cauzione definitiva, polizze, dichiarazioni sulla titolarità effettiva.
• 10 — Contratto ed esecuzione: contratto stipulato, verbale di consegna, ordini di servizio, SAL, certificati di pagamento, varianti, riserve, autorizzazioni al subappalto.
• 11 — Collaudo e chiusura: certificato di regolare esecuzione o collaudo, conto finale, svincolo delle garanzie, documentazione di fine lavori.
• 12 — Rendicontazione e controlli: checklist di autocontrollo, evidenze su titolarità effettiva e conflitto di interessi, rendiconti, verbali di controllo, corrispondenza con gli organismi di audit.

Il RUP e l'onere della prova differita: cosa dovrà dimostrare fra tre anni

Con il Codice del 2023 la figura del responsabile unico del procedimento è diventata responsabile unico del progetto, e il cambio di denominazione non è cosmetico. Il RUP è nominato nel primo atto di avvio dell'intervento e presidia programmazione, progettazione, affidamento ed esecuzione, svolgendo le attività elencate nell'allegato I.2 del Codice o comunque necessarie ove non attribuite ad altri organi. È il punto di imputazione della responsabilità sul rispetto dei tempi e degli obiettivi, e la stazione appaltante può articolare il ruolo con responsabili di fase.

Da questa posizione discende un onere pratico che nessuna norma enuncia in modo esplicito ma che ogni RUP conosce: l'onere della prova differita. Nel momento in cui una decisione viene presa, tutti sanno perché è stata presa. Tre anni dopo, davanti a un revisore, a un magistrato contabile o a un giudice amministrativo, la decisione va ricostruita a partire dalle sole carte. Se le carte non dicono chi ha visto cosa e quando, la ricostruzione si appoggia alle memorie individuali, che sono deboli e spesso divergenti.

Una data room fornisce al RUP tre elementi che le cartelle di rete non forniscono: la certezza della versione condivisa, la certezza del destinatario e la certezza della data. Sapere che il progettista ha aperto la relazione geologica il 14 marzo alle 9:41, per undici minuti, non è un dettaglio da collezionista: è la differenza tra una contestazione che regge e una che cade. Lo stesso vale per il verificatore, per l'ente che ha rilasciato il parere e per l'impresa che ha ricevuto l'ordine di servizio.

Il registro accessi esportabile è, in questo senso, lo strumento centrale. Ne parliamo in dettaglio nella scheda dedicata all'audit log della data room, che descrive quali eventi devono essere tracciati e in quale formato conviene esportarli.

1. Nomina e perimetro: caricare l'atto di nomina e l'eventuale articolazione in responsabili di fase come primo documento del fascicolo, così che il perimetro delle responsabilità sia leggibile da subito.
2. Tracciare le trasmissioni: ogni invio a un soggetto esterno passa dalla data room, non dalla posta ordinaria. Se il destinatario chiede il file via email, si risponde con il link alla data room.
3. Congelare le versioni: alle scadenze significative (validazione, pubblicazione, aggiudicazione, SAL, rendicontazione) si esporta il registro accessi e si archivia una copia dell'indice.
4. Isolare l'istruttoria: le bozze e la corrispondenza interna restano in un'area a cui l'esterno non ha accesso, per non generare confusione tra atti definitivi e materiale di lavoro.
5. Documentare le eccezioni: quando per ragioni d'urgenza un documento viaggia fuori dalla data room, si carica comunque a posteriori con una nota che spiega la ragione e la data effettiva di invio.

Commissione giudicatrice: sedute riservate, bozze di verbale e valutazione delle offerte tecniche

La commissione giudicatrice lavora su materiale che è al tempo stesso riservatissimo durante la procedura e destinato a diventare pubblico, almeno in parte, subito dopo. Le offerte tecniche dei concorrenti contengono know-how industriale; le schede di valutazione contengono giudizi individuali dei commissari; le bozze di verbale contengono ripensamenti e discussioni che nel verbale definitivo non compaiono. Gestire questo materiale via posta elettronica personale dei commissari, come ancora accade, è una pratica che espone l'ente a rischi seri.

Il problema non è solo di riservatezza ma di integrità. Se un commissario riceve le offerte tecniche in allegato a un messaggio e le salva sul proprio computer, l'ente perde il controllo su quelle copie nel momento stesso in cui il messaggio parte. Se poi il commissario è un esperto esterno, quelle copie restano su un dispositivo che l'amministrazione non governa. Una data room con download disabilitato, filigrana dinamica recante nome e indirizzo del visualizzatore e revoca dell'accesso a fine incarico riporta il controllo dove deve stare.

Un terzo aspetto riguarda la parità di trattamento. Quando la commissione valuta offerte tecniche complesse, la sequenza e la simultaneità dell'accesso contano. Poter dimostrare che tutti i commissari hanno avuto accesso allo stesso materiale nello stesso momento, e che nessun documento è stato reso disponibile a uno solo di essi, è una garanzia procedurale che il registro accessi produce automaticamente e che nessun altro strumento produce.

• Area commissione separata dal resto del fascicolo, accessibile ai soli commissari e al segretario verbalizzante, chiusa alla data di approvazione della proposta di aggiudicazione.
• Download disabilitato sulle offerte tecniche, con visualizzazione in sola lettura nel browser e filigrana dinamica con nominativo, indirizzo di posta e marca temporale.
• Dichiarazioni di assenza di conflitto caricate prima dell'apertura dell'area, con accettazione tracciata come condizione di accesso.
• Schede di valutazione individuali in cartelle personali non visibili agli altri commissari fino alla seduta di confronto.
• Revoca automatica degli accessi alla chiusura dei lavori, con conservazione del registro accessi come allegato al verbale finale.

Conflitto di interessi, titolare effettivo e doppio finanziamento: gli obblighi PNRR che generano documenti

Il regolamento europeo che istituisce il dispositivo per la ripresa e la resilienza impone agli Stati membri di raccogliere e registrare, per ogni operazione, un insieme di dati standardizzati destinati alla sorveglianza, alla valutazione, alla gestione finanziaria, alla verifica e all'audit. Tra questi figurano nome, cognome e data di nascita del titolare effettivo del destinatario dei fondi o dell'appaltatore. La stessa disciplina richiede la prevenzione, l'individuazione e la rettifica delle situazioni di conflitto di interessi, delle frodi, della corruzione e del doppio finanziamento.

Nella pratica italiana questi obblighi si traducono in una quantità notevole di documentazione dichiarativa: dichiarazioni sostitutive dei titolari effettivi, dichiarazioni di assenza di conflitto di interessi rese da tutti i soggetti che intervengono nel procedimento, checklist di autocontrollo compilate a ogni fase, evidenze del controllo sul doppio finanziamento, attestazioni sul rispetto del principio di non arrecare un danno significativo. Il soggetto attuatore deve poter esibire questo materiale in qualsiasi momento, e deve poterlo esibire riferito alla persona giusta e alla data giusta.

È un tipo di documentazione che invecchia male se gestita per email. Le dichiarazioni vanno raccolte da decine di persone diverse, spesso con solleciti ripetuti; si perdono negli allegati; arrivano in formati diversi; qualcuna viene firmata e mai restituita. Una data room con una cartella dedicata per ciascuna categoria di dichiarante, e con il registro dei caricamenti visibile al RUP, trasforma il sollecito da attività investigativa a semplice lettura di un elenco.

• Cartella dichiarazioni conflitto di interessi: una sottocartella per ruolo (RUP, responsabili di fase, commissari, direttore dei lavori, collaudatore, personale di supporto), con un file per persona e per fase.
• Cartella titolarità effettiva: dichiarazioni e visure relative all'aggiudicatario, ai membri del raggruppamento, ai subappaltatori autorizzati, con la data di acquisizione visibile nel nome del file.
• Cartella doppio finanziamento: evidenze delle verifiche sull'assenza di altra copertura per le stesse spese, con riferimento agli identificativi di progetto.
• Cartella checklist: una checklist compilata e firmata per ciascuna fase, congelata al momento della rendicontazione.
• Cartella comunicazioni con l'amministrazione titolare: note, richieste di chiarimento, riscontri, con il registro accessi che dimostra la data di messa a disposizione.

Trasparenza e accesso agli atti: cosa si pubblica, cosa si ostende, cosa si oscura

L'articolo 35 del Codice disciplina l'accesso agli atti e la riservatezza nelle procedure di affidamento, stabilendo che l'accesso avviene esclusivamente in forma digitale e ammettendo espressamente l'applicabilità dell'accesso civico generalizzato al settore dei contratti pubblici. L'articolo 36 disciplina la messa a disposizione degli atti attraverso la piattaforma digitale: l'offerta dell'operatore economico aggiudicatario, i verbali di gara e gli atti, dati e informazioni presupposti all'aggiudicazione sono resi disponibili ai candidati e agli offerenti non definitivamente esclusi contestualmente alla comunicazione digitale dell'aggiudicazione.

Questo meccanismo, spesso chiamato accesso contestuale, ha modificato in modo sostanziale la dinamica del contenzioso: il concorrente non deve più presentare un'istanza e attendere, perché riceve il materiale insieme all'esito. Restano però tre aree di attrito. La prima riguarda i documenti coperti da segreti tecnici o commerciali, per i quali l'ostensione richiede la dimostrazione della stretta indispensabilità ai fini della difesa in giudizio. La seconda riguarda l'oscuramento dei dati personali contenuti nelle offerte. La terza riguarda le richieste che arrivano da soggetti diversi dai concorrenti, tipicamente in accesso civico generalizzato.

Per la stazione appaltante il problema pratico è che ogni documento potrebbe dover esistere in due versioni: quella integrale, ad uso interno e degli organi di controllo, e quella oscurata, destinata all'ostensione. Tenerle nella stessa cartella senza una convenzione rigida è il modo più efficiente per commettere un errore grave. Tenerle in cartelle separate, con permessi diversi e con il registro accessi che documenta quale versione è stata resa disponibile a chi, è una precauzione elementare che pochissimi enti adottano.

• Versione integrale: cartella accessibile a RUP, ufficio legale e organi di controllo. Nessun accesso esterno, mai.
• Versione oscurata: cartella dedicata all'ostensione, con i file già trattati e la nota che motiva ciascun oscuramento.
• Registro delle istanze: per ogni richiesta di accesso, l'istanza, il riscontro, l'elenco dei documenti resi disponibili e la data.
• Opposizioni dei controinteressati: le comunicazioni ai controinteressati e le eventuali opposizioni, con il termine per il riscontro tracciato.
• Filigrana obbligatoria su tutto il materiale ostensivo, con nominativo del richiedente: scoraggia la circolazione secondaria e ne permette la ricostruzione.

Consip, MEPA e accordi quadro: perché serve una data room anche negli acquisti a catalogo

Il sistema degli strumenti di acquisto centralizzati copre una quota molto rilevante della spesa pubblica italiana. Consip stipula convenzioni per conto del Ministero dell'economia e delle finanze, alle quali le amministrazioni aderiscono con ordine diretto; gestisce accordi quadro con uno o più fornitori, dai quali si acquista con ordine diretto o con appalto specifico; gestisce il Mercato Elettronico della Pubblica Amministrazione, dove si acquista sotto soglia con ordine diretto, trattativa diretta o richiesta di offerta; gestisce il sistema dinamico di acquisizione, che consente negoziazioni anche sopra soglia.

La percezione diffusa è che l'acquisto tramite questi strumenti riduca il fabbisogno documentale: il fornitore è già qualificato, il contratto è già impostato, la procedura è più snella. È vero solo in parte. Le richieste di offerta con più lotti e criteri di valutazione qualitativi hanno esattamente gli stessi problemi istruttori di una gara autonoma. Gli appalti specifici discendenti da accordo quadro richiedono un progetto, un capitolato d'oneri specifico e una valutazione comparativa. E soprattutto, l'esecuzione contrattuale non cambia natura solo perché il contratto nasce da una convenzione.

C'è poi un tema di motivazione della scelta. Quando l'amministrazione si discosta dagli strumenti centralizzati, o quando sceglie un fornitore in trattativa diretta, deve poter documentare l'istruttoria comparativa che ha condotto: indagine di mercato, confronto dei preventivi, verifica del benchmark. Questa documentazione, tipicamente prodotta in poche settimane e poi dimenticata, è quella che i controlli chiedono per prima. Tenerla in una cartella di data room denominata con l'identificativo dell'acquisto costa pochi minuti e chiude la questione in modo definitivo.

• Richiesta di offerta su MEPA: la piattaforma gestisce la negoziazione, ma l'istruttoria di valutazione qualitativa e i verbali stanno meglio in un'area riservata.
• Appalto specifico da accordo quadro: progetto, capitolato specifico e confronto comparativo vanno conservati insieme, non sparsi tra caselle di posta.
• Adesione a convenzione: la verifica di congruenza tra il fabbisogno dell'ente e l'oggetto della convenzione è documentazione che va conservata.
• Scostamento dal benchmark: quando si acquista fuori dagli strumenti centralizzati, l'evidenza del confronto economico è il primo documento richiesto in sede di controllo.
• Esecuzione: verifiche di conformità, penali, contestazioni e liquidazioni seguono le stesse regole di qualunque altro contratto pubblico.

Il punto di vista dell'impresa: la data room lato operatore economico e RTI

Fino a qui abbiamo guardato l'appalto dalla parte della stazione appaltante. Il fabbisogno dell'operatore economico è speculare e altrettanto concreto, soprattutto quando l'impresa partecipa in raggruppamento temporaneo o in consorzio. Costruire un'offerta a più mani significa far circolare tra soggetti giuridicamente distinti, e spesso concorrenti in altri contesti, informazioni sensibili: capacità economico-finanziaria, referenze, curricula, prezzi di fornitura, strategie di cantiere.

Il rischio più concreto per un raggruppamento non è il furto di documenti da parte di un estraneo: è l'asimmetria informativa interna e la perdita di tracciabilità delle versioni. Chi ha inviato l'ultima versione del computo? La mandataria ha ricevuto la dichiarazione della mandante prima della scadenza? Il subappaltatore ha visto il capitolato aggiornato dopo la rettifica? Domande banali che, a due ore dalla scadenza dei termini, diventano drammatiche. Una data room di raggruppamento, aperta dalla mandataria con una cartella per membro, risolve il problema alla radice.

Un secondo uso, meno ovvio, riguarda la fase esecutiva e finanziaria. Le imprese che eseguono commesse pubbliche accedono a strumenti di finanziamento legati al contratto, cedono crediti, aprono linee dedicate, in alcuni casi affrontano operazioni straordinarie in cui il portafoglio commesse è l'asset principale. In queste situazioni la documentazione della commessa diventa oggetto di due diligence da parte di banche, investitori o acquirenti, con logiche del tutto analoghe a quelle di una cessione di PMI. Un'impresa che tiene la commessa in ordine dal primo giorno affronta quella verifica in giorni anziché in mesi.

1. Apertura: la mandataria apre la sala prima della decisione di partecipare, con l'indice già allineato alla struttura del disciplinare.
2. Accordo di riservatezza: accettazione tracciata come condizione di accesso per ogni membro del raggruppamento e per i fornitori chiave.
3. Cartelle per membro: ciascun soggetto carica nella propria area i documenti di qualificazione, senza vedere quelli degli altri se non nella misura necessaria.
4. Area comune: documentazione di gara, chiarimenti pubblicati, versioni dell'offerta tecnica, cronoprogramma interno delle scadenze.
5. Congelamento alla scadenza: al momento della presentazione si esporta l'indice e il registro accessi, che diventano prova interna di ciò che ciascun membro ha visto e caricato.
6. Passaggio in esecuzione: la stessa sala prosegue come cartella di commessa, evitando la migrazione di documenti tra sistemi diversi.

Conservazione documentale a norma: dal fascicolo di lavoro all'archivio con valore probatorio

Una data room non è un sistema di conservazione a norma, e nessun fornitore serio sostiene il contrario. Le Linee Guida AgID sulla formazione, gestione e conservazione dei documenti informatici, operative dal 1° gennaio 2022, hanno assorbito la disciplina tecnica precedentemente contenuta nei decreti del Presidente del Consiglio dei ministri del 2013 e del 2014, e disciplinano metadati, formati, pacchetti informativi e ruoli del responsabile della gestione documentale e del responsabile della conservazione. Il regolamento sui criteri per la fornitura dei servizi di conservazione è entrato in vigore nella stessa data, insieme al marketplace dei conservatori qualificati.

La distinzione da tenere ferma è tra il piano della collaborazione e il piano della conservazione. Sul primo piano i documenti si producono, si scambiano, si commentano, si versionano: qui la data room è lo strumento giusto, perché gestisce permessi, riservatezza e tracciabilità degli accessi. Sul secondo piano i documenti, ormai definitivi, devono mantenere autenticità, integrità, affidabilità, leggibilità e reperibilità per l'intero periodo prescritto: qui serve un sistema di conservazione con i propri pacchetti di versamento, archiviazione e distribuzione.

L'errore da evitare è considerare i due piani alternativi. Chi versa in conservazione senza aver mai avuto un fascicolo di lavoro ordinato versa documenti scollegati dal loro contesto procedimentale. Chi tiene un fascicolo di lavoro impeccabile e non versa nulla in conservazione si ritrova, a dieci anni di distanza, con file che nessuno può dichiarare integri. Il flusso corretto è sequenziale: la data room organizza e traccia, il conservatore certifica e custodisce, e i due sistemi si parlano attraverso un versamento periodico governato dal responsabile della conservazione.

Per gli enti che si interrogano su dove risiedono fisicamente i dati durante la fase di collaborazione, la nostra scheda sulla sovranità del dato in Italia analizza il tema in modo specifico per il contesto pubblico.

• Piano di fascicolazione: la struttura della data room dovrebbe rispecchiare il titolario di classificazione dell'ente, per evitare una doppia tassonomia.
• Metadati minimi: identificativo, data, oggetto, soggetto produttore, formato. Se il nome del file li contiene, il versamento successivo è enormemente più semplice.
• Formati: privilegiare PDF/A per i documenti destinati alla conservazione, evitando formati proprietari per gli atti definitivi.
• Cadenza di versamento: definire fin dall'avvio ogni quanto i documenti passano dal fascicolo di lavoro al sistema di conservazione.
• Esportabilità: verificare che la data room consenta l'esportazione integrale di cartelle e registro accessi in formati aperti, senza dipendenza dal fornitore.

Audit e controlli sui progetti finanziati: cosa viene chiesto e con quali tempi di riscontro

I progetti finanziati con risorse europee sono soggetti a più livelli di controllo: l'autocontrollo del soggetto attuatore, il controllo dell'amministrazione titolare della misura, i controlli degli organismi di audit nazionali, le verifiche della Commissione europea e degli organismi europei competenti, oltre ai controlli della Corte dei conti e degli organi ispettivi. Ciascun livello ha proprie checklist, ma il denominatore comune è sempre lo stesso: dimostrare che la spesa è ammissibile, che la procedura è stata regolare e che i controlli previsti sono stati effettivamente eseguiti.

La caratteristica che rende questi controlli impegnativi non è la difficoltà delle domande, ma la loro numerosità e i tempi di riscontro, che sono spesso stretti e cadono in periodi in cui il personale coinvolto è cambiato. Una richiesta tipica chiede, per un dato intervento, l'atto di nomina del RUP, la determinazione a contrarre, il bando, i verbali, il provvedimento di aggiudicazione, il contratto, i SAL, i mandati di pagamento, le dichiarazioni sulla titolarità effettiva e le checklist di autocontrollo. Se il materiale è distribuito tra un protocollo, tre cartelle di rete e le caselle di posta di cinque persone, la risposta richiede settimane.

La documentazione dei progetti finanziati deve inoltre restare disponibile per i controlli per un periodo prolungato successivo alla chiusura, secondo quanto stabilito dagli atti d'obbligo e dalla disciplina europea e nazionale applicabile alla singola misura: è un dato che va verificato sul proprio atto d'obbligo, perché varia. In ogni caso l'orizzonte è pluriennale e supera abbondantemente la durata dell'incarico del personale coinvolto. Progettare fin dall'inizio il fascicolo pensando a chi lo leggerà quando nessuno dei protagonisti sarà più in servizio è, in questo contesto, semplice prudenza amministrativa.

• Fascicolo di controllo precostituito: una cartella che raccoglie, per ciascuna scadenza, esattamente i documenti che le checklist standard richiedono.
• Registro accessi esportato a ogni rendicontazione, come evidenza della messa a disposizione dei documenti agli organi coinvolti.
• Indice firmato: un elenco dei documenti presenti alla data, sottoscritto digitalmente dal RUP, che fotografa il contenuto del fascicolo in quel momento.
• Accesso in sola lettura per i revisori: profilo dedicato, senza possibilità di modifica, con scadenza automatica alla fine della verifica.
• Note di riscontro: ogni osservazione ricevuta e la relativa risposta conservate nella stessa cartella dell'oggetto contestato.

Scenario: il Comune di Valdarno Superiore e la gara PNRR per il nuovo asilo nido

Lo scenario che segue è interamente ipotetico. Il Comune di Valdarno Superiore e Costruzioni Sanmarino S.p.A. sono un ente e un'azienda di fantasia, utilizzati a soli fini illustrativi.

Il Comune di Valdarno Superiore, quindicimila abitanti, è ammesso a finanziamento per la costruzione di un asilo nido da 60 posti. Il RUP è la responsabile del settore lavori pubblici, affiancata da un responsabile di fase per l'esecuzione. La progettazione esecutiva è affidata a uno studio esterno, la verifica del progetto a un organismo di ispezione accreditato, e il quadro economico prevede una scadenza di aggiudicazione stringente. Nelle prime settimane la documentazione viaggia per posta elettronica: la relazione geotecnica arriva in tre versioni successive, e il verificatore lavora per due giorni sulla penultima.

Il RUP decide allora di aprire una data room. La struttura riproduce le dodici sezioni del fascicolo di gara; il progettista riceve accesso in scrittura sulla sola sezione 02, il verificatore accesso in lettura sulle sezioni 02 e 03 con filigrana nominativa, gli uffici interni accesso in lettura sull'intero fascicolo. Alla nomina della commissione viene aperta un'area riservata con download disabilitato sulle offerte tecniche e accettazione tracciata delle dichiarazioni di assenza di conflitto di interessi.

Aggiudicataria è Costruzioni Sanmarino S.p.A., mandataria di un raggruppamento con due mandanti. La stessa sala prosegue come cartella di commessa: l'impresa carica nella propria area i SAL e la documentazione di sicurezza, la direzione lavori valida, il RUP vede tutto. Diciotto mesi dopo, quando arriva la richiesta documentale per il controllo di secondo livello, il riscontro viene predisposto in una giornata: si concede al revisore un accesso in sola lettura con scadenza automatica e si allega il registro accessi esportato.

Requisiti tecnici minimi per una data room usata su appalti pubblici italiani

Non tutte le piattaforme di condivisione documentale sono adatte al contesto pubblico. Il discrimine non è il numero di funzioni, ma la presenza di un nucleo ristretto di caratteristiche senza le quali la data room non produce alcun vantaggio probatorio rispetto a una cartella condivisa. Un ente che valuti uno strumento dovrebbe partire da questo nucleo e considerare tutto il resto come accessorio.

Il primo requisito è la collocazione dei dati. Per un'amministrazione pubblica italiana, l'ospitalità dei dati in territorio dell'Unione europea, con un accordo sul trattamento dei dati conforme all'articolo 28 del Regolamento generale sulla protezione dei dati e con la catena dei sub-responsabili dichiarata, non è una preferenza ma un presupposto negoziale. Il secondo è la qualità delle certificazioni: la disponibilità di un rapporto SOC 2 di tipo II e di una certificazione ISO/IEC 27001 con dichiarazione di applicabilità consultabile permette all'ufficio che redige il capitolato di scrivere requisiti verificabili anziché formule generiche.

Il terzo requisito è la granularità dei permessi, che deve arrivare al livello del singolo documento e del singolo utente, non della sola cartella. Il quarto è il registro accessi esportabile in formato aperto, con eventi puntuali e marca temporale. Il quinto è la filigrana dinamica applicata alla visualizzazione. Il sesto è la possibilità di subordinare l'accesso all'accettazione tracciata di un impegno di riservatezza. Il settimo è la revoca immediata e verificabile, che deve funzionare anche su link già distribuiti.

Due requisiti ulteriori vengono quasi sempre dimenticati in fase di scelta e diventano determinanti in fase di chiusura. Il primo è l'esportazione integrale: al termine dell'intervento l'ente deve poter portare via cartelle, documenti, struttura dell'indice e registro accessi in formati aperti, senza mediazione del fornitore e senza costi di uscita. Un servizio che rende difficile l'esportazione crea una dipendenza che, su un intervento con obblighi di conservazione pluriennali, è un rischio amministrativo prima ancora che tecnico. Il secondo è la gestione delle identità: la possibilità di collegare gli accessi interni all'anagrafica dell'ente riduce il numero di credenziali autonome e semplifica la disattivazione quando una persona cambia servizio.

Vale infine la pena di distinguere tra requisiti che vanno scritti nel capitolato come condizioni di ammissibilità e requisiti che vanno usati come criteri di valutazione. Ospitalità dei dati nell'Unione europea, accordo sul trattamento, registro accessi esportabile e permessi per documento appartengono alla prima categoria: senza di essi lo strumento non è utilizzabile nel contesto pubblico. Analitica di dettaglio, dominio personalizzato, gestione strutturata delle domande e risposte e integrazioni appartengono alla seconda: aggiungono valore ma non condizionano la conformità.

Papermark: ideale per stazioni appaltanti e raggruppamenti che gestiscono gare e commesse PNRR

Papermark nasce come piattaforma per operazioni di fusione e acquisizione e per la due diligence, ossia per il contesto in cui la condivisione documentale controllata è più esigente in assoluto: controparti concorrenti, informazioni riservate, esiti economici rilevanti, contenzioso possibile. Il flusso di lavoro che ne deriva — accordo di riservatezza prima dell'accesso, rilascio dei documenti a fasi, gestione strutturata delle domande e risposte, filigrana dinamica, registro accessi esportabile — è esattamente il flusso di cui ha bisogno una stazione appaltante che gestisce un'istruttoria di gara e la successiva esecuzione di una commessa finanziata.

Sul piano dei presupposti di conformità, Papermark ospita i dati nell'Unione europea, dispone di rapporto SOC 2 di tipo II e di certificazione ISO/IEC 27001, e mette a disposizione un accordo sul trattamento dei dati conforme al Regolamento generale sulla protezione dei dati. Per un ufficio che deve motivare la scelta dello strumento in un atto amministrativo, sono elementi verificabili e citabili, non affermazioni commerciali generiche. L'analitica di dettaglio — quali pagine sono state effettivamente lette, da chi, per quanto tempo — completa il quadro con un livello di evidenza che le cartelle condivise non producono.

Papermark è ideale per il caso d'uso dell'appalto pubblico quando servono tre cose insieme: attivazione rapida senza un ciclo di acquisizione lungo, tracciabilità difendibile a distanza di anni e un numero elevato di controparti esterne con permessi diversi. È ideale, in particolare, per il raggruppamento temporaneo che deve costruire un'offerta a più mani in poche settimane, e per l'ente che deve aprire un'area riservata alla commissione giudicatrice senza passare da un progetto informatico.

La struttura tariffaria è pubblicata e verificabile: piano Free a 0 euro, Pro a 24 euro al mese, Business a 59 euro al mese con 3 membri del team e postazioni aggiuntive a 20 euro, Data Rooms a 99 euro al mese con 3 membri del team, data room illimitate e postazioni aggiuntive a 33 euro, ed Enterprise su richiesta. La fatturazione annuale consente un risparmio fino al 35 per cento. Papermark è una piattaforma europea e si posiziona come la principale alternativa europea sicura ai fornitori statunitensi storici; il progetto ha anche una componente a codice aperto, ma è la combinazione di flusso operativo e presupposti di conformità a renderlo pertinente in questo contesto.

Per il dettaglio dei piani e dei limiti di ciascuno, si veda la nostra analisi dei prezzi Papermark e la scheda del fornitore. Il sito ufficiale è papermark.com.

Come impostare la data room di un intervento pubblico in dieci giorni lavorativi

L'obiezione più frequente negli enti non riguarda l'utilità dello strumento ma il tempo di introduzione: la percezione è che serva un progetto informatico, una gara per il servizio, un'integrazione con il protocollo. Per una sperimentazione su un singolo intervento nulla di tutto questo è necessario. Una data room in modalità servizio si attiva in poche ore e, per importi contenuti, rientra tra le acquisizioni gestibili con gli strumenti ordinari di acquisto sotto soglia.

Il percorso che proponiamo separa nettamente le decisioni organizzative da quelle tecniche. Le prime sono le sole che richiedono tempo, perché coinvolgono l'ufficio che gestisce il protocollo, il responsabile della gestione documentale e il responsabile della protezione dei dati. Le seconde si esauriscono in un pomeriggio. Chi inverte l'ordine — prima lo strumento, poi le regole — si ritrova quasi sempre con una piattaforma usata da tre persone e ignorata da tutte le altre.

Il decimo giorno l'obiettivo non è avere l'intero ente a bordo: è avere un intervento gestito interamente in data room, con un indice stabile, tre profili di accesso funzionanti e un primo registro accessi esportato. Da lì, l'estensione ad altri interventi è un'operazione di replica.

1. Giorni 1-2 — perimetro: scegliere un solo intervento pilota, preferibilmente con un finanziamento vincolato e molte controparti esterne. Definire chi sono i soggetti che dovranno accedere.
2. Giorni 2-3 — indice: costruire la struttura delle sezioni allineandola al titolario di classificazione dell'ente e alle checklist di rendicontazione della misura.
3. Giorni 3-4 — regole: stabilire per iscritto cosa vive in piattaforma di e-procurement, cosa in data room, cosa va versato in conservazione e con quale cadenza.
4. Giorno 4 — privacy: verificare con il responsabile della protezione dei dati la base giuridica, sottoscrivere l'accordo sul trattamento e aggiornare il registro dei trattamenti.
5. Giorno 5 — attivazione: creare la sala, caricare l'indice vuoto, configurare i tre profili base (interno, professionista esterno, controparte con filigrana).
6. Giorni 6-7 — migrazione: caricare la documentazione già prodotta, rinominandola secondo la convenzione data-tipo-versione. È la fase più noiosa e la più utile.
7. Giorno 8 — inviti: invitare i soggetti esterni, subordinando l'accesso all'accettazione dell'impegno di riservatezza, e comunicare che da quel momento i file non viaggiano più per posta.
8. Giorno 9 — prova: simulare una richiesta di accesso agli atti e una richiesta di controllo, misurando quanto tempo serve a produrre il riscontro.
9. Giorno 10 — congelamento: esportare il primo registro accessi e l'indice, archiviarli nel fascicolo e fissare la cadenza delle esportazioni successive.

Quanto incide una data room sul quadro economico di un intervento pubblico

La domanda arriva sempre e la risposta è meno interessante di quanto si creda, perché l'ordine di grandezza è marginale. Una data room professionale per un singolo intervento si colloca, nei listini pubblicati, in una fascia che va da poche decine a poche centinaia di euro al mese. Su un intervento di lavori da qualche milione di euro, l'incidenza si misura in punti base. Su un affidamento di servizi da poche centinaia di migliaia di euro resta comunque inferiore al costo di mezza giornata di lavoro del gruppo di progetto.

Il confronto corretto non è tra il costo della data room e zero, perché lo scenario alternativo non è gratuito: è il costo del tempo che il personale dedica a ricostruire chi ha ricevuto cosa, a rispondere a richieste di accesso frugando in caselle di posta, a rifare documentazione perduta e, nei casi peggiori, a gestire un contenzioso indebolito dall'assenza di prova. Sono costi reali che nessun quadro economico espone, ma che ogni RUP conosce.

Sul piano dei prezzi, l'unico dato che possiamo riportare con certezza è quello pubblicato. Papermark pubblica l'intera scala tariffaria: Free a 0 euro, Pro a 24 euro al mese, Business a 59 euro al mese con 3 membri del team inclusi e postazioni aggiuntive a 20 euro, Data Rooms a 99 euro al mese con 3 membri del team, data room illimitate e postazioni aggiuntive a 33 euro, Enterprise su richiesta, con la fatturazione annuale che consente un risparmio fino al 35 per cento. Diversi fornitori europei del settore non pubblicano i propri listini: in quei casi il prezzo è non pubblicato e va richiesto direttamente, e noi non lo stimiamo. Il confronto generale dei modelli tariffari è nella nostra guida ai prezzi delle data room.

• Modello a canone piatto con sale illimitate: adatto a enti che gestiscono molti interventi contemporaneamente, perché rende il costo indipendente dal numero di procedure.
• Modello per progetto: adatto a un singolo intervento straordinario, ma diventa costoso se le procedure si moltiplicano.
• Modello a consumo su volume dati: da valutare con attenzione negli appalti di lavori, dove elaborati grafici e modelli informativi pesano molto.
• Voce nel quadro economico: la spesa può essere collocata tra le somme a disposizione per spese tecniche e strumentali, verificando l'ammissibilità con l'amministrazione titolare della misura.
• Durata contrattuale: preferire contratti senza vincolo pluriennale quando l'intervento ha un orizzonte incerto.

Errori comuni nella gestione documentale degli appalti pubblici e dei progetti PNRR

Il primo errore, e di gran lunga il più costoso, è considerare la piattaforma di approvvigionamento digitale sufficiente a coprire l'intero fabbisogno documentale dell'intervento. La piattaforma governa la procedura di gara, non la progettazione che la precede né l'esecuzione che la segue. Gli enti che si fermano lì si ritrovano con il periodo più lungo e documentalmente più pesante del progetto gestito per posta elettronica, ed è esattamente il periodo su cui si concentrano le contestazioni.

Il secondo errore è aprire la data room con un indice provvisorio, con l'idea di sistemarlo più avanti. Non accade mai. L'indice cresce per stratificazione, si riempie di cartelle con nomi personali e temporanei, e dopo sei mesi nessuno sa dove sta l'ultima versione del capitolato. La correzione a posteriori costa molto più della mezza giornata iniziale, e nel frattempo tutti i riferimenti citati negli atti puntano a percorsi che non esistono più.

Il terzo errore è concedere accessi troppo ampi per fretta. Dare al progettista, al verificatore, all'impresa e al collaudatore il medesimo profilo di accesso all'intero fascicolo viola il principio di minimizzazione, espone documenti riservati a soggetti che non hanno titolo per vederli e, nella fase di gara, può tradursi in un vizio del procedimento. La configurazione di tre o quattro profili distinti richiede pochi minuti e va fatta prima del primo invito, non dopo.

Il quarto errore è non conservare mai il registro accessi. La tracciabilità serve nel momento in cui viene contestata, e quel momento arriva anni dopo, quando il contratto con il fornitore potrebbe essere cessato e la sala chiusa. Esportare il registro alle scadenze significative e archiviarlo nel fascicolo, insieme a un'istantanea dell'indice, è l'unica precauzione che rende la tracciabilità realmente utilizzabile.

Il quinto errore è confondere la data room con il sistema di conservazione a norma e, di conseguenza, non versare nulla al conservatore. La data room organizza e traccia la fase attiva; la conservazione garantisce autenticità e leggibilità nel tempo. Rinunciare alla seconda perché si dispone della prima significa arrivare al controllo pluriennale con documenti informatici privi delle garanzie che la disciplina richiede.

Glossario essenziale dell'appalto pubblico digitale

I termini che seguono ricorrono in tutta la guida e nella documentazione operativa degli enti. Le definizioni sono sintetiche e orientate all'uso pratico: per la portata giuridica esatta è sempre necessario risalire alla fonte normativa. Una raccolta più ampia di termini relativi alle sale dati si trova nel nostro glossario delle data room.

Segnaliamo in particolare la distinzione tra i tre sistemi che convivono in ogni intervento digitalizzato — piattaforma di approvvigionamento, data room e sistema di conservazione — perché la confusione tra questi tre piani è all'origine della maggior parte degli errori descritti nella sezione precedente.

• ANAC — Autorità Nazionale Anticorruzione, che gestisce la Banca Dati Nazionale dei Contratti Pubblici e il Fascicolo Virtuale dell'Operatore Economico.
• BDNCP — Banca Dati Nazionale dei Contratti Pubblici: infrastruttura che raccoglie i dati dell'intero ciclo di vita dei contratti e con cui le piattaforme certificate si interfacciano.
• CIG — Codice Identificativo di Gara, identificativo univoco della procedura, utilizzato anche ai fini della tracciabilità dei flussi finanziari.
• CUP — Codice Unico di Progetto, identificativo dell'investimento pubblico, essenziale nella rendicontazione dei progetti finanziati.
• FVOE — Fascicolo Virtuale dell'Operatore Economico: repository dei documenti che comprovano i requisiti di partecipazione, subentrato all'AVCPass.
• Piattaforma di approvvigionamento digitale — sistema certificato attraverso cui si svolge la procedura di gara e che dialoga con la BDNCP.
• PDND — Piattaforma Digitale Nazionale Dati: infrastruttura di interoperabilità tra le banche dati delle amministrazioni.
• RUP — Responsabile Unico del Progetto: figura nominata nel primo atto di avvio dell'intervento, responsabile di programmazione, progettazione, affidamento ed esecuzione.
• Accesso contestuale — messa a disposizione degli atti presupposti all'aggiudicazione ai concorrenti non definitivamente esclusi, contestualmente alla comunicazione dell'esito.
• Accesso civico generalizzato — diritto di chiunque di accedere a dati e documenti detenuti dalle amministrazioni, nei limiti delle eccezioni previste, applicabile anche al settore dei contratti pubblici.
• Data room virtuale — spazio riservato di condivisione documentale con permessi granulari, filigrana dinamica, accettazione tracciata di impegni di riservatezza e registro accessi esportabile.
• Sistema di conservazione — insieme di regole, procedure e tecnologie che garantiscono autenticità, integrità, affidabilità, leggibilità e reperibilità dei documenti informatici nel tempo.
• Responsabile della conservazione — figura che definisce e attua le politiche del sistema di conservazione e ne governa i rapporti con l'eventuale conservatore esterno.
• Titolare effettivo — persona fisica che in ultima istanza possiede o controlla un soggetto giuridico, dato la cui raccolta è prevista per i destinatari dei fondi e per gli appaltatori nei progetti finanziati.
• Milestone e target — traguardi qualitativi e obiettivi quantitativi il cui conseguimento condiziona l'erogazione delle risorse nei progetti finanziati.

Metodologia: come abbiamo costruito questa guida e cosa non contiene

Questa guida è stata redatta consultando la normativa primaria italiana ed europea in materia di contratti pubblici e di gestione documentale, la documentazione pubblica delle autorità competenti e i listini pubblicati dai fornitori di data room. Non abbiamo ricevuto compensi, sponsorizzazioni o materiali da alcun fornitore per la sua redazione, e la redazione non ha rapporti commerciali con le amministrazioni citate a titolo esemplificativo.

Abbiamo applicato tre regole di prudenza redazionale. La prima: dove le fonti divergono su un dato numerico, il dato non viene riportato. Questo vale in particolare per i termini di conservazione della documentazione dei progetti finanziati, che dipendono dall'atto d'obbligo e dalla disciplina della singola misura e che invitiamo a verificare sul proprio atto. La seconda: non stimiamo mai un prezzo. Se un fornitore non pubblica il proprio listino, scriviamo che il prezzo non è pubblicato. La terza: non citiamo numeri di articolo o riferimenti giurisprudenziali che non abbiamo verificato direttamente sulla fonte.

Questa guida non è una consulenza legale né amministrativa e non sostituisce il parere del responsabile della protezione dei dati, del responsabile della gestione documentale o degli uffici legali dell'ente. Le indicazioni operative descrivono prassi ragionevoli, non obblighi normativi, salvo dove il testo indica espressamente la fonte. Lo scenario del Comune di Valdarno Superiore è integralmente ipotetico e non descrive alcun ente o impresa reale.

Aggiorniamo le pagine di questa sezione con cadenza trimestrale e ogni volta che intervengono modifiche normative rilevanti o variazioni nei listini pubblicati dai fornitori citati. La data di ultimo aggiornamento è riportata in testa alla pagina. Segnalazioni di imprecisioni sono benvenute attraverso i recapiti indicati nel colofone.

Una data room può sostituire la piattaforma di approvvigionamento digitale?

No, e nessun fornitore serio lo sostiene. Il Codice dei contratti pubblici richiede che la procedura si svolga su piattaforme di approvvigionamento digitale certificate e interoperabili con la Banca Dati Nazionale dei Contratti Pubblici. La data room è uno strumento complementare che copre la fase progettuale a monte, l'istruttoria riservata a lato e l'esecuzione e la rendicontazione a valle. Sono due sistemi con funzioni diverse che convivono nello stesso intervento.

Un comune può acquistare una data room senza indire una gara?

Dipende dall'importo e dalle regole interne dell'ente. Per canoni annui contenuti l'acquisizione rientra generalmente tra gli affidamenti sotto soglia, gestibili con gli strumenti ordinari, incluso il mercato elettronico. È comunque necessario documentare l'istruttoria comparativa e verificare la disponibilità di strumenti di acquisto centralizzati per la stessa categoria merceologica prima di procedere autonomamente.

Chi deve avere accesso alla data room di una gara pubblica?

In una configurazione tipica: il RUP e gli eventuali responsabili di fase con accesso completo; il supporto amministrativo con accesso in lettura sulle sezioni procedurali; i progettisti e i verificatori con accesso limitato alle sezioni tecniche di competenza; la commissione giudicatrice con accesso esclusivo a un'area riservata; l'aggiudicatario e la direzione lavori con accesso alle sole sezioni esecutive. Gli organi di controllo ricevono profili in sola lettura con scadenza.

La data room è un sistema di conservazione a norma?

No. Le Linee Guida AgID sulla formazione, gestione e conservazione dei documenti informatici disciplinano il sistema di conservazione, che ha requisiti propri di pacchetti informativi, metadati e ruoli. La data room governa la fase attiva di collaborazione e tracciamento; i documenti definitivi vanno versati in conservazione secondo la cadenza definita dal responsabile della conservazione dell'ente.

Quali dati va tracciato che un revisore possa chiedere anni dopo?

Come minimo: chi ha aperto ciascun documento, in quale data e ora, per quanto tempo, da quale profilo, e se ha effettuato il download. A questi si aggiungono gli eventi di caricamento, di modifica dei permessi e di revoca degli accessi. Il registro va esportato in formato aperto alle scadenze significative e archiviato nel fascicolo, perché a distanza di anni il contratto con il fornitore potrebbe non essere più attivo.

Come si gestiscono i documenti coperti da segreto tecnico o commerciale nell'accesso agli atti?

Il concorrente deve dichiarare in modo analitico e motivato quali parti dell'offerta sono coperte da segreto. La stazione appaltante valuta la dichiarazione. Per l'ostensione di tali parti il Codice richiede che il richiedente dimostri la stretta indispensabilità della documentazione ai fini della difesa in giudizio dei propri interessi. Operativamente conviene mantenere una versione integrale e una versione oscurata in cartelle separate con permessi diversi.

Serve una valutazione d'impatto sulla protezione dei dati per introdurre una data room?

Va valutato caso per caso con il responsabile della protezione dei dati dell'ente. In molte configurazioni la data room tratta un volume limitato di dati personali di professionisti e dipendenti, ma se il fascicolo contiene dati personali di terzi su larga scala o categorie particolari, la valutazione può rendersi necessaria. In ogni caso occorre sottoscrivere l'accordo sul trattamento dei dati con il fornitore e aggiornare il registro dei trattamenti.

Il fornitore della data room è responsabile del trattamento ai sensi del GDPR?

Sì, quando tratta dati personali per conto dell'amministrazione. Il rapporto va regolato con un accordo conforme all'articolo 28 del Regolamento generale sulla protezione dei dati, che deve indicare oggetto, durata, natura e finalità del trattamento, tipologie di dati e categorie di interessati, obblighi di riservatezza, misure di sicurezza, disciplina dei sub-responsabili, assistenza al titolare e sorte dei dati al termine del rapporto.

Un raggruppamento temporaneo di imprese può usare una data room per preparare l'offerta?

Sì, ed è uno degli usi più efficaci. La mandataria apre la sala prima ancora della decisione formale di partecipare, crea una cartella per ciascun membro e una area comune con la documentazione di gara. L'accettazione tracciata di un impegno di riservatezza come condizione di accesso protegge tutti i membri, e il registro accessi documenta chi ha caricato cosa e prima di quale scadenza.

Quanto costa una data room per un singolo intervento pubblico?

I listini pubblicati collocano lo strumento tra poche decine e poche centinaia di euro al mese. Papermark pubblica la scala completa: Free a 0 euro, Pro a 24 euro al mese, Business a 59 euro al mese con 3 membri del team, Data Rooms a 99 euro al mese con 3 membri del team e data room illimitate, Enterprise su richiesta, con la fatturazione annuale che consente un risparmio fino al 35 per cento. Diversi fornitori europei non pubblicano il listino: in quei casi il prezzo non è pubblicato.

La spesa per la data room è ammissibile su un progetto PNRR?

L'ammissibilità dipende dalla disciplina della singola misura e dall'atto d'obbligo sottoscritto con l'amministrazione titolare. In linea generale le spese tecniche e strumentali funzionali alla realizzazione dell'intervento possono trovare collocazione tra le somme a disposizione del quadro economico, ma la verifica va fatta preventivamente con l'amministrazione titolare e documentata nel fascicolo. Non riportiamo percentuali o massimali perché variano per misura.

Come si gestisce l'area riservata della commissione giudicatrice?

Con un'area separata dal resto del fascicolo, accessibile ai soli commissari e al segretario verbalizzante, con download disabilitato sulle offerte tecniche, filigrana dinamica recante nominativo e indirizzo del visualizzatore, cartelle personali per le schede di valutazione individuali e revoca automatica degli accessi alla conclusione dei lavori. Le dichiarazioni di assenza di conflitto di interessi vanno acquisite prima dell'apertura dell'area.

Cosa cambia con il Fascicolo Virtuale dell'Operatore Economico?

Il FVOE raccoglie i documenti che comprovano i requisiti di partecipazione e viene alimentato dagli enti certificatori, riducendo le richieste dirette al concorrente. Dopo il decreto correttivo del 2024 e i successivi comunicati ANAC, l'accesso della stazione appaltante è divenuto automatico e passa attraverso le piattaforme di approvvigionamento digitale certificate. Restano fuori dal fascicolo i chiarimenti sostanziali, le dichiarazioni integrative e la corrispondenza istruttoria.

Una data room aiuta anche negli acquisti su MEPA o in convenzione Consip?

Sì, in due punti. Nella fase di scelta, per conservare l'istruttoria comparativa e l'evidenza del confronto con i parametri degli strumenti centralizzati, che è documentazione richiesta di frequente in sede di controllo. Nella fase di esecuzione, perché un contratto nato da convenzione o accordo quadro genera la stessa documentazione di verifica di conformità, contestazione e liquidazione di qualunque altro contratto pubblico.

Per quanto tempo va conservata la documentazione di un progetto finanziato?

Il termine è stabilito dalla disciplina europea e nazionale applicabile alla misura e dall'atto d'obbligo sottoscritto con l'amministrazione titolare, e va verificato caso per caso perché varia. In ogni caso l'orizzonte è pluriennale e successivo alla chiusura dell'intervento, e supera abbondantemente la durata media degli incarichi del personale coinvolto: è questa la ragione per cui il fascicolo va progettato per essere leggibile da chi non ha partecipato al progetto.

Come si gestiscono gli accessi quando il personale dell'ente cambia durante il progetto?

Con due accorgimenti. Il primo è collegare, dove possibile, gli accessi interni all'anagrafica dell'ente, così che la disattivazione della persona disattivi anche l'accesso alla sala. Il secondo è non usare mai caselle di posta condivise o generiche come identità di accesso: il registro accessi perde valore probatorio se non è riconducibile a una persona fisica determinata. Alla sostituzione del RUP conviene inoltre esportare il registro e archiviarlo, come fotografia dello stato del fascicolo al momento del passaggio di consegne.

Che cosa conviene caricare in data room prima ancora di aver deciso di indire la gara?

Tutta la documentazione della fase di programmazione e progettazione: atto di ammissione a finanziamento, quadro economico iniziale, documento di indirizzo alla progettazione, elaborati progettuali nelle successive versioni, pareri e autorizzazioni, rapporto di verifica e validazione. È il materiale che circola più a lungo e tra più soggetti esterni, ed è quello che con maggiore frequenza risulta incompleto quando arriva un controllo. Aprire la sala dopo la determinazione a contrarre significa lasciare fuori dal tracciamento la parte più esposta del procedimento.

Che differenza c'è tra questa guida e una guida alle data room per operazioni private?

Il nucleo tecnico è lo stesso: permessi granulari, filigrana, tracciabilità, riservatezza. Cambiano il quadro normativo di riferimento, i destinatari degli accessi e soprattutto l'orizzonte temporale della prova, che nel settore pubblico è molto più lungo e coinvolge organi di controllo esterni. Per il contesto privato può essere utile la nostra guida alla data room per operazioni di M&A.