Disponibilità e integrità dei dati aperti ANAC

Rilevazione del 26 ottobre 2026 · Osservatorio Nazionale Sovranità Digitale · progetto analisi-spesa-ict

Questo rapporto descrive i problemi di disponibilità e di integrità che abbiamo misurato sui dati aperti della Banca Dati Nazionale dei Contratti Pubblici, pubblicati da ANAC su dati.anticorruzione.it. È scritto per essere presentato ad ANAC: ogni numero è riproducibile a partire dai file indicati in appendice, con il loro sha256, e dallo script pubblicato.

Non è un giudizio sul lavoro di ANAC, che pubblica uno dei patrimoni di dati sugli appalti più ampi d’Europa. È l’elenco delle cose che, se corrette, renderebbero quel patrimonio pienamente riutilizzabile.

Sintesi

Cosa funziona bene. Il CIG è un identificativo eccellente: su oltre 4,8 milioni di CIG distinti controllati con l’algoritmo pubblicato da ANAC, quelli non validi sono diciassette. I dataset tabellari escono con regolarità il secondo giorno del mese. La licenza è dichiarata. L’API CKAN funziona.

I problemi, in ordine di impatto per chi riusa i dati:

1. Il canale OCDS è inservibile. Non solo è fermo a marzo 2026: mesi diversi servono lo stesso file, con il solo indirizzo riscritto. Dei 23 mesi che rispondono 200 i contenuti distinti sono al massimo 11, e sei mesi consecutivi condividono un unico file da 3,18 GB. Chi ne ricava una serie storica conta più volte gli stessi dati. I file mancanti rispondono 404 senza alcun avviso sul portale.
2. I file storici spariscono, e la regola non è scritta da nessuna parte. I delta di gennaio, febbraio e marzo 2026 non sono più scaricabili. Il file annuale del 2026 non esiste: chi non ha scaricato ogni mese ha perso quei mesi, e potrà recuperarli solo quando uscirà l’annuale. Ci sono buchi anche dentro la finestra disponibile: di smartcig mancano giugno e luglio 2026, mentre i mesi prima e dopo ci sono.
3. I file “completi” sono istantanee di gennaio. aggiudicazioni e aggiudicatari hanno data di ultima modifica 15 e 23 gennaio 2026: lo stato corrente si ricostruisce solo applicando i delta.
4. L’accesso automatico è ostacolato. Il portale respinge gli user-agent che non sembrano browser, anche sui dati aperti, rispondendo 200 con una pagina HTML al posto del file. Altri progetti riferiscono anche un blocco degli IP dei servizi cloud, che non abbiamo verificato. L’API REST OCDS documentata risponde 404; l’API CKAN che funziona non è documentata. Nessuna risorsa espone ETag, e la dimensione dichiarata nel catalogo è quella del file scompattato, circa 4,1 volte quella servita.
5. Campi codificati che accettano testo libero. Nel dataset cup, 1.951.844 righe — il 27% — hanno come CUP la stringa ND: dichiarano un collegamento fra CIG e CUP per dire che il CUP non c’è.
6. Incongruenze fra dataset collegati. 10.812 aggiudicazioni con importo positivo non hanno alcun aggiudicatario; 3.424 aggiudicatari rimandano a un’aggiudicazione che non esiste; 6.874 chiavi (cig, id_aggiudicazione) sono ripetute.
7. Convenzioni non documentate che rompono i collegamenti con le altre basi dati pubbliche: codici fiscali sintetici CFAVCP-… per 1.282 stazioni appaltanti, partita IVA 00000000000 per metà delle stazioni appaltanti, data di fine 2099 per tutte.
8. Nessun campo per gli operatori esteri. Gli identificativi fiscali stranieri finiscono nel campo codice_fiscale in formati eterogenei, senza indicazione del paese.

In fondo al rapporto, dodici richieste concrete, e una tabella che documenta i mesi duplicati.

1. Metodo

• File analizzati: cinque risorse scaricate il 26 ottobre 2026 dal portale, conservate in un archivio append-only con il loro sha256 (tabella in appendice).
• Strumenti: DuckDB per i conteggi, Python per le validazioni. Il CIG è validato con l’algoritmo pubblicato da ANAC nel repository anticorruzione/npa, nell’implementazione di aborruso/anac-pl-pp-cli. Codici fiscali e partite IVA con i rispettivi caratteri di controllo.
• Script: tools/anac_integrita.py. Rilanciato sugli stessi file, produce gli stessi numeri.
• Sonda di disponibilità: 125 risorse interrogate il 26 ottobre 2026 con tools/sonda.py; esiti e intestazioni HTTP in stato/sonda/2026-10-26.jsonl.
• Riscontro indipendente: gli sha256 di aggiudicazioni_csv.zip e aggiudicatari_csv.zip coincidono con quelli registrati a settembre, in modo indipendente, dal progetto DoveVannoINostriSoldi. Due misure separate, lo stesso file.
• Cautela: un conteggio anomalo non è sempre un errore. Dove un valore può essere legittimo lo diciamo, e lo classifichiamo come convenzione o come incongruenza da chiarire, non come errore.

2. Disponibilità e accesso

4. I mesi duplicati del canale OCDS

Tutti i mesi che rispondono 200, con la dimensione servita e il gruppo di appartenenza. I mesi nello stesso gruppo servono lo stesso contenuto: dimensione identica al byte e blocchi identici a offset di 1, 2 e 3 GB, con il solo uri riscritto.

Mancano del tutto: 2025/12 e tutti i mesi del 2026 tranne marzo.

Verificati direttamente: A, D, H (su tre coppie), I e L. I gruppi B, C, E, F, G e M hanno dimensione unica e sono quindi file distinti.

Tutti i file dei gruppi da A a M portano publishedDate 8 o 9 aprile 2026: sono stati rigenerati in un’unica sessione, a ritroso nel tempo, nell’arco di circa un giorno.

Questo spiega un episodio pubblico: la piattaforma commerciale AppaltIntel ha ritirato un’analisi in cui attribuiva al mercato un calo dei bandi del 2023, scoprendo poi che il calo veniva dalla fonte. La loro documentazione tecnica parla di mesi per cui «all’indirizzo del mese mancante rispondeva il file di un altro mese». Quanto sopra è la verifica di quel fenomeno, a livello di byte.

3. Integrità

3.1 Errori

Valori incompatibili con la definizione del campo, o fra loro.

3.2 Incongruenze da chiarire

Possono avere una spiegazione procedurale, ma chi riusa i dati non ha modo di saperlo.

3.3 Campi codificati che accettano testo libero

Il problema non sono i singoli valori, ma l’assenza di validazione all’inserimento.

Il CUP nel dataset cup. Su 7.228.216 righe, 1.955.119 non contengono un CUP ben formato:

Conseguenza pratica: dei 7.103.635 CIG presenti nel dataset, quelli con almeno un CUP valido sono 5.149.498, il 72,5%. Chi conta le righe sovrastima i collegamenti di un quarto.

Gli identificativi degli aggiudicatari. 2.012 campi codice_fiscale contengono più identificativi o annotazioni, per esempio C.F. … - P. IVA ….

3.4 Convenzioni non documentate

Non sono errori, ma senza documentazione rompono i collegamenti con IndicePA, il Registro Imprese e le altre basi dati pubbliche.

3.5 Un’assenza di schema: gli operatori esteri

Il dataset aggiudicatari non ha un campo per il paese dell’operatore né per il tipo di identificativo. Gli operatori stranieri finiscono quindi in codice_fiscale con formati eterogenei:

Per chi studia a quali paesi vanno gli appalti pubblici italiani — cioè per questo progetto, ma anche per qualunque analisi sul mercato unico europeo — è un’informazione essenziale, ed è oggi ricostruibile solo per euristica.

Richieste

In ordine di impatto per chi riusa i dati.

1. Correggere il canale OCDS: far sì che ogni mese contenga il proprio mese, ripubblicare i mesi mancanti, e nel frattempo dichiarare sul portale che la distribuzione non è affidabile. In alternativa dichiararla sospesa con una data di ripresa.
2. Non rimuovere i delta storici, oppure pubblicare un archivio permanente, e dichiarare la politica di conservazione.
3. Pubblicare il file dell’anno in corso, aggiornato insieme ai delta, così che lo stato corrente non dipenda dall’aver scaricato ogni mese.
4. Documentare l’API CKAN e dichiarare formalmente dismessa l’API REST OCDS, o ripristinarla.
5. Esporre ETag e pubblicare i checksum di ogni risorsa.
6. Consentire l’accesso automatico ai dati aperti senza blocchi sugli IP cloud e sullo user-agent, eventualmente con un limite di frequenza dichiarato.
7. Validare in inserimento i campi codificati: un CUP assente è un valore nullo, non ND; un campo codice fiscale contiene un identificativo, non note.
8. Documentare le convenzioni — i codici CFAVCP-…, la partita IVA 00000000000, la data 2099 — e indicare per le centrali di committenza il codice fiscale degli enti aderenti.
9. Aggiungere paese e tipo di identificativo per gli operatori economici esteri.
10. Correggere le chiavi duplicate e i riferimenti orfani fra aggiudicazioni e aggiudicatari.
11. Pubblicare i mesi mancanti di smartcig, giugno e luglio 2026, e ripristinare la distribuzione JSON, interrotta da agosto 2026.
12. Correggere il campo size del catalogo, perché descriva la distribuzione scaricabile e non il file scompattato.

Siamo disponibili a fornire gli elenchi completi dei record interessati da ciascun controllo e a ripetere la rilevazione dopo eventuali correzioni.

Appendice A — I file analizzati

Scaricati il 26 ottobre 2026 da https://dati.anticorruzione.it/opendata/download/dataset/.

Appendice B — Tutti i controlli

L’elenco completo, con esempi, sta in integrita-2026-10-26.json.

Registro delle revisioni

Verifiche in corso