Linee guida sul punto di accesso telematico ai servizi della Pubblica Amministrazione

Linee guida sul punto di accesso telematico ai servizi della Pubblica Amministrazione

Le linee guida disciplinano il Punto di accesso telematico previsto dall’art. 64-bis del CAD, quale canale per rendere fruibili i servizi in rete delle pubbliche amministrazioni e, nei casi previsti, di altri soggetti. La finalità è standardizzare l’accesso ai servizi digitali, favorendo interoperabilità, semplificazione, sicurezza, accessibilità e protezione dei dati personali.

Quadro normativo e destinatari

Il documento è adottato ai sensi dell’art. 71 CAD e richiama, tra le principali fonti, il CAD, il GDPR, il Codice privacy, il decreto-legge n. 135/2018, la disciplina SPID, CIE, accessibilità, interoperabilità e le ulteriori linee guida AgID su design, pagamenti, accessibilità, disaster recovery, open source, IPA, INAD, PDND, interoperabilità tecnica, sicurezza ICT e sviluppo sicuro.

I destinatari sono:

• i soggetti di cui all’art. 2, comma 2, CAD, che devono rendere fruibili i propri servizi in rete tramite il Punto di accesso telematico;
• i gestori di identità digitali e i prestatori di servizi fiduciari qualificati, per l’integrazione delle rispettive piattaforme;
• PagoPA S.p.A., quale Gestore del Punto di accesso telematico.

Definizioni essenziali e architettura del servizio

Il “Punto di accesso telematico” è l’insieme dei sistemi e delle componenti tecnologiche realizzate e gestite dal Gestore per l’accesso telematico ai servizi della PA. I “Servizi in rete” sono i servizi offerti dai soggetti erogatori tramite tale punto di accesso, sia in flussi PA→utente sia utente→PA.

L’architettura comprende:

• un front-end multicanale per gli utenti finali, con app mobile/tablet e versione web;
• un back-end che abilita l’esperienza personalizzata e l’integrazione via API;
• un back office/Portale per registrazione, configurazione e gestione dei soggetti erogatori;
• un repertorio dei servizi disponibili e funzioni di integrazione con le piattaforme abilitanti del CAD.

Obblighi di adesione dei soggetti erogatori

Per i soggetti di cui all’art. 2, comma 2, CAD, la messa a disposizione dei servizi tramite il Punto di accesso telematico è obbligatoria, salvo comprovati impedimenti tecnologici o organizzativi attestati dal Gestore ai sensi dell’art. 64-bis, comma 1-ter, CAD. È comunque possibile mantenere altri canali digitali, purché progettati tenendo conto dell’integrazione e interoperabilità con il Punto di accesso telematico.

L’adesione avviene tramite documentazione contrattuale standard predisposta dal Gestore, con almeno:

• lettera di adesione;
• termini e condizioni di adesione, fornitura e uso;
• accordo per il trattamento dati con nomina del Gestore a responsabile ex art. 28 GDPR;
• eventuale elenco dei soggetti aggregati;
• termini aggiuntivi per i moduli attivati.

Sono ammessi accordi o convenzioni specifici quando il servizio è disciplinato da norma primaria o secondaria oppure richiede sviluppo ad hoc.

Soggetti singoli, aggregatori e partner tecnologici

I singoli soggetti erogatori devono:

• individuare i servizi da erogare tramite il Punto di accesso telematico;
• attivare la procedura di adesione;
• prendere visione della documentazione tecnica/API;
• integrare i propri sistemi con le API del Gestore;
• superare i test previsti;
• pubblicare l’anagrafica completa del servizio e attivarlo.

L’adesione in forma aggregata è favorita per consentire alle amministrazioni di minori dimensioni di partecipare alla trasformazione digitale. Il rapporto di aggregazione deve essere regolato da accordi e atti idonei a conferire poteri di adesione e a disciplinare i ruoli privacy. Gli aggregatori possono essere responsabili del trattamento o contitolari, a seconda delle attribuzioni.

I partner tecnologici possono supportare adesione, aggregazione e integrazione tecnica; agiscono però solo come responsabili del trattamento, con nomina ex art. 28 GDPR.

Principi di progettazione: accessibilità, semplificazione, once-only, mobile-first

Il Gestore deve assicurare che l’accesso ai servizi sia conforme ai principi di accessibilità delle linee guida AgID, quindi con facilità d’uso, efficienza, efficacia e soddisfazione nell’uso.

Le linee guida impongono inoltre:

• accesso tramite identità digitale, in particolare SPID o CIE;
• interazioni uniformate e ripetibili per tutti i soggetti erogatori;
• flussi semplici, non ridondanti, trasparenti e proporzionati;
• applicazione del principio once-only, evitando di chiedere informazioni già fornite;
• richiesta delle sole informazioni necessarie;
• possibile conservazione sul dispositivo di informazioni e preferenze dell’utente, nel rispetto della normativa privacy;
• rispetto del principio mobile-first in progettazione, sviluppo, test e messa in esercizio.

Il Gestore deve inoltre garantire la protezione dei dati sin dalla progettazione e per impostazione predefinita, ai sensi dell’art. 25 GDPR.

Accessibilità, minoranze linguistiche e diritto d’uso efficace

Il Punto di accesso telematico deve consentire un uso accessibile ed efficace, anche per l’esercizio dei diritti di accesso e partecipazione al procedimento amministrativo. Nei territori interessati, i soggetti erogatori devono trasmettere contenuti anche nella lingua minoritaria, sfruttando il layout multilingua.

Per le persone con disabilità, il Gestore e i soggetti erogatori devono garantire la fruibilità in condizioni di uguaglianza e collaborare per raccogliere i bisogni degli utenti. Gli adempimenti accessibilità sono coordinati con il Gestore, inclusi:

• rispetto delle linee guida sull’accessibilità e della dichiarazione di accessibilità;
• meccanismo di feedback;
• dichiarazione dell’obiettivo di offrire i servizi in modalità accessibile entro il 31 marzo dell’anno successivo all’adesione.

Open source, sviluppo collaborativo e riuso

Lo sviluppo del Punto di accesso telematico privilegia sviluppo collaborativo, standardizzazione tecnologica, standard aperti e partecipati. Le componenti rese pubbliche dal Gestore, come API e codice sorgente, consentono contributi e miglioramenti, ferma restando la discrezionalità del Gestore sulla loro accettazione.

Il Gestore deve applicare il Capo VI del CAD e le linee guida sul riuso e open source, perseguendo:

• il massimo grado di riuso dei moduli;
• la coerenza nell’esperienza degli utenti finali.

Componenti del Punto di accesso telematico e funzionalità

Il front-end deve includere almeno:

• un’app mobile/tablet, identificata come App IO;
• una versione web.

L’accesso dell’utente finale richiede autenticazione forte. Dopo l’autenticazione, l’utente può ricevere e inviare informazioni e compiere azioni tramite il back-end, anche con eventuale prosecuzione su sistemi del soggetto erogatore.

Il back-end assicura l’esperienza personalizzata dell’utente identificato e l’integrazione con i moduli tramite API conformi alle linee guida sull’interoperabilità tecnica e sulla sicurezza. La riservatezza dei messaggi è assicurata anche mediante tecniche di crittografia asimmetrica ove necessario, e il sistema deve attribuire un identificativo univoco ai messaggi.

Il Portale/back office serve per:

• registrazione dei soggetti erogatori;
• uso dei servizi e interfacce del Punto di accesso;
• integrazione dei sistemi tramite API;
• reportistica e analisi;
• ulteriori servizi del Gestore.

Le funzionalità includono, tra le principali:

• identificazione degli utenti finali con SPID e CIE;
• gestione messaggi e notifiche;
• portafoglio e pagamenti integrato con pagoPA;
• catalogo/servizi con informazioni complete e contatti;
• profilo utente con preferenze, sicurezza, storico accessi e diritti GDPR.

Integrazione con piattaforme e sistemi abilitanti

Il Punto di accesso telematico deve integrarsi con le principali piattaforme previste dal CAD e da normative specifiche, con modalità tecniche conformi alle linee guida sull’interoperabilità tecnica.

Le integrazioni previste riguardano in particolare:

• pagoPA;
• INI-PEC;
• IPA;
• INAD;
• PDND;
• ANPR;
• SPID;
• CIE;
• piattaforma per la notificazione digitale degli atti della PA.

Le integrazioni sono finalizzate a supportare le esigenze funzionali del soggetto erogatore e i relativi trattamenti si fondano sulla base giuridica e sulle finalità individuate dal soggetto erogatore, nel rispetto della responsabilizzazione.

È richiesta la tracciatura delle transazioni e la definizione di livelli di qualità dei servizi resi al Punto di accesso telematico.

Governance, catalogo servizi, nuovi servizi e test

Il Gestore deve gestire l’adesione dei soggetti erogatori secondo la procedura dell’allegato 1, favorendo onboarding rapido ed efficiente. Il catalogo dei servizi già disponibili deve essere aggiornato e reso disponibile; i soggetti di cui all’art. 2, comma 2, CAD devono implementare e utilizzare i servizi già presenti se di interesse per la propria funzione istituzionale.

Per un nuovo servizio, il soggetto erogatore ne fa richiesta al Gestore, che valuta fattibilità, interesse di altri soggetti, costi, tempi, aspetti tecnici, sicurezza e conformità normativa. Il Gestore definisce un piano di lavoro condiviso; per i servizi già presenti nel catalogo può predisporre un template che il soggetto erogatore compila.

Prima dell’attivazione, i soggetti erogatori devono eseguire i test di integrazione secondo il piano predisposto dal Gestore.

Gestione anomalie, assistenza e indicatori di qualità

Gestore e soggetti erogatori devono stabilire le reciproche responsabilità e rispondere alle anomalie di propria competenza. I meccanismi di segnalazione devono essere facili, accessibili e disponibili quanto più possibile.

Le anomalie devono essere rilevate, classificate, monitorate e documentate; devono essere definite procedure per gli incidenti di sicurezza e le vulnerabilità tecniche, con registrazione delle azioni intraprese e mantenimento di un audit log.

Sono previsti indicatori di qualità relativi a:

• difettosità in avvio e in esercizio;
• rispetto del piano di lavoro;
• giorni di sospensione del collaudo;
• tempo di risposta delle richieste;
• numero di richieste soddisfatte;
• numero di risposte non di errore;
• tempestività di ripristino;
• tempestività di risposta alle segnalazioni.

Ruoli privacy e trattamento dei dati personali

Il Gestore agisce come titolare del trattamento per le attività necessarie a progettazione, sviluppo, gestione, implementazione e interoperabilità del Punto di accesso telematico e per le funzionalità rese direttamente al cittadino. Per i trattamenti connessi all’erogazione dei servizi dei soggetti erogatori, il Gestore opera come responsabile o sub-responsabile; i soggetti erogatori restano titolari dei propri trattamenti.

Le comunicazioni di dati personali tra soggetti erogatori, altre PA e Gestore sono ammesse solo se necessarie all’erogazione dei servizi e nei limiti di liceità, trasparenza, finalità e minimizzazione.

Dati particolari, minimizzazione, conservazione e accountability

Il Gestore può trattare categorie particolari di dati personali solo con misure appropriate e sulla base dell’interesse pubblico affidatogli dalla legge. I soggetti erogatori, se trattano tali dati, devono:

• individuare i dati indispensabili;
• informare il Gestore;
• non indicarli nell’oggetto del messaggio;
• minimizzarli nel corpo del messaggio;
• usare gli strumenti del Gestore per classificarli e contrassegnarli.

In tema di minimizzazione, i soggetti erogatori devono trattare solo i dati strettamente necessari, ricognire i dati per ciascun servizio, individuarne categorie, finalità e base giuridica, e predisporre informative coerenti. Devono inoltre evitare trattamenti eccedenti, istruire il personale e limitare la trasmissione di documenti contenenti dati personali.

In tema di conservazione, i dati non devono essere mantenuti oltre il necessario; devono essere definiti periodi di conservazione, meccanismi di rilevazione della scadenza e cancellazione. Il Gestore conserva per conto dei soggetti erogatori solo per un tempo limitato, ragionevole e coerente con l’operatività della piattaforma.

Il Gestore deve predisporre una DPIA e consultare il Garante ai sensi degli artt. 35-36 GDPR; i soggetti erogatori la utilizzano come supporto e consultano autonomamente il Garante solo se i propri trattamenti ulteriori presentano rischio elevato non coperto dalla DPIA del Gestore.

Informativa, diritti degli interessati e responsabili del trattamento

Il Gestore e i soggetti erogatori devono fornire tramite il Punto di accesso telematico un’informativa completa ex artt. 12-13-14 GDPR. I soggetti erogatori devono adottare misure organizzative per garantire l’esercizio dei diritti degli interessati e fornire un recapito contattabile dal Gestore. Le richieste di accesso, rettifica, cancellazione e altri diritti sono gestite in autonomia dal titolare competente, con eventuale supporto del Gestore senza sforzi irragionevoli.

Il Gestore può avvalersi di propri responsabili del trattamento, privilegiare fornitori UE/nazionali e, se necessario, ricorrere a Paesi terzi nel rispetto del Capo V GDPR e con misure supplementari adeguate.

Sicurezza del trattamento, logging e continuità operativa

Le misure minime di sicurezza richiedono autenticazione, autorizzazione, istruzioni al personale, verifiche periodiche delle credenziali, sistemi di log e controllo accessi, nonché presidi infrastrutturali quali firewall, DDoS protection, web application firewall e intrusion detection/prevention.

Il Gestore deve inoltre:

• applicare autenticazione a due fattori per gli amministratori dell’infrastruttura;
• prevedere 2FA per gli utenti delegati del Portale;
• analizzare periodicamente i rischi secondo ISO 27005;
• valutare l’adeguamento a ISO/IEC 27001:2017;
• svolgere vulnerability assessment, penetration test, mobile app test, secure code review e API security assessment.

I soggetti erogatori devono garantire tracciatura degli accessi ai propri sistemi, controlli e filtri adeguati ai servizi esposti su rete pubblica, configurazioni di sicurezza avanzate e verifiche periodiche.

Sono inoltre richiesti:

• partizionamento/separazione dei dati personali;
• cifratura dei dati in transito e a riposo secondo il rischio;
• uso di dati aggregati o pseudonimizzati ove possibile;
• conservazione dei log di audit;
• monitoraggio delle utenze e dei comportamenti anomali;
• continuità operativa e disaster recovery in coerenza con le linee guida AgID.

Allegato 1: adesione, deleghe e verifiche periodiche

L’allegato 1 disciplina la procedura di adesione tramite Portale. L’accordo è standard e non modificabile salvo i casi speciali previsti. È possibile aderire direttamente o tramite delegati, anche tecnici o amministrativi, purché i poteri siano adeguatamente conferiti.

Il processo di perfezionamento include autenticazione forte, invio della documentazione al domicilio digitale dell’ente, firma digitale dell’accordo, caricamento nel Portale e nomina dei rappresentanti. Il Gestore effettua verifiche periodiche sulle utenze e sui comportamenti anomali, inviando comunicazioni al domicilio digitale dei soggetti erogatori.

Allegato 2: principali funzionalità per l’utente finale

L’allegato 2 dettaglia le funzioni del Punto di accesso telematico:

• identificazione tramite SPID e CIE;
• messaggi con filtri, preferenze di recapito, call to action e notifiche;
• portafoglio integrato con pagoPA per pagamenti, metodi di pagamento e transazioni;
• servizi con descrizioni complete e metadati di supporto;
• profilo con preferenze, sicurezza, storico accessi, privacy e diritti GDPR.

Allegato 3: integrazioni con piattaforme del CAD e notificazione digitale

L’allegato elenca e dettaglia le integrazioni con pagoPA, INI-PEC, IPA, INAD, PDND, ANPR, SPID, CIE e la piattaforma di notificazione digitale. Le integrazioni servono a supportare le funzioni del Punto di accesso telematico e gli specifici servizi richiesti dai soggetti erogatori.

Allegato 4: modello dati essenziale

Il domain model comprende quattro oggetti principali:

• profilo dell’utente finale;
• servizi;
• messaggi;
• notifiche.

Allegato 5: misure minime di sicurezza

L’allegato 5 specifica gli obblighi minimi di sicurezza per Gestore e soggetti erogatori, con particolare attenzione a:

• autenticazione e autorizzazione;
• logging;
• monitoraggio e analisi delle anomalie;
• gestione degli accessi amministrativi con 2FA;
• vulnerability assessment e penetration testing;
• sicurezza dei sistemi esposti su rete pubblica;
• verifica periodica dei livelli di sicurezza;
• vigilanza continua sull’adeguatezza delle misure adottate.

Nel complesso, il documento configura il Punto di accesso telematico come un’infrastruttura abilitante nazionale, in cui la PA è obbligata a convergere per l’erogazione dei servizi digitali, con forti requisiti di interoperabilità, sicurezza, accessibilità, semplificazione amministrativa e tutela dei dati personali.