Circolare numero 123 del 10-10-2014

Convenzione quadro INPS per la fruibilità telematica delle banche dati

La circolare disciplina l’attuazione operativa della convenzione quadro INPS per l’accesso telematico alle banche dati da parte di amministrazioni ed enti aderenti. L’obiettivo è uniformare procedure, competenze e controlli nel rispetto del CAD, della disciplina in materia di protezione dei dati personali e dei principi di pertinenza, non eccedenza e sicurezza dell’accesso ai dati.

Quadro normativo di riferimento

L’impianto della circolare si fonda soprattutto su:

• art. 50, comma 2, del D. Lgs. 7 marzo 2005, n. 82 (CAD), che prevede l’accessibilità dei dati trattati dalla pubblica amministrazione alle altre amministrazioni quando necessari per i compiti istituzionali;
• art. 58, comma 2, del CAD, che impone alle amministrazioni titolari di banche dati accessibili telematicamente la predisposizione di convenzioni aperte all’adesione di tutte le amministrazioni interessate, senza oneri a loro carico;
• artt. 19, 20 e 21 del Codice in materia di protezione dei dati personali, richiamati per la legittimazione della comunicazione dei dati personali, sensibili e giudiziari;
• art. 11 del medesimo Codice, in tema di pertinenza e non eccedenza dei dati trattati.

In attuazione di tali norme, l’INPS ha adottato con determinazione del Commissario Straordinario n. 119 del 18 luglio 2014 la convenzione quadro per la fruibilità telematica delle proprie banche dati. La convenzione quadro e il facsimile di domanda di adesione saranno pubblicati sul sito istituzionale e trasmessi ad AGID.

Soggetti competenti e deleghe interne

La circolare definisce la competenza alla gestione della convenzione secondo il livello territoriale e la natura del soggetto aderente.

Le Direzioni regionali, in sinergia con la Direzione Generale tramite la Direzione Centrale Organizzazione, sono competenti per l’istruttoria, la stipula e la gestione delle convenzioni con soggetti pubblici e con soggetti privati gestori di pubblici servizi a carattere locale. Devono inoltre rendicontare l’attività svolta alla Direzione Centrale Organizzazione.

La Direzione Centrale Organizzazione, in sinergia con le strutture centrali interessate, è competente per l’istruttoria, la stipula e la gestione delle convenzioni con gli altri soggetti pubblici e con i soggetti privati gestori di pubblici servizi a carattere nazionale, oltre a supportare le Direzioni regionali nelle attività di competenza.

A livello regionale, il Direttore regionale è delegato alla gestione della fase istruttoria, alla sottoscrizione delle convenzioni per adesione e alla successiva gestione.

Figure di riferimento interne dell’INPS

Per ciascuna convenzione sono individuate figure interne con ruoli specifici.

Il Direttore regionale:

• gestisce la fase istruttoria;
• sottoscrive le convenzioni per adesione;
• ne cura la successiva gestione;
• nomina il Responsabile della convenzione e il referente tecnico;
• segnala all’Ente eventuali abusi, anomalie o utilizzi non conformi da parte degli operatori autorizzati.

Il Responsabile della convenzione, scelto tra i dirigenti della Direzione regionale, cura il mantenimento e la gestione della convenzione anche in caso di modifiche tecniche o funzionali dei servizi. Nella fase istruttoria verifica la legittimità della richiesta sulla base della normativa vigente e delle finalità istituzionali indicate dall’Ente.

Il Referente tecnico, scelto tra i funzionari informatici della Direzione regionale, segue l’attivazione e la gestione operativa dell’accesso ai dati, in raccordo con il referente tecnico dell’Ente esterno e con la Direzione Centrale Sistemi Informativi e Tecnologici. È responsabile dell’applicazione delle regole di sicurezza tecnico-organizzative, del rilascio e della gestione delle utenze e della verifica almeno annuale della corretta attribuzione dei profili autorizzativi e dell’accesso alle banche dati.

Gli operatori amministrativi curano le attività amministrative della fase istruttoria e gestionale.

A livello centrale, la convenzione è sottoscritta e gestita dal Direttore Centrale dell’Organizzazione, che propone al Direttore Generale i nominativi del responsabile della convenzione e del responsabile tecnico.

Figure di riferimento esterne dell’Ente aderente

L’Ente che intende aderire alla convenzione deve indicare già nella domanda di adesione le proprie figure di riferimento.

In particolare, deve essere indicato:

• un referente per la fase istruttoria;
• un Responsabile della convenzione;
• un referente tecnico;
• un Supervisore, nominato dal rappresentante legale, con funzioni di monitoraggio e controllo del corretto utilizzo dei servizi INPS da parte degli utenti abilitati.

Il Supervisore partecipa anche alla procedura di rilascio delle utenze e alla gestione delle autorizzazioni, con il coinvolgimento delle figure apicali degli uffici interessati.

Per gli enti di grandi dimensioni, nei casi in cui sia previsto un numero rilevante di utenze, può essere nominato anche un Amministratore utenze, scelto tra i dipendenti a tempo indeterminato dell’ente, incaricato di richiedere e revocare le autorizzazioni di accesso tramite gli strumenti telematici INPS. I ruoli di Supervisore e Amministratore utenze possono essere attribuiti alla medesima persona.

Procedura operativa e articolazione del procedimento

La circolare delinea un iter amministrativo, normativo e tecnico scandito in tre fasi:

1. ricezione della richiesta di adesione, analisi della completezza dei dati e verifica della legittimità all’accesso alla banca dati;
2. completamento dell’istruttoria e perfezionamento dell’atto convenzionale;
3. avvio della decorrenza dell’atto e abilitazione delle utenze.

Lo scambio di comunicazioni tra INPS ed Ente aderente deve avvenire esclusivamente tramite PEC, utilizzando gli indirizzi della struttura competente e dell’Ente indicati nella domanda di adesione.

La domanda deve essere compilata sulla modulistica pubblicata sul sito istituzionale e sottoscritta dal rappresentante legale o da un suo delegato; in caso di delega, l’atto deve essere allegato o comunque acquisito e verificato.

Fase istruttoria: verifiche da effettuare

Nella prima fase le strutture competenti devono verificare se l’accesso richiesto sia legittimo e coerente con i presupposti normativi e istituzionali.

Le verifiche riguardano in particolare:

• l’esistenza della base normativa che legittima il fruitore ad accedere alle banche dati, con riferimento agli artt. 19, 20 e 21 del Codice privacy;
• la coerenza tra le finalità istituzionali dell’Ente e i dati personali richiesti all’INPS;
• il rispetto dei principi di pertinenza e non eccedenza, in modo che l’ente acceda soltanto ai dati necessari alle finalità perseguite;
• in caso di cooperazione applicativa, l’idoneità tecnica dell’Ente fruitore, in relazione a finalità, natura e quantità dei dati, caratteristiche infrastrutturali e organizzative, volume e frequenza degli accessi.

Se manca una norma di legge o di regolamento che legittimi la comunicazione dei dati personali non sensibili o giudiziari, la circolare richiama la possibilità, nei casi previsti, di avviare la comunicazione al Garante tramite l’Ufficio centrale per il coordinamento e il monitoraggio in materia di protezione dei dati personali e accesso alle banche dati.

La circolare evidenzia che un’errata verifica dei presupposti può determinare trattamenti illeciti di dati personali e quindi espone a sanzioni qualora i dati accessibili risultino ultronei rispetto alle concrete finalità istituzionali perseguite dall’ente richiedente.

Per i servizi con più profili di accesso, considerata la delicatezza dei dati trattati, le domande di adesione devono essere inviate alla Direzione Generale tramite la Direzione Centrale Organizzazione per le opportune valutazioni.

Se nella domanda mancano dati, oppure i dati sono insufficienti o incoerenti, la struttura competente deve richiedere tempestivamente le integrazioni necessarie. Inoltre, il numero di utenze richiesto deve essere valutato in rapporto ai processi gestionali dell’Ente, limitando l’accesso al minimo numero di utenti necessari. A tal fine la circolare rinvia ai valori soglia della griglia dell’allegato 3.

La durata della convenzione è fissata in base alla richiesta dell’Ente, entro il limite massimo di 36 mesi.

Esiti dell’istruttoria e perfezionamento dell’atto

Al termine dell’istruttoria l’INPS comunica all’Ente uno dei seguenti esiti:

• accoglimento di tutte le richieste di servizi, profili e utenze;
• accoglimento parziale, con eventuale riduzione di servizi, profili o numero di utenze, motivando le richieste non accolte;
• rigetto della domanda, con motivazione dettagliata.

Se l’istruttoria si conclude positivamente, il Portale delle convenzioni produce una anteprima del testo convenzionale e dei relativi allegati. Il Direttore competente esamina il documento e le risultanze istruttorie e procede alla firma digitale.

Una volta firmata, la convenzione viene trasmessa automaticamente via PEC all’Ente richiedente. L’Ente deve controfirmare digitalmente il testo tramite il proprio rappresentante legale o delegato e inviarlo nuovamente alla PEC della struttura INPS competente.

Acquisita la convenzione controfirmata e verificata l’integrità dell’atto e la correttezza della firma, il Portale delle convenzioni ne dispone l’attivazione e notifica l’efficacia via PEC all’Ente, trasmettendo contestualmente il modulo per la richiesta delle utenze online.

Da tale data decorre l’operatività della convenzione, che ha durata da 3 a 36 mesi ed è rinnovabile su concorde volontà delle parti.

Abilitazione delle utenze

Dopo l’attivazione della convenzione, il Supervisore dell’Ente può richiedere l’abilitazione delle utenze al referente tecnico INPS utilizzando la modulistica inviata.

Il referente tecnico INPS provvede all’abilitazione delle utenze secondo le modalità ordinarie, nel rispetto dei profili autorizzativi definiti nella convenzione e dei controlli periodici sulla correttezza degli accessi.

Servizi non ricompresi nel catalogo

La circolare prevede la possibilità che gli enti richiedano anche servizi o dati INPS non presenti nel catalogo allegato alla convenzione quadro.

In tal caso la richiesta è presentata in forma libera e deve contenere i dati dell’Ente e le ulteriori necessità di fruibilità. La Direzione regionale competente valuta preliminarmente la qualifica dell’INPS quale ente certificatore dei dati richiesti e trasmette la richiesta alla Direzione Generale, tramite la Direzione Centrale Organizzazione, per verificare la possibilità di integrare il catalogo e la fattibilità della proposta.

Se l’Istituto non è ente certificatore, oppure mancano i requisiti per l’accesso, la domanda è rigettata dalla Direzione regionale con apposita comunicazione all’Ente.

Le eventuali integrazioni devono comunque essere concordate tra le parti nel rispetto del Codice, degli standard di sicurezza informatica e previa verifica, da parte dell’INPS quale soggetto erogatore, della finalità istituzionale e della base normativa che consente l’acquisizione delle informazioni.

Monitoraggio e gestione della convenzione

La Direzione Centrale Organizzazione e le Direzioni regionali effettuano il monitoraggio delle convenzioni e, quando una convenzione è prossima alla scadenza, avviano i contatti con la controparte per l’eventuale rinnovo, tramite il Responsabile della convenzione.

Se la convenzione non viene rinnovata alla scadenza:

• le utenze abilitate ai servizi online vengono automaticamente disabilitate;
• i servizi in cooperazione applicativa vengono disattivati dal sistema.

Le medesime strutture, tramite le figure preposte, effettuano inoltre i controlli periodici previsti dalla convenzione, anche a campione, per verificare il rispetto delle modalità di accesso alle banche dati.

Supporto agli operatori territoriali e agli enti aderenti

Per gli operatori delle Direzioni regionali è attiva la casella istituzionale convenzionequadrodati@inps.it, utilizzabile per quesiti relativi alla convenzione quadro. Le richieste devono essere distinte per materia: amministrativa, giuridica o tecnica.

Il supporto alle strutture territoriali è garantito, per le rispettive competenze, dalla Direzione Centrale Organizzazione, dall’Ufficio centrale di monitoraggio e coordinamento in materia di protezione dei dati personali e accesso alle banche dati e dalla Direzione Centrale Sistemi Informativi e Tecnologici.

Per gli enti aderenti o interessati è inoltre attivo un call center dedicato, gestito dal contact center multicanale, finalizzato a fornire risposte codificate sulle convenzioni.

Portale delle convenzioni e firma digitale

La stipula e la gestione della convenzione sono supportate da due strumenti informatici:

• il Portale delle convenzioni;
• il Sistema per la firma digitale remota.

Il Portale delle convenzioni è disponibile in Intranet e consente una gestione documentale paperless dell’intero processo di stipula, conservazione e monitoraggio delle convenzioni. Il sistema archivia le convenzioni firmate, conserva agli atti gli originali, attiva la fase di abilitazione degli operatori e fornisce informazioni sulle convenzioni vigenti, sui servizi abilitati e sulle figure di riferimento.

Il Sistema per la firma digitale è integrato con il Portale e consente la sottoscrizione con piena validità legale del documento di convenzione. Per firmare digitalmente, il Direttore deve essere preventivamente in possesso di un certificato digitale per firma web o remota, richiedibile tramite apposito modulo Intranet; dopo il riconoscimento de visu da parte dell’IRS, il richiedente riceve comunicazione dell’avvenuta generazione del certificato e ne completa l’attivazione.

Call center dedicato per gli enti aderenti

Gli enti aderenti o interessati possono rivolgersi al numero verde 800864210, gestito dal contact center multicanale e abilitato alle sole chiamate da rete fissa. Il servizio fornisce informazioni sulla convenzione quadro con operatori formati disponibili:

• dal lunedì al venerdì dalle ore 8 alle ore 20;
• il sabato dalle ore 8 alle ore 14.

I quesiti di maggiore complessità possono essere inoltrati dai contact center ai funzionari delle Direzioni Centrali competenti per la formulazione delle risposte.

Recesso, scadenza e chiusura anticipata

Le strutture competenti, ossia la Direzione Centrale Organizzazione e le Direzioni regionali, gestiscono le cause che possono portare alla chiusura anticipata della convenzione, tra cui:

• recesso unilaterale per gravi inadempienze, come la mancata osservanza dei vincoli di accesso ai dati;
• disdetta da parte dell’INPS o del soggetto aderente;
• venir meno dei presupposti e dei requisiti da parte dell’Ente;
• scadenza senza richiesta di rinnovo.

Le strutture competenti, sentite le Direzioni Centrali coinvolte per materia, adottano le misure necessarie per la chiusura della convenzione e ne danno comunicazione all’Ente. La Direzione Centrale Sistemi Informativi e Tecnologici provvede alla chiusura operativa mediante disabilitazione degli accessi.