Linee guida di design per i siti internet e i servizi digitali della Pubblica Amministrazione

Linee guida di design per i siti internet e i servizi digitali della Pubblica Amministrazione

Le linee guida AGID disciplinano la progettazione, realizzazione, gestione e manutenzione dei siti internet e dei servizi digitali della Pubblica Amministrazione, in attuazione dell’art. 53 CAD e ai sensi dell’art. 71 CAD. Il documento è destinato alle PA e, in concreto, vincola anche i fornitori coinvolti nelle attività di sviluppo e manutenzione, attraverso specifiche clausole contrattuali. L’impianto normativo integra profili di accessibilità, protezione dei dati, sicurezza, usabilità, interoperabilità e integrazione con le piattaforme abilitanti.

Ambito di applicazione e funzione sostitutiva

Le linee guida sostituiscono le precedenti "Linee guida per i siti web delle PA" del 2009 e si collocano nel quadro di aggiornamento dovuto all’evoluzione tecnologica e normativa. Il documento non si limita a indicare principi generali, ma contiene regole tecniche e requisiti che devono guidare la progettazione dei servizi digitali pubblici. Per la loro attuazione di dettaglio, sono richiamati gli strumenti, i modelli e i kit disponibili su Designers Italia.

Accessibilità

Per i siti e i servizi digitali della PA è richiesto il rispetto della L. 4/2004 e delle Linee guida AGID sull’accessibilità degli strumenti informatici. L’obiettivo è rendere accessibili contenuto, struttura e comportamento degli strumenti informatici, affinché siano fruibili da tutti gli utenti secondo i requisiti di legge. L’accessibilità costituisce quindi un requisito essenziale di progettazione e mantenimento del servizio, non un mero adempimento formale.

Affidabilità, trasparenza e sicurezza

La sezione più ampia del documento riguarda la sicurezza e la protezione dei dati personali. La PA deve assicurare che la progettazione dei siti e dei servizi sia impostata fin dalla fase iniziale in conformità all’art. 25 GDPR, cioè con protezione dei dati fin dalla progettazione e per impostazione predefinita. Devono inoltre essere adottate misure tecniche e organizzative adeguate al rischio, in conformità all’art. 32 GDPR, e deve essere sempre verificata l’adeguatezza del livello di sicurezza anche rispetto ai principi di integrità e riservatezza dell’art. 5, par. 1, lett. f) GDPR.

Quando il trattamento presenti un rischio elevato per diritti e libertà delle persone fisiche, deve essere effettuata la valutazione d’impatto sulla protezione dei dati ai sensi dell’art. 35 GDPR; se ricorrono le condizioni di cui all’art. 36 GDPR, deve essere consultato il Garante. Il documento richiama anche le linee guida EDPB sulla DPIA e sul data protection by design.

Sul piano dell’informativa e della trasparenza, la PA deve pubblicare sul singolo sito l’informativa sul trattamento dei dati personali e, se il consenso è base giuridica, richiederlo anche per l’uso dei cookie. Le informazioni agli interessati devono essere concise, trasparenti, intelligibili, facilmente accessibili e formulate con linguaggio semplice e chiaro; ciò è particolarmente rilevante per i minori. È raccomandato un link alla privacy ben visibile in ogni pagina e, al momento della raccolta dei dati online, l’informativa deve essere disponibile o richiamata direttamente nella stessa pagina.

Per i siti rivolti a soggetti con disabilità, l’informativa deve essere effettivamente fruibile; per quelli rivolti ai minori, deve essere redatta in linguaggio adatto alla loro comprensione. Nel caso di app, le informazioni privacy devono riguardare specificamente l’app, essere rese disponibili negli store prima del download e restare facilmente accessibili all’interno dell’app, idealmente in non più di due tocchi.

Devono inoltre essere pubblicati i dati di contatto del Responsabile della protezione dei dati, in una sezione facilmente individuabile e accessibile dalla homepage, oltre che nella sezione organizzativa dell’ente. I trattamenti effettuati tramite sito o servizio online devono essere inseriti nel registro dei trattamenti ex art. 30 GDPR.

Cookie, strumenti di tracciamento e fornitori ICT

Prima di ricorrere a cookie o altri strumenti di tracciamento, la PA deve svolgere una valutazione attenta della loro effettiva necessità rispetto alle finalità perseguite. In caso di utilizzo, gli utenti devono essere informati secondo gli artt. 12-13 GDPR e 122 del Codice privacy, nel rispetto delle linee guida del Garante del 10 giugno 2021. Anche quando l’utente non consente l’archiviazione o l’accesso alle informazioni sul dispositivo, la piena fruibilità del sito o del servizio deve essere comunque garantita.

Se la PA affida attività che comportano trattamento di dati personali a fornitori di servizi informatici, deve utilizzare soggetti che offrano garanzie sufficienti e nominarli responsabili del trattamento ai sensi dell’art. 28 GDPR. Il documento insiste sulla corretta ripartizione delle responsabilità tra titolare e responsabile, evitando esoneri sproporzionati, soprattutto nei contratti standard. Se il fornitore è stabilito in un Paese terzo, devono essere rispettate le condizioni del capo V GDPR per il trasferimento dei dati.

Semplicità di consultazione ed esperienza d’uso

Le linee guida impongono una metodologia di progettazione centrata sull’utente. La PA deve coinvolgere, ascoltare e osservare gli utenti in tutte le fasi del ciclo di vita del servizio: analisi, ideazione, progettazione, sviluppo e manutenzione. Devono essere definiti in modo esplicito obiettivi, destinatari, processi e attori; devono essere svolte ricerche con utenti, mappati gli scenari d’uso e realizzati prototipi; devono essere condotti test di usabilità per verificare la corrispondenza del servizio ai bisogni reali.

Per i contenuti, devono essere usati ontologie e vocabolari controllati standard della PA, oltre a un linguaggio e a un’organizzazione dei contenuti adeguati al destinatario. Il contenuto deve essere facilmente trovabile tramite motori di ricerca interni ed esterni, nei limiti consentiti dalla normativa vigente. È inoltre raccomandata la pubblicazione della data dell’ultimo aggiornamento o verifica su ogni pagina.

Monitoraggio dei servizi

La PA deve raccogliere e analizzare statisticamente il traffico e il comportamento degli utenti per migliorare l’esperienza d’uso dei siti e dei servizi digitali. Le informazioni derivanti dal monitoraggio devono essere pubblicate in forma aggregata e anonimizzata. È raccomandato l’uso della piattaforma Web Analytics Italia, con adeguata informazione agli utenti e nel rispetto della disciplina su cookie e tracciamento.

Il documento richiede anche la possibilità per gli utenti di comunicare il proprio livello di soddisfazione e le difficoltà riscontrate, nonché di raccogliere e valutare tali feedback. La manutenzione evolutiva dei servizi deve avvalersi di metodologie di testing e ricerca quantitativa e qualitativa.

Interfaccia utente e modelli di design

Le interfacce devono essere semplici da usare, coerenti nello stile e nell’esperienza d’uso e adattive rispetto al dispositivo dell’utente. Ove disponibili, devono essere impiegati modelli di design per specifiche tipologie di siti e servizi digitali. Il documento valorizza in modo esplicito le indicazioni e gli strumenti di Designers Italia come supporto operativo per l’attuazione uniforme dei requisiti.

Integrazione delle piattaforme abilitanti

L’accesso ai servizi digitali della PA deve avvenire attraverso i sistemi di autenticazione previsti dal CAD, nel rispetto del principio di minimizzazione dei dati: devono essere acquisiti e trattati solo attributi dell’identità digitale adeguati, pertinenti e limitati a quanto necessario. Se si usano elementi di terze parti incorporati nei siti, la PA deve verificare l’idonea base giuridica e le garanzie per eventuali trasferimenti verso Paesi terzi.

È inoltre imposto che gli utenti possano effettuare pagamenti online mediante gli strumenti di pagamento previsti dal CAD. La sezione richiama anche il quadro normativo su eIDAS e sulle disposizioni del CAD relative all’identità digitale e ai pagamenti.

Licenze dei contenuti

La PA deve associare ai contenuti, ove non diversamente previsto dalla normativa, una licenza aperta e inserire il link alla licenza adottata, indicando la versione aggiornata. La regola è coerente con le linee guida su riuso del software, documenti informatici e valorizzazione del patrimonio informativo pubblico.

Attuazione nei contratti pubblici

Per rendere effettiva l’applicazione delle linee guida, nei documenti dei contratti pubblici relativi a progettazione, sviluppo e manutenzione di siti internet e servizi digitali deve essere inserita una clausola vincolante: "Il fornitore incaricato deve rispettare le indicazioni riportate nelle Linee guida di design per i siti internet e i servizi digitali della PA". Questo passaggio rende il rispetto delle linee guida un requisito contrattuale da presidiare in fase di gara, affidamento ed esecuzione.