Premessa

Come è noto, i Punti Cliente di Servizio (PCS) sono sportelli virtuali attraverso i quali il cittadino può accedere a servizi predefiniti dell’Istituto grazie al concorso di altre Pubbliche Amministrazioni. Detti sportelli consentono ogni giorno all’Istituto di soddisfare specifiche istanze di servizio dell’utenza  in condizioni di effettiva prossimità laddove non sia presente una propria Struttura ovvero esista un digital divide da superare.

Il PCS non è presidiato da personale dell’Istituto bensì affidato alla responsabilità ed operatività del personale dell’Amministrazione richiedente la sua attivazione che, in ottica di collaborazione e di attenzione rivolta a comuni utenti, avvia una specifica sinergia con l’INPS per la costituzione dei PCS presso proprie sedi a seguito della sottoscrizione di una convenzione (circ. INPS n.119/2011 e messaggio n. 021959/2011).

Le vigenti disposizioni del Codice dell’Amministrazione Digitale di cui al d.lgs. n. 82/2005, la   normativa in materia di protezione dei dati personali di cui al d.lgs. n. 196/2003 unitamente alla pronunce della relativa Autorità Garante e, infine, le innovazioni tecnico-organizzative, hanno reso necessario l’adeguamento della convenzione  per la costituzione di un PCS fino ad oggi utilizzata e l’impiego di nuove modalità operative per il perfezionamento  dello stesso atto negoziale.

Di seguito si rappresentano i punti salienti della nuova convenzione quadro oggetto dell’allegata determinazione presidenziale n. 51 dell’11 aprile 2016 (all.1) e si forniscono le istruzioni operative per la sua sottoscrizione che avverrà per il tramite del sistema gestionale delle convenzioni presente sulla intranet.

Le Pubbliche Amministrazioni interessate dovranno effettuare una formale istanza di adesione alla Convenzione, sottoscritta dal rappresentante legale o suo delegato e trasmessa alla Direzione Regionale via PEC, riportante tutti gli elementi necessari per la compilazione del testo convenzionale, secondo il fac simile allegato alla circolare (all. 2).

Le modalità di gestione dell’istruttoria, di seguito descritte, sono analoghe a quelle riportate nella circolare 123/2014, con le specificità del caso.

1  - Servizi disponibili presso un PCS e loro fruizione

I servizi già erogabili presso un PCS (Estratto contributivo, Pagamenti prestazioni, Domus, Certificazione Unica per pensioni e prestazioni a sostegno del reddito, ObisM) sono stati implementati  con la possibilità per l’utente di presentare anche l’istanza per la prenotazione di un appuntamento in Strutture INPS mediante apposita procedura. 

Questo nuovo servizio, fruibile solo nei PCS che insistono presso Comuni nei quali non è presente una Struttura INPS, è svolto secondo le disponibilità previste dalla Sede territoriale di riferimento ed è garantito tramite apposita procedura presente sulla intranet.

Come in precedenza i servizi presso i PCS possono essere erogati direttamente al  richiedente  interessato o a terze persone alle quali lo stesso richiedente abbia fornito apposita delega  e copia del documento di riconoscimento.

L’Ente si impegna a conservare, per almeno 48 mesi, l’istanza ricevuta e copie dei documenti di riconoscimento di delegante e delegato, oltre all’atto di delega.

I dipendenti dell’Istituto, nella fase iniziale di attività del PCS, forniranno il necessario supporto al personale dell’Ente che cura l’espletamento dei compiti connessi al funzionamento del medesimo PCS tramite consulenza telefonica.

2 -  Figure di riferimento per l’attuazione della convenzione

Sono state introdotte figure di riferimento per l’attuazione della convenzione quali il Responsabile della convenzione, nominato da ciascuna delle Parti, preposto alla gestione dei rapporti e delle comunicazioni inerenti alla convenzione, oltre all’Amministratore utenze, nominato dall’altra Pubblica Amministrazione, per l’assegnazione e la revoca ai propri operatori delle credenziali di accesso ai servizi rilasciate dall’INPS. L’attività dell’Amministratore   utenze è verificata dal Supervisore, nominato sempre dalla stessa Pubblica Amministrazione, che ha anche il compito di monitorare e controllare il corretto utilizzo dei servizi INPS da parte degli operatori che presidiano il PCS.

A discrezione dell’Ente, la stessa persona può assumere contestualmente i ruoli di Supervisore e di Amministratore Utenze, nel rispetto delle linee guide emanate dall’AGID.

3 - Regole di sicurezza

Nel nuovo testo convenzionale sono stati meglio indicati i criteri per la fruibilità dei servizi forniti presso un PCS specificando i vincoli, le restrizioni e le verifiche che verranno svolte sugli accessi ai servizi di consultazione effettuati dagli operatori dell’amministrazione incaricati di compiere le operazioni di trattamento dei dati personali. 

I servizi di consultazione online previsti dalla Convenzione sono fruibili attraverso la rete pubblica internet mediante applicazioni web accessibili con protocollo HTTPS.

3.1  Modalità di accesso

L’accesso ai servizi online è consentito solo ad operatori espressamente autorizzati da parte della PA (di seguito Ente) che ha richiesto l’attivazione del PCS. Agli operatori saranno attribuite credenziali di accesso individuali il cui uso è strettamente personale e non cedibile a terzi. L’accesso avverrà attraverso il codice fiscale personale ed un PIN fornito dall’INPS, attraverso la Carta Nazionale dei Servizi (CNS), o altri strumenti di autenticazione forte che potranno rendersi necessari per garantire  idonei livelli di sicurezza.

Gli accessi degli operatori incaricati possono avvenire soltanto tramite l’uso di postazioni di lavoro connesse alla rete dell’Ente. È esclusa la possibilità di accesso attraverso VPN di tipo dial-up e dunque è necessario che l’Ente si avvalga di connettività internet, o infranet, con IP statico.

3.2  Richiesta delle credenziali di accesso e loro cessazione

La richiesta di attribuzione di credenziali di accesso da parte dell’Ente può essere effettuata dal legale rappresentante o dell'amministratore utenze per i servizi utilizzando il modulo di richiesta di abilitazione ai servizi telematici dell'Istituto allegato (all. 3).

Il modulo dovrà essere:

-        compilato e sottoscritto dall’operatore incaricato dall'ente ad accedere ai servizi previsti dalla convenzione

-        sottoscritto dal rappresentante legale dell'ente, o amministratore utenze, per l’approvazione

-        corredato di copia dei documenti di riconoscimento di entrambi i sottoscrittori

L'operatore Inps abilitato in IDM con ruolo “Operatore servizi Enti in convenzione”, in accordo con la Direzione Regionale, dopo aver verificato la completezza e idoneità dei documenti prodotti ed aver identificato il latore della richiesta, provvede alla concessione delle autorizzazioni richieste attraverso la procedura intranet "PIN Provisioning".

L’operatore avrà cura di inserire nella procedura Sistema Gestionale delle Convenzioni (vedi paragrafo 4.1.) copia digitalizzata della documentazione presentata. Si evidenzia l’importanza di questa attività al fine di garantire la conservazione e veloce reperibilità della documentazione a seguito di indagini o contestazioni.

Si rappresenta che le abilitazioni agli operatori dell’Ente che erogheranno i servizi INPS presso il PCS devono essere rilasciate in relazione alle effettive esigenze operative del PCS e comunque in numero non superiore alla griglia già riportata nella circolare 123/2014.

Sarà cura dell’Ente comunicare tempestivamente la cessazione di eventuali utenze o abilitazioni al venir meno delle condizioni che hanno portato alla loro attivazione.

3.3 Verifiche sugli accessi 

In presenza di anomalie o sospette irregolarità negli accessi, l’INPS provvederà con immediatezza a richiedere i chiarimenti in ordine al comportamento posto in essere e la documentazione attestante la regolarità degli accessi effettuati.

Il mancato invio di quanto richiesto ovvero l’inoltro di documentazione non esaustiva comporterà l’immediata disabilitazione dell’utenza con contestuale segnalazione al Garante per la protezione dei dati personali, in base ai relativi profili di competenza. Ricorrendone i presupposti, l’INPS procederà, inoltre, a segnalare i fatti agli organi giudiziari per quanto di competenza in ordine ad eventuali ipotesi di reato, ferma restando ogni eventuale azione civile a tutela dell’Istituto.

3.4 Ulteriori adempimenti in materia di privacy e di sicurezza nel trattamento dei dati

In materia di sicurezza, si rappresenta che  l’Ente si impegna a fornire tempestivamente all’INPS ogni informazione utile in ordine a qualsiasi  violazione dei dati o incidenti informatici, eventualmente occorsi nell’ambito dei trattamenti effettuati per conto dell’Istituto, che possano avere un impatto significativo sui dati personali, in modo che l’Istituto medesimo adempia, nei termini prescritti, alla dovuta segnalazione di c.d. “data breach” all’Autorità Garante per la protezione dei dati personali in osservanza di quanto disposto nel Provvedimento della stessa Autorità n. 393 del 2 luglio 2015.

Inoltre, per i servizi INPS resi presso il PCS, Titolare del trattamento dei dati effettuato è lo stesso INPS  che, ai sensi dell’art. 29 del d.lgs. n. 196/2003, nomina l’Ente presso cui è istituito il PCS Responsabile esterno del trattamento dei dati (vedi allegato 1 alla convenzione “Atto di nomina a Responsabile Esterno del trattamento dei dati personali”). L’Ente così designato, a sua volta, provvede ad impartire precise e dettagliate istruzioni agli addetti al trattamento che, operando in qualità di suoi Incaricati secondo quanto disposto dall’articolo 30 del decreto legislativo n.196/2003, avranno accesso ai dati INPS e svolgeranno le operazioni di trattamento.

Si precisa che allo scopo di incrementare la sicurezza nelle modalità di accesso ai dati, è previsto il reciproco impegno delle Parti ad adattare progressivamente i contenuti della Convenzione alle regole tecniche di cooperazione informatica previste dal Codice dell’Amministrazione Digitale nonché alle ulteriori misure che si renderanno necessarie in relazione all’evoluzione tecnica.

4 – Definizione di una  convenzione per l’attivazione di un PCS

Come noto, la convenzione per la costituzione di un PCS può essere attivata esclusivamente con Pubbliche Amministrazioni per il tramite dei soggetti dotati dei necessari poteri di rappresentanza che procederanno alla sottoscrizione digitale del documento.

Per l’INPS sono autorizzati alla sottoscrizione delle convenzioni i Direttori regionali con riferimento ai PCS che ricadono  nell’ambito delle rispettive competenze territoriali come da determinazione presidenziale n. 51/2016.

La convenzione in argomento deve essere sottoscritta esclusivamente laddove l’ente garantisca l’offerta di servizi INPS ai cittadini attraverso uno sportello aperto al pubblico in orari prestabiliti e resi pubblici.

4.1 - Il Sistema gestionale delle convenzioni

L’acquisizione dell’istanza, la stipula ed il monitoraggio delle convenzioni per l’attivazione di un PCS avvengono mediante il Sistema Gestionale delle Convenzioni. Tale sistema, entrato in esercizio nel 2015 per la gestione delle convenzioni per la Fruibilità dei dati, rappresenta lo strumento ufficiale dell’Istituto per la gestione delle informazioni relative a tutte le convenzioni con soggetti pubblici, dalla fase di istruttoria alla fase di attivazione.

Il Sistema Gestione delle Convenzioni è stato realizzato al fine di supportare le strutture dell’Istituto, centrali e territoriali, nelle attività di acquisizione delle istanze, gestione e monitoraggio delle  collaborazioni attivate con altri soggetti.

L’insieme di funzionalità dell’applicativo comporta il coinvolgimento di diversi gruppi di utenti delle Direzioni Regionali.

L’abilitazione delle utenze avviene mediante Identity Management in relazione al profilo utente: Operatore, Capo Team, Dirigente e Direttore regionale. Per garantire la sicurezza degli accessi, l’applicativo Gestione delle Convenzioni si integra con il sistema IDM (Identity Management) dell’Istituto.

I contenuti delle rispettive abilitazioni sono indicate nei Manuali predisposti per ciascuna tipologia. Il sistema è accessibile sulla intranet dal menu Servizi – Gestione e assistenza sui servizi internet – Sistema di Gestione delle Convenzioni.

a)  Il flusso guidato

Il Sistema Gestionale si sviluppa sulle seguenti fasi:

1. Istruttoria
2. Definizione
3. Stipula
4. Attivazione

Le maschere di colloquio con l’operatore propongono i dati ed i documenti da inserire a sistema e le comunicazioni, interne ed esterne, da inviare e da inserire nel fascicolo, a partire dall’Istruttoria fino alla Stipula e Attivazione.

La Domanda inserita a sistema segue un flusso guidato di approvazione composto da una successione di “maschere” definite sulla base del processo autorizzativo interno.

Allo scopo di governare con puntualità ed efficacia le attività complesse che sottendono al processo di Stipula di una convenzione, a ciascuna fase è assegnato un tempo di lavorazione non vincolante.

Il Sistema contiene i template/modelli da utilizzare nella predisposizione di tutti gli atti e documenti. I modelli sono definiti ad hoc per ciascuna tipologia di convenzione e contemplano specifici riferimenti normativi e procedurali.

b)  Procedura per l’accesso

Completate positivamente le fasi di lavorazione sul Sistema gestionale delle convenzioni, avendo cura di inserire copia digitalizzata di tutti i documenti, per attivare il servizio, si procede con la richiesta delle abilitazioni.  Gli utenti esterni potranno accedere ai servizi in convenzione seguendo la procedura riferita al punto 3.2.

c)   La sottoscrizione digitale

Il Sistema Gestionale delle convenzioni è integrato con l’applicativo di verifica della firma digitale, per cui ciascun Direttore Regionale appone la propria firma sul testo della convenzione utilizzando il sistema di Firma Remota.

Il sistema gestionale verifica la correttezza e la conformità della firma apposta dall’Istituto e dall’Ente sul testo di convenzione effettuando prima un controllo di correttezza e successivamente verificandone la coerenza dei nomi dei responsabili della convenzione inseriti sul sistema.

5 - Sottoscrizione di una convezione per il mantenimento di un PCS già attivo

Con riferimento ai protocolli sottoscritti per l’istituzione di un PCS attivati secondo le disposizioni diffuse con la circolare INPS n.119/2011 e il messaggio n. 021959/2011, ancora in corso di validità, si precisa che gli stessi protocolli  avranno efficacia fino alla naturale scadenza.

Sarà cura delle Direzioni regionali, verificare la validità delle convenzioni ad oggi sottoscritte, per le quali sarà comunque fornito a breve un report di sintesi, con l’indicazione del soggetto, della scadenza e del numero degli operatori abilitati.

I protocolli già scaduti alla data attuale, potranno avere una ultrattività fino al 30 settembre 2016; entro tale periodo dovranno essere adeguati con la sottoscrizione della convenzione di cui alla citata determinazione secondo le modalità sopra già descritte. Tale circostanza dovrà essere segnalata formalmente all’ Ente interessato con una apposita PEC.

Si evidenzia che eventuali abilitazioni in essere relative ad utenti di Amministrazioni  non collegate a protocolli definiti con le modalità di cui alla presente circolare o a protocolli redatti in base al messaggio hermes n. 021959/2011 ancora in corso di validità, saranno disabilitate se non confermate entro il 30 settembre p.v. mediante la sottoscrizione di una nuova convenzione secondo le modalità di cui alla presente circolare.

6 - Punti cliente informativi

Per quanto riguarda i Punti Cliente Informativi (PCI) descritti nella circolare n. 119/2011 e di cui al messaggio n. 021959/2011, si precisa che sono stati oggetto di verifiche e controlli che hanno suggerito di non attivare nuove collaborazioni e di portare alla scadenza prevista  quelle già avviate.

Per tutto quanto riportato, le istruzioni di cui alla circolare n. 119/2011 e al messaggio n. 021959/2011, esclusivamente con riferimento ai PCS e ai PCI, si intendono superate.

Allegati:

1.  Determinazione n. 51/2016
2.  Fac simile domanda adesione
3.  Modulo richiesta di abilitazione ai servizi telematici