[normattiva_dump]

Qualora questa verifica abbia esito negativo, la procedura di registrazione si interrompe; nel caso in cui questa verifica abbia esito positivo, l'utente è abilitato all'utilizzo del sistema. Per garantire l'effettiva necessità, da parte del singolo utente NSIS, di accedere alle informazioni per le quali ha ottenuto un profilo di accesso, le utenze vengono, periodicamente, sottoposte a revisione e l'amministratore verifica, con i referenti competenti, il permanere degli utenti abilitati nelle liste delle persone autorizzate ad accedere all'NSIS e ai sistemi ad esso riconducibili. 4.2.3 Fase B - Regole speciali per l'abilitazione ai servizi che prevedono l'accesso a informazioni riferite ai singoli assistiti Nel caso il servizio per il quale è richiesta l'abilitazione, preveda l'accesso a informazioni riferite ai singoli assistiti (art. 4, comma 2) sono previste ulteriori misure specifiche (art. 6, comma 4). Il processo di autenticazione degli utenti avviene esclusivamente da postazioni identificate e attraverso strumenti di autenticazione forte, in conformità all'art. 64 del decreto legislativo 7 marzo 2005, n. 82 e successive modificazioni e all'art. 34 del decreto legislativo 30 giugno 2003, n. 196 e successive modificazioni. L'accesso è garantito tramite l'utilizzo di un protocollo sicuro. L'amministratore del sistema effettua uno specifico riscontro della presenza del nominativo nella lista di coloro che sono stati designati, la cui gestione è a cura del Ministero della salute. (1) Qualora questa verifica abbia esito negativo la procedura di registrazione si interrompe; nel caso in cui questa verifica abbia esito positivo viene confermata all'utente la possibilità di accedere a tali servizi e gli viene chiesto di indicare la postazione da cui intende accedere al servizio. La postazione viene censita nell'elenco delle postazioni abilitate e vengono predisposti gli opportuni certificati digitali, emessi da un'autorità di certificazione ufficiale, da adottare per abilitare l'accesso. Infine, per rendere più sicuro il processo di abilitazione, un altro amministratore del sistema, distinto dall'amministratore che ha generato le credenziali, provvede all'eventuale consegna dello strumento di autenticazione forte (se non già in possesso dell'utente che richiede l'abilitazione) e, in ogni caso, alla sua associazione alle suddette credenziali. In nessun caso i servizi consentono di effettuare più accessi contemporanei con le medesime credenziali. Al collegamento dell'utente al servizio, vengono visualizzati: una informativa per l'assunzione di responsabilità circa il trattamento dei dati acceduti; gli estremi dell'ultima sessione effettuata, indicativa di: data e ora, indirizzo ip/nome macchina da cui è stata effettuata la precedente connessione, anche al fine di evidenziare eventuali abusi. Inoltre, ad ulteriore garanzia dell'effettiva titolarità da parte del singolo utente di accedere alla procedura: le Unità organizzative competenti segnalano tempestivamente il venir meno di tale titolarità per gli utenti; le utenze vengono, trimestralmente, sottoposte a revisione e l'amministratore verifica con i referenti dell'Unità organizzativa competente, il permanere degli utenti abilitati, nelle liste delle persone autorizzate. 4.2.4 Abilitazione alla piattaforma codice univoco nazionale assistito Con riferimento alla piattaforma codice univoco nazionale assistito, di cui al paragrafo 5.3, date le caratteristiche e le finalità della piattaforma, che prevede esclusivamente procedure automatizzate, gli utenti incaricati al trattamento del dato ricoprono la funzione di amministratori di sistemi applicativi complessi e accedono al sistema esclusivamente per finalità di gestione e manutenzione. Pertanto trova integrale applicazione il Provvedimento dell'Autorità Garante per la protezione dei dati personali in materia di "Misure e accorgimenti prescritti ai titolari dei trattamenti effettuati con strumenti elettronici relativamente alle attribuzioni delle funzioni di amministratore di sistema" del 27 novembre 2008 e successive modificazioni. Il processo di autenticazione degli utenti avviene esclusivamente attraverso strumenti di autenticazione forte, in conformità all'art. 64 del decreto legislativo 7 marzo 2005, n. 82 e successive modificazioni e all'art. 34 del decreto legislativo 30 giugno 2003, n. 196 e successive modificazioni. L'accesso è garantito tramite l'utilizzo di un protocollo sicuro. L'amministratore della piattaforma codice univoco nazionale assistito effettua uno specifico riscontro della presenza del nominativo utente da abilitare nella lista di coloro che sono stati designati, la cui gestione è a cura del Ministero della salute. Qualora questa verifica abbia esito negativo, la procedura di registrazione si interrompe; nel caso in cui questa verifica abbia esito positivo, l'utente è abilitato all'utilizzo della piattaforma e gli vengono assegnate le credenziali di autenticazione digitali (utenza e password). Al fine di rendere più sicuro il processo di abilitazione, un altro amministratore della piattaforma codice univoco nazionale assistito, distinto dall'amministratore che ha generato le credenziali, provvede all'eventuale consegna dello strumento di autenticazione forte e, in ogni caso, alla sua associazione alle suddette credenziali. Per quel che riguarda la variazione della password e le caratteristiche che la devono contraddistinguere, si vedano i paragrafi 4.2.1 e 4.2.2. Inoltre, per garantire l'effettiva titolarità da parte del singolo utente, di accedere alla piattaforma, le utenze vengono, trimestralmente, sottoposte a revisione e l'amministratore della piattaforma codice univoco nazionale assistito verifica con i referenti del Ministero della salute, il permanere degli utenti abilitati, nelle liste delle persone autorizzabili. L'abilitazione a questo specifico trattamento è incompatibile con ogni altro servizio o funzionalità di amministrazione del NSIS. Qualora l'utente fosse in precedenza abilitato ad uno o più dei suddetti servizi, l'incompatibilità cessa decorsi sei mesi dalla revoca dell'abilitazione dell'ultimo servizio. 4.3 Sistema di registrazione delle operazioni di trattamento Nel caso lo specifico servizio preveda il trattamento di dati comprensivi del codice univoco, le operazioni di accesso degli utenti sono registrate e i dati vengono conservati in appositi file di log, al fine di evidenziare eventuali anomalie e/o utilizzi impropri, anche tramite specifici alert. Le informazioni registrate in tali file di log sono le seguenti: i dati identificativi del soggetto che ha effettuato l'accesso; la data e l'ora dell'accesso; l'operazione effettuata. I predetti file di log sono conservati in modalità sicura e vengono trattati in forma aggregata, salvo la necessità di verificare la correttezza e la liceità delle singole operazioni effettuate. I file di log sono conservati per dodici mesi e cancellati alla scadenza. 4.4 Modalità di trasmissione dei dati dei sistemi informativi alimentanti il NSIS I soggetti alimentanti il NSIS forniscono le informazioni secondo le modalità stabilite nei decreti di istituzione dei singoli sistemi informativi, con le seguenti specifiche ed integrazioni ai tracciati di anagrafica: