Source: http://docplayer.it/1546620-Comune-di-castiglione-dei-pepoli.html
Timestamp: 2017-12-13 11:27:02+00:00

Document:
1 COMUNE DI CASTIGLIONE DEI PEPOLI DELIBERAZIONE N. 15 C O P I A VERBALE DI DELIBERAZIONE DELLA GIUNTA COMUNALE Oggetto: CN-ER COMMUNITY NETWORK DELL'EMILIA ROMAGNA: ADESIONE AL PROGETTO REGIONALE "FEDERA" PER IL SERVIZIO DI AUTENTICAZIONE FEDERATA Addì QUINDICI FEBBRAIO DUEMILAUNDICI, alle ore 15:00, nella sala di Giunta. Previa l'osservanza di tutte le formalità prescritte dalla vigente legislazione, vennero oggi convocati i componenti la Giunta Comunale. All'appello risultano: 1) Aureli Daniela Enrica - SINDACO 2) Benedetti Lorenzo - ASSESSORE 3) Cecconi Giuseppe - ASSESSORE 4) Antonelli Luca - ASSESSORE 5) Fabbri Maurizio - ASSESSORE 6) Abatantuono Michelangelo - ASSESSORE Presente Presente Presente Presente Presente Presente Assiste il Segretario Comunale Dott. Tranfaglia Celestino, il quale provvede alla redazione del presente verbale. Essendo legale il numero degli intervenuti, il Dott.ssa Aureli Daniela Enrica, Sindaco, assume la Presidenza e dichiara aperta la seduta per la trattazione dell'oggetto sopra indicato. Copia trasmessa per competenza - Area Economico Finanziaria Tributi/Personale - Area Territorio e Sviluppo - Area Servizi Generali e alla Persona - Servizi Demografici ed Elettorale - Servizi Sociali - Area Sicurezza e Vigilanza - Segretario Comunale - Sindaco - Assessore -
2 DELIBERAZIONE DELLA GIUNTA COMUNALE NR. 15 DEL 15/02/2011 LA GIUNTA COMUNALE PREMESSO che: - Lepida S.p.A. è una società, capitale interamente pubblico, che ha il compito di realizzare e gestire la rete regionale per le pubbliche amministrazioni e gestire, sviluppare ed erogare, per conto della Regione Emilia-Romagna, i servizi realizzati in attuazione delle iniziative del Piano Telematico dell Emilia-Romagna PITER; - per creare i presupposti perla partecipazione congiunta e l adesione anche onerosa alle finalità e ai progetti contenuti nel PITER, la Regione ha istituito la Community Network dell Emilia-Romagna (CN-ER), un aggregazione territoriale verticale su base regionale, con una propria specifica identità, separata da quella degli Enti membri, i quali hanno aderito alla stessa sottoscrivendo apposita Convenzione; - il compito di dare esecuzione e di gestire i progetti e le iniziative CN-ER è attribuito a Lepida S.p.A., quale soggetto attuatore ed erogatore dei progetti e dei servizi previsti da PITER; DATO ATTO che il Comune di Castiglione dei Pepoli con: - deliberazione del Consiglio Comunale n. 55 del 27/09/2007 ha approvato la convenzione costitutiva della CN-ER Community Network dell Emilia-Romagna, finalizzata alla collaborazione in area informatica e telematica per lo sviluppo e l attuazione delle politiche di e-government; - deliberazione della Giunta Comunale n. 75 del 31/07/2008 ha approvato il contratto con la Società Lepida per l utilizzo dei servizi di connessione alla rete privata a banda larga della P.A. denominata LEPIDA - deliberazione del Consiglio Comunale n. 71 del 28/09/2010 ha aderito alla sottoscrizione di un'azione società Lepida S.p.A RICHIAMATO il Codice dell'amministrazione Digitale, adottato con D.Lgs. 7/3/2005 n. 82 e successive modifiche ed integrazioni, che prevede nella Sezione II "Diritti dei cittadini e delle imprese" una serie di norme dalle quali si configurano relativi obblighi organizzativi per la pubblica amministrazione; EVIDENZIATO che: - il decreto riconosce il diritto ai cittadini e alle imprese di effettuare pagamenti con modalità informatiche, dell'utilizzo della posta elettronica certificata, di riscontrare la qualità dei servizi erogati, dell'alfabetizzazione informatica e della partecipazione democratica elettronica; - che tutti i cittadini hanno uguali diritti a vedersi erogati i servizi amministrativi attraverso l'uso della tecnologia informatica più evoluta e in questo scenario internet rappresenta uno dei canali di comunicazione principali; CONSIDERATO che: - il tema dell'e-government, ovvero in modo sintetico, la digitalizzazione dei rapporti tra Pubblica Amministrazione e Cittadino, è considerato un obiettivo strategico da parte del I'Amministrazione Comunale; - si prevede lo sviluppo di alcuni servizi on line che presuppongono l'autenticazione dei cittadini o delle imprese, un processo tramite il quale è verificata la corretta identità dell'utente che vuole comunicare attraverso connessione internet; 1
3 DELIBERAZIONE DELLA GIUNTA COMUNALE NR. 15 DEL 15/02/2011 VALUTATO che il servizio proposto dalla società Lepida S.p.A. "FedERa" permette agli utenti (cittadini/imprese) del Comune di Castiglione dei Pepoli di accedere ai servizi online erogati anche dagli altri Enti della Regione Emilia-Romagna mediante un sistema di autenticazione federata, attraverso i servizi di: - Identity Manager: gestisce la procedura di rilascio delle credenziali; - Identity Provider: mette a disposizione un contenitore di identità digitali per i cittadini; - Identity Gatway: consente la comunicazione tra diversi IdP e i vari servizi online aderenti alla federazione, realizza il circle of trust; VALUTATO quindi l'importante valore aggiunto offerto dal sistema FedERa, in quanto permette di riconoscere come validi gli accreditamenti di altri Enti e di poter accedere, con le proprie credenziali, ai loro servizi e che questa caratteristica consente al cittadino/impresa di accedere tramite un'unica autenticazione ai servizi offerti dal Comune di appartenenza e anche a tutti i servizi messi a disposizione dagli altri Enti aderenti alla federazione; VISTI gli allegati al Protocollo di adesione al Progetto regionale FedERa" predisposto dalla Regione Emilia-Romagna: - Allegato l - Linee Guida Organizzative; - Allegato 2 - Condizioni Generali di Fornitura; - Allegato 3 - Allegato Tecnico; - Allegato 4 - Offerta Economica; RITENUTO che il progetto e gli allegati l, 2, 3 e 4, facenti parte dello stesso, siano meritevoli di approvazione; VISTO l art. 48 del T.U.E.L., come da D. Lgs. n. 267/2000; VISTO l art. 20 del vigente Statuto Comunale; ACQUISITI, in base all'art. 49, primo comma, del D. Lgs. 18 agosto 2000, n. 267, i pareri come riportati nell'allegato sub lett. A) che è parte integrante e sostanziale della presente deliberazione; CON VOTI UNANIMI resi nei modi di legge; D E L I B E R A 1) DI ADERIRE, per quanto espresso in narrativa, al progetto regionale per il servizio di autenticazione federata denominato "FedERa" secondo lo schema di protocollo, che regola il rapporto tra la società Lepida SpA e il Comune di Castiglione dei Pepoli, allegato al presente atto come sua parte integrante; 2) DI DARE ATTO che: - il contratto entrerà in vigore alla data della sua sottoscrizione e ha durata triennale; - l'attivazione del servizio è prevista entro 30 (trenta) giorni dalla firma del protocollo di adesione al progetto "FedERa"; - non viene applicato nessun costo all'ente sino alla scadenza del contratto; 2
4 DELIBERAZIONE DELLA GIUNTA COMUNALE NR. 15 DEL 15/02/2011 3) DI DARE MANDATO al Sindaco del Comune di Castiglione dei Pepoli, di sottoscrivere il protocollo di adesione con la Società Lepida S.p.A. per l'accesso al servizio di cui al presente atto, apportando le modifiche non sostanziali al testo che eventualmente si rendessero necessarie; 4) DI RENDERE il presente atto IMMEDIATAMENTE ESEGUIBILE a mente dell art. 134, quarto comma, del D.Lgs. 267/
5 PROTOCOLLO DI ADESIONE AL PROGETTO federa tra LEPIDA S.p.A., con sede legale in Bologna, Viale Aldo Moro 52, C.F. e P.IVA , in persona del Direttore Generale Prof. Ing. Gianluca Mazzini, in seguito anche denominata Lepida S.p.A. o Società e Comune di CASTIGLIONE DEI PEPOLI con sede in Castiglione dei Pepoli (Bo), Piazza Marconi 1. C.F e P.IVA , in persona del sindaco pro tempore, in seguito anche denominata Ente o Comune premesso che - Lepida S.p.A. è una società, a capitale interamente pubblico, che ha il compito di realizzare e gestire la rete regionale per le pubbliche amministrazioni e di gestire, sviluppare ed erogare, per conto della Regione Emilia- Romagna (di seguito indicata anche Regione ), i servizi realizzati in attuazione delle iniziative del Piano Telematico dell Emilia-Romagna - piter; - per creare i presupposti per la partecipazione congiunta e l adesione anche onerosa alle finalità e ai progetti contenuti nel piter, la Regione ha istituito la Community Network dell Emilia-Romagna (CN-ER), un aggregazione territoriale verticale su base regionale, con una propria specifica identità, separata da quella degli Enti membri, i quali hanno aderito alla stessa sottoscrivendo apposita Convenzione; - la governance, solida e partecipata, della CN-ER è attribuita al "Comitato permanente di indirizzo e coordinamento con gli enti locali", quale luogo della condivisione continua degli indirizzi e delle iniziative strategiche del territorio regionale; - il compito di dare esecuzione e di gestire i progetti e le iniziative CN-ER è attribuito a Lepida S.p.A., quale soggetto attuatore ed erogatore dei progetti e dei servizi previsti dal piter; - il Comune di Castiglione dei Pepoli, consapevole del fatto che l aggregazione, il fare sistema, nel campo dell ICT e dell e-government, è l unica leva possibile per la diffusione dei servizi, l aumento di competenze ICT in capo alla Pubblica Amministrazione e la non lievitazione dei costi di gestione, ha aderito alla Community Network dell'emilia-romagna e ne è membro a tutti gli effetti; - il Comune di Castiglione dei Pepoli, consapevole del fatto che l erogazione di servizi da parte di Lepida S.p.A. è prevista per i soli soci, ha aderito all'aumento di capitale deliberato dalla Società; - il Piano telematico dell Emilia-Romagna prevede, tra l altro, la realizzazione del progetto federa, il sistema di identità digitale e piattaforma di federazione di Provider di identità digitale. Il sistema fornisce sia una piattaforma di identità, con funzioni di registrazione e autenticazione utenti, che una piattaforma di federazione dei sistemi di identità, al fine di condividere e far circolare le identità degli utenti su vari servizi di vari Enti, attraverso l utilizzo di una credenziale elettronica unica riconosciuta come valida all interno della federazione stessa; - il Comune di Castiglione dei Pepoli intende aderire al progetto federa, in quanto accordo attuativo della CN- ER; 1
6 - l art. 1.5 della sopracitata Convenzione istitutiva della CN-ER attribuisce alla Regione il potere di rappresentanza della CN-ER stessa; - la Regione, preso atto del suddetto potere di rappresentanza conferitole dalla CN-ER, con la delibera di Giunta n. 1045/2007 ha stabilito che all approvazione e alla sottoscrizione degli specifici accordi attuativi della Convenzione provvederà il Direttore Generale della Direzione generale centrale Organizzazione, Personale, Sistemi Informativi e Telematica; - con determina n. 957 del 4 Febbraio 2010 il Direttore Generale della Direzione generale centrale Organizzazione, Personale, sistemi informativi e telematica, Dott. Lorenzo Broccoli, ha approvato lo schema del presente protocollo di adesione, con i relativi allegati e ha delegato Lepida S.p.A., in persona del Direttore Generale, a sottoscrivere i singoli protocolli di adesione. Tutto ciò premesso Tra le parti si conviene e stipula quanto segue Articolo 1 1. Le premesse e gli allegati costituiscono parte integrante del presente protocollo. 2. In particolare, il Comune dichiara di condividere ed approvare le Linee Guida Organizzative (All. 1), le Condizioni Generali di Fornitura (All. 2), l Allegato Tecnico (All. 3), l Offerta Economica (All. 4). Articolo 2 1. Il Comune con la sottoscrizione del presente Protocollo aderisce al progetto federa, come accordo attuativo della CN-ER, costituendosi "Identity Provider", con le modalità e le funzioni descritte nell'allegato In particolare, il Comune, essendo sprovvisto di proprio sistema di identificazione utenti, dichiara di costituirsi Identity Provider utilizzando federa come sistema di gestione di identità con le modalità di seguito indicate. 3. Il Comune si impegna a: - fornire a Lepida S.p.A. i propri dati identificativi per la configurazione dei sistemi; - indicare gli operatori che saranno preposti a svolgere l attività di Registration Authority (incaricati del trattamento); - fornire il servizio di registrazione utenti secondo gli standard del sistema federa; 4. Il Comune si impegna inoltre a: A. indicare quali servizi di registrazione utilizzerà per gli utenti: a. de visu: riconoscimento diretto dell utente che si presenta allo sportello; b. invio documentazione cartacea: l utente esegue una registrazione on-line ed invia la documentazione che ottiene all ufficio dell ente preposto che ne verifica i dati; c. invio documentazione elettronica: l utente esegue una registrazione on-line e firma digitalmente la documentazione che ottiene e la sottopone attraverso il sistema federa all ufficio dell ente, che ne deve verificare la validità; 2
7 d. invio di raccomandate con ricevute di ritorno: l utente esegue un registrazione on-line e richiede all ufficio dell ente (se si tratta del comune di residenza) di inviargli una raccomandata con ricevuta di ritorno per provare la veridicità dei dati sottoposti. B. dichiarare di seguire le procedure di registrazione e riconoscimento utenti previste dal progetto federa e scelte tra quelle citate al punto precedente C. Fornire i dati degli operatori che eseguiranno le operazioni di registrazione, garantendone l identità D. Fornire i dati per l espletamento dei suddetti servizi, in particolare: a. Nome dell organizzazione b. Indicazione se trattasi di ente pubblico o privato c. Tipo organizzazione (provincia, comune, altro ente) d. Indicazione dell ente se provincia o comune e. Il titolare dei dati trattati f. Numero di FAX g. e contatto per la registration authority h. Indirizzo completo presso cui troverà sede la registration authority i. Il tipo di registrazione che intende fare tra quelli citati all Art. 2 comma 4 Lettera A. j. L indirizzo internet (URL) a cui l ente renderà disponibili informazioni per gli orari e le sedi della registration authority k. Il nome del dominio che l identity provider adotterà l. Il tipo di policy per la password adottata di default per gli utenti m. Il logo dell ente 5. Una volta adempiuto a tutti gli impegni di cui sopra, l Identity Provider verrà istanziato all interno del sistema federa e l Ente potrà iniziare le operazioni di registrazione degli utenti sul sistema. Articolo 3 1. Il Comune prende atto e riconosce espressamente che Lepida S.p.A. è il Gestore della federazione, ovvero il soggetto apicale che gestisce direttamente i dati ed il sistema della federazione nel suo complesso, governando inoltre l interazione tra i soggetti, curando i rapporti tra i vari attori della federazione e garantendone il funzionamento, come meglio descritto nell' Allegato 1. Articolo 4 1. Il Comune prende atto e riconosce espressamente che, come meglio specificato nell'allegato 1: - la CN-ER, nella sua qualità di soggetto aggregatore, distinto dagli Enti partecipanti, ha la qualità di soggetto Titolare del trattamento dei dati afferenti al progetto federa, autonomo rispetto ai partecipanti e che allla CN- ER, nel suo complesso, competono le decisioni in ordine alle finalità, alle modalità del trattamento di dati personali e agli strumenti utilizzati, ivi compreso il profilo della sicurezza; - la CN-ER, come Titolare del trattamento dei dati individua come Responsabili del trattamento dei dati: a. Lepida S.p.A., Gestore di federa (back office); b. tutti gli Enti partecipanti alla CN-ER, previa loro adesione al sistema federa in qualità di Identity Provider, e accettazione delle conseguenti responsabilità di trattamento dati. 2. Il Comune, pertanto, prende atto e riconosce espressamente che la sottoscrizione del presente Protocollo costituisce altresì accettazione della designazione a responsabile del trattamento dei dati, relativamente al progetto federa, per i trattamenti richiesti all'identity Provider, individuati nel presente Protocollo e nell'allegato n.1. 3
8 3. In ottemperanza delle disposizioni di cui al D.Lgs. 196/2003, il Comune dichiara di aver preso visione delle misure di sicurezza fisiche e logiche previste nel progetto federa e di averle ritenute conformi a quanto prescritto dalla normativa citata. 4. In ogni caso, il Comune si impegna a rispettare le prescrizioni previste dal progetto federa e, comunque, a garantire l adozione di idonee misure minime di sicurezza tecniche, informatiche, organizzative, logistiche e procedurali per custodire e controllare i dati in modo da ridurre al minimo i rischi di distruzione o perdita anche parziale, l accesso non autorizzato, il trattamento non consentito o non conforme alle finalità. Articolo 5 1. Lepida S.p.A. fermo quanto previsto negli articoli precedenti e negli allegati, provvederà a garantire: a. il funzionamento dei sistemi di gestione della federazione nel suo complesso e dei servizi di outsourcing per l espletamento del ruolo di Identity Provider con i sistemi della federazione stessa; b. l aderenza agli standard della federazione da parte di tutti i soggetti coinvolti, al fine di consentire la corretta interazione tra tutti i soggetti e l espletamento dei servizi rivolti agli utenti; c. la coerenza semantica dei Circle of Trust in termini di livello di affidabilità delle credenziali digitali ad esso afferenti; d. il supporto per soggetti aderenti alla federazione in termini di adesione alla federazione, per l integrazione dei servizi e per la disponibilità di servizi di help desk. Articolo 6 1. Lepida S.p.A. prende atto che possono costituire giusta causa di recesso eventuali modifiche sostanziali, da parte della CN-ER, delle finalità sottese al progetto federa, nonché eventuali variazioni organizzative, in merito alle modalità del trattamento dei dati e degli strumenti utilizzati, tali da determinare un profondo mutamento delle condizioni espresse nel presente Protocollo e nei suoi allegati. 2. Qualora l Ente, dopo aver tentato di concordare una soluzione condivisa, dissenta dalle posizioni assunte dalla CN-ER in merito alle modifiche e variazioni di cui al comma precedente, potrà esercitare il diritto di recesso anticipato. Esclusivamente in tale caso, in parziale deroga a quanto previsto dalla Condizioni Generali di Fornitura (All. 2), l Ente sarà tenuto a corrispondere a Lepida il 100% (cento per cento) dei corrispettivi relativi alle attività svolte fino al momento del recesso e nulla sarà dovuto in relazione ai corrispettivi mensili non goduti dalla data di recesso fino alla scadenza del contratto. Letto, approvato e sottoscritto Bologna,lì. Lepida S.p.A. Il Direttore Generale Comune di Castiglione dei Pepoli Il Sindaco 4
9 ALLEGATI Allegato 1 Allegato 2 Allegato 3 Allegato 4 Linee Guida Organizzative Condizioni Generali di Fornitura Allegato Tecnico Offerta Economica 5
10 Allegato 1 Servizio Modello organizzativo e gestionale della federazione federa
11 INDICE 1. INTRODUZIONE Federazione Progetto federa autenticazione federata Scopo del documento Destinatari 3 2. PRIVACY E TRATTAMENTO DEI DATI: DEFINIZIONE E RUOLI Definizione di Titolare del trattamento dei dati in base al Codice della Privacy Titolare del Trattamento dei dati nel progetto federa: Community Network dell Emilia Romagna (CN-ER) Definizione di Responsabile del trattamento dei Dati in base al Codice della Privacy Responsabili del trattamento dei dati federa Ruolo di Lepida S.p.A.: Gestore della Federazione Identity Provider Service Provider Definizione di Incaricati del trattamento dei dati in base al Codice della Privacy Definizione di Interessati al trattamento dei dati in base al Codice della Privacy 8 3. ORGANIZZAZIONE Come costituirsi Identity Provider con i propri sistemi Come usare l'identity Provider di federa in service Come esporre i propri servizi ad utenti federa 10 ALLEGATI 11 pag. 2
12 1. INTRODUZIONE 1.1. Federazione La Federazione è un insieme di soggetti il cui obiettivo principale è fornire ai cittadini accesso a servizi telematici, attraverso l utilizzo di una credenziale elettronica unica riconosciuta come valida all interno della Federazione stessa Progetto federa autenticazione federata E il sistema di identità digitale e piattaforma di federazione di Provider di identità digitale, previsto dal piter Il sistema fornisce sia una piattaforma di identità, con funzioni di registrazione e autenticazione utenti, che una piattaforma di federazione dei sistemi di identità, al fine di condividere e far circolare le identità degli utenti su vari servizi di vari Enti Scopo del documento Il presente documento ha lo scopo di definire il modello organizzativo e gestionale della Federazione, andando a definire i soggetti coinvolti, stabilendone ruoli, responsabilità e le modalità di interazione tra gli stessi. Analizza in particolare la compatibilità del sistema della federazione con la normativa in materia di privacy e tutela dei dati personali Destinatari I destinatari di tale documento sono tutti i soggetti coinvolti nella Federazione. pag. 3
13 2. PRIVACY E TRATTAMENTO DEI DATI: DEFINIZIONE E RUOLI 2.1. Definizione di Titolare del trattamento dei dati in base al Codice della Privacy In base al Codice della Privacy, il soggetto che stabilisce come trattare (cioè come gestire) i dati personali che riguardino altri soggetti (c.d. interessati ), dei quali sia entrato in possesso legittimamente, viene chiamato Titolare del trattamento dei dati e viene definito dall art. 4 co.1 lett. f): "la persona fisica, la Pubblica Amministrazione e qualsiasi altro Ente, associazione od organismo cui competono, anche unitamente ad altro titolare, le decisioni in ordine alle finalità, alle modalità del trattamento di dati personali e agli strumenti utilizzati, ivi compreso il profilo della sicurezza". Il Codice della Privacy (Art. 28) stabilisce, inoltre, che: "Quando il trattamento è effettuato da una persona giuridica, da una Pubblica Amministrazione o da un qualsiasi altro Ente, associazione od organismo, titolare del trattamento è l'entità nel suo complesso o l'unità od organismo periferico che esercita un potere decisionale del tutto autonomo sulle finalità e sulle modalità del trattamento, ivi compreso il profilo della sicurezza". Pertanto, è bene tenere presente che il Titolare del trattamento non è la persona fisica legale rappresentante, oppure delegata in materia dagli organi preposti, né un organo interno, bensì la persona giuridica nel suo complesso. Qualora il Titolare designi uno, o più, Responsabili del trattamento, saranno questi ultimi a svolgere le attività correlate al trattamento dei dati, quali, a titolo esemplificativo: designare/organizzare gli incaricati e fornire loro le opportune istruzioni, applicare il sistema di sicurezza, catalogare i trattamenti dei dati e le banche-dati, attuare gli obblighi di informativa/acquisizione, consenso e gestione reclami nei confronti degli interessati (utenti) Titolare del Trattamento dei dati nel progetto federa: Community Network dell Emilia Romagna (CN-ER) La Community Network (CN-ER), istituita con la delibera regionale 1045/07 per creare le condizioni organizzative per dare attuazione alle finalità e ai progetti contenuti nel piter ( ), è un aggregazione territoriale verticale su base regionale (Art. 30 TUEL), con propria identità, con propria sede (presso la sede della Regione Emilia-Romagna, cui è conferito potere di rappresentanza della CN-ER stessa), con una governance solida e partecipata, affidata al Comitato permanente di indirizzo e coordinamento con gli enti locali (Art. 6, comma 4 LR 11/04), e con uno specifico ruolo attivo da parte della Società Lepida S.p.A. Con la Convenzione che dà vita alla CN-ER si è realizzato l Accordo Quadro fra gli Enti aderenti, da cui sono derivati e deriveranno, durante il periodo di validità, gli specifici accordi attuativi per l adesione alle singole iniziative del piter, fra cui anche il progetto federa: l atto di adesione a federa rappresenta un accordo attuativo della CN-ER. In detto accordo è riportato il presente modello organizzativo e gestionale del progetto (servizi offerti ecc.), con i ruoli e le responsabilità delle parti oltre alle modalità di interazione tra gli stessi. La CN-ER rappresenta un unico grande soggetto aggregatore, distinto dagli Enti partecipanti, che assume la qualità di soggetto Titolare del trattamento dei dati afferenti al progetto federa, autonomo rispetto ai partecipanti. Alla CN-ER, nel suo complesso, competono, come sopra indicato, le decisioni in ordine alle finalità, alle modalità del trattamento di dati personali e agli strumenti utilizzati, ivi compreso il profilo della sicurezza (Art. 4 co.1 lett. f) e art. 28 Codice Privacy). pag. 4
14 2.2. Definizione di Responsabile del trattamento dei Dati in base al Codice della Privacy Il Responsabile del trattamento dei dati è: la persona fisica, la persona giuridica, la Pubblica Amministrazione e qualsiasi altro Ente, Associazione od Organismo preposti dal Titolare al trattamento di dati personali (Art. 4 comma 1, lettera g) - Codice Privacy). A titolo esemplificativo le azioni tipiche del Responsabile del trattamento sono: designare/organizzare gli incaricati e fornire loro le opportune istruzioni, applicare il sistema di sicurezza, catalogare i trattamenti dei dati e le banche-dati, attuare gli obblighi di informativa/acquisizione, consenso e gestione reclami nei confronti degli interessati (utenti) Responsabili del trattamento dei dati federa La CN-ER, come Titolare del trattamento dei dati, tramite il Comitato permanente di indirizzo e coordinamento con gli enti locali, individua come Responsabili del trattamento dei dati: - Lepida S.p.A., Gestore di federa; - i singoli Enti aderenti al progetto, partecipanti alla CN-ER. La Regione Emilia-Romagna aderisce al progetto federa con le stesse modalità degli altri Enti partecipanti alla Community Network Ruolo di Lepida S.p.A.: Gestore della Federazione Lepida S.p.A. è il Gestore della Federazione, ovvero il soggetto apicale che gestisce direttamente i dati ed il sistema della Federazione nel suo complesso, governando inoltre l interazione tra i soggetti. E suo onere infatti curare i rapporti tra i vari attori della Federazione, garantendone il funzionamento. Compiti e attività del Gestore Il Gestore della Federazione, in qualità di Responsabile del Trattamento dei dati: - nei confronti del Titolare (CN ER): si occupa della manutenzione del sistema di gestione dei dati e della coordinazione dei loro trattamenti; cura i rapporti tra i membri della Federazione; - nei confronti degli Identity Provider (Enti federati): si occupa di far accedere al progetto federa gli Enti interessati e curarne i rapporti con i Service Provider. In particolare: o attribuendo il ruolo di Identity Provider di federa agli Enti membri della CN ER: che attualmente raccolgono dati-utente esclusivamente per i propri servizi (consentendo loro di portare all interno del sistema della Federazione dati utente già posseduti, eventualmente mantenendo la propria infrastruttura tecnologica, integrandola opportunamente con il sistema); che sono sprovvisti di sistema di identificazione utenti; gestendo il Trattamento dei dati raccolti dagli Identity Provider, in relazione all attività del Service Provider; - nei confronti dei Service Provider: si occupa di trasmettere i dati raccolti dagli Identity Provider, integrandoli all interno del sistema della Federazione al fine di consentire ai Service Provider di rendere i servizi disponibili agli utenti; pag. 5
15 - nei confronti degli utenti: offre servizi agli utenti esclusivamente in maniera indiretta, ovvero garantendo il funzionamento della Federazione e l espletamento dei compiti dei membri della stessa (back office). Responsabilità del Gestore E responsabilità del Gestore della Federazione garantire: - il funzionamento dei sistemi di gestione della Federazione nel suo complesso e dei servizi di outsourcing per l espletamento del ruolo di Identity Provider con i sistemi della Federazione stessa; - l aderenza agli standard della Federazione da parte di tutti i soggetti coinvolti, al fine di consentire la corretta interazione tra tutti i soggetti e l espletamento dei servizi rivolti agli utenti; - la coerenza semantica dei Circle of Trust in termini di livello di affidabilità delle credenziali digitali ad esso afferenti; - supporto per soggetti aderenti alla federazione in termini di adesione alla federazione, per l integrazione dei servizi e per la disponibilità di servizi di help desk Identity Provider Gli Identity Provider sono gli Enti che interagiscono direttamente con gli utenti, raccogliendone i dati sull identità e verificandone l identità in fase di accesso ai servizi, trasmettendo poi le informazioni sull identità stessa al Gestore della Federazione (Lepida S.p.A.). Al fine di diventare Identity Provider, l Ente interessato deve aver aderito alla Community Network. L Identity Provider svolge principalmente due compiti: - registrazione: servizio di Registration Authority, che permette di identificare l utente e di registrare le informazioni sulla sua identità digitale associando un livello di affidabilità coerente al processo di acquisizione delle informazioni stesse; - identificazione: servizio di associazione delle informazioni di identità ad un soggetto interagente con il sistema, sulla base della presentazione di credenziali di riconoscimento attraverso vari meccanismi a vari livelli di sicurezza. Possono svolgere il ruolo di Identity Provider di federa gli Enti appartenenti alla CN-ER: - già dotati di sistema di identificazione utenti, che raccolgono dati-utente esclusivamente per i propri servizi; - sprovvisti di un proprio sistema di identificazione utenti. Ente già dotato di sistema di identificazione utenti Nel caso in cui il soggetto (membro CN-ER), che diventa Identity Provider sul sistema federa, disponga di dati utente precedentemente acquisiti su altri sistemi, sarà possibile la migrazione dei dati medesimi, a condizione che l utente a cui si riferiscono i dati abbia preso visione di un informativa ai sensi dell Art. 13 del Codice Privacy (All. 1: informativa standard CN-ER). L'Ente, inoltre, può diventare Identity Provider in federa utilizzando il sistema federa oppure mantenendo i propri sistemi. In quest ultimo caso, l Ente si impegna a: - seguire le procedure del sistema federa per il riconoscimento dell utente; - fornire il servizio di registrazione secondo gli standard del sistema federa; - fornire il servizio di identificazione aderendo agli standard di comunicazione del sistema federa in termini di: Interfacce di comunicazione; Funzionamento; livelli di servizio offerti. pag. 6
16 L Identity Provider che aderisce alla federazione, ma con sistemi propri, assume principalmente due responsabilità: - riconoscere gli utenti e registrarli, garantendo il servizio ai propri utenti con i propri sistemi (Registration Authority); - identificare gli utenti offrendo loro il servizio di autenticazione con livelli di disponibilità e funzionalità adeguati (Identificazione). Registration Authority Per l espletamento dei servizi di Registration Authority, l Identity Provider deve garantire che il processo di riconoscimento degli utenti avvenga in maniera equivalente ad una delle procedure previste dalla Federazione, stabilendo conseguentemente il livello di fiducia dato dai soggetti aderenti agli utenti registrati. Identificazione L Identity Provider deve implementare gli standard tecnologici federa. L'adesione dell'idp locale è subordinato alla positiva esecuzione di un test di interoperabilità con il sistema federa. Ente sprovvisto di un proprio sistema di identificazione utenti Un Ente (membro CN-ER), sprovvisto di un proprio sistema di identificazione utenti, può diventare Identity Provider all interno della Federazione utilizzando il sistema federa, che offre servizi per la registrazione utenti e per l autenticazione. L Identity Provider che aderisce alla federazione (sprovvisto di propri sistemi di identificazione) assume principalmente la responsabilità di riconoscere gli utenti e registrarli, mentre demanda al sistema federa la responsabilità di identificare gli utenti in fase di accesso ai servizi (e di far prendere visione all utente dell informativa ai sensi dell Art. 13 del Codice Privacy - All. 1: informativa standard CN-ER). Per la registrazione degli utenti il sistema federa mette a disposizione un applicazione per: - inserire i dati di un utente nel riconoscimento de visu, permettendo di consegnare una busta cieca per l attribuzione di una password; - modificare i dati dell utente ad eccezione dei dati anagrafici; - stampare i dati di un utente per l accettazione; - incrementare il livello di affidabilità delle credenziali di un utente; - sospendere o disabilitare un utente; - riabilitare un utente; - rimuovere le informazioni di identità di un utente; - associare nuovamente una busta cieca all utente nel caso di necessità. Registration Authority Per l espletamento dei servizi di Registration Authority, l Identity Provider deve scegliere tra le possibili forme di servizio: - registrazione de visu: rendere disponibile uno sportello con orari di apertura al pubblico al quale gli utenti verranno indirizzati per il riconoscimento di persona secondo le procedure stabilite per federa; - registrazione con invio di documentazione cartacea: rendere disponibile un servizio di ricezione documentazione cartacea via posta ordinaria o via fax che, ricevuta la documentazione, espleti le relative procedure di riconoscimento per federa; - registrazione con invio di documentazione elettronica: rendere disponibile un servizio di ricezione di documentazione elettronica (basata sul sistema federa) che, ricevuta la documentazione elettronica, espleti le relative procedure di riconoscimento per federa; pag. 7
17 - registrazione con invio di Raccomandata AR: rendere disponibile un servizio di invio Raccomandate AR per l identificazione degli utenti secondo le relative procedure di riconoscimento per federa. Identificazione Verrà creata un apposita configurazione per ogni Ente della Federazione affinché possa diventare un Identity Provider effettivo del sistema FedERa, verso cui gli utenti possono presentare le proprie credenziali per l identificazione Service Provider Alcuni degli Enti federati si avvalgono di Service Provider (nominati Responsabili del trattamento dei dati di cui gli Enti stessi sono Titolari, al di fuori del progetto federa) per fornire servizi agli utenti. Tali Enti, una volta entrati nella Federazione come Identity Provider, potranno continuare ad avvalersi dei Service Provider, che, però, dovranno integrarsi correttamente con gli Identity Provider stessi. Il Service Provider, infatti, per potere fornire il servizio all utente nel progetto federa dovrà permettere a quest ultimo di autenticarsi in modo corretto verso l Identity Provider, che è il solo che lo può riconoscere. Ovvero, per riconoscere un utente che non si è ancora identificato, il Service Provider deve redirigere l utente verso un Identity Provider, facendo a quest ultimo una richiesta di autenticazione secondo gli standard tecnologici del sistema federa. Una volta autenticato, l utente ritornerà sul Service Provider che sarà in grado di riconoscerlo. Il Service Provider ha la responsabilità di trattare i dati provenienti dall'autenticazione di federa solo ed esclusivamente ove strettamente necessario all'erogazione all'interessato del servizio espressamente richiesto dal medesimo e nei limiti dello stesso. Per diventare Service Provider è necessario aderire agli standard di comunicazione del sistema federa per l interazione con gli Identity Provider Definizione di Incaricati del trattamento dei dati in base al Codice della Privacy Gli Incaricati del trattamento dei dati sono: le persone fisiche autorizzate a compiere operazioni di trattamento dal Titolare o dal Responsabile (Art. 4 comma 1, lettera h) - Codice Privacy). In concreto, sono gli operatori (operatori call center, impiegati URP, ecc) che interagiscono direttamente con gli utenti, raccogliendone i dati sull identità Definizione di Interessati al trattamento dei dati in base al Codice della Privacy Gli Interessati al trattamento dei dati (Art. 4 comma 1 lettera i) - Codice Privacy) sono: le persone fisiche, la persona giuridica, l Ente o l Associazione cui si riferiscono i dati personali, cioè gli utenti che accedono ai servizi della Federazione. Gli utenti interagiscono con l Identity Provider, verso cui si registrano (fornendo direttamente o indirettamente i propri dati) e dal quale vengono identificati. Nella registrazione gli utenti devono prendere visione di un informativa che consenta all Identity Provider di trasmettere ai Service Provider le informazioni relative al profilo dell utente, al fine di permettere il corretto svolgimento del servizio (vedi all. 1: informativa standard CN ER). I dati censiti nel sistema della Federazione, una volta visionata l informativa da parte dell utente, potranno essere trasmessi in modo automatico e senza richiesta di consenso esplicito, ai Service Provider che ne fanno richiesta. L utente potrà richiedere in qualsiasi momento al Gestore la rimozione dei propri dati dal sistema della Federazione, ottenendo un immediata cancellazione dei dati stessi e l impossibilità ad accedere con le proprie credenziali. pag. 8
18 3. ORGANIZZAZIONE 3.1. Come costituirsi Identity Provider con i propri sistemi Al fine di costituirsi Identity Provider con i propri sistemi un Ente deve: - Predisporre tecnicamente il proprio sistema di autenticazione affinché sia conforme allo standard federa per l autenticazione utente - Sottoscrivere un contratto/convenzione con Lepida S.p.A. in cui si impegna a fornire i servizi di identificazione e registrazione secondo gli standard Lepida per quanto riguarda: o Il riconoscimento degli utenti secondo vari livelli di affidabilità: Auto registrazione, Identificazione per mezzo della fornitura di dati relativi a SIM/USIM, Identificazione certa; o e con vari metodi di autenticazione: Userid/password, One time password, Utilizzo di smart card di riconoscimento quali CIE o CNS. o L applicazione, agli utenti identificati in modo certo, di password policy conformi alla legge sulla privacy, in particolare tre livelli di policy possibili: nessuna policy, policy per la gestione di dati personali, policy per la gestione di dati sensibili. o La conformità agli standard tecnologici di interazione per il sistema di autenticazione, dettati da federa e descritti sul sito o La fornitura di End Point di autenticazione secondi i livelli di affidabilità delle credenziali e delle policy relative alla password: utente auto registrato (livello C); utente riconosciuto per mezzo di SIM/USIM (livello B); utente riconosciuto personalmente in modo certo (livello A) e senza password policy; utente riconosciuto personalmente in modo certo (livello A+) e con password policy per dati personali; utente riconosciuto personalmente in modo certo (livello A++) e con password policy per dati sensibili. Una volta forniti i dati l Identity Provider verrà censito tra i fornitori di identità del sistema federa ed entrerà a far parte ufficialmente della federazione con i propri utenti Come usare l'identity Provider di federa in service L Identity Provider: - fornisce i propri dati identificativi per la configurazione dei sistemi, - indica gli operatori che saranno preposti a svolgere l attività di Registration Authority (incaricati del trattamento), - si impegna a fornire il servizio di registrazione utenti secondo gli standard del sistema federa. L identity Provider dovrà sottoscrivere un apposito contratto/convenzione in cui indica quali servizi di registrazione utilizzerà per gli utenti: - de visu : riconoscimento diretto dell utente che si presenta allo sportello; pag. 9
19 - invio documentazione cartacea: l utente esegue una registrazione on-line ed invia la documentazione che ottiene all ufficio dell Ente preposto che ne verifica i dati; - invio documentazione elettronica: l utente esegue una registrazione on-line e firma digitalmente la documentazione che ottiene e la sottopone attraverso il sistema federa all ufficio dell Ente, che ne deve verificare la validità; - invio di raccomandate con ricevute di ritorno: l utente esegue un registrazione on-line e richiede all ufficio dell Ente (se si tratta del comune di residenza) di inviargli una raccomandata con ricevuta di ritorno per provare la veridicità dei dati sottoposti; - dichiara di seguire le procedure di registrazione e riconoscimento utenti dettate da Lepida S.p.A. e scelte tra quelle citate al punto precedente; - fornisce i dati degli operatori che eseguiranno le operazioni di registrazione, garantendone l identità; - fornisce i dati per l espletamento dei suddetti servizi, in particolare: - nome dell organizzazione - indicazione se trattasi di Ente pubblico o privato - tipo organizzazione (Provincia, Comune, altro Ente) - indicazione dell Ente se Provincia o Comune - il titolare dei dati trattati - numero di FAX - e contatto per la registration authority - indirizzo completo presso cui troverà sede la registration authority - il tipo di registrazione che intende fare tra quelli citati al Art. 2 comma 4 Lettera A del Protocollo di adesione - l indirizzo internet (URL) a cui l Ente renderà disponibili informazioni per gli orari e le sedi della registration authority - il nome del dominio che l Identity Provider adotterà - il tipo di policy per la password adottata di default per gli utenti - il logo dell Ente Una volta forniti tutti i dati l Identity Provider verrà istanziato all interno del sistema federa e l Ente potrà iniziare le operazioni di registrazione degli utenti sul sistema Come esporre i propri servizi ad utenti federa Un Service Provider che esporrà i propri servizi integrandoli con il sistema federa dovrà: - predisporre tecnicamente i servizi affinché siano conformi allo standard federa per l ottenimento delle informazioni dell utente autenticato attraverso il sistema federa; - sottoscrivere un contratto di adesione alle federazione in cui indicare: o l indirizzo a cui il servizio sarà reso disponibile o attributi utente di cui il servizio deve disporre tra quelli resi disponibili dal sistema federa o scopi e modalità di trattamento dei dati del servizio o impegno a non comunicare a terzi i dati utente ricevuti o il bacino di utenza che il servizio ha e i requisiti minimi di affidabilità che il servizio richiede in termini di tipo di identificazione dell utente Una volta forniti i dati il Service Provider verrà inserito nel sistema federa ed entrerà quindi a far parte della federazione. Il Service Provider riceverà inoltre dati opportuni di configurazione affinché possa far interagire correttamente il proprio servizio con il sistema federa. pag. 10
20 ALLEGATI Informativa standard CN-ER Allegato Informativa per il trattamento dei dati personali 1. Premessa Ai sensi dell art. 13 del D.Lgs. n. 196/ Codice in materia di protezione dei dati personali (di seguito denominato Codice ), la Community Network dell Emilia-Romagna (di seguito indicata anche CN-ER ), in qualità di Titolare del trattamento, è tenuta a fornirle informazioni in merito all utilizzo dei suoi dati personali. Il trattamento dei suoi dati per lo svolgimento di funzioni istituzionali da parte della Community Network dell Emilia-Romagna, in quanto soggetto pubblico non economico, non necessita del suo consenso. 2. Finalità del trattamento In virtù di quanto sopra, alla luce dell'articolo 13 (informativa) del Codice citato e successive modificazioni ed integrazioni, La informiamo che i Suoi dati personali saranno trattati solo ed esclusivamente per una o più delle seguenti finalità: registrazione utente nei nostri archivi cartacei ed informatici, rilascio e gestione delle credenziali; certificazione dell'identità dell'utente, identificazione a distanza dell'utente, gestione della identità digitale; finalità amministrative; adempimento di prescrizioni normative; rilevazione del grado di soddisfazione degli utenti; rilevazione ed analisi statistica. 3. Modalità del trattamento Il trattamento può consistere in: raccolta, registrazione, organizzazione, conservazione, consultazione, elaborazione, modificazione, selezione, estrazione, raffronto, utilizzo, interconnessione, blocco, comunicazione, cancellazione, distruzione, dei dati personali. La raccolta dei dati avviene direttamente presso l utente, di persona o per via informatica/telematica, nonché presso altri Enti/Istituzioni/Organismi. I dati forniti vengono trattati manualmente o a mezzo del nostro sistema informatico, nel rispetto delle predette finalità ed in modo da garantire la sicurezza e la riservatezza dei dati medesimi. La conservazione si potrà protrarre anche dopo la cessazione del servizio per le finalità predette. Il trattamento dei dati è effettuato dal Titolare del trattamento nonché dai Responsabili e dagli Incaricati individuati da questi. 4. Comunicazione e Diffusione I dati trattati non sono soggetti a diffusione. I dati potranno essere comunicati a tutti gli organi preposti a verifiche e controlli circa la regolarità degli adempimenti di cui alle finalità indicate. I dati potranno essere comunicati e trasmessi ai Service Provider, al Gestore della Federazione e ad ogni Ente membro della CN-ER ai fini del corretto svolgimento del procedimento, della corretta gestione dei servizi erogati, del raggiungimento delle finalità indicate. 5. Facoltatività del conferimento dei dati Il conferimento dei dati è facoltativo, ma in mancanza non sarà possibile adempiere alle finalità descritte al punto 2 ( Finalità del trattamento ). 6. Categorie di soggetti ai quali i dati possono essere comunicati o che possono venirne a conoscenza in qualità di Responsabili o Incaricati pag. 11

References: art. 48
 art. 20
 art. 134
 art. 1
 Articolo 1
 Articolo 2
 Art. 2
 Articolo 3
 Articolo 4
 Articolo 5
 Articolo 6
 art. 4
 art. 28
 Art. 13
 Art. 13
 Art. 2
 art. 13