Source: https://www.anticorruzione.it/portal/public/classic/AttivitaAutorita/AttiDellAutorita/_Atto?ca=5283
Timestamp: 2020-08-09 12:02:36+00:00
Document Index: 72630588

Matched Legal Cases: ['art. 6', 'art. 20', 'art. 62', 'art. 6', 'art. 6', 'art. 5', 'art. 39', 'art. 58', 'art. 6', 'art. 6', 'art. 28', 'art. 6', 'art. 28', 'art. 31', 'art. 3', 'art. 8']

Oggetto: Attuazione dell’art. 6-bis del dlgs 163/2006 introdotto dall'art. 20, comma 1, lettera a), legge n. 35 del 2012.
Relazione – formato .pdf 500 kb
BDNCP, la Banca dati nazionale dei contratti pubblici, istituita dall’art. 62 bis del Codice dell’Amministrazione Digitale di cui al decreto legislativo 7 marzo 2005, n. 82;
OE, Operatore Economico;
AVCPASS, l’Authority Virtual Company Passport, il servizio realizzato dall’Autorità per la verifica del possesso dei requisiti da parte degli OE;
SIMOG, il Sistema Monitoraggio Gare;
CIG, il Codice Identificativo Gara;
PASSOE, il documento che attesta che l’OE può essere verificato tramite AVCPASS;
PEC, la Posta elettronica certificata.
individua i dati concernenti la partecipazione alle gare e la valutazione delle offerte da inserire nella BDNCP al fine di consentire alle stazioni appaltanti/enti aggiudicatori di verificare il possesso dei requisiti degli operatori economici per l’affidamento dei contratti pubblici;
istituisce il nuovo sistema di verifica dei requisiti attraverso la BDNCP, denominato AVCPASS, dotato di apposite aree dedicate ad operatori economici e a stazioni appaltanti/enti aggiudicatori;
alle stazioni appaltanti/enti aggiudicatori, attraverso un’interfaccia web e le cooperazioni applicative con gli Enti Certificanti, l’acquisizione della documentazione comprovante il possesso dei requisiti di carattere generale, tecnico-organizzativo ed economico-finanziario per l’affidamento dei contratti pubblici;
agli operatori economici, tramite l’apposita area dedicata, di inserire a sistema i documenti la cui produzione è a proprio carico ai sensi dell’art. 6-bis, comma 4, del Codice. L’operatore economico può utilizzare tali documenti per ciascuna delle procedure di affidamento alle quali partecipa entro il periodo di validità del documento, così come dichiarato dall’operatore medesimo.
la stazione appaltante/ente aggiudicatore, dopo la registrazione al sistema SIMOG, acquisisce, per ciascuna procedura di affidamento, il CIG, tramite il Responsabile del Procedimento; quest’ultimo indica il soggetto abilitato alla verifica dei requisiti;
l’operatore economico, dopo la registrazione al servizio AVCPASS, indica a sistema il CIG della procedura di affidamento cui intende partecipare. Il sistema rilascia un “PASSOE” da inserire nella busta contenente la documentazione amministrativa. Fermo restando l’obbligo per l’operatore economico di presentare le autocertificazioni richieste dalla normativa vigente in ordine al possesso dei requisiti per la partecipazione alla procedura di affidamento, il “PASSOE” rappresenta lo strumento necessario per procedere alla verifica dei requisiti stessi da parte delle stazioni appaltanti/enti aggiudicatori.
la verifica del possesso dei requisiti di carattere generale, tecnico-organizzativo ed economico-finanziario avviene, ai sensi dell’articolo 6-bis del Codice e della presente delibera attuativa, attraverso l’utilizzo del sistema AVCPASS, reso disponibile dall’Autorità, fatto salvo quanto previsto dal comma 3 del citato art. 6-bis;
tutti i soggetti interessati a partecipare alla procedura devono obbligatoriamente registrarsi al sistema accedendo all’apposito link sul Portale AVCP (Servizi ad accesso riservato - AVCPASS) secondo le istruzioni ivi contenute.
almeno un amministratore/legale rappresentante di ogni operatore economico (casella PEC personale dell’amministratore e casella PEC dell’operatore economico); nel caso di operatore economico persona fisica casella PEC personale;
Per operare sul sistema AVCPASS, occorre registrarsi al servizio secondo le modalità descritte nel Manuale Utente pubblicato sul Portale dell’Autorità (Servizi ad accesso riservato - AVCPASS).
Ai fini dell’utilizzo del sistema AVCPASS, i dati richiesti dal sistema SIMOG per il rilascio del CIG sono integrati con quelli riguardanti i requisiti di partecipazione e le modalità di comprova degli stessi da parte dell’operatore economico.
Le stazioni appaltanti/enti aggiudicatori nominano, nell'ambito di ogni procedimento di affidamento, il soggetto o i soggetti abilitati alla verifica dei requisiti.
Il Responsabile del Procedimento comunica i riferimenti dei soggetti abilitati alla verifica dei requisiti al sistema AVCPASS a partire dal giorno successivo alla data di conferma della procedura di affidamento, secondo quanto previsto dal sistema SIMOG. Tali soggetti, se non già iscritti al servizio, riceveranno un messaggio via PEC, all’indirizzo indicato dal Responsabile del Procedimento, con l’invito a completare la fase di registrazione e acquisizione delle credenziali di accesso. Eventuali modifiche dei soggetti abilitati alla verifica sono comunicate dal Responsabile del Procedimento utilizzando le apposite funzionalità previste da AVCPASS.
Al fine di garantire che le richieste di verifica dei requisiti interessino unicamente i partecipanti alla specifica procedura, prima di poter accedere alla comprova dei requisiti il soggetto abilitato alla verifica dei requisiti integra o conferma, utilizzando l’apposita funzionalità di AVCPASS, l’elenco degli operatori economici partecipanti alla procedura di affidamento.
Ai fini delle verifiche, il soggetto abilitato avvia tramite AVCPASS la richiesta dei documenti a comprova dei requisiti per gli operatori economici interessati; successivamente l’Autorità avvia presso gli Enti Certificanti le richieste dei documenti definiti nel comma 1 del successivo art. 5.
L’Autorità mette a disposizione tempestivamente i documenti a comprova dei requisiti, non appena ricevuti dagli Enti Certificanti.
Entro il termine di 60 giorni dalla data dell’aggiudicazione definitiva di ciascuna procedura di affidamento gestita tramite AVCPASS, il Responsabile del Procedimento deve trasferire definitivamente sui propri sistemi, mediante l’apposita funzionalità, i fascicoli di gara e i documenti in essi contenuti.
Trascorsi 4 giorni dalla scadenza del termine per l’acquisizione dei documenti, ove il Responsabile del Procedimento non abbia adempiuto a quanto previsto dal comma 9, l’Autorità procede ad inviare la documentazione via PEC alla stazione appaltante/ente aggiudicatore. Tale invio costituisce consegna ufficiale della documentazione di gara. A partire da questa data la stazione appaltante/ente aggiudicatore acquisisce la piena titolarità dei dati.
La conservazione dei documenti è onere di ciascuna stazione appaltante/ente aggiudicatore. L’eventuale richiesta di accesso agli atti è in ogni caso inviata alla stazione appaltante/ente aggiudicatore.
Visura Registro delle Imprese fornita da Unioncamere;
Certificato del casellario giudiziale integrale fornito dal Ministero della Giustizia;
Anagrafe delle sanzioni amministrative – selettivo ex art. 39 d.P.R. n. 313/2002 dell’impresa, fornita dal Ministero della Giustizia;
Certificato di regolarità contributiva di ingegneri, architetti e studi associati, dalla Cassa Nazionale di Previdenza ed Assistenza per gli Ingegneri ed Architetti Liberi Professionisti (Inarcassa);
Comunicazione di regolarità fiscale fornita dall’Agenzia delle Entrate secondo quanto specificato nella tabella di approfondimento allegata alla presente delibera;
Documento Unico di regolarità Contributiva fornito dall’Istituto Nazionale per l’Assicurazione contro gli Infortuni sul Lavoro (Inail);
Comunicazione Antimafia fornita dal Ministero dell’Interno.
Documenti e/o dati forniti dagli Enti Certificanti;
Documenti resi disponibili direttamente dalla stessa Autorità;
Documenti forniti dagli Operatori Economici.
Bilanci delle società di capitali ove disponibili, forniti da parte di Unioncamere;
Certificazioni di sistema di qualità aziendale conforme alle norme europee della serie UNI EN ISO 9000 relative al settore EA28 forniti da Accredia;
Fatturato globale e ammortamenti degli operatori economici costituiti in forma d’impresa individuale ovvero società di persone, ove disponibili, forniti da parte dell’Agenzia delle Entrate;
Dati relativi alla consistenza e al costo del personale dipendente, forniti da parte dell’Istituto Nazionale per la Previdenza Sociale (INPS).
le Attestazioni SOA;
i Certificati Esecuzione Lavori (CEL). Ciascun operatore economico ha la facoltà di richiedere alla stazione appaltante/ente aggiudicatore l’inserimento nell’apposita banca dati CEL dei certificati che dovessero risultare mancanti, secondo quanto prescritto dal Comunicato del Presidente dell’Autorità del 5 ottobre 2010;
certificati attestanti l’avvenuta esecuzione di servizi e forniture prestati a favore di amministrazioni o enti pubblici;
le ricevute di pagamento del contributo obbligatorio all’Autorità da parte dei soggetti partecipanti.
Ai sensi dell’articolo 6-bis, comma 4, del Codice i singoli Enti Certificanti che detengono i dati e la documentazione sono tenuti a metterli a disposizione dell’Autorità entro i termini e le modalità definiti tramite apposite convenzioni.
I dati e/o i documenti di cui al precedente comma 1 vengono acquisiti dall’Autorità per conto delle stazioni appaltanti/enti aggiudicatori per il solo espletamento delle verifiche in sede di gara.
Per le modalità di scambio dati con gli Enti Certificanti vengono adottate le regole tecniche e di sicurezza dello standard SPCoop ed in conformità a quanto stabilito nelle Linee guida per la fruibilità di dati delle pubbliche amministrazioni ai sensi dell’art. 58, comma 2 del D. Lgs. 7 marzo 2005, n. 82 -Codice dell’Amministrazione Digitale- o soluzioni tecnologiche alternative che garantiscono comunque livelli di sicurezza non inferiori a detto standard.
In allegato alla presente delibera viene riportata una descrizione di dettaglio dei flussi di dati comunicati all’Autorità dagli Enti Certificanti di cui all’art. 6, comma 1, punto a).
L’Autorità tratta i dati acquisiti nell’ambito del sistema AVCPASS per le finalità di cui all’art. 6-bis del decreto legislativo 12 aprile 2006, n. 163 e nel rispetto dei criteri di pertinenza e non eccedenza. L’Autorità agisce in qualità di Titolare autonomo ai sensi dell’art. 28 del D. Lgs. 196/03 e adempie ai relativi obblighi ivi comprese la nomina degli incaricati del trattamento e l’adozione delle misure di sicurezza.
La stazione appaltante/ente aggiudicatore, nell’accedere al sistema AVCPASS, tratta i dati per le finalità cui all’art. 6-bis, comma 3, del Codice e nel rispetto dei criteri di pertinenza e non eccedenza. La stazione appaltante/ente aggiudicatore è Titolare autonomo ai sensi dell’art. 28 del D. Lgs. 196/03 dei trattamenti e adempie ai relativi obblighi, ivi comprese la nomina degli incaricati del trattamento e l’adozione delle misure di sicurezza.
L’operatore economico è tenuto a inserire sul sistema AVCPASS esclusivamente la documentazione pertinente alle finalità di cui all’oggetto della seguente delibera. L’operatore economico assume la piena responsabilità della natura e della qualità della documentazione prodotta e solleva l’Autorità da ogni responsabilità relativamente ai dati inseriti ed alla documentazione caricata.
Il sistema AVCPASS è stato progettato nel rispetto delle vigenti norme in materia di protezione dei dati personali, compresi gli obblighi di sicurezza di cui all’art. 31 del D. Lgs. 196/03. Sono state disposte, in particolare, le seguenti misure:
il sistema garantisce l'identificazione, l'autenticazione e l'autorizzazione dell’utenza secondo i profili assegnati.
Il sistema è dotato di una procedura per la verifica delle identità e dei relativi ruoli dichiarati a sistema.
L’accesso ai servizi AVCPASS avviene solo a seguito del superamento di una procedura di autenticazione che verifica le credenziali di autenticazione composte dall’identificativo utente e dalla relativa parola chiave e sono adottati idonei criteri di robustezza per la costruzione della password.
Le credenziali di autenticazione sono assegnate individualmente ad ogni incaricato e nelle istruzioni impartite agli incaricati è prescritto di adottare le necessarie cautele per assicurare la segretezza della componente riservata delle credenziali.
Il sistema AVCPASS espone i dati ai soggetti autorizzati per il tempo strettamente necessario al trattamento degli stessi nell’ambito delle procedure di cui al comma 1; al termine di dette procedure i dati non sono più residenti sul sistema.
Il sistema dispone di misure di sicurezza informatica finalizzate a ridurre al minimo il rischio di violazioni dell’integrità della riservatezza e della disponibilità dei dati trattati. In particolare sono disposte idonee procedure di audit sugli accessi, i cui esiti sono documentati. Tali procedure prevedono attività di audit basate sul monitoraggio statistico degli accessi e su meccanismi di alert che individuino comportamenti anomali o a rischio dal punto di vista della sicurezza informatica.
AVCPASS adotta modalità sicure per l’interazione con gli Enti Certificanti; dispone di un sistema di autenticazione degli accessi a fini di sicurezza ed è in grado di fornire su richiesta agli Enti Certificanti evidenza dell’utenza che attraverso il sistema ha generato la singola richiesta di documentazione.
È fatto obbligo agli Operatori Economici e alle stazioni appaltanti/enti aggiudicatori di segnalare tempestivamente all’Autorità ogni variazione dei ruoli dei soggetti che sono stati preventivamente autorizzati ad operare secondo i profili dichiarati a sistema, nonché di eventuali utilizzi impropri ed irregolari del sistema.
L’operatore economico, la stazione appaltante/ente aggiudicatore si impegnano a comunicare tempestivamente incidenti sulla sicurezza qualora tali incidenti abbiano impatto direttamente o indirettamente sul sistema AVCpass, nonché ogni eventuale esigenza di aggiornamento di stato degli utenti gestiti (nuovi inserimenti, disabilitazioni, cancellazioni).
L’Autorità informa l’utenza del corretto utilizzo del sistema.
AVCPASS è implementata con protocolli di sicurezza provvedendo ad asseverare l’identità digitale dei server erogatori dei servizi tramite l’utilizzo di certificati digitali emessi da una Certification Authority ufficiale.
Le regole di gestione delle credenziali di autenticazione prevedono, in ogni caso, la loro attribuzione univoca a una persona fisica.
L’autenticazione deve essere basata su dispositivi o credenziali; queste ultime sono composte dall’identificativo dell’utente e dalla relativa componente riservata (parola d’ordine o password) per la cui costruzione sono adottati idonei criteri di robustezza. Laddove vengano utilizzati dispositivi di autenticazione, deve esserne assicurata la diligente custodia.
La password, comunicata direttamente al singolo incaricato separatamente rispetto al codice per l’identificazione, deve essere modificata dallo stesso al primo utilizzo e, successivamente, almeno ogni 90 giorni e le ultime tre password non possono essere riutilizzate.
Le password devono rispondere a idonei requisiti di complessità (almeno otto caratteri, uso di caratteri alfanumerici, lettere maiuscole e minuscole, caratteri estesi).
Le credenziali sono bloccate a fronte di reiterati tentativi falliti di autenticazione.
Nella prima schermata successiva al collegamento con la banca dati, sono visualizzabili le informazioni relative all’ultima sessione effettuata con le stesse credenziali (indicazione della data, ora e indirizzo di rete da cui è stata effettuata la precedente connessione).
Il tempo di conservazione dei dati relativi agli accessi e alle operazioni compiute nel sistema è fissato nel termine di sei mesi.
1bis. Per gli appalti di importo a base d’asta pari o superiore a € 40.000,00 svolti attraverso procedure interamente gestite con sistemi telematici, sistemi dinamici di acquisizione mercato elettronico, nonché per i settori speciali, il ricorso al sistema AVCPass per la verifica dei requisiti sarà regolamentato attraverso una successiva deliberazione dell’Autorità.
4. In relazione a quanto previsto all’art. 3, comma 2, qualora a causa di esigenze organizzative le Stazioni Appaltanti siano temporaneamente impossibilitate a dotare di caselle PEC personali i soggetti di cui alle lettere b) ed e) del medesimo comma, ferma restando l’opportunità dell’uso di tali strumenti e vista la data di entrata in vigore del regime di obbligatorietà di cui al comma 1, lettera c) del presente articolo è possibile, in via transitoria fino al 31 dicembre 2013, il ricorso a caselle di posta elettronica ordinaria. In questo caso, con le modalità che saranno rese note sul portale istituzionale dell’Autorità, la Stazione Appaltante è tenuta a:
garantire che le caselle di mail ordinaria utilizzate in via transitoria siano esclusivamente individuali, rilasciate nell’ambito del dominio istituzionale dell’Amministrazione e ad accesso esclusivo del soggetto intestatario;
fornire al personale operante in qualità di incaricato del trattamento dei dati le necessarie istruzioni circa il corretto utilizzo delle credenziali di accesso, fermo restando quanto disposto dall’art. 8 della presente Deliberazione nell’ambito delle misure di sicurezza obbligatorie previste dal D.Lgs. n. 196/2003.
La relazione, la tabella e l'elenco codici tributo allegati alla presente delibera ne costituiscono parte integrante.
La documentazione di cui agli artt. 5 e 6 della presente delibera e della relativa tabella allegata può essere oggetto di modifica mediante nuova deliberazione. Le parti modificate della delibera sono sottoposte, per i profili di competenza, al parere dell’Autorità Garante per la protezione dei dati personali.