|
Garante per la protezione dei dati personali vedi anche [provv. 26 novembre 2009] [provv. 18 settembre 2008] [provv. 26 marzo 2009] [provv. 2 luglio 2009] [provv. 17 luglio 2009] [provv. 23 luglio 2009 "3270 enti esterni"] [provv. 23 luglio 2009 "Siatel"] [provv. 24 settembre 2009] Proroga degli accessi all'anagrafe tributaria effettuati tramite web services PROVVEDIMENTO DEL 26 MARZO 2010 IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI NELLA riunione odierna, in presenza del prof. Francesco Pizzetti, presidente, del dott. Giuseppe Chiaravalloti, vice presidente, del dott. Mauro Paissan e del dott. Giuseppe Fortunato, componenti e del dott. Daniele De Paoli, segretario generale reggente; VISTO il Codice in materia di protezione dei dati personali (d.lg. 30 giugno 2003, n. 196); VISTO il provvedimento del 18 settembre 2008 con il quale il Garante, all'esito di accertamenti condotti in loco, ha prescritto all'Agenzia delle entrate una serie di misure e accorgimenti necessari al fine di porre rimedio alle carenze riscontrate e di incrementare i livelli di sicurezza degli accessi all'anagrafe tributaria da parte dei soggetti esterni all'amministrazione finanziaria; VISTO il provvedimento del 26 marzo 2009, con il quale il Garante, in particolare, ha prorogato al 30 marzo 2010 il termine per la verifica dell'attualit delle finalit per cui ha concesso l'accesso agli enti esterni all'anagrafe tributaria, anche con riferimento al numero di utenze attive, inibendo gli accessi effettuati al di fuori dei presupposti riconducibili all'art. 19 del Codice e quelli non conformi a quanto stabilito nelle convenzioni; VISTO, da ultimo, il provvedimento del 26 novembre 2009, con il quale il Garante ha prorogato i termini relativi all'adozione delle misure prescritte con il provvedimento del 18 settembre 2008 in ordine agli accessi all'anagrafe tributaria effettuati tramite web services da parte di Inps, Inpdap, Enpals e Avcp, nonch al collegamento denominato "3270 enti esterni" da parte di Inps, Camere di commercio e Agea; VISTE le note dell'Agenzia delle entrate dell'8 e del 18 marzo 2010; VISTE le osservazioni dell'Ufficio formulate dal segretario generale ai sensi dell'art. 15 del regolamento del Garante n. 1/2000; Relatore il dott. Mauro Paissan; PREMESSO: Nell'ambito degli accertamenti ispettivi svolti sull'accesso da parte degli enti esterni all'anagrafe tributaria nel corso del 2008, emerso che il collegamento effettuato tramite web services non consentiva di limitare e controllare gli accessi in relazione alla loro provenienza e non garantiva misure idonee a verificare il rispetto delle regole di sicurezza di cui all'Allegato B del Codice. Pertanto, con il provvedimento del 18 settembre 2008, il Garante ha prescritto all'Agenzia delle entrate di effettuare una ricognizione dei servizi esposti e di sospendere tali collegamenti in attesa dell'impiego di web services che offrissero maggiori garanzie per il trattamento dei dati personali. Nel medesimo provvedimento il Garante ha evidenziato che, anche al fine di evitare duplicazioni delle banche dati e rischi di disallineamento, i web services devono essere configurati limitando i risultati delle interrogazioni a valori di tipo booleano. Inoltre, nelle convenzioni per l'utilizzo di tali servizi, oltre a quanto pi in generale prescritto nel predetto provvedimento per i collegamenti all'anagrafe tributaria, devono essere previste stringenti condizioni d'uso tali da consentire un'effettiva capacit di controllo da parte dell'Agenzia, offrendo idonee garanzie, quali, ad esempio, il tracciamento delle operazioni compiute in cooperazione applicativa, con possibilit di identificazione dell'utente che accede ai dati, il timestamp, l'indirizzo Ip di provenienza dell'utente e del server interconnesso, l'operazione effettuata e i dati trattati (cfr. Provvedimento del 18 settembre 2008, lett. d), II), secondo punto). L'Agenzia, successivamente, ha rappresentato che, tuttavia, al fine di soddisfare le specifiche necessit di collegamento all'anagrafe tributaria da parte di Inps, Inpdap, Avcp, Enpals, Camere di commercio e Agea, era necessario realizzare una nuova classe di web services idonea ad offrire a tali enti un accesso ai dati personali pi ampio rispetto a quello booleano individuato dal citato provvedimento. Pertanto, l'Agenzia ha chiesto una proroga del termine per la disattivazione dei collegamenti all'anagrafe tributaria tramite web services da parte di Inps, Inpdap, Avcp e Enpals, nonch di quelli realizzati attraverso il collegamento denominato "3270 enti esterni" da parte di Inps, Camere di commercio e Agea. Il Garante, prorogando, da ultimo, al 30 marzo 2010 il predetto termine, ha avviato un'istruttoria al fine di valutare l'idoneit delle nuove procedure di collegamento -in corso di realizzazione da parte dell'Agenzia- a offrire garanzie analoghe a quelle gi prescritte dal Garante nel predetto provvedimento del 18 settembre 2008 (cfr. provvedimento del 26 novembre 2009). Nell'ambito dell'istruttoria sono state, quindi, esaminate le caratteristiche tecniche relative alla nuova classe di web services in fase di sperimentazione ed il corrispondente modello di convenzione che contiene le condizioni d'uso, forniti dall'Agenzia delle entrate. Al riguardo, con il diretto coinvolgimento delle amministrazioni interessate, sono stati effettuati, poi, specifici accertamenti anche di carattere ispettivo relativi, in particolare, alla verifica della base normativa che legittima Inps, Inpdap, Avcp, Enpals, Camere di commercio e Agea a tale collegamento all'anagrafe tributaria, ai dati raccolti e alle modalit di trattamento degli stessi, alla frequenza e al volume dei trasferimenti o degli accessi e al numero di soggetti che utilizzano la procedura, nonch alle condizioni d'uso e alle modalit attuative delle garanzie per il trattamento dei dati personali nell'ambito dei nuovi collegamenti tramite web services. Con la nota dell'8 marzo 2010, l'Agenzia delle entrate, in seguito all'incontro del 17 febbraio 2010 svoltosi nell'ambito dell'istruttoria presso l'Ufficio del Garante, ha inviato una nuova bozza di convenzione per l'accesso all'anagrafe tributaria da parte dei predetti enti. Con la medesima nota e con la nota del 18 marzo u.s., l'Agenzia ha chiesto altres al Garante un'ulteriore proroga di almeno quattro mesi rispetto alla scadenza del 30 marzo p. v. fissata per l'adempimento -di cui al provvedimento dell'Autorit del 18 settembre 2008- relativo alla stipula delle nuove convenzioni con gli enti, verificando l'attualit delle finalit per cui ha concesso l'accesso agli enti esterni all'anagrafe tributaria, anche con riferimento al numero di utenze attive, inibendo gli accessi effettuati al di fuori dei presupposti riconducibili all'art. 19 del Codice e quelli non conformi a quanto stabilito nelle convenzioni (lett. a), i), secondo punto). Tale ulteriore proroga viene richiesta in relazione a specifiche esigenze organizzative dell'Agenzia volte a introdurre una gestione informatizzata dell'intero processo di stipula delle convenzioni che risultano essere oltre 9.500. OSSERVA: 1. I collegamenti all'anagrafe tributaria
tramite web services da parte di Inps, Inpdap, Enpals, Avcp, Camere di
commercio e Agea. Alla luce degli accertamenti compiuti stato rilevato che i predetti enti hanno la necessit di utilizzare tali servizi di cooperazione applicativa da integrare nei propri sistemi informativi per perseguire adeguatamente le rispettive finalit istituzionali. Si ritiene, tuttavia, necessario individuare modalit di utilizzo della nuova classe di web services idonee a rafforzare la protezione dei dati personali oggetto di trasmissione. In ogni caso, con riferimento alla nuova classe di web services occorre in primo luogo richiamare le prescrizioni gi impartite nei confronti dell'Agenzia con il provvedimento del 18 settembre 2008, applicabili ai web services di tipo booleano, relative, in particolare, alla necessit che: - con cadenza periodica annuale, sia verificata l'attualit dei collegamenti (lett. a), I), secondo punto); - siano individuate idonee procedure di abilitazione e autorizzazione degli utenti (lett. c)); - le convenzioni per l'utilizzo di tali servizi stabiliscano stringenti condizioni d'uso. Dal punto di vista tecnico, le condizioni d'uso devono essere trasposte in appositi "accordi di servizio", redatti secondo il modello della cooperazione applicativa impiegata all'interno del sistema pubblico di connettivit istituito dal Codice dell'amministrazione digitale. Gli "accordi di servizio" devono individuare idonee garanzie per il trattamento dei dati personali tali da consentire anche un'effettiva capacit di controllo da parte dell'Agenzia (cfr. lett. d), II), secondo punto); - le operazioni compiute siano tracciate, con possibilit di identificare l'utente che accede ai dati, il timestamp, l'indirizzo Ip di provenienza dell'utente e del server interconnesso, l'operazione effettuata e i dati trattati (cfr. lett. d), II), secondo punto); - siano previste adeguate procedure di audit sull'accesso alle informazioni contenute nell'anagrafe tributaria (cfr. lett. e)). 1.1. Misure aggiuntive per l'utilizzo della nuova classe di web
services In particolare, tali cautele sono volte a garantire che le informazioni personali restituite dall'invocazione dei web services siano trattate unicamente da parte di soggetti incaricati, per svolgere esclusivamente le specifiche attivit procedimentali che hanno legittimato il collegamento. Ci, senza consentire accessi da parte di utenti esterni, n la restituzione di dati eccedenti e non pertinenti, relativi anche a soggetti diversi da quelli oggetto dell'attivit istituzionale (ad esempio, restituzione di elenchi di soggetti a fronte di un'interrogazione effettuata inserendo solo nome e cognome (senza data di nascita) oppure solo parte della denominazione sociale). A tal fine, necessario, quindi, assicurare che: - i web services vengano integrati soltanto in applicativi che gestiscono procedure amministrative volte al raggiungimento delle finalit istituzionali per le quali consentita la comunicazione delle informazioni contenute in anagrafe tributaria. Devono essere, quindi, inibiti gli accessi effettuati per finalit diverse da quelle sopra indicate, nonch quelli realizzati attraverso applicativi aventi l'unica funzione di consentire interrogazioni dell'anagrafe tributaria, che andranno invece compiute, se consentite, attraverso gli appositi applicativi dell'Agenzia delle entrate a ci deputati in grado di garantire elevati standard di sicurezza (cfr., ad esempio, l'applicativo Puntofisco); - per ogni applicativo venga selezionata la tipologia di web services con la profilazione che offre unicamente le informazioni pertinenti e non eccedenti rispetto alla specifica finalit istituzionale perseguita; - l'utente dell'ente sia espressamente abilitato all'utilizzo dei web services dal soggetto giuridicamente preposto all'individuazione degli utenti e dei profili (cfr. provvedimento del 18 settembre 2008, lett. c), I), terzo punto) e il relativo codice utente deve essere preventivamente comunicato all'Agenzia delle entrate. L'Agenzia e gli enti devono pertanto garantire che i web services possano essere utilizzati esclusivamente da tali soggetti; - i web services non possano essere utilizzati da soggetti esterni all'ente legittimato ad accedere all'anagrafe tributaria. Gli utenti degli applicativi in cui sono integrati i web services devono essere a tal fine designati incaricati del trattamento dei dati personali e devono ricevere adeguate istruzioni in proposito. 1.2. Le specifiche tecniche della nuova classe di web services
dell'Agenzia delle entrate e del modello di convenzione La nuova classe di web services consente un'ampia consultazione delle informazioni anagrafiche dei contribuenti censiti in anagrafe tributaria, comprensive dei dati attuali, storici ed inerenti all'attivit d'impresa. Dall'esame delle specifiche tecniche contenute nella documentazione fornita dall'Agenzia, si evince quanto segue. a) Sicurezza dell'architettura tecnica e standard WS-Security Il protocollo di comunicazione utilizzato SOAP (Simple Object Access Protocol), che definisce il tracciato XML dei messaggi (rappresentazione dei dati) e le modalit di invocazione remota dei web services. Per ogni servizio realizzato viene generato il relativo WSDL (Web Services Description Language necessario per descrivere in linguaggio XML le interfacce di servizi web). Dal punto di vista tecnico le modalit di fruizione dei servizi si basano sull'utilizzo dei protocolli previsti dall'architettura standard WS-Security (Web Services Security). b) Meccanismo di autenticazione e autorizzazione degli utenti Il tracciato XML, descritto nel WSDL del servizio, prevede, oltre ai dati specifici della richiesta da inoltrare, la valorizzazione da parte dell'applicativo chiamante di una intestazione contenente alcune informazioni generali utili all'identificazione delle attivit di interrogazione. Tali informazioni sono riportate anche nell'XML prodotto in risposta (output). L'Agenzia delle entrate utilizza le informazioni presenti nell'intestazione del tracciato XML per gli scopi di abilitazione e autorizzazione all'utilizzo dei web services degli utenti precedentemente autenticati e autorizzati negli applicativi dell'ente stesso. Al riguardo previsto che l'ente fornisca preventivamente l'elenco degli utenti autorizzati all'accesso al servizio, al fine di consentire all'Agenzia di realizzare il controllo degli accessi allo stesso. c) Tracciamento delle operazioni e audit d) Profilazione dei web services A fronte di tali tipologie di interrogazioni, previsto dalle specifiche tecniche che l'ente riceva dall'Agenzia il corrispondente pacchetto di informazioni di output, ossia, ad esempio, "output_persona_fisica", "elenco_sinonimo_persone_fisiche", "output_persona _giuridica", "elenco_sinonimo_persone_giuridiche"). Come verificato durante gli accertamenti effettuati presso gli enti, la maggior parte delle modalit di utilizzo dei web services non necessita di tutte le informazioni rese disponibili da tali servizi che, allo stato, non sono ancora profilati. Infatti, stato verificato che gli applicativi realizzati dagli stessi a volte provvedono a scartare o filtrare autonomamente in visualizzazione le informazioni ricevute dall'anagrafe tributaria non rilevanti per le proprie finalit istituzionali o per l'ambito funzionale richiesto dall'applicazione. Il modello di convenzione in esame riporta l'elenco dei nuovi servizi di cooperazione applicativa messi a diposizione di Inps, Inpdap, Enpals, Avcp, Camere di commercio e Agea da parte dell'Agenzia (verifica codice fiscale/partita IVA, dati anagrafici correlati al codice fiscale, dati attivit correlati a codice fiscale/partita IVA, storico-codice fiscale, storico-attivit). e) Prescrizioni - venga prevista una differenziazione nelle risposte elaborate dai web services in grado di rendere disponibile, di volta in volta, all'ente e all'utente finale esclusivamente il dato personale necessario all'ente stesso per perseguire la finalit correlata alla specifica interrogazione. Preventivamente alla messa in esercizio dei singoli web services, l'ente e l'Agenzia devono, quindi, concordare, in base a un'attenta valutazione delle specifiche finalit di trattamento dei dati oggetto di ciascuna invocazione, il ricorso alle differenti tipologie di web services da individuare, nel rispetto dei principi di pertinenza e non eccedenza, a seconda dell'applicativo in cui devono essere integrati, dell'ambito funzionale all'interno di tale applicativo, dei dati di invocazione e del profilo utente che effettua le interrogazioni; - l'interrogazione del web services possa avvenire esclusivamente mediante la precisa indicazione di un insieme minimo di dati idoneo a individuare puntualmente il soggetto di cui si richiedono le informazioni (ad esempio, partita Iva o codice fiscale, esatta denominazione, ovvero nome, cognome e data di nascita). La risposta fornita deve contenere, quindi, informazioni relative esclusivamente ai soggetti cui corrispondano esattamente gli elementi indicati nell'interrogazione; - in conformit al provvedimento del 18 settembre 2008, confluiscano negli strumenti di business intelligence utilizzati dall'Agenzia per monitorare gli accessi all'anagrafe tributaria anche i log relativi alla nuova classe di web services, elaborati a partire dalle informazioni presenti nell'intestazione del tracciato XML. L'Agenzia deve, quindi, utilizzare tali informazioni anche mediante l'attivazione di specifici alert che individuino comportamenti anomali o a rischio, attraverso il monitoraggio e l'analisi periodica, a livello statistico, dei dati relativi alle transazioni eseguite dagli enti esterni. B) Il modello di convenzione Dall'esame della documentazione in atti, le condizioni d'uso previste nel modello di convenzione da ultimo predisposto dall'Agenzia risultano idonee ad assicurare il rispetto di quanto rappresentato ai punti 1. e 1.1. del presente provvedimento, con particolare riguardo ai contenuti dell'allegato 3 al modello di convenzione relativi alle modalit di accesso ai dati e alle misure di sicurezza e responsabilit, nonch all'espressa previsione del divieto di utilizzo anche indiretto degli applicativi che invocano web services da parte di soggetti esterni all'ente. Si rileva, inoltre, che le condizioni d'uso stabilite nel modello di convenzione non sono state trasposte in appositi accordi di servizio secondo il modello della cooperazione applicativa impiegata all'interno di SPC. Tuttavia, la mancata trasposizione , allo stato, giustificata in considerazione del fatto che la nuova classe di web services, ancora in fase di sperimentazione, risponde a esigenze istituzionali specifiche di Inps, Inpdap, Enpals, Avcp, Camere di commercio e Agea e che il modello di convenzione rivolto unicamente a tali enti. Al momento del completamento della transizione degli enti alla nuova classe di web services, le condizioni d'uso devono essere trasposte in appositi "accordi di servizio" in conformit a quanto gi previsto dal provvedimento del 18 settembre 2008 (cfr. lett. d), II, secondo punto). 1.3. Adempimenti ulteriori da parte dei singoli enti e proroga dei
termini di dismissione degli attuali collegamenti All'esito di tale valutazione, potrebbero risultare necessari ulteriori adempimenti di carattere tecnico e organizzativo da parte degli enti interessati al fine di eliminare le precedenti modalit di collegamento, anche con l'attivazione di nuovi collegamenti all'anagrafe tributaria scelti tra quelli offerti dall'Agenzia delle entrate. Gli enti interessati devono assicurare, inoltre, che siano adottate al proprio interno le regole di sicurezza relative all'identificazione e all'autenticazione degli utenti descritte nel suddetto modello di convenzione predisposto dall'Agenzia. Pertanto, al fine di assicurare la continuit delle funzioni istituzionali allo stato perseguite da Inps, Inpdap, Avcp e Enpals, Camere di commercio e Agea con i predetti collegamenti all'anagrafe tributaria ad oggi ancora attivi, si ritiene, quindi, necessario, alla luce di quanto sopra indicato, prorogare ulteriormente al 31 ottobre 2010 i termini relativi alla dismissione dei collegamenti all'anagrafe tributaria effettuati tramite i web services attualmente in uso da parte di Inps, Inpdap, Avcp e Enpals, nonch al collegamento denominato "3270 enti esterni" con Inps, Camere di commercio e Agea, gi differiti, da ultimo, al 30 marzo 2010 con il provvedimento del 26 novembre 2009. 2. Stipula delle nuove convenzioni per
l'accesso all'anagrafe tributaria da parte degli enti esterni Tale adempimento, infatti, oltre all'aspetto formale della stipula delle convenzioni sulla base dei nuovi modelli predisposti dall'Agenzia in base al predetto provvedimento, presenta la necessit di compiere una puntuale verifica dell'attualit delle finalit per cui viene concesso l'accesso all'anagrafe tributaria e un'articolata attivit di formazione degli utenti delle migliaia di enti esterni interessati. Un'accurata gestione di tale cruciale passaggio risulta quindi funzionale ad assicurare in futuro la correttezza e la sicurezza di tali accessi e giustifica, pertanto, l'accoglimento della richiesta di proroga e il rinvio al termine sopra individuato. L'adempimento delle prescrizioni contenute nel presente provvedimento ai punti 1 e 2 deve essere puntualmente documentato al Garante entro i nuovi termini fissati al 31 ottobre 2010 (artt. 162, comma 2-ter e 170 del Codice). TUTTO CIO' PREMESSO IL GARANTE ai sensi dell'art. 154, comma 1, lett. c) del Codice, al fine di individuare misure idonee ad assicurare che l'accesso all'anagrafe tributaria attraverso la nuova classe di web services predisposta dall'Agenzia delle entrate da parte di Inps, Inpdap, Enpals, Avcp, Camere di commercio e Agea avvenga nel rispetto del Codice in materia di protezione dei dati personali, rendendo il trattamento conforme alle disposizioni vigenti, nonch di accogliere la richiesta di proroga formulata dall'Agenzia delle entrate con le note dell'8 e del 18 marzo 2010, dispone che: 1) gli accessi all'anagrafe tributaria effettuati tramite web services ad oggi ancora attivi da parte di Inps, Inpdap, Enpals e Avcp, nonch il collegamento all'anagrafe tributaria denominato "3270 enti esterni" da parte di Inps, Camere di commercio e Agea, sulla base di quanto indicato nelle premesse, siano consentiti con le attuali modalit fino al 31 ottobre 2010 (punto 1.3.); 2) la nuova classe di web services pu essere utilizzata da parte di Inps, Inpdap, Enpals, Avcp, Camere di commercio e Agea a condizione che: A) l'Agenzia delle entrate garantisca che: a) i web services possano essere utilizzati esclusivamente dagli utenti il cui codice utente sia stato preventivamente comunicato dall'ente di appartenenza (punto 1.1.); b) sia prevista una differenziazione nelle risposte elaborate dai web services in grado di rendere disponibile, di volta in volta, all'ente e all'utente finale esclusivamente il dato personale necessario per perseguire la finalit correlata alla specifica interrogazione. Preventivamente alla messa in esercizio dei singoli web services, l'Agenzia deve concordare con l'ente interessato, in base a un'attenta valutazione delle specifiche finalit di trattamento dei dati oggetto di ciascuna invocazione, il ricorso alle differenti tipologie di web services da individuare, nel rispetto dei principi di pertinenza e non eccedenza, a seconda dell'applicativo in cui devono essere integrati, dell'ambito funzionale all'interno di tale applicativo, dei dati di invocazione e del profilo utente che effettua le interrogazioni (punto 1.2., lett. A), e)); c) l'interrogazione del web services possa avvenire esclusivamente mediante la precisa indicazione di un insieme minimo di dati idoneo a individuare puntualmente il soggetto di cui si richiedono le informazioni. La risposta fornita deve contenere, quindi, esclusivamente informazioni relative a soggetti cui corrispondano esattamente gli elementi indicati nell'interrogazione (punto 1.2., lett. A), e)); d) anche i log relativi alla nuova classe di web services confluiscano negli strumenti di business intelligence utilizzati dall'Agenzia per monitorare gli accessi all'anagrafe tributaria. L'Agenzia deve utilizzare tali informazioni anche mediante l'attivazione di specifici alert che individuino comportamenti anomali o a rischio, attraverso il monitoraggio e l'analisi periodica, a livello statistico, dei dati relativi alle transazioni eseguite dagli enti esterni (punto 1.2., lett. A), e)); e) entro il completamento della transizione degli enti alla nuova classe di web services, e quindi entro il 31 ottobre 2010, le condizioni d'uso siano trasposte in appositi "accordi di servizio" in conformit a quanto gi previsto dal provvedimento del Garante del 18 settembre 2008 (punto 1.2., lett. B). B) Inps, Inpdap, Enpals, Avcp, Camere di commercio e Agea assicurino che: a) i web services vengano integrati soltanto in applicativi che gestiscono procedure amministrative volte al raggiungimento delle finalit istituzionali per le quali consentita la comunicazione delle informazioni contenute in anagrafe tributaria. Devono essere, quindi, inibiti gli accessi effettuati per finalit diverse, nonch quelli realizzati attraverso applicativi aventi l'unica funzione di consentire interrogazioni dell'anagrafe tributaria, che andranno invece compiute, se consentite, attraverso gli appositi applicativi dell'Agenzia delle entrate a ci deputati in grado di garantire elevati standard di sicurezza (punto 1.1); b) per ogni applicativo venga selezionata la tipologia di web services con il profilo che offre unicamente le informazioni pertinenti e non eccedenti rispetto alla specifica finalit perseguita (punto 1.2., lett. A), e)); c) preventivamente alla messa in esercizio dei singoli web services, sia concordato con l'Agenzia, in base a un'attenta valutazione delle specifiche finalit di trattamento dei dati oggetto di ciascuna invocazione, il ricorso alle differenti tipologie di web services da individuare a seconda dell'applicativo in cui devono essere integrati, dell'ambito funzionale all'interno di tale applicativo, dei dati di invocazione e del profilo utente che effettua le interrogazioni (punto 1.2., lett. A), e)); d) l'utente dell'ente venga espressamente abilitato all'utilizzo dei web services dal soggetto giuridicamente preposto all'individuazione degli utenti e dei profili e il relativo codice utente deve essere preventivamente comunicato all'Agenzia delle entrate. L'Agenzia e gli enti devono pertanto garantire che i web services possano essere utilizzati esclusivamente da tali soggetti (punto 1.1); e) i web services non siano utilizzati da soggetti esterni all'ente. Gli utenti degli applicativi in cui sono integrati i web services devono essere a tal fine designati incaricati del trattamento dei dati personali e devono ricevere adeguate istruzioni in proposito (punto 1.1); f) siano adottate al proprio interno le regole di sicurezza relative all'identificazione e all'autenticazione degli utenti descritte nel modello di convenzione predisposto dall'Agenzia (punto 1.3). 3) le prescrizioni impartite con il provvedimento del 18 settembre 2008, lett. a), I), secondo punto, siano prorogate al 31 ottobre 2010 (punto 2); 4) l'adempimento delle prescrizioni dovr essere documentato puntualmente a questa Autorit nei medesimi termini indicati nel presente provvedimento. Roma, 26 marzo 2010 Il presidente Il relatore Il
segretario generale reggente |