AGID – Regolamento 05 giugno 2018 – Modalità per la vigilanza e per l’esercizio del potere sanzionatorio ai sensi dell’art. 32-bis del D.Lgs. 7 marzo 2005, n. 82 e successive modificazioni

AGID – Regolamento 05 giugno 2018

Modalità per la vigilanza e per l’esercizio del potere sanzionatorio ai sensi dell’art. 32-bis del D.Lgs. 7 marzo 2005, n. 82 e successive modificazioni

Regolamento

INDICE

PARTE I – DISPOSIZIONI GENERALI

ART. 1 – DEFINIZIONI

ART. 2 – OGGETTO EAMBITODI APPLICAZIONE

ART. 3 – PRINCIPI GENERALI

PARTE II – VERIFICA

ART. 4 – AVVIO DEL PROCEDIMENTO

ART. 5 – RESPONSABILE DELLA VERIFICA

ART. 6 – TERMINI

ART. 7 – ATTIVITÀ ISTRUTTORIE

ART. 8 – RAPPORTO DI VERIFICA

ART. 9 – ESITO DELLA VERIFICA

ART. 10 – OSSERVAZIONI

ART. 11 – NON CONFORMITA’ “LIEVE” E “MEDIA”

ART. 12 – NON CONFORMITA’ “GRAVE”

ART. 13 – INTERRUZIONE EMANCATA SEGNALAZIONE

ART. 14 – GESTIONE DELLE SEGNALAZIONI

PARTE III – FASE SANZIONATORIA

ART. 15 – CONTESTAZIONE DELLA VIOLAZIONE

ART. 16 – SOSPENSIONE DEI TERMINI

ART. 17 – CONCLUSIONE DEL PROCEDIMENTO

PARTE IV – DISPOSIZIONI FINALI

ART. 18 – MISURE URGENTI

ART. 19 – GESTIONE DELLE COMUNICAZIONI E PUBBLICAZIONE DEGLI ATTI

PARTE I – DISPOSIZIONI GENERALI

ART. 1

DEFINIZIONI

Nel presente Regolamento si utilizzano i termini che seguono con le definizioni corrispondentemente indicate.

a) AgID: Agenzia per l’Italia Digitale.

b) Area: l’unità organizzativa avente natura di ufficio di livello dirigenziale non generale nella quale, in base al Regolamento di organizzazione dell’Agenzia per l’Italia Digitale e agli atti organizzativi attuativi adottati dal Direttore Generale, opera il Servizio.

c) CAD: Codice dell’amministrazione digitale, di cui al decreto legislativo 7 marzo 2015, n. 82 (ndrdecreto legislativo 7 marzo 2005, n. 82) e successive modifiche.

d) Comitato di indirizzo: l’organo di indirizzo strategico di AgID, previsto all’art. 21, comma 1, lett. b) del decreto legge 22 giugno 2012, n. 83, convertito con modificazioni dalla legge 7 agosto·2012, n. 134 e successive modifiche.

e) Direttore Generale: l’organo di AgID cui spetta il potere di adottare i provvedimenti sanzionatori di cui al presente Regolamento.

f) gestore/soggetto vigilato: il soggetto al quale sia stata rilasciata la qualificazione o l’accreditamento ai sensi dell’art. 29 del CAD, ovvero sia iscritto in un elenco pubblico gestito da AgID ai sensi dell’art. 14 bis, comma 2, lettera i) del CAD e su cui AgID eserciti la propria funzione di vigilanza.

g) Regolamento UE 910/2014/Regolamento eIDAS: Regolamento (UE) N. 910/2014 del Parlamento Europeo e del Consiglio del 23 luglio 2014 in materia di identificazione elettronica e servizi fiduciari per le transazioni elettroniche nel mercato interno e che abroga la direttiva 1999/93/CE.

h) Regolamento di organizzazione: atto che definisce l’organizzazione dell’Agenzia, adottato dal Direttore ed approvato dal Presidente del Consiglio dei Ministri o dal Ministro delegato ai sensi dell’art. 11, comma 2, dello Statuto dell’Agenzia per l’Italia digitale, approvato con decreto del Presidente del Consiglio dei ministri dell’8 gennaio 2014.

i) Servizio: l’unità organizzativa che, in base al Regolamento di organizzazione dell’Agenzia per l’Italia Digitale e agli atti organizzativi adottati dal Direttore Generale, cura le attività di vigilanza.

j) vigilanza:funzione prevista all’art. 14-bis, comma 2, lettera i) del CAD, svolta da AgID sui servizi fiduciari ai sensi dell’articolo 17 del Regolamento (UE) 910/2014 in qualità di organismo a tal fine designato, sui gestori di posta elettronica certificata, sui conservatori di documenti informatici accreditati, nonché sui soggetti, pubblici e privati, che partecipano a SPID di cui all’art. 64. Nell’esercizio della funzione di vigilanza l’Agenzia può irrogare per le violazioni accertate a carico dei soggetti vigilati le sanzioni amministrative di cui all’articolo 32-bis del CAD in relazione alla gravità della violazione accertata e all’entità del danno provocato all’utenza.

ART. 2

OGGETTO EAMBITODI APPLICAZIONE

Il presente Regolamento disciplina le attività di vigilanza e l’esercizio del potere sanzionatorio da parte di AgID ai sensi dell’art. 32-bis del CAD.

Per quanto non regolato dal presente atto si rinvia alla disciplina prevista dalla legge 24 novembre 1981, n. 689, per quanto compatibile.

Il presente Regolamento è pubblicato sul sito istituzionale di AgID ed entra in vigore il giorno successivo alla data della sua pubblicazione.

ART. 3

PRINCIPI GENERALI

La vigilanza è esercitata sui soggetti indicati all’art. 14-bis, comma 2, lettera i) del CAD, iscritti in elenchi pubblici consultabili per via telematica.

La vigilanza è volta a: verificare che tali soggetti ed i servizi da essi prestati rispondono nel tempo ai requisiti previsti dalla disciplina di riferimento per ciascun elenco; accertare violazioni o irregolarità; rilevare situazioni potenzialmente critiche; favorire il miglioramento continuo dei processi di erogazione dei servizi.

Nello svolgimento dell’attività di vigilanza AgID acquisice gli elementi necessari, attraverso analisi di documenti, richieste di informazioni, analisi di segnalazioni, esame di registrazioni, audizioni o ispezioni, programmate o disposte in via estemporanea.

PARTE II – VERIFICA

ART. 4

AVVIO DEL PROCEDIMENTO

Il procedimento è avviato a seguito di una segnalazione esterna, come indicato al successivo Art. 14, o d’ufficio.

La comunicazione di avvio del procedimento contiene l’indicazione del Responsabile, di cui all’Art. 5, comma 1, l’oggetto della verifica e l’indicazione che l’intero procedimento si concluderà entro 180 giorni.

La procedura per l’esecuzione delle verifiche è indicata in apposito documento recante le “Modalità di esecuzione delle verifiche sui soggetti qualificati o accreditati”, allegato al presente Regolamento e pubblicato sul sito istituzionale di AgID.

ART. 5

RESPONSABILE DELLA VERIFICA

Il Responsabile della verifica è il dirigente responsabile dell’Area, salvo i casi per i quali gli atti adottati dal Direttore Generale dispongano diversamente.

Il Responsabile della verifica, avvalendosi del Servizio, assicura il corretto, completo e tempestivo svolgimento delle attività e cura ogni altro adempimento relativo al procedimento di verifica.

ART. 6

TERMINI

Entro 30 giorni dalla notifica della comunicazione di avvio del procedimento di cui all’Art. 4, comma 1, il Responsabile della verifica, procede come indicato nell’Art. 8.

Il termine di cui al comma 1 può essere sospeso fino ad un massimo di 30 giorni nel caso in cui nel corso dell’attività si rilevi la necessità di svolgere approfondimenti particolarmente complessi.

ART. 7

ATTIVITÀ ISTRUTTORIE

Il Responsabile della verifica può avviare ispezioni presso il gestore o presso terzi, con le modalità indicate in apposito documento recante le “Modalità di esecuzione delle verifiche sui soggetti qualificati o accreditati”, allegato al presente Regolamento e pubblicato sul sito istituzionale di AgID.

Il Responsabile può altresì rivolgere al gestore o a terzi quesiti in forma scritta o richiedere documenti, assegnando un termine per la risposta o l’invio, fermo restando il termine di conclusione del procedimento di cui all’Art. 6, comma 1.

I risultati delle attività istruttorie sono inseriti nel fascicolo del procedimento.

ART. 8

RAPPORTO DI VERIFICA

Il Responsabile al termine della verifica notifica al gestore il rapporto di verifica, avvertendolo che ha facoltà di prendere visione ed estrarre copia degli atti del procedimento.

La notifica è effettuata a mezzo PEC o altro servizio elettronico di recapito certificato qualificato di cui all’articolo 1, comma 1-ter del CAD.

ART. 9

ESITO DELLA VERIFICA

I risultati della verifica possono dare luogo ad un’archiviazione o alla formulazione di rilievi, distinti in “Osservazioni” e “Non Conformità”.

Le “Osservazioni” sono proposte o richieste finalizzate al miglioramento.

Le “Non Conformità” sono irregolarità o violazioni accertate rispetto alle norme di riferimento (CAD, Regolamento eIDAS e norme attuative o correlate), classificate secondo tre livelli di gravità crescente, “Lieve”, “Media”, “Grave”, come rispettivamente indicato nell’Art. 11 e nell’Art. 12.

Nel caso in cui non è necessaria alcuna azione da parte del soggetto vigilato il Responsabile della verifica conclude il procedimento disponendo l’archiviazione degli atti. Del provvedimento è data comunicazione al gestore con l’atto di cui all’Art. 8.

In tutti gli altri casi il Responsabile notifica al gestore – ai sensi degli articoli 10, 12, 13 – le irregolarità accertate e le azioni da intraprendere, indicando i termini entro i quali il gestore può presentare le proprie osservazioni e proposte.

ART. 10

OSSERVAZIONI

Con l’atto di cui all’Art. 8 il Responsabile richiede al gestore di trasmettere entro 10 giorni dalla notifica un piano di miglioramento che definisca le azioni da intraprendere ed i relativi tempi di attuazione.

Il piano di miglioramento così definito dal gestore conclude il procedimento di verifica. Il Responsabile del procedimento dispone l’archiviazione degli atti, dandone comunicazione al gestore.

Il piano è oggetto di monitoraggio nell’ambito delle verifiche svolte d’ufficio dall’AgID.

ART. 11

NON CONFORMITA’ “LIEVE” E “MEDIA”

La non Conformità è considerata “Lieve” o “Media” come segue:

Per “Non conformità Lieve” si intende una violazione con basso impatto sui servizi o sugli utenti che non impedisce di continuare l’erogazione del servizio e che può essere risolta con specifiche azioni correttive individuate dal gestore, da attuarsi entro un termine massimo di 60 giorni.

“Per Non Conformità “Media” si intende una violazione con impatto significativo sui servizi o sugli utenti che non impedisce di continuare l’erogazione del servizio e che può essere risolta con specifiche azioni correttive individuate dal gestore, da attuarsi entro un termine massimo di 30 giorni.

In caso di non conformità “Lieve” o “Media” il Responsabile nell’atto di cui all’Art. 8 notifica al gestore le irregolarità riscontrate e il termine massimo entro il quale tali irregolarità devono essere risolte, in base alla gravità della non conformità, come individuata nel comma 1 del presente articolo. Nel medesimo atto si richiede al gestore di indicare entro 10 giorni le specifiche azioni correttive da adottare e i tempi previsti per la loro attuazione.

La risoluzione della Non Conformità nel termine massimo indicato, positivamente verificata da AgID, conclude il procedimento. Il Responsabile della verifica dispone l’archiviazione degli atti, dandone comunicazione al gestore.

Il gestore notifica al Responsabile tempestivamente, e comunque non oltre il termine massimo indicato, eventuali impedimenti dipendenti da terzi, o determinati da situazioni di particolare complessità, che impediscono l’adozione delle azioni correttive previste, indicando altresì le azioni che si impegna a intraprendere e i relativi tempi. Valutata la proposta il Responsabile, con atto motivato, può concedere una proroga per l’attuazione delle azioni correttive, contestualmente sospendendo i termini di conclusione del procedimento.

Il Responsabile diffida il gestore a conformare la propria condotta agli obblighi previsti dalla disciplina vigente e trasmette al Direttore Generale gli atti per la contestazione della violazione e l’irrogazione della sanzione, qualora il gestore entro i termini di cui ai commi 2 e 4:

non adotti le azioni correttive;

le azioni adottate non risultino adeguate;

non dia la comunicazione di cui al comma 4 del presente articolo al Responsabile del procedimento di verifica;

in tutti gli altri casi in cui lo ritenga opportuno, in considerazione della natura della violazione o delle conseguenze.

ART. 12

NON CONFORMITA’ “GRAVE”

Per Non Conformità “Grave” si intende una violazione idonea a esporre a rischio i diritti e gli interessi di una pluralità di utenti o relative a significative carenze infrastrutturali o di processo del fornitore di servizio.

Ai sensi dell’articolo 32-bis del CAD tale Non Conformità comporta la cancellazione del fornitore del servizio dall’elenco dei soggetti qualificati e il divieto di accreditamento o qualificazione per un periodo fino ad un massimo di due anni

In caso di Non Conformità “Grave”, il Responsabile del procedimento nell’atto di cui all’Art. 8 notifica al gestore le irregolarità riscontrate, lo diffida a conformare la propria condotta agli obblighi previsti dalla disciplina vigente e lo avverte che provvederà a trasmettere al Direttore Generale gli atti per la contestazione della violazione e l’irrogazione della sanzione.

ART. 13

INTERRUZIONE EMANCATA SEGNALAZIONE

Nei casi previsti all’articolo 32-bis, comma 2 del CAD, di interruzioni di servizio o mancata o intempestiva comunicazione di disservizio, il Responsabile del procedimento, con l’atto di cui all’Art. 8, diffida il gestore a ripristinare la regolarità del servizio o ad effettuare le comunicazioni previste e lo avverte che provvederà a trasmettere al Direttore Generale gli atti per la contestazione della violazione e l’irrogazione della sanzione.

Se l’interruzione del servizio ovvero la mancata o intempestiva comunicazione sono reiterati nel corso di un biennio, successivamente alla prima diffida AgID dispone la cancellazione del gestore dall’elenco pubblico.

ART. 14

GESTIONE DELLE SEGNALAZIONI

Ferme restando le verifiche svolte d’ufficio nell’ambito della vigilanza, i soggetti interessati possono segnalare ad AgID presunte violazioni normative o irregolarità da parte dei gestori.

Le segnalazioni, a pena di irricevibilità, sono trasmesse ad AgID esclusivamente ai sensi dell’articolo 65 del CAD ai contatti indicati sul sito web. La nota di segnalazione, a pena di inammissibilità, deve indicare almeno:

i recapiti completi del soggetto che effettua la segalazione (denominazione; indirizzo di posta elettronica certificata che AgID possa utilizzare per le comunicazioni);

la descrizione delle presunta violazione o irregolarità, il gestore coinvolto, i fatti e le circostanze all’origine della segnalazione, il periodo al quale la presunta violazione o irregolarità sarebbe riferita;

la documentazione, se disponibile, a sostegno della presunzione di violazione normativa o irregolarità.

Il dirigente responsabile dell’Area, dispone l’archiviazione delle segnalazioni che risultino irricevibili ai sensi del comma 2, o che risultino inammissibili perché prive di elementi per consentire l’avvio di un procedimento di verifica o perché manifestamente infondate.

Le segnalazioni che non siano archiviate per irricevibilità o per inammissibilità comportano l’avvio del procedimento di verifica descritto nell’Art. 4.

PARTE III – FASE SANZIONATORIA

ART. 15

CONTESTAZIONE DELLA VIOLAZIONE

Ove non disponga l’archiviazione ai sensi degli articoli precedenti il Responsabile della verifica trasmette al Direttore Generale una relazione di riepilogo delle attività istruttorie svolte e dei relativi esiti, unitamente agli atti del procedimento.

Il Direttore Generale, con proprio provvedimento nomina il Responsabile della fase sanzionatoria, il quale provvede a contestare al gestore la violazione amministrativa con atto che contiene:

la contestazione delle irregolarità accertate, con l’indicazione delle disposizioni violate, delle sanzioni comminabili all’esito del procedimento e della possibilità di effettuare, entro 60 giorni, il pagamento in misura ridotta ai sensi dell’articolo 16 della legge 689/1981;

l’indicazione del Responsabile della fase sanzionatoria;

l’invito ad inviare, entro il termine perentorio di 30 giorni, documentazione o scritti difensivi o la richiesta di essere sentiti;

i termini per l’adozione del provvedimento finale.

ART. 16

SOSPENSIONE DEI TERMINI

Nel caso in cui, ai sensi dell’Art. 15, il gestore richieda di essere sentito, l’audizione è fissata entro 30 giorni dalla richiesta. La nota di convocazione, inviata con un preavviso di almeno 7 giorni, indica la data ed il luogo dell’audizione. In tale eventualità, il termine per l’adozione del provvedimento finale è sospeso per il periodo compreso tra la data di convocazione dell’audizione e la data di espletamento. Dell’audizione è redatto apposito verbale che riporta le eventuali dichiarazioni rese dal gestore.

Il termine per l’adozione del provvedimento finale è altresì sospeso fino a un massimo di 30 giorni nel caso in cui il Direttore Generale disponga ulteriori accertamenti anche su richiesta del Comitato di indirizzo.

ART. 17

CONCLUSIONE DEL PROCEDIMENTO

Al termine dell’attività istruttoria il Responsabile della fase sanzionatoria propone al Direttore Generale uno schema di provvedimento finale.

Il Direttore Generale, sentito il Comitato di indirizzo, con provvedimento motivato dispone l’archiviazione del procedimento o l’irrogazione della sanzione amministrativa, il cui importo è determinato entro i valori minimo e massimo indicati all’articolo 32-bis del CAD, sulla base della gravità della violazione e dei danni provocati all’utenza, e tenendo altresì conto degli ulteriori criteri di cui all’articolo 11 della legge 689/1981.

Il provvedimento sanzionatorio è notificato al destinatario a cura del Responsabile della fase sanzionatoria e contiene:

l’indicazione della sanzione irrogata;

le modalità ed i termini per il relativo pagamento;

l’indicazione che il pagamento in misura ridotta ai sensi dell’articolo 16 della legge 689/1981 determina la conclusione del procedimento;

l’indicazione del termine per ricorrere e dell’autorità giurisdizionale a cui è possibile fare ricorso.

Il provvedimento sanzionatorio può inoltre prevedere:

la sanzione amministrativa accessoria della pubblicazione sul sito istituzionale di AgID, in apposita sezione in evidenza, dei provvedimenti di diffida e del provvedimento finale sanzionatorio;

nei casi di particolare gravità, reiterazione e ove ne ricorrano le condizioni in relazione alle previsioni del CAD, l’applicazione della sanzione della cancellazione del gestore dall’elenco pubblico.

PARTE IV – DISPOSIZIONI FINALI

ART. 18

MISURE URGENTI

In casi di particolare gravità e urgenza, in particolare ove vengano meno uno o più requisiti previsti per la qualificiazione o per l’accreditamento, AgID può disporre la sospensione immediata dei servizi erogati, disponendo altresì le misure necessarie per informare gli utenti.

ART. 19

GESTIONE DELLE COMUNICAZIONI E PUBBLICAZIONE DEGLI ATTI

I provvedimenti sanzionatori adottati ai sensi del presente Regolamento sono pubblicati sul sito istituzionale di Agid in ottemperanza alle norme in materia di trasparenza dell’azione amministrativa.

Le comunicazioni e le notificazioni al gestore sono effettuate a mezzo posta elettronica certificata o altro servizio elettronico di recapito certificato qualificato di cui all’articolo 1, comma 1-ter del CAD.