Nello scorso mese di settembre l’Agenzia delle entrate ha sottoposto al Garante per la protezione dei dati personali lo schema di provvedimento, che andrà a sostituire il precedente del 30 aprile 2018, contenente le regole tecniche per l’emissione e la ricezione delle fatture elettroniche, insieme a

tre valutazioni di impatto sulla protezione dei dati relative ai diversi utilizzi delle informazioni da parte dell’Amministrazione finanziaria.

Il decreto legge 124/2019 prevede, tra l’altro, che i file acquisiti sono memorizzati fino al 31 dicembre dell’ottavo anno successivo a quello di presentazione della dichiarazione di riferimento o fino alla definizione di eventuali giudizi, al fine di essere utilizzati dalla Guardia di finanza per le istituzionali attività di polizia economica e finanziaria e, insieme all’Agenzia delle entrate, per le attività di analisi del rischio e di controllo a fini fiscali.

E’ inoltre previsto che i due enti, sentito il Garante, adottano idonee misure di garanzia a tutela dei diritti e delle libertà degli interessati attraverso apposite misure di sicurezza, conformi con le disposizioni del regolamento (UE) 2016/679.

I dati oggetto di trattamento

La consultazione e l’acquisizione dei file delle fatture elettroniche viene utilizzato dal personale dell’Agenzia autorizzato nell’ambito delle attività istruttorie connesse all’esecuzione di accessi, ispezioni e verifiche, controlli formali delle dichiarazioni, rimborsi, ecc.

Attualmente transitano sullo SdI, il Sistema di Interscambio gestito dalle Entrate che permette di ricevere e inoltrare le fatture sotto forma di file, circa 2 miliardi di fatture elettroniche l’anno, che di solito contengono dati sui beni ceduti e i servizi prestati, la descrizione di prestazioni e sconti applicati e di fidelizzazioni, oltre ai dati imposti per obbligo da specifiche norme di settore, come i tipi dei consumi, la fatturazione dettagliata, la regolarità dei pagamenti e altro ancora, ai quali si aggiunge la presenza di ulteriori dati non rilevanti a fini fiscali.

Per valutare in concreto il trattamento prospettato dall’Agenzia, il Garante ha acquisito un campione rappresentativo di fatture emesse nei confronti di consumatori, relative ad attività che possono presentare maggiori rischi per i diritti e le libertà degli interessati in relazione ai beni e i servizi fatturati.

Ci si muove, dunque, nei vari ambiti della vita quotidiana, privata e professionale: legale, fiscale, commerciale, ristorazione, fornitura di energia elettrica, gas e acqua, abbonamenti tv e telefonici, dei trasporti, ecc. In particolare, si legge nel parere del Garante, nell’ambito del commercio, nel campo oggetto della fattura compare un’accurata descrizione dei più svariati beni e servizi acquistati da persone fisiche e che risultano particolarmente rilevanti, visto che vengono associate al codice fiscale dell’acquirente categorie di dati particolari, tra le quali libri e film, articoli di abbigliamento e calzature, sex toys e altri articoli riferibili, ad esempio, a giocattoli o prodotti intimi.

Dall’analisi è emerso che le fatture possono contenere dati estremamente delicati, come quelli giudiziari, relativi a servizi investigativi, dettagli sui beni acquistati, alimenti consumati e modalità di spostamento e anche dati riferibili a minorenni, come quelli giudiziari per le cause di affidamento.

Evitare un’ingerenza non proporzionata

Ecco, quindi, che la memorizzazione integrale dei file e dei relativi allegati per otto anni dopo la presentazione della dichiarazione determina la concentrazione presso l’Agenzia di miliardi di fatture elettroniche, con dati appartenenti anche a categorie particolari o relativi a condanne penali e reati, abitudini e scelte di consumo delle persone fisiche in ogni aspetto della loro vita quotidiana.

In questi casi, senza adeguate misure di garanzia della privacy, anche il solo trattamento delle informazioni necessarie per contrastare l’evasione dell’IVA comporta un’ingerenza “sistematica e preventiva nella sfera privata più intima delle persone fisiche, non proporzionata all’obiettivo di interesse pubblico, pur legittimo, perseguito dall’Agenzia e dalla Guardia di finanza”.

Un sì condizionato alle nuove regole delle Entrate

Nella nota del 27 dicembre 2021 il Garante ha quindi espresso parere favorevole sullo schema di provvedimento del Direttore dell’Agenzia relativo alle nuove regole tecniche per la memorizzazione delle fatture elettroniche, ma condizionato al fatto che dovranno comunque essere assicurate maggiori tutele a protezione dei dati e dovrà essere adeguata la normativa che disciplina il settore.

In considerazione dei gravi rischi connessi al trattamento dei dati proposto, il Garante ha chiesto alle Entrate di adottare ulteriori misure a tutela della privacy dei consumatori, così da renderlo conforme ai requisiti imposti dalla normativa europea (Gdpr) e nazionale. Le informazioni presenti nelle fatture elettroniche, fatta eccezione per i controlli svolti per le richieste di detrazione/deduzione delle spese sostenute, non potranno essere utilizzate nei confronti del consumatore se non in conseguenza di verifiche fiscali già avviate su operatori economici, dalle quali risulti un rischio di evasione fiscale dello stesso. Inoltre, si dovranno attivare sistemi di controllo e monitoraggio sul rispetto di tali garanzie e i dati relativi al settore legale dovranno essere resi inintelligibili.