Il Garante, nella riunione del 14 gennaio 2016, ha esaminato i primi esiti di un ciclo di accertamenti ispettivi volti a verificare l’osservanza delle norme in materia di protezione dei dati personali nelle procedure di registrazione degli accessi e di audit predisposte dalla Agenzia delle entrate e relativi all’Anagrafe tributaria.

Tale attivita' si inserisce nell’ambito della vigilanza che il Garante esercita da anni sull’Anagrafe tributaria per la quale, negli anni 2015 e 2016, sono state programmate un complesso di verifiche funzionali ad accertare il rispetto delle specifiche prescrizioni impartite negli anni dall’Autorita', volte a prevenire accessi non autorizzati e trattamenti illeciti dei dati personali, nonche' ad assicurare la qualita' dei dati (pertinenza e non eccedenza, esattezza e aggiornamento).

Nell’ambito di questa attivita' sono emerse criticita' riferibili ai sistemi di controllo sugli accessi e agli alert prodotti, dovute, in particolare, all’assenza di alcune tipologie di alert (interni, accessi contemporanei) e alla necessita' di mettere a punto adeguate procedure di gestione e presa in carico degli stessi da parte dell’Agenzia e degli enti esterni.

Per quanto riguarda, l’applicativo Fisconline e gli altri servizi online senza registrazione, sono state evidenziate criticita' in relazione alle credenziali utilizzate e all’informativa fornita agli interessati. Le verifiche effettuate hanno anche messo in luce la necessita' di attivare procedure di controllo sulla qualita' dei dati; sono stati infatti rilevati errori negli importi riportati nell’applicativo dedicato al redditometro, riconducibili a difetti di comunicazione da parte dei soggetti obbligati, nonche' nell’applicativo relativo al cd. spesometro, dove risultano importi di gran lunga inferiori a 3.600 euro (anche inferiori ai dieci euro) rispetto a quelli soggetti all’obbligo di comunicazione all’Agenzia delle entrate ai sensi dell’art. 21, d.l. n. 78/2010.

Le criticita' rilevate, pur non costituendo in se' violazione di specifiche disposizioni o provvedimenti da parte dell’Agenzia, hanno comunque una specifica rilevanza in ragione della natura, dell’ambito di applicazione, del contesto e delle finalita' del trattamento, nonche' dei rischi aventi probabilita' di realizzazione e gravita' diverse per i diritti e le liberta' degli interessati. Parte delle criticita' rilevate sono state superate con l’adozione di tempestive misure correttive da parte dell’Agenzia e, dietro specifica richiesta dell’Autorita', con la predisposizione di un progetto organico per l’incremento dei livelli di sicurezza dell’Anagrafe tributaria comprensivo di una tempistica compatibile con la complessita' tecnica dell’infrastruttura.

Un altro rilevante tema di confronto con l’amministrazione finanziaria ha riguardato l’iter di approvazione della normativa di attuazione della cd. dichiarazione dei redditi precompilata.

In questo ambito il Garante, gia' nei pareri adottati nel 2015, aveva individuato specifiche misure a garanzia degli interessati tra cui, in particolare, le cautele per l’opposizione da parte dell’assistito all’invio dei dati relativi alle spese sanitarie al Mef per l’elaborazione della predetta dichiarazione, nonche' le modalita' di consultazione dei dati da parte dell’Agenzia e degli intermediari (pareri 30 luglio 2015, nn. 450 e 451, doc. web nn. 4160058 e 4160102) .

In coincidenza dell’approssimarsi della scadenze per l’invio dei dati al Sistema tessera sanitaria, istituito presso il Mef, da parte degli operatori sanitari per la dichiarazione precompilata 2016, a seguito della ricezione di numerosi quesiti da parte di medici in merito alla gestione dell’opposizione all’invio dei dati da parte degli assistiti, il Garante ha ritenuto necessario invitare il Ministero della salute, le regioni e provincie autonome, le principali associazioni operanti nel settore sanitario e in quello dei consumatori, a informare i propri iscritti e gli assistiti sulla possibilita' di esercitare tale facolta', senza che cio' determini il venir meno della possibilita' di detrarre le spese sanitarie dal reddito, secondo le modalita' ordinarie di compilazione della dichiarazione (nota 27 gennaio 2016, doc. web n. 4625287).

Al riguardo, il Garante e' intervenuto anche sullo schema di provvedimento della Ragioneria dello Stato, volto a disciplinare le modalita' di accesso alle spese sanitarie e relativa opposizione (provv. 4 febbraio 2016, n. 23, doc. web n. 4797834), nell’ambito del quale e' stata data particolare attenzione al rispetto delle misure di sicurezza per l’accesso ai dati.

Il Garante si e' espresso anche su 4 schemi di provvedimento del direttore dell’Agenzia delle entrate in relazione a nuovi flussi di dati per l’elaborazione della dichiarazione dei redditi precompilata, relativi alle spese funebri, alle spese universitarie, ai rimborsi delle spese sanitarie e contributi versati alle forme pensionistiche complementari di cui al d.lgs. 5 dicembre 2005, n. 252. (provv. 18 febbraio 2016, n. 63, doc. web n. 4716389).

Il Garante ha al riguardo indicato che occorre assicurare il rispetto del Codice, con particolare riferimento: a) alla pertinenza e non eccedenza dei dati raccolti, cosi' come indicati nei tracciati record (dati relativi alle spese sanitarie rimborsate, spese funebri); b) alla tutela dei diritti dei familiari a carico che non intendono far conoscere al soggetto dichiarante le proprie spese, in analogia a quanto disciplinato in materia di spese sanitarie, prevedendo anche per le spese universitarie la possibilita', per chiunque ne abbia interesse, di esercitare la propria opposizione all’inserimento di tali spese nella dichiarazione precompilata; c) alla corretta individuazione delle finalita' del trattamento, evidenziando la necessita' di specificare, negli schemi di provvedimento, che, oltre all’elaborazione della dichiarazione precompilata, i dati comunicati possono essere trattati anche per finalita' di controllo sugli oneri deducibili e detraibili, anche ai sensi dell’art. 7, comma 5, d.P.R. n. 605/1973; d) alle misure di sicurezza, con particolare riferimento ai miglioramenti apportati al sistema Entratel.

Anche nel 2016 il Garante ha espresso il parere sul provvedimento del Direttore dell’Agenzia delle entrate avente per oggetto l’accesso alla dichiarazione 730 precompilata da parte del contribuente e degli altri soggetti autorizzati (parere 7 aprile 2016, n. 157, doc. web n. 4916838). Tale provvedimento, nell’ampliare la platea dei destinatari del 730 precompilato e delle informazioni destinate a confluirvi, tiene conto di alcune indicazioni fornite all’Agenzia delle entrate nell’apposito tavolo di lavoro, anche a seguito degli autonomi accertamenti effettuati dall’Autorita' nei confronti dei Caf (cfr. par. 4.6). In particolare, sono state rafforzate le misure di sicurezza per limitare il rischio di accessi non autorizzati ai dati, migliorando il monitoraggio interno sulle operazioni effettuate dagli operatori abilitati. Sono stati altresiÃŒ€ formulati cinque pareri in merito all’ampliamento dei dati da raccogliere per la dichiarazione precompilata 2017 (relativa all’anno di imposta 2016). In particolare, tali atti hanno disciplinato l’inclusione nella dichiarazione precompilata delle spese sanitarie sostenute presso i soggetti autorizzati, nonche' di altre spese sanitarie (ovvero parafarmacie, psicologi, infermieri, ostetriche/i, tecnici sanitari di radiologia medica e ottici) e delle spese veterinarie (pareri 28 luglio 2016, n. 331, doc. web n. 5407377; n. 332, doc. web n. 5407413; n. 333, doc. web n. 5407516; n. 334, doc. web n. 5407586; n. 335, doc. web n. 5407732). In tale occasione e' stato chiesto, in particolare, di espungere dagli atti esaminati le disposizioni che prevedevano l’utilizzo dei dati trasmessi al Sistema tessera sanitaria ai fini del cd. spesometro, che dovra', invece, essere oggetto di ulteriori approfondimenti.

Nel 2016, il Garante si e' occupato della nuova modalita' di riscossione del canone di abbonamento alle radioaudizioni (canone Rai) per i titolari di utenza elettrica, mediante addebito sulle fatture emesse a decorrere dal mese di luglio 2016.

La legge di stabilita' 2016 (art. 1, commi 153 e ss., l. 28 dicembre 2015, n. 208) ha, infatti, introdotto una nuova disciplina fiscale basata sulla presunzione legale di possesso dell’apparecchio nel caso in cui esista un’utenza per la fornitura di energia elettrica nel luogo in cui un soggetto ha la sua residenza anagrafica. A tal fine, e' stato stabilito che l’Anagrafe tributaria, l’Autorita' per l’energia elettrica, il gas e il sistema idrico, l’Acquirente Unico S.p.A., il Ministero dell’interno, i comuni, nonche' gli altri soggetti pubblici o privati che ne hanno la disponibilita', siano autorizzati allo scambio e all’utilizzo di tutte le informazioni utili, e, in particolare, dei dati relativi alle famiglie anagrafiche, alle utenze per la fornitura di energia elettrica, ai soggetti tenuti al pagamento del canone di abbonamento alla televisione, nonche' ai soggetti beneficiari di agevolazioni.

Al riguardo, il Garante e' intervenuto per i profili di competenza, in primo luogo, sullo schema di decreto attuativo del Ministero dello sviluppo economico, di concerto con il Ministro dell’economia e delle finanze, al fine di assicurare il rispetto del Codice (parere 27 aprile 2016, n. 192, doc. web n. 4943860).

Nel provvedimento il Garante ha rilevato criticita' relative all’esatta individuazione del ruolo svolto dall’Agenzia delle entrate, dall’Acquirente Unico S.p.A. e dalle imprese elettriche nel trattamento dei dati dei soggetti obbligati al pagamento del canone e alla qualita' dai dati personali utilizzati per individuare i soggetti a cui addebitare il canone in bolletta. Ha suscitato, infatti, perplessita' la scelta di individuare i soggetti obbligati al pagamento del canone, automaticamente e in via presuntiva, attraverso i dati relativi alla tipologia di tariffa applicata per l’erogazione dell’energia D2 (clienti domestici con utenza nel luogo di residenza anagrafica), anche per i contratti stipulati antecedentemente al 2016, senza effettuare preventive verifiche con i dati di residenza presenti in anagrafe tributaria.

In relazione a cio', pur valutando positivamente la capillare campagna informativa programmata e, in particolare, quanto prospettato dal Ministero dello sviluppo economico in relazione all’invio della comunicazione informativa ai titolari di contratti elettrici (per i quali l’addebito del canone sarebbe avvenuto solo a partire dalla fattura di luglio 2016), il Garante ha ritenuto necessario valutare separatamente la possibilita' di ricorrere all’informativa semplificata ai sensi dell’art. 13, comma 3, del Codice, in modo da rendere pienamente conforme il trattamento alla disciplina di protezione dati.

Con provvedimento del 5 maggio 2016, il Garante ha, quindi, individuato le modalita' semplificate con le quali le imprese elettriche, in fase di prima applicazione della nuova normativa, hanno dovuto integrare quella gia' fornita in sede di attivazione dell’utenza, circa l’utilizzo dei dati personali dei clienti anche per l’addebito del canone RAI. Tale informativa, resa attraverso un’apposita sezione dei siti web istituzionali delle imprese elettriche, dell’Agenzia delle entrate e della RAI, noncha' nell’ambito del predetto piano informativo ministeriale, anche facendo rinvio al sito dedicato www.canone.rai.it e all’apposito numero verde, doveva specificare, in particolare, che i dati personali raccolti per la fornitura dell’energia elettrica sono utilizzati, in base alla tipologia di tariffa applicata (D2/D3), anche ai fini dell’individuazione dell’intestatario del canone di abbonamento e del relativo addebito in bolletta, che, in caso di tariffa D2 (tariffa residenti), avverra' in modo automatico (provv. 5 maggio 2016, n. 204, doc. web n. 5217043).

Infine, con provvedimento del 12 maggio 2016, nell’esprimere il parere sull’Intesa tra Agenzia delle entrate e Acquirente unico S.p.A. per la trasmissione dei dati utili all’addebito del canone tv nelle fatture per la fornitura di energia elettrica, l’Autorita' ha prescritto l’adozione di specifiche misure di sicurezza per lo scambio di dati tra i predetti soggetti (provv. 12 maggio 2016, n. 216, doc. web n. 5217271). E' stato, pertanto, prescritto all’Agenzia delle entrate e ad Acquirente unico di realizzare un collegamento sicuro con un sistema di file transfer sicuro (SFTP o FTP/S) oppure, in alternativa, un normale sistema FTP all’interno di un canale VPN IPsec o SSL, riducendo al minimo i rischi di violazione di dati personali contenuti nei sistemi informativi dei soggetti interagenti, con particolare riferimento a quello dell’Acquirente unico.

Nel 2016, il Garante e' intervenuto nuovamente in merito all’attuazione della normativa FATCA (v. Relazione 2015, parr. 3.4.1., 4.6. e 22.3) da parte dell’Agenzia delle entrate, che ha sottoposto all’esame dell’Autorita' due schemi di provvedimento (parere 6 luglio 2016, n. 289, doc. web n. 5387587).

Nel corso dell’istruttoria, sono state fornite indicazioni tecniche all’Agenzia delle entrate al fine di migliorare la sicurezza del trattamento dei dati personali, prevedendo come condizione la cifratura dei dati personali eventualmente oggetto di comunicazione agli operatori finanziari. Sono state, inoltre, richieste all’Agenzia specifiche garanzie in ordine al trattamento delle informazioni scambiate relative ai rapporti finanziari degli interessati, e da sempre oggetto di particolari cautele nell’ambito della normativa di settore (cfr. ad es., cd. indagini bancarie, archivio dei rapporti finanziari, comunicazione integrativa annuale). Al riguardo, l’Agenzia haassicurato che, non appena saranno definite delle politiche accertative che impliche ranno l’utilizzo di questi dati e, quindi, le modalita' e i soggetti autorizzati ad accedervi, ne sara' fatta comunicazione al Garante. Per quanto riguarda, invece, i dati raccolti e trasmessi in sede di prima applicazione della normativa FATCA, l’Agenzia ha dichiarato che i dati, conservati presso Sogei S.p.A., sono stati finora trattati esclusivamente in relazione alle operazioni strettamente necessarie all’adempimento connesso allo scambio automatico di informazioni.

Con riferimento ai trattamenti effettuati da Equitalia S.p.A. a fini di riscossione a mezzo ruolo, il Garante ha collaborato al fine di individuare garanzie per la protezione dei dati personali nell’ambito delle nuove iniziative intraprese per agevolare la comunicazione con i cittadini. In particolare, sono state fornite indicazioni per l’attivazione dei nuovi servizi di consultazione dell’estratto conto presso gli Atm e attraverso un’apposita applicazione, nonche' per l’avvio, su richiesta di coloro che presentano un’istanza di rateazione ex art. 19, d.P.R. n. 602/1973, di un servizio che consenta agli interessati di ricevere, via sms o via e-mail, comunicazioni in merito all’eventuale rischio di decadenza dal piano di rateizzazione in caso di mancato pagamento delle relative rate, ovvero (ove il debitore lo desideri) anche altre informazioni riguardanti l’attivita' di riscossione di somme affidate in carico alla stessa Equitalia.

Fonte: Garante - Relazione 2016