Anche nel 2018 il Garante è intervenuto con numerosi pareri nell’ambito del percorso di attuazione normativa della cd. dichiarazione precompilata da parte del Mef e dell’Agenzia delle entrate. In relazione all’ampliamento delle informazioni da comunicare all’Agenzia delle entrate per la precompilazione della dichiarazione dei redditi, il Garante si è espresso favorevolmente su due schemi di decreto del Mef, attuativi dell’art. 3, comma 4, d.lgs. n. 175/2014, concernenti la trasmissione all’Agenzia delle entrate dei dati riguardanti le spese relative alle rette per la frequenza di asili nido e dei dati relativi alle erogazioni liberali in favore delle Onlus, delle associazioni di promozione sociale e delle fondazioni e associazioni aventi per scopo statutario la tutela, promozione e la valorizzazione dei beni di interesse artistico, storico e paesaggistico, nonché lo svolgimento o la promozione di attività di ricerca scientifica (v. pareri 11 gennaio 2018, nn. 1 e 2, rispettivamente doc. web nn. 7936278 e 7925253).

In particolare, in relazione ai dati relativi alle erogazioni liberali, il Garante ha rilevato che tale trattamento ha per oggetto anche informazioni di carattere sensibile, idonee a rivelare, in particolare, le convinzioni religiose, filosofiche o di altro genere, le opinioni politiche, nonché lo stato di salute e la vita sessuale. Pertanto, nel menzionato parere, a fronte del previsto invio facoltativo all’Agenzia delle entrate, da parte delle predette organizzazioni, delle informazioni concernenti le erogazioni liberali ricevute, tenuto conto del carattere sperimentale della misura − per gli anni di imposta 2017, 2018 e 2019 −, l’Autorità ha evidenziato la necessità che, nel provvedimento attuativo del Direttore dell’Agenzia delle entrate, concernente la definizione delle modalità tecniche di trasmissione delle informazioni, siano individuate particolari garanzie a tutela dei diritti e delle libertà fondamentali garantendo anche agli interessati la volontarietà dell’adesione alla trasmissione di tali informazioni sensibili all’Agenzia delle entrate.

In seguito il Garante ha espresso parere favorevole sui conseguenti schemi di provvedimenti attuativi del Direttore dell’Agenzia delle entrate relativi alla raccolta delle spese sostenute per asili nido ed erogazioni liberali, che tengono conto degli approfondimenti effettuati con i rappresentanti dell’Agenzia delle entrate, al fine di assicurare il rispetto della disciplina di protezione dei dati, con particolare riferimento alla pertinenza e non eccedenza dei dati raccolti (provv. 8 febbraio 2018, n. 66, doc. web n. 7772714). Inoltre, particolare attenzione è stata posta alla tutela dei diritti dei contribuenti, prevedendo per chiunque ne abbia interesse la possibilità di esercitare presso l’Agenzia delle entrate la propria opposizione all’inserimento di tali spese nella dichiarazione precompilata. In merito alle erogazioni liberali sono state introdotte maggiori cautele per gli interessati, in considerazione della delicatezza delle informazioni oggetto di comunicazione, individuando specifiche modalità di conservazione dei dati, ristretti tempi di conservazione e un termine più esteso per l’esercizio dell’opposizione, necessario soprattutto con riferimento alle informazioni relative all’anno di imposta 2017, nonché la possibilità di esercitare l’opposizione, a partire dall’anno di imposta 2018, che può essere fatta valere anche direttamente nei confronti del soggetto che riceve l’erogazione. È stato altresì richiesto all’Agenzia di individuare correttamente, limitando le finalità del trattamento di tali informazioni (anche sensibili) all’elaborazione della dichiarazione precompilata, escludendo che, in caso di esercizio del diritto di opposizione, i dati comunicati dalle organizzazioni possano essere trattati anche per finalità di controllo sugli oneri deducibili e detraibili ai sensi dell’art. 7, comma 5, d.P.R. n. 605/1973.

È stato inoltre ritenuto necessario l’avvio di un’idonea campagna informativa attraverso il sito web dell’Agenzia delle entrate e altri strumenti di informazione per rendere note ai contribuenti le modalità di esercizio dell’opposizione. Infine, atteso il carattere sperimentale della raccolta dei dati relativi alle erogazioni liberali, il cui conferimento è facoltativo, il Garante ha chiesto all’Agenzia di valutare l’efficacia delle misure introdotte a garanzia dei diritti e delle libertà fondamentali, nonché della dignità degli interessati. Una volta conclusa la fase di sperimentazione, tale valutazione dovrà essere sottoposta all’esame dell’Autorità prima di disciplinare a regime la raccolta delle predette informazioni.

Il Garante ha espresso parere favorevole anche su quattro schemi di provvedimento del Direttore dell’Agenzia delle entrate, integrativi di rispettivi precedenti provvedimenti, che disciplinano la comunicazione all’anagrafe tributaria di informazioni per l’elaborazione della dichiarazione precompilata con riferimento ai dati relativi agli interventi di recupero del patrimonio edilizio e di riqualificazione energetica effettuati su parti comuni di edifici residenziali, ai pagamenti effettuati a mezzo bonifico per interventi di recupero del patrimonio edilizio e di riqualificazione energetica degli edifici, alle spese sanitarie rimborsate, nonché ai contributi versati alle forme pensionistiche complementari di cui al decreto legislativo 5 dicembre 2005, n. 252. Le modifiche apportate dall’Agenzia hanno riguardato esclusivamente le tipologie di informazioni oggetto di comunicazione, senza alcuna modifica dei canali di trasmissione e delle relative misure di sicurezza (parere 1° febbraio 2018, n. 44, doc. web n. 7772512).

Con specifico riferimento alle spese sanitarie, il Garante è intervenuto sullo schema di provvedimento del Direttore dell’Agenzia delle entrate recante “Modalità tecniche di utilizzo dei dati delle spese sanitarie ai fini della elaborazione della dichiarazione dei redditi precompilata, a decorrere dall’anno d’imposta 2017” (parere 5 aprile 2018, n. 194, doc. web n. 8275691) che, rispetto a quanto previsto per gli anni di imposta precedenti, si limita ad introdurre per il contribuente, a partire dalla dichiarazione precompilata 2018, un’importante nuova funzionalità di compilazione agevolata, prima non prevista dal sistema, che consente di rettificare i dati delle spese sanitarie e veterinarie indicate nella dichiarazione precompilata attraverso la consultazione dei dati sul Sistema tessera sanitaria (Ts). Lo schema sottoposto all’attenzione del Garante ha tenuto conto delle indicazioni fornite dall’Ufficio ai rappresentanti del Mef, dell’Agenzia delle entrate e di Sogei s.p.a., volti a conformare ai principi in materia di protezione dei dati personali tale nuova funzionalità; ciò con particolare riferimento alle modalità tecniche di attuazione della stessa attraverso il Sistema Ts e alle modalità di consultazione dei dati rettificati dal contribuente da parte dell’Agenzia delle entrate, prevedendo che le informazioni di dettaglio rettificate possano essere visualizzate in relazione alle sole dichiarazioni sottoposte ad attività di controllo di cui al d.P.R. 29 settembre 1973, n. 600, attraverso l’applicativo dedicato ai controlli formali di cui all’art. 36-ter dello stesso.

Di conseguenza è stato trasmesso al Garante anche un nuovo schema di decreto del Ministro dell’economia e delle finanze concernente la predetta compilazione agevolata del quadro relativo agli oneri deducibili e detraibili della dichiarazione dei redditi, sul quale il Garante si è espresso favorevolmente (parere 26 aprile 2018, n. 248, doc. web n. 8641178). Lo schema di decreto, elaborato tenendo conto degli approfondimenti effettuati dall’Ufficio del Garante, oltre a disciplinare la nuova funzionalità di compilazione agevolata di rettifica dei dati trasmessi − attraverso la loro modifica, integrazione o cancellazione −, introduce una rilevante ulteriore funzionalità che consente ai contribuenti, dal 1° gennaio dell’anno di riferimento della spesa al 31 gennaio dell’anno successivo, di segnalare, attraverso il Sistema Ts, eventuali incongruenze al fine della correzione dei dati trasmessi. Particolare attenzione è stata posta dal Garante sulle modalità di realizzazione della predetta consultazione puntuale dei dati corretti dal contribuente da parte dei dipendenti dell’Agenzia delle entrate, sulle misure di sicurezza della nuova funzionalità di segnalazione delle incongruenze agli erogatori di prestazioni sanitarie nonché sulle modalità di conservazione, da parte del Sistema Ts, in archivi distinti, dei dati trasmessi, comprensivi di quelli comunicati nell’ambito della compilazione agevolata da parte del contribuente, in modo che il codice fiscale dell’assistito sia separato da tutti gli altri dati.

Come negli anni precedenti, il Garante ha esaminato anche lo schema del nuovo provvedimento del Direttore dell’Agenzia sulle modalità di accesso alla dichiarazione precompilata da parte del contribuente e degli altri soggetti autorizzati che, nel confermare le modalità tecniche già sottoposte all’esame del Garante, prevede, a partire dal 2018, che i Centri di assistenza fiscale (Caf) e i professionisti abilitati possano effettuare richieste di accesso alle dichiarazioni precompilate via web, previa autenticazione, oltre che con le credenziali rilasciate dall’Agenzia delle entrate e con una Cns, anche con un’identità Spid. Alcuni Caf espressamente individuati possono inoltre accedere, in via sperimentale, in cooperazione applicativa con cornice di sicurezza, alle dichiarazioni dei redditi precompilate e alle informazioni attinenti alla dichiarazione 730 precompilata disponibili presso l’Agenzia delle entrate (parere 5 aprile 2018, n. 195, doc. web n. 8275939). Nel parere è dato atto che nello schema di provvedimento, in seguito a specifici approfondimenti effettuati con l’Ufficio, sono state individuate le misure di sicurezza necessarie per consentire ai Caf che aderiscono alla sperimentazione l’accesso alla precompilata, previa stipula di un’apposita convenzione con l’Agenzia delle entrate, redatta nel rispetto del provvedimento del Garante del 18 settembre 2008 (doc. web n. 1549548). Al riguardo, l’Autorità ha ritenuto necessario prescrivere ai predetti Caf l’adozione di una serie di misure al fine di ridurre al minimo i rischi di accessi non autorizzati o di trattamenti non consentiti ai dati personali oggetto di accesso. In particolare, i servizi di cooperazione applicativa resi disponibili dall’Agenzia delle entrate devono essere esclusivamente integrati dai Caf con il proprio sistema informativo e non possono essere resi disponibili a terzi, né direttamente né indirettamente, per via informatica. L’accesso ai servizi di cooperazione applicativa deve essere consentito esclusivamente dagli applicativi del Caf realizzati per le finalità di accesso alla dichiarazione precompilata e i servizi di cooperazione applicativa non possono essere utilizzati da soggetti esterni al Caf anche nell’ipotesi in cui questi operino per conto dello stesso. In nessun caso è consentita la messa a disposizione, da parte dei Caf, dei web service forniti su rete pubblica (Internet) e la procedura di autenticazione dell’utente deve essere protetta dal rischio di intercettazione delle credenziali da meccanismi crittografici di robustezza almeno equivalente a quella offerta dal protocollo TLS1.2 esclusivo, chiavi RSA 2048 bit e cifrari basati su algoritmo AES. I Caf devono altresì tracciare le operazioni concernenti la richiesta di accesso ai dati tramite il canale di cooperazione applicativa e conservarle secondo i requisiti di legge. Nelle richieste di accesso, oltre ai dati di riscontro richiesti per tutti gli accessi alla precompilata da parte dei soggetti autorizzati, devono essere indicati il codice hash del file in formato pdf contenente le copie della delega e del documento del contribuente delegante, nonché la modalità di sottoscrizione della delega. Oltre alle ordinarie modalità di controllo dell’Agenzia delle entrate sulle deleghe e sui documenti di identità indicati nelle richieste di accesso alle dichiarazioni precompilate, i Caf che aderiscono alla sperimentazione devono poi garantire anche un accesso, in cooperazione applicativa con cornice di sicurezza, ai predetti documenti indicati nelle richieste di accesso con modalità asincrona entro 48 ore dalla richiesta dell’Agenzia. Infine, i Caf devono utilizzare proprie procedure, di carattere organizzativo e tecnologico, in grado di evidenziare eventuali anomalie nelle attività di accesso ai dati da parte degli utilizzatori designati. A seguito di una segnalazione prodotta dalle suddette procedure, i Caf dovranno adottare le opportune contromisure volte a prevenire accessi abusivi ai dati. Qualora non sia possibile adottare tempestivamente tali contromisure, i Caf dovranno procedere all’interruzione del servizio, dandone contestuale comunicazione all’Agenzia delle entrate.

In ogni caso, il Garante ha ritenuto necessario rinviare all’esito della valutazione condotta dall’Agenzia delle entrate, anche sulla base degli esiti dei controlli a campione effettuati durante la sperimentazione, il rafforzamento delle misure sopra individuate in relazione alle modalità di accesso dei Caf per i successivi anni d’imposta.

Fonte: Autorità Garante - Relazione 2018