... (omissis) ... Il Garante ha rilevato, in generale, che una valutazione di impatto dovrebbe in primo luogo tenere conto dei rischi incombenti sui diritti e sulle libertà degli interessati, esaminando, in modo esaustivo, i diversi scenari di rischio e i possibili impatti al fine di individuare misure adeguate ad affrontarli, annullandoli o, quantomeno, riducendoli a un livello accettabile.

La valutazione di impatto effettuata dall’Agenzia delle Entrate è risultata, invece, focalizzata su aspetti meramente tecnici del trattamento, traducendosi prevalentemente, se non esclusivamente, in un documento di valutazione del rischio informatico incombente sui dati, carente nella parte analitica riferita agli impatti sui diritti e sulle libertà degli interessati derivanti dai diversi scenari di rischio considerati, anche laddove non siano riferibili alla fattispecie degli incidenti informatici. Pur considerando la recente introduzione di tale adempimento, la complessità e la portata della fatturazione elettronica, che coinvolge l’intera popolazione, richiedono che la valutazione di impatto sia realizzata evitando di sfruttare schemi standard e semplificazioni che rischiano di comprometterne l’efficacia, fornendo alla stessa un connotato di eccessiva genericità e di inadeguatezza, soprattutto in relazione all’analisi dei rischi che ne costituisce il presupposto essenziale. Inoltre, non è risultato che, come previsto dall’art. 35, par. 9, del RGPD, l’Agenzia abbia raccolto, attraverso le modalità ritenute più opportune, e tenuto in considerazione nell’ambito della valutazione di impatto, le opinioni degli interessati o dei loro rappresentanti, quali le associazioni di categoria o di consumatori. Anche quando avesse ritenuto non appropriato procedere in tal senso, avrebbe dovuto quantomeno documentare, all’interno del documento, i motivi della mancata raccolta delle opinioni degli interessati.

Il Garante ha, pertanto, ingiunto all’Agenzia delle entrate di comunicare, entro il 15 aprile 2019, una nuova versione della valutazione di impatto, riesaminando gli elevati rischi connessi al processo di fatturazione elettronica, anche alla luce di quanto emergerà nei primi mesi di operatività del nuovo obbligo.

Fonte: Autorità Garante - Relazione 2018