In ambito fiscale l’Autorità si è espressa sullo schema di decreto del Ministro per l’innovazione tecnologica e la digitalizzazione, da adottarsi di concerto con il Ministro dell’economia e delle finanze, volto alla definizione delle regole tecniche del servizio di fatturazione automatica, ai sensi dell’art. 5, comma 2-septies, del Cad (provv. 29 ottobre 2020, n. 200, doc. web n. 9487468). Il legislatore ha previsto l’istituzione di tale servizio per facilitare gli operatori economici nell’adempimento dell’obbligo di fatturazione elettronica; la sua realizzazione nell’ambito della piatta-forma di cui all’art. 5, comma 2, del Cad (ovvero la piattaforma PagoPA) è affidata alla omonima società che dovrà garantirne la fruizione anche da parte di coloro che effettuano acquisti al di fuori dell’esercizio dell’attività di impresa, di un’arte o di una professione. Il servizio di fatturazione automatica si applica alle operazioni di pagamento effettuate presso Pos presenti sul territorio nazionale mediante l’utilizzo di carte di debito, carte di credito, carte prepagate, ivi inclusi gli strumenti di paga-mento, nonché tramite applicazioni che consentono di effettuare bonifici di paga-mento o tramite altri sistemi di pagamento messi a disposizione presso punti vendita presenti sul territorio nazionale. L’adesione al servizio è volontaria, sulla base di una registrazione distinta per gli esercenti e per i cessionari: a) gli esercenti si iscrivono al servizio (una tantum, con possibilità di modifica o cancellazione), direttamente o tramite soggetti terzi, tra i quali l’acquirer o il proprio fornitore di servizi di fatturazione elettronica; b) i cessionari, nell’APP IO o nei sistemi messi a disposizione dal proprio issuer, registrano uno o più strumenti di pagamento di cui intendono avvalersi per usufruire del servizio (una tantum, con possibilità di modifica o revoca), in-dicando anche gli estremi della propria partita iva ovvero del proprio codice fiscale.

Lo schema trasmesso al Garante ha tenuto conto delle indicazioni fornite dall’Ufficio nell’ambito delle interlocuzioni informali volte ad assicurare, in particolare, che il trattamento fosse progettato nel rispetto dei principi di proporzionalità e di privacy by design e by default, limitando la raccolta dei dati a quelli strettamente necessari alla finalità perseguita, senza accentrare, presso la Società, i dati relativi a tutte le transazioni commerciali eseguite con strumenti di pagamento elettronici, a prescindere dall’adesione all’iniziativa da parte dei cessionari e dal fatto che sia stata richiesta l’emissione della fattura all’atto dell’acquisto.

In particolare, il Garante ha posto l’attenzione sulle garanzie da introdurre a tutela dei diritti e delle libertà delle persone fisiche che, in qualità di cessionari, al di fuori dell’esercizio dell’attività di impresa e di un’arte o professione, intendano aderire al servizio di fatturazione automatica, con meccanismi che consentano di rispettare i requisiti del RGPD, attraverso la minimizzazione nella raccolta dei dati relativi alle transazioni rilevanti, la chiara definizione del ruolo assunto dai diversi soggetti coinvolti nel trattamento nonché la corretta individuazione dei flussi di dati necessari alla realizzazione dell’iniziativa per il compito di interesse pubblico. Speci-fiche cautele sono state previste per il trattamento dei dati relativi agli identificativi degli strumenti di pagamento elettronici indicati dai cessionari all’atto dell’adesione al servizio di fatturazione automatica che devono essere protetti tramite funzioni crittografiche non reversibili.

l servizio di fatturazione automatica presenta rischi elevati per i diritti e le libertà degli interessati, derivanti dalla raccolta massiva e generalizzata di informazioni di dettaglio, potenzialmente riferibili ad ogni aspetto della vita quotidiana dell’intera popolazione, che richiedono specifiche valutazioni in ordine alla proporzionalità del trattamento e all’individuazione delle misure da adottare al fine di rispettare i requisiti del RGPD. È stato pertanto previsto che nella valutazione d’impatto da sottoporre all’esame del Garante siano indicate le misure tecniche e organizzative idonee a garantire un livello di sicurezza adeguato ai rischi presentati dal trattamento e siano disciplinati i tempi e le modalità di conservazione dei dati trattati ai fini della fatturazione automatica, assicurando, nel rispetto del principio di limitazione della conservazione, che gli stessi siano conservati solo per il tempo necessario all’erogazione del servizio.

Anche in relazione a tale servizio, l’Autorità si è riservata di esaminare le specifiche caratteristiche dell’APP IO, con particolare riferimento alle osservazioni già formulate nel provvedimento del 12 giugno 2020, n. 102 (doc. web n. 9367375) circa il previsto utilizzo di notifiche push, l’attivazione automatica di servizi non espressa-mente richiesti dall’utente nonché il trasferimento di dati personali verso Paesi terzi.

Fonte : Relazione GPDP 2020