Il garante privacy boccia la fatturazione elettronica

I controlli incrociati sui dati delle fatture elettroniche violano la privacy. Sono troppi i dati e le informazioni che l'amministrazione finanziaria pretende di utilizzare nelle nuove analisi del rischio di evasione basate sulle procedure di memorizzazione ed archiviazione delle fatture elettroniche. Per il Garante della privacy tutto ciò evidenzia un rischio, tangibile, di una vera e propria profilazione generalizzata di tutti i contribuenti, compresi i minori d'età, non proporzionata e ridondante, rispetto all'obiettivo di interesse pubblico perseguito.

Si conclude così, con un parere estremamente negativo dell'Autorità, la valutazione di impatto sullo schema di provvedimento attuativo della nuova procedura di utilizzo, per otto anni, dei dati delle fatture elettroniche ai fini delle analisi del rischio di evasione disciplinata dall'articolo 14 del dl 124 del 2019.

Il suddetto parere è stato rilasciato dall'Autorità garante per la protezione dei dati personali, il 9 luglio e annotato al n. 133 del registro dei provvedimenti. La memorizzazione e l'utilizzazione, senza distinzione alcuna, dell'insieme dei dati personali contenuti nei file delle fatture elettroniche, si legge nel suddetto parere, anche laddove si assicurino elevati livelli di sicurezza e accessi selettivi, risulta sproporzionata in uno stato democratico, per quantità e qualità delle informazioni oggetto di trattamento, rispetto al perseguimento del legittimo obiettivo di interesse pubblico di contrasto all'evasione fiscale perseguito.

Tutto ciò, prosegue il provvedimento in oggetto, pur tenendo conto che, allo stato, le spese sanitarie trasmesse attraverso il sistema «Tessera sanitaria» sono escluse da tale previsione. Ogni anno sono circa 2 miliardi le fatture elettroniche che transitano nel sistema di interscambio dell'Agenzia delle Entrate. In esse sono contenuti moltissimi dati, spesso anche molto dettagliati, che nulla hanno a che vedere con le esigenze del fisco ma rispondono a logiche commerciali, assicurative o a prassi commerciali.

Da tali descrizioni si possono evincere, fra gli altri, il tipo di rapporto fra cedente ed utilizzatore, gli sconti applicati, la fidelizzazione verso alcuni fornitori, le abitudini di consumo. Tutti questi elementi - documenti allegati alla fattura elettronica compresi - sulla base dello schema di provvedimento dell'Agenzia delle entrate verrebbero memorizzati ed archiviati per essere trattati, senza distinzione alcuna tra tipologie di dati e categorie di interessati, per un lungo periodo di tempo (otto anni) da parte sia della stessa Agenzia che della Guardia di finanza. L'insieme dei dati che verrebbero memorizzati e trattati finirebbe per ricomprendere al suo interno anche informazioni appartenenti a categorie particolari, come per esempio, quelle relative a eventuali procedimenti penali a danno dei relativi interessati che verrebbero estrapolate dall'esame dei contenuti delle fatture elettroniche relative alle prestazioni rese nell'ambito dell'attività forense.

Nel provvedimento in esame il Garante della privacy non esita nel rilevare come già a suo tempo avesse invitato il legislatore circa la necessità di selezionare opportunamente le tipologie di informazioni che si sarebbero dovute trattare sulla base della disposizione contenuta nel citato articolo 14 del collegato fiscale alla legge di Bilancio 2020. In quella occasione l'Autorità aveva richiesto che la norma, al preciso fine di non violare il principio di proporzionalità del trattamento dei dati sancito dal Regolamento (Ue) 2016/679, individuasse con specificità le tipologie di informazioni trattate, che dovevano essere oggetto di specifica valutazione rispetto alle esigenze perseguite in concreto.

Sulla base delle considerazioni sopra esposte, il provvedimento del 9 luglio, si esprime sia in relazione allo schema di provvedimento attuativo dell'articolo 14 del dl 124/2019, sia sui prospettati trattamenti da effettuare ai fini delle analisi del rischio di evasione. In entrambi casi il giudizio è tutt'altro che favorevole. Per quanto riguarda lo schema di provvedimento attuativo il Garante privacy ritiene lo stesso «non proporzionato all'obiettivo di interesse pubblico, pur legittimo, perseguito, non individuando, in ossequio ai principi di privacy by design e by default, misure di garanzia adeguate per assicurare la protezione dei dati, anche in relazione a quelli di cui agli artt. 9 e 10 del Regolamento».

Per quanto riguarda invece i trattamenti ai fini delle analisi del rischio da effettuare anche attraverso le interconnessioni fra i dati delle fatture elettroniche e le numerose banche dati a disposizione dell'Agenzia delle entrate, il rischio sottolineato dal Garante è quello di una vera e propria «profilazione di tutti i contribuenti, anche minori d'età», a fronte del quale, «attesi i rischi elevati per i diritti e le libertà degli interessati» è necessario approfondire ulteriormente l'istruttoria.

Insomma l'ingordigia di dati da parte del fisco non può superare certi paletti. Tutto ciò che è superfluo e non necessario per il contrasto all'evasione fiscale, non può essere acquisito, memorizzato e trattato.