Con provvedimento del 15 novembre n. 481, il Garante per la protezione dei dati personali ha rivolto un formale avvertimento all’Agenzia delle Entrate in merito ai “rischi elevati per le libertà e i diritti degli interessati” derivanti dal regime di fatturazione elettronica che diverrà operativo dal 1° gennaio 2019.
Il Garante evidenzia come l’estensione dell’obbligo di fatturazione elettronica anche alle operazioni B2C, per quanto disposto dall’Agenzia nei provvedimenti n. 89757/2018 e n. 291241/2018, si pone in contrasto con la normativa in materia di protezione dei dati personali sotto più profili:
- in qualità di titolare del trattamento dei dati personali, l’Agenzia avrebbe dovuto innanzitutto consultare preventivamente il Garante e svolgere una valutazione d’impatto ai sensi dell’art. 35 GDPR;
- l’Agenzia non ha individuato specifiche misure di garanzia volte ad assicurare il rispetto dei principi di limitazione della finalità, minimizzazione e riservatezza del trattamento che viene anzi esteso – obbligatoriamente ed in modo generalizzato e di dettaglio – a dati personali anche ulteriori rispetto a quelli necessari a fini fiscali;
- ulteriori rischi ingiustificati per i diritti dei cittadini derivano dalla messa a disposizione delle fatture sul portale dell’Agenzia;
- non sufficientemente chiaro viene considerato poi il ruolo assunto dagli intermediari e dagli altri soggetti delegati rispetto al trattamento di dati personali contenuti nelle fatture;
- altre criticità derivano dall’utilizzo del protocollo FTP, non sufficientemente sicuro, e dalla mancata cifratura del file XML;
- in merito alla mobile app messa a disposizione dall’Agenzia, gli utenti non risultano adeguatamente informati sulle finalità di conservazione e controllo dei dati raccolti mediante l’applicazione;
- problematico infine anche il servizio gratuito di conservazione delle fatture, basato su un accordo di servizio che sembrerebbe contenere una clausola di esclusione di responsabilità, in favore dell’Agenzia, contrastante con l’art. 5 GDPR.
A seguito dell’avvertimento formulato ai sensi dell’art. 58 GDPR, l’Agenzia delle Entrate dovrà comunicare al Garante le iniziative assunte per superare le criticità ed assicurare la piena conformità della fatturazione elettronica alla normativa a protezione dei dati personali.