Parere del Garante n. 309 del 18/07/2023

Integrazione della convenzione sull’accesso all’Archivio dei rapporti finanziari

Il Garante si pronuncia sulla proposta di integrazione della convenzione tra Agenzia delle entrate e Ministero dell’interno per disciplinare l’accesso alla sezione dell’Anagrafe tributaria denominata Archivio dei rapporti finanziari. Il parere è reso nel quadro dell’art. 47, comma 1, del d.lgs. 18 maggio 2018, n. 51, che consente l’accesso telematico a dati, informazioni, atti e documenti tramite convenzioni volte a regolare le modalità di collegamento e di consultazione delle banche dati da parte di autorità di pubblica sicurezza e forze di polizia.

Contesto del precedente parere del 2021

Il provvedimento richiama il parere n. 163 del 29 aprile 2021, con cui il Garante aveva già espresso parere favorevole ma subordinato a specifiche modifiche di carattere tecnico-informatico. In particolare, erano state richieste tre misure: l’integrazione dell’art. 12 della convenzione per prevedere la comunicazione di eventuali alert su accessi anomali; una fase transitoria di durata contenuta, ragionevolmente pari a diciotto mesi, al termine della quale l’accesso avrebbe dovuto avvenire tramite il CED interforze; la progressiva adozione di una strong authentication a due o più fattori, oppure il rafforzamento delle misure di sicurezza per gli utenti di 2° livello.

La soluzione proposta dal Ministero dell’interno

Con nota del 5 maggio 2023, il Ministero dell’interno ha trasmesso un atto integrativo finalizzato a recepire le prescrizioni del Garante mediante una soluzione tecnologica alternativa. Il Ministero ha precisato che l’Archivio dei rapporti finanziari è consultabile dalle componenti investigative del Dipartimento della pubblica sicurezza e dalle Questure, e non da tutte le forze di polizia; per tale ragione non è stato ritenuto necessario il coinvolgimento del Servizio per i sistemi informativi interforze responsabile del CED interforze.

La proposta si fonda su una procedura di single sign-on gestita attraverso l’Active Directory Nazionale della Polizia di Stato (ADN-PS), di recente realizzazione. Il sistema prevede meccanismi di autenticazione multifattore, mediante credenziali di accesso e codice OTP, per tutte le richieste di autenticazione degli utenti abilitati all’Archivio, sia di 1° sia di 2° livello.

Valutazione delle misure di sicurezza e dei controlli

Il Garante osserva che l’Active Directory consente di definire le politiche di sicurezza applicabili all’intero dominio e di gestire in modo capillare autenticazione e autorizzazioni degli utenti. La soluzione è ritenuta idonea a permettere al Ministero dell’interno – Dipartimento della pubblica sicurezza di svolgere attività di controllo e monitoraggio sugli accessi all’Archivio, che si aggiungono ai controlli sull’accesso ai dati effettuati dall’Agenzia delle entrate, in conformità alle prescrizioni già formulate nel precedente parere.

Secondo l’Autorità, la proposta rafforza anche i controlli previsti dall’art. 12 della convenzione e soddisfa la prescrizione relativa all’innalzamento del livello di sicurezza delle credenziali per gli utenti di 2° livello, dal momento che la multifactor authentication è applicata a tutti gli utenti abilitati.

Prescrizione confermata sull’invio degli alert

Resta tuttavia ferma la prescrizione già contenuta nel parere del 29 aprile 2021: l’art. 12 della convenzione deve essere integrato prevedendo che l’Agenzia delle entrate comunichi al Ministero dell’interno eventuali alert generati da sistemi automatici predisposti dall’Agenzia stessa per la rilevazione di accessi anomali.

Esito del parere

Alla luce delle valutazioni svolte, il Garante esprime parere favorevole, nei termini indicati in motivazione, sull’integrazione della convenzione tra Agenzia delle entrate e Ministero dell’interno per disciplinare l’accesso all’Archivio dei rapporti finanziari proposta dal Ministero con nota del 5 maggio 2023.