Parere del Garante n. 3 del 11/01/2024

Parere sullo schema di decreto legislativo in materia di accertamento tributario e concordato preventivo biennale

Il Garante per la protezione dei dati personali si è espresso sullo schema di decreto legislativo adottato in attuazione della delega contenuta nell’art. 17 della legge 11 agosto 2023, n. 111, relativo al procedimento accertativo e all’introduzione del concordato preventivo biennale. Il parere è reso ai sensi dell’art. 36, par. 4, del GDPR e dell’art. 154, comma 5, del Codice privacy.

Quadro generale dello schema

Lo schema si compone di tre titoli: il primo riguarda il procedimento accertativo, il secondo il concordato preventivo biennale, il terzo le disposizioni finali. Il Garante evidenzia che le principali disposizioni rilevanti per la protezione dei dati personali sono, rispettivamente, gli articoli 2 e 9.

Articolo 2: analisi del rischio fiscale, banche dati e limiti ai diritti

L’articolo 2 realizza il riordino delle norme sull’analisi del rischio fiscale, chiarendo le finalità del trattamento: prevenzione e contrasto dell’evasione fiscale, della frode fiscale e dell’abuso del diritto, oltre allo stimolo dell’adempimento spontaneo e ai controlli preventivi. La disposizione conferma che l’Agenzia delle entrate può utilizzare in modo integrato le informazioni presenti nelle proprie banche dati, comprese quelle dell’Archivio dei rapporti finanziari e quelle relative alle fatture elettroniche memorizzate ai sensi dell’art. 1, comma 5-bis, del d.lgs. n. 127/2015, anche tramite interconnessione con archivi e registri pubblici o comunque pubblicamente disponibili.

La norma esclude però i dati soggetti al d.lgs. 18 maggio 2018, n. 51, ossia quelli relativi a procedimenti penali, prevenzione e attività di polizia. Inoltre, il comma 4 prevede la possibilità di limitare alcuni diritti degli interessati, in presenza dei presupposti e con le garanzie individuate da un regolamento ministeriale, con riferimento agli artt. 15, 17, 18, 21 e 22 GDPR e all’art. 23, par. 2, GDPR.

Il Garante osserva anche che l’analisi del rischio può comportare l’uso di soluzioni di intelligenza artificiale e che i risultati possono essere utilizzati anche per i controlli preventivi. È inoltre previsto che l’Agenzia e la Guardia di finanza possano condividere informazioni e risorse informatiche, nel rispetto delle norme sulla protezione dei dati personali e della segretezza.

Articolo 9: concordato preventivo biennale e uso di processi decisionali automatizzati

L’articolo 9 disciplina il concordato preventivo biennale per i contribuenti di minori dimensioni, titolari di reddito d’impresa e di lavoro autonomo residenti in Italia. L’Agenzia delle entrate deve mettere a disposizione dei contribuenti o dei loro intermediari, entro il 15 marzo di ogni anno, programmi informatici per acquisire i dati necessari all’elaborazione della proposta; le modalità e i dati da comunicare sono stabiliti da un provvedimento del direttore dell’Agenzia.

La proposta di concordato è elaborata sulla base dei dati dichiarati dal contribuente e di una metodologia che valorizza le informazioni già in possesso dell’Amministrazione finanziaria, anche tramite processi decisionali di cui all’art. 22 GDPR, al fine di limitare nuovi oneri dichiarativi. La metodologia è definita con decreto del Ministro dell’economia e delle finanze, sentito ove necessario il Garante, e deve tenere conto dei limiti imposti dalla normativa privacy. Il decreto deve inoltre individuare specifiche cautele, garanzie per i diritti e le libertà dei contribuenti ed eventuali categorie di dati escluse dal trattamento. Anche qui è escluso l’uso di dati soggetti al d.lgs. n. 51/2018.

Valutazioni del Garante e condizioni richieste

Il Garante ritiene che lo schema, nel complesso, non presenti particolari criticità, ma richiede alcune modifiche per assicurare adeguate garanzie.

Le condizioni poste per il parere favorevole sono:

• all’art. 2, comma 3, eliminare le parole "ovvero pubblicamente disponibili", così da escludere i dati pubblicamente disponibili dal novero delle informazioni interconnettibili dall’Agenzia delle entrate;
• all’art. 2, comma 4, inserire espressamente che il regolamento ministeriale sia adottato "sentito il Garante per la protezione dei dati personali";
• all’art. 9, comma 1, secondo periodo, sopprimere le parole ", ove necessario", in modo da rendere sempre necessario il parere del Garante sul decreto ministeriale che disciplina la metodologia del concordato.

Osservazioni e chiarimenti opportuni

Il Garante formula anche due osservazioni di opportunità:

• all’art. 2, comma 8, è preferibile sopprimere la parola "avanzate" riferita alle tecniche di analisi utilizzabili dalla Guardia di finanza nell’uso dei dati dell’Archivio dei rapporti finanziari, perché la formula è indeterminata e non perfettamente coerente con la disciplina di delega e con la fonte novellata;
• all’art. 9, comma 2, secondo periodo, dopo la parola "garanzie" è opportuno inserire il richiamo "di cui all’articolo 22 del Regolamento (UE) 2016/679", per chiarire che le garanzie richieste riguardano il processo decisionale automatizzato disciplinato da tale disposizione.

Esito

Il Garante esprime quindi parere favorevole sullo schema di decreto legislativo, ma subordinato alle condizioni indicate e accompagnato dalle osservazioni formulate nel parere. L’impostazione complessiva è positiva, purché siano rafforzati i presidi privacy nei trattamenti di dati fiscali, nelle interconnessioni tra banche dati e nell’uso di strumenti automatizzati o di intelligenza artificiale.