DECRETO 28 giugno 2022 - Ministero dell'economia e delle finanze

Trattamento dei dati finanziari per l’analisi del rischio fiscale

Il decreto stabilisce le regole di protezione dei dati personali utilizzati dall’Agenzia delle entrate e dalla Guardia di finanza per analizzare il rischio fiscale, individuare le posizioni da sottoporre a controllo e incentivare l’adempimento spontaneo. Si applica ai dati dell’Archivio dei rapporti finanziari e alle informazioni tratte dalle altre banche dati disponibili ai due enti.

Dati e attività comprese

I titolari del trattamento sono l’Agenzia delle entrate e la Guardia di finanza. Gli operatori finanziari comprendono banche, Poste Italiane, intermediari finanziari, imprese di investimento, organismi di investimento collettivo del risparmio, società di gestione del risparmio e gli altri soggetti tenuti agli obblighi di comunicazione previsti dalla normativa richiamata.

L’analisi può utilizzare dati personali comuni relativi all’identità e alla capacità economica, inclusi dati dichiarativi, patrimoniali, contabili, finanziari e relativi a pagamenti, versamenti e compensazioni, nonché indicatori di rischio desunti o derivati. I dati appartenenti alle categorie particolari di cui all’articolo 9 del GDPR non sono inclusi nei dataset. Il dataset di analisi serve a verificare la presenza di rischi fiscali secondo criteri e modelli selezionati; il dataset di controllo raccoglie le posizioni caratterizzate da uno o più rischi, suscettibili di controllo o di iniziative per favorire l’adempimento spontaneo.

Durata della conservazione

I dataset sono conservati fino al secondo anno successivo a quello in cui matura la decadenza della potestà impositiva e, in ogni caso, fino alla definizione degli eventuali giudizi. Nei due anni successivi alla maturazione della decadenza, l’Agenzia e la Guardia di finanza adottano garanzie per impedire che i dati dei dataset siano trattati per finalità diverse dall’esercizio del diritto di accesso. Scaduti i periodi di conservazione, i dataset sono cancellati; resta ferma la conservazione dei dati nelle banche dati dell’Agenzia secondo i criteri applicabili alle finalità per cui ciascun dato è stato raccolto.

Limitazioni dei diritti degli interessati

Le limitazioni operano soltanto per il tempo e nella misura necessari e proporzionati a tutelare l’interesse pubblico alla prevenzione e al contrasto dell’evasione e dell’elusione fiscale. Il diritto di accesso, comprensivo della conferma dell’esistenza del trattamento e delle informazioni indicate dal decreto, può essere esercitato:

• dai destinatari di iniziative di stimolo all’adempimento spontaneo, dalla ricezione degli inviti alla regolarizzazione;
• dai destinatari di attività di controllo, dalla consegna del processo verbale di constatazione oppure dalla notifica dell’atto istruttorio o del provvedimento impositivo;
• dai contribuenti non destinatari di tali iniziative o attività, dal primo giorno successivo alla maturazione della decadenza della potestà impositiva.

Sono esclusi il diritto di ottenere la limitazione del trattamento nei casi richiamati dal decreto, il diritto di opporsi al trattamento e il diritto alla cancellazione, poiché il trattamento è svolto nell’esercizio di pubblici poteri. Ricorrendone i presupposti, i diritti possono essere esercitati tramite il Garante per la protezione dei dati personali secondo le modalità previste dal Codice in materia di protezione dei dati personali. Rimangono fermi i diritti relativi ai dati presenti nelle banche dati dell’Agenzia, secondo le regole e le finalità proprie della raccolta, nonché il diritto di rettifica dei dati inesatti. L’Agenzia delle entrate e la Guardia di finanza pubblicano sui rispettivi siti un’informativa generale sulle limitazioni.

Garanzie, qualità e sicurezza dei trattamenti

Agenzia e Guardia di finanza trattano esclusivamente i dati indispensabili e compiono le operazioni strettamente necessarie alle finalità previste. Devono escludere dall’analisi i dati inesatti o non aggiornati e adottare misure tecniche e organizzative per garantire riservatezza, integrità, disponibilità e sicurezza dei sistemi, nonché attualità, coerenza, completezza, tracciabilità e ripristinabilità dei dati. Le informazioni dell’Archivio dei rapporti finanziari possono essere interconnesse con le altre banche dati disponibili attraverso tecnologie e metodologie adeguate.

Le elaborazioni dell’Agenzia per individuare le posizioni da sottoporre a controllo avvengono su dati preventivamente pseudonimizzati, mediante sostituzione o modifica delle informazioni anagrafiche oppure perturbazione delle variabili, così da impedire l’identificazione diretta degli interessati in presenza dei dati finanziari. L’affidabilità e l’accuratezza dei modelli e dei criteri di rischio sono testate per limitare ingerenze nei confronti di contribuenti senza un rischio fiscale significativo e il rischio di rappresentare erroneamente la capacità contributiva. Gli atti e i provvedimenti rivolti ai contribuenti indicano sempre il rischio fiscale individuato e i dati utilizzati. La formazione dei dataset di analisi e controllo assicura sempre l’intervento umano; gli indicatori di rischio non possono essere conservati fuori da tali dataset né utilizzati per finalità diverse dall’analisi prevista.

Per i minori, i dati identificativi sono cancellati prima della definizione del dataset di controllo; le attività istruttorie e quelle dirette a stimolare l’adempimento spontaneo sono svolte esclusivamente nei confronti dei soggetti che esercitano la rappresentanza legale. L’accesso agli strumenti di trattamento è riservato al personale specificamente autorizzato e incaricato delle attività di misurazione della qualità dei dati e di analisi del rischio. Controlli su campioni rappresentativi verificano la corretta applicazione dei modelli e la coerenza degli esiti, sia prima dell’inserimento nelle liste di controllo sia successivamente, per valutarne accuratezza e proficuità. L’Agenzia controlla gli accessi alle banche dati in modo da poter verificare anche a posteriori le operazioni compiute da ciascun autorizzato. Entrambi i titolari effettuano e aggiornano periodicamente le valutazioni d’impatto, riesaminandole e sentendo il Garante quando varia il rischio connesso al trattamento.

Accesso della Guardia di finanza ai dati

L’Agenzia rende disponibili alla Guardia di finanza i dati dell’Archivio dei rapporti finanziari per le attività di analisi del rischio. Termini e modalità di accesso, nonché le misure di sicurezza a tutela degli interessati, sono definiti in un accordo convenzionale tra i due enti.