Parere del Garante n. 757 del 05/12/2024

Parere sugli emendamenti al 5x1000 e comunicazione dei nominativi dei contribuenti

La Presidenza del Consiglio dei ministri ha chiesto il parere del Garante sul testo di quattro emendamenti parlamentari di identico contenuto, presentati al disegno di legge di bilancio 2025-2027 (AC 2112-bis), relativi alla disciplina del contributo del cinque per mille. Gli emendamenti intervengono sull’art. 1, comma 154, della legge 23 dicembre 2014, n. 190, prevedendo che gli enti destinatari possano conoscere il nominativo dei contribuenti che abbiano autorizzato la comunicazione in sede di dichiarazione dei redditi.

Quadro normativo di riferimento

Il Garante richiama il complesso impianto normativo del 5x1000, che comprende, oltre alla legge n. 190/2014, l’art. 2, commi da 4-novies a 4-undecies, del d.l. 25 marzo 2010, n. 40, convertito dalla legge 22 maggio 2010, n. 73, il d.P.C.M. 20 gennaio 2006, il d.lgs. 3 luglio 2017, n. 111 per gli enti del terzo settore e il d.P.C.M. 23 luglio 2020 sulle modalità e i termini per il riparto e per la formazione e pubblicazione degli elenchi degli enti ammessi. Il parere è adottato ai sensi dell’art. 36, par. 4, GDPR e dell’art. 154, comma 5, del Codice privacy.

Valutazione della proposta e profili di protezione dati

Il Garante esprime un parere favorevole, ma condizionato a integrazioni del testo. Sottolinea anzitutto che la finalità della comunicazione dei nominativi non è sufficientemente chiara e deve essere espressamente indicata, così da verificare proporzionalità e coerenza del trattamento. La previsione normativa non deve inoltre essere letta come base per trattamenti ulteriori dei dati da parte dei beneficiari del 5x1000, perché ciò contrasterebbe con il principio di limitazione delle finalità di cui all’art. 5, par. 1, lett. b), GDPR.

Consenso del contribuente e informativa

In relazione al meccanismo di autorizzazione del contribuente, il Garante richiama i requisiti del consenso previsti dall’art. 7, par. 3, GDPR e ritiene opportuno prevederne espressamente la revocabilità, con modalità semplificate che ne agevolino l’esercizio. Poiché il consenso deve essere informato ai sensi dell’art. 4, n. 11, GDPR, occorre garantire una specifica informativa al contribuente conforme agli artt. 13 e 14 GDPR.

Modalità di comunicazione dei dati e misure organizzative

L’Autorità evidenzia infine la necessità di disciplinare in modo puntuale le modalità con cui l’Agenzia delle entrate comunica agli enti beneficiari i nominativi dei contribuenti che hanno prestato il consenso. Tale disciplina può essere demandata anche a una fonte subordinata o a un atto amministrativo generale, purché adottato previo parere del Garante. In ogni caso, devono essere rispettati i principi generali del GDPR e gli obblighi di sicurezza previsti dagli artt. 32 e seguenti.

Conclusione

Il Garante, ai sensi dell’art. 36, par. 4, GDPR, esprime dunque parere favorevole sugli emendamenti, ma subordinandolo all’integrazione del testo con specifiche garanzie: indicazione della finalità della comunicazione, divieto di usi ulteriori e incompatibili dei dati da parte degli enti beneficiari, revocabilità semplificata del consenso e disciplina dettagliata delle modalità di comunicazione dei nominativi da parte dell’Agenzia delle entrate.