Parere del Garante n. 539 del 12/09/2024

Delega unica agli intermediari per i servizi online dell’Agenzia delle entrate e dell’Agenzia delle entrate-Riscossione

Il Garante per la protezione dei dati personali ha espresso, il 12 settembre 2024, parere favorevole sullo schema di provvedimento del Direttore dell’Agenzia delle entrate recante la disciplina della "delega unica" agli intermediari per l’utilizzo dei servizi online dell’Agenzia delle entrate e dell’Agenzia delle entrate-Riscossione. Il parere è reso ai sensi degli artt. 36, par. 4, e 58, par. 3, lett. b), del Regolamento (UE) 2016/679.

Quadro normativo di riferimento

Lo schema attua l’art. 21 del d.lgs. 8 gennaio 2024, n. 1, che consente al contribuente di delegare gli intermediari di cui all’art. 3, comma 3, del d.P.R. 22 luglio 1998, n. 322, all’utilizzo dei servizi online messi a disposizione dall’Agenzia delle entrate e dall’Agenzia delle entrate-Riscossione. Il medesimo art. 21 prevede che la delega sia conferita mediante un unico modello, abbia scadenza al 31 dicembre del quarto anno successivo a quello di conferimento, salvo revoca, e demanda a un provvedimento del Direttore dell’Agenzia la definizione delle modalità attuative.

Oggetto e contenuto dello schema

Lo schema di provvedimento disciplina in modo puntuale:

• il contenuto della delega, con indicazione del codice fiscale e dei dati anagrafici del delegante e dell’intermediario, dei servizi online oggetto di delega o revoca e della data di conferimento o di revoca;
• i servizi delegabili dell’Agenzia delle entrate e dell’Agenzia delle entrate-Riscossione;
• la regola per cui tali servizi sono delegabili esclusivamente a favore degli intermediari, salvo i servizi di "fatturazione elettronica e conservazione delle fatture elettroniche" e di "accreditamento e censimento dispositivi", che possono essere delegati anche a soggetti diversi dagli intermediari secondo la disciplina di settore;
• le modalità di conferimento, rinnovo, revoca e rinuncia della delega.

Modalità di conferimento e comunicazione della delega

La delega può essere attribuita a un massimo di due intermediari e scade al 31 dicembre del quarto anno successivo a quello di conferimento, ferma restando la possibilità di revoca anticipata o rinuncia. La comunicazione all’Agenzia dei dati relativi alla delega può avvenire:

• direttamente dal contribuente, mediante apposita funzionalità web nell’area riservata del sito dell’Agenzia delle entrate;
• in alternativa, dall’intermediario delegato, tramite trasmissione di un file XML sottoscritto dal contribuente con firma digitale o con firma elettronica avanzata, realizzata mediante CIE o certificati digitali anche non qualificati conformi alle specifiche tecniche dell’Agenzia;
• oppure tramite un servizio web offerto dall’intermediario stesso, in presenza dei requisiti previsti e della convenzione con l’Agenzia.

Per i contribuenti titolari di partita IVA e per i soggetti diversi da persona fisica non titolari di partita IVA, la comunicazione è consentita esclusivamente attraverso l’area riservata dell’Agenzia o mediante file XML sottoscritto con firma digitale.

Obblighi dell’intermediario e misure di sicurezza

Lo schema impone all’intermediario delegato di impegnarsi a utilizzare le informazioni acquisite esclusivamente per le finalità connesse all’incarico professionale e nel rispetto della normativa in materia di protezione dei dati personali. Inoltre, l’intermediario deve:

• conservare, fino al decimo anno successivo alla data di revoca o scadenza, le deleghe acquisite e la documentazione utilizzata per l’identificazione del delegante e per l’eventuale attestazione della qualità di rappresentante legale o erede;
• numerare e annotare giornalmente le deleghe e i relativi dati in un apposito registro cronologico.

Sono inoltre previste misure di sicurezza basate su meccanismi di identificazione standard e protocolli di comunicazione aggiornati, oltre a procedure e strumenti di sicurezza fisica e logica, sistemi di profilazione, identificazione, autenticazione e autorizzazione degli utenti abilitati alla consultazione, nonché il tracciamento degli accessi di ciascun delegante e di ciascun intermediario, con indicazione di tempi e tipologia delle operazioni svolte e con strumenti di monitoraggio e analisi periodica degli accessi.

Ruoli del trattamento

Il Garante dà atto che, per i trattamenti connessi alla gestione delle deleghe ai servizi online dell’Agenzia delle entrate, quest’ultima opera come titolare del trattamento. Per le attività relative alle deleghe ai servizi online dell’Agenzia delle entrate-Riscossione, l’Agenzia delle entrate opera invece come responsabile del trattamento ai sensi dell’art. 28 GDPR, in forza di apposito atto di nomina, mentre la titolarità resta in capo all’Agenzia delle entrate-Riscossione.

Valutazione finale del Garante

Il Garante ritiene che lo schema preveda misure e garanzie già individuate dall’Agenzia in contesti analoghi e caratterizzati dai medesimi rischi per i diritti e le libertà degli interessati. Per tale ragione non formula rilievi e esprime parere favorevole sullo schema di provvedimento.