Sentenza n. 3708/2026 - Consiglio Di Stato, Sezione 6

Esito

La controversia

Il professionista, iscritto all’Albo dei ragionieri e periti commerciali, abilitato al servizio Entratel e autorizzato al rilascio del visto di conformità, era stato sottoposto a ispezione per gli anni 2018-2021. L’Agenzia delle Entrate aveva accertato che egli consentiva a una propria dipendente di accedere al sistema Entratel utilizzando le sue credenziali personali, senza che la dipendente fosse stata formalmente registrata e autonomamente abilitata quale gestore o operatore incaricato. Con provvedimento del 5 aprile 2023 l’Agenzia aveva quindi revocato l’abilitazione Entratel e inibito la facoltà di rilasciare il visto di conformità, ritenendo violati gli obblighi di riservatezza e sicurezza dei dati. Il TAR aveva accolto il ricorso del professionista, ritenendo che l’accreditamento fosse necessario per il titolare del trattamento, ma non necessariamente per il dipendente incaricato, e che l’Amministrazione avrebbe dovuto verificare l’esistenza di una formale designazione della dipendente quale incaricata del trattamento. L’Agenzia ha appellato la sentenza deducendo: 1) violazione e falsa applicazione degli artt. 8 e 11 del d.m. 31 luglio 1998, del provvedimento del Direttore dell’Agenzia delle Entrate del 10 giugno 2009 e degli artt. 4 e 29 del d.lgs. 196/2003, sostenendo che anche gli operatori incaricati devono essere autonomamente abilitati e muniti di credenziali proprie; 2) erroneità della statuizione relativa all’inibizione del visto di conformità, poiché l’abilitazione al rilascio del visto presuppone necessariamente l’abilitazione alla trasmissione telematica delle dichiarazioni ai sensi dell’art. 35, comma 3, del d.lgs. 241/1997. Il professionista ha sostenuto che la disciplina sull’autonoma abilitazione non fosse applicabile alle persone fisiche e che la dipendente, appartenendo al suo studio, non fosse un soggetto estraneo.

La decisione

Il Consiglio di Stato ha accolto congiuntamente i due motivi d’appello e ha riformato integralmente la sentenza del TAR, respingendo il ricorso di primo grado. Ha ritenuto che la mancata produzione in giudizio della circolare del 10 giugno 2009 non ne impedisse l’utilizzo, poiché essa era specificamente richiamata nel provvedimento impugnato, il suo contenuto non era stato realmente contestato dal professionista e la stessa sentenza di primo grado ne riportava ampi stralci. Secondo il Collegio, dalla circolare emerge che sia i gestori incaricati sia gli operatori incaricati sono persone fisiche autonomamente abilitate ai servizi telematici e devono accedere mediante credenziali proprie, ottenute tramite la procedura di registrazione prevista. L’obbligo vale anche quando il titolare del trattamento è un professionista persona fisica: l’utilizzo da parte della dipendente delle credenziali del titolare compromette la tracciabilità degli accessi e incrementa i rischi di accessi abusivi, diffusione o manipolazione dei dati. La condotta del professionista, protrattasi per quattro annualità, è stata quindi correttamente qualificata come violazione grave e ripetuta degli obblighi di riservatezza e sicurezza previsti dall’art. 11 del d.m. 31 luglio 1998, idonea a giustificare la revoca dell’abilitazione ai sensi dell’art. 8 del medesimo decreto. L’inibizione del rilascio del visto di conformità è stata ritenuta conseguenza automatica della revoca dell’abilitazione Entratel, poiché l’art. 35, comma 3, del d.lgs. 241/1997 consente il rilascio del visto soltanto ai soggetti abilitati alla trasmissione telematica delle dichiarazioni. Le spese del doppio grado sono state compensate.

Norme richiamate

• art. 8 d.m. 31 luglio 1998

  la revoca dell’abilitazione al servizio telematico può essere disposta in caso di gravi e ripetute inadempienze agli obblighi derivanti dal decreto

  La violazione grave e ripetuta degli obblighi di riservatezza e sicurezza, inclusa la mancata autonoma abilitazione degli operatori che accedono al sistema, legittima la revoca dell’abilitazione Entratel.

• art. 11 d.m. 31 luglio 1998

  obblighi di riservatezza e sicurezza

  Il titolare dell’abilitazione deve adottare misure idonee a garantire la sicurezza e la riservatezza dei dati trattati; tra tali misure rientra l’accesso degli incaricati mediante credenziali personali e autonoma abilitazione.

• Circolare del Direttore dell’Agenzia delle Entrate n. 79952 del 10 giugno 2009

  gestori incaricati e operatori incaricati: persone fisiche “autonomamente abilitate ai servizi telematici”

  Gli operatori incaricati devono essere previamente registrati e autonomamente abilitati al servizio Entratel, con credenziali proprie, anche quando il titolare del trattamento è una persona fisica.

• artt. 4 e 29 d.lgs. 30 giugno 2003, n. 196

  Sono richiamati in relazione alla disciplina del titolare e degli incaricati del trattamento dei dati personali.

• art. 35, comma 3, d.lgs. 9 luglio 1997, n. 241

  soggetti ... abilitati alla trasmissione telematica delle dichiarazioni

  La facoltà di rilasciare il visto di conformità presuppone necessariamente l’abilitazione alla trasmissione telematica delle dichiarazioni; la revoca di tale abilitazione impedisce quindi l’esercizio della facoltà di rilascio del visto.

• art. 3, comma 3, d.P.R. 22 luglio 1998, n. 322

  Individua, mediante il rinvio contenuto nell’art. 35, comma 3, d.lgs. 241/1997, i soggetti abilitabili alla trasmissione telematica delle dichiarazioni.

Massime di principio

• Nel sistema Entratel, i gestori e gli operatori incaricati che accedono per conto del titolare devono essere autonomamente abilitati e utilizzare credenziali personali, anche quando il titolare del trattamento è un libero professionista persona fisica; non è sufficiente una designazione interna o informale né è consentito l’uso delle credenziali del titolare.
• L’accesso di un dipendente al sistema Entratel mediante le credenziali personali del professionista titolare, protratto nel tempo, costituisce violazione degli obblighi di riservatezza e sicurezza dei dati, poiché impedisce la puntuale identificazione dell’autore degli accessi e aumenta il rischio di accessi abusivi o di cessione delle credenziali.
• La violazione grave e ripetuta degli obblighi di riservatezza e sicurezza previsti dalla disciplina del servizio telematico legittima la revoca dell’abilitazione Entratel.
• La facoltà di rilasciare il visto di conformità è necessariamente subordinata all’abilitazione alla trasmissione telematica delle dichiarazioni; la revoca dell’abilitazione Entratel comporta quindi l’impossibilità di esercitare tale facoltà, indipendentemente da ulteriori contestazioni disciplinari o sanzionatorie.

Come è indicizzato