Provvedimento del 10/06/2009

Adeguamento dei servizi telematici dell’Agenzia delle entrate alle prescrizioni del Garante privacy

Il provvedimento del 10 giugno 2009 riorganizza l’accesso ai servizi telematici dell’Agenzia delle entrate, con particolare riferimento a Entratel e Fisconline, per conformarli alle prescrizioni del Garante per la protezione dei dati personali del 18 settembre 2008. La disciplina introduce nuove figure operative, definisce le modalità di abilitazione e di comunicazione dei soggetti incaricati e rafforza gli obblighi di riservatezza e sicurezza dei dati.

Definizioni e ambito dei servizi

Ai fini del provvedimento vengono precisati i principali concetti operativi:

• Servizio Entratel: servizio telematico disciplinato dal Capo II del decreto 31 luglio 1998, utilizzabile dai soggetti di cui all’art. 3, commi 2, 2-bis e 3, del DPR 22 luglio 1998, n. 322.
• Servizio Fisconline: servizio Internet disciplinato dal Capo IV del decreto 31 luglio 1998, utilizzabile dai soggetti individuati dall’art. 3, ultimo periodo del comma 2, e dal comma 2-ter, del DPR n. 322/1998.
• Sito dei servizi telematici: il portale dell’Agenzia delle entrate raggiungibile all’indirizzo indicato nel provvedimento.
• Gestori incaricati: persone fisiche autonomamente abilitate, designate dagli utenti diversi dalle persone fisiche o dagli utenti persone fisiche abilitati a Entratel che ne abbiano necessità, per interagire con i servizi telematici in nome e per conto degli utenti e per gestire l’elenco degli operatori.
• Operatori incaricati: persone fisiche abilitate che, su designazione, operano in nome e per conto degli utenti sui servizi telematici.

Abilitazione al servizio Entratel

L’abilitazione a Entratel è riservata ai soggetti che possiedono i requisiti previsti dal DPR n. 322/1998 e segue una procedura articolata:

• l’utente richiede via web il codice di pre-iscrizione, attribuito in tempo reale dal sistema dopo l’inserimento delle informazioni richieste;
• entro trenta giorni dalla ricezione del codice, l’utente presenta la domanda di abilitazione e la documentazione allegata presso un ufficio dell’Agenzia delle entrate della regione in cui ricade il domicilio fiscale;
• i soggetti diversi da persona fisica devono allegare, per ciascuna eventuale sede secondaria da attivare, una lista dei gestori incaricati che amministreranno gli operatori incaricati;
• i rappresentanti legali o negoziali, se non già abilitati, devono ottenere l’abilitazione a Entratel o Fisconline secondo i requisiti posseduti, per poter comunicare i nominativi dei gestori incaricati;
• anche le persone fisiche abilitate a Entratel possono effettuare la comunicazione dei gestori incaricati con le stesse modalità.

L’ufficio verifica l’identità del richiedente e la correttezza della domanda, quindi rilascia un’attestazione di abilitazione contenente un codice per prelevare le credenziali dal sito dei servizi telematici. L’utente controfirma l’attestazione, assumendo l’impegno a usare correttamente il servizio e a mantenere riservate le informazioni ricevute.

Gestori incaricati e operatori incaricati

Il provvedimento distingue in modo netto le funzioni dei soggetti incaricati:

• gli utenti diversi dalle persone fisiche abilitati a Entratel o Fisconline, nonché le persone fisiche abilitate a Entratel che intendano avvalersene, comunicano i dati dei gestori incaricati tramite funzione online riservata ai rappresentanti registrati in anagrafe tributaria oppure mediante apposito modello presentato all’ufficio competente;
• per gli utenti Entratel, la comunicazione riguarda ciascuna sede telematica;
• il numero dei gestori incaricati deve essere compreso tra uno e quattro;
• i gestori incaricati amministrano, tramite le funzioni del sito, l’elenco dei gestori e degli operatori incaricati, effettuando inserimenti e cancellazioni;
• gestori e operatori incaricati devono essere autonomamente abilitati a Entratel o Fisconline, in base ai requisiti posseduti per la trasmissione delle dichiarazioni fiscali;
• tali soggetti possono operare per più utenti e, dopo l’accesso con le proprie credenziali, indicano di volta in volta l’utente per conto del quale effettuano le transazioni;
• una volta indicato l’utente delegante, operano con i medesimi privilegi di quest’ultimo.

La comunicazione dei dati produce effetti immediati: i gestori incaricati e, successivamente all’inserimento nell’elenco, gli operatori incaricati acquisiscono subito la possibilità di operare telematicamente per conto del soggetto che li ha incaricati.

Regime transitorio e dismissione delle vecchie credenziali

Sono previste regole transitorie molto stringenti per gli utenti diversi dalle persone fisiche:

• dal 1° settembre 2009 è inibito l’uso delle credenziali generiche precedentemente attribuite a tali utenti;
• entro la stessa fase transitoria, gli utenti devono comunicare i dati dei gestori incaricati e degli operatori incaricati;
• dal 1° novembre 2009 sono revocate d’ufficio le abilitazioni dei soggetti diversi dalle persone fisiche che non abbiano completato gli adempimenti previsti.

È inoltre stabilito che gli utenti abilitati a Entratel non possano essere contemporaneamente titolari dell’abilitazione Fisconline. Chi si trovi in tale situazione alla data di pubblicazione del provvedimento deve chiedere la revoca di Fisconline presso un ufficio dell’Agenzia; in ogni caso, trascorsi trenta giorni dalla pubblicazione, la disabilitazione da Fisconline opera automaticamente per i soggetti che risultino ancora titolari anche di Entratel.

Abilitazione e utilizzo di Fisconline

Per Fisconline si applicano, per gli utenti diversi dalle persone fisiche, le regole previste per gestori e operatori incaricati. Il provvedimento disciplina inoltre la durata del PIN e le ipotesi di revoca:

• il codice PIN scade il 31 dicembre del secondo anno successivo a quello dell’ultima utilizzazione;
• se il PIN non viene mai utilizzato, scade il 31 dicembre del secondo anno successivo a quello del rilascio;
• la stessa regola vale per i PIN già attivi alla data di pubblicazione del provvedimento;
• il PIN perde validità in caso di decesso del titolare;
• in caso di perdita del PIN o di sospetto uso indebito da parte di terzi, l’utente presenta comunicazione a un ufficio dell’Agenzia, che procede alla revoca dell’abilitazione e, se richiesta, all’attribuzione di una nuova abilitazione a Fisconline.

Ai soggetti Fisconline che risultino anche titolari di Entratel alla data di pubblicazione si applicano le stesse regole di incompatibilità e revoca previste per i titolari Entratel.

Obblighi di riservatezza e trattamento dei dati personali

Il provvedimento dedica un’ampia parte alla protezione dei dati personali e alla riservatezza delle informazioni trattate tramite i servizi telematici:

• gli utenti possono trattare i dati contenuti nei documenti solo per le finalità del servizio di trasmissione telematica e per il tempo necessario;
• gli utenti dei servizi telematici sono qualificati come autonomi titolari del trattamento ai sensi del Codice privacy;
• il trattamento dei dati contenuti nei documenti da trasmettere è consentito solo ai soggetti, anche esterni, designati come responsabili dagli utenti;
• le persone fisiche incaricate del trattamento sono individuate dagli utenti o dai responsabili da essi designati e operano secondo le istruzioni ricevute, garantendo riservatezza e sicurezza;
• gli utenti, salvo il caso delle persone fisiche non intermediari che trasmettono i propri adempimenti fiscali, e i responsabili devono adottare misure organizzative, fisiche e logistiche idonee, anche con spazi appositi per la conservazione dei dati;
• gli utenti si impegnano a svolgere le attività previste dall’allegato tecnico del decreto 31 luglio 1998 e a mantenere riservate le informazioni che consentono l’accesso ai servizi;
• al momento del rilascio dell’attestazione, ciascun utente Entratel sottoscrive l’impegno al rispetto del provvedimento anche per conto dei responsabili designati;
• l’Agenzia delle entrate effettua verifiche periodiche, anche a campione, sul rispetto delle disposizioni.

Informativa agli utenti

L’informativa prevista dall’art. 13 del decreto legislativo 30 giugno 2003, n. 196, si considera resa mediante le avvertenze fornite agli utenti sia al momento della presentazione della domanda di abilitazione, cartacea o telematica, sia al momento del rilascio dell’abilitazione ai servizi telematici.

Motivazioni dell’intervento

Le motivazioni richiamano l’esigenza di adeguarsi alle prescrizioni del Garante privacy del 18 settembre 2008 e di migliorare gli standard di sicurezza dei servizi. In particolare:

• è stata rafforzata la password policy, con scadenza periodica delle password ogni novanta giorni;
• sono state modificate le credenziali d’accesso degli utenti diversi da persone fisiche;
• dal 1° settembre 2009 le credenziali generiche dei soggetti diversi da persone fisiche diventano inutilizzabili;
• è stato introdotto il nuovo sistema di individuazione dei gestori e degli operatori incaricati, che devono essere persone fisiche con credenziali proprie;
• dal 1° novembre 2009 sono revocate d’ufficio le abilitazioni degli utenti diversi dalle persone fisiche che non abbiano completato gli adempimenti richiesti;
• la procedura di rilascio di Entratel è stata modificata superando l’attribuzione delle credenziali mediante buste cartacee, sostituite dalla comunicazione sicura online.

Riferimenti normativi richiamati

Il provvedimento richiama, tra le principali basi normative:

• il decreto legislativo 30 luglio 1999, n. 300, per le attribuzioni del Direttore dell’Agenzia delle entrate;
• lo Statuto dell’Agenzia delle entrate;
• il Regolamento di amministrazione dell’Agenzia;
• il decreto del Ministro delle finanze 28 dicembre 2000 sulle modalità di avvio delle Agenzie fiscali;
• il DPR 29 settembre 1973, n. 600;
• il decreto legislativo 9 luglio 1997, n. 241;
• il DPR 22 luglio 1998, n. 322;
• il decreto dirigenziale 31 luglio 1998 sulle modalità tecniche di trasmissione telematica;
• il decreto legislativo 30 giugno 2003, n. 196, Codice in materia di protezione dei dati personali.

Pubblicazione ed efficacia

Il provvedimento stabilisce che la pubblicazione sul sito Internet dell’Agenzia delle entrate equivale alla pubblicazione nella Gazzetta Ufficiale, ai sensi dell’art. 1, comma 361, della legge 24 dicembre 2007, n. 244. Il documento è datato Roma, 10 giugno 2009, e reca la firma del Direttore dell’Agenzia Attilio Befera.