Parere del Garante n. 494 del 26/10/2023

Modalità e termini di comunicazione all’anagrafe tributaria dei dati relativi ai rimborsi del "bonus vista"

Il Garante per la protezione dei dati personali si pronuncia sulla richiesta di parere dell’Agenzia delle entrate relativa allo schema di provvedimento del Direttore dell’Agenzia recante le modalità e i termini di comunicazione all’anagrafe tributaria dei dati relativi ai rimborsi erogati per l’acquisto di occhiali da vista ovvero di lenti a contatto correttive, nell’ambito del c.d. bonus vista. Il parere è reso ai sensi dell’art. 6, comma 7, del d.m. 21 ottobre 2022 e degli artt. 36, par. 4, e 58, par. 3, lett. b), GDPR.

Quadro normativo di riferimento

Il Garante richiama innanzitutto il Regolamento (UE) 2016/679 e il d.lgs. 196/2003. Richiama poi il d.lgs. 21 novembre 2014, n. 175, che disciplina la dichiarazione precompilata e, in particolare:

• l’art. 1, comma 1, che prevede la messa a disposizione della dichiarazione precompilata da parte dell’Agenzia delle entrate;
• l’art. 3, comma 4, che consente di individuare con decreto ministeriale termini e modalità di trasmissione dei dati relativi alle spese detraibili o deducibili.

Viene inoltre richiamata la legge 30 dicembre 2020, n. 178, art. 1, commi 437-439, che istituisce il Fondo per la tutela della vista e prevede un contributo una tantum di 50 euro per i membri di nuclei familiari con ISEE non superiore a 10.000 euro annui.

La disciplina del bonus vista e il precedente decreto ministeriale

Il parere si colloca nel quadro del decreto del Ministro della salute, di concerto con il Ministro dell’economia e delle finanze, 21 ottobre 2022, già oggetto di precedente parere favorevole del Garante. Tale decreto, nel definire criteri, modalità e termini per il contributo, stabilisce all’art. 6, comma 7, che i dati relativi ai rimborsi erogati ai richiedenti siano comunicati all’Agenzia delle entrate per:

• la predisposizione della dichiarazione dei redditi precompilata;
• le attività di controllo.

Lo stesso decreto demanda a un provvedimento del Direttore dell’Agenzia, sentita l’Autorità, la disciplina di dettaglio delle modalità e dei termini di comunicazione.

Contenuto dello schema di provvedimento esaminato

Lo schema sottoposto al Garante disciplina la trasmissione dei dati relativi ai rimborsi per gli acquisti effettuati dal 1° gennaio 2021 al 4 maggio 2023. In particolare, prevede che il Ministero della salute comunichi all’Agenzia delle entrate, per ciascun rimborso:

• il codice fiscale del richiedente;
• il codice fiscale del beneficiario, ovvero dell’intestatario del documento di spesa oggetto di rimborso;
• il codice fiscale dell’intestatario dell’IBAN su cui viene accreditato il rimborso;
• l’importo del rimborso erogato;
• l’anno di imposta in cui è stata sostenuta la spesa.

I dati, conservati da SOGEI S.p.A. quale responsabile del trattamento del Ministero della salute ai sensi dell’art. 11, comma 2, del d.m. 21 ottobre 2022, sono trasmessi con una fornitura una tantum di un file cifrato e memorizzati nei sistemi informativi dell’Anagrafe tributaria.

Finalità del trattamento e utilizzo dei dati da parte dell’Agenzia delle entrate

L’Agenzia delle entrate utilizza i dati, in qualità di titolare del trattamento, per:

• elaborare la dichiarazione dei redditi precompilata;
• fornire assistenza ai contribuenti in relazione alla medesima;
• svolgere le attività di controllo previste dal d.P.R. 29 settembre 1973, n. 600, con richiamo all’art. 36-ter, comma 3-bis;
• semplificare l’esibizione dei documenti da parte del contribuente.

Il Garante osserva che tali trattamenti riguardano dati personali necessari al perseguimento delle finalità connesse alla gestione della dichiarazione precompilata e ai controlli formali.

Valutazioni del Garante sui principi GDPR

Il Garante ritiene che i trattamenti previsti dallo schema siano conformi al quadro normativo e regolatorio del bonus vista e rispettino i principi del GDPR, con particolare riferimento agli artt. 5 e 25. In particolare, il trattamento risulta coerente con i principi di:

• liceità, correttezza e trasparenza;
• limitazione della finalità;
• minimizzazione dei dati.

Il Garante valorizza inoltre il fatto che lo scambio dei dati avvenga direttamente nell’ambito dei sistemi informativi di SOGEI S.p.A. mediante file cifrato, con un presidio di sicurezza che rende compatibile il flusso con il principio di integrità e riservatezza.

Misure di sicurezza e ruolo di SOGEI

Lo schema prevede che la sicurezza degli archivi del sistema informativo dell’Anagrafe tributaria sia assicurata tramite misure di autorizzazione degli accessi e di tracciamento e monitoraggio delle operazioni. Il Garante richiama, in questo contesto, gli artt. 5, par. 1, lett. f), e 32 GDPR.

SOGEI S.p.A. è indicata come responsabile del trattamento sia per il Ministero della salute sia per l’Agenzia delle entrate, nel contesto dello scambio e della conservazione dei dati trasmessi.

Esito

Non emergono osservazioni ostative sullo schema di provvedimento. Il Garante conclude quindi esprimendo parere favorevole sul provvedimento del Direttore dell’Agenzia delle entrate relativo alle modalità e ai termini di comunicazione all’anagrafe tributaria dei dati dei rimborsi del bonus vista.