Parere del Garante n. 379 del 23/06/2025

Udienze da remoto nel processo tributario e schema di decreto MEF

Il Garante per la protezione dei dati personali ha reso, ai sensi dell’art. 57, par. 1, lett. c), del Regolamento (UE) 2016/679, parere sullo schema di decreto ministeriale del Ministero dell’economia e delle finanze relativo alle regole tecnico-operative per le udienze da remoto davanti alle Corti di giustizia tributaria di primo e secondo grado. Lo schema è collegato all’art. 79, comma 2-ter, del d.lgs. n. 546/1992 e, dal 1° gennaio 2026, all’art. 129, comma 2, del d.lgs. 14 novembre 2024, n. 175, recante il Testo unico della giustizia tributaria.

Contesto e finalità dell’intervento normativo

La disciplina proposta sostituisce le regole tecniche precedentemente adottate con decreto direttoriale dell’11 novembre 2020, rese necessarie all’epoca per le udienze a distanza. Il nuovo intervento è motivato dall’obsolescenza di Skype for Business, per il quale Microsoft ha annunciato la cessazione degli aggiornamenti di sicurezza e dell’assistenza tecnica, con conseguente vulnerabilità del sistema. Lo schema prevede quindi l’impiego di Microsoft Teams, con servizio SaaS, canale criptato e data center situati nell’Unione europea.

Trattamento dei dati personali nell’udienza da remoto

Lo schema disciplina il trattamento dei dati personali connesso alla partecipazione all’udienza a distanza, l’invio del link personale e non cedibile al partecipante che ha richiesto il collegamento, l’informativa ex artt. 13 e 14 GDPR, nonché la redazione del verbale digitale. È inoltre previsto che il verbale dia conto dell’identificazione dei soggetti ammessi al collegamento, dell’avvenuta conoscenza dell’informativa e della libera volontà di partecipare all’udienza da remoto. Non è prevista l’annotazione degli estremi del documento di riconoscimento, in applicazione del principio di minimizzazione.

Rilievi del Garante sulle misure di sicurezza

Il Garante osserva che lo schema non descrive in modo sufficientemente puntuale le misure tecniche e organizzative adottate dal Ministero. Per questa ragione richiede di integrare l’art. 3 con la previsione dell’utilizzo di procedure di strong authentication per l’accesso alla piattaforma da parte degli utenti interni, cioè giudici e segretari di sezione. Chiede inoltre di integrare l’art. 5 stabilendo che le misure di sicurezza siano individuate dal Ministero sulla base di una valutazione d’impatto sulla protezione dei dati ai sensi dell’art. 35 GDPR, con misure specifiche per tutelare i diritti e le libertà degli interessati e per minimizzare i rischi di accesso non autorizzato o di trattamenti non conformi.

Verbale di udienza e documentazione analogica

Per quanto riguarda il verbale di udienza digitale, lo schema prevede la sottoscrizione con firma elettronica qualificata o firma digitale e l’inserimento nel fascicolo informatico. Nei casi di indisponibilità del S.I.Gi.T., il verbale è redatto in formato analogico e successivamente digitalizzato dal segretario di sezione, che attesta la conformità della copia informatica all’originale. Il Garante ritiene però necessario integrare l’art. 4, comma 2, per disciplinare espressamente la distruzione del cartaceo oppure la sua conservazione per un congruo arco temporale dopo la digitalizzazione.

Responsabili del trattamento e rapporti con i fornitori

Un ulteriore rilievo riguarda la governance del trattamento: il decreto deve individuare e formalizzare i ruoli dei responsabili del trattamento ai sensi degli artt. 28 e seguenti GDPR. Il Garante menziona in particolare Sogei e il fornitore della piattaforma Microsoft Teams, ritenendo necessario chiarire i rispettivi ruoli privacy all’interno della disciplina normativa.

Esito del parere

Il Garante esprime quindi parere non favorevole sullo schema, subordinando l’assenso all’adeguamento del testo alle indicazioni formulate. Le modifiche richieste riguardano in particolare: la definizione puntuale delle misure di sicurezza e della strong authentication; il richiamo alla valutazione d’impatto; la disciplina della sorte dei verbali analogici dopo la digitalizzazione; e la formalizzazione dei responsabili del trattamento.