Parere del Garante n. 239 del 24/04/2024

Parere sullo schema di decreto MEF in materia di determinazione sintetica del reddito complessivo delle persone fisiche

Il Garante per la protezione dei dati personali esprime parere favorevole sullo schema di decreto del Ministro dell’economia e delle finanze attuativo dell’art. 38, comma 5, del d.P.R. 29 settembre 1973, n. 600, relativo alla determinazione sintetica del reddito complessivo delle persone fisiche. Il parere è reso ai sensi degli artt. 36, par. 4, e 58, par. 3, lett. b), del GDPR.

Quadro normativo di riferimento

Lo schema sostituisce il decreto MEF del 16 settembre 2015, già abrogato dall’art. 10 del d.l. 12 luglio 2018, n. 87, convertito dalla legge 9 agosto 2018, n. 186, per gli anni d’imposta successivi a quello in corso al 31 dicembre 2015. Il richiamato art. 38, comma 5, d.P.R. 600/1973 consente che la determinazione sintetica sia fondata sul contenuto induttivo di elementi indicativi di capacità contributiva individuati mediante l’analisi di campioni significativi di contribuenti, differenziati anche per nucleo familiare e area territoriale, sentiti ISTAT e le associazioni dei consumatori, restando salva la prova contraria del contribuente.

Contenuto dello schema esaminato

Il decreto in esame disciplina il contenuto induttivo degli elementi indicativi di capacità contributiva e allega due tabelle: la tabella A, relativa al contenuto induttivo degli elementi di capacità contributiva, e la tabella B, relativa alle tipologie di nuclei familiari e alle aree territoriali di appartenenza.

In particolare, lo schema:

• individua, tramite la tabella A, le informazioni disponibili negli archivi dell’Amministrazione finanziaria e alcune categorie di beni e servizi detenuti dal contribuente per le quali non è noto l’ammontare effettivo della spesa di mantenimento;
• prevede che, per tali beni e servizi, la spesa sia stimata attraverso una spesa minima presunta desunta dall’indagine annuale ISTAT sulle spese delle famiglie, effettuata su campioni significativi di contribuenti, oppure mediante studi e analisi socio-economiche di settore;
• considera la quota di risparmio formatasi nell’anno e non utilizzata per consumi, investimenti e altre spese;
• regola l’attribuzione delle spese alla persona fisica cui esse risultano riferibili sulla base dei dati disponibili o delle informazioni presenti in anagrafe tributaria, nonché delle spese sostenute da coniuge e familiari fiscalmente a carico;
• esclude le spese relative esclusivamente ed effettivamente all’attività di impresa o all’esercizio di arti e professioni, se tale circostanza risulta da idonea documentazione;
• disciplina, all’art. 3, il metodo con cui l’Agenzia delle entrate determina il reddito complessivo accertabile, tenendo conto di spese note, spese stimate, quota di spesa essenziale, incrementi patrimoniali e quota di risparmio;
• riconosce, all’art. 4, la facoltà del contribuente di fornire prova contraria in contraddittorio con l’Agenzia delle entrate.

Dati sanitari e precisazioni introdotte

Una specifica attenzione è dedicata ai dati relativi alla sanità. Lo schema prevede che le informazioni utilizzabili per questo ambito, in particolare per le voci "medicinali e visite mediche" e "altro", siano unicamente i dati aggregati presenti nel Sistema informativo dell’Anagrafe tributaria, esposti in dichiarazione dal contribuente.

Il Ministero dell’economia e delle finanze, con nota del 16 aprile 2024, ha trasmesso una versione aggiornata della tabella A, a seguito di interlocuzioni informali con l’Agenzia delle entrate, al fine di precisare quali informazioni relative alle spese sanitarie siano effettivamente utilizzabili per la ricostruzione sintetica del reddito.

Valutazioni del Garante

Il Garante richiama il proprio precedente provvedimento del 21 novembre 2013, con il quale aveva prescritto all’Agenzia delle entrate specifici accorgimenti e misure a tutela dei contribuenti nell’ambito dell’accertamento sintetico del reddito, in ragione dei rilevanti rischi per i diritti e le libertà degli interessati. Tali rischi derivano soprattutto dai trattamenti automatizzati e, in particolare, dalla profilazione basata sui dati presenti in anagrafe tributaria e sull’imputazione di ulteriori elementi induttivi.

L’Autorità sottolinea che un simile contesto impone al titolare del trattamento di adottare, sin dalla progettazione e per impostazione predefinita, misure tecniche e organizzative adeguate a garantire i principi di:

• liceità, correttezza e trasparenza;
• limitazione della finalità;
• esattezza.

Vengono inoltre richiamati gli artt. 22, 25 e 35 GDPR, in relazione rispettivamente alle decisioni automatizzate, alla protezione dei dati fin dalla progettazione e per impostazione predefinita, e alla valutazione d’impatto.

Richiami a precedenti garanzie e coerenza del sistema

Nel motivare il proprio parere, il Garante richiama anche:

• le garanzie in materia di trattamento dei dati sulla salute in ambito fiscale stabilite nei decreti MEF del 1° febbraio 2024, relativi all’utilizzo dei dati fiscali delle fatture e dei corrispettivi trasmessi al Sistema Tessera Sanitaria, rispetto ai quali l’Autorità aveva già espresso parere favorevole con provvedimento n. 581 del 7 dicembre 2023;
• le garanzie individuate nel provvedimento n. 454 del 22 dicembre 2021 relativo alle regole tecniche per la memorizzazione delle fatture elettroniche, con particolare riferimento all’utilizzo delle informazioni contenute nei file XML.

Esito conclusivo

Alla luce delle precisazioni introdotte nello schema e del quadro di garanzie già delineato, il Garante ritiene la versione esaminata conforme alla normativa in materia di protezione dei dati personali, con specifico riguardo all’individuazione delle tipologie di dati trattati, della logica utilizzata e delle conseguenze per gli interessati. L’Autorità esprime pertanto parere favorevole sullo schema di decreto, riservandosi comunque di verificare in un momento successivo l’adeguatezza delle garanzie e delle misure che saranno adottate dall’Agenzia delle entrate, anche in esito alla valutazione di impatto sulla protezione dei dati.