Parere del Garante n. 333 del 14/05/2026

Messa a disposizione all’Agente della riscossione dei dati sulle fatture elettroniche

Il Garante per la protezione dei dati personali ha espresso, ai sensi degli artt. 36, par. 4, e 58, par. 3, lett. b), del Regolamento (UE) 2016/679, parere favorevole sullo schema di provvedimento del Direttore dell’Agenzia delle entrate recante le disposizioni attuative dell’art. 1, comma 5-bis, lett. b-ter), del d.lgs. 5 agosto 2015, n. 127. Lo schema disciplina la messa a disposizione dell’Agente della riscossione dei dati relativi alla somma dei corrispettivi delle fatture emesse da debitori iscritti a ruolo e dai loro coobbligati nei confronti di uno stesso soggetto.

Quadro normativo di riferimento

Il parere si fonda sul Regolamento (UE) 2016/679 e sul d.lgs. 196/2003, nonché sulla disciplina speciale introdotta per la fatturazione elettronica. In particolare, viene richiamato l’art. 1, comma 5-bis, lett. b-ter), d.lgs. 127/2015, come modificato dall’art. 1, comma 117, della legge 30 dicembre 2025, n. 199 (legge di bilancio 2026), che prevede la conservazione dei file delle fatture elettroniche fino al 31 dicembre dell’ottavo anno successivo a quello di presentazione della dichiarazione di riferimento, ovvero fino alla definizione di eventuali giudizi, per consentire all’Agenzia delle entrate la messa a disposizione dei dati all’Agente della riscossione.

Viene inoltre richiamato il comma 5-ter dello stesso art. 1, che impone, sentito il Garante, l’adozione di idonee misure di garanzia a tutela dei diritti e delle libertà degli interessati, mediante apposite misure di sicurezza, anche organizzative, in conformità al GDPR e al Codice.

Contenuto dello schema esaminato

Lo schema trasmesso dall’Agenzia delle entrate recepisce le novità normative e definisce le modalità di utilizzo dei dati per finalità di analisi mirate all’avvio di procedure esecutive presso terzi pignorabili. Il Garante evidenzia che il testo è stato aggiornato a seguito delle interlocuzioni informali intercorse con l’Ufficio e che l’Agenzia ha trasmesso anche la valutazione d’impatto del trattamento.

Il provvedimento delimita i dati da mettere a disposizione ai soli elementi strettamente necessari, ossia:

• codice fiscale;
• partita IVA;
• cognome e nome oppure denominazione o ragione sociale;
• domicilio fiscale.

La trasmissione riguarda i debitori titolari di partita IVA, persone fisiche o soggetti diversi dalle persone fisiche, nei cui confronti risultino partite di ruolo o carichi affidati all’Agente della riscossione.

Modalità di trasmissione e sicurezza nel periodo iniziale

Per la fase iniziale di avvio del sistema, la trasmissione delle informazioni è prevista tramite posta elettronica certificata. I file devono essere protetti con una password robusta, comunicata attraverso un canale diverso, in modo da rafforzare la riservatezza e l’integrità dei dati.

L’accesso alle informazioni ricevute è riservato esclusivamente a personale appositamente autorizzato, incaricato di svolgere attività di analisi e, ove possibile, di avviare le procedure di pignoramento presso terzi. In questa prima fase, dunque, il sistema opera con un assetto "as is" in attesa di una soluzione strutturata.

Soluzione a regime e riserva del Garante

Lo schema prevede che, a regime, venga realizzato un servizio automatizzato di scambio dati. Tuttavia, il Garante precisa di volersi riservare sulle misure di sicurezza che saranno individuate per tale configurazione definitiva, non essendo ancora definite nel testo trasmesso.

Questa riserva non incide sul giudizio complessivo espresso sullo schema, ma segnala che la valutazione definitiva della fase a regime dipenderà dalla concreta individuazione delle ulteriori garanzie tecniche e organizzative.

Proporzionalità, minimizzazione e gradualità

Il Garante dà atto che la versione aggiornata dello schema tiene conto delle indicazioni fornite in merito al rispetto dei principi di proporzionalità e minimizzazione dei dati, nonché del principio di integrità e riservatezza.

In particolare, sono valorizzati:

• la limitazione delle informazioni trasmesse a quelle strettamente necessarie;
• la selezione dei soli soggetti rilevanti ai fini della riscossione, ossia i debitori titolari di partita IVA;
• l’applicazione di criteri di gradualità nell’attivazione delle procedure di pignoramento;
• la definizione, da parte delle Direzioni regionali dell’Agenzia delle entrate e dell’Agente della riscossione territorialmente competente, del numero delle posizioni da segnalare, tenendo conto delle caratteristiche sociali, economiche e produttive del territorio e della capacità operativa dell’Agente.

Qualificazione dei ruoli e conclusione del parere

Lo schema stabilisce che Agenzia delle entrate e Agente della riscossione operano quali titolari autonomi del trattamento, ciascuno per quanto di competenza. Inoltre, l’Agenzia delle entrate è tenuta ad adottare tutte le misure tecniche e organizzative richieste dall’art. 32 GDPR per garantire la sicurezza del trattamento e la conformità agli obblighi di legge.

Alla luce di tali elementi e considerati gli elevati rischi per i diritti e le libertà degli interessati, il Garante ritiene lo schema conforme al GDPR e al Codice privacy e formula parere favorevole sul provvedimento attuativo dell’art. 1, comma 5-bis, lett. b-ter), d.lgs. 127/2015.