Parere del Garante n. 361 del 06/06/2024

Schema di decreto MEF sul concordato preventivo biennale

Il Garante per la protezione dei dati personali esprime parere sullo schema di decreto del Ministro dell’economia e delle finanze attuativo dell’art. 9, comma 1, del d.lgs. 12 febbraio 2024, n. 13, relativo alla metodologia con cui l’Agenzia delle entrate formula la proposta di concordato preventivo biennale. Il parere è reso ai sensi degli artt. 36, par. 4, e 58, par. 3, lett. b), del GDPR.

Contesto normativo e finalità del trattamento

Il decreto legislativo n. 13 del 2024 consente ai contribuenti di minori dimensioni titolari di reddito d’impresa e di lavoro autonomo di accedere al concordato preventivo biennale. La proposta viene elaborata dall’Agenzia delle entrate in coerenza con i dati dichiarati dal contribuente e con la sua capacità contributiva, anche mediante processi decisionali completamente automatizzati di cui all’art. 22 GDPR. Il decreto ministeriale deve quindi individuare la metodologia e, ai sensi dell’art. 9, comma 2, del d.lgs. n. 13/2024, le cautele e garanzie per i diritti e le libertà degli interessati, nonché le eventuali tipologie di dati esclusi dal trattamento.

Valutazione generale dello schema

Lo schema di decreto, secondo il Garante, individua in linea di principio misure adeguate a tutela dei diritti e delle libertà dei contribuenti, in particolare per quanto riguarda limitazione delle finalità, sicurezza, accessi, verifiche sui dati e trasparenza. Tali misure sono considerate compatibili con l’esigenza di assicurare il rispetto dell’art. 22, par. 2, lett. b), GDPR, fermo restando che la concreta definizione delle garanzie è demandata all’Agenzia delle entrate nella valutazione di impatto sulla protezione dei dati, necessaria in ragione dell’elevato rischio del trattamento.

Dati trattati, ruoli e misure previste nello schema

Lo schema prevede il trattamento di dati personali comuni relativi all’identità anagrafica e alla capacità economica, tra cui dati ISA, dichiarazioni fiscali, patrimonio mobiliare e immobiliare, dati contabili, versamenti e compensazioni, oltre ai dati dichiarativi sull’assenza di condanne e reati rilevanti. Esclude invece i dati di cui all’art. 9 GDPR e quelli da cui possano desumersi indirettamente tali informazioni.

Il testo disciplina inoltre:

• la conservazione dei dati fino al termine di decadenza della potestà impositiva e comunque fino alla definizione di eventuali contenziosi;
• il ruolo dell’Agenzia delle entrate come titolare del trattamento e di Sogei S.p.a. come responsabile;
• l’obbligo di verifiche periodiche sulla qualità dei dati;
• misure di sicurezza tecniche e organizzative ai sensi dell’art. 32 GDPR;
• il ricorso alle logiche ISA come base metodologica;
• l’utilizzo dei risultati esclusivamente ai fini del concordato;
• la non produzione di conseguenze negative automatiche in caso di mancata accettazione della proposta;
• la non trattazione dei dati dei minori, salvo quelli dei minori emancipati limitatamente all’attività d’impresa;
• il controllo degli accessi e la tracciabilità delle operazioni;
• l’effettuazione e l’aggiornamento della DPIA;
• l’informativa agli interessati tramite sito istituzionale e software applicativo.

Rilievo sui dati relativi a condanne penali e reati

Uno dei principali rilievi riguarda l’ambito dei dati relativi a condanne e reati. Il Garante osserva che lo schema consente il trattamento di dati tratti dalle dichiarazioni del contribuente relativi all’assenza di condanne penali e reati di cui all’art. 10 GDPR in modo troppo ampio, senza limitarli ai soli reati espressamente indicati dall’art. 11, comma 1, lett. b), del d.lgs. n. 13/2024, che costituiscono causa di esclusione dall’accesso al concordato.

Per tale ragione, il Garante ritiene necessario integrare lo schema affinché il trattamento sia ristretto ai soli dati pertinenti, in ossequio ai principi di liceità, correttezza, trasparenza e minimizzazione di cui all’art. 5, par. 1, lett. a) e c), GDPR.

Ruolo di Sogei S.p.a. e principio di esattezza

Il Garante rileva inoltre che lo schema attribuisce a Sogei S.p.a. il ruolo di responsabile del trattamento, ma non descrive con sufficiente precisione il suo ambito operativo, non solo nella gestione del sistema informativo fiscale ma anche nella fase di elaborazione della metodologia. Chiede quindi una formulazione più chiara del ruolo del soggetto incaricato per conto dell’Agenzia delle entrate.

Un ulteriore profilo critico riguarda il principio di esattezza dei dati. Nella DPIA, secondo il Garante, non risultano ancora adeguatamente individuate le garanzie concrete per assicurare che i dati usati siano corretti, aggiornati, completi e coerenti, né i meccanismi di controllo della corretta applicazione del modello di stima. Il Garante richiede che, prima dell’avvio del trattamento, siano previste misure e meccanismi idonei a garantire pienamente l’esattezza, anche in ragione del ricorso a processi decisionali automatizzati, richiamando gli artt. 5, 22, 24, 25 e 35 GDPR.

Conservazione dei dati e correzione della DPIA

Il Garante segnala una difformità tra la DPIA e il suo allegato 2. La DPIA prevede che i dati siano conservati fino al 31 dicembre dell’undicesimo anno successivo alla presentazione della dichiarazione di riferimento, o fino alla definizione di procedimenti giurisdizionali o richieste dell’autorità giudiziaria, con successiva cancellazione da parte di Sogei. L’allegato 2, invece, afferma che è in corso l’adozione di una procedura di anonimizzazione al termine del periodo di conservazione.

Il Garante ritiene necessario correggere l’allegato, precisando che al termine del periodo di conservazione i dati devono essere cancellati.

Trasparenza verso gli interessati e pubblicazione dell’estratto della DPIA

In chiusura, il Garante ritiene che, nel contesto del concordato preventivo biennale, la pubblicazione di un estratto della valutazione di impatto, comprensivo in particolare dell’elenco delle banche dati utilizzate, contribuisca ad accrescere la trasparenza e la fiducia dei contribuenti. Chiede dunque che l’Agenzia delle entrate pubblichi sul proprio sito istituzionale un estratto della DPIA, omettendo gli allegati e le parti che possano compromettere la sicurezza dei trattamenti.

Conclusione

Alla luce delle condizioni indicate, il Garante esprime parere favorevole sullo schema di decreto. Il parere è quindi favorevole ma condizionato all’integrazione dello schema e della DPIA secondo i rilievi formulati, prima dell’adozione definitiva del decreto ministeriale.