Il Garante della privacy boccia la fatturazione elettronica. Il Garante per la protezione dei dati personali ha inviato un avvertimento formale all’Agenzia delle entrate. Secondo l’Autorità, il nuovo obbligo di fatturazione elettronica, così come regolato dall’Agenzia, «presenta rilevanti criticità in ordine alla compatibilità con la normativa in materia di protezione dei dati personali».
Il Garante ha quindi chiesto all’Agenzia di comunicare con urgenza come intende rendere conformi alle norme italiane ed europee i trattamenti di dati legati alla fatturazione elettronica. È la prima volta che il Garante usa il nuovo potere correttivo di avvertimento, attribuito dal Regolamento europeo. Il provvedimento è stato adottato anche in seguito ad alcuni reclami.
Dal 1 gennaio 2019 l’obbligo di fatturazione elettronica è stato esteso anche ai rapporti tra fornitori e tra fornitori e consumatori. Secondo il Garante, questo obbligo comporta un rischio elevato per i diritti e le libertà delle persone. Determina infatti un trattamento sistematico, generalizzato e dettagliato di dati personali su larga scala. Il trattamento può riguardare ogni aspetto della vita quotidiana dell’intera popolazione. Ed è sproporzionato rispetto all’obiettivo di interesse pubblico perseguito, per quanto legittimo.
Quali sono le criticità rilevate dal Garante?
Esaminando il nuovo sistema di fatturazione elettronica, il Garante ha individuato una serie di problemi.
Il primo riguarda il ruolo dell’Agenzia. L’Agenzia fa da «postino»: recapita le fatture tra operatori economici e contribuenti attraverso il Sistema di interscambio (SDI). Ma poi archivia i dati e li usa anche a fini di controllo.
Inoltre, l’Agenzia non archivia solo i dati obbligatori a fini fiscali, ma l’intera fattura. La fattura contiene informazioni dettagliate su beni e servizi acquistati. Per esempio, per le forniture di energia e di telecomunicazioni, rivela abitudini e tipologie di consumo, la regolarità nei pagamenti o l’appartenenza a particolari categorie di utenti. In alcuni casi contiene persino la descrizione di prestazioni sanitarie o legali.
Altre criticità derivano dalla scelta dell’Agenzia di rendere disponibili sul proprio portale tutte le fatture in formato digitale, anche senza una richiesta dei consumatori. Lo fa anche per chi preferisce continuare a ricevere la fattura, cartacea o digitale, direttamente dal fornitore, come la legge gli consente.
Un ulteriore problema riguarda gli intermediari ai quali il contribuente può delegare l’invio, la ricezione e la conservazione delle fatture. Alcuni lavorano per moltissime imprese e concentrano così enormi quantità di dati personali. Questo aumenta i rischi per la sicurezza delle informazioni. Aumenta anche il rischio di usi impropri, grazie alla possibilità di incrociare le fatture di migliaia di operatori economici.
Anche la trasmissione tramite lo SDI e gli altri servizi offerti dall’Agenzia, come la conservazione dei dati, presentano problemi di sicurezza. Il primo è la mancata cifratura della fattura elettronica. Il rischio è ancora maggiore perché le fatture viaggiano spesso via PEC, e possono quindi restare memorizzate sui server di posta elettronica.
La mancata consultazione preventiva del Garante
Il vecchio Codice privacy e il nuovo Regolamento Ue prevedevano una consultazione preventiva dell’Autorità. Se fosse stata fatta, il nuovo sistema sarebbe nato fin dall’inizio con modalità e garanzie rispettose della protezione dei dati personali. Si sarebbero potute adottare misure tecniche e organizzative adeguate lungo tutta la filiera del trattamento dei dati per la fatturazione elettronica.
Il provvedimento del Garante è stato inviato anche al Presidente del Consiglio dei ministri e al Ministro dell’economia e delle finanze, per le valutazioni di loro competenza.
