Evasione, Garante privacy contro la norma che consente l’incrocio dei dati per scovare i contribuenti a rischio: “A rischio illegittimità”

La memoria del presidente Soro depositata in commissione Bilancio al Senato mette nel mirino l'articolo 86, in base al quale l'Agenzia della Entrate può usare l'anagrafe dei rapporti finanziari e le altre banche dati per "individuare criteri di rischio utili per far emergere posizioni da sottoporre a controllo". Secondo l'authority la prevista "pseudonimizzazione" non è una garanzia sufficiente perché il titolare del trattamento "risulterebbe comunque identificabile"

Per l’Ufficio parlamentare di bilancio è una norma di “portata innovativa” perché consente all’Agenzia delle entrate di “passare da logiche deduttive a logiche induttive nella propria attività di controllo” e per individuare i contribuenti che più probabilmente hanno evaso le imposte. Il Garante della Privacy però non ci sta ad accettare le limitazioni alla tutela dei dati personali ritenute necessarie dal governo per consentire le attività di prevenzione e contrasto all’evasione fiscale. E, in una memoria depositata alla commissione Bilancio del Senato che sta esaminando la legge di Bilancio, chiede modifiche “per evitare profili di incompatibilità con la disciplina europea di riferimento, che renderebbe la norma di per sé illegittima“.

Nel mirino di Antonello Soro c’è l’articolo 86 della manovra, in base al quale l’Agenzia della Entrate “con riferimento all’utilizzo delle informazioni contenute nell‘archivio dei rapporti finanziari” potrà “avvalersi delle tecnologie, delle elaborazioni e delle interconnessioni con le altre banche dati di cui dispone, allo scopo di individuare criteri di rischio utili per far emergere posizioni da sottoporre a controllo e incentivare l’adempimento spontaneo”. Il tutto previa “pseudonimizzazione dei dati”, una tecnica che consiste nel conservarli in modo da impedire l”identificazione del contribuente. Solo le posizioni “a rischio” verrebbero riportate fuori dall’anonimato per far partire le verifiche.

Per circoscrivere le garanzie previste dal Regolamento europeo sulla protezione dei dati (Gdpr), la norma si appiglia all’articolo 23 del regolamento stesso, che all’articolo 23 consente limitazioni, “mediante misure legislative”, se necessario per salvaguardare interessi pubblici come la sicurezza nazionale, la difesa, l’accertamento e il perseguimento di reati ma anche “un rilevante interesse economico o finanziario dell’Unione o di uno Stato membro, anche in materia monetaria, di bilancio e tributaria“. E aggiunge il “pregiudizio effettivo e concreto alle attività di prevenzione e contrasto all’evasione fiscale” ai casi in cui una serie di diritti al trattamento dei dati riconosciuti dal Regolamento “non possono essere esercitati”.

Il Garante non ci sta. Per prima cosa chiede che sia “adeguatamente circoscritta la portata delle limitazioni” e gli specifici diritti che ne saranno oggetto, aspetto su cui anche Alessandro Santoro, docente di Scienze delle Finanze ed ex membro del comitato di gestione delle Entrate che da tempo sollecita il superamento dei paletti della privacy per l’individuazione dei criteri di rischio evasione aveva avvertito che la norma della manovra ha in effetti una falla. Sul punto, anche l’Ufficio parlamentare di bilancio ha invitato a verificare “se la norma sia effettivamente sufficiente a consentire la limitazione dei diritti, ossia se siano previsti tutti gli elementi necessari richiesti dall’articolo 23 del Regolamento generale sulla protezione dei dati”.

Ma l’authority non si ferma qui e lamenta, in premessa, che la pseudonimizzazione “nell’ambito del patrimonio informativo dell’Agenzia delle Entrate, che già contiene miliardi di informazioni di dettaglio relative ad ogni aspetto della vita privata di tutta la popolazione, ivi compresi i minori, non costituisce un’efficace garanzia“. Questo perché il titolare del trattamento “risulterebbe comunque identificabile” e le finalità per cui vengono utilizzati i dati “sono di per sé volte all’identificazione del contribuente, sicché in sostanza la misura prevista contrasterebbe con la finalità perseguita o si risolverebbe in un inutile aggravio per l’Agenzia”. Senza identificare il contribuente, del resto, fare i controlli sarebbe ovviamente impossibile.