Negativo il parere del Garante privacy sulla memorizzazione dei “dati fattura integrati”
Il Garante per la privacy ha reso il parere sullo schema di provvedimento del Direttore dell’Agenzia delle Entrate concernente “Regole tecniche per l’emissione e la ricezione delle fatture elettroniche per le cessioni di beni e le prestazioni di servizi effettuate tra soggetti residenti e stabiliti nel territorio dello Stato e per le relative variazioni, utilizzando il Sistema di Interscambio, nonché per la trasmissione telematica dei dati delle operazioni di cessione di beni e prestazioni di servizi transfrontaliere e per l’attuazione delle ulteriori disposizioni di cui all’articolo 1 del decreto legislativo 5 agosto 2015, n. 127”.
Lo schema di provvedimento – in attuazione dell’art. 14 del D.L. 26 ottobre 2019, n. 124, convertito con modifiche dalla Legge 19 dicembre 2019, n. 157, che introduce la memorizzazione dei file delle fatture elettroniche – apporta alcune modifiche al Provvedimento direttoriale 30 aprile 2018 , volte a definire le nuove modalità con cui l’Agenzia memorizzerà e renderà disponibili, al proprio personale e alla Guardia di finanza, i file xml delle fatture elettroniche.
Nello schema di provvedimento in esame viene tra l’altro introdotta la memorizzazione dei cosiddetti “dati fattura integrati” che, in aggiunta alle informazioni già memorizzate nell’ambito dei cosiddetti “dati fattura”, contengono ulteriori dati utili ai fini fiscali, compresi quelli relativi a natura, qualità e quantità dei beni e dei servizi oggetto dell’operazione.
Nello specifico, il Garante ritiene che lo schema in commento disciplini un trattamento di dati in violazione del Regolamento sulla privacy (Regolamento (UE) 27 aprile 2016, n. 2016/679 ), senza alcuna distinzione tra tipologie di informazioni o categorie di interessati e dati personali di dettaglio, anche ulteriori rispetto a quelli necessari a fini fiscali, relativi alla totalità della popolazione, non proporzionato all’obiettivo di interesse pubblico perseguito, non individuando misure di garanzia adeguate per assicurare la protezione dei dati.
