Sintesi del parere del Garante europeo della protezione dei dati su due proposte legislative relative alla lotta contro le frodi in materia di IVA

(Il testo integrale del presente parere è disponibile in inglese, francese e tedesco sul sito web del GEPD www.edps.europa.eu)

(2019/C 140/04)

Sintesi

Con il presente parere, emanato ai sensi dell’articolo 42, paragrafo 1, del regolamento (UE) 2018/1725 del Parlamento europeo e del Consiglio (1), il GEPD formula raccomandazioni volte a ridurre al minimo l’impatto di due proposte della Commissione relative alla lotta contro le frodi in materia di IVA nel contesto del «commercio elettronico» sul diritto fondamentale alla vita privata e alla protezione dei dati personali, garantendo in tal modo il rispetto del quadro giuridico applicabile in materia di protezione dei dati.

In tale contesto, il GEPD sottolinea la necessità di limitare rigorosamente le operazioni di trattamento previste dalle proposte alla finalità della lotta contro la frode fiscale e limitare la raccolta e l’uso dei dati personali a quanto necessario e proporzionato a tal fine. In particolare, rileviamo che, nel contesto di queste proposte, i dati oggetto del trattamento non dovrebbero riguardare i consumatori (pagatori), ma solo le imprese online (beneficiari). Ciò limiterebbe il rischio che le informazioni siano utilizzate per altri scopi, come il controllo delle abitudini di acquisto dei consumatori. Apprezziamo il fatto che la Commissione abbia seguito questo approccio e raccomandiamo vivamente che tale approccio sia mantenuto nei negoziati con i colegislatori per l’approvazione finale delle proposte.

Inoltre, il GEPD desidera sottolineare che, in virtù dell’articolo 42, paragrafo 1, del regolamento (UE) 2018/1725, si attende di essere consultato in merito all’atto di esecuzione che definirà in futuro il formato standard per la trasmissione delle informazioni dai prestatori di servizi di pagamento all’amministrazione fiscale nazionale, prima della sua adozione da parte della Commissione.

Poiché le proposte introdurrebbero, oltre alle banche dati nazionali, una banca dati elettronica centrale (CESOP) sviluppata, mantenuta, ospitata e gestita dalla Commissione, il GEPD rammenta i propri orientamenti sulla governance informatica e sulla gestione informatica. Il GEPD darà seguito alla realizzazione di questo sistema di informazione in qualità di autorità di controllo competente ai sensi del regolamento (UE) 2018/1725.

Infine, il presente parere fornisce orientamenti sulle condizioni e i limiti per le legittime ed appropriate limitazioni dei diritti dell’interessato conformemente al RGPD e al regolamento (UE) 2018/1725.

I. INTRODUZIONE E CONTESTO

1.1. Contesto delle proposte

1. Il 10 settembre 2018 il GEPD è stato consultato in maniera informale dalla Commissione europea sui seguenti progetti di proposte: proposta di direttiva del Consiglio che modifica la direttiva 2006/112/CE per quanto riguarda l’introduzione di taluni requisiti per i prestatori di servizi di pagamento; proposta di regolamento di esecuzione del Consiglio che modifica il regolamento (UE) n. 282/2011 per quanto riguarda taluni obblighi in materia di imposta sul valore aggiunto per taluni soggetti passivi; proposta di regolamento del Consiglio che modifica il regolamento (UE) n. 904/2010 per quanto riguarda misure di rafforzamento della cooperazione amministrativa per lottare contro la frode in materia di IVA nel «commercio elettronico». Il GEPD ha formulato osservazioni informali il 18 settembre 2018. Al riguardo, il GEPD conferma di accogliere con favore la possibilità di scambiare pareri con la Commissione nelle prime fasi del processo di elaborazione delle politiche al fine di ridurre al minimo l’impatto delle proposte sui diritti alla vita privata e alla protezione dei dati ( 2 )

2. Il 12 dicembre 2018 la Commissione europea ha pubblicato una proposta di direttiva del Consiglio che modifica la direttiva 2006/112/CE per quanto riguarda l’introduzione di taluni requisiti per i prestatori di servizi di pagamento (in prosieguo «la proposta di direttiva del Consiglio») ( 3 ) e una proposta di regolamento del Consiglio che modifica il regolamento (UE) n. 904/2010 per quanto riguarda misure di rafforzamento della cooperazione amministrativa per lottare contro la frode in materia di IVA (in prosieguo «la proposta di regolamento del Consiglio» ( 4 ) , in appresso denominate collettivamente «proposte».

3. Il 14 gennaio 2019 la Commissione ha consultato il GEPD ai sensi dell’articolo 42, paragrafo 1, del regolamento (UE) 2018/1725.

4. Il GEPD sottolinea altresì il fatto che il regolamento e la direttiva proposti definirebbero, come ulteriormente sottolineato nel presente parere, operazioni di trattamento dei dati per le quali la Commissione sarebbe titolare del trattamento ai sensi del regolamento (UE) 2018/1725. Rammentiamo, pertanto, che il GEPD è l’autorità di controllo competente per quanto riguarda tale trattamento.

1.2. Contenuto delle proposte

5. Il GEPD osserva che le proposte, che sono accompagnate da una valutazione d’impatto ( 5 ) , mirano ad affrontare il problema delle frodi in materia di IVA connesse al «commercio elettronico» rafforzando la cooperazione tra le autorità fiscali e i prestatori di servizi di pagamento (in prosieguo «PSP»).

6. In particolare, secondo la proposta di direttiva del Consiglio, gli Stati membri dovrebbero adottare una legislazione che garantisca che i prestatori di servizi di pagamento conservino una documentazione delle operazioni di pagamento transfrontaliero per consentire alle autorità fiscali di individuare le frodi in materia di IVA. La proposta di regolamento del Consiglio integra la serie di misure antifrode: a) prevedendo l’obbligo per le autorità competenti degli Stati membri di raccogliere, scambiare e analizzare le informazioni relative alle operazioni di pagamento specificate nella proposta di direttiva del Consiglio, e b) creando un sistema di informazione elettronico centrale («CESOP») in cui gli Stati membri trasmettono le informazioni archiviate a livello nazionale. Il CESOP sarebbe quindi accessibile ai funzionari di collegamento di Eurofisc per l’analisi delle informazioni in esso contenute, ai fini delle indagini sulle frodi fiscali.

7. Il GEPD riconosce gli obiettivi delle proposte e, in particolare, la necessità di regolamentare detta materia stabilendo misure antifrode riguardanti le operazioni di commercio elettronico. Il presente parere intende fornire una consulenza pragmatica su come ridurre al minimo l’impatto del trattamento dei dati personali derivante dalle proposte, garantendo il rispetto della legislazione applicabile in materia di protezione dei dati.

IV. CONCLUSIONI

17. Alla luce di quanto sopra, il GEPD formula le seguenti raccomandazioni: — il considerando 11 della proposta di direttiva del Consiglio e il considerando 17 della proposta di regolamento del Consiglio sulla legge applicabile in materia di protezione dei dati dovrebbero essere modificati come indicato alla sezione 2.1 del presente parere; — l’inserimento della specificazione delle finalità, come stabilito nel considerando 11 della direttiva del Consiglio e nel considerando 17 del regolamento del Consiglio, nel dispositivo dell’atto giuridico della direttiva del Consiglio e del regolamento del Consiglio; — tenendo in considerazione la banca dati centrale «CESOP», la Commissione deve garantire il rispetto delle disposizioni sulla sicurezza del trattamento ai sensi del regolamento (UE) 2018/1725, in particolare seguendo gli orientamenti del GEPD «Guidelines on the protection of personal data in IT governance and management of EU institutions» [orientamenti sulla protezione dei dati personali per la governance informatica e la gestione informatica delle istituzioni dell’UE]; — per quanto riguarda eventuali limitazioni dei diritti degli interessati: i. modificare la formulazione del regolamento (UE) n. 904/2010, modificato dal regolamento (UE) 2018/1541 del Consiglio, conformemente all’articolo 23 del GDPR, per lasciare agli Stati membri la possibilità di adottare limitazioni (sostituendo il termine «limita» con «può limitare»); oppure, nella misura in cui limitazioni sono necessarie, prevederle direttamente nel regolamento (UE) n. 904/2010; ii. inserire, nell’articolo 24 sexies del regolamento del Consiglio, tra gli elementi che la Commissione dovrà definire ulteriormente in un futuro atto di esecuzione, le eventuali limitazioni dei diritti degli interessati ai sensi dell’articolo 25 del regolamento (UE) 2018/1725 e conformemente agli orientamenti del GEPD in materia («Guidance on Article 25 of the new Regulation and internal rules») [orientamenti sull’articolo 25 del nuovo regolamento e norme interne]; — conformemente all’articolo 42, paragrafo 1, del regolamento (UE) 2018/1725, la Commissione deve consultare il GEPD sull’atto di esecuzione relativo al formato elettronico standard per la trasmissione di informazioni dal prestatore di servizi di pagamento all’autorità fiscale competente dello Stato membro in cui il prestatore di servizi di pagamento è stabilito, prima della sua adozione da parte della Commissione.

Bruxelles, 14 marzo 2019 Wojciech Rafał WIEWIÓROWSKI Garante europeo della protezione dei dati

(1) GU L 295 del 21.11.2018, pag. 39.

(2) Cfr. il considerando 60 del regolamento (UE) n. 2018/1725: «Per garantire la coerenza delle norme sulla protezione dei dati in tutta l’Unione, la Commissione, all’atto della preparazione di proposte o raccomandazioni, dovrebbe sforzarsi di consultare il garante europeo della protezione dei dati. La Commissione dovrebbe avere l’obbligo di condurre una consultazione a seguito dell’adozione di atti legislativi o durante la preparazione di atti delegati e atti di esecuzione di cui agli articoli 289, 290 e 291 TFUE e a seguito dell’adozione di raccomandazioni e proposte relative ad accordi con paesi terzi e organizzazioni internazionali di cui all’articolo 218 TFUE se questi incidono sul diritto alla protezione dei dati personali. In tali casi la Commissione dovrebbe avere l’obbligo di consultare il Garante europeo della protezione dei dati, tranne qualora il regolamento (UE) n. 2016/679 stabilisca la consultazione obbligatoria del comitato europeo per la protezione dei dati, ad esempio per le decisioni di adeguatezza o gli atti delegati riguardanti le icone standardizzate e i requisiti dei meccanismi di certificazione».

(3) Proposta di direttiva del Consiglio che modifica la direttiva 2006/112/CE per quanto riguarda l’introduzione di taluni requisiti per i prestatori di servizi di pagamento COM(2018) 812 final, proc. 2018/0412 (CNS).

(4) Proposta di regolamento del Consiglio che modifica il regolamento (UE) n. 904/2010 per quanto riguarda misure di rafforzamento della cooperazione amministrativa per lottare contro la frode in materia di IVA COM(2018) 813 final, proc. 2018/0413 (CNS).

(5) Valutazione d’impatto, documento di lavoro dei servizi della Commissione, che accompagna il documento Proposte di direttiva del Consiglio, un regolamento di esecuzione del Consiglio e un regolamento del Consiglio sulla trasmissione e sullo scambio obbligatori di informazioni sui pagamenti pertinenti ai fini dell’IVA.