Sintesi del parere del Garante europeo della protezione dei dati su una proposta di modifica della direttiva 2011/16/UE del Consiglio relativa alla cooperazione amministrativa nel settore fiscale

Il testo integrale del presente parere è disponibile in inglese, francese e tedesco sul sito web del GEPD www.edps.europa.eu

(2021/C 96/09)

Con il presente parere, emanato ai sensi dell’articolo 42, paragrafo 1, del regolamento (UE) 2018/1725, il GEPD formula raccomandazioni volte a ridurre al minimo l’impatto di una proposta legislativa della Commissione che modifica la direttiva 2011/16/UE relativa alla cooperazione amministrativa nel settore fiscale sul diritto fondamentale alla vita privata e alla protezione dei dati personali delle persone fisiche. Queste raccomandazioni mirano a garantire il rispetto del quadro giuridico applicabile in materia di protezione dei dati, evitando al tempo stesso di compromettere l’efficacia e l’efficienza dell’azione amministrativa nella lotta all’evasione fiscale.

Pur riconoscendo che l’adempimento degli obblighi fiscali è un importante obiettivo di interesse pubblico, il GEPD insiste sulla necessità di trovare il giusto equilibrio tra il conseguimento di tale obiettivo e il diritto alla vita privata e alla protezione dei dati personali. A tale riguardo, chiede che si presti particolare attenzione all’attuazione dei principi della protezione dei dati fin dalla progettazione e per impostazione predefinita, alla minimizzazione dei dati e all’esattezza degli stessi nel contesto degli scambi automatici di informazioni tra le autorità fiscali nazionali.

In merito alla gestione dell’interfaccia centrale sicura per la cooperazione amministrativa nel settore fiscale, il GEPD sottolinea la necessità per la Commissione di garantire il rispetto delle disposizioni sulla sicurezza del trattamento ai sensi del regolamento (UE) 2018/1725, in particolare seguendo gli orientamenti del GEPD «Guidelines on the protection of personal data in IT governance and management of EU institutions» (orientamenti sulla protezione dei dati personali per la governance e la gestione informatica delle istituzioni dell’UE). Inoltre, il GEPD ritiene che il ruolo della Commissione per quanto riguarda la gestione dell’interfaccia centrale sicura ai sensi del regolamento (UE) 2018/1725 debba essere ulteriormente accertato, in particolare alla luce di eventuali ulteriori accordi con gli Stati membri e delle circostanze fattuali del supporto tecnico e logistico fornito nell’ambito del sistema.

Il GEPD sottolinea inoltre che, ai sensi dell’articolo 42, paragrafo 1, del regolamento (UE) 2018/1725, si aspetta di essere consultato, prima che vengano adottati dalla Commissione, in merito agli atti di esecuzione che definiranno le disposizioni amministrative per la fornitura di supporto tecnico e logistico per l’interfaccia centrale sicura, nell’ambito della quale gli Stati membri comunicano tramite formulari tipo ai sensi della direttiva 2011/16/UE.

Infine, ricorda che, in qualità di autorità di controllo competente ai sensi del regolamento (UE) 2018/1725, il GEPD può seguire gli eventuali aggiornamenti relativi all’interfaccia centrale sicura e, più in generale, le implicazioni derivanti dal ruolo della Commissione nell’ambito delle operazioni di trattamento nel contesto della cooperazione amministrativa in materia fiscale.

1. INTRODUZIONE E CONTESTO

1. Il 2 settembre il GEPD è stato consultato dalla Commissione europea in merito a una proposta di direttiva del Consiglio che modifica la direttiva 2011/16/UE relativa alla cooperazione amministrativa nel settore fiscale, adottata il 15 luglio 2020 (di seguito, la «proposta»). Tale consultazione è effettuata ai sensi dell’articolo 42 del regolamento (UE) 2018/1725.

2. In precedenza, il 29 aprile 2020 e il 5 maggio 2020 sono state presentate al GEPD versioni provvisorie della proposta. Il GEPD accoglie con favore e incoraggia la possibilità di essere consultato dalla Commissione nelle prime fasi del processo di elaborazione delle politiche al fine di ridurre al minimo l’impatto delle proposte sui diritti fondamentali alla vita privata e alla protezione dei dati personali ( 1 )

3. Il GEPD rileva che la proposta intende migliorare il quadro esistente per gli scambi di informazioni e la cooperazione amministrativa ai fini della lotta all’evasione fiscale, tenendo conto della fiscalità diretta e della crescente importanza delle piattaforme digitali utilizzate dai «venditori». Oltre a rafforzare le norme esistenti, la proposta sottolinea che «è necessario estendere la cooperazione amministrativa a nuovi settori nell’UE, al fine di affrontare le sfide poste dalla digitalizzazione dell’economia e coadiuvare le amministrazioni fiscali a riscuotere le imposte in modo migliore e a tenersi al passo con i nuovi sviluppi» ( 2 )

4. Il GEPD riconosce gli obiettivi della proposta e, in particolare, la necessità di affrontare la dimensione transfrontaliera dei servizi offerti tramite i gestori di piattaforme digitali. Come richiamato dal considerando 6 della proposta, «L’adempimento degli obblighi fiscali non è ottimale e il valore dei redditi non dichiarati è significativo. Le amministrazioni fiscali degli Stati membri non dispongono di informazioni sufficienti per valutare e controllare correttamente il reddito lordo realizzato nei rispettivi paesi grazie alle attività commerciali svolte con l’intermediazione di piattaforme digitali. Ciò è particolarmente problematico quando il reddito o la base imponibile transitano attraverso piattaforme stabilite in un’altra giurisdizione» ( 3 )

5. Il presente parere si concentra sugli aspetti rilevanti della proposta per quanto riguarda la protezione dei dati personali delle persone fisiche ed è inteso a fornire un consiglio pragmatico su come ridurre al minimo l’impatto del trattamento dei dati personali richiesto dalla proposta ai fini fiscali, mantenendo al tempo stesso l’efficacia delle misure previste.

3. CONCLUSIONI

20. Alla luce di quanto sopra, il GEPD raccomanda quanto segue: — di seguire un approccio che rispetti i diritti in materia di protezione dei dati, in particolare i principi della protezione dei dati fin dalla progettazione e per impostazione predefinita, della minimizzazione dei dati e dell’esattezza degli stessi nei sistemi creati e utilizzati per lo scambio di informazioni; — di modificare la sezione III, sottosezione B, punto 2, lettera c), dell’allegato V della proposta, al fine di specificare meglio le «informazioni di identificazione» da comunicare e limitarle alle informazioni per l’identificazione finanziaria; — di garantire che l’interfaccia centrale sicura rispetti le disposizioni sulla sicurezza del trattamento ai sensi del regolamento (UE) 2018/1725, in particolare seguendo gli orientamenti del GEPD «Guidelines on the protection of personal data in IT governance and management of EU institutions»(orientamenti sulla protezione dei dati personali per la governance informatica e la gestione informatica delle istituzioni dell’UE); — per quanto riguarda l’interfaccia centrale sicura, di riconsiderare il riferimento al ruolo della Commissione in qualità di «responsabile del trattamento» nella proposta (ai sensi del nuovo articolo 25, paragrafi 2 e 5, della direttiva 2011/16/UE, inserito dall’articolo 1, paragrafo 19, e nel considerando 25 della proposta).

Bruxelles, 28 ottobre 2020 Wojciech WIEWIÓROWSKI

(1) Cfr. il considerando 60 del regolamento (UE) n. 2018/1725: «Per garantire la coerenza delle norme sulla protezione dei dati in tutta l’Unione, la Commissione, all’atto della preparazione di proposte o raccomandazioni, dovrebbe sforzarsi di consultare il garante europeo della protezione dei dati. La Commissione dovrebbe avere l’obbligo di condurre una consultazione a seguito dell’adozione di atti legislativi o durante la preparazione di atti delegati e atti di esecuzione di cui agli articoli 289, 290 e 291 TFUE e a seguito dell’adozione di raccomandazioni e proposte relative ad accordi con paesi terzi e organizzazioni internazionali di cui all’articolo 218 TFUE se questi incidono sul diritto alla protezione dei dati personali. In tali casi la Commissione dovrebbe avere l’obbligo di consultare il Garante europeo della protezione dei dati, tranne qualora il regolamento (UE) n. 2016/679 stabilisca la consultazione obbligatoria del comitato europeo per la protezione dei dati, ad esempio per le decisioni di adeguatezza o gli atti delegati riguardanti le icone standardizzate e i requisiti dei meccanismi di certificazione.»

(2) Cfr. la relazione della proposta

(3) Il GEPD desidera ricordare che le questioni relative all’evasione fiscale in relazione alle piattaforme digitali, tenuto conto della fiscalità indiretta, sono state oggetto del parere 1/2019 del GEPD su due proposte legislative relative alla lotta contro le frodi in materia di IVA, disponibile all’indirizzo: https://edps.europa.eu/sites/edp/files/publication/19-03-15_edps_opinion_on_two_legislative_proposals_relating_to_combating_vat_fraud_en.pdf. In tale parere il GEPD osservava quanto segue: «In particolare, rileviamo che, nel contesto di queste proposte, i dati oggetto del trattamento non dovrebbero riguardare i consumatori (pagatori), ma solo le imprese online (beneficiari). Ciò limiterebbe il rischio che le informazioni siano utilizzate per altri scopi, come il controllo delle abitudini di acquisto dei consumatori. Apprezziamo il fatto che la Commissione abbia seguito questo approccio e raccomandiamo vivamente che tale approccio sia mantenuto nei negoziati con i colegislatori per l’approvazione finale delle proposte.»