Source: https://www.studiocerbone.com/garante-protezione-dati-personali-provvedimento-20-dicembre-2018-provvedimento-in-tema-di-fatturazione-elettronica/
Timestamp: 2020-01-21 21:09:18+00:00
Document Index: 123371007

Matched Legal Cases: ['art. 1', 'art. 2', 'art. 36', 'art. 36', 'art. 2', 'art. 6', 'art.10', 'art. 6', 'art. 82', 'art. 2', 'art. 35', 'art. 28', 'art. 36', 'art. 58', 'art. 2', 'art. 58', 'art. 157', 'art. 58', 'art. 58']

GARANTE PROTEZIONE DATI PERSONALI - Provvedimento 20 dicembre 2018 - Provvedimento in tema di fatturazione elettronica - Studio Cerbone
Sei qui: Home » GARANTE PROTEZIONE DATI PERSONALI – Provvedimento 20 dicembre 2018 – Provvedimento in tema di fatturazione elettronica
GARANTE PROTEZIONE DATI PERSONALI – Provvedimento 20 dicembre 2018
Con il provvedimento del 15 novembre u.s., doc. web n. 9059949 (in www.gpdp.it), il Garante ha avvertito l’Agenzia delle entrate del fatto che i trattamenti di dati personali effettuati nell’ambito della fatturazione elettronica ai sensi dell’art. 1 del decreto legislativo 5 agosto 2015, n. 127 e dei provvedimenti n. 89757 del 30 aprile 2018 e n. 291241 del 5 novembre 2018 del Direttore dell’Agenzia, possono violare gli artt. 5, 6, par. 3, lett. b), 9, par. 2, lett. g), 13, 14, 25 e 32 del Regolamento, applicabile dal 25 maggio 2018.
Con la medesima nota, oltre a inviare la valutazione di impatto sulla protezione dei dati effettuata, l’Agenzia ha, altresì, trasmesso, lo schema di provvedimento del Direttore che recepisce le iniziative prospettate, modificando i provvedimenti del 30 aprile 2018 e del 5 novembre 2018. Ciò, anche ai fini di quanto previsto dall’art. 2-quinquiesdecies del Codice che, in attuazione dell’art. 36, par. 5, del Regolamento, prevede che, con riguardo ai trattamenti, effettuati per l’esecuzione di un compito di interesse pubblico che possono presentare un rischio elevato, il titolare deve ottenere l’autorizzazione preliminare del Garante il quale, anche con provvedimenti generali adottati d’ufficio, può prescrivere misure e accorgimenti a garanzia dell’interessato che il titolare è tenuto ad adottare.
L’attuazione di tale obbligo è avvenuta, inoltre, senza individuare, in ossequio ai nuovi principi di privacy by design e by default ora imposti dal Regolamento, misure adeguate, anche di carattere organizzativo, per garantire la protezione dei dati in ogni fase del trattamento, ivi comprese quelle appropriate per assicurare un trattamento corretto e trasparente nei confronti degli interessati, coinvolti anche in qualità di operatori economici (artt. 5, 6, par. 3, lett. b), 9, par. 2, lett. g), 13, 14 e 25 del Regolamento).
Tale trattamento a rischio elevato, essendo effettuato per l’esecuzione di un compito di interesse pubblico, è esaminato, quindi, anche ai sensi dell’art. 36, par. 5, del Regolamento e dell’art. 2-quinquesdecies del Codice.
Analogamente, anche i consumatori che volessero utilizzare tale servizio dovrebbero stipulare un apposito accordo, che costituirebbe la base giuridica per il trattamento da parte dell’Agenzia ai sensi dell’art. 6, par. 1, lett. b), del Regolamento.
Si prende atto positivamente del fatto che, nella nota del 17 dicembre u.s., l’Agenzia ha dichiarato di voler sottoporre all’attenzione dell’Autorità le modalità con cui saranno utilizzati, anche da parte della Guardia di finanza, i dati presenti nei file XML, trattati dall’Agenzia in nome e per conto del contribuente, per le attività di controllo, di cui agli articoli 51 del decreto del Presidente della Repubblica 26 ottobre 1972, n. 633 e 32 del decreto del Presidente della Repubblica 29 settembre 1973, n. 600, ai sensi del decreto ministeriale previsto dall’articolo 1, comma 5, del decreto legislativo n. 127 del 2015. Ciò, attesi i rischi elevati che tali trattamenti, effettuati per compiti di interesse pubblico, presentano per i diritti e le libertà degli interessati (artt. 36, par. 4, del Regolamento e 2-quinquiesdecies del Codice).
Al riguardo, si rappresenta che il nuovo quadro giuridico prevede precise garanzie e adempimenti in relazione ai trattamenti automatizzati di dati personali che, nel caso in esame, presentano rischi elevati per i diritti e le libertà degli interessati e di cui l’Agenzia deve tenere conto, oltre agli specifici obblighi di trasparenza del trattamento nei confronti degli interessati (artt. 5, 6, par. 3, lett. b), 13, 14, 22, par. 2, lett. b), 35 e 36 del Regolamento e 2-quinquesdecies del Codice).
Inoltre, alcuni operatori sanitari hanno chiesto al Garante di chiarire se, alla luce della formulazione dell’art.10-bis, l’eventuale emissione di una fattura elettronica attraverso lo SDI, nonostante il predetto esonero, possa essere ritenuta conforme al Regolamento.
Al riguardo, si rappresenta, in generale, che, alla luce di tale quadro normativo, l’utilizzo del sistema di fatturazione elettronica da parte del professionista non potrebbe essere ritenuto lecito, ai sensi dell’art. 6, par. 1, lett. c) del Regolamento, essendo stato espressamente esonerato dall’obbligo di emissione della fattura elettronica in caso di trasmissione dei relativi dati attraverso il sistema TS.
Con riferimento alle limitazioni di responsabilità, l’Agenzia ha rappresentato che, nello svolgimento dei propri compiti individuati nell’accordo del servizio di conservazione, assicura un’idonea e integrale tutela dei dati personali, adottando tutte le misure tecniche e organizzative adeguate per garantire un livello di sicurezza adeguato al rischio. Ha quindi precisato che le limitazioni di responsabilità, oggetto di rilievo nel provvedimento del Garante, sono riferibili esclusivamente a eventi dannosi non imputabili all’Agenzia ai sensi dell’art. 82, par. 3, del Regolamento. Nell’art. 2 dell’accordo, viene, infatti, previsto che “l’Agenzia, ai sensi dell’articolo 82, paragrafo 2, del Regolamento (Ue) 679/2016 risponde per il danno causato dal trattamento in caso di inadempimento degli obblighi di cui al medesimo Regolamento o qualora agisca in modo difforme o contrario rispetto alle legittime istruzioni del titolare del trattamento. Conseguentemente, l’Agenzia, ai sensi dell’articolo 82, paragrafo 3, del Regolamento, è esonerata da responsabilità nei confronti del Contribuente e nei confronti di altri soggetti, direttamente o indirettamente connessi o collegati con esso, per danni, diretti o indiretti, perdite di dati, violazione di diritti di terzi, ritardi, malfunzionamenti, interruzioni totali o parziali che si dovessero verificare in corso di esecuzione del Servizio se dimostra che l’evento dannoso non gli è in alcun modo imputabile. L’Agenzia, pertanto non è responsabile ove gli eventi dannosi siano connessi o derivanti da: a) fatture elettroniche inviate volontariamente dal Contribuente per la conservazione o trasmesse e ricevute dallo stesso tramite il Sistema di Interscambio, contenenti dati non accurati, o non corretti, o in un formato diverso da quello previsto, o non completi o di scarsa qualità; b) forza maggiore o caso fortuito (anche nella fattispecie di fatto di terzo); c) situazioni oggettivamente al di fuori della sfera di controllo e delle possibilità di intervento dell’Agenzia”.
Inoltre, non risulta che, come previsto dall’art. 35, par. 9, del Regolamento, l’Agenzia abbia raccolto, attraverso le modalità ritenute più opportune, e tenuto in considerazione nell’ambito della valutazione di impatto, le opinioni dei soggetti interessati o dei loro rappresentanti, quali le associazioni di categoria o di consumatori. Anche quando avesse ritenuto non appropriato procedere in tal senso, avrebbe dovuto quantomeno documentare, all’interno del documento, i motivi della mancata raccolta delle opinioni degli interessati.
Più in generale, occorre prestare particolare attenzione alle modalità con cui viene attuato l’obbligo di autorizzazione scritta all’utilizzo di altri responsabili da parte dell’iniziale responsabile del trattamento, in conformità all’art. 28, par. 2, del Regolamento, evitando situazioni che, in concreto, in violazione del principio di accountability, potrebbero privare il titolare di strumenti di controllo delle attività di trattamento effettuate sotto la propria responsabilità.
a) ai sensi dell’art. 36, par. 4, del Regolamento, fornisce parere sullo schema di provvedimento del Direttore dell’Agenzia delle entrate recante “Modifiche ai provvedimenti del Direttore dell’Agenzia delle entrate del 30 aprile 2018 e del 5 novembre 2018”, con le osservazioni riportate in premessa;
b) ai sensi dell’art. 58, par. 3, lett. c), del Regolamento e dell’art. 2-quinquiesdecies del Codice, autorizza l’Agenzia delle entrate ad avviare, a partire dal 1° gennaio 2019, i trattamenti di dati personali a rischio elevato connessi all’obbligo di fatturazione elettronica, nel rispetto dei presupposti e delle condizioni indicate in premessa;
c) ai sensi dell’art. 58, par. 1, lett. a), del Regolamento e dell’art. 157 del Codice, ingiunge all’Agenzia delle entrate di far conoscere all’Autorità:
d) ai sensi dell’art. 58, par. 2, lett. a), del Regolamento, avverte gli operatori economici, gli intermediari e gli altri soggetti delegati nell’ambito della fatturazione elettronica che eventuali trattamenti, effettuati in base a clausole contrattuali analoghe a quelle illustrate al punto 6. della premessa, possono violare gli artt. 5, 6 e 28 del Regolamento;
e) ai sensi dell’art. 58, par. 2, lett. d), del Regolamento, ingiunge all’Agenzia delle entrate di dare idonee istruzioni ai soggetti che erogano prestazioni sanitarie, affinché in nessun caso sia emessa una fattura elettronica attraverso lo SDI concernente l’erogazione di una prestazione sanitaria, a prescindere dall’invio dei dati attraverso il sistema TS;