Analisi informatizzate del rischio fiscale ancora orfane del regolamento attuativo e del parere del Garante privacy. A distanza di due anni e mezzo dalla disposizione normativa contenuta nell’articolo 2 del Dlgs n.13/2024 che ha razionalizzato le attività informatizzate di analisi del rischio fiscale, non hanno ancora visto la luce i regolamenti attuativi che devono, tra le altre cose, definire “le misure adeguate a tutela dei diritti e delle libertà degli interessati” (ovvero dei contribuenti ndr).
La necessità di un apposito provvedimento regolamentare attuativo di natura secondaria, è espressamente previsto nel comma 4 del già citato articolo 2 del Dlgs n.13 del 12 febbraio 2024.
Tale disposizione normativa prevede infatti che: “limitatamente alle attività di analisi del rischio condotte dall’Agenzia delle entrate, d’intesa con il Dipartimento delle finanze del Ministero dell’economia e delle finanze…” attraverso “..un regolamento del Ministro dell’economia e delle finanze, sentito il Garante per la
protezione dei dati personali..”, vengano “definite le limitazioni ai diritti del GDPR dei contribuenti per garantire che i controlli fiscali e le attività di analisi del rischio non siano pregiudicati” ed inoltre, come già anticipato, anche le misure adeguate a tutela dei diritti e delle libertà degli interessati.
Nel panorama normativo è presente un regolamento attuativo che ha trattato il tema dei diritti dei contribuenti che possono essere limitati per l’analisi del rischio fiscale.
Si tratta del Decreto Ministeriale del 28 giugno 2022, emanato in attuazione della Legge n.160/2019 disciplinante le attività di analisi di rischio fiscale sull’archivio dei rapporti finanziari attraverso l’interconnessione delle banche dati, l’uso di algoritmi (come l’algoritmo Ve.R.A.) e la limitazione temporanea dei diritti di accesso, rettifica e cancellazione da parte dei contribuenti.
Questo decreto non può essere però utilizzato in sostituzione di quello richiesto dalle nuove disposizioni perché appare non rispettoso delle disposizioni di cui agli articoli 2-undecies, comma 3, del codice in materia di protezione dei dati personali di cui al decreto legislativo 30 giugno 2003, n. 196, nonché dell’ articolo 23, paragrafo 1, del regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio del 27 aprile 2016, che, proprio ai sensi del citato comma 4, devono essere invece pedissequamente rispettate.
L’assenza dei provvedimenti attuativi e del parere del Garante della Privacy, aprono scenari piuttosto inquietanti che meritano di essere qui espressi.
Tornando all’assenza del regolamento attuativo bisognerebbe chiedersi se tale mancanza abbia o meno influito sullo svolgimento delle analisi di rischio effettuate a far data dal febbraio 2024 in avanti.
L’incremento del gettito tributario legato alle attività di accertamento e di compliance fiscale, lascerebbero presagire che le analisi del rischio sono state nel frattempo effettuate nonostante la mancanza di tale regolamento attuativo e quindi, per quanto qui di interesse, in assenza di specifiche misure a tutela dei diritti e delle libertà dei contribuenti.
Se così fosse, bisognerebbe capire quali conseguenze giuridiche potrebbero affliggere gli atti del procedimento tributario attivati sulla base di un’analisi di rischio priva della necessaria regolamentazione attuativa richiesta dalla legge.
Questa vicenda apre un ulteriore aspetto non certo secondario. Le procedure e le metodologie con le quali vengono condotte le analisi del rischio fiscale, utilizzo di tecniche di intelligenza artificiale comprese, avvengono in assenza di alcun confronto fra l’amministrazione finanziaria e le categorie rappresentative dei contribuenti.
Si tratta di un aspetto che più volte il Garante della Privacy ha evidenziato quale palese anomalia nelle valutazioni d’impatto effettuate sul tema nel corso di questi anni.
L’amministrazione finanziaria deve aprire dei tavoli invitando le categorie rappresentative dei contribuenti e le professioni economico-contabili, per spiegare come intende muoversi e con quali metodologie su un terreno così delicato e complesso.
Allo stesso tempo l’emanazione del regolamento attuativo e il parere del Garante Privacy sono imprescindibili: in loro assenza le stesse attività di analisi di rischio fiscale, così come individuate in via generalizzata, dalla riforma fiscale, risultano prive dei loro requisiti essenziali sia a tutela dell’azione amministrativa sia a tutela dei contribuenti interessati.
