La Fattura Elettronica non è conforme al GDPR

Il Garante della Privacy ha fatto sapere tramite una nota che il sistema di fatturazione elettronica che dovrebbe entrare in vigore nel gennaio del 2019 anche per i privati presenta degli evidenti problemi di privacy e sicurezza, sembra infatti che la procedura non sia pienamente conforme al Regolamento generale sulla protezione dei dati (GDPR) entrato in vigore quest'anno oltre a contenere alcune possibili falle di sicurezza.

L'Agenzie dell'Entrate non avrebbe ancora dato risposta al Garante della Privacy, anche se dovrebbe farlo nel più breve tempo possibile visto che l'obbligo di fatturazione elettronica sarà attivo dal primo gennaio. Si tratta della prima volta che l'autorità del Garante della Privacy esercita il potere correttivo di avvertimento, attribuito proprio dal nuovo regolamento europeo.

Il Garante ha rilevato infatti che durante la fatturazione elettronica avviene un trattamento sistematico, generalizzato e di dettaglio su larga scala dei dati personali, che potenzialmente copre ogni aspetto della vita quotidiana dell’intera popolazione. Tale richiesta di dati e informazioni apparirebbe quindi sproporzionata rispetto all'obiettivo di interesse pubblico che si vuole raggiungere con l'obbligatorietà della fatturazione elettronica.

Infatti l’Agenzia, dopo aver recapitato le fatture tramite l'SDI, il sistema di interscambio usato per la fatturazione elettronica, archivierà e utilizzerà i dati anche a fini di controllo.

Tuttavia non saranno archiviati solo i dati obbligatori per motivi fiscali, ma la fattura vera e propria che contiene tutta una serie di informazioni e dati anche molto personali che non sono pertinenti o che comunque non sono utili per fini fiscali. La fattura può contenere ad esempio informazioni sulle abitudini e le tipologie di consumo ma anche dettagli sulla regolarità nei pagamenti, l'appartenenza a particolari categorie di utenti, o addirittura la descrizione delle prestazioni sanitarie e legali richieste. Si tratta dunque di dati sensibili che resterebbero in mano all'Agenzia delle Entrate senza nessun motivo specifico.

La conservazione di tali dati senza una motivazione ben precisa e senza l'esplicito consenso del cittadino costituirebbe una diretta violazione del GDPR e l'Agenzia delle Entrate deve rispettare tale legge che ormai è stata recepita anche dall'Italia. Ma le criticità registrate dal Garante non sono finite, infatti sembra che l'Agenzia abbia scelto di distribuire le fatture solo in formato digitale, scelta condivisibile ma che ignora completamente la volontà del legislatore che ammette anche l'invio in formato cartaceo.

Nuove perplessità inoltre vengono segnalate in merito al ruolo degli intermediari delegabili dal contribuente per la trasmissione, la ricezione e la conservazione delle fatture. Infatti tali servizi dovranno anche essi uniformarsi al GDPR e l'utente dovrà dare un consenso esplicito per la conservazione dei propri dati personali. Lo stesso SDI, inoltre, è ritenuto un sistema non ideo alla trasmissione sicura delle fatture dei cittadini perché sembrano essere assenti forme di cifratura delle fatture elettroniche e questo espone il cittadino a seri rischi per la sua riservatezza.

Via Garante della Privacy