Contrasto all’evasione: si può fare nel rispetto della privacy

Il disegno di legge di bilancio vuole favorire la lotta all’evasione attraverso l’uso della tecnologia. Mancano però le disposizioni specifiche richieste per la limitazione dei diritti di privacy degli interessati. Un emendamento potrebbe introdurle.

Quando si possono limitare i diritti di privacy

L’articolo 86 del disegno di legge di bilancio 2020 ha un evidente obiettivo: migliorare la lotta all’evasione fiscale con le tecnologie di data mining e machine learning. Ma potrebbe non essere sufficiente a centrare questo bersaglio.

L’articolo 86.1 del Ddl esplicita per l’Agenzia dell’entrate la possibilità “previa pseudonimizzazione dei dati personali” (e basta?) di avvalersi “delle tecnologie, delle elaborazioni e delle interconnessioni con le altre banche dati di cui dispone, allo scopo di individuare criteri di rischio utili per far emergere posizioni da sottoporre a controllo e incentivare l’adempimento spontaneo”. Ottimo, con le dovute garanzie.

Il comma 2, invece, estende la possibilità di limitare i diritti degli interessati anche “alle attività di prevenzione e contrasto all’evasione fiscale” (integrando l’articolo 2-undecies, comma 1, lett. a del Testo unico 196/2003).

Questa ultima norma, però, rischia la sterilizzazione in culla perché mancano le disposizioni specifiche richieste per la piena operatività della limitazione dei diritti permessa dall’articolo 23 comma 2 del regolamento UE 2016/679 (cosiddetto Gdpr – General Data Protection Regulation) e dall’articolo 2 sexies Codice della privacy.

È vero che la pseudonimizzazione è una misura specifica utile a tutelare i diritti fondamentali del contribuente e sarebbe prevista in un testo legislativo, ma forse una valutazione di impatto del trattamento non la riterrebbe da sola sufficiente a soddisfare i requisiti richiesti.

A nulla varrebbe fornire disposizioni specifiche a livello di normazione secondaria (per esempio dell’Agenzia delle entrate). La disciplina europea e nazionale è chiara: deve trattarsi di misure legislative o di regolamento, ma solo se il regolamento è previsto da legge.

Basta un emendamento

Del resto, prima ancora di limitare i diritti degli interessati, è utile dirimere ogni dubbio sulla usabilità di tali dati per il contrasto all’evasione.

Se si vuole realmente fare una guerra tecnologica alla evasione fiscale, senza violare i diritti e le libertà fondamentali dei cittadini, bisogna prendere sul serio la normativa privacy e procedere per fasi successive a 1) individuare i fattori di rischio e a 2) implementarli in precise politiche di prevenzione e repressione.

Per fare ciò, però, i dati personali (anche sensibili) devono potere essere legittimamente trattati per le finalità antievasione con le garanzie necessarie. Vediamo come ciò è possibile.

Per i dati sensibili questo trattamento (ovvero, l’uso) dei dati è possibile solo a condizione che esso sia (articolo 9 lett. g Gdpr):

a) necessario per motivi di interesse pubblico rilevante sulla base del diritto italiano (una legge);
b) proporzionato alla finalità perseguita;
c) rispettoso dell’essenza del diritto alla protezione dei dati;
d) preveda misure appropriate e specifiche per tutelare i diritti fondamentali e gli interessi dell’interessato.

Per i dati non sensibili, il trattamento è permesso se in “esecuzione di un compito di interesse pubblico o connesso all’esercizio di pubblici poteri” (articolo 6, comma 1, lett. e, Tu).

In ogni caso è necessaria una norma di legge che individui chiaramente tali finalità di interesse pubblico. Ad oggi, il nostro legislatore ne ha individuato una lista chiusa all’art. 2 sexies Tu.

Ove le attività di contrasto alla evasione fiscale non si ritengano – come io invece ritengo – già comprese tra le attività sanzionatorie e di tutela in sede amministrativa o giudiziaria (lett. q) né tra le attività di controllo e ispettive (lett. l) dell’articolo 2 sexies Tu, sarebbe necessario integrarlo aggiungendo tra le finalità di interesse pubblico la prevenzione e contrasto all’evasione fiscale.

Operativamente basterebbe un emendamento migliorativo all’articolo 86 Ddl bilancio che:

1. integri il Tu aggiungendo all’art. 2 sexies, comma 2: “ee) la prevenzione e il contrasto all’evasione fiscale”. Ogni dubbio sulla legittimità sarebbe così fugato.
2. aggiunga all’articolo 86 del Ddl il seguente testo: “Il ministero delle Finanze, sentito il Garante per la protezione dei dati personali e l’Agenzia per le entrate, determina con proprio regolamento i tipi di dati che possono essere trattati, le operazioni eseguibili nonché le misure appropriate e specifiche per tutelare i diritti fondamentali e gli interessi dell’interessato nei trattamenti di dati personali dell’Agenzia delle entrate volti alla individuazione dei fattori rilevanti per il rischio di evasione fiscale, alla prevenzione e al contrasto della stessa”.

Recepiti questi due emendamenti all’articolo 86 Ddl e previste le garanzie necessarie a rispettare il principio di necessità e proporzionalità del trattamento, la definizione tecnologicamente assistita dei fattori di rischio per la prevenzione e contrasto dell’evasione fiscale e la loro implementazione si giocherebbero interamente sul piano operativo.

La lotta tecnologica all’evasione si può fare nel rispetto della privacy. Basta un emendamento migliorativo all’articolo 86 Ddl bilancio. Cosa aspettiamo?