Sono arrivati i frutti del
tavolo di lavoro tecnico che Il Garante Privacy ha costituito con la Agenzia delle Entrate per esaminare congiuntamente le criticità che
aveva evidenziato qualche tempo fa e che avevano fatto sperare alcuni in un rinvio dell'
obbligatorietà della fatturazione elettronica tra aziende. A questo lavoro di revisione hanno collaborato anche il Ministero dell’economia e delle finanze, l’Agenzia per l’Italia digitale e le associazioni dei commercialisti (Cndcec), dei consulenti del lavoro (Cnocl) e dei
produttori di software (AssoSoftware).
Il succo di questa collaborazione ha portato a una importante modifica all'impostazione iniziale della fatturazione elettronica e alla richiesta di una seconda linea di intervento. In sintesi,
non ci sarà una banca dati delle fatture dell'Agenzia delle Entrate e saranno memorizzati solo i dati fiscali necessari per i controlli automatizzati. Parallelamente, si spinge perché la fatturazione elettronica
per le prestazioni sanitarie venga eliminata.
Più in dettaglio, il tavolo di lavoro ha considerato innanzitutto le critiche del Garante Privacy sulla conservazione, all'interno del Sistema Di Intescambio (SDI), di una
mole eccessiva di informazioni (anche sensibili) derivate dalle fatture. Una mole che secondo il Garante è spropositata rispetto agli scopi del SDI stesso.
L'Agenzia delle Entrate ha quindi proposto che conserverà l’intero file XML della fattura elettronica
solo per chi aderisca espressamente al servizio di consultazione delle fatture dopo che sono state emesse o solo nei casi in cui questa conservazione integrale è necessaria
per motivi tecnici. In tutti gli altri casi, una volta consegnata la fattura, resteranno memorizzati unicamente i suoi dati fiscali.
Dato però che lo SDI è stato già "programmato" e modificarlo richiede il suo tempo, per evitare disservizi l’Agenzia delle Entrate prevede
un periodo transitorio (fino al 2 luglio 2019) in cui comunque deve procedere alla temporanea memorizzazione di tutti dati contenuti nel file XML delle fatture elettroniche.
La fatturazione elettronica e i dati sensibili
Un altro importante punto sollevato dal Garante Privacy è che le fatture elettroniche legate a particolari tipi di prestazioni (sanitarie e forensi, soprattutto)
contengono o lasciano intuire dati personali sensibili. La gestione di tali dati nell'ambito delle e-fatture, per come è delineata dalle norme attuali, potrebbe comportare una violazione delle leggi sulla protezione delle informazioni personali, da parte tanto dell'Agenzia delle Entrate quanto
dei vari intermediari che offrono servizi per la gestione della fatturazione elettronica.
In questo ambito l’Agenzia delle Entrate
non ha proposto soluzioni, ma il Garante chiede esplicitamente che "
in nessun caso sia emessa una fattura elettronica attraverso lo SDI concernente l’erogazione di una prestazione sanitaria". Sembra difficile che l'Agenzia delle Entrare eviti questa richiesta, quindi dovrebbe a breve dare indicazioni precise in merito.
C'è un accordo esplicito, invece, per quanto riguarda il problema della
poca sicurezza delle connessioni FTP che si possono usare per inviare blocchi di fatture elettroniche allo SDI. L'Agenzia delle Entrate ha comunicato di avviato un piano di
migrazione generale al protocollo SFTP. Inoltre, ha già comunicato a tutti gli enti che dialogano con lo SDI e che ancora utilizzano il protocollo FTP che dal primo gennaio 2019 non sarà possibile usare connessioni FTP non cifrate.
Nulla di fatto invece per la
cifratura delle singole fatture elettroniche in formato XML. L'Agenzia delle Entrate sostiene che una qualsiasi forma di cifratura anche parziale
non è in linea con l'idea che la fattura sia leggibile da chi la emette, chi la riceve, dai soggetti delegati alla gestione delle fatture e dall'Agenzia stessa per i fini che le competono.
Un contrasto da disinnescare per la fatturazione elettronica
Il Garante Privacy
non è stato completamente convinto dalle modifiche alla fatturazione elettronica proposte dall'Agenzia delle Entrate e dalle sue opinioni su alcuni aspetti contrastati.
Resta ad esempio un po' fumosa la posizione delle software house che offrono soluzioni per la gestione della fatturazione elettronica. Secondo il Garante i contratti di licenza/servizio usati per i classici gestionali/ERP non sarebbero sempre in linea con la normativa sulla protezione dei dati personali, soprattutto per i dati di soggetti terzi coinvolti nel processo di fatturazione.
Il nuovo provvedimento del Garante Privacy è comunque un passo importante per
"disinnescare" il contrasto con l'Agenzia delle Entrate. Chi sperava in un rinvio della fatturazione elettronica ha quindi una importante arma in meno, anche se
il rinvio è sempre stato piuttosto improbabile. Tra l'altro, la fatturazione elettronica è stata presentata all'Unione Europea come uno strumento essenziale per combattere l'evasione fiscale legata all'IVA che affligge l'Italia. Proporne un rinvio a questo punto sarebbe un grave danno d'immagine.