g-docweb-display Portlet

Sicurezza dei dati e dei sistemi - Osservazioni sul modello "Unico 98" - 26 maggio 1998 [1057820]

Stampa Stampa Stampa
PDF Trasforma contenuto in PDF

[doc. web n. 1057820]

Sicurezza dei dati e dei sistemi - Osservazioni sul modello "Unico 98" - 26 maggio 1998

L´Autorità ha ritenuto inadeguata la soluzione prescelta per la busta contenente il modello "Unico 98" per la dichiarazione dei redditi, ed ha segnalato al ministero delle finanze la necessità di prevedere nelle convenzioni in fase di stipula con l´Associazione bancaria italiana e le Poste italiane S.p.a., precise misure per la sicurezza e la riservatezza dei dati contenuti nelle dichiarazioni.


IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

OSSERVA

Fatto

Con nota via telefax del 14 maggio 1998, con cui è stato preannunciato il successivo invio con plico raccomandato, il Sig. (...) ha proposto ricorso ai sensi dell´art. 29 della legge n. 675/1996, chiedendo al Garante "di voler intraprendere una procedura di infrazione a carico del Ministero delle finanze" relativamente alla procedura in corso per la dichiarazione dei redditi.

Il ricorrente lamenta che la busta contenente tale dichiarazione ("Unico 98" ) reca un´ampia finestra, non protetta da pellicola trasparente, che permetterebbe a chiunque maneggi la busta di prendere facilmente visione dell´intero frontespizio della dichiarazione e dei dati personali ivi riportati, compresi quelli concernenti la destinazione dell´otto e del quattro per mille dell´IRPEF.

Il ricorrente afferma inoltre che la finestra permetterebbe di estrarre facilmente la dichiarazione dalla busta e di apprendere i dati riportati nelle varie pagine del modello, rendendo possibile anche l´eventuale sottrazione abusiva dei "quadri" e dei documenti allegati.

Secondo il ricorrente, l´utilizzo obbligatorio del modello di busta non assicurerebbe "la necessaria e obiettiva sicurezza e riservatezza" e contrasterebbe anzi con varie disposizioni di legge che prevedono una tutela specifica dei dati personali, specie sensibili (artt. 1 e 22 legge n. 675/1996) e che presuppongono un livello elevato di sicurezza (art. 15 legge cit.; art. 2 decreto legislativo 8 maggio 1998, n. 135, che prevede l´adozione di specifiche misure di protezione per il trattamento dei dati da parte dei sostituti d´imposta e dei soggetti comunque incaricati di trasmettere la dichiarazione dei redditi all´Amministrazione finanziaria ai sensi del d.P.R. 29 settembre 1973, n. 600).

In conclusione, il ricorrente chiede di inibire l´utilizzo del modello di busta predisposto dal Ministero delle finanze e sottolinea l´urgenza di una decisione sul ricorso, considerato l´imminente avvio della presentazione delle dichiarazioni (1 giugno 1998).

Con nota del 21 maggio u.s., il Segretario generale di questo Ufficio, quale responsabile del procedimento, ha trasmesso copia del ricorso al Ministero delle finanze (e precisamente al Dipartimento delle entrate e al Segretariato generale) invitandolo a formulare per iscritto ogni considerazione ritenuta utile per le valutazioni del caso.

Il 22 maggio u.s., il Ministero ha fatto presente che le dimensioni della finestra e la sua posizione sulla busta sono prescritte da un decreto del 30 marzo 1998 e che la predisposizione della finestra sarebbe risultata necessaria per consentire all´impiegato bancario o postale che riceve la dichiarazione:

a) di apporre sulla dichiarazione - anziché sulla busta - il numero di protocollo e la data di presentazione, in modo da fornire al contribuente la garanzia dell´avvenuta presentazione, considerato che la dichiarazione dei redditi può essere presentata solo per il tramite di un intermediario quale, appunto, una banca o un ufficio postale;

b) di "individuare velocemente gli elementi utili al rilascio della ricevuta al contribuente (estremi anagrafici, data di presentazione, numero di protocollo, tipo di modello)" .

Secondo il Ministero delle finanze, una diversa soluzione basata su una busta chiusa (o recante una finestra protetta da una pellicola trasparente) renderebbe necessaria l´apertura della busta da parte dell´impiegato ricevente, e permetterebbe così all´impiegato stesso, al momento della presentazione, di prendere visione dell´intero contenuto della dichiarazione.

Il Ministero ritiene che l´attuale esemplare di busta non consentirebbe di prendere conoscenza dell´intero frontespizio della dichiarazione "se non tramite manovre intenzionali" , e non permetterebbe neanche di estrarre la dichiarazione dalla busta "se non apportando evidenti lacerazioni alla busta stessa" .

Il Ministero fa notare anche di aver adottato l´accorgimento di collocare le sezioni della dichiarazione relative alle scelte per l´otto e per il quattro per mille del gettito IRPEF nella parte bassa del modello "Unico 98" , anziché in quella alta come è avvenuto in occasione del modello 740 per il 1997.

In conclusione, il Ministero ritiene soddisfatte sia le esigenze relative al protocollo delle dichiarazioni, sia quelle inerenti alla riservatezza dei contribuenti, anche in considerazione del fatto che gli intermediari bancari o postali devono rispettare specifiche regole di custodia e di sicurezza dei dati che dovrebbero essere previste dalle convenzioni in fase di stipula tra l´Amministrazione delle finanze da un lato, e l´ABI e le Poste italiane S.p.a. dall´altro (art. 12-bis d.P.R. 29 settembre 1973, n. 600, introdotto dall´art. 2 del decreto legislativo 8 maggio 1998, n. 135).

Motivi

Ciò premesso, l´istruttoria risulta adeguatamente svolta e il ricorso va posto in decisione.

Occorre peraltro ricordare che conformemente all´orientamento sinora espresso dal Garante (vedi decisione del 16 ottobre 1997 nei confronti della R.C.S. Editori S.p.a.), i ricorsi proposti ex art. 29 della legge n. 675/1996 -se ammissibili e non manifestamente infondati- possono essere presi egualmente in esame sebbene non sia stato ancora pubblicato il regolamento che individua le regole del contraddittorio applicabili dinanzi al Garante in caso di formale ricorso (art. 33, comma 3, legge cit.). Ciò può avvenire, anche nel caso di specie, considerando l´atto introduttivo dell´odierno procedimento quale "reclamo" ai sensi dell´art. 31 della medesima legge anziché come "ricorso" .

Questa soluzione procedurale permette al Garante:

a) di poter esaminare comunque, nel merito, il "ricorso" del Sig. ...., rendendo superfluo valutare se il Sig. (...) avrebbe dovuto interpellare il Ministero delle finanze prima di proporre ricorso (come deve avvenire di regola ex art. 29, comma 2, della legge n. 675/1996, a pena di inammissibilità del ricorso), o poteva invocare il rischio di un pregiudizio imminente ed irreparabile collegato all´approssimarsi della scadenza del 1 giugno;

b) di poter prendere in esame analoghi esposti e segnalazioni relativi anch´essi alla conformità alla legge n. 675/1996 della procedura adottata per il modello "Unico 98" .

Tra questi ultimi, figura anche un esposto del Sig.. (...), pervenuto il 20 maggio 1998, il quale ha formulato rilievi simili a quelli del Sig...., osservando che il cittadino sarebbe tutelato diversamente nei confronti di uno stesso soggetto - ad esempio, la banca- a seconda che i dati personali siano trattati dalla banca stessa nell´ambito di un normale rapporto bancario (disciplinato in pieno dalle regole "ordinarie" della legge n. 675) o nel quadro dell´illustrata procedura relativa alla dichiarazione dei redditi.

L´esposto sviluppa anche alcune osservazioni critiche sull´art. 2 del citato d.lg. n. 135, il quale avrebbe privato il cittadino del diritto di esprimere liberamente il proprio consenso al trattamento dei dati, prevedendo che per le dichiarazioni presentate nel 1998 "l´informativa di cui all´articolo 10 della legge 31 dicembre 1996, n. 675, s´intende resa attraverso i modelli di dichiarazione ed il consenso di cui al comma 1 è validamente espresso con la sottoscrizione delle dichiarazioni" .

Tutto ciò premesso, va osservato che i rilievi concernenti la busta sono fondati.

L´inadeguata soluzione tecnica prescelta permette all´impiegato che riceve la dichiarazione di prendere facilmente visione dell´intero frontespizio. Questa possibilità è offerta anche ad ogni altro addetto che presti servizio presso i soggetti legittimati a trasmettere la dichiarazione dei redditi all´Amministrazione finanziaria (in particolare banche ed uffici postali) o presso eventuali organismi esterni preposti da questi ultimi -quali "responsabili del trattamento" - all´elaborazione dei dati da inviare telematicamente al Ministero delle finanze, a prescindere dalla circostanza che l´addetto sia designato formalmente quale persona incaricata di ricevere o di elaborare le dichiarazioni.

Si potrebbe osservare che l´impiegato ricevente opera pur sempre presso un soggetto - la banca o l´ufficio postale- al quale il dichiarante si è rivolto fiduciariamente e che, dopo aver ricevuto la dichiarazione, deve aprire necessariamente la busta ed elaborare i dati che vi figurano. Tuttavia, tale osservazione non appare risolutiva in quanto l´impiegato addetto allo sportello con il pubblico può non essere preposto - come avviene di regola - alla concreta attività di elaborazione dati, che anche in base al d.lg. n. 135/1998 può essere affidata a soggetti esterni alla banca o all´ufficio postale.

L´esigenza di apporre un numero di protocollo e la data di presentazione poteva essere soddisfatta con soluzioni diverse e già di uso corrente.

È pur vero che il modello, se estratto abusivamente dalla busta, può comportare una sua piccola lacerazione, ma è anche vero che tale evento, considerata la fragilità della busta, può avvenire frequentemente ed essere considerata nell´entità che riceve la dichiarazione come un accadimento fisiologico e privo di significato per il dichiarante (il quale, peraltro, non sembra disporre di reali garanzie al riguardo).

La busta in questione, a prescindere dalla natura sensibile o meno dei dati riportati sulla dichiarazione, non può ritenersi rispondente ai canoni di sicurezza che l´art. 15, comma 1, della legge n. 675/1996, fissa agli effetti della responsabilità civile, allorché impone al titolare e al responsabile del trattamento di custodire e controllare i dati "in modo da ridurre al minimo, mediante l´adozione di idonee e preventive misure di sicurezza, i rischi di distruzione o perdita, anche accidentale, dei dati stessi, di accesso non autorizzato o di trattamento non consentito o non conforme alle finalità della raccolta" .

Tali canoni, infatti, dovevano essere garantiti anche nell´odierna fase transitoria prevista dall´art. 41, comma 3, della legge n. 675/1996, in quanto questa disposizione obbliga il titolare e il responsabile del trattamento ad evitare comunque un incremento dei rischi di cui al citato art. 15, comma 1, quali quelli che derivano dal prescelto sistema di presentazione della dichiarazione.

Il riconoscimento della fondatezza del reclamo renderebbe necessaria, a rigore, l´immediata sostituzione della busta con un modello più idoneo.

Tuttavia, ciò renderebbe inevitabile un differimento legislativo dei termini di presentazione della dichiarazione, considerati i tempi tecnici necessari per la modifica del decreto di approvazione del modello di busta, per la ristampa e per la distribuzione.

L´eccezionalità della situazione creata dall´imminente scadenza del 1 giugno giustifica, quindi, una diversa soluzione che non può non essere basata su precise ed elevate misure per la sicurezza e la riservatezza dei dati da stabilire attraverso le convenzioni in fase di stipula tra il Ministero delle finanze da un lato e l´ABI e le Poste italiane S.p.a. dall´altro, misure che già secondo il citato art. 12-bis del d.P.R. n. 600 devono essere "specifiche" .

Tali convenzioni, considerata anche la particolarità della situazione verificatasi, dovranno prendere in attenta considerazione le finalità del trattamento curato da banche ed uffici postali (nonché dai soggetti esterni eventualmente designati quali responsabili del trattamento), selezionando il numero di addetti aventi accesso ai dati relativi alle dichiarazioni e prevedendo anche la necessaria designazione degli addetti alla ricezione delle dichiarazioni quali "incaricati" del trattamento (art. 19 legge n. 675/1996).

Il Garante si riserva quindi di esprimere con sollecitudine il proprio parere sullo schema del decreto che deve approvare dette convenzioni ai sensi dell´art. 12 del medesimo d.P.R. n. 600, parere che sarà espresso in conformità alla norma generale che prevede la consultazione del Garante all´atto della predisposizione delle norme regolamentari e degli atti amministrativi suscettibili di incidere sulle materie disciplinate dalla legge n. 675/1996 (art. 31, comma 2, della medesima legge).

A prescindere dal tenore delle convenzioni, va comunque segnalata al Ministero delle finanze la necessità di regolamentare diversamente la procedura, a partire dalla dichiarazione dei redditi da presentare nel 1999.

Inoltre, il d.P.R. n. 600 prevede già la prossima attivazione di una procedura che permetterà al cittadino di rivolgersi fiduciariamente anche ad un libero professionista. Tuttavia, tale opportunità andrebbe affiancata dal ripristino - previa modifica del citato d.P.R. - della possibilità per il cittadino di presentare la dichiarazione direttamente all´Amministrazione finanziaria, per via telematica. Ciò permetterebbe al cittadino di adempiere all´obbligo della dichiarazione senza alcuna intermediazione, riducendo i rischi di improprie diffusioni dei dati.

Le osservazioni sopra formulate valgono anche per quanto affermato nel punto 4 dell´esposto del ..... Quanto ai restanti punti del medesimo esposto, relativi al d.lg. n. 135/1998, va ricordato che all´atto della consultazione che ha preceduto l´emanazione di tale decreto, il Garante ha evidenziato l´irripetibilità della soluzione transitoria attualmente prevista per l´informativa all´interessato e per la manifestazione del consenso, soluzione che pur essendo opportunamente circoscritta ad alcuni aspetti della vicenda (in quanto è accompagnata dalla previsione secondo la quale le convenzioni devono assicurare garanzie adeguate anche in riferimento alla dichiarazione presentata nel 1998), si discosta pur sempre dai canoni che la legge n. 675 prevede, in linea con la normativa comunitaria, a proposito della puntualità dell´informativa e della specificità del consenso.

Tutto ciò premesso, e tenuto conto dei rilievi prospettati dalle parti, il Garante ritiene necessario inviare una segnalazione al Ministero delle finanze ai sensi dell´art. 31, comma 1, lett. c), della legge n. 675, affinché i trattamenti di dati relativi alle dichiarazioni siano resi conformi alle disposizioni vigenti in materia di protezione dei dati.

Roma, 26 maggio 1998

IL PRESIDENTE


Vedi anche (10)