Il Garante della Privacy, con il provvedimento dell’11 novembre 2021, ha dato il via libera agli aggiornamenti delle regole tecniche relative al Processo Tributario Telematico. Le nuove regole modificheranno il Decreto Direttoriale del 4 agosto 2015, uno dei provvedimenti fondamentali dell’informatizzazione del processo avanti alle Commissioni Tributarie.

Le modifiche alle regole tecniche, arrivate dopo sei anni dall’introduzione della normativa che avrebbe dovuto regolare il processo tributario telematico e dopo due anni e mezzo dall’introduzione dell’obbligatorietà del PTT, erano necessarie per perfezionare la disciplina. Fin dalla sua introduzione e già durante le fasi di sperimentazione erano infatti emerse critiche incentrate principalmente sui formati adottati dal Ministero.

Il MEF infatti ha scelto di ammettere solamente pochi formati al deposito informatico (ossia solo PDF/A e TIFF) e di imporre la la firma CAdES (escludendo l’equivalente formato PAdES) su tutti i file oggetto di deposito, e non solo sugli atti dei professionisti. Tali scelte hanno rilevato sin da subito una serie di problematiche, relative in primo luogo alla necessità provare di aver effettuato una notifica tramite PEC, anch’essa imposta dalla normativa sul PTT (unico processo telematico in Italia a imporre la notifica tramite PEC), permettendo di ricorrere a quella cartacea solo nel caso in cui la notifica via PEC non fosse andata a buon fine.

Viste le problematiche, il MEF aveva proposto agli operatori una soluzione parziale, che prevedeva l’introduzione, tramite comunicazione sul portale del processo tributario telematico (SIGIT), di un elenco di formati gestiti dal portale, il cui caricamento avrebbe generato un errore di formato ma ne avrebbe comunque permesso l’acquisizione. Tra i formati gestiti rientrano i formati EML per la prova delle notifiche, nonostante il Decreto Direttoriale del 04 agosto 2015 sembrasse affermare l’opposto, ossia che i soli formati di file ammessi fossero quelli di cui al decreto e quindi PDF/A e TIFF, con la conseguente situazione di incertezza normativa.

Fortunatamente l’art. 16 bis del D.Lgs. n. 546/92 non riporta esplicite sanzioni di inammissibilità del ricorso nel caso di mancato rispetto della regolamentazione tecnica, permettendo così agli operatori un approccio più sereno.

Le regole sulla firma PAdES

La firma PAdEs, inizialmente esclusa a favore del formato CAdES, è stata introdotta dal Ministero a seguito della sentenza della Suprema Corte a Sezioni Unite n. 10266 del 27 aprile 2018, che sancisce il principio dell’equivalenza fra le firme due tipologie di firma elettronica qualificata.

La preferenza verso l’una o l’altra, quindi, non trova un fondamento e per tale motivo dal luglio 2019 il sistema del Processo Tributario Telematico accetta anche le firme in formato PAdES. Al momento dell’introduzione della firma in formato PAdES, tuttavia, le regole tecniche non erano state ancora modificate e perciò il sistema richiedeva ancora la firma in formato esclusivamente CAdES.

Il decreto approvato dal Garante privacy

Il MEF non si è dimostrato sordo alle istanze degli operatori del processo tributario e, seppur con notevoli ritardi, ha provveduto all’introduzione di correttivi, con l’obiettivo di risolvere le problematiche segnalate. Proprio su tali problematiche interviene in decreto all’esame del Garante, che prevede:

  • una modifica alle regole tecniche, in modo da ammettere le firme PAdES ed allineare così lo stato di diritto a quello di fatto;
  • l’inclusione del formato EML tra quelli ammissibili nel PPT: tale formato potrà quindi essere prodotto nel processo tributario senza che siano generati errori di forma;
  • la possibilità di depositare documenti allegati anche non firmati digitalmente.

L’aggiornamento delle regole tecniche prevede inoltre l’introduzione di un meccanismo automatico di controllo della dimensione dei documento informatici nel momento del deposito da parte del ricorrente e del resistente, oltre alla modifica di altri controllo previsti.

Gli operatori del settore hanno accolto positivamente questi interventi, auspicando anche un prossimo aggiornamento degli strumenti per le udienza da remoto, che dallo scorso agosto sono passati da Skype for Business a Microsoft Teams, ma che dovrebbero prevedere, come già sollecitato dal Garante in fase emergenziale, “Una piattaforma “interna”, gestita dagli (o sotto lo stretto controllo degli) organi” della Giustizia tributaria.

Le richieste del Garante privacy in tema di processo tributario telematico

Come avviene spesso, il parere positivo del Garante è vincolato all’introduzione di alcuni correttivi in merito alla privacy. In particolare, il Garante ha approfittato degli aggiornamenti alle regole tecniche per esaminare a fondo i contenuti del edcreto del 04 agosto 2015, adottato prima dell’entrata in vigore del GDPR.

In tal senso, il Garante ha richiesto al MEF di integrare lo schema di decreto in modo da garantire maggiori tutele alla riservatezza dei dati delle persone interessante, in modo da rispettare la normativa europea e italiana in materia di privacy. Ad esempio, l’Autorità chiede che siano definite le responsabilità dei soggetti coinvolti nel trattamento dei dati (ossia Ministero, Commissioni tributarie provinciali e regionali e Commissioni tributarie di I e II grado di Trento e Bolzano), declinando tali responsabilità nelle diverse fasi del trattamento, dalla gestione del fascicolo informatico alla trattazione dei procedimenti.

Prova gratis iContenzioso

Inoltre, il Garante chiede che siano resi espliciti gli obblighi informativi in caso di data breach, ossia di violazione dei dati, prevedendo una condivisione e centralizzazione del dato relativo a un data breach, in modo da garantire che tutti i soggetti coinvolti nel trattamento ne siano a conoscenza.

Inoltre, il decreto dovrà prevedere l’aggiornamento periodico delle misure tecniche e organizzative adottate, in modo da garantire un livello di sicurezza adeguato ai rischi presentati dai trattamenti. In merito all’elenco delle misure di sicurezza necessarie, il Garante rimanda al provvedimento adottato in relazione al processo civile e penale telematico, e in particolare si raccomanda:

  • di seguire le “Raccomandazioni in merito allo standard Transport Layer Security (TLS)” adottate da AgID con determinazione n. 471 del 5 novembre 2020, in particolare nella fase di collegamento nell’area pubblica o privata del SIGIT;
  • di utilizzare algoritmi crittografici per le operazioni di crittografia asimmetrica delle cosiddette “chiavi di sessione”;
  • di rivedere le procedure di autenticazione informatica utilizzate per l’accesso al SIGIT, uniformandole e prevedendo l’utilizzo di credenziali o dispositivi di autenticazione che assicurino, dove possibile, un livello di garanzia elevato;
  • di conservare documentazione relativa alla registrazione di utenti e log relativi all’attività sulla piattaforma (log che devono contenere una serie di informazioni ben determinata e di cui deve essere garantita la completezza, l’immodificabilità, l’autenticità e la riservatezza);
  • di prevedere alert volti a rilevare comportamenti anomali o a rischio relativi alle operazioni di trattamento eseguite dagli utenti;
  • di prevedere l’esecuzione di attività di controllo interno (audit), con cadenza almeno annuale.

L’adozione di queste procedure, nel loro insieme, contribuirà ad aumentare il livello di sicurezza nel PTT, anche se comporteranno adempimenti piuttosto gravosi a carico del Ministero, comprendendo un ripensamento di parte del sistema SIGIT per renderlo più rispettoso delle prescrizioni del Garante.

Credits: Cavan/DepositPhoto