Rapporto tra verifiche fiscali e diritto alla privacy

Nella recente circolare n. 1/2018 della Guardia di Finanza è stato dedicato un apposito spazio al tema del rapporto tra l’attività ispettiva e il “trattamento” dei dati acquisiti in occasione di verifiche e/o controlli. Si riporta qui di seguito una sintesi di quanto evidenziato nel documento di prassi.

1) La privacy sul piano normativo

Le diverse disposizioni riguardanti la materia della protezione dei dati personali sono state compendiate nel D.Lgs. 30/06/2003, n. 196, modificato dal D.Lgs. 28/05/2012 n. 69, recante il “Codice in materia di protezione dei dati personali”, ovvero il c.d. Testo Unico Privacy.
I primi due articoli del Codice Privacy sono rappresentativi dei principi generali su cui poggia il T.U.:
Art. 1 (Diritto alla protezione dei dati personali)
Chiunque ha diritto alla protezione dei dati personali che lo riguardano.
Art. 2 (Finalità)
1. Il presente testo unico, di seguito denominato "codice", garantisce che il trattamento dei dati personali si svolga nel rispetto dei diritti e delle libertà fondamentali, nonché della dignità dell'interessato, con particolare riferimento alla riservatezza, all'identità personale e al diritto alla protezione dei dati personali.
2. Il trattamento dei dati personali è disciplinato assicurando un elevato livello di tutela dei diritti e delle libertà di cui al comma 1 nel rispetto dei principi di semplificazione, armonizzazione ed efficacia delle modalità previste per il loro esercizio da parte degli interessati, nonché per l'adempimento degli obblighi da parte dei titolari del trattamento.
Nel Titolo 3 del D.Lgs. n. 196/2003 (intitolato “Regole generali per il trattamento dei dati”) sono presenti gli articoli dedicati al concetto di “trattamento” dei dati e ai vari aspetti che lo riguardano.
E proprio nell’ambito dell’attività di verifica fiscale il “trattamento dei dati” del contribuente costituisce un aspetto essenziale dell’azione ispettiva, posto che viene effettuato per lo svolgimento della funzione di controllo istituzionale.

2) Trattamento dei dati nell’attività di verifica fiscale

Come emerge dalla lettura del “Manuale operativo in materia di contrasto all’evasione e alle frodi fiscali” (ovvero la circolare n. 1/2018 del Comando Generale della Guardia di Finanza), ai sensi dell’art. 18, comma 4 del Codice Privacy, i soggetti pubblici e nella fattispecie i verificatori nell’esercizio delle loro funzioni, non devono richiedere il consenso dell’interessato per il “trattamento” dei dati personali.
Pertanto, come specificato dalla Guardia di Finanza: “[…] i funzionari dell’Amministrazione, per effetto dei poteri istruttori ad essi conferiti dalle norme tributarie, possono accedere a qualsiasi informazione, documentale o d’altra natura, del soggetto controllato, anche senza il suo consenso, nonché chiedere a quest’ultimo o a terzi notizie circa i rapporti intercorsi con altri.
Al ricorrere delle condizioni previste dalle norme fiscali per l’esercizio di tale specifica facoltà ispettiva, non potrà essere invocata la legge sulla privacy per sottrarsi al relativo dovere di fornire risposta; infatti, se la regola generale è che i privati possono procedere al trattamento di dati personali solo con il consenso espresso dell’interessato, tale consenso non è necessario quando si tratti di adempiere ad un obbligo previsto dalla legge, da un regolamento o dalla normativa comunitaria e, quindi, per osservare gli obblighi di riscontro sanciti dalle leggi tributarie, la cui violazione è peraltro sanzionata in via amministrativa.”.
Rimane inteso, però, che durante le operazioni ispettive i verificatori non possono esimersi dall’osservare le prescrizioni dettate dalla normativa in tema di riservatezza, soprattutto in riferimento all’adozione delle misure minime di sicurezza e ai diritti dell’interessato.
Interessante risulta l’approccio espresso nella circolare qui in commento con riguardo ai “dati sensibili”, fra i quali rilevano principalmente quelli riguardanti le condizioni di salute.
A tal proposito l’art. 66 del Codice Privacy (“Materia tributaria e doganale”) considera di rilevante interesse pubblico le attività dei soggetti pubblici dirette all’applicazione, anche tramite i loro concessionari, delle disposizioni in materia di tributi, in relazione ai contribuenti, ai sostituti e ai responsabili d’imposta, nonché in materia di deduzioni e detrazioni e per l’applicazione delle disposizioni la cui esecuzione è affidata all’Agenzia delle Dogane e dei Monopoli.
Alla luce del suddetto dettato normativo, la circolare 1/2018 evidenzia come i verificatori siano pienamente legittimati, fra l’altro, a consultare, raccogliere, elaborare e utilizzare ai fini dell’attività di verifica la documentazione dell’esercente una professione sanitaria riguardante i rapporti intrattenuti con la clientela, anche qualora dalla stessa si rilevino le condizioni di salute degli assistiti, senza che il soggetto controllato possa opporre la natura “sensibile” dei dati ivi contenuti, ferma restando, si intende, ogni forma di responsabilità in caso di uso delle notizie acquisite per finalità diverse da quelle strettamente necessarie per le finalità istituzionali.
Le rilevanti finalità di interesse pubblico valgono anche per i dati “giudiziari” ed anche per questi, pertanto, nessuna opposizione potrà essere validamente opposta sulla base della normativa in tema di privacy, in sede di verifica, laddove la Guardia di Finanza intenda esaminare la documentazione dell’esercente una professione forense dalla quale sia possibile rilevare notizie attinenti alle vicende giudiziarie dei clienti.
Nel documento di prassi viene comunque messo in risalto il fatto che i verificatori devono tenere presenti i vincoli posti dallo speciale sistema di protezione della privacy del soggetto controllato e di quelli che, a qualsiasi titolo, vengono coinvolti nell’azione di controllo.
In tal senso viene rimarcato che chi causa un pregiudizio ad altri per effetto del trattamento di dati personali è tenuto al risarcimento ai sensi dell’art. 2050 c.c., per il quale chiunque cagioni danno ad altri nello svolgimento di un’attività pericolosa, per sua natura o per la natura dei mezzi adoperati, è tenuto al risarcimento se non prova di avere adottato tutte le misure idonee ad evitare il danno stesso.
Il documento di prassi però conclude il percorso argomentativo affermando che qualora in concreto non venga prodotto alcun danno, ovvero se questo sia la risultanza di atti o iniziative adottate da terzi che non presentano alcun nesso di necessaria consequenzialità con le scelte istruttorie adottate nel corso di una verifica fiscale, oppure, ancora, se le finalità del controllo e le connesse esigenze di completezza ed esaustività dello stesso non avrebbero potuto, né giuridicamente, né materialmente, essere perseguite con diverse modalità da quelle effettivamente poste in essere, oppure avrebbero potuto essere perseguite diversamente solo a seguito di aggravi esorbitanti, difficilmente la responsabilità dei verificatori appare sostenibile.

3) Nota della Redazione

Si ritiene che quanto affermato nell'articolo è applicabile anche dopo il Regolamento Europeo entrato in vigore il 25 maggio 2018