I DATI SUI CONTO CORRENTI SONO TRASMESSI A PARTIRE DA QUEST’ANNO
(Public Policy) – Roma, 16 nov – L’Authority per la privacy
ha espresso parere favorevole sullo schema di provvedimento
del direttore dell’Agenzia delle entrate, Attilio Befera. Il
provvedimento riguarda l’attuazione dell’articolo 11 del
decreto Salva Italia (n. 201 del 2011) che stabilisce
l’obbligo per gli operatori finanziari, banche, Posta, Sim,
Sgr, fiduciarie e assicurazioni di comunicare ogni
informazione relativa ai conto correnti, a partire da
quest’anno.
Le informazioni riguarderanno i titolari dei conto
correnti, saldo iniziale e finale, importi totali degli
accrediti e degli addebiti e ai rapporti finanziari per la
cosiddetta “comunicazione integrativa annuale”.
Il garante per la privacy si era già espresso ad aprile
sulla questione mettendo in guardia dai rischi di sicurezza
per l’alto numero di dati e informazioni sensibili che
verranno maneggiate dall’Agenzia delle entrate.
LE NUOVE NORME PER PROTEGGERE I DATI DEI CORRENTISTI
Il nuovo schema di provvedimento, quindi, prevede una
maggiore sicurezza nella trasmissione dei dati attraverso un
“Sistema di interscambio” (Sid) che utilizzerà per
interfacciarsi con gli operatori finanziari di un software
messo a disposizione dall’Agenzia delle entrate. È un nuovo
sistema, diverso da quello inizialmente individuato, che
consente di realizzare procedure di trasmissione “totalmente
automatizzate” rende noto il garante.
Banche e operatori finanziari potranno utilizzare due
strumenti di trasmissione: un server Ftp o la posta
certificata (Pec), in caso di file di piccole e medie
dimensioni (fino a 20 Mb).
La trasmissione dei file competerà “esclusivamente
all’operatore finanziario”, senza intermediari e dovrà usare
“meccanismi automatizzati di estrazione, composizione,
compressione e cifratura”. Si creerà quindi, un file cifrato
che sarà trasmesso attraverso il sistema Ftp e conservato
“per il tempo strettamente necessario allo scambio dei dati”
continua l’authority. I dati poi contenuti nel Sid saranno
conservati per sei anni, passati i quali verrano
automaticamente cancellati.
Verranno messe in atto
anche “misure e accorgimenti” da parte degli operatori
finanziari affinché siano minimizzati i rischi di accessi
abusivi e trattamenti non consentiti del canale di
trasmissione Ftp o della posta certificata. In particolare
il garante ha messo l’accento sui piccoli operatori “che non
riescono ad automatizzare completamente la procedura di
estrazione e invio”.
LE LISTE SELETTIVE
Saranno create delle liste con i contribuenti “a maggior
rischio d’evasione”. Il provvedimento ad hoc del direttore
dell’Agenzia non è ancora pronto ma dovrà comunque essere
vagliato dall’Authority. E anche nel caso di utilizzo dei
dati raccolti per i controlli Isee (Indicatore della
situazione economica equivalente) dovrà essere stabilita una
procedura che verrà vagliata dal garante.
IL SISTEMA SID
Il sistema di trasmissione Sid, che è messo a punto dalla
SoGei Spa, non è ancora pronto e lo sarà per la fine
dell’anno. Anche qui il Garante si riserva di testarlo, dal
punto di vista della segretezza dei dati, prima che venga
utilizzato.
LE CRITICITÀ CHE ANCORA RIMANGONO
Nel suo parere, e nonostante il sistema Sid non sia ancora
pronto e quindi “testabile”, il Garante sottolinea alcuni
punti critici che l’Agenzia deve considerare nel suo
provvedimento quando sarà finalizzato. Questi sono:
1 – i file devono essere cifrati, sia quando vengono
trasmessi con l’Ftp sia con la posta certificata.
2 – capire il livello di cifratura che consente l’Ftp, “al
fine di ridurre le fragilità insite nel protocollo Ftp
rispetto ad accessi abusivi”.
3 – la registrazione degli operatori deve avvenire
anch’essa su canali di trasmissione sicuri;
4 – verificare l’utilizzo di Java nelle fasi successive
all’estrazione del file per garantire che sia sicuro;
5 – i dati trasmessi con la posta certificata devono essere
cancellati dai server di posta una volta completata la
procedura di invio. (Public Policy)
