A seguito del parere favorevole espresso dal Garante per la protezione dei dati personali con il provvedimento n. 276 del 30 luglio 2022, l’Agenzia delle Entrate ha reso disponibili per la pubblica consultazione i documenti riferiti alla valutazione d’impatto (DPIA), alla logica di funzionamento degli algoritmi utilizzati nello svolgimento delle attività di analisi del rischio e l’informativa privacy relativi all’archivio dei rapporti finanziari.
Archivio dei rapporti finanziari. Di cosa si tratta e cosa contiene
L’archivio dei rapporti finanziari costituisce un’apposita sezione dell’Anagrafe tributaria che contiene le informazioni relative:
- ai conti correnti e agli altri rapporti finanziari di cui un contribuente è titolare o può disporre sulla base di deleghe o procure ad operare (c.d. “sezione anagrafica”);
- alle movimentazioni contabili in forma aggregata, al saldo iniziale, a quello finale e, per alcune tipologie di conto;
- al valore medio di giacenza, che interessano in un anno solare ciascun rapporto continuativo, nonché
- alle operazioni c.d. “extra-conto”, vale a dire effettuate al di fuori di un rapporto continuativo con l’intermediario finanziario (c.d. “sezione contabile”).
L’archivio è stato istituito ad opera dell’articolo 7, sesto comma, del decreto del Presidente della Repubblica 29 settembre 1973, n. 605 (sezione anagrafica) e dell’articolo 11, comma 2, del decreto-legge 6 dicembre 2011, n. 201 (sezione contabile). Il comma 4 del citato articolo 11, ha, inoltre, previsto la possibilità per l’Agenzia delle Entrate di utilizzare le informazioni in esso presenti per le analisi del rischio di evasione.
Il comma 682 dell’articolo 1 della legge 27 dicembre 2019, n. 160, ha stabilito che l’Agenzia delle Entrate, per le suindicate analisi del rischio, possa impiegare, anche previa pseudonimizzazione, i dati personali, le tecnologie, le elaborazioni e le interconnessioni con le altre banche dati di cui dispone, al fine di determinare i criteri di rischio utili a far emergere le posizioni da sottoporre a controllo o nei cui confronti avviare attività di incentivo all’adempimento spontaneo.
Inoltre, il comma 684 del citato articolo 1 ha statuito, nel rispetto del principio di responsabilizzazione di cui all'articolo 35 del regolamento (UE) 2016/679, che l’Agenzia delle Entrate predisponesse una valutazione unitaria di impatto sulla protezione dei dati (Data Protection Impact Assessment - DPIA) da proporre al Garante per la protezione dei dati personali, la quale autorità, il 30 luglio 2022, ha espresso parere favorevole sulla bozza di tale DPIA.
Nel suo parere il Garante ha previsto una serie di indicazioni finalizzate a rendere trasparente il trattamento dei dati personali effettuato e a pubblicare una sintesi della DPIA sul sito delle Entrate.
Individuazione del rischio fiscale
L’Agenzia delle entrate, dunque, utilizza le informazioni contenute nell’Archivio dei rapporti
finanziari, anche interconnesse con quelle presenti nelle altre banche dati a sua disposizione, e, avvalendosi di opportune tecnologie informatiche, applica le metodologie di analisi più adatte per individuare i criteri di rischio utili a far emergere le posizioni caratterizzate da un maggior livello di rischio fiscale, inteso come il rischio di operare in violazione di norme di natura tributaria, ovvero in contrasto con i principi o con le finalità dell’ordinamento tributario.
Per indagare le possibilità di concrettizzazione di un rischio l’Amministrazione finanziaria impiega metodologie basate su tecniche di analisi di carattere sia deterministico che stocastico, che vengono implementate sui soli dati contenuti nell’Archivio dei rapporti finanziari, ovvero su detti dati collegati, preventivamente o successivamente, con quelli contenuti nelle altre basi dati.
Per analisi deterministica si intende una tecnica di analisi basata sul raffronto e sull’elaborazione dei dati, riferiti ad uno o più contribuenti ovvero ad uno o più periodi di imposta, volta a riscontrare, tramite lo studio di relazioni non probabilistiche, l’avveramento di un rischio fiscale chiaramente definibile prima dell’avvio dell’analisi;
Per analisi stocastica, si intende invece tecnica di analisi che, sfruttando algoritmi supervisionati e non supervisionati di modellazione statistica e machine learning, consente di: a) ridurre la platea di riferimento per le analisi deterministiche, individuando i soggetti che presentano caratteristiche di particolare anomalia; b) graduare il livello di rischiosità
fiscale dei contribuenti presenti nel dataset di controllo; c) misurare preventivamente,
attraverso l’impiego di opportune tecniche, il livello di accuratezza delle analisi, riducendo ’incertezza dei risultati e, dunque, la probabilità di selezionare “falsi positivi”.
Le fasi di analisi del rischio non sono effettuate esclusivamente mediante applicativi di learning machine, ma anche con l’intervento di operatori umani, inoltre, il trattamento dei
dataset di analisi non prevede l’utilizzo di dati particolari di cui all’articolo 9 e quelli giudiziari di cui all’art. 10 del Regolamento (UE) 2016/679.
Le analisi del rischio di evasione potranno basarsi:
- sui soli dati dell’Archivio dei rapporti finanziari;
- sui dati dell’Archivio dei rapporti finanziari che, dopo l’effettuazione di una prima elaborazione eseguita in applicazione del criterio di rischio individuato, vengono successivamente collegati alle informazioni presenti nelle altre banche dati a disposizione dell’Agenzia delle entrate;
- sulle informazioni presenti nelle altre banche dati a disposizione dell’Agenzia delle entrate, alle quali, dopo l’effettuazione di una prima elaborazione eseguita in applicazione del criterio di rischio individuato, vengono successivamente collegati i dati dell’Archivio dei rapporti finanziari;
- sull’integrazione dei dati dell’Archivio dei rapporti finanziari con le informazioni presenti nelle altre banche dati a disposizione dell’Agenzia delle entrate, effettuando, successivamente, le elaborazioni necessarie a riscontrare il criterio di rischio individuato.
I limiti al diritto di intervento da parte dell’Agenzia delle entrate a seguito delle informazioni ottenute mediante l’analisi dei dati contenuti nell’archivio sono indicati nel Decreto del MEF del 28 giugno 2022.
Come avviene la mappatura del rischio fiscale e l’individuazione del tax gap
La mappatura dei rischi di evasione si basa, a livello macro, sulle stime del gap fiscale, o
tax gap, che sono presentate annualmente alle Camere tramite la “Relazione sull’economia non osservata e sull’evasione fiscale e contributiva”, che viene redatta dall’apposita Commissione istituita in base all’articolo 10-bis.1, comma 3, legge 31 dicembre 2009, n. 196.
Il tax gap misura la differenza tra le imposte realmente corrisposte e quelle che si
riscuoterebbero in un sistema caratterizzato da una situazione di perfetto adempimento
spontaneo.
La declinazione del tax gap avviene su base territoriale, per categoria di contribuenti e per settore di attività economica; ciò consente di definire la mappa dei rischi di evasione che occorre sorvegliare.
Questa mappa individua le aree e/o le macro-categorie da porre sotto osservazione ma, in
quanto aggregata, non permette di identificare i contribuenti a maggior rischio di evasione.
La definizione dei criteri in base ai quali selezionare i contribuenti da sottoporre a controllo,
o ai quali inviare le comunicazioni di invito all’adempimento spontaneo, rappresenta la
seconda fase del processo di analisi del rischio ed è volta ad intercettare in maniera puntuale i fenomeni da cui origina il tax gap (rectius: l’assessment gap)
Come vengono selezionati i soggetti sottoposti ad analisi
I soggetti da analizzare vengono selezionati a partire dal fenomeno oggetto di analisi e, quindi, del cluster di riferimento, che rappresenta una porzione della popolazione complessiva dei contribuenti.
Specificamente, i macro-fenomeni che assumono rilevanza in materia fiscale sono:
- l’evasione, che nasce da condotte tese all’occultamento, totale o parziale, dei redditi e del patrimonio, in diretta violazione delle norme fiscali;
- l’abuso del diritto, che consiste nel rispetto formale della normativa fiscale, cui si accompagna, però, un aggiramento della ratio della stessa o dei principi generali dell’ordinamento tributario, realizzato a mezzo di comportamenti privi di sostanza economica ed aventi quale fine essenziale l’ottenimento di un indebito vantaggio fiscale;
- la frode, che si esprime come una forma particolarmente grave di evasione, poiché
consiste nell’occultamento doloso di base imponibile e/o di imposta, attuato mediante
atti o fatti decettivi, idonei ad impedire l’attività di controllo.
Il processo dunque verrà così effettuato:
- Individuazione della platea di riferimento;
- Scelta delle basi dati;
- Creazione del Dataset di Analisi;
- Analisi (ricorsiva)della qualità dei dati;
- Definizione del criterio di rischio;
- Scelta ed implementazione del modello di analisi;
- Verifica della corretta applicazione del modello;
- Creazione del Dataset di Controllo;
- Test su un campione casuale rappresentativo della popolazione;
- Eventuale invio di comunicazioni per stimolare l’adempimento spontaneo degli obblighi tributari (in presenza dei requisiti previsti dalla normativa in materia di ravvedimento operoso);
- Attività di controllo;
- Monitoraggio.
Nella valutazione di impatto sono riportate in elenco le banche dati che l’Agenzia intende impiegare per la creazione dei dataset di analisi e sono rappresentati i possibili modelli di analisi, comprensivi del ricorso a tecniche di machine learning supervisionate e non supervisionate, da impiegare per identificare i soggetti la cui posizione è caratterizzata dalla ricorrenza di uno o più rischi fiscali.
Periodicamente e nel rispetto di quanto stabilito nelle «Linee guida sul processo
decisionale automatizzato relativo alle persone fisiche e sulla profilazione ai fini del
regolamento 2016/679» - emanate dal Gruppo di lavoro articolo 29 per la protezione dei dati – l’Agenzia delle entrate pubblicherà una nota contenente le informazioni maggiormente
significative sulla logica utilizzata dagli algoritmi, nonché sulle banche dati usate nelle attività al fine di assicurare ai contribuenti la trasparenza dell’attività di analisi del rischio e delle tecniche di profilazione utilizzate.
La nota informativa verrà pubblicata prima dell’avvio delle attività di analisi del rischio che utilizzano una data metodologia di machine learning.
Fase di invio delle comunicazioni per invitare l’adempimento spontaneo degli obblighi
tributari
L’Agenzia delle entrate invierà ai contribuenti selezionati una comunicazione nella quale verranno evidenziate le anomalie dichiarative riscontrate in esito alle attività di analisi del rischio.
La comunicazione non ha valore provvedimentale e, di conseguenza, non produce alcun
effetto giuridico lesivo nella sfera giuridica del contribuente.
Qualora il contribuente non provveda, a seguito della suddetta comunicazione, a rettificare l’anomalia dichiarativa e non fornisca elementi idonei a giustificarla, non viene automaticamente considerato inadempiente, con la conseguenza che nei suoi confronti non è attivabile nessuna delle misure precauzionali applicabili ai contribuenti c.d. “morosi”.
Con la comunicazione, il contribuente viene soltanto allertato a verificare autonomamente la propria posizione fiscale, così da poter, eventualmente, correggere gli errori commessi o le omissioni riscontrate avvalendosi dell’istituto del c.d. “ravvedimento operoso”, beneficiando così della riduzione delle sanzioni, prima che inizi la fase istruttoria volta all’emissione di un provvedimento impositivo.
Con particolare riferimento al processo di stimolo dell’adempimento spontaneo, così
come in tutte le altre fasi del processo di analisi del rischio, viene sempre garantito l’intervento
umano.
Le analisi risultanti dal processo automatizzato verranno ulteriormente sottoposte ad analisi dalle Direzioni Regionali che acquisiranno maggiori informazioni sui contribuenti selezionati dalle Direzioni Provinciali , in tutte le fasi del procedimento verrà garantita l’effettiva partecipazione del contribuente.
L’informativa posta a corredo del documento di valutazione del rischio indica tra le altre informazioni, le modalità attraverso cui esercitare i diritti dei contribuenti rispetto ai loro dati personali, ossia tramite istanza, da presentarsi attraverso l’apposita procedura presente nell’area personale del contribuente del sito web di Agenzia delle Entrate o, in alternativa, tramite un’istanza da inviare presso la sede legale dell’Agenzia, in Via Giorgione n. 106 – 00147 Roma, ovvero ad uno dei seguenti indirizzi di posta elettronica: entrate.updp@agenziaentrate.it, agenziaentratepec@pce.agenziaentrate.it o direttamente al Responsabile della Protezione dei Dati personali.