Fattura elettronica e privacy: cosa ha stabilito il Garante

La fattura elettronica e la privacy sono strettamente collegate: poiché ogni fattura transita attraverso il Sistema di Interscambio (SdI) dell’Agenzia delle Entrate e contiene dati personali dei soggetti coinvolti, il Garante per la protezione dei dati personali è intervenuto più volte per stabilire regole e cautele nel trattamento di queste informazioni. Capire cosa ha stabilito il Garante, come sono trattati i dati nello SdI e quali accorgimenti devono adottare le imprese aiuta a rispettare la normativa senza rinunciare ai vantaggi della fatturazione digitale. Vediamo i punti principali.

Perché la fattura elettronica riguarda la privacy

Una fattura contiene diversi dati personali: nome e cognome, indirizzo, partita IVA e codice fiscale, oltre alla descrizione di beni e servizi. Quando la fattura viene resa elettronica e transita da un sistema centralizzato, la quantità di informazioni gestite in modo automatizzato cresce enormemente. Per questo la privacy della fattura elettronica è un tema delicato: si tratta di dati che, se non protetti adeguatamente, potrebbero rivelare abitudini di consumo, condizioni economiche o, in alcuni casi, informazioni sensibili.

Il caso più critico riguarda i cosiddetti dati particolari (un tempo definiti “sensibili”): ad esempio, la descrizione di una prestazione sanitaria in una fattura può indirettamente rivelare informazioni sullo stato di salute della persona. Il Garante ha posto particolare attenzione proprio su questi aspetti.

Cosa ha stabilito il Garante per la protezione dei dati personali

Il Garante privacy è intervenuto sulla fattura elettronica chiedendo che il sistema fosse conforme ai principi del GDPR, in particolare quelli di minimizzazione dei dati, sicurezza e proporzionalità. Tra le indicazioni e le cautele emerse nel confronto tra Garante e Agenzia delle Entrate rientrano tipicamente:

• La necessità di limitare la memorizzazione dei dati a quanto strettamente necessario per le finalità fiscali;
• L’adozione di misure di sicurezza adeguate per proteggere le informazioni transitanti e conservate;
• Particolare attenzione al trattamento dei dati che possono rivelare informazioni particolari, soprattutto nel settore sanitario;
• La definizione chiara dei ruoli (titolare e responsabili del trattamento) tra i soggetti coinvolti.

Un principio importante affermato riguarda la descrizione delle prestazioni: nelle fatture non dovrebbero comparire dettagli non necessari che rivelino dati particolari. Ad esempio, in ambito sanitario è preferibile una descrizione generica della prestazione piuttosto che l’indicazione di specifiche patologie o terapie.

Come sono trattati i dati nel Sistema di Interscambio

Il Sistema di Interscambio è l’infrastruttura pubblica che riceve, controlla e recapita le fatture elettroniche. Nel suo funzionamento, lo SdI:

• Verifica la correttezza formale del file XML (tracciato FatturaPA) e la validità dei dati obbligatori;
• Recapita la fattura al destinatario tramite il codice destinatario di 7 cifre o la PEC (con 0000000);
• Gestisce le notifiche di consegna, scarto o mancato recapito.

I dati delle fatture vengono inoltre resi disponibili nell’area riservata dei contribuenti e utilizzati dall’Amministrazione finanziaria per finalità fiscali e di controllo, nei limiti stabiliti dalla normativa. Ogni impresa deve inoltre provvedere alla conservazione a norma per 10 anni, adottando sistemi che garantiscano integrità, autenticità e leggibilità nel tempo.

Cosa devono sapere e fare le imprese

Le aziende e i professionisti che emettono fatture elettroniche sono titolari del trattamento dei dati dei propri clienti e devono rispettare gli obblighi del GDPR. Ecco gli accorgimenti principali:

• Informativa privacy: informare i clienti sul trattamento dei loro dati, comprese le finalità legate alla fatturazione elettronica.
• Minimizzazione: inserire in fattura solo i dati necessari, evitando descrizioni che rivelino informazioni particolari non indispensabili.
• Sicurezza: proteggere gli accessi ai sistemi di fatturazione con credenziali robuste e, dove possibile, autenticazione a più fattori.
• Responsabili del trattamento: se ci si affida a un fornitore di software o a un intermediario, formalizzare il rapporto con un accordo che disciplini il trattamento dei dati (nomina a responsabile).
• Conservazione sicura: garantire che le fatture conservate per 10 anni siano protette da accessi non autorizzati.

Attenzione al settore sanitario

Per alcune categorie, come gli operatori sanitari, sono previste regole specifiche riguardo alla trasmissione dei dati (ad esempio verso il Sistema Tessera Sanitaria) e limitazioni proprio a tutela della privacy dei pazienti. In questi casi è essenziale seguire le indicazioni aggiornate delle autorità competenti.

Domande frequenti su fattura elettronica e privacy

La fattura elettronica viola la privacy?

No, se gestita correttamente. Il sistema è stato adeguato ai principi del GDPR su indicazione del Garante; le imprese devono comunque rispettare informativa, minimizzazione e sicurezza dei dati.

Cosa ha chiesto il Garante sulla fattura elettronica?

Ha chiesto misure di sicurezza adeguate, minimizzazione dei dati e particolare attenzione ai dati particolari, come quelli che possono rivelare informazioni sulla salute.

Nelle fatture posso scrivere qualsiasi descrizione?

È preferibile limitare la descrizione a quanto necessario. Soprattutto in ambito sanitario, si dovrebbero evitare dettagli che rivelino informazioni sullo stato di salute della persona.

Per quanto tempo si conservano le fatture elettroniche?

Le fatture elettroniche vanno conservate a norma per 10 anni, con sistemi che ne garantiscano integrità, autenticità, leggibilità e sicurezza.