PRESIDENZA DEL PRESIDENTE
MAURIZIO CASASCO

La seduta comincia alle 8.20.

Sulla pubblicità dei lavori.

PRESIDENTE. Comunico che la pubblicità dei lavori della seduta odierna sarà assicurata anche tramite l'impianto audiovisivo a circuito chiuso e la trasmissione in diretta sulla web-tv della Camera dei deputati.

Audizione del direttore dell'Agenzia delle entrate Ernesto Maria Ruffini.

PRESIDENTE. L'ordine del giorno reca, nell'ambito dell'indagine conoscitiva sulla sicurezza delle banche dati dell'Anagrafe tributaria e tutela della riservatezza dei dati dei contribuenti, l'audizione del direttore dell'Agenzia delle entrate, avvocato Ernesto Maria Ruffini.
L'avvocato Ernesto Maria Ruffini, direttore dell'Agenzia delle entrate, è accompagnato dal dottor Paolo Savini, vicedirettore dell'Agenzia e capo divisione dei servizi, dal dottor Sergio Cristallo, direttore centrale del coordinamento normativo, e dal dottor Sergio Mazzei, capo del settore comunicazione.
Nel cedere con piacere la parola all'avvocato Ruffini, lo ringrazio della presenza, insieme a tutti i collaboratori, ai dirigenti, con la riserva per me e per i colleghi, al termine del suo intervento, di rivolgere domande e formulare osservazioni.
Mi complimento per quello che ha fatto, avvocato, per i risultati ottenuti anche nello scorso anno e per tutta l'attività dell'Agenzia delle entrate, che è molto preziosa per il Paese ed è oggetto anche dell'ampliamento del titolo e dell'oggetto dell'indagine conoscitiva della Commissione, perché è giusto un equilibrio tra la tutela e la riservatezza dei dati e la lotta all'evasione. È evidente che l'equità e l'equilibrio tra le parti devono essere garantite sia nell'anonimato e nella riservatezza, sia, ovviamente, nel contrasto all'evasione nell'interesse del Paese.
Cedo la parola all'avvocato Ruffini.

ERNESTO MARIA RUFFINI, direttore dell'Agenzia delle entrate. Mi permetta, presidente, prima di iniziare, di estendere i suoi ringraziamenti e il suo riconoscimento al lavoro delle donne e degli uomini che ogni giorno prestano la loro attività in Agenzia delle entrate e Agenzia delle entrate e riscossione, perché è a loro che va ascritto il risultato, il direttore si limita semplicemente a battere il tempo, non a suonare gli strumenti.
Presidente, onorevoli commissari, desidero ringraziare questa Commissione per l'opportunità concessa all'Agenzia delle entrate di fornire il proprio contributo nell'ambito dell'indagine conoscitiva sulla sicurezza delle banche dati dell'Anagrafe tributaria a tutela della riservatezza dei dati dei contribuenti.
Negli ultimi anni, l'Agenzia delle entrate ha posto in essere, per il perseguimento dei propri fini istituzionali, un processo di trasformazione digitale, che interessa tutta l'azione amministrativa, volto a garantire una maggiore semplificazione dei rapporti con i contribuenti sia nell'erogazione dei servizi, sia nella fase dei controlli fiscali, sempre nel rispetto della privacy dei cittadini.
L'Agenzia aggiorna annualmente la propria strategia digitale allo scopo di valorizzare al massimo il patrimonio informativo Pag. 4a sua disposizione, garantendo al tempo stesso la legittimità degli accessi, tema caro a questa Commissione, e più in generale la sicurezza e la protezione dei dati.
Per la progettazione e la realizzazione delle soluzioni tecnologiche, incluse quelle relative alla cybersecurity e alla protezione dei dati, l'Agenzia si avvale della società Sogei, sulla base di un contratto esecutivo definito nell'ambito di un atto regolativo stipulato tra il Ministero dell'economia e delle finanze, il Dipartimento delle finanze e la stessa Sogei, finalizzato allo sviluppo, all'evoluzione, alla conduzione operativa del Sistema Informativo della Fiscalità, il cosiddetto SIF.
L'Agenzia delle entrate è titolare di un ampio patrimonio informativo, ben conosciuto da questa Commissione, costituito da numerose banche dati anche di grandi dimensioni, eterogenee per strutture e contenuto, soggette a costante aggiornamento e con un importante profondità temporale.
Tale patrimonio informativo viene costantemente incrementato sia dei dati che l'amministrazione acquisisce direttamente nell'ambito dei processi amministrativi di propria competenza, sia dei flussi informativi provenienti da enti esterni, per effetto di specifiche disposizioni normative.
Si tratta in particolare di informazioni che provengono all'Agenzia per il tramite di comunicazioni trasmesse attraverso i canali digitali, sia direttamente dai contribuenti o da loro intermediari abilitati, sia da altri enti esterni. Il patrimonio così costituito alimenta e aggiorna costantemente i database e le piattaforme di analisi e applicativi informatici, progettati e gestiti a livello centrale ed utilizzati dalle strutture territoriali dell'Agenzia e da enti esterni abilitati all'accesso a queste banche dati, nonché, naturalmente, da parte degli stessi cittadini, imprese e intermediari attraverso servizi on line messi a disposizione.
L'Agenzia ha inoltre definito una complessiva strategia di sviluppo di tecniche di analisi sui cosiddetti big data, anche mediante l'utilizzo di tecniche di intelligenza artificiale, finalizzato a superare tradizionali tecniche di analisi a favore di approcci innovativi, in linea con lo stato dell'arte della rapida evoluzione tecnologica in quest'ambito.
L'Agenzia delle entrate insieme all'Agenzia di riscossione si è dotata di un sistema di gestione per la protezione dei dati personali, realizzato secondo standard internazionali, dando così attuazione al principio dell'accountability, della responsabilizzazione dei singoli operatori e degli enti che ne fanno uso, che impone al titolare del trattamento dei dati personali di mettere in atto misure tecniche e organizzative adeguate per garantire ed essere in grado di dimostrare che ogni trattamento è effettuato conformemente al Regolamento generale sulla protezione dei dati.
Si tratta di uno strumento di carattere organizzativo e gestionale, utilizzato per rispettare in modo visibile e dimostrabile anche ex post i criteri e i requisiti previsti dalla normativa europea e nazionale in materia di protezione dei dati personali.
In particolare, questo sistema ha lo scopo di definire il contesto del trattamento dei dati personali, individuare e classificare le risorse e gli strumenti impiegati nel trattamento, identificare e gestire i rischi connessi al trattamento, incrementare la competenza e la consapevolezza del personale riguardo alla sicurezza e ai rischi connessi al trattamento dei dati personali, applicare i princìpi e le regole imposte dalla normativa nazionale ed europea, incrementare la fiducia dei portatori di interesse e rafforzare l'immagine e l'affidabilità dell'organizzazione.
Le regole di accesso e di utilizzo degli applicativi e delle banche dati gestite dall'Agenzia delle entrate sono ispirate rispetto ai princìpi di necessità, pertinenza, non eccedenza e minimizzazione del trattamento dei dati personali, che sono previsti dal Regolamento generale della protezione dei dati e dal Codice in materia di protezione dei dati personali.
Ogni utente, pertanto, è abilitato dal diretto responsabile ad accedere solo agli applicativi informatici e alle banche dati, tra cui l'Anagrafe tributaria, di cui ha bisogno per eseguire i compiti e le mansioni che gli vengono affidati.Pag. 5
Tutte le applicazioni, prima di consentire qualsiasi trattamento dei dati, interagiscono nel sistema di controllo accessi, affinché tutti gli operatori che vogliano accedere siano preventivamente identificati e autenticati, e ne sia verificata sui sistemi l'autorizzazione all'accesso.
L'autenticazione dell'operatore avviene sempre utilizzando almeno un fattore di autenticazione, la password di accesso, sottoposta ad una specifica password policy con opportune caratteristiche di sicurezza, quali la lunghezza minima, la scadenza e il blocco in caso di ripetuti errori di inserimento.
La gestione dell'abilitazione è supportata da uno specifico applicativo informatico, con l'obiettivo di promuovere e garantire la coerenza tra le linee di lavoro richieste e quelle effettivamente necessarie alle funzioni svolte da ogni dipendente e utente del sistema, sia al momento della concessione dell'abilitazione all'accesso alle informazioni contenute nella banca dati, sia durante il successivo svolgimento dell'attività lavorativa.
La regolamentazione prevede in linea generale la verifica delle abitazioni con frequenza trimestrale, ma essa deve essere effettuata ogniqualvolta si renda necessario, ad esempio a seguito di cambio di mansione di uno o più operatori o quando un operatore sia assegnato all'ufficio o trasferito ad altro ufficio.
Il Codice di comportamento dei dipendenti dell'Agenzia, inoltre, detta specifiche e dettagliate disposizioni per l'utilizzo dei sistemi informatici e per l'accesso alle banche dati. Ne consegue che i comportamenti tenuti dai dipendenti in contrasto con queste disposizioni costituiscano innanzitutto un illecito disciplinare con l'applicazione di sanzioni e, in alcuni casi, finanche espulsivo, ricorrendone i presupposti, e, in alcuni casi, illecito penale per violazione dell'articolo 615-ter del codice penale.
Sotto il profilo del controllo successivo e del contrasto agli accessi abusivi svolto dall'Agenzia, rilevano i seguenti strumenti: il tracciamento di tutti gli accessi e degli utilizzi dei sistemi informatici, con lo scopo di raccogliere e analizzare le informazioni dei log e delle operazioni effettuate.
Il sistema di tracciamento, i cui dati sono gestiti e conservati da Sogei, costituisce una fondamentale misura di dissuasione nei confronti degli operatori, attesa la possibilità di ricostruire le attività di accesso, collegandole a una precisa identificazione dell'utente e della posizione da cui accede.
Sulla base dei log di accesso, la registrazione sequenziale e cronologica delle operazioni effettuate da un sistema informatico, vengono raccolte evidenze per individuare eventuali attività illecite, svolte sui sistemi informativi, utili per finalità di audit interno nei confronti del personale dipendente o per rispondere a possibili richieste di informazioni provenienti dall'autorità giudiziaria.
Sono stati sviluppati percorsi di analisi informatizzata dei dati relativi agli accessi alle banche dati, finalizzati ad evidenziare comportamenti potenzialmente anomali degli operatori.
Gli esiti di tali analisi costituiscono fonti di innesco per successivi approfondimenti istruttori o per lo svolgimento di indagini amministrative ed eventualmente per segnalazione agli organi disciplinari e all'autorità giudiziaria.
Un ulteriore applicativo informatico, in uso dal febbraio 2018 e sviluppato anche in attuazione di misure tecniche e organizzative richieste dal Garante per la protezione dei dati personali, consente di individuare e inviare automaticamente a ogni responsabile di struttura segnalazioni di accessi potenzialmente anomali, effettuati dagli operatori del suo ufficio ai dati dell'Anagrafe tributaria da alcuni applicativi informatici di maggior utilizzo.
Ogni responsabile di struttura, a seguito della segnalazione ricevuta, ha l'obbligo di verificare la legittimità di questi accessi. Sono considerati anomali gli accessi effettuati durante i giorni feriali, in caso di mancata presenza in sede del dipendente, o quelli effettuati durante l'orario notturno o durante i giorni festivi (questo in linea generale, poi ci sono evidentemente anche i controlli di altro genere).Pag. 6
Nell'ambito del costante processo di evoluzione e di ammodernamento degli strumenti di cui stiamo parlando, è attualmente in fase di analisi e di sviluppo con il partner tecnologico Sogei un'ulteriore implementazione delle modalità di accesso a Serpico, mediante l'introduzione di ulteriori controlli bloccanti.
La digitalizzazione e la modernizzazione della pubblica amministrazione si fondano – perché poi tutto questo si basa sull'esistenza delle basi dati di cui siamo titolari – anche sulla costruzione di un'infrastruttura digitale, basata sull'efficiente utilizzo delle informazioni immesse nel sistema informativo pubblico e quindi in possesso della pubblica amministrazione nel suo complesso, richiedendo, come ben noto a questa Commissione, ai cittadini i dati necessari alla fruizione di un pubblico servizio una sola volta. Vengono quindi messi a disposizione i dati che Agenzia delle entrate possiede anche a tutti gli altri enti, in modo tale che questi possano richiederli a noi e non debbano uno per uno richiederli al cittadino.
In coerenza a tale principio, i dati contenuti nell'Anagrafe tributaria, nella quale confluiscono le informazioni di carattere fiscale dei contribuenti, sono resi disponibili dall'Agenzia ad una vasta platea di pubbliche amministrazioni ed enti, che svolgono attività di interesse pubblico e che li utilizzano per semplificare gli adempimenti a carico dei cittadini e per incrementare l'efficienza ed efficacia delle proprie attività istituzionali.
A questo fine, l'Agenzia ha definito da tempo un catalogo di servizi standard di cooperazione informatica, che sono messi a disposizione degli altri enti, catalogo che consente di rendere noti i servizi offerti in materia di scambio di informazioni con le relative modalità di erogazione, dandone visibilità alle categorie di enti che accedono alle banche dati, considerazione delle finalità e delle normative di riferimento.
Per alcune categorie di enti è stato definito un panel di servizi standard in continua evoluzione, che consente di uniformare il trattamento e di velocizzare l'iter di convenzionamento, cioè la sottoscrizione di convenzioni, necessario per l'accesso a tali informazioni.
Nel rispetto di quanto previsto dalla normativa sulla protezione dei dati personali, i servizi sono messi gratuitamente a disposizione degli enti per l'esercizio delle loro funzioni istituzionali, in virtù di una norma di legge o di un Regolamento che autorizza l'ente all'accesso, attraverso un processo di autorizzazione per finalità richieste, riconosciute pertinenti dall'Agenzia.
In linea generale, esistono tre differenti modalità di accesso controllato ai dati di cui noi disponiamo da parte di soggetti enti terzi: consultazione on line, con la quale gli utenti abilitati possono effettuare interrogazioni relative a informazioni presenti in Anagrafe tributaria, fornitura massiva, mediante la quale le informazioni presenti in Anagrafe tributaria vengono rese disponibili attraverso scambi di flussi su protocollo di comunicazione sicuro, interoperabilità con l'interazione diretta machine-to-machine, in una specifica cornice amministrativa e di sicurezza tra sistemi dell'Agenzia e quelli di utenti esterni.
Veniamo adesso al monitoraggio dell'accesso a queste informazioni, innanzitutto l'accesso e integrazione da parte la Guardia di finanza. Come è noto, la Guardia di finanza accede ad alcune applicazioni dell'Agenzia delle entrate per i fini della Guardia di finanza tramite un'infrastruttura di federazione, e accede al sistema informatico dei servizi anche catastali tramite servizi telematici dedicati.
L'accesso federato è consentito esclusivamente per richieste che avvengano dalla rete della Guardia di finanza, sulla base di accordi che, tra l'altro, comprendono specifiche policy di sicurezza e, tramite il tracciamento adottato dalla singola applicazione utilizzata, è possibile risalire all'effettivo operatore della GdF che ha avuto accesso all'applicazione, alle operazioni effettuate e ai dati consultati, quindi viene identificato il soggetto.
Per quanto riguarda la modalità di autenticazione, identificazione e gestione degli utenti, la Guardia di finanza adotta una procedura che prevede la verifica sistematicaPag. 7 e la revisione periodica delle abilitazioni, secondo i requisiti di sicurezza propri e nel rispetto dei requisiti previsti dalla normativa vigente.
Gli utenti della Gdf autorizzati ad accedere agli applicativi dell'Agenzia delle entrate sono appartenenti al corpo della Guardia di finanza, ai quali è stato attribuito dall'amministratore utenze del Corpo uno specifico profilo di abilitazione, previa individuazione da parte dei Comandi dei reparti interessati. Al fine di garantire l'effettiva rispondenza delle abilitazioni attribuite agli utenti con le funzioni effettivamente svolte dagli stessi, è prevista la verifica sistematica, periodica delle abilitazioni.
Agenzia delle entrate, tramite Sogei, procede al tracciamento degli accessi, degli applicativi e delle operazioni compiute da ciascun utente della Guardia di finanza e, in particolare, gli accessi e le operazioni compiuti sugli applicativi sono associati a un codice identificativo, che permette esclusivamente al predetto corpo, non all'Agenzia delle entrate, di identificare univocamente l'utente che ha effettuato l'accesso e l'operazione.
Anche la Guardia di finanza procede al tracciamento degli accessi agli applicativi effettuati dagli utenti del corpo ed effettua controlli periodici anche a campione, per il tramite di ciascun Comandante di reparto, al fine di verificare il rispetto delle disposizioni regolamentari, comunicandone in caso di criticità l'esito all'Agenzia delle entrate. Quest'ultima comunica tempestivamente alla Guardia di finanza di eventuali anomalie rilevate nell'utilizzo degli applicativi in esame da parte degli utenti del corpo.
Vi sono poi accessi di altri enti della fiscalità, perché, oltre la Guardia di finanza, anche altri enti come il Dipartimento delle finanze, l'Agenzia delle dogane e dei monopoli, l'Agenzia del demanio accedono ad alcune applicazioni interne dell'Agenzia rivolte ai propri dipendenti, tra cui principalmente l'applicativo Serpico. I meccanismi di autentificazione degli utenti sono propri di ciascun ente, così come le politiche di gestione del ciclo di vita dell'utenza e i profili autorizzativi assegnabili agli operatori di questi enti, che sono stati previamente definiti con l'Agenzia non sono modificabili autonomia dagli enti stessi.
Questi ultimi sono invece autonomi nell'abilitare i loro operatori tramite i propri gestori utilizzando workflow di autorizzazione definiti da ciascuna struttura.
Ci sono poi accessi da parte di enti esterni al Sistema informativo della fiscalità, al SIF, e sono di due tipologie: accessi ai dati anagrafici e fiscali e consultazione dei dati dell'archivio dei rapporti finanziari. In entrambi i casi è previsto un sistema di controllo accessi, che impone all'utente di autenticarsi e possedere specifiche autorizzazioni per poter accedere alle informazioni. I profili di abilitazione sono attribuiti all'utente dal rispettivo amministratore dell'ente, con l'eccezione dell'archivio dei rapporti finanziari, per i quali l'intero ciclo di vita delle utenze e delle abilitazioni è gestito dall'Agenzia delle entrate.
In relazione proprio a quest'ultimo tipo di consultazione dati dell'archivio dei rapporti finanziari è presente un doppio livello di autorizzazione interno all'applicazione, che impedisce l'accesso diretto al dato, quindi l'utente di primo livello inserisce le richieste di accesso ai dati e un altro utente di secondo livello deve autorizzare l'accesso. Tutte le misure di sicurezza descritte sono state approvate dietro confronto costante dal Garante per la protezione dei dati personali.
Specifiche modalità di accesso alle applicazioni in uso ai dipendenti di Agenzia delle entrate sono previste per utenti appartenenti al Ministero dell'interno, alla Direzione investigativa antimafia, al raggruppamento operativo speciale dei Carabinieri del ROS e alla Presidenza del Consiglio dei ministri.
Veniamo all'attività di analisi del rischio fiscale e alla valutazione di impatto relativa al trattamento dei dati personali nell'ambito di questa attività dell'Agenzia.
In linea generale, è utile sottolineare l'esistenza di quella che, in termini economici, si definisce l'asimmetria informativa, che è alla base dell'esistenza della nostra Pag. 8base dati, l'asimmetria informative tra l'amministrazione finanziaria e i contribuenti. Le informazioni relative all'esistenza del presupposto per la debenza del tributo e la misura del prelievo sono infatti perlopiù in possesso del contribuente, cioè il comportamento anomalo o legittimo di un contribuente è innanzitutto a conoscenza del contribuente che lo pone in essere. L'Agenzia non ha quella diretta conoscenza, la ha soltanto sulla base dei dati che vengono inseriti nel patrimonio informativo delle basi dati.
Il fisco deve pertanto acquisire, direttamente o indirettamente, le informazioni necessarie al perseguimento dei propri fini istituzionali. Questa asimmetria informativa può essere ridotta mediante l'utilizzo delle banche dati a disposizione dell'amministrazione finanziaria, nell'ambito delle quali è condotta l'attività di analisi dei fenomeni evasivi.
Al riguardo, il legislatore ne ha fornito una specifica definizione. Si tratta in particolare di un'attività che, tramite l'utilizzo integrato delle banche dati di cui dispone l'amministrazione finanziaria, è volta a individuare i contribuenti che presentino un profilo di rischio fiscale, inteso quale rischio di operare colposamente o dolosamente in violazione di norme di natura tributaria o in contrasto con i princìpi e con le finalità dell'ordinamento tributario.
L'attività di analisi del rischio viene ovviamente svolta rispettando in modo rigoroso i dettami della normativa in materia di tutela dei dati personali.
Di seguito, per ragioni anche di chiarezza, saranno esposti separatamente gli adempimenti svolti per conformarsi alla normativa sulla privacy e quelli derivanti da specifiche prescrizioni formulate dall'Autorità garante dei dati personali.
Il Regolamento privacy ha previsto nuove tutele a favore degli interessati e nuovi obblighi a carico dei titolari e responsabili del trattamento dei dati personali. Tra le principali novità introdotte, vi sono quelle relative all'analisi del rischio e alla valutazione di impatto, cosiddette DPIA, sulla protezione dei dati.
L'analisi del rischio e la protezione dei dati è una procedura finalizzata a descrivere un trattamento dei dati personali, valutarne la necessità e la proporzionalità, nonché la conformità legale, e a gestire gli eventuali rischi per i diritti e le libertà delle persone fisiche da esse derivanti, effettuando una valutazione del livello del rischio e determinando le misure tecniche, informatiche e organizzative idonee a migliorarlo e a mitigarlo.
L'analisi del rischio e la valutazione di impatto sulla protezione dei dati rappresentano dunque uno strumento essenziale per la tutela dei dati personali e sono diretta espressione del principio della responsabilizzazione che abbiamo accennato prima, l'accountability, in forza del quale ciascun titolare deve in prima battuta auto valutare il livello di rischio dei propri trattamenti e adottare le necessarie misure di tutela.
Nonostante la predisposizione dei documenti DPIA non sia sempre obbligatoria, l'Agenzia delle entrate per ogni tipologia di analisi del rischio svolta ha sempre redatto il documento di valutazione di impatto, così da massimizzare la tutela dei diritti degli interessati.
Come si dirà meglio nel prosieguo, in alcuni casi i documenti DPIA sono stati inviati all'Autorità garante per l'approvazione preventiva. Tale passaggio, tuttavia, non è derivato dalla valutazione del rischio residuo, bensì delle previsioni legislative espresse, che disciplinano l'utilizzo di alcune banche dati.
Nel contesto del Regolamento privacy è possibile individuare tre categorie di atti ai fini della loro protezione: i dati personali comuni, che si riferiscono a caratteristiche generiche delle persone fisiche, i dati particolari, che concernono aspetti come lo stato di salute, gli orientamenti sessuali, le opinioni politiche e altri simili, i dati giudiziari, quelli relativi cioè a condanne penali e ai reati, ovvero a connesse misure di sicurezza personale o patrimoniale.
Questa distinzione non è meramente descrittiva, perché le diverse categorie di dati soggiacciono a regole di trattamento differenziati. In particolare, accanto a un Pag. 9nucleo di regole comuni, per i dati particolari giudiziari sono previsti invece adempimenti specifici.
Ciò premesso, è necessario evidenziare che l'Agenzia delle entrate non gestisce database popolati con dati particolari giudiziari. Tuttavia, alcune informazioni fiscalmente rilevanti possono essere indirettamente espressive di un dato particolare. Un esempio classico è quello relativo allo stato di salute, che potrebbe essere desunto anche attraverso l'ammontare delle spese mediche portate annualmente in detrazione.
Per massimizzare le tutele degli interessati nello svolgimento dell'attività di analisi del rischio, i dati suscettibili di essere utilizzati per inferire informazioni particolari non sono oggetto di trattamento individuale. A titolo esemplificativo, le detrazioni fiscali relative a spese mediche non vengono separatamente visualizzate in data set di analisi, ma solo in forma aggregata con le altre spese fiscalmente detraibili, sostenute dal contribuente. Questa è una misura per evitare la violazione dei dati personali.
In tutti i processi di analisi del rischio svolti dall'Agenzia delle entrate l'intervento umano è sempre garantito a monte e a valle del procedimento. I percorsi di analisi utilizzati sono infatti interamente sviluppati dal personale dell'Agenzia, che quindi ha il pieno dominio di questi processi. Le elaborazioni prevedono sempre delle fasi di test intermedie, volte a verificare che le operazioni eseguite corrispondano a quelle programmate.
In ultimo, gli output delle attività di analisi del rischio non sono utilizzati per creare provvedimenti impositivi in automatico, bensì vengono trasmessi dalle strutture di controllo che, dopo un'ulteriore valutazione, decidono verso quali soggetti avviare un'attività istruttoria, che viene svolta nel pieno rispetto del principio del contraddittorio, ultimamente potenziato, come ben sapete, dalla revisione dello Statuto dei diritti del contribuente.
Nell'ambito dell'attività di analisi del rischio vengono poi utilizzate diverse soluzioni software, che si differenziano per il grado di flessibilità delle elaborazioni effettuabili. Gli analisti hanno a disposizione degli applicativi cosiddetti «verticali», che sono piccoli tecnicismi che permettono di analizzare dei fenomeni preimpostati in sede di progettazione, come applicativi dedicati alla fatturazione elettronica oppure l'individuazione dei soggetti che hanno omesso la dichiarazione pur avendo percepito componenti di redditi imponibili.
In questo caso, in ossequio ai princìpi che regolamentano la materia, i dati utilizzabili sono quelli riferiti allo specifico fenomeno che si intende investigare.
Le piattaforme di analisi avanzata dei dati consentono di sviluppare dei progetti ispettivi, usando liberamente i dati presenti in Anagrafe tributaria, ferme restando le limitazioni previste dall'Autorità garante.
Inoltre, vengono utilizzati dei software che permettono l'implementazione di algoritmi. Il personale addetto a tale ultima attività è in possesso di una particolare qualificazione professionale in ambito ingegneristico, econometrico, statistico, fisico, così da assicurare sempre un livello qualitativo delle elaborazioni.
Negli ultimi anni abbiamo creato degli uffici ad hoc, con delle professionalità ad hoc per poter potenziare la possibilità di utilizzo di questi dati, perché originariamente il dipendente all'Agenzia delle entrate era competente di diritto tributario e non di queste materie, che poi si sono rese necessarie con l'evoluzione tecnologica.
In relazione alle prescrizioni specifiche che il Garante della privacy ha richiesto all'Agenzia delle entrate in relazione a determinati set informativi a nostra disposizione, si evidenzia in particolare quelle relative all'archivio dei rapporti finanziari, che costituisce un'apposita sezione dell'Anagrafe tributaria ed è una base dati che contiene le informazioni relative ai conti correnti e agli altri rapporti finanziari, di cui un contribuente è titolare o può disporre sulla base di deleghe o procure, e alle movimentazioni contabili in forma aggregata (saldo iniziale e finale) e per alcune tipologie di conta al valore medio di giacenza, che interessano in un anno solare ciascun rapporto continuativo, nonché all'operazione extra conto.Pag. 10
Questo archivio è stato istituito nel 1973 con l'articolo 7, comma 6 del decreto del Presidente della Repubblica n. 605 del 1973, poi riformato nel 2011, e, senza ripercorrere le singole evoluzioni normative, siamo arrivati al 2022 ad un provvedimento del Garante per la protezione dei dati personali, che finalmente, dopo un serrato confronto e interlocuzioni costanti con l'Agenzia delle entrate, ha espresso favorevole parere rispetto alla valutazione di impatto privacy.
Una parte di questo parere è consultabile, non tutto per ragioni relative alle linee guida sull'azione di contrasto all'evasione fiscale, ed è un parere favorevole sulla valutazione di impatto che l'Agenzia ha fatto in merito al trattamento dei dati inseriti e utilizzati dall'Agenzia dei rapporti finanziari dei contribuenti. Questo parere contiene alcune prescrizioni che dovevano essere adempiute prima dell'avvio dell'attività di analisi del rischio, come l'effettuazione anche di alcune pubblicazioni sul sito istituzionale dell'Agenzia delle entrate, e così è stato fatto.
Per salvaguardare le esigenze di riservatezza e l'attività istituzionale dell'Agenzia delle entrate ed evitare l'adozione di condotte suscettibili di eludere i controlli, di cui vi dicevo prima, in aderenza alle linee guida del Comitato europeo di protezione dei dati non sono stati forniti tutti gli elementi di dettaglio concernenti i singoli percorsi di indagine, né le informazioni sull'architettura informatica utilizzata.
Altro tema affrontato dal Garante e molto importante, che è conseguente all'archivio rapporti finanziari, è quello relativo alla pseudonimizzazione. Nell'ambito delle attività di analisi del rischio basate sui dati dell'archivio rapporti finanziari, viene utilizzata come misura di sicurezza aggiuntiva la pseudonimizzazione dei dati, che rappresenta il trattamento dei dati personali in modo tale che questi non possano essere più attribuiti a un interessato specifico senza l'utilizzo di informazioni aggiuntive.
Questo a condizione che tali informazioni aggiuntive, siano conservate separatamente e soggette a misure tecniche e organizzative intese a garantire che tali dati personali non siano attribuiti a una specifica persona identificata o identificabile. In questo modo, questa misura di sicurezza viene attuata sostituendo con una chiave rotativa i dati onomastici dei contribuenti con codici alfanumerici e perturbando in modo casuale le variabili numeriche, così da ridurre la possibilità di una identificazione indiretta dei contribuenti.
La pseudonimizzazione è effettuata da un'apposita struttura organizzativa di Sogei, che è la sola a conoscere il metodo di associazione dei dati e che consente di risalire a ritroso agli originali i codici fiscali dei contribuenti.
Per garantire anche nel tempo che le informazioni presenti nei diversi data set non siano attribuite ad una persona fisica identificata o identificabile, sono stati utilizzati identificativi e pseudonimi dotati di una validità temporale limitata. L'Agenzia delle entrate non ha accesso ai metodi di associazione utilizzati nella fase di pseudonimizzazione, se non appunto nella fase poi di controllo che semmai vi dirò.
Solo a valle dell'attività di analisi del rischio, dopo aver quindi individuato i contributi fiscalmente riscossi, gli elenchi dei soggetti da controllare vengono riportati in chiaro, in modo tale che possano essere valutate le attività istruttorie da intraprendere.
Sostanzialmente, l'archivio dei rapporti finanziari, reso in questo modo pseudonimizzato, consente un'attività di incrocio di tutti i dati non puntuale su singoli contribuenti, in modo far emergere eventuali anomalie di associazione tra il dato reddituale e il dato finanziario, e poter quindi focalizzare l'attività di controllo ed eventualmente di recupero soltanto su quei soggetti, una volta reso in chiaro che si sono resi oggetto di una valutazione per questa anomalia.
Se un soggetto, identificato con un codice alfanumerico e non quindi con nome, cognome e codice fiscale, ha un conto corrente con dei dati finanziari incongrui rispetto a quelli dichiarati, questo legittima, secondo la normativa vigente nel rispetto della sua privacy, la possibilità di rendere in chiaro l'identificativo di questo soggetto, Pag. 11al fine di poter chiedere una giustificazione a questo soggetto, e, laddove ci sia una giustificazione, la cosa finisce lì, laddove non ci sia una giustificazione, invece, prosegue l'attività di recupero.
L'Agenzia delle entrate ha già iniziato ad inviare questi atti in modo tale da chiedere corretta possibilità di giustificazione, ovvero procedendo, così come stiamo facendo, al recupero di materia imponibile e al recupero di evasione fiscale.
Altro strumento è quello della segregazione organizzativa. Per limitare significativamente il numero di soggetti che possano utilizzare i dati dell'archivio dei rapporti finanziari, è previsto che solo un'unità organizzativa possa svolgere il trattamento e sono solo pochi gli addetti in servizio presso detta unità effettivamente autorizzati.
Passo ora ai dati inerenti i minori di età. Per quanto concerne il trattamento dei dati riferiti ai soggetti minori di età, esso si rende necessario perché gli stessi possono essere titolari di redditi, anche se può sembrare strano, nonché proprietari di beni fiscalmente rilevanti. In ogni caso, al fine di salvaguardare la loro posizione giuridica, l'attività istruttoria non viene svolta mai nei loro confronti, ma i dati identificativi di questa particolare categoria di contribuenti non sono mai presenti in liste di controllo, perché in loro vece sono indicati rispettivamente i tutori o rappresentanti legali.
C'è poi l'iter relativo ai dati della banca dati di fatturazione elettronica. Anche questa è stata oggetto di serrato confronto con l'Autorità garante della privacy, fino ad arrivare anche in questo caso nel 2022 ad un parere favorevole per il suo utilizzo. Anche in questo caso sono state avviate le varie procedure di verifica e controllo nei confronti dei contribuenti sulla base di questi dati.
Passo alla cybersecurity. La complessità della gestione del patrimonio dell'Agenzia a livello di infrastrutture informatiche nonché la rilevanza dei dati trattati impongono la necessità di intraprendere tutte le azioni e gli investimenti necessari a progettare e attuare misure volte a salvaguardia del sistema nel suo complesso.
La sicurezza informatica, attraverso l'individuazione delle aree di rischio e delle possibili minacce, fornisce una risposta alla necessità di realizzare un sistema integrato di protezione dei dati attraverso l'applicazione di standard internazionali di sicurezza, nonché l'adeguamento alle misure previste da AGID riguardo ai livelli di sicurezza più elevati.
La complessità delle risorse dell'Agenzia delle entrate richiede l'adozione di sistemi centralizzati di gestione e controllo degli accessi ai sistemi informatici, di sistemi per il monitoraggio e la rilevazione di attacchi informatici, seguendo le norme di sicurezza riconosciute a livello internazionale.
Per garantire un corretto utilizzo delle risorse dal punto di vista della sicurezza, è stato realizzato un sistema di accesso unico e centralizzato delle applicazioni. In tale ambito si analizzano e si individuano politiche, regole, processi e strumenti innovativi, atti a garantire e rafforzare la sicurezza informatica nella sua accezione più ampia e la sicurezza dei sistemi a tutela del patrimonio informativo, anche a sostegno della semplificazione dei processi, fondata sempre più spesso sull'adozione di strumenti informatici.
Una parte rilevante delle attività svolte all'Agenzia ha riguardato la realizzazione di strumenti e procedure operative che, riferendosi a standard internazionali in tema di sicurezza, hanno centralizzato il governo del sistema di controllo degli accessi e affidato ai responsabili delle varie strutture organizzative la gestione e il monitoraggio delle abilitazioni dei dipendenti.
Vado alla conclusione, perché avete tutto agli atti. A tutte queste misure elencate si aggiungono quelle attività di sicurezza che con Sogei, in virtù degli accordi contrattuali, svolgiamo su sistemi e servizi erogati per conto dell'Agenzia ai cittadini.
L'Agenzia effettua con regolarità, in collaborazione con il suo partner tecnologico, l'attività di vigilanza in materia di sicurezza informatica, con l'obiettivo di monitorare, migliorare, incrementare i presìdi di sicurezza informatica dell'Anagrafe tributaria.Pag. 12
Mi fermo, presidente, altrimenti non avete spazi per le vostre domande.

PRESIDENTE. Grazie, direttore, soprattutto per la relazione completa, che offre molti spunti di interventi ai commissari.
Do quindi la parola ai colleghi che intendono intervenire per porre questi o formulare osservazioni.

EMILIANO FENU. Grazie, presidente.
Anch'io ringrazio il direttore Ruffini e l'Agenzia delle entrate per il lavoro che stanno svolgendo, che è molto importante, e la tendenza, di cui ha parlato nella relazione, a richiedere ai contribuenti giustificazione degli scostamenti certi. L'esempio classico è quello dal raffronto tra i dati dei rapporti finanziari e il reddito dichiarato.
Vorrei collegarmi alla domanda posta la volta scorsa al dottor Spalletta, che ci ha in parte risposto. Gli strumenti che abbiamo a disposizione ci consentono sempre di più di arrivare a scostamenti certi, quindi si fa un semplice (semplice per modo di dire) raffronto tra le movimentazioni finanziarie rilevabili dai rapporti finanziari del contribuente e il reddito dichiarato (questo è l'esempio classico, ma immagino se ne possano fare altri). Più che un problema di utilizzo dell'intelligenza artificiale, è forse un problema di interoperabilità dei dati e di confronto tra dati che l'amministrazione finanziaria ha a disposizione.
Come chiesto la volta scorsa, quindi, visto che la tecnologia ci consente sempre di più di fare un raffronto tra dati certi, per cui se hai avuto maggiori incassi dai rapporti finanziari per tot e hai dichiarato un importo inferiore, ti chiedo giustificazione di quell'importo che è certo (sto semplificando molto), che senso ha utilizzare ancora degli strumenti di accertamento induttivi, quando abbiamo la possibilità di utilizzare degli strumenti analitici? Il dottor Spalletta ci ha risposto che in realtà la tendenza è proprio questa di utilizzare sempre di più elementi analitici, però si è in mezzo al guado, quindi vorrei chiederle quali siano gli elementi che occorrono per arrivare alla perfezione dell'accertamento, quindi all'accertamento con dati certi, fondato su elementi analitici. Questa è la domanda principale.
La seconda domanda, cui il direttore in parte ha già risposto, è come venga utilizzata l'analisi di rischio per l'incrocio delle banche dati.
L'ultima domanda è legata alla prima. Che prospettive ci sono dopo il decreto delegato sull'accertamento? Ho letto che è stato cambiato il nome al Redditometro, però diciamo che la sostanza, a parte il limite dei 100.000 euro di reddito, non cambia, quindi vorrei sapere che prospettive ci siano e se la Guardia di finanza abbia già delineato come procedere all'utilizzo dell'intelligenza artificiale.

AUGUSTO CURTI. Intanto anche io voglio ringraziare l'avvocato Ruffini e tutta l'Agenzia delle entrate, così come ha fatto l'onorevole Fenu, per il lavoro svolto in questi anni e anche per la disponibilità dimostrata questa mattina.
Ad una prima domanda avete già risposto, perché è chiaro che quando si scende sul penale, come abbiamo visto da quanto è accaduto ed è anche il motivo da cui nasce questa audizione, sappiamo come vengono gestiti, ma la domanda era come vengano gestiti invece i casi di violazione all'interno direttamente dall'Agenzia.
L'altra domanda, invece, è come vengano gestiti i dati, una volta che questi possano non essere conservati, perché presumo ci sia un tempo di scadenza in cui questi dati non debbono più essere conservati, quindi da quella data che fine fanno?
L'ultima, essendo in una struttura parlamentare, è quale possa essere il contributo che nelle Aule parlamentari possiamo dare al fine di migliorare sempre di più la gestione e la sicurezza dei dati.

GIULIO CENTEMERO. Grazie per questa audizione per me molto importante. Peraltro, in Commissione finanze non guardiamo mai determinati aspetti, quindi è stato molto utile.
Ogni mattina il presidente Casasco mi chiama per ricordarmi di preparare le domande, e io da bravo scolaro lo faccio. A parte la battuta, alla prima domanda ha già Pag. 13risposto. È molto interessante lo spunto sul digital waste dell'onorevole Curti, perché è un aspetto che si considera sempre poco nell'amministrazione finanziaria, ma ha costi enormi.
L'Agenzia delle entrate è impegnata in percorsi di adesione e di integrazione dei propri servizi con altre piattaforme centralizzate della pubblica amministrazione (ANPR, PagoPA, App IO), quindi relativi alla cittadinanza digitale, e sta partecipando ai lavori per la progettazione della piattaforma per la notificazione digitale delle pubbliche amministrazioni.
Con specifico riferimento all'ANPR, si è detto che tale infrastruttura a regime andrà a sostituire le Anagrafi comunali, rivestendo un'importanza strategica nel fondamentale processo di digitalizzazione della PA e nel miglioramento dei servizi al cittadino. Volevo chiedere quale sia lo stato di avanzamento di questo percorso.
Inoltre, il decreto legislativo n. 219 del 30 dicembre 2023 ha integralmente sostituito l'articolo 13 della legge 27 luglio 2000 n. 212, che a noi commercialisti è tanto cara e che abbiamo tanto studiato, disciplinando nuove regole per il Garante dei contribuenti. Viene quindi istituito il Garante nazionale unico, che, tra gli altri, ha il compito di monitorare e migliorare l'interazione tra i cittadini e l'Amministrazione fiscale, assicurando che le normative siano applicate in modo equo e corretto.
Qual è quindi il contributo, come anche gli strumenti operativi, che l'Agenzia sta portando avanti, affinché si realizzi concretamente questa nuova interazione fisco/contribuente? Grazie.

PRESIDENTE. Do la parola all'avvocato Ruffini per la replica.

ERNESTO MARIA RUFFINI, direttore dell'Agenzia delle entrate. Grazie, presidente, grazie, onorevoli commissari. Vado nell'ordine cronologico con il quale mi sono state rivolte le suggestioni o le domande.
Per quanto riguarda l'onorevole Fenu, ho accennato nella relazione un termine economico della cui paternità non mi approprio, l'asimmetria informativa. Le basi dati non restituiscono una completa informazione di tutto quello che accade nel Paese in relazione a tutti i cittadini contribuenti, sono delle basi dati molto ampie, molto complete, ma non rappresentano certamente il Grande Fratello, né tipologie fantascientifiche alla Asimov di ricordi di racconti adolescenziali.
Sono informazioni utili, ma è ovvio che, laddove certe tipologie di attività, di transazioni o di condotte non siano tracciate e non siano confluite in quelle basi dati, non restituiscono l'immagine di attività economiche sottratte alla imposizione fiscale.
Traduco: se io sono un soggetto che incassa in nero e i miei fornitori si fanno pagare in nero, in contante, con transazioni estero su estero o altre tipologie, l'amministrazione finanziaria potrebbe non esserne a conoscenza, se non sulla base di altri elementi, che sono però induttivi, non sono certi, per cui è necessario comunque mantenere la possibilità di ragionare sui dati che si hanno a disposizione.
All'intelligenza artificiale, se vogliamo riempirci la bocca di questo termine di cui tutti parliamo e di cui pochi di noi (parlo di noi delle Agenzie) sono a conoscenza, perché è una cosa in evoluzione, bisogna saper chiedere, perché bisogna saper utilizzare i dati, quindi bisogna avere la capacità di elaborare le stringhe di domanda per formare gli algoritmi che poi danno una possibile risposta, fermo restando che potrebbero non esserci quei dati, quindi è questa l'esigenza di mantenere un margine di induttività, il che non vuol dire infierire sul contribuente inventandosi pretese fiscali, ma semplicemente chiedere conto e ragione di un qualcosa che non torna.
Ecco che quindi un tenore di vita non corrispondente al dichiarato potrebbe essere utile, le banche dati sui rapporti finanziari anonimizzate sono utili, ma se io ho un conto estero di Paesi non leali nei confronti della comunità internazionale, se tengo i soldi in contanti, se intesto il conto corrente su cui faccio transitare le transazioni finanziarie a dei prestanome? Ci sono tante tipologie, quindi bisogna mantenere sempre la possibilità di agire, oppure dire – questa però è una scelta del legislatore – Pag. 14che non interessa agire su quello che sfugge e si intende concentrarsi soltanto sul dato certo che si ha.
Questa è una scelta, ma vuol dire lasciar libero il resto delle universe possibilità di agire diversamente, quindi non c'è questa univocità e non sarà mai possibile soddisfare pienamente la tendenza. Se lei va a pagare un soggetto tramite transazione finanziaria tracciata ma quel pos è collegato a un conto estero, in quale banca dati dell'Agenzia delle entrate finisce? In nessuna, è un tipo di attività di indagine diverso, che si fa con la Guardia di finanza.
Le possibilità di sottrarsi sono tante, altrimenti non avremmo livelli di evasione così elevati, fermo restando che tutto quello che è stato fatto in questi anni ha consentito (il legislatore ne è il primo responsabile nel merito) un abbassamento del tax gap, perché l'evasione fiscale, per quanto alta, è diminuita in maniera molto significativa, così come grazie a questi strumenti è aumentata (ce ne davate atto prima il presidente e voi commissari) la capacità di recupero di quelle che si realizza, quindi sono due facce, diminuisce il tax gap, aumenta la capacità di recupero, rimane quella zona grigia che non è inserita nelle informazioni chiare, nette, univoche che ci sono nelle banche dati e che poi bisogna saper utilizzare. Rimane fuori ed è il sommerso.
Onorevole Curti, il diritto all'oblio dei nostri dati viene disciplinato da policy che vengono posti in essere e i dati vengono cancellati. Abbiamo prescrizioni, se ricordo bene, anche qui del Garante della privacy sulle modalità, però vengono cancellati, non è un album dei ricordi che si tiene da qualche parte.
Onorevole Centemero, sull'evoluzione della piattaforma notifiche (lasciatemi fare un'ipotesi da cittadino) è ovvio che l'evoluzione tecnologica offre possibilità che prima non erano immaginabili e che il legislatore, così come l'amministrazione pubblica, può elaborare idee o prospettive anche grazie a soluzioni tecnologiche prima non immaginate se non in racconti di fantascienza.
In prospettiva, con il progressivo ricambio generazionale, l'adattamento di noi con i capelli bianchi rispetto ai giovani «millennial», come vengono chiamati adesso, all'utilizzo di dotazioni tecnologiche sempre più frequenti, immagino che sarà possibile avere a disposizione del cittadino una sorta di agorà digitale, in cui ci sono diverse porte (la porta dei rapporti fiscali, la porta del fascicolo sanitario, la porta del fascicolo previdenziale, la porta di tutte le notifiche della PA) e a cui si accederà senza dover fare la fila alla posta, avere il portiere o qualcuno che citofona, ma questa è una prospettiva, una prospettiva di un percorso che si sta facendo.
Spero che non si raggiunga troppo tardi, ma sicuramente è un percorso che deve tenere conto della capacità di adattamento di noi cittadini a questa tipologia. Per me sarebbe l'ideale, ma non necessariamente tutti la pensano come me cittadino, non come me direttore, e non necessariamente in questo momento siamo in grado di convincere una fascia di popolazione over 50, over 60, over 70 e così via.
Grazie.

PRESIDENTE. Do la parola all'onorevole Fenu.

EMILIANO FENU. Solo per ringraziare il direttore, perché con gli esempi che ha fatto ha risposto alla mia domanda su quali siano gli ostacoli.

ERNESTO MARIA RUFFINI, direttore dell'Agenzia delle entrate. Onorevole Fenu, scusi se la interrompo, ma, siccome l'onorevole Centemero aveva accennato ai suggerimenti, il suggerimento costante, minimo e trasversale che l'amministrazione finanziaria può sperare venga accolto dal legislatore, risorse permettendo, è dare la possibilità all'amministrazione finanziaria di investire nel personale.
Nonostante il piano di concorsi, che prevede, con la fine di quest'anno, l'assunzione di 11.000 nuove risorse che dovremmo finire entro quest'anno, quindi tra dicembre e gennaio, come Agenzia delle entrate siamo sotto organico di circa 8.000 colleghi mancanti. Analoga fame di risorse abbiamo ad Agenzia entrate e riscossione.Pag. 15
Questo per dirvi che qualunque servizio ruota intorno all'attività di donne e uomini che lavorano dietro una scrivania, dietro un computer, dietro un telefono, dietro un call center, e tutti i servizi e tutta la capacità di analisi e di recupero evasione fiscale, ma anche di servizi forniti ai contribuenti e ai cittadini sono in mano a personale, donne e uomini, che lavorano nell'amministrazione. Avere meno personale comporta la possibilità di dare meno servizi e meno risposte alle esigenze di recupero dell'evasione fiscale.
Questo per dire che l'Agenzia delle entrate, visto che ne sono in questo momento della mia vita il responsabile, ma in generale la Pubblica Amministrazione rappresenta la più importante infrastruttura del Paese, perché da questa infrastruttura dipende la capacità dello Stato di offrire risposte ai cittadini rispetto alle norme che il legislatore legittimamente approva tempo per tempo.
Se non c'è un'infrastruttura in grado di trasformare quelle norme in realtà e quindi in servizi, quelle norme rimangono bellissime sulla Gazzetta Ufficiale, ma non operanti nella realtà di tutti noi. Affinché queste norme possano tradursi nella realtà, c'è bisogno di personale, c'è bisogno di investimenti in questa infrastruttura, che, come tutte le infrastrutture, ha bisogno di manutenzione, investimenti, cura e formazione dei funzionari e dei dirigenti.
Questa è l'unica cosa che mi permetto di chiedere.

EMILIANO FENU. Questo aspetto del sottodimensionamento è molto importante, perché avevo chiesto quali elementi impedissero di arrivare a un utilizzo quasi completo.
Sappiamo benissimo che non è possibile un utilizzo al 100 per cento, però gli esempi fatti dal direttore sono l'esempio del contante e l'esempio dei conti esteri, quindi è ineliminabile questa zona grigia.
È compito del legislatore eliminare gli elementi che impediscono la completa analiticità dell'accertamento. Se io consento l'utilizzo del contante, è ovvio che quello è un margine di evasione, se elimino il contante, non c'è più quel margine di occultamento del reddito.
Effettivamente c'è questa discrasia tra la buona volontà (tutti siamo d'accordo a promuovere il contraddittorio tra contribuente e fisco) e la realtà, l'Agenzia delle entrate è assolutamente sottodimensionata e i cittadini se ne rendono conto, per cui, nonostante i dipendenti delle agenzie locali si ammazzino di lavoro, perché nel mio territorio li vedo, non si riesce a fornire un servizio adeguato, perché alla fine bisogna fare i conti con i limiti numerici e umani.

GIULIO CENTEMERO. Sono chiaramente tutti aspetti che hanno senso, anche quello sul personale. Il tema sembra il digital divide, tant'è che sul territorio dove sono stato eletto della provincia di Bergamo, con un'associazione che si chiama Cittadinanza digitale, c'è anche un programma del servizio civile volontario, cioè, oltre alla formazione del personale, forse bisogna mettere a disposizione fuori dell'Agenzia delle entrate, proprio in termini generali, tramite i volontari digitali, che sono un ramo del servizio civile volontario, un aiuto alle cittadine e ai cittadini.
In provincia di Bergamo abbiamo creato questo sportello, interamente finanziato da me con poche risorse, con due ragazzi a disposizione di chi voglia aprire uno SPID perché altrimenti non riescono a pagare le bollette, e si tratta non solo di anziani o di persone sopra i 60 anni, ma anche di persone sui 40 anni, che però hanno vissuto all'estero, non sanno come funziona in Italia richiedere la tessera sanitaria o accedere ai portali dei comuni.
Secondo me, questa forse è un'attività che anche con le associazioni di volontariato potreste stimolare per aiutare a usare i vostri strumenti on line.
È solo un suggerimento, però vedo che il digital divide è il nucleo che ci rallenta nella transizione digitale, che è quella che spinge la crescita del PIL.

PRESIDENTE. La ringrazio. Gli interventi dell'onorevole Centemero e dell'onorevole Fenu hanno portato all'attenzione lo spirito e l'obiettivo di questa Commissione, Pag. 16che è certamente di vigilanza sull'Anagrafe tributaria. La Commissione è orientata tutta a ottenere il meglio tecnicamente dal punto di vista legislativo da Parlamento e Governo e ad offrire degli spunti, quindi anche a recepire osservazioni dagli enti e dalle Istituzioni auditi, in particolare dall'Agenzia delle entrate.
Se ci sono quindi dei suggerimenti da dare dal punto di vista legislativo, come già avvenuto in parte, la Commissione è assolutamente pronta a recepirli, portare le istanze nel Parlamento e segnalarle al Governo.
Una, ed è stata già evidenziata, è che l'Agenzia delle entrate è sotto organico, nonostante le 11.000 persone messe a disposizione perché ne mancano ancora 8.000. Questo favorisce la lotta all'evasione e l'attività ispettiva, ma è stato segnalato come a sul territorio possa essere facilitato, perché le persone assegnate all'Agenzia dell'entrate servono non solo all'attività ispettiva, ma soprattutto al rapporto tra l'Agenzia, gli sportelli, il contribuente e le attività produttive, per cui è vero che si segnala una difficoltà sul territorio dei tempi e delle possibilità di accesso.
Ci segnalate questa cosa non solamente nella necessità di capitale umano sul territorio, per favorire il rapporto tra il contribuente e l'Agenzia delle entrate, ma anche dal punto di vista dei sistemi e della necessità di efficienze informatiche, digitali e formative, aspetto molto importante da portare congiuntamente in Commissione e in modo bipartisan all'attenzione del Parlamento.
Voglio sottolineare che ogni attività economica sottratta all'imposizione, come è stato detto, va a penalizzare non l'attività di un'agenzia, eccetera, ma il sistema Paese, soprattutto le persone che pagano i tributi, per cui è evidente che se ci fosse un'equità tra l'attività di riscossione e di evasione, il Governo può certamente abbassare i tributi.
Dico questo perché (entro in Europa) il reddito medio in Belgio ammonta a 10.000 euro, ma non penso che il Belgio abbia un'attività produttiva superiore all'Italia, quindi c'è qualcosa che sfugge.
Il reddito medio è un parametro importante per le agenzie di rating di un Paese, e, se riusciamo a combattere l'evasione, diamo non solo equità sociale, ma anche possibilità al Paese di avere un rating superiore e quindi anche un costo inferiore, quindi incide su tutto il sistema sociale.
Qual è quindi il rapporto tra evasione e riscossione? Questo – ripeto – è estremamente importante in rapporto all'equità sociale. Quali sono gli strumenti? Fermo restando che il principio fondamentale è quello della sicurezza del dato e della certezza della privacy, qual è il rapporto di equilibrio tra la riscossione rispetto eventualmente all'evasione e l'utilizzo del dato rispetto alla privacy?
Fermo restando che questa Commissione ha come compito quello della tutela e della sicurezza del dato – ma l'abbiamo ampliata, perché fa parte dello stesso equilibrio, alla lotta e al contrasto dell'evasione – quale può essere un parametro italiano rispetto al Paese europeo? Quali sono i parametri della privacy europea rispetto a quella italiana, che può essere migliore o minore a seconda dell'informazione?
Questo è estremamente importante. Mi riferisco ad esempio alla convenzione tra Agenzia delle entrate e MEF sul cosiddetto «Anonimetro», quindi sull'utilizzo della banca dati dei conti correnti. In che misura è garantita la sicurezza e in che misura l'Agenzia delle entrate può entrare nel dato anonimo, che deve essere assolutamente garantito, rispetto a una tempistica informativa, cioè rispetto ai tempi dell'informazione, per valutare in termini anonimi e garantiti la possibilità d'intervento?
Noi cerchiamo anche suggerimenti da portare sul piano legislativo sia per la garanzia assoluta della sicurezza e per capire esattamente i dati, sia per l'efficienza dell'interoperabilità tra le varie banche dati, perché anche un altro aspetto può essere valutato in termini di efficienza, quindi aspettiamo eventuali suggerimenti in questo senso, e i dati tra la privacy italiana europea e il dato, ferma restando la sicurezza, tra l'evasione e la riscossione, quali possano essere gli strumenti ovviamente Pag. 17utili da suggerire alla Commissione e successivamente al Parlamento e al Governo.

ERNESTO MARIA RUFFINI, direttore dell'Agenzia delle entrate. Grazie, presidente, anche per questa occasione di riflessione insieme. Non la faccio molto lunga, cerco di essere sintetico.
Il tema dell'evasione fiscale spesso viene percepito dall'opinione pubblica e anche dal legislatore soltanto come un'esigenza di individuazione degli evasori, come se l'esistenza dell'evasione fiscale si scontrasse con un'incapacità o una ridotta capacità dell'amministrazione finanziaria nel suo complesso (Guardia di finanza, Agenzia delle entrate, Agenzia di riscossione) di capire quali siano i soggetti che si sottraggono dagli obblighi fiscali e quindi non hanno comportamenti leali nei confronti della collettività e dello sviluppo economico del Paese.

PRESIDENTE. Mi scusi, direttore, di quelli che possono pagare, non di quei poveri cristi che non si sottraggono e non possono pagare. Sto parlando degli evasori veri, che non hanno capacità di riscossione.

ERNESTO MARIA RUFFINI, direttore dell'Agenzia delle entrate. Esatto, c'è una scelta di fondo, perché dal lato dell'amministrazione finanziaria, ovviamente, essendoci 41 milioni di contribuenti e 5 milioni di titolari di partite IVA, anche un piccolo debito di uno di loro sommato agli altri ha un rilievo. Però sono scelte e si può anche decidere di individuare settori e fasce in cui si può non raggiungere l'obbligo di pagamento dell'imposta; ci sono le no tax area e compagnia cantando.
Parlo dei debiti fiscali – non necessariamente delle cartelle con dentro tante bagatelle che possono essere importanti per gli enti titolari del credito, quali contravvenzioni del Codice della strada o piccoli tributi – quindi solo di evasione fiscale, quindi di evasione dall'obbligo del pagamento dell'imposta dal reddito prodotto, che però non è stato dichiarato o è stato infedelmente dichiarato. Non parlo degli errori che si possono compiere, che comunque danno luogo a un'evasione fiscale, perché se il motivo di un errore è un'incapacità o una volontà di farlo non sta a noi giudicarlo, però una cosa è l'infedele o omessa dichiarazione, altra cosa il dichiarato non versato.
Il tema è individuare i soggetti che omettono la presentazione della dichiarazione dei redditi, quindi sono evasori totali, sconosciuti al fisco, oppure fanno dichiarazioni dei redditi infedeli, cioè si dimenticano uno zero prima della virgola, esercitano l'umiltà in sede di dichiarazione dei redditi.
Quello che sfugge all'opinione pubblica per carenza informativa da parte dell'amministrazione finanziaria è che con la Guardia di finanza individuiamo buona parte dell'evasione fiscale esistente nel nostro Paese, il tema è la possibilità e la capacità di recupero dell'evasione fiscale che si individua. A fronte di 100 individuata come evasione fiscale, tra imposta, sanzioni e interessi, il recupero è al di sotto del 20 per cento, e non per un'incapacità dovuta a inefficienza, ma per strumenti come il personale o strumenti che il legislatore deve affinare man mano che emerge la conoscenza dei limiti di questi strumenti.
A fronte di 100 miliardi di evasione fiscale accertata, che vuol dire non ipotizzata, ma 100 miliardi contestati, per i quali è stato proposto ricorso e il contribuente ha perso quel ricorso oppure ha rinunciato a presentare un ricorso, quindi sono crediti – lo dico da avvocato – certi, liquidi ed esigibili, ma, a fronte di quei 100, la capacità di incasso dell'amministrazione finanziaria nel suo complesso non supera il 20 per cento. C'è un tema, ed è che non si riesce ad aumentare questo dato.
Come intervenire? Velocizzando le procedure, avendo una razionalizzazione dei processi di intervento nelle procedure mobiliari, che sono i conti correnti, che sono i rapporti di fornitura costante presso terzi.
Il legislatore nella legge di bilancio scorsa ha previsto l'emanazione di un decreto di razionalizzazione delle procedure mobiliari, per evitare anche che l'attività fatta dall'Agenzia di riscossione in questo caso cada nel vuoto, perché spesso per carenza Pag. 18di informazioni il 70-80 per cento dell'attività di recupero cade nel vuoto, perché viene fatta nei confronti di soggetti che sono incapienti.
Quella razionalizzazione, prevista dalla legge di bilancio di dicembre 2023 per il 2024 e subordinata all'emanazione di un decreto, dovrebbe consentire invece di finalizzare meglio il recupero di quelle risorse. Sono risorse – ripeto – accertate in modo definitivo, quindi il tema dell'evasione fiscale non è tanto quello di individuare l'evasione fiscale e basta, ma fare in modo che quell'attività di individuazione dell'evasione fiscale persegua il fine ultimo per il quale è stata avviata, cioè l'incasso nell'Erario, il recupero e quindi la rimessa in circolo di risorse nei confronti dei cittadini, operando, se posso permettermi, un'azione che solo voi potete fare come legislatore, di educazione civica, perché ovviamente bisogna avere contezza del motivo per cui si pagano le tasse, a che servono le tasse, spesso ragione della disaffezione della lealtà fiscale.
Noi abbiamo messo a disposizione nel cassetto fiscale dei contribuenti per macro aree come vengono utilizzate le tasse che ciascuno di noi paga: l'anno scorso hai pagato 10 euro, 2 sono serviti per la sanità, 2 per l'istruzione, 2 per la difesa, 2 per gli interessi sul debito pubblico, nelle varie percentuali anno per anno, ma ci sono tanti altri modi per far capire che non è vero che le tasse si pagano a fronte di nessun servizio.
Se infatti quando andiamo in un ospedale, dove abbiamo la sanità pubblica che difendiamo come cittadini, ricevessimo una fattura per i servizi resi con il dettaglio di quanto sono costati la sala operatoria, l'anestesista, il chirurgo, le medicine, quanto dovremmo pagare? Invece, è stato pagato con le tasse che il cittadino ha versato. Io sono stato e sono un fruitore del Servizio sanitario nazionale e se ogni volta mi fosse stata consegnata una fattura, una notula... Ugualmente se insieme alle pagelle agli studenti fosse allegata la fattura di quanto è costato il servizio di istruzione pubblica, che però è stato pagato con le tasse che i genitori hanno versato, per cui quando tornano a casa dovrebbero ringraziare i genitori.
I pazienti sono sottoposti a cure grazie alle tasse che hanno pagato. Evidenziare questo è un modo per riavvicinare il cittadino al senso delle tasse.

PRESIDENTE. Grazie.
La lotta all'evasione e la riscossione è un'equità sociale per chi le tasse le paga. Lei ha toccato la sanità pubblica, la scuola pubblica, potremmo dire le infrastrutture, la benzina ai Carabinieri e alla Polizia e così via, quindi il tema è certamente di educazione civica, quindi di senso civico.
Ecco perché noi abbiamo esteso la tutela della privacy anche al contrasto all'evasione di chi può pagare e non paga.
Ritorno a un discorso, oltre che di vigilanza, proprio perché abbiamo inserito anche la lotta all'evasione come equità sociale, sulla tutela della privacy e sul limite europeo della tutela della privacy, l'aspetto induttivo rispetto ai dati, la mancanza di personale in funzione non solo di accertamento, ma anche di rapporto con il contribuente.
È solo un problema di personale oppure possiamo verificare il rapporto tra il contribuente e l'Agenzia delle entrate in una posizione ex ante rispetto a un accertamento comunicato? Questo rapporto con il contribuente, aumentando il personale ed efficientando i sistemi per avvicinarlo al concetto che lei esprimeva di consapevolezza sociale che le tasse servono, in che misura può essere migliorato e in che misura viene oggi effettuata questa posizione ex ante nel rapporto con il contribuente rispetto alla comunicazione ufficiale di un giustificativo che deve dare? In che misura migliorare questo rapporto sul territorio?

ERNESTO MARIA RUFFINI, direttore dell'Agenzia delle entrate. Sicuramente dipende molto dal personale, perché consumare la capacità operativa dell'Agenzia delle entrate con un sacrosanto diritto del contribuente di essere informato del motivo dell'eventuale azione di accertamento, di recupero, di contestazione è sempre da tutelare e quindi da attuare, ma è chiaro Pag. 19che se ho poco personale e devo garantire ad ogni accertamento quel tipo di contraddittorio, diminuisco il numero di accertamenti, è fisiologico.
Per mantenere quindi entrambe le gambe della mia azione, è necessario aumentare il personale. Detto questo, non l'abbiamo mai diminuito, anzi nel corso degli anni abbiamo cercato di aumentare l'attività e le azioni che vengono svolte.
Al contempo, al netto del fatto che il contraddittorio va sempre tutelato, nella speranza che il tutto non si traduca – permettetemi il paragone cinematografico – in quel passaggio del film Non ci resta che piangere in cui ogni volta «chi siete? Due fiorini», è ovvio che deve essere un contraddittorio finalizzato all'azione amministrativa che viene svolta, altrimenti diventa soltanto dilatorio, però è sacrosanto farlo.
Al contempo, ci sono tanti strumenti messi a disposizione dall'Agenzia delle entrate per far sì che il cittadino, tempo per tempo, verifichi la sua situazione e non subisca fulmini a ciel sereno, perché abbiamo a disposizione tantissimi servizi e strumenti che consentano al contribuente che voglia avvicinarsi all'amministrazione finanziaria di poterlo fare.

PRESIDENTE. Ringrazio l'avvocato Ruffini, i dirigenti, i collaboratori, tutta l'Agenzia delle entrate che ogni giorno lottano per il Paese nella maniera giusta.

ERNESTO MARIA RUFFINI, direttore dell'Agenzia delle entrate. Mi permetta, non mi ha mai convinto il termine «lotta», noi facciamo la nostra azione di contrasto all'evasione, che non è mai lotta.

PRESIDENTE. E parallelamente nella tutela della privacy, del cittadino, del contribuente, delle persone che lavorano onestamente e quindi sono eventualmente in una condizione di disagio nel momento in cui qualcun altro, invece, non si comporta altrettanto correttamente.
La ringrazio. Aspettiamo anche altri suggerimenti per l'efficientamento dei sistemi, per il tema del personale e della privacy. La chiameremo ancora per portare al Parlamento e al Governo proposte nell'interesse del nostro sistema.
Dichiaro conclusa l'audizione.

La seduta termina alle 9.40.