Provvedimento - 19/11/2021 - n. 9728518 Articolo unico

La proposta normativa degli enti no profit

Il motivo per cui le associazioni ritengono necessario conoscere i dati personali dei propri contribuenti del 5x1000, allo stato non resi noti ai beneficiari, è il seguente: in loro mancanza si potrebbe “minare il rapporto fiduciario tra l'organizzazione beneficiaria [...] ed il contribuente nonché la credibilità dello strumento stesso”, impedendo ai sovventori gli opportuni controlli in merito e la possibilità stessa di una più approfondita valutazione della serietà e dell'efficienza dell'organizzazione prescelta. Ciò permetterebbe di avviare un dialogo con i propri donatori, sì da poter verificare l'affidabilità e la responsabilità dell'ente prescelto e, dall'altra, sviluppare “quel capitale di relazione, visibilità e radicamento nel tessuto sociale, imprescindibile per il loro sviluppo”.

Da qui la proposta delle associazioni di emendare la modulistica fiscale: aggiungere un consenso “informato” da parte del contribuente, che potrà così decidere di comunicare i propri dati all'ente beneficiario e ricevere, così, compiuta trasparenza tramite la rendicontazione diretta sui progetti finanziati dal contributo. L'Agenzia delle Entrate si occuperebbe di fare da tramite, gestendo le liste di donatori per ogni ente beneficiario. Con l'esclusione (per economie di gestione) di alcuni enti, quelli percettori di somme inferiori a 500.000 euro o che ricevono un numero di scelte inferiore a 10.000.

Per aggiornare in tal senso il processo di dichiarazione dei redditi è naturalmente necessario un intervento normativo (detto “emendamento”), perorato dagli enti interpellanti, così costruito:

1) l'obbligo per gli enti percettori – in possesso dei requisiti richiesti – di fornire ai contribuenti consenzienti un rendiconto sull'utilizzo delle somme percepite (oltrea non ben precisate ulteriori informazioni, ritenute utili a far conoscere le attività e i progetti dell'ente, senza ulteriori chiarimenti);

2) la possibilità per il contribuente di autorizzare la trasmissione dei propri dati anagrafici direttamente all'ente beneficiario, tramite il predetto consenso specifico nel modulo della dichiarazione di destinazione del 5x1000;

3) l'obbligo in capo alle organizzazioni beneficiarie di conservare per un periodo di 5 anni i dati inerenti, ovvero la comunicazione inviata e l'elenco dei destinatari.

La normativa di riferimento

A quale normativa le associazioni proponenti si riferiscano per l'emendamento, è presto detto: trattasi anzitutto del c.d. Codice del Terzo Settore, ovvero il d.lgs. 117/2017, in attuazione della l. 6 giugno 2016, n. 106 (“Delega al Governo per la riforma del terzo settore, dell'impresa sociale e per la disciplina del servizio civile universale”). Tale decreto si è occupato della impegnativa riforma strutturale dell'intero comparto del settore no profit. Tra l'altro, il decreto si è occupato delle finalità di destinazione del 5x1000, delle modalità di accreditamento e dei termini per l'accesso al riparto, i criteri stessi di riparto e di erogazione dei contributi, gli obblighi di trasparenza relativi alla destinazione delle risorse.

Rammentiamo che secondo tale normativa ricadono nel concetto di “enti del terzo settore” (art. 4) quelli iscritti al c.d. registro unico nazionale del terzo settore, incasellati in categorie predefinite: le organizzazioni di volontariato (ODV), le associazioni di promozione sociale (APS), gli enti filantropici, le imprese sociali incluse le cooperative sociali, le reti associative, le società di mutuo soccorso (SOMS), le associazioni riconosciute o non riconosciute, le fondazioni e gli altri enti di carattere privato diversi dalle società, se sono costituiti – in via esclusiva o principale – per il perseguimento, senza scopo di lucro, di finalità civiche, solidaristiche e di utilità sociale mediante lo svolgimento, in via esclusiva o principale, di una o più attività di interesse generale, in forma di azione volontaria o di erogazione gratuita di denaro, beni o servizi, o di mutualità o di produzione o scambio di beni o servizi.

Sono espressamente escluse alcune tipologie, come gli enti religiosi civilmente riconosciuti (per attività non di interesse generale, di cui all'art. 5 del Codice di settore), le formazioni e associazioni politiche (come i tradizionali partiti politici), i sindacati, ecc. Proprio per la mancanza di uno dei requisiti impliciti del terzo settore – ovvero l'essere enti istituzionali, ragion per cui saranno soggetti a diverse discipline. Parallelamente si rammenta che è stato emanato d.lgs. 112/2017, riguardante alcuni aspetti particolari di disciplina dell'impresa sociale, fattispecie che rientra in ogni caso nell'ambito del Terzo Settore.

Secondo il Codice del Terzo Settore (art. 14), gli enti beneficiari sono tenuti a presentare - alle rispettive amministrazioni erogatrici – un apposito rendiconto, accompagnato da una relazione illustrativa, dal quale risultino in modo chiaro, trasparente e dettagliato la destinazione e l'utilizzo delle somme ricevute, con obbligo di pubblicazione del medesimo rendiconto e degli importi percepiti sui propri siti web, come sottolineato dal Garante.

A integrazione della normativa generale troviamo il d.P.C.M. del 23 luglio 2020 sulla “Disciplina delle modalità e dei termini per l'accesso al riparto del cinque per mille dell'imposta sul reddito delle persone fisiche degli enti destinatari del contributo, nonché delle modalità e dei termini per la formazione, l'aggiornamento e la pubblicazione dell'elenco permanente degli enti iscritti e per la pubblicazione degli elenchi annuali degli enti ammessi”. Vi si trovano, in particolare, precisazioni sul rendiconto annuale da trasmettere all'amministrazione erogatrice, agli elementi che lo stesso deve contenere, nonché alla pubblicazione di quest'ultimo e degli importi percepiti sui rispettivi siti web.

Disciplina parzialmente difforme, per il nostro focus, è quella dettata per i partiti politici (come visto sopra, esclusi dal novero degli enti del Terzo Settore) dal d.l. 149/2013 (di abolizione del finanziamento pubblico diretto ai partiti e che disciplina la contribuzione volontaria e indiretta in loro favore), completata dal d.P.C.M. attuativo del 28 maggio 2014. Sui partiti politici, percettori del c.d. 2x1000 a loro riservato, in base al d.l. 149/2013 gravano alcune forme di conoscibilità dei dati concernenti i propri contribuenti (arrivando alla loro pubblicazione online, per trasparenza dei finanziamenti ai partiti).

Non scordiamo che è vigente l'autorizzazione generale GPDP n. 3/2016 (riconosciuta compatibile con la normativa attuale tramite provv. GPDP del 13 dicembre 2018 [doc. web n. 9068972]), sul trattamento di categorie particolari di dati da parte degli organismi di tipo associativo, delle fondazioni, delle chiese e associazioni o comunità religiose. Oltre a coprire gli enti e organi facenti parte del Terzo Settore, nonché i partiti politici, riguarda interessati come i sostenitori (anche tramite il 5x1000) e le finalità di trattamento dei dati particolari devono essere determinate e legittime, individuate dalla legge, dall'atto costitutivo, dallo statuto o dal contratto collettivo, ove esistenti, oppure per altre finalità (per es. la tutela di un diritto in giudizio) che non comprendono comunque gli scopi della proposta in parola. Si rimanda al relativo commento del provvedimento nel presente volume.

Se il mezzo di contatto a fini promozionali da parte dell'ETS fosse quello telefonico o postale, nulla muterà circa il rispetto della dovuta consultazione del Registro Pubblico delle Opposizioni (Patti in Acciai, 93) - al cui commento si rimanda. Come rammentato dalla stessa autrice, dopo l'abrogazione nel 2018 dell'art. 24 lett. h) del Codice privacy con la sua eccezione al consenso per fini statutari, ora gli ETS debbono necessariamente discernere una base giuridica tra il legittimo interesse e il consenso, a seconda della finalità.

La conoscibilità dei sovventori nei precedenti del Garante

Come anticipato, nessuna delle normative suddette e vigenti contempla la possibilità o l'obbligo di comunicazione dei dati dei sovventori verso gli enti beneficiari, salvo l'eccezione dei partiti politici.

Il Garante stesso si era già pronunciato sul punto, con un provvedimento di replica a un quesito: “Conoscibilità dei donatori nell'ambito delle campagne di raccolta fondi per finalità benefiche tramite SMS “solidali” o chiamate in fonia da rete fissa” del 24 ottobre 2018 [doc. web n. 9058954]. Già allora l'autorità aveva puntualizzato il discrimine delle finalità e relative basi giuridiche. Anzitutto distinguendo gli scopi attuabili dagli enti nell'apprendere i nominativi dei beneficiari e ricontattarli: (i) di rendicontazione, per informare sugli esiti del finanziamento ricevuto – in tale frangente si ammetteva la base del legittimo interesse; (ii) di fidelizzazione, per “instaurare un rapporto duraturo e fiduciario con l'utente al fine, anzitutto, di reperire e assicurarsi nuove risorse per il futuro”, dunque anche per il ricontatto nel caso di nuove campagne – basato necessariamente sul consenso, reso tramite il gestore telefonico: (iii) di trasparenza per obbligo normativo, come accade ai partiti politici con i dati dei propri sovventori da pubblicare sul proprio sito web – da fondarsi parimenti sul consenso.

La necessità di intervento normativo: assenso alla proposta delle associazioni

Alla luce della interrogazione delle associazioni proponenti, il Garante conferma come il risultato voluto necessiti sia della base giuridica consensuale proposta che, ancor prima, di una modifica normativa. Una modifica che calibri la sua portata in rapporto ai diritti e alle libertà fondamentali degli interessati, ovvero presupposti, modalità e limiti dell'operazione. Più precisamente, l'autorità sottolinea altresì che assegnare all'Agenzia delle Entrate nuovi compiti come questo avrebbe inevitabili ricadute di costo sul bilancio statale.

Il Garante procede a una disamina della proposta normativa delle associazioni, considerata sostanzialmente conforme alla disciplina di protezione dei dati pur nella sua genericità. Puntualizza però alcuni nei dell'emendamento:

a) si limita a prevedere obblighi di rendicontazione in capo agli enti no profit, senza apportare modifiche ai compiti dell'Agenzia delle Entrate (impegnata sul fronte della comunicazione dei dati) e al D.P.C.M. inerente – come si è rilevato, il coinvolgimento dell'Agenzia secondo il Garante sarebbe inevitabile e con un certo impatto amministrativo; l'autorità non vi accenna ma, inevitabilmente, avrebbe rilevanza altresì la sicurezza informatica di comunicazione dei dati (potenzialmente particolari ex art. 9 GDPR) tra Agenzia ed enti, con misure idonee prefissabili ex ante a garanzia di una sufficiente copertura dei rischi (la norma potrebbe già presentare una valutazione di impatto privacy svolta dal legislatore a giustificare determinate misure);

b) non determina le modalità di contatto dei contribuenti da parte degli enti loro beneficiari; si può pensare che possa essere un canale che non fomenti il sempre dilagante fenomeno dei contatti promozionali più o meno eccessivi e sgraditi – quindi sarebbe preferibile evitare il mezzo telefonico e l'SMS; gioverebbe meglio specificare se e come le comunicazioni possano contenere inviti a ulteriore supporto e finanziamento all'ente, oltre al dovuto rispetto della disciplina (per telefonate e posta cartacea) del Registro Pubblico delle Opposizioni;

c) non specifica le finalità di trattamento connesse alle attività di “fidelizzazione” degli utenti e di reperimento delle risorse; si tratta di un punto nodale perché se troppo vago potrebbe legittimare comunicazioni che – al pari di quelle di marketing diretto – si rivelino ben presto indesiderate; andrebbero supportate perlomeno da un consenso specifico a sé, non già inglobate in altre finalità come quella di “trasparenza”, proprio come il Garante meglio precisava nel suo precedente provvedimento del 2018; altro rischio, pur non menzionato dal Garante e che andrebbe affrontato, è quello di una potenziale profilazione dei contribuenti da parte degli enti coinvolti, la quale – nuovamente – rischia di essere “occultata” in più vaghi riferimenti alla fidelizzazione;

d) individua “soglie” (500.000 euro di versamenti o 10.000 scelte ricevute), ai fini della comunicazione dei dati, che possono risultare discriminatorie nei confronti delle organizzazioni “minori”, di fatto escluse dai benefici derivanti da un eventuale contatto con gli interessati; l'unica argomentazione plausibile sarebbe l'alleviare l'onere amministrativo in capo all'Agenzia, nondimeno sarebbe da giustificare alla luce di una disamina più approfondita;

e) individua tempi di conservazione dei dati (5 anni) che – in assenza di più chiare motivazioni (allo stato non inferibili) – non appaiono congrui, ritenuti sproporzionatamente eccessivi; tanto più ponendo mente alla necessaria distinzione vista supra, tra finalità che dovrebbero trovare differenti tempi di conservazione;

f) non specifica che il consenso degli interessati all'operazione è comunque revocabile in ogni tempo, ai sensi del GDPR (art. 7) – il che non pare una vera criticità, considerato che la normativa esistente non verrebbe derogata, tanto più sul lato informativo (artt. 13-14 GDPR) – potrebbe al più essere oggetto di apposite e contestualizzate precisazioni sulle modalità di revoca, a rafforzare la trasparenza dell'operazione.

Come annotato in esergo, a tali indicazioni non è comunque seguita alcuna innovazione della normativa vigente.

Sussistono pregressi provvedimenti del Garante sulle erogazioni liberali, quale per es. il provvedimento GPDP dell'11 febbraio 2021sulla conoscibilità dei donatori nell'ambito delle campagne di raccolta fondi per finalità benefiche tramite SMS “solidali” o chiamate telefoniche da rete fissa [doc. web n. 9554603]. In tali occasioni si è rimarcato come il carattere – potenzialmente – particolare (ex art. 9 GDPR) dei dati personali coinvolti (pensiamo al dato sul finanziamento a partiti politici, così come a enti che palesano un certo orientamento filosofico, religioso, l'orientamento sessuale, ecc.) imponga una modifica legislativa focalizzata sulla modulistica della dichiarazione dei redditi, secondo una valutazione squisitamente politica del legislatore. In tal senso depongono sia i precedenti normativi (il citato d.l. n. 140/2013) che “l'esigenza stessa di conferire legittimazione a un'operazione destinata a ripercuotersi, inevitabilmente, su milioni di contribuenti”.

Per un confronto, notiamo che nel provvedimento in esame del novembre 2021 non troviamo accenni, all'opposto, al frangente del trattamento di dati particolari – cosa che invece richiederebbe la sottolineatura sia del necessario utilizzo del carattere “esplicito” del consenso, richiesto ai sensi dell'art. 9 lett. a), sia di una base ex art. 6 GDPR, sia delle misure di sicurezza più idonee dedicate al trattamento (più rischioso) di queste tipologie di dati. Sul tema del consenso esplicito, si badi che l'attuale modulistica della dichiarazione dei redditi prevede all'uopo – quanto alla scelta dell'8x1000, 5x1000 e del 2x1000 – una manifestazione di volontà mediante la sottoscrizione della dichiarazione nonché la firma nel riquadro ove si effettua la scelta.