Con Decreto del Direttore Generale delle Finanze del 21 aprile 2023 sono state approvate le modifiche (a lungo attese) alle regole tecniche del processo tributario telematico.
Il provvedimento incide sostanzialmente sul Decreto del Direttore Generale delle Finanze del 04 agosto 2015, che aveva posto le basi per la successiva entrata in vigore del processo telematico nel settore tributario, incontrando riscontri positivi per la sua promettente impostazione ma anche severe critiche, specie per evitabili passi falsi e incertezze procedurali e normative.
Processo tributario telematico, come proteggere i dati: ecco tutte le richieste del Garante privacy
E sono proprio questi “passi falsi” e incertezze che si propone di correggere il nuovo decreto, che va infine a risolvere (pur tardivamente, specie se consideriamo che le richieste di modifica al Decreto del 2015 erano piovute di lì a poco e che questo provvedimento, a lungo anticipato, aveva passato il vaglio del Garante Privacy lo scorso 11 novembre 2021) numerose criticità che peraltro erano, in alcuni casi, talmente bisognose di un correttivo che una soluzione era stata trovata ben prima di intervenire sulla norma (ad esempio il problema del limitatissimo numero di formati ammessi nel tributario telematico, che non consentiva nemmeno di produrre le prove delle notifiche via PEC (!!), era stato risolto con una comunicazione sul sito della giustizia tributaria, in cui si affermava l’ammissibilità del deposito di una serie di formati non conformi ma comunque “gestiti” dal portale della giustizia tributaria telematica, tra cui appunto il formato eml).
Il provvedimento, che entrerà in vigore il prossimo 15 maggio 2023 e che è stato pubblicato nella Gazzetta Ufficiale del 03 maggio 2023, introduce anche alcune novità dal punto di vista privacy, pur non affrontando il tema più spinoso della telematizzazione della giustizia tributaria, ovvero quello delle udienze da remoto, che sebbene nel tributario abbiano ormai visto concludersi il transito da Skype for Business a Microsoft Teams, ora devono virare (come richiesto in più occasioni dal Garante durante la pandemia una volta cessata l’emergenza) verso strumenti open source e gestiti dagli organi di Giustizia (così ad esempio si esprime il Garante nel provvedimento del 19 maggio 2020 in tema di processo amministrativo telematico: “si auspica che, una volta cessata, si adotti una piattaforma “interna”, gestita dagli (o sotto lo stretto controllo degli) organi di Giustizia”).
Le novità del Processo Tributario Telematico
Il MEF nel 2015 nel plasmare il processo tributario telematico aveva scelto di consentire pochissimi formati ammissibili al deposito informatico (sostanzialmente solo PDF/A e TIFF) e di imporre la firma CAdES (escludendo l’equivalente formato PAdES) non solo sugli atti dei professionisti, ma su tutti i file oggetto del deposito.
Le problematiche che queste scelte calate dall’alto avrebbero comportato erano risultate sin da subito evidenti.
In particolare, il nodo dei formati si scontrava con l’esigenza dei difensori di dover documentare di aver effettuato una notifica tramite PEC (anch’essa prescritta dalla normativa sul PTT, unico fra i processi telematici in Italia che anzi impone la notifica via PEC e legittima quella cartacea solo in caso di notifica via PEC non andata a buon fine).
Di qui il MEF proponeva agli operatori una soluzione a metà, ovvero introduceva (con comunicazione sul portale del processo tributario telematico (SIGIT)) un elenco di formati non conformi ma “gestiti” dal portale, il cui deposito avrebbe generato un errore “di formato” ma ne avrebbe comunque consentito l’acquisizione.
Altra critica al sistema era quella relativa all’imposizione della firma CAdES ai file depositati. Questa scelta (che si inserisce tra le idiosincrasie proprie anche di altri processi telematici italiano, come quello amministrativo che ad oggi impone almeno una firma in formato necessariamente PAdES), si era però scontrata con la stessa giurisprudenza della Corte di Cassazione, che nel predicare l’equivalenza fra firme CAdES e PAdES (ad esempio nella pronuncia a Sezioni Unite n. 10266/2018) finiva per censurare indirettamente l’architettura del sistema del processo tributario telematico.
Anche qui il correttivo arrivava senza una modifica della normativa (che continuava quindi a pretendere la firma CAdES) con una semplice Circolare del Dipartimento delle Finanze del MEF (Circolare del 4 luglio 2019) con cui si anticipava la possibilità (dal 6 luglio 2019) di depositare file firmati in PAdES.
Terza ripetuta critica al sistema del tributario telematico era quella relativa alla necessità di sottoscrivere tutti i file depositati, scelta che appariva motivata da non dettagliate esigenze di conservazione documentale, ma che finiva per far perdere di significato la sottoscrizione del difensore (non consentendo di distinguere fra la firma effettuata per far proprio il contenuto di un documento, quella effettuata per autentica e quella effettuata per semplice “dovere informatico” di sottoscrivere ogni file dimesso nel sistema online della giustizia tributaria). Sul punto non è stato offerto alcun correttivo medio tempore, con il risultato che i legali finivano per depositare ad esempio file “conformi” firmati in PAdES (firma non ammessa dalle specifiche ma comunque acquisita), o ad esempio file EML (gestiti ma non ammessi dalle specifiche) firmati digitalmente.
Il DM del 21 aprile 2023 pone quindi finalmente fine a queste discrasie fra prassi e normativa e innova finalmente sulla possibilità di non firmare i file oggetto di deposito telematico che non è necessario firmare.
La rivoluzione sui formati
Via libera quindi alla ovvia e necessaria produzione dei formati EML per la prova delle notifiche (art. 10 co. 2 delle Specifiche), formato che va ad aggiungersi quindi a PDF/A e TIFF quali unici formati “ammessi” nel processo tributario telematico.
L’inserimento del formato EML comporta anche la precisazione che il suo deposito è ammesso ove questo contenga unicamente file negli altri formati tipici del tributario telematico (quindi di nuovo PDF/A e TIFF).
L’aggiunta del solo formato EML lascia però aperta la questione della ammissibilità o meno degli ulteriori formati “gestiti” dal SIGIT come da comunicazione sul sito della giustizia tributaria.
In particolare, abbiamo ancora i file in formato BMP, XML, GIF, JPEG, XLS, XSLX, DOC, DOCX, ODT, PDF (non A), PNG e TIFF (che non rispettano i requisiti di risoluzione, colore e compressione di cui alla normativa), che sono gestiti dal sistema e non è chiaro se siano o meno ammissibili in difetto di presa di posizione normativa sul punto.
La nuova normativa non fa chiarezza sul punto ed anzi sembra complicare la problematica nella misura in cui parla di un controllo di ammissibilità dei file e di un (successivo?) controllo della validità dei formati ai fini della protocollazione (art. 7 co. 4 lett. e) delle Specifiche).
C’è quindi da augurarsi che le Corti di Giustizia Tributaria optino per una interpretazione di buon senso del “combinato disposto” fra norma e notizia sul portale online e non frappongano ostacoli alla possibile acquisizione di file nei formati gestiti dal SIGIT (pur non menzionati nelle Specifiche, ma in alcuni casi di opportuna produzione, pensiamo ad esempio ad una PEC stragiudiziale che contiene un allegato in formato Excel), specie se si considera:
- che è stato inserito nelle Specifiche un inciso (art. 7 co. 8) secondo cui “Le tipologie di formato dei file ammessi dal S.I.Gi.T. [..] sono pubblicati ed aggiornati nell’area pubblica del Portale”, disposizione non confortante in quanto sembra lasciare alla pubblicazione sul sito della Giustizia Tributaria un vaglio di ammissibilità fondamentale sui formati, con conseguenti evidenti problemi di conoscibilità della normativa, specie nella sua eventuale evoluzione diacronica;
- che in ogni caso l’art. 16 bis del D.Lgs. n. 546/92 non contiene esplicite sanzioni di inammissibilità del ricorso nel caso di mancato rispetto della regolamentazione tecnica.
La rivoluzione sulle firme
Le modifiche alle Specifiche Tecniche introdotte dal provvedimento del 21 aprile scorso introducono anche le definizioni di firma CAdES e PAdES prescrivendo la sottoscrizione degli atti (e consentendo la sottoscrizione dei documenti) sia nel formato CAdES che nel formato PAdES (art. 10 co. 1 lett. d) delle Specifiche).
Ulteriore apprezzata novità in tema di firme è la possibilità di procedere al deposito di file allegati al ricorso senza doverli necessariamente sottoscrivere (art. 10 co. 2 lett. c) delle Specifiche).
A questa novità si aggiunge una opportuna prescrizione in tema di firme multiple, ovvero la possibilità di produrre file con più di una firma anche qualora una delle firme apposte sia scaduta ed a condizione che almeno una delle firme apposte risulti valida.
Questa disposizione è senz’altro opportuna perché da un lato consente di produrre file firmati da più parti preoccupandosi della sola validità della firma apposta dal legale e/o dal nostro rappresentato, dall’altro lato consente di produrre file con firma scaduta “convalidando” la sottoscrizione con una nuova firma da parte del procuratore (pensiamo al caso, non infrequente nella pratica, di scadenza della firma digitale nel periodo intercorrente fra la notifica del ricorso-reclamo e il suo deposito).
Di nuovo però si ricade nella critica mossa alla disposizione in tema di firma digitale obbligatoria degli allegati, ovvero si torna ad offrire il raggiungimento di un risultato tecnico (la producibilità di un atto con firma scaduta) sfruttando un elemento giuridico di un atto (ovvero la sottoscrizione) che viene così spogliato del suo significato reale.
Le novità sui controlli
Con l’occasione di questo aggiornamento delle Specifiche Tecniche il Ministero ha approfittato per riorganizzare i controlli sul deposito, con la previsione dell’inserimento di una più completa serie di verifiche (potenzialmente bloccanti) effettuati in automatico durante la fase di caricamento del deposito.
Questa serie di controlli (che vengono resi disponibili in fase di consultazione dello stato del deposito) rende ancor più imprescindibile una verifica del buon fine dell’invio telematico attraverso l’apposita funzionalità disponibile sul portale, così da intercettare tempestivamente eventuali problematiche, che ora comprendono avvisi circa il superamento dei limiti di dimensione dei file nonché avvisi circa difetti di integrità dei file firmati.
Quanto a quest’ultimo punto la normativa sembra riservare la verifica circa l’integrità dei file depositati ai soli file firmati. Non è chiaro però se il concetto di integrità vada riferito alla non modifica del file dopo la sottoscrizione (sul punto è quindi opportuno ricordare di non effettuare modifiche di sorta ai file già firmati in PAdES e quindi liberamente “apribili”, anche consistenti in semplici annotazioni) ovvero se si estenda all’integrità del contenuto dei file, andando ad esaminare se il deposito ha ad oggetto un file danneggiato (ipotesi che non appare però credibile visto che, nel caso, la verifica avrebbe dovuto estendersi anche ai file non firmati, e salvo la “limitazione” a tale tipologia di file non sia frutto di una svista).
Con riguardo all’esito di queste attività di verifica se il ricorso presenta errori gravi (carenza di valida sottoscrizione o presenza di virus) il deposito non viene acquisito (con comunicazione via PEC al difensore), altrimenti l’errore (e le sue conseguenze in tema di mancata acquisizione del deposito) viene segnalato attraverso il portale (la normativa non sembra imporre, sul punto, una comunicazione via PEC anche se la prassi di funzionamento del portale, che ci si augura verrà mantenuta, è quella dell’invio di tale comunicazione anche nel caso di errore bloccante non dipendente da sottoscrizione invalida o virus).
Se invece il blocco interessa uno o più allegati gli stessi non vengono acquisiti (ma il deposito giunge comunque a buon fine) in presenza di virus (circostanza che viene comunicata via PEC al difensore). Se ci sono invece problemi relativi alla validità della firma il sistema oggi acquisisce comunque gli allegati (non così nel caso invece di file firmati ma non integri, che stando alla lettera della norma non sembra possano essere acquisiti, o comunque viene fornita l’indicazione relativa alla loro non acquisizione a portale). Con riguardo, infine, alle problematiche di dimensione e di formato il sistema fornisce informazioni a portale circa la non acquisizione dei file stessi.
Le novità privacy
L’articolo 14 delle Specifiche Tecniche, rubricato “Adeguamento delle Regole Tecniche” viene completamente riscritto dal DM 21.04.2023, a partire dalla rubrica che ora vede aggiungersi all’adeguamento tempo per tempo delle specifiche l’adeguamento “delle misure di sicurezza e privacy”.
La nuova normativa riprende in toto il contenuto delle richieste del Garante Privacy nel proprio parere, e in particolare prescrive:
- l’esecuzione di periodiche valutazioni di impatto al fine di saggiare la tutela dei dati personali offerta dalle regole e dalle misure tecnico organizzative adottate;
- la definizione (con apposita Direttiva e Decreto MEF) delle responsabilità dei soggetti coinvolti nel trattamento dei dati (sul punto la norma richiama in maniera poco chiara i “responsabili” dello svolgimento dei compiti connessi ai trattamenti dei dati, senza precisare se la disposizione faccia riferimento a responsabili esterni ovvero, più genericamente e più probabilmente, a tutti i soggetti interni ed esterni che abbiano responsabilità in relazione al trattamento dati necessario al funzionamento della Giustizia Tributaria telematica;
- La centralizzazione delle notizie in relazione ad eventuali data breach.
É poi il caso di ricordare che il Garante nel proprio parere dell’11 novembre scorso si era inoltre speso nel prescrivere una serie di procedure per irrobustire la sicurezza del sistema, procedure la cui adozione è davvero necessaria se pensiamo al valore dei dati che vengono riversati nel sistema della Giustizia Tributaria ed alle minacce informatiche sempre più frequenti con cui si confrontano gli operatori.
Prospettive
Le novità contenute nel Decreto del 21 aprile 2023 sono senz’altro positive e da accogliere con favore visti i correttivi apportati al processo tributario telematico che muovono nella corretta direzione di migliorarne la fruizione da parte degli utenti, resta però il rammarico per i lunghi tempi di questo intervento, per l’urgenza (ad oggi inascoltata) di una revisione delle piattaforme in tema di udienza da remoto e per il fatto che in certi punti il decreto sembra non voler fare quel deciso in avanti che gli operatori si sarebbero attesi.
Il processo tributario telematico si muove su una piattaforma di moderna concezione e potrebbe/dovrebbe fare scuola fra gli altri processi telematici italiani, ma la lentezza della sua evoluzione e alcuni esempi di una tecnica legislativa che sembra svilire il significato giuridico di alcuni gesti e dimenticare una gerarchia delle fonti che non può essere “telematizzata” al punto da dare priorità a pagine web rispetto al contenuto di decreti ministeriali e di leggi, contribuiscono a renderlo meno eccellente di quanto potrebbe essere.
A ciò si aggiunge la necessità di costruire un sistema moderno e sicuro, in questo senso le prescrizioni del Garante privacy in tema di sicurezza sono solamente un punto di partenza per il Ministero che deve costruire (o, se del caso, ricostruire) il proprio Portale con la sicurezza e la tutela dei dati implementate con rigore e by design.
