Il cashback di Stato avrà bisogno ancora di qualche limatura privacy per il via libera definitivo, da parte del Garante. La misura del Governo – fino a 300 euro di bonus annuale agli utenti per i pagamenti elettronici nei negozi, dal primo dicembre – prevede infatti un trattamento dati su larga scala.
Analizziamo infatti il parere favorevole dato dal Garante Privacy il 13 ottobre (provvedimento n. 179) alla misura cashback di Stato.
Non è un via libera definitivo, attenzione.
Cashback di Stato e garanzie privacy per i cittadini: in attesa del via libera del Garante
In particolare, il parere favorevole del Garante riguarda quindi lo schema di decreto del MEF (ancora in via di pubblicazione) e non l’avvio del trattamento. Infatti, il vero “via libera” al trattamento arriverà solo quando il Ministero dell’Economia e delle Finanze eseguirà la valutazione d’impatto sulla protezione dei dati personali (richiamata al punto i) del parere) prevista dall’art. 35 del GDPR (DPIA).
Il Garante, peraltro, ha precisato che sta ancora esaminando la DPIA che PagoPA S.p.A. ha trasmesso con riguardo all’uso generale dell’app IO. Le risultanze di questo esame potrebbero condizionare fortemente la DPIA relativa al cashback.
L’importanza del via libera del Garante
Il via libera del Garante Privacy è stato richiesto data la natura di questo provvedimento.
Oltre alle misure di sicurezza (tecniche ed organizzative) sarà importante individuare, nella dinamica dell’interazione dell’utente con l’app, infatti:
- quali garanzie di trasparenza (p.e. come viene fornita l’informativa)
- e di correttezza (p.e. come viene acquisito il consenso o come può essere revocato) sono offerte all’interessato.
Il meccanismo del cashback, apparentemente semplice, richiede in realtà un trattamento di dati personali piuttosto articolato e, soprattutto, “su larga scala”.
Trattamenti dati personali
Il primo elemento sul quale si concentra il parere del Garante è la finalità del trattamento dei dati personali che, è bene sottolinearlo, è diversa dallo scopo politico che, indirettamente, come abbiamo detto in precedenza, è l’”emersione della base imponibile dei soggetti che vendono”; la finalità del trattamento è, quindi, l’”erogazione dei rimborsi a fronte di un determinato ammontare di pagamenti elettronici effettuati in uno specifico arco temporale”. Perché questo focus sulla finalità? Esistono due ragioni per le quali il Garante si concentra sulla finalità:
- la prima, più generale, corrisponde alla necessità di attenersi all’impianto implicito previsto GDPR che vuole l’esatta definizione della finalità del trattamento quale l’elemento centrale da cui il titolare deve partire per poter rispettare tutti gli altri princìpi del trattamento (minimizzazione dei dati, limitazione della conservazione, ecc.);
- la seconda, più specifica e più critica, tendente ad allontanare la tentazione di impiegare i dati personali per finalità differenti (per esempio, come elementi informativi per innescare accertamenti fiscali nei confronti degli acquirenti); i dati raccolti, dunque, saranno impiegati solo per i rimborsi da cashback e utilizzati, successivamente, dal Ministero solo per finalità statistiche.0
I soggetti coinvolti
Il parere prosegue considerando con attenzione quali sono i soggetti coinvolti nel trattamento e come lo schema di decreto ne individua i ruoli operativi e, quindi, le rispettive responsabilità rispetto al GDPR.
Il titolare del trattamento è il Ministero dell’Economia e delle Finanze che si avvale di due responsabili del trattamento, PagoPA S.p.A. e Consap S.p.A., rispettivamente per le due fasi del trattamento: “individuazione dei soggetti destinatari dei rimborsi” (ovvero i soggetti che hanno totalizzato un ammontare di pagamenti cashless per almeno 1.500 euro in un semestre solare) ed “erogazione materiale del rimborso” (pari al 10% della spesa per un massimo di 150 euro a semestre solare). PagoPA S.p.A. si avvale a sua volta di subresponsabili, noti nel mondo dei pagamenti come issuer ed acquirer, i quali non sono altro che, rispettivamente, gli emittenti di carte di credito/debito e gli intermediari finanziari (tipicamente istituti di credito). Invece, non rivestono alcun ruolo rispetto alla finalità del trattamento le singole attività commerciali/professionali/artigianali alle quali il cittadino (l’interessato secondo il GDPR) corrisponde la somma di denaro; questi, infatti, non verranno in possesso dei dati identificativi dell’acquirente se non per finalità sottostanti il contratto che pongono in essere (ovvero la vendita di beni o servizi).
Gli strumenti
Lo strumento centrale impiegato nel trattamento è l’app IO prodotta, gestita e manutenuta da PagoPA S.p.A.. Per poter partecipare al programma di cashback previsto dal Ministero dell’Economia e delle Finanze, il cittadino deve installare l’app ed esprimere esplicitamente la sua volontà.
L’app IO è l’applicazione per dispositivi mobili della piattaforma prevista dal comma 2, art. 5 del D.Lgs. 82/2005 (Codice dell’Amministrazione Digitale).
Naturalmente, oltre a questo strumento, i responsabili (PagoPA S.p.A. e Consap S.p.A.) che impiegheranno ulteriori ed adeguati strumenti di trattamento (dispositivi di elaborazione e di memorizzazione oltre che apposite soluzioni software) ai quali, naturalmente, lo schema di decreto non può riferirsi.
Cos’è il cashback di Stato e a cosa serve
In conclusione, anche se questa testata ne ha trattato a lungo, è utile tornare sulle finalità della misura.
Il cashback è universalmente riconosciuto come il meccanismo che consente di ricevere il rimborso di somme in denaro a fronte di precedenti esborsi effettuati dal consumatore presso un singolo soggetto o una pluralità di soggetti associati o variamente consorziati. Il meccanismo, chiamato comunemente “programma di cashback”, è, solitamente, basato sulle seguenti caratteristiche:
- il soggetto (singolo o associato) che rimborsa coincide con il soggetto al quale il consumatore ha corrisposto gli esborsi per acquisti di beni o servizi;
- lo scopo è la fidelizzazione del consumatore;
- la percentuale di rimborso sull’ammontare degli esborsi varia dal 5% al 15%;
- l’arco temporale nell’ambito del quale si calcolano gli esborsi è limitato (di solito gli acquisti ed i corrispondenti rimborsi devono avvenire nell’arco di un anno);
- il consumatore aderisce volontariamente al programma.
È, quindi, un sistema premiante legato a determinati comportamenti che, come detto, ha la sua origine nel mondo commerciale.
Tuttavia, in quanto sistema premiante, le autorità governative italiane lo hanno individuato quale strumento per consentire l’emersione della cosiddetta base imponibile corrispondente alle transazioni commerciali. Il ragionamento sottostante parte dal presupposto che le transazioni commerciali il cui pagamento avviene tramite strumenti elettronici non possono sfuggire alla tassazione degli introiti del venditore; viceversa, i pagamenti in contanti possono essere nascosti all’Erario nel caso in cui, a quanto pare abbastanza frequente secondo molti studi autorevoli, a fronte del pagamento in denaro sonante il venditore ometta di emettere il corrispondente documento fiscale.
Quindi, un maggior numero di pagamenti elettronici dovrebbe far emergere una maggiore base imponibile. I tentativi di aumentare il numero di transazioni elettroniche di pagamento, fino allo scorso anno, si sono basati sulla coercizione cioè sull’obbligo di pagare con strumenti elettronici gli acquisti oltre una certa soglia che, nel tempo, è stata molto variabile e oggetto di accesi scontri politici.
A partire da quest’anno, invece, il legislatore ha deciso di affiancare il bastone alla carota: vengono incentivati i pagamenti elettronici attraverso il cashback ovvero premiando i contribuenti che pagano con strumenti elettronici (bancomat, carta di credito, ecc.). Tutto è contenuto nella L. 160/2019 (Bilancio di previsione dello Stato per l’anno finanziario 2020 e bilancio pluriennale per il triennio 2020-2022) che, ai commi dal 288 al 290 dell’art. 1, detta la cornice generale dell’iniziativa.
Le caratteristiche centrali di questo cashback
- il soggetto che rimborsa è lo Stato e non coincide con il soggetto al quale il consumatore ha corrisposto gli esborsi per acquisti di beni o servizi;
- lo scopo è l’incentivazione dell’uso dei pagamenti elettronici e, quindi, l’indiretta emersione della base imponibile dei soggetti che vendono;
- la percentuale di rimborso sull’ammontare degli esborsi non è stabilita dalla legge ed è rimessa ad un decreto del Ministero dell’Economia e delle Finanze;
- l’arco temporale sul quale si calcolano gli esborsi non è stabilito dalla legge ed è rimesso ad un decreto del Ministero dell’Economia e delle Finanze;
- il consumatore deve essere tale cioè non deve effettuare l’acquisto nell’ambito dell’esercizio d’impresa, arte o professione; inoltre, il consumatore deve essere maggiorenne.
