Nel secondo semestre del 2011 l’Agenzia delle Entrate avvierà nuovi e più articolati controlli sul rispetto degli obblighi di riservatezza cui sono tenuti gli incaricati della trasmissione delle dichiarazioni. I controlli saranno effettuati nel corso degli ordinari interventi di vigilanza, svolti dalle strutture di audit regionali presso CAF e altri intermediari abilitati al canale Entratel. Lo ha reso noto con il comunicato stampa di agosto scorso.

Oggetto dell’attività di verifica
 Le operazioni di verifica saranno volte a controllare che gli intermediari abbiano adottato le cautele necessarie a proteggere i dati personali e sensibili di cui vengono a conoscenza ai fini dello svolgimento della propria attività, secondo quanto previsto dall’art. 11 del Decreto 31 luglio 1998 e dall’art. 5 del Provvedimento del Direttore dell’Agenzia delle entrate del 10 giugno 2009.
 I controlli riguarderanno, in particolare, i seguenti aspetti.
 
Struttura organizzativa dell’intermediario
 Saranno oggetto di riscontro:
- L’eventuale designazione, da parte del titolare del trattamento dei dati (CAF o altro intermediario abilitato al Servizio Entratel), dei responsabili (anche esterni) del trattamento dei dati e la redazione di istruzioni operative riservate agli stessi responsabili (Legge sulla privacy);
- l’esistenza del documento programmatico per la sicurezza previsto dalle disposizioni contenute nell’Allegato B, regola 19, al D.lgs. n. 196 del 2003;
- la designazione degli incaricati per il trattamento dei dati e l’attribuzione dell’ambito di trattamento consentito (art. 30 del D.lgs. n. 196 del 2003; art. 11, comma 4 del decreto 31 luglio 1998; art. 5, comma 4 del provvedimento 10 giugno 2009);
- la sensibilizzazione dei soggetti che trattano i dati personali dei contribuenti circa le responsabilità connesse alla condivisione o comunicazione a persone non legittimate dei predetti dati acquisiti nello svolgimento delle proprie funzioni;
- l’adozione di una procedura di controllo del rispetto delle misure di
 sicurezza e dell’adempimento degli obblighi previsti dal D.lgs n. 196 del 2003;
- l’adozione di una corretta politica di gestione delle password, che preveda l’attribuzione a uno o più soggetti specifici dell’incarico di amministrare le utenze per l’accesso ai sistemi informatici, l’utilizzo di credenziali di accesso nominative e note solo all’utente responsabile della loro conservazione, l’indicazione da parte dell’intermediario ai propri collaboratori dei criteri che le password utilizzate devono rispettare, secondo quanto previsto dall’Allegato B, regola 5, del D.lgs. n. 196 del 2003, del corretto uso delle stesse nonché delle responsabilità derivanti dalla loro eventuale condivisione, l’adozione di misure volte a mantenere riservate le informazioni che consentono l’accesso ai servizi telematici (allegato B del D.lgs n. 196 del 2003, art. 5, comma 6 del provvedimento 10 giugno 2009);
- la previsione, nel ciclo di vita delle credenziali, di procedure per garantire la costante aderenza tra i privilegi di accesso ai dati e il ruolo organizzativo del personale che vi accede (art. 34 del D.lgs. n. 196 del 2003);
- la designazione, come responsabili del trattamento, delle società esterne diverse dalle società di servizi di cui l’intermediario si avvalga per operazioni meramente strumentali all’esercizio dell’assistenza fiscale (ad es. quelle di natura tecnica quali il ripristino di un server o la sostituzione di un supporto hardware), qualora lo svolgimento di tali operazioni implichi il possibile trattamento di dati nonché l’adozione di procedure volte a garantire la riservatezza dei dati e/o di clausole contrattuali che prevedano la salvaguardia della riservatezza delle informazioni