È noto che l'ambito di operatività dei meccanismi di scambio di informazione non si esaurisce nella dimensione intra-UE – oggi essenzialmente disciplinata, a livello di imposizione diretta, dalla direttiva 2011/16/UE come integrata successivamente dalle varie direttive c.d. ‘DAC' (cfr. P. Pistone, Diritto Tributario Internazionale, Torino, 2017, 165 segg.) - ma ha anche un'importante connotazione internazionale, che si è nel tempo sviluppata con l'adesione al Foreign Account Tax Compliance Act (nel prosieguo “FATCA”) ed al Common Reporting Standard (nel prosieguo “CRS”), che hanno una loro autonoma disciplina di derivazione prettamente internazionale (cfr., per un primo inquadramento, X. Oberson, International Exchange of Information in Tax Matters: Towards Global Transparency, Edward Elgar Publishing, 2018).
Ebbene, l'effettiva conformità al diritto UE di tali meccanismi di scambio di informazioni, che si svolgono in una dimensione extra-UE ed avvengono sulla base di accordi di diritto internazionale è, invero, molto dibattuta.
Già nel quadro normativo previgente al Regolamento GDPR erano state sollevate perplessità circa l'insoddisfacente tutela dei dati personali nel contesto delle misure di scambio automatico di informazioni, come si può inferire dalle ‘Guidelines for Member States on the criteria to ensure compliance with data protection requirements in the context of the automatic exchange of personal data for tax purposes' elaborate dall'organismo ‘Article 29 Data Protection Working Party' in data 16 dicembre 2015.
In tale documento si era, tra le altre cose, sottolineato che una valutazione delle misure di scambio automatico avrebbe dovuto fondarsi, per essere rispettosa del principio di proporzionalità, sul principio della minimizzazione del trattamento dei dati personali. Con la conseguenza che il meccanismo di scambio di informazioni avrebbe dovuto essere configurato tramite criteri predeterminati ex ante idonei a garantire, da un lato, l'effettuazione del trasferimento dei dati soltanto per i contribuenti nei cui confronti sussistono potenziali profili di rischio di evasione fiscale e, dall'altro lato, l'esclusione della comunicazione automatica di dati personali di contribuenti con posizioni a minore rischio fiscale.
Nel citato documento, in specie, si fornivano indicazioni di rilievo (ancorché riferite alla normativa previgente al Regolamento GDPR) in merito alla compatibilità dei meccanismi di scambio di informazione di tipo automatico: in particolare, con riguardo al bilanciamento tra le esigenze di contrasto all'evasione fiscale e il principio di minimizzazione del trattamento dei dati, si sottolineava che: “While that case focused on the necessity and proportionality of certain anti-terrorism measures, the WP29 is of the opinion that the balancing exercise mandated by the ECJ ruling applies to any public policies developed (including policies on tax cooperation) which have an impact on personal data protection rights. Therefore, in the tax cooperation agreements, it is necessary to demonstrably prove the necessity of the foreseen data exchange and that the required data are the minimum necessary for attaining the stated purpose. As a consequence, tax cooperation agreements should include provisions and criteria that explicitly link information exchange and, in particular, the reporting of personal data concerning financial accounts to possible tax evasion and that exempt low-risk accounts from reporting. In this respect, such criteria should be applicable ex ante to determine which accounts (and which information) would need to be reported”.
Requisiti, questi ultimi, che difficilmente potevano essere integrati con riguardo a meccanismi di scambio automatico di informazioni sulla scia di FATCA e del CRS, che impongono il trattamento e la disseminazione di dati personali di contribuenti, in assenza di alcun profilo di rischio di evasione fiscale e senza verifiche in tema di proporzionalità e minimizzazione dei dati oggetto di scambio.
Ad ogni modo, la questione circa la conformità dei meccanismi di scambio di informazioni in forza degli accordi internazionali basati sui regimi FACTA e CRS con la disciplina relativa alla protezione dei dati personali di derivazione unionale è divenuta ancora più pressante a seguito dell'entrata in vigore del Regolamento GDPR.
Infatti, come ha confermato un recente studio di approfondimento commissionato dal Parlamento europeo, tali ultimi accordi, in ispecie quelli sottoscritti dai Paesi europei con gli Stati Uniti sulla scia di FATCA, presentano seri profili di incompatibilità con le nuove disposizioni del Regolamento GDPR (cfr. Fatca legislation and its application at international and EU level, study of the Policy Department for citizens' rights and constitutional affairs. Directorate General for Internal Policies of the Union, PE 604.967, maggio 2018; in dottrina, C. Garbarino, The EU Protection of Tax Data Transferred to Third Countries, in Riv. dir. trib., 2019, 93 segg.).
Tale studio ha analizzato le misure sottoscritte dai Paesi europei sulla scia della disciplina FATCA e ne ha valutato la conformità alla legislazione unionale in materia di protezione dei dati personali con specifico riferimento alle neo-introdotte disposizioni del Regolamento GDPR. In particolare – dopo aver evidenziato in chiave generale i rischi per le garanzie dei contribuenti in ordine alla tutela dei dati personali che possono derivare dai meccanismi di scambio di informazione automatico e l'importanza del Regolamento GDPR ai fini del rafforzamento della sfera dei diritti alla protezione dei dati – il documento in questione ha formulato plurime considerazioni critiche soprattutto sotto il profilo della proporzionalità tra obiettivi perseguiti di contrasto all'evasione fiscale e principio della minimizzazione dei dati personali.
Al riguardo, il rapporto ha inequivocabilmente concluso che l'ampiezza degli obblighi di comunicazione imposti dalla disciplina FATCA costituisce un'ingerenza non giustificata, specie nella misura in cui impone un generalizzato trasferimento di dati, relativamente a tutti gli ‘U.S. expatriates', in assenza di un'adeguata valutazione, caso per caso, che porti a ritenere che il contribuente interessato stia effettivamente ponendo in essere una condotta di evasione fiscale.
I dubbi sembrano trovare conferma nella segnalazione del 25 febbraio 2019 dell'European Data Protection Board, con la quale tale organismo ha richiamato i singoli Stati a procedere alla valutazione della conformità degli accordi intergovernativi sottoscritti in adesione a FACTA, una volta predisposte le linee guida in punto di ‘tutele adeguate' previste per il trasferimento di dati extra-Ue ai sensi dell'art. 46 del Regolamento GDPR.
Le considerazioni espresse dall'European Data Protection Board sono invero di grande interesse e mettono in evidenza che il fattore decisivo per la legalità del trasferimento di dati personali anche ai fini fiscali attiene all'esistenza di un plesso di ‘tutele adeguate' e di garanzie defensionali effettivamente esercitabili da parte del contribuente interessato che siano espressamente indicate in "un atto giuridicamente vincolante ed esecutivo tra le autorità o gli organismi pubblici”, come previsto dall'art. 46, paragrafo 2, lettera a) del Regolamento GDPR.
Tale ragionamento è, d'altra parte, rafforzato nella giurisprudenza della Corte di giustizia dell'Unione europea, che, con la sentenza Schrems (sentenza della Grande sezione del 6 ottobre 2015, C-362/14), già prima dell'introduzione del GDPR, ha chiarito, in termini generali, che deve sussistere un livello effettivo di tutela dei dati personali in caso di trasferimento verso Paesi terzi, delineando una puntuale distinzione tra il livello di protezione garantito nell'ordinamento giuridico dell'UE e quello che il Paese terzo è tenuto a fornire per soddisfare il diritto dell'UE.
La Corte di giustizia nella sentenza Schrems (§ 74) ha così limpidamente concluso: “Si evince dalla formulazione espressa dell'articolo 25, paragrafo 6, della direttiva 95/46 che è l'ordinamento giuridico del paese terzo interessato dalla decisione della Commissione che deve garantire un livello di protezione adeguato. Anche se gli strumenti dei quali tale paese terzo si avvale, al riguardo, per assicurare un siffatto livello di protezione, possono essere diversi da quelli attuati all'interno dell'Unione al fine di garantire il rispetto dei requisiti risultanti da tale direttiva, letta alla luce della Carta, tali strumenti devono cionondimeno rivelarsi efficaci, nella prassi, al fine di assicurare una protezione sostanzialmente equivalente a quella garantita all'interno dell'Unione”.
In sostanza, come ha osservato sempre l'European Data Protection Board (cfr. le Guidelines 2/2018 on derogations of Article 49 under Regulation 2016/679 del 25 maggio 2018, § 4), anche nell'ipotesi in cui i dati personali del contribuente siano oggetto di trattamento e trasferimento verso Paesi terzi rispetto all'UE, il contribuente interessato deve comunque poter continuare a beneficiare dei diritti e delle garanzie fondamentali che gli sarebbero applicabili se il dato non fosse oggetto di trattamento da parte di un Paese extra-UE. Il contribuente, in altre parole, non deve venire pregiudicato dal fatto che i dati sono stati oggetto di un trattamento e trasferimento verso Paesi extra-UE, ma deve poter usufruire, anche in tale circostanza, di un plesso di tutele sostanzialmente equivalenti a quelle esistenti con riguardo agli scambi di informazione che avvengono in ambito puramente intra-UE.
Ed è proprio l'assenza nelle norme, sia nazionali sia di diritto derivato, relative agli scambi di informazione posti in essere nel contesto degli accordi sul modello di FATCA e del CRS di un insieme di disposizioni vincolanti, di natura sostanziale, atte ad assicurare l'esistenza di un livello di tutele equivalenti a quelle disciplinate nel Regolamento GDPR che consente di dubitare che tali meccanismi siano rispettosi della disciplina in tema di diritto alla protezione dei dati personali contenuta nel Regolamento GDPR, specie per quanto riguarda i principi di proporzionalità e minimizzazione dei dati.
Ciò in linea con quanto era stato sostenuto nello studio di approfondimento commissionato dal Parlamento europeo del maggio 2018 (cfr. Fatca legislation and its application at international and EU level, study of the Policy Department for citizens' rights and constitutional affairs. Directorate General for Internal Policies of the Union, PE 604.967), che aveva conclusivamente affermato che gli obblighi imposti dal FATCA costituiscono un'ingerenza ingiustificata, in quanto consentono il trasferimento automatizzato generalizzato di dati personali, in assenza di un'adeguata valutazione caso per caso, in violazione dei principi di proporzionalità e minimizzazione dei dati personali dettati dal Regolamento GDPR.
In tale ottica, va accolto con favore che l'European Data Protection Board abbia recentemente messo a punto una serie di linee guida sugli articoli 46(2)(a) e 46(3)(b) del Regolamento GDPR “per i trasferimenti di dati personali nei confronti di enti pubblici di Paesi extra-UE (cfr. Guidelines 2/2020 on articles 46 (2) (a) and 46 (3) (b) of Regulation 2016/679 for transfers of personal data between EEA and non-EEA public authorities and bodies, Version 1.0 del 18 gennaio 2020).
Si tratta di uno sviluppo positivo, che tenta di superare le carenze dell'attuale approccio nel quale si assiste all'attuazione di scambi di informazioni con Paesi terzi in forza di accordi che non rispettano pienamente i principi e le garanzie sulla protezione dei dati personali dettati dal Regolamento GDPR.
Le Guidelines 2/2020 on articles 46 (2) (a) and 46 (3) (b) of Regulation 2016/679 for transfers of personal data between EEA and non-EEA public authorities and bodies del 18 gennaio 2020 potrebbero, in sostanza, offrire l'opportunità di raggiungere finalmente un livello di armonizzazione che eviti incoerenze nel trattamento dei dati personali e fornisca un quadro di riferimento uniforme per i trasferimenti verso Paesi terzi, ai sensi degli accordi internazionali in ambito FATCA e CRS.
Soprattutto, è interessante notare che le Guidelines 2/2020 on articles 46 (2) (a) and 46 (3) (b) of Regulation 2016/679 for transfers of personal data between EEA and non-EEA public authorities and bodies del 18 gennaio 2020 chiariscono senza ombra di dubbio che gli Stati membri sono tenuti ad includere direttamente nell'ambito degli accordi internazionali con le Autorità pubbliche di tali Paesi terzi apposite norme che prevedono l'insieme delle ‘garanzie adeguate' relative al trattamento dei dati in ossequio alla disciplina del diritto dell'Unione.
Si tratta di un contributo significativo, che potrebbe avere effetti profondi, in quanto impone ai Paesi membri, per poter continuare a dare attuazione agli scambi di informazione nell'ambito dei meccanismi basati su FATCA e sul CRS, di integrare contenutisticamente gli accordi esistenti, inserendo apposite norme che dettaglino la portata delle tutele apprestate per il trattamento dei dati personali, nonché la sfera dei diritti che il contribuente interessato può esercitare allorché voglia contestare la legittimità dello scambio di informazioni che attiene i suoi dati personali.
