L’art. 176, d.l. 19 maggio 2020, n. 34, ha stabilito che, per il periodo d’imposta 2020, è riconosciuto un credito in favore dei nuclei familiari con Isee in corso di validità non superiore a 40.000 euro, utilizzabile dal 1° luglio al 31 dicembre 2020 per il pagamento di servizi offerti dalle imprese turistico ricettive, dagli agriturismi e dai bed and breakfast. Tale credito (cd. bonus vacanze) era utilizzabile da un solo componente per nucleo familiare e veniva riconosciuto a condizione che, tra l’altro, le spese fossero sostenute in un’unica soluzione e il totale del corrispettivo fosse documentato da fattura elettronica o documento commerciale da trasmettersi telematicamente all’Agenzia delle entrate, recante il codice fiscale del soggetto che intendeva fruire del credito. Ai sensi dell’art. 5, comma 6, d.l. 28 ottobre 2020, n. 137, il bonus vacanze è diventato utilizzabile fino al 30 giugno 2021, purché richiesto entro il 31 dicembre 2020.

L’attuazione di questa misura era rimessa ad un provvedimento del Direttore dell’Agenzia delle entrate, da adottare sentito l’Inps con riferimento agli aspetti concernenti la verifica della sussistenza di una Dsu in corso di validità per Isee non superiore a 40.000 euro. Lo schema di provvedimento in questione − secondo il quale la richiesta dell’agevolazione poteva essere effettuata da uno qualunque dei componenti del nucleo familiare esclusivamente mediante l’app per dispositivi mobili denominata “IO” (APP IO), resa disponibile da PagoPA e accessibile tramite Spid o Carta di identità elettronica (Cie) − è stato poi sottoposto al Garante per il prescritto parere.

In questa sede, pur rilevando il recepimento di alcune indicazioni fornite dall’Ufficio nel corso delle riunioni tecniche, il Garante ha comunque riscontrato la permanenza di alcuni profili di criticità, a partire dai rapporti con PagoPA (quale responsabile del trattamento) e in relazione ai tempi di conservazione dei dati. Soprattutto, i principali rilievi hanno riguardato l’utilizzo dell’APP IO (sulla quale v. infrapar. 4.1.4), che costituisce punto di accesso telematico in rete della p.a. ai sensi dell’art. 64-bis, d.lgs. 7 marzo 2005, n. 82, attivato in via sperimentale e la cui autorizzazione è sottoposta ad approfondimenti da parte dell’Autorità. In particolare, il Garante ha evidenziato che: le modalità di autenticazione informatica da parte dell’utente dovevano avvenire in conformità ai paradigmi e protocolli previsti da AgID con riferimento all’utilizzo di Spid; le notifiche push, previa adeguata informazione, dove-vano essere disattivabili dall’utente e, comunque, non dovevano fornire indicazioni di dettaglio relative al mittente e al contenuto del messaggio oggetto della notifica (limitandosi a rinviarlo all’app stessa); non doveva essere prevista l’adesione automatica a tutti i servizi già disponibili sull’APP IO, assicurando agli utenti la facoltà di scegliere gli enti da cui ricevere la predetta messaggistica (cd. modalità opt-in); oc-correva adottare adeguate garanzie, anche in termini di trasparenza, con riferimento al trasferimento di dati personali verso Paesi terzi, alla luce della sentenza della Corte di giustizia (Grande Sezione) del 16 luglio 2020, C-311/18, Data Protection Commissioner c. Facebook Ireland Ltd, Maximillian Schrems (cd. Schrems II).

In ragione di tutto ciò, il Garante ha espresso parere favorevole sullo schema di provvedimento del Direttore dell’Agenzia delle entrate ed ha autorizzato l’Agenzia ad effettuare il trattamento, finalizzato all’erogazione del bonus vacanze, ai sensi dell’art. 58, par. 3, lett. c), del RGPD e dell’art. 2-quinquiesdecies del Codice, nel rispetto delle citate prescrizioni (provv. 12 giugno 2020, n. 102, doc. web n. 9367375).

Fonte : Relazione GPDP 2020