Il 15 novembre 2018 il Garante per la protezione dei dati personali inviò un avvertimento formale all’Agenzia delle entrate: la fatturazione elettronica obbligatoria, in partenza dal 1° gennaio 2019, presentava secondo l’Autorità rilevanti criticità rispetto alla disciplina sulla privacy. Non fu una bocciatura definitiva: nel giro di un mese l’Agenzia modificò le regole e il sistema partì nei tempi previsti, con garanzie in più per i dati personali.
Questo articolo, pubblicato nel 2018 e aggiornato nel 2026, ricostruisce cosa contestò il Garante, come si risolse il confronto e quali regole valgono oggi per la memorizzazione delle fatture, la loro consultazione e le prestazioni sanitarie.
In breve
- Con il provvedimento n. 481 del 15 novembre 2018 il Garante usò per la prima volta il potere di avvertimento previsto dal Regolamento UE 2016/679 (GDPR).
- Con il provvedimento n. 511 del 20 dicembre 2018 diede parere favorevole alle nuove regole dell’Agenzia: fatture complete conservate solo per chi aderisce al servizio di consultazione.
- Dal 2019 le fatture per prestazioni sanitarie alle persone fisiche non passano dal Sistema di interscambio: il divieto è diventato permanente con il D.Lgs. 81/2025.
- Oggi l’Agenzia memorizza i file integrali delle fatture per i controlli (art. 14 D.L. 124/2019), con i limiti posti dal Garante nel 2021; dal 2024 l’obbligo riguarda anche i forfettari.
Cosa contestò il Garante nel 2018?
La legge di bilancio 2018 (L. 205/2017) aveva esteso l’obbligo di fattura elettronica, tramite il Sistema di interscambio (SdI) gestito dall’Agenzia delle entrate, alle operazioni tra privati: tra imprese e professionisti e verso i consumatori. Secondo il Garante ne derivava un trattamento sistematico, generalizzato e di dettaglio di dati personali su larga scala, sproporzionato rispetto al pur legittimo obiettivo di contrasto all’evasione.
Le criticità indicate erano soprattutto queste:
- Archiviazione integrale: l’Agenzia non si limitava a recapitare le fatture, ma conservava l’intero file, comprese le descrizioni di beni e servizi, che possono rivelare abitudini di consumo, prestazioni sanitarie o legali.
- Consultazione generalizzata: tutte le fatture sarebbero state rese disponibili online anche ai consumatori che non l’avevano chiesto.
- Intermediari: i soggetti delegati a inviare e conservare le fatture per molte imprese concentravano grandi quantità di dati, con rischi di sicurezza e di usi impropri.
- Sicurezza: le fatture non erano cifrate e spesso viaggiavano via PEC, restando memorizzate sui server di posta.
Perché si parlò di mancata consultazione preventiva?
Per i trattamenti ad alto rischio il GDPR prevede la valutazione d’impatto e, se il rischio resta elevato, la consultazione preventiva dell’autorità di controllo (art. 36). Il Garante rilevò di non essere stato coinvolto, come invece richiedevano sia il vecchio Codice privacy sia il Regolamento, e che un confronto preventivo avrebbe permesso di progettare il sistema con le garanzie adeguate.
L’avvertimento, adottato anche a seguito di alcuni reclami, fu trasmesso al Presidente del Consiglio e al Ministro dell’economia e delle finanze. Per come funziona oggi il reclamo al Garante vedi la guida su violazione della privacy, reclamo e risarcimento.
Come si risolse il caso?
Il confronto fu rapido. Con il provvedimento n. 511 del 20 dicembre 2018 il Garante espresse parere favorevole, con condizioni, alle modifiche concordate con l’Agenzia:
- i file integrali delle fatture sarebbero stati conservati solo per chi aderiva espressamente al servizio di consultazione;
- per gli altri, memorizzazione dei soli dati fiscalmente rilevanti, senza le descrizioni;
- divieto di emettere tramite SdI le fatture per prestazioni sanitarie, poi stabilito per legge (art. 10-bis D.L. 119/2018 e art. 9-bis D.L. 135/2018);
- richiami agli intermediari sul rispetto del GDPR e studio della cifratura dei file.
La fatturazione elettronica partì così regolarmente il 1° gennaio 2019. Il titolo originario di questo articolo, «il Garante boccia la fatturazione elettronica», va quindi letto come la cronaca di un avvertimento, non di un blocco.
Cosa vale oggi?
Il quadro è cambiato con l’art. 14 del D.L. 124/2019, che ha consentito all’Agenzia e alla Guardia di Finanza di memorizzare i file integrali di tutte le fatture per i controlli fiscali, fino al 31 dicembre dell’ottavo anno successivo a quello della dichiarazione. Il Garante, con il parere n. 454 del 22 dicembre 2021, ha accettato a condizione di limiti precisi, recepiti nel provvedimento dell’Agenzia n. 433608 del 24 novembre 2022, modificato nel 2024.
In sintesi le regole attuali:
- Controlli: i file completi si consultano solo nell’ambito di specifiche attività istruttorie (rimborsi, verifiche, controlli formali) e in caso di indagini penali; per le fatture ai consumatori l’accesso è ancora più ristretto.
- Descrizioni: per le fatture ai consumatori persone fisiche e per quelle emesse dal settore legale non sono memorizzati i dati su natura, qualità e quantità della prestazione; i file del settore legale sono cifrati.
- Consultazione: il servizio online resta su adesione; senza adesione l’operatore vede solo i dati fiscali, il consumatore nessun dato.
- Sanità: le prestazioni sanitarie alle persone fisiche non si fatturano via SdI; il D.Lgs. 81/2025 ha reso il divieto permanente.
- Forfettari: l’art. 18 del D.L. 36/2022 li ha inclusi nell’obbligo dal 1° luglio 2022 sopra i 25.000 euro di ricavi e compensi, e dal 1° gennaio 2024 tutti.
Sul piano pratico, la fattura elettronica trasmessa tramite SdI vale anche come prova scritta per ottenere un decreto ingiuntivo, come spiegato nell’articolo sui ritardi di pagamento tra imprese.
Domande frequenti
L’Agenzia delle entrate può leggere le mie fatture?
L’Agenzia memorizza i file delle fatture, ma può consultarli per intero solo nei casi e con i limiti fissati dopo il parere del Garante del 2021. I dati fiscalmente rilevanti, invece, sono usati anche per l’analisi del rischio e i controlli automatizzati.
Il medico o il dentista mi deve dare la fattura elettronica?
No, per le prestazioni sanitarie rese a persone fisiche la fattura non passa dal Sistema di interscambio: si emette in formato cartaceo o elettronico fuori dallo SdI. I dati utili per la dichiarazione precompilata arrivano tramite il Sistema tessera sanitaria.
Come faccio a consultare online le fatture ricevute?
Bisogna aderire al servizio di consultazione nell’area riservata del sito dell’Agenzia delle entrate, nella sezione «Fatture e corrispettivi». Per il consumatore le fatture restano visibili fino al 31 dicembre del secondo anno successivo a quello di ricezione.
Per dubbi sul trattamento dei propri dati personali o su una contestazione fiscale nata da fatture elettroniche è possibile chiedere una valutazione del caso concreto contattando lo studio dalla pagina sedi e contatti.
