Credenziali Entratel e revoca dell’abilitazione: la delega informale non è ammessa (Cons. Stato n. 3708 del 12.05.2026)

Principi di diritto (Massima)
La revoca dell’abilitazione al servizio telematico Entratel può essere disposta nei confronti del professionista che abbia consentito alla propria dipendente di operare nel sistema con le credenziali personali del titolare del trattamento, senza il previsto accreditamento della stessa quale gestore o operatore incaricato. L’accesso con credenziali altrui integra violazione degli obblighi di riservatezza e sicurezza dei dati personali dei contribuenti, nonché inadempimento grave e ripetuto agli obblighi del d.m. 31 luglio 1998, che giustifica la revoca ex art. 8 del medesimo decreto. L’inibizione della facoltà di rilasciare il visto di conformità consegue alla revoca dell’abilitazione alla trasmissione telematica, poiché l’art. 35, comma 3, d.lgs. n. 241/1997 riserva tale facoltà ai soggetti abilitati alla trasmissione telematica delle dichiarazioni. Non è configurabile una delega informale all’accesso al sistema, che il Collegio reputa incompatibile con la funzione di presidio dei rischi.

Il Fatto

Il ricorrente, iscritto all’albo dal 1977 e abilitato al servizio telematico, è titolare di uno studio professionale e figura nell’elenco dei soggetti autorizzati al rilascio del visto di conformità. A seguito di ispezione svolta nel 2021 dall’Ufficio Audit della Direzione Regionale dell’Agenzia delle Entrate, è emerso che egli consentiva l’accesso a Entratel a una propria dipendente, priva di formale accreditamento quale gestore o operatore incaricato, che operava con le credenziali del titolare.

Con provvedimento dirigenziale del 2023 l’Agenzia disponeva la revoca dell’abilitazione al servizio telematico e, di conseguenza, l’inibizione del visto di conformità. Il TAR Emilia Romagna, sede di Parma, accoglieva il ricorso, ritenendo l’accreditamento necessario solo per il titolare del trattamento e non per il personale dipendente. L’Agenzia ha proposto appello.

La Motivazione della Corte

Il Collegio esamina congiuntamente i due motivi d’appello, incentrati sulla portata degli artt. 8 e 11 del d.m. 31 luglio 1998 e del provvedimento del Direttore dell’Agenzia delle Entrate del 10 giugno 2009 n. 79952. Il primo passaggio argomentativo riguarda la contestazione dell’appellato circa la mancata produzione in giudizio della circolare. Il Consiglio di Stato rileva che l’atto era richiamato con tutti gli estremi nel provvedimento e che l’interessato avrebbe potuto acquisirlo mediante accesso; il suo mancato deposito non impedisce al giudice di valutarlo, poiché l’esistenza e il contenuto non sono stati disconosciuti.

Sul piano sostanziale, il Collegio ritiene non ragionevole la lettura che limita gli obblighi di accreditamento ai soli enti e società. Se si accedesse a tale tesi, qualsiasi persona incaricata, anche informalmente, potrebbe accedere a Entratel con le credenziali del titolare, con un aumento esponenziale del rischio di diffusione indebita dei dati personali e con l’impossibilità pratica di individuare i responsabili degli accessi abusivi. Il sistema di accreditamento personale assicura invece che nessuno operi senza un titolo verificato e senza identificazione individuale.

La sentenza appellata è poi corretta sul punto relativo alla sovrapposizione tra figura del gestore o operatore incaricato e quella del responsabile designato del trattamento. Il provvedimento aveva valorizzato l’accesso con credenziali altrui non già come autonoma violazione formale, ma come fattore incidente sulla sicurezza e riservatezza dei dati: il professionista, quale titolare del trattamento, era destinatario degli obblighi dell’art. 11. La circostanza che i due piani siano disciplinati nel medesimo atto conferma che l’Agenzia considera l’accesso a Entratel un rischio tipico del trattamento dei dati dei contribuenti.

Quanto alla revoca, il Collegio osserva che essa è prevista dall’art. 8, comma 1, lett. h), del d.m. in caso di gravi e ripetute violazioni degli obblighi di riservatezza e sicurezza. Nel caso concreto la condotta si è protratta per quattro annualità, con messa a repentaglio dei dati dei contribuenti assistiti: un inadempimento grave e ripetuto. Infine, l’inibizione del visto di conformità non richiede autonoma valutazione, poiché l’art. 35, comma 3, d.lgs. n. 241/1997 riserva la facoltà ai soggetti abilitati alla trasmissione telematica: revocata l’abilitazione, la facoltà non può essere esercitata.

L’appello è conseguentemente accolto, la sentenza impugnata riformata e il ricorso di primo grado respinto, con compensazione delle spese del doppio grado.