I Reati Societari - Antiriciclaggio

Il parere del Garante privacy sui regolamenti antiriciclaggio

• 
• 

Dettagli

Pubblicato Giovedì, 23 Giugno 2005 00:00

Scritto da Maurizio Arena

Obblighi 'antiriciclaggio': il parere del Garante - 12 maggio 2005

 

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, in presenza del prof. Francesco Pizzetti, presidente, del dott. Giuseppe Chiaravalloti, del dott. Mauro Paissan e del dott. Giuseppe Fortunato, componenti e del dott. Giovanni Buttarelli, segretario generale;

Viste le richieste di parere del Ministero dell'economia e delle finanze;

Visto l'articolo 154, commi 4 e 5, del Codice in materia di protezione dei dati personali (d.lg. 30 giugno 2003, n. 196);

Vista la documentazione in atti;

Viste le osservazioni dell'Ufficio formulate dal segretario generale ai sensi dell'art. 15 del regolamento del Garante n. 1/2000;

Relatore il dott. Giuseppe Chiaravalloti;

PREMESSO:

Il Ministero dell'economia e delle finanze ha chiesto il parere del Garante in ordine a tre schemi di regolamento di attuazione del decreto legislativo 20 febbraio 2004, n. 56, che prevedono disposizioni in materia di obblighi "antiriciclaggio" a carico, rispettivamente, di "intermediari abilitati" (qui definito "schema A"), altri operatori non finanziari ("schema B") e alcuni professionisti ("schema C").

Tali schemi riguardano la stessa problematica e il parere è pertanto reso congiuntamente con il presente atto, in riferimento ai profili rilevanti per la protezione dei dati personali.

I medesimi schemi attuano la disciplina di derivazione europea che estende la normativa antiriciclaggio, già applicata nel settore del credito e dell'intermediazione finanziaria, a categorie di liberi professionisti fra i quali gli avvocati, i notai e i commercialisti (direttiva del Parlamento europeo e del Consiglio del 4 dicembre 2001 n. 2001/97/CE, di modifica della direttiva del Consiglio n. 91/308/CEE; d.lg. n. 56/2004).

L'estensione segue quella operata in passato nei confronti di alcune attività economiche ritenute dal legislatore suscettibili di utilizzazione a fini di riciclaggio, permettendo l'accumulo o il trasferimento di cospicue risorse (agenzie di recupero crediti; custodia e trasporto di valori; commercio di cose antiche, di oro o di preziosi; case d'asta o da gioco; mediazione creditizia e agenzie in attività finanziaria: art. 4, comma 8, d. lg. 25 settembre 1999, n. 374).

In tale occasione il Garante aveva formulato alcune osservazioni in sede di espressione del parere del 12 marzo 2003, qui richiamato in particolare per quanto riguarda i possibili effetti del crescente ampliamento della normativa antiriciclaggio a diverse attività e professioni cui si rivolgono numerosi cittadini.

Tale linea di tendenza, destinata ad ulteriori sviluppi sul piano europeo alla luce di una nuova proposta di direttiva (c.d. "terza direttiva"), rafforza l'esigenza già rappresentata dal Garante di attuare gli obblighi antiriciclaggio in chiave di necessità e proporzionalità dei trattamenti di dati personali.

OSSERVA:

1. Le garanzie in materia di protezione dei dati personali

Il d.lg. n. 196/2003 ha riunito nel Codice le disposizioni più significative in materia di protezione dei dati personali, riducendo la frammentazione delle fonti normative in tema di adempimenti e cautele rispetto al trattamento dei dati.

Nei tre decreti potrebbe risultare utile un richiamo riassuntivo del Codice. Disposizioni in materia di protezione dei dati andrebbero inserite nell'articolato se organiche ed aventi un contenuto integrativo o specificativo delle norme di rango primario del Codice.

Attualmente, disposizioni sulla protezione dei dati sono presenti solo nello schema C (art. 8) e non negli schemi A e B; esse riguardano, però, solo alcune previsioni del Codice e potrebbero ingenerare alcuni equivoci riguardo ad adempimenti non richiamati in materia di protezione dati oppure, per il tenore della loro attuale formulazione letterale, potrebbero essere ad esempio interpretate in chiave di eccezione alla norma primaria, anch'essa di derivazione comunitaria, secondo cui il trattamento illecito o non corretto dei dati ingenera responsabilità (art. 8, comma 4, dello schema C –"…salvo quanto previsto dal successivo articolo 9 comma 3…" in riferimento all'art. 15 del Codice).

A parte un richiamo nel preambolo, l'art. 8 dello schema C (e simili disposizioni andrebbero inserite negli altri due schemi) potrebbe essere così riformulato:

"Art. 8 (Trattamento dei dati personali).

1. Il trattamento dei dati personali connesso all'adempimento degli obblighi di identificazione, conservazione e segnalazione resta soggetto alle disposizioni del codice in materia di protezione dei dati personali, in particolare per quanto riguarda l'informativa da fornire ai clienti, con una specifica avvertenza circa le conseguenze di un eventuale rifiuto di rispondere, la designazione degli incaricati del trattamento e le istruzioni da fornire alla loro attività, nonché per ciò che attiene al rispetto delle misure di sicurezza e alla responsabilità per illecito trattamento di dati non conforme alle disposizioni del presente decreto.".

Il Garante si riserva di valutare, in sede di prima applicazione dei decreti in esame, se alcune modalità di trattamento debbano essere anche sottoposte dall'Autorità ad una verifica preliminare ai fini dell'eventuale prescrizione di specifici accorgimenti e misure (art. 17 del Codice).

2. Identificazione delle persone

La descrizione degli obblighi, in particolare di identificazione e di registrazione della clientela, deve avvenire in termini precisi e conformi alla normativa primaria di riferimento, al fine di poter trattare solo dati pertinenti e non eccedenti rispetto alle finalità perseguite, e con modalità proporzionate, sia per quanto riguarda i clienti interessati, sia in relazione alle operazioni effettuate (art. 11 del Codice).

2.1. Soggetti per conto dei quali il cliente opera

Si ritiene necessario riformulare, in aderenza alla disciplina europea, le analoghe previsioni degli schemi che individuano i presupposti e le condizioni di identificazione (art. 6, comma 2 dello schema A; art. 4, comma 2 dello schema B; art. 3, comma 5, primo periodo, dello schema C; art. 3, par. 7, dir. 91/308/CEE, come modificata). La direttiva prevede che i professionisti e gli altri operatori debbano adoperarsi per identificare la persona per conto della quale il cliente opera solo "qualora sia dubbio" che il cliente agisca per proprio conto, ovvero "qualora sia certo" che agisca per conto di altri. Gli schemi in esame, invece, generalizzano le verifiche e prescrivono indistintamente a tutti i clienti di fornire informazioni per identificare soggetti per conto dei quali operano.

Questa considerazione non riguarda i casi in cui il cliente agisca formalmente per conto di terzi, essendo in tal caso doveroso che il cliente comprovi la sussistenza del potere di rappresentanza (a tale proposito, si invita peraltro a sostituire le parole: "per conto" o "in nome o per conto" con le parole: "in nome e per conto" (art. 6, comma 4, dello schema A; art. 4, comma 3, dello schema B; art. 3, comma 5, secondo periodo dello schema C).

2.2. Operazioni frazionate

Due schemi sanciscono l'obbligo di identificare i clienti "in presenza di operazioni frazionate", oppure "per ogni operazione anche frazionata" (artt. 3, comma 2 dello schema C, e 5, comma 1 dello schema A), intendendosi per frazionata un'"operazione unitaria sotto il profilo economico".

Si invita il Ministero a valutare se tali disposizioni siano conformi alla normativa primaria, in base alla quale l'obbligo di identificare sussiste in un ambito più circoscritto: quando, cioè, "per la natura e le modalità delle operazioni poste in essere, si può ritenere che più operazioni, effettuate in momenti diversi e in un circoscritto periodo di tempo", possano essere considerate parti di un'unica operazione (art. 13, comma 2, d.l. n. 625/1979, art. 3, comma 1, d.lg. n. 56/2004).

3. Registrazione e conservazione dei dati

3.1. Modalità di tenuta degli archivi

Negli schemi è prevista l'adozione di un archivio "unico" presso l'intermediario, l'operatore economico o il professionista, nel quale raccogliere soltanto le informazioni acquisite nell'adempimento degli obblighi antiriciclaggio, in modo da facilitare la conservazione dei dati e i controlli per tale finalità, come previsto dalla normativa di rango primario e già indicato dal Garante nel parere del 2003.

Per quanto riguarda lo schema A, si invita a valutare meglio un'indicazione contraddittoria nel testo, ovvero l'effettiva necessità di consentire che la registrazione dei dati possa avvenire anche in più archivi informatici rispondenti alle medesime finalità antiriciclaggio, anziché solo in un archivio unico (art. 9, comma 4).

In riferimento, invece, agli schemi B e C, si rinnova l'invito già formulato nel parere del 2003 ad evitare, ove possibile, che la registrazione dei dati per finalità antiriciclaggio possa essere eventualmente effettuata anche mediante registri cartacei (art. 8 dello schema B; art. 6, comma 6, dello schema C), oppure in archivi utilizzati anche per altre finalità, come il registro della clientela o degli affari o i registri dove sono conservate informazioni soggette a controlli di pubblica sicurezza (art. 8, commi 8 e 9, dello schema B; art. 7 dello schema C).

L'uso dei registri cartacei potrebbe essere semmai consentito ai soggetti che non dispongono di una struttura informatizzata, stabilendo eventualmente un termine per l'adeguamento.

3.2. "Centri di servizio"

Nei tre schemi si prevede che i soggetti interessati (ad esempio, gli intermediari facenti parte di un medesimo gruppo o più professionisti) possano avvalersi, per la tenuta e gestione dell'archivio, di "centri di servizio" (art. 10, comma 3, schema A; art. 8, comma 2, schema B; art. 6, comma 7, schema C).

La delicatezza dei trattamenti di dati personali in esame induce a rappresentare l'esigenza di prevedere il ricorso a centri esterni di servizio –da designare quali responsabili del trattamento- in termini selettivi tali da evitare un'eccessiva concentrazione di informazioni, avendo cura di prevedere presupposti che garantiscano la loro affidabilità, il pieno rispetto della segretezza delle informazioni da parte del personale incaricato ed una separazione fisica o logica tra i dati conservati nell'interesse di differenti titolari del trattamento. Sotto quest'ultimo profilo, potrebbe essere inserita nelle pertinenti disposizioni degli schemi B e C una norma analoga a quella contenuta nel secondo periodo della omologa disposizione dello schema A ("deve essere comunque garantita la distinzione logica e la separazione delle registrazioni relative a ciascun….").

3.3. Conservazione dei dati

Nel corso del decennio di conservazione previsto con norma primaria potrebbe emergere la necessità di aggiornare alcuni dati. Nei tre schemi andrebbe precisato che sono in tal caso da conservare, decorso il decennio, solo i dati aggiornati –eventualmente per il solo termine quinquennale previsto sul piano comunitario-, anziché tutti gli altri dati collegati alla posizione aggiornata e conservati da diversi anni.

In relazione ai richiamati compiti del Garante in attuazione del citato art. 17 del Codice, i criteri e le modalità per la registrazione e conservazione dei dati nell'archivio informatico devono essere definiti dall'Ufficio Italiano cambi previa ulteriore consultazione di questa Autorità (art. 6, comma 5, dello schema C).

4. Segnalazione di operazioni sospette

Lo schema C presenta alcuni profili di criticità per quanto riguarda la proporzionalità e la selettività degli adempimenti previsti, in particolare per la segnalazione di operazioni sospette.

Il medesimo schema non reca una definizione precisa di "operazione" e non consente al professionista di stabilire con certezza la sussistenza dell'obbligo. A questo proposito si ricorda che, tra le osservazioni rese dai consigli nazionali dei professionisti interessati, si è suggerito di utilizzare la nozione di "prestazione professionale".

L'indeterminatezza di alcuni criteri utilizzati dallo schema non rende agevole individuare le "operazioni che appaiono incongrue rispetto alle finalità dichiarate", ovvero le "ingiustificate incongruenze rispetto alle caratteristiche soggettive del cliente e alla sua normale operatività " (art. 11, comma 5, lett. c) e d)); conseguentemente, potrebbero derivarne trattamenti di dati erronei, incompleti o sovrabbondanti rispetto alle finalità perseguite. E' necessaria quindi una maggiore specificità dei criteri.

Tale maggiore specificità è opportuna anche sotto altri due profili.

Lo schema prevede infatti la raccolta di alcune tipologie non meglio definite di dati, relativi anche a precedenti operazioni o a terzi, incentivando, attraverso comportamenti "investigativi" del professionista, valutazioni che potrebbero richiedere l'utilizzo di informazioni non pertinenti o raccolte per finalità diverse rispetto all'esecuzione della prestazione professionale richiesta dal cliente (ad esempio le "finalità perseguite").

Inoltre, non sembra pienamente in linea con i descritti principi di finalità e pertinenza dei dati trattati la necessità per il professionista di valutare "con continuità i rapporti intrattenuti con i clienti" (art. 11, comma 2, dello schema). Si richiama l'attenzione del Ministero circa l'esigenza di circoscrivere tale obbligo ad incarichi o prestazioni professionali connessi o collegati, individuando eventualmente un arco temporale di riferimento.

Si ritiene infine necessario dettagliare gli elementi informativi che devono essere valutati per individuare le operazioni sospette.

TUTTO CIÒ PREMESSO IL GARANTE:

esprime il parere richiesto nei termini di cui in motivazione.

Roma, 12 maggio 2005

IL PRESIDENTE

Pizzetti

IL RELATORE

Chiaravalloti

IL SEGRETARIO GENERALE

Buttarelli