Sintesi del parere del Garante europeo della protezione dei dati sul pacchetto di proposte legislative in materia di antiriciclaggio e contrasto del finanziamento del terrorismo (AML/CFT)

(Il testo integrale del presente parere è disponibile in inglese, francese e tedesco sul sito web del GEPD www.edps.europa.eu)

(2021/C 524/03)

Il 20 luglio 2021 la Commissione europea ha adottato un pacchetto di proposte legislative mirate a inasprire le norme dell’UE in materia di contrasto del riciclaggio di denaro e del finanziamento del terrorismo (il «pacchetto legislativo antiriciclaggio»), che consiste di: una proposta di regolamento del Parlamento europeo e del Consiglio relativo alla prevenzione dell’uso del sistema finanziario a fini di riciclaggio o finanziamento del terrorismo; una proposta di direttiva del Parlamento europeo e del Consiglio relativa ai meccanismi di prevenzione dell’uso del sistema finanziario a fini di riciclaggio o finanziamento del terrorismo e che abroga la direttiva (UE) 2015/849; una proposta di regolamento del Parlamento europeo e del Consiglio che istituisce l’Autorità europea per il contrasto del riciclaggio di denaro e del finanziamento del terrorismo e che modifica i regolamenti (UE) n. 1093/2010, (UE) n. 1094/2010 e (UE) n. 1095/2010; una proposta di regolamento del Parlamento europeo e del Consiglio sulle informazioni che accompagnano i trasferimenti di fondi e talune cripto-attività.

Il Garante europeo della protezione dei dati (GEPD) valuta positivamente gli obiettivi perseguiti dal suddetto pacchetto legislativo, ossia rendere più efficace il contrasto del riciclaggio e del finanziamento del terrorismo, in particolare tramite una maggiore armonizzazione delle norme applicabili e una vigilanza rafforzata a livello dell’UE, anche con l’istituzione dell’Autorità europea per il contrasto del riciclaggio di denaro e del finanziamento del terrorismo (AMLA).

Il GEPD sottolinea che, per quanto positivo, l’approccio basato sul rischio al monitoraggio dell’uso del sistema finanziario a fini di riciclaggio, che costituisce il fulcro del pacchetto legislativo in materia, dovrebbe essere ulteriormente specificato e chiarito.

In tale contesto, al fine di garantire la conformità ai principi di necessità e proporzionalità e ai fini di una maggiore certezza del diritto per i soggetti obbligati in merito ai loro doveri, il GEPD formula alcune osservazioni e raccomandazioni, in particolare quelle riportate di seguito.

Il pacchetto legislativo antiriciclaggio dovrebbe individuare le categorie di dati personali che i soggetti obbligati devono trattare per adempiere gli obblighi in materia di contrasto del riciclaggio e del finanziamento del terrorismo, invece di lasciare sistematicamente questa specificazione alle norme tecniche di regolamentazione, nonché descrivere meglio le condizioni e i limiti del trattamento di categorie particolari di dati personali, compresi quelli riguardanti condanne e reati penali.

In particolare, il pacchetto legislativo antiriciclaggio dovrebbe specificare quali tipi di categorie particolari di dati personali dovrebbero essere trattati dai soggetti obbligati, tenendo conto dei principi di necessità e proporzionalità, considerando le differenti attività e misure da adottare (identificazione, adeguata verifica della clientela, segnalazione alle unità di informazione finanziaria o UIF) e la finalità specifica perseguita (ossia il contrasto del riciclaggio di denaro o del finanziamento del terrorismo). In particolare, il GEPD ritiene che non debba essere permesso il trattamento dei dati personali relativi all’orientamento sessuale o all’origine etnica.

In merito ai registri dei titolari effettivi, il GEPD:

— valuta positivamente l’obbligo a carico degli Stati membri di notificare alla Commissione l’elenco chiuso delle autorità competenti e degli organi di autoregolamentazione nonché delle categorie di soggetti obbligati cui è concesso l’accesso ai registri dei titolari effettivi. Tuttavia, invita il legislatore a specificare che l’accesso a tali registri da parte delle autorità fiscali e degli organi di autoregolamentazione dev’essere limitato alla finalità della lotta contro il riciclaggio di denaro e il finanziamento del terrorismo, e quindi essere autorizzato esclusivamente a tal fine;

— in relazione all’accesso del «pubblico» ai registri dei titolari effettivi, il GEPD ribadisce la propria posizione precedente, ossia che non sono state ancora accertate con chiarezza la necessità e la proporzionalità di un tale accesso generalizzato a fini di prevenzione del riciclaggio di denaro e del finanziamento del terrorismo. In linea di principio, tale accesso dovrebbe essere limitato alle autorità competenti incaricate di far rispettare la legge e ai soggetti obbligati quando adottano misure di adeguata verifica della clientela. Il GEPD ritiene che l’accesso alle informazioni sui titolari effettivi motivato da altri obiettivi di interesse generale (come una maggiore trasparenza) dovrebbe essere considerato piuttosto un diritto a ottenere informazioni. Tale accesso pubblico richiederebbe una valutazione separata della necessità e della proporzionalità e dovrebbe essere assoggettato a un corpus normativo separato che preveda le necessarie garanzie. Pertanto il GEPD raccomanda al legislatore di valutare la necessità e la proporzionalità di un tale accesso generalizzato e, sulla base della suddetta valutazione, laddove ritenuto opportuno, di definire un quadro legislativo specifico al riguardo, distinto da quello concernente l’accesso da parte delle autorità competenti.

Inoltre, ai rischi di cui gli Stati membri devono tenere conto nel definire i criteri per la concessione di deroghe all’accesso alle informazioni sui titolari effettivi il GEPD raccomanda vivamente di aggiungere un riferimento esplicito ai rischi per la protezione dei dati personali delle persone interessate.

Il GEPD raccomanda altresì di prevedere nel pacchetto legislativo antiriciclaggio un meccanismo di segnalazione relativo all’uso dei registri dei titolari effettivi nella lotta contro il riciclaggio di denaro e il finanziamento del terrorismo, al fine di acquisire prove basate su dati di fatto in merito all’efficacia del sistema nonché di sostenere eventuali iniziative legislative future.

Inoltre, il GEPD prende atto degli ampi poteri di accesso conferiti alle UIF e invita il legislatore a riesaminare la necessità e la proporzionalità di tali diritti, con particolare riferimento alle «informazioni investigative» di cui all’articolo 18, paragrafo 1, lettera c), della proposta di direttiva. Per quanto riguarda il sistema per lo scambio di informazioni tra le UIF (la UIF.net), il GEPD raccomanda che la proposta di regolamento che istituisce l’AMLA sia emendata per definire con chiarezza i ruoli di tutte le parti interessate coinvolte (AMLA, UIF) nell’ottica della protezione dei dati in relazione a questo canale di comunicazione, in considerazione dell’impatto sul quadro di protezione dei dati applicabile e delle implicazioni per il modello di vigilanza.

Per quanto riguarda le fonti di informazione per l’adeguata verifica della clientela, compresi gli elenchi di controllo, il pacchetto legislativo antiriciclaggio dovrebbe specificare in particolare in quali casi i soggetti obbligati devono poter accedere a tali elenchi. A tale proposito il GEPD invita il legislatore a considerare se tale accesso agli elenchi possa essere consentito soltanto in caso di rischio elevato di riciclaggio di denaro o di finanziamento del terrorismo.

Infine, al fine di promuovere l’adozione di codici di condotta e certificazioni obbligatori per i fornitori di banche dati e di elenchi di controllo usati a fini di AML/CFT, il GEPD invita il legislatore a includere nel pacchetto legislativo antiriciclaggio un riferimento ai codici di condotta di cui all’articolo 40 e alle certificazioni di cui all’articolo 42 del RGPD, da definire tenendo conto delle specifiche esigenze di questo settore.

1. Informazioni di riferimento

1. Il 20 luglio 2021 la Commissione europea ha adottato una proposta di regolamento del Parlamento europeo e del Consiglio relativo alla prevenzione dell’uso del sistema finanziario a fini di riciclaggio o finanziamento del terrorismo («la proposta di regolamento») (1); una proposta di direttiva del Parlamento europeo e del Consiglio relativa ai meccanismi che gli Stati membri devono istituire per prevenire l’uso del sistema finanziario a fini di riciclaggio o finanziamento del terrorismo e che abroga la direttiva (UE) 2015/849 («la proposta di direttiva») (2); una proposta di regolamento del Parlamento europeo e del Consiglio che istituisce l’Autorità europea per il contrasto del riciclaggio di denaro e del finanziamento del terrorismo e che modifica i regolamenti (UE) n. 1093/2010, (UE) n. 1094/2010 e (UE) n. 1095/2010 («la proposta di regolamento istitutivo dell’AMLA») (3); una proposta di regolamento del Parlamento europeo e del Consiglio relativo alle informazioni che accompagnano i trasferimenti di fondi e talune cripto-attività («la proposta di regolamento sulle cripto-attività») (4). Di seguito le quattro bozze di proposte sono definite come «il pacchetto legislativo antiriciclaggio».

2. Il pacchetto legislativo antiriciclaggio è stato proposto ai sensi del piano d’azione per una politica integrata dell’Unione in materia di prevenzione del riciclaggio di denaro e del finanziamento del terrorismo, del 7 maggio 2020 (5). Il 23 luglio 2020 il GEPD ha pubblicato il proprio parere sul piano d’azione (6).

3. Gli obiettivi del piano d’azione, quali citati in particolare nel regolamento (7), sono: — garantire un’applicazione efficace del vigente quadro dell’UE in materia di AML/CFT; — istituire un corpus unico di norme dell’UE in materia di AML/CFT; — istituire una vigilanza in materia di AML/CFT a livello dell’UE; — istituire un meccanismo di sostegno e cooperazione per le UIF; — dare attuazione alle disposizioni del diritto penale e allo scambio di informazioni a livello dell’UE; — rafforzare la dimensione internazionale del quadro dell’UE in materia di AML/CFT.

4. Il pacchetto legislativo antiriciclaggio, compresa la proposta di regolamento che incorpora elementi (disposizioni) della direttiva (UE) 2018/843 (8), costituisce un’ambiziosa iniziativa normativa mirata a rendere più efficace la lotta contro il riciclaggio di denaro. Per conseguire tale obiettivo, l’iniziativa intende agire in particolare centralizzando l’attività di contrasto, anche tramite l’Autorità europea per il contrasto del riciclaggio di denaro e del finanziamento del terrorismo (AMLA) di nuova istituzione, uniformando gli obblighi a carico delle entità obbligate, ottimizzando un approccio basato sul rischio a livello sovranazionale e nazionale nonché stabilendo norme sulla cooperazione tra le autorità di vigilanza competenti e sulle banche dati e infrastrutture rilevanti per lo scambio di informazioni, in particolare la UIF.net, che saranno ospitate e gestite dall’AMLA.

5. Il 21 luglio 2021 la Commissione europea ha chiesto al GEPD di formulare un parere sulla proposta, ai sensi dell’articolo 42, paragrafo 1, del regolamento (UE) 2018/1725. Le presenti osservazioni si limitano alle disposizioni della proposta che sono più pertinenti nell’ottica della protezione dei dati.

4. Conclusioni

Alla luce di quanto precede, il GEPD:

— valuta positivamente gli obiettivi perseguiti dal pacchetto legislativo antiriciclaggio, ossia rendere più efficace l’attività di antiriciclaggio e il contrasto del finanziamento del terrorismo, in particolare tramite una maggiore armonizzazione delle norme applicabili e una vigilanza rafforzata a livello dell’UE, anche con l’istituzione dell’Autorità europea per il contrasto del riciclaggio di denaro e del finanziamento del terrorismo (AMLA);

— valuta positivamente l’approccio basato sul rischio seguito al fine di prevenire l’uso del sistema finanziario a fini di riciclaggio di denaro, che costituisce il fulcro del pacchetto legislativo in materia.

Tuttavia, per garantire la conformità ai principi della protezione dei dati relativi alla necessità e proporzionalità nonché alla normativa applicabile dell’Unione e degli Stati membri in materia di protezione dei dati, il GEPD osserva e raccomanda in particolare quanto segue:

— il pacchetto legislativo antiriciclaggio (nello specifico la proposta di regolamento) dovrebbe individuare le categorie di dati personali che le entità obbligate devono trattare per adempiere gli obblighi in materia di AML/CFT;

— in particolare, la proposta di regolamento dovrebbe fornire indicazioni chiare circa le condizioni e i limiti del trattamento di categorie particolari di dati personali, compresi quelli relativi a condanne e reati penali;

— per quanto riguarda le categorie particolari di dati personali, il pacchetto legislativo antiriciclaggio dovrebbe specificare in particolare quale tipo di dati (all’interno della più ampia categoria delle categorie particolari di dati personali ai sensi dell’articolo 9 del RGPD) dovrebbe essere trattato dalle entità obbligate e in quale fase precisa del processo, a fini di contrasto del riciclaggio di denaro e del finanziamento del terrorismo. A tale proposito il GEPD ritiene che non dovrebbe essere consentito il trattamento dei dati personali relativi all’orientamento sessuale o all’origine etnica;

— per quanto concerne i registri dei titolari effettivi, il GEPD: — valuta positivamente la specificazione delle informazioni che li riguardano da conservare nei relativi registri. Tuttavia, raccomanda di precisare che l’elenco delle informazioni di cui all’articolo 44 della proposta di regolamento è esaustivo; — valuta positivamente l’obbligo a carico degli Stati membri di notificare alla Commissione l’elenco delle autorità competenti e degli organi di autoregolamentazione nonché delle categorie di soggetti obbligati cui è concesso l’accesso ai registri. Tuttavia, invita il legislatore a precisare che l’accesso ai registri dei titolari effettivi da parte delle autorità fiscali e degli organi di autoregolamentazione dev’essere limitato alla finalità della lotta contro il riciclaggio di denaro e il finanziamento del terrorismo, e quindi dev’essere autorizzato esclusivamente a tal fine; — rileva che l’articolo 12 della proposta di regolamento incorpora disposizioni già incluse nella direttiva (UE) 2015/849, modificata dalla direttiva (UE) 2018/843, secondo le quali il «pubblico» ha accesso ai registri dei titolari effettivi. Il GEPD ribadisce dunque l’opinione che ha già espresso nel proprio parere 1/2017 in merito a tale accesso generalizzato, ossia che alle informazioni sui titolari effettivi devono poter accedere – a fini di individuazione e prevenzione del riciclaggio e del finanziamento del terrorismo – soltanto le autorità competenti incaricate di far rispettare la legge e le entità obbligate quando adottano misure di adeguata verifica della clientela (9). Il GEPD rileva che l’accesso alle informazioni sui titolari effettivi (ad esempio da parte delle ONG) potrebbe essere considerato in modo differente, come un diritto a ottenere e fornire informazioni. Tale tipo di accesso pubblico, rispondente a una funzione/finalità differente, dovrebbe essere sottoposto a una differente valutazione della necessità e della proporzionalità e assoggettato a un corpus normativo separato e differente. Pertanto il GEPD raccomanda al legislatore di valutare la necessità e la proporzionalità di un simile accesso generalizzato e, sulla base di tale valutazione, laddove opportuno, di istituire al riguardo un quadro giuridico specifico, distinto da quello relativo all’accesso da parte delle autorità competenti; — Inoltre, raccomanda vivamente di aggiungere, tra i rischi di cui gli Stati membri devono tenere conto nel definire i criteri per la concessione di deroghe all’accesso alle informazioni sui titolari effettivi, un esplicito riferimento ai rischi per la protezione dei dati personali delle persone interessate. Il GEPD raccomanda altresì di depennare l’aggettivo «eccezionali/eccezionale» nella prima e, rispettivamente, nella seconda frase dell’articolo 13; — infine, raccomanda di inserire nel pacchetto legislativo antiriciclaggio una disposizione volta a istituire un meccanismo per segnalare l’efficacia dell’uso dei registri dei titolari effettivi nella lotta contro il riciclaggio di denaro e il finanziamento del terrorismo;

— per quanto riguarda il trattamento dei dati personali relativi a condanne e reati penali, il riferimento ad «accuse» (in aggiunta a «indagini», «procedimenti» e «condanne») nell’articolo 55, paragrafo 3, lettera b), della proposta di regolamento è vago e dovrebbe pertanto essere depennato o specificato;

— in considerazione degli ampi poteri di accesso conferiti alle UIF a norma dell’articolo 18 della proposta di direttiva, invita il legislatore a riesaminare la necessità e la proporzionalità di tali diritti di accesso, con particolare riferimento alle «informazioni investigative» di cui all’articolo 18, paragrafo 1), lettera c). Analogamente, il GEPD raccomanda di stabilire in modo chiaro ed esaustivo le categorie di dati personali a cui le UIF possono avere accesso a norma dell’articolo 18, paragrafo 1), lettera a) («informazioni finanziarie»), e dell’articolo 18, paragrafo 1), lettera b) («informazioni amministrative»);

— ribadisce che la configurazione giuridica dei poteri e delle attività delle UIF in quanto «basati sulle indagini», invece che «basati sulle informazioni», sarebbe più coerente con i principi di proporzionalità e limitazione delle finalità che caratterizzano la protezione dei dati; pertanto raccomanda di depennare la parte del considerando 51 della direttiva che si riferisce all’individuazione dei soggetti di interesse;

— per quanto riguarda la UIF.net, raccomanda che la proposta di regolamento che istituisce l’AMLA, o quanto meno una norma tecnica di attuazione da adottarsi a cura della Commissione ai sensi dell’articolo 24, paragrafo 3, della proposta di direttiva, stabilisca chiaramente i ruoli di tutte le parti interessate coinvolte (AMLA, UIF) nell’ottica della protezione dei dati, tenuto conto dell’impatto sul quadro applicabile in materia di protezione dei dati e sul modello di vigilanza;

— per quanto riguarda la banca dati centrale dell’AML/CFT, il GEPD raccomanda di specificare un limite di tempo per la conservazione dei dati personali ivi contenuti, soprattutto a causa della raccolta da parte delle UIF e della trasmissione alla banca dati centrale dell’AML/CFT dei risultati delle ispezioni prudenziali dei fascicoli riguardanti le persone politicamente esposte, i loro familiari e i soggetti con i quali dette persone intrattengono notoriamente stretti legami;

— per quanto riguarda le fonti di informazioni per l’adeguata verifica della clientela, compresi gli elenchi di controllo, il pacchetto legislativo antiriciclaggio dovrebbe specificare, in particolare, i casi in cui i soggetti obbligati dovrebbero poter accedere a tali elenchi. A tale proposito il GEPD invita il legislatore a considerare se tale accesso agli elenchi possa essere consentito soltanto in caso di rischio elevato di riciclaggio di denaro o di finanziamento del terrorismo. Inoltre, un considerando potrebbe specificare che i soggetti obbligati sono tenuti a verificare debitamente le informazioni contenute negli elenchi di controllo, in particolare in termini di veridicità e accuratezza;

— inoltre, al fine di promuovere l’adozione di codici di condotta e certificazioni obbligatori per i fornitori di banche dati e di elenchi di controllo usati a fini di AML/CTF, il GEPD invita il legislatore a includere nel pacchetto legislativo antiriciclaggio un riferimento ai codici di condotta di cui all’articolo 40 e alle certificazioni di cui all’articolo 42 del RGPD, da definire tenendo conto delle specifiche esigenze di questo settore;

— l’articolo 32, paragrafo 3, della proposta di regolamento stabilisce che l’AMLA emanerà orientamenti sui criteri per l’identificazione di coloro che rientrano nella definizione di soggetto con il quale le persone intrattengono notoriamente stretti legami [con una «persona politicamente esposta»]. A tale proposito il GEPD ritiene che la categoria dei «soggetti con i quali le persone intrattengono notoriamente stretti legami» dovrebbe essere specificata già nella proposta di regolamento, invece che (soltanto) negli orientamenti dell’AMLA;

— raccomanda di specificare le categorie di dipendenti sottoposte alla valutazione dell’integrità di cui all’articolo 11 della proposta di regolamento;

— raccomanda di includere in maniera più esplicita, tra gli altri criteri che l’autorità competente deve considerare quando pubblica sanzioni e misure amministrative, i rischi per la protezione dei dati personali delle persone interessate;

— infine, raccomanda di apportare alcune modifiche (aggiunte e cancellazioni) alla formulazione degli articoli e dei considerando del pacchetto legislativo antiriciclaggio che citano il RGPD e l’EUDPR.

Bruxelles, 22 settembre 2021 Wojciech Rafał WIEWIÓROWSKI

(1) COM(2021) 420 final.

(2) COM(2021) 423 final.

(3) COM(2021) 421 final.

(4) COM(2021) 422 final. Il GEPD rileva a tale proposito che la proposta di regolamento si estende ai requisiti di tracciabilità delle cripto-attività a fini di AML/CFT, all’obbligo in capo al fornitore di servizi per le cripto-attività di fornire le informazioni di cui agli articoli da 14 a 18, all’inclusione dei fornitori di servizi per le cripto-attività ai sensi dell’articolo 20 (Protezione dei dati) e dell’articolo 21 (Conservazione dei dati). Di recente, il 24 giugno 2021, il GEPD ha pubblicato il proprio parere sulle cripto-attività in riferimento alla proposta di regolamento relativo ai mercati delle cripto-attività e che modifica la direttiva (UE) 2019/1937 [EDPS Opinion on the Proposal for a Regulation on Markets in Crypto-assets, and amending Directive (EU) 2019/1937].

Il parere è disponibile all’indirizzo: https://edps.europa.eu/data-protection/our-work/publications/opinions/edps-opinion-proposal-regulation-markets-crypto_en

(5) Comunicazione della Commissione relativa a un piano d’azione per una politica integrata dell’Unione in materia di prevenzione del riciclaggio di denaro e del finanziamento del terrorismo [C(2020) 2800 final].

(6) Parere 5/2020 del GEPD sul piano d’azione della Commissione europea per una politica globale dell’Unione in materia di prevenzione del riciclaggio di denaro e del finanziamento del terrorismo, disponibile all’indirizzo:https://edps.europa.eu/sites/default/files/publication/20-07-23_edps_aml_opinion_en.pdf

(7) Cfr. la pagina 1 della relazione.

(8) Direttiva (UE) 2018/843 del Parlamento europeo e del Consiglio, del 30 maggio 2018, che modifica la direttiva (UE) 2015/849 relativa alla prevenzione dell’uso del sistema finanziario a fini di riciclaggio o finanziamento del terrorismo e che modifica le direttive 2009/138/CE e 2013/36/UE (GU L 156 del 19.6.2018, pag. 43).

(9) Cfr. i paragrafi 61 e 62 del parere 1/2017 del GEPD. Nel paragrafo 61 il GEPD rileva che, come già osservato nell’introduzione, la direttiva AML riserva i compiti di indagine e contrasto delle attività criminali alle autorità pubbliche competenti. A tale proposito, ai soggetti privati operanti sui mercati finanziari viene chiesto esclusivamente di fornire informazioni alle autorità competenti responsabili. In nessun caso a un soggetto o a un’entità privati è affidato formalmente o informalmente, direttamente o indirettamente, il compito di far rispettare la legge. Nel paragrafo 62 il GEPD riconosce che le ONG attive nel contrasto dei crimini e degli abusi finanziari, la stampa e il giornalismo investigativo contribuiscono di fatto ad attirare l’attenzione delle autorità su fenomeni che potrebbero essere penalmente rilevanti ai fini dell’applicazione della legge. In tali casi, tuttavia, il legislatore dovrebbe intendere l’accesso alle informazioni sui titolari effettivi come una componente del diritto, rispettivamente dei cittadini e della stampa, a ottenere e fornire informazioni. In questo modo si attribuirebbe all’accesso pubblico una nuova finalità, con la conseguenza che la proporzionalità della norma sarebbe valutata sulla base del suddetto diritto, non sulla scorta di finalità politiche (ad esempio la lotta contro il terrorismo o l’evasione fiscale) che non possono essere associate all’azione di soggetti privati.

In proposito il GEPD richiama la giurisprudenza della Corte di giustizia nella causa Österreichischer Rundfunk, in cui la Corte ha statuito che fosse necessario esaminare se l’obiettivo politico della pubblicità «non potesse essere realizzato in modo ugualmente efficace dalla trasmissione delle informazioni nominative ai soli organi di controllo» [punto 88, grassetto aggiunto, della sentenza della Corte del 20 maggio 2003, Rechnungshof (C-465/00) contro Österreichischer Rundfunk e altri e Christa Neukomm (C-138/01) e Joseph Lauermann (C-139/01) contro Österreichischer Rundfunk, ECLI:EU:C:2003:294]. Tale questione dovrebbe essere considerata accuratamente in sede di valutazione della proporzionalità di misure che comportano l’accesso del pubblico a informazioni personali.