Source: https://www.agendadigitale.eu/cittadinanza-digitale/pagamenti-digitali/banche-alla-ricerca-di-equilibrio-tra-gdpr-e-psd2-la-sfida/
Timestamp: 2020-04-02 16:11:11+00:00
Document Index: 103966405

Matched Legal Cases: ['art. 28', 'art. 28', 'art. 12', 'art. 4', 'art. 66', 'art. 67']

Banche alla ricerca di equilibrio tra GDPR e PSD2: la sfida | Agenda Digitale
Gli operatori tradizionali del settore bancario e quelli provenienti da altri settori (TPP) sono alla ricerca di un bilanciamento tra i dettami della normativa Ue sulla privacy e quella sui servizi di pagamento, che non sempre coincidono. Ecco le difficoltà di un’adeguata compliance su entrambi i fronti
Sempre più frequentemente negli ultimi anni stiamo assistendo ad una produzione normativa che si sviluppa lungo due direttrici: da un lato favorire il mercato digitale e dall’altro rafforzare la protezione dei dati personali. Non sempre queste due esigenze coincidono e, in molti casi, esse finiscono per entrare in conflitto. Un esempio è offerto, nel settore bancario, dal rapporto tra GDPR e PSD2.
Il GDPR e l’impatto sul mondo bancario
PSD2: l’ingresso di nuovi player nel settore bancario e la privacy dei clienti
Attriti applicativi tra GDPR e PSD2
Dal 25 maggio 2018 è applicabile il Regolamento UE 679/2016 sulla protezione dei dati personali (“GDPR”)[1]. Come noto, il GDPR si applica ai trattamenti di dati personali realizzati da soggetti stabiliti nell’Unione Europea e ai trattamenti di dati personali relativi a soggetti ubicati nell’Unione Europea, indipendentemente da dove il trattamento sia effettuato.
Il GDPR bilancia due esigenze potenzialmente in conflitto: favorire la libera circolazione dei dati e assicurare la protezione di tali dati.
Il settore bancario è uno dei settori su cui l’impatto del GDPR è maggiore: gli operatori bancari [2], nello svolgimento della propria attività, acquisiscono per ogni cliente un numero elevato di dati personali.
La profilazione del cliente è inscindibile dallo svolgimento dell’attività bancaria e gli operatori bancari compiono tale attività principalmente in due occasioni.
Nella prestazione di servizi di pagamento: l’operatore bancario acquisisce e archivia tutti i dati relativi alle operazioni di pagamento del cliente, ottenendo in tal modo una conoscenza potenzialmente dettagliata delle spese, delle operazioni di pagamento, degli acquisti effettuati, ecc.
Alle complessità operative in termini di privacy compliance per gli operatori bancari si sommano, in parziale sovrapposizione, alcune criticità derivanti dalla nuova direttiva sui servizi di pagamento. Il 13 gennaio 2018 è stato pubblicato in Gazzetta Ufficiale il D.lgs. 15 dicembre 2017, n. 218 di recepimento della Direttiva UE 2015/2366 (c.d. “PSD2”) relativa ai servizi di pagamento nel mercato interno[3].
La PSD2 e il GDPR determinano attriti applicativi sotto diversi profili.
Il GDPR mira a garantire che l’interessato sia sempre adeguatamente informato sul modo in cui i suoi dati personali sono trattati, riconoscendogli tra l’altro il diritto di controllare l’accesso ai propri dati. In una diversa prospettiva, invece, i nuovi servizi disciplinati dalla PSD2 necessitano, per poter funzionare, di una più rapida interazione tra i dati a disposizione degli operatori bancari e i TPP i quali, per poter eseguire i propri servizi, necessitano di poter accedere tempestivamente ai dati del cliente trattati dall’operatore bancario. La tendenza in ambito PSD2 è, pertanto, quella di rendere i dati dei clienti maggiormente accessibili ai soggetti terzi.
Due tendenze opposte polarizzano due finalità diverse: la PSD2 spinge il sistema bancario verso la c.d. open banking, garantendo quindi maggiore flessibilità all’ingresso per i nuovi operatori e maggiore facilità di accesso ai dati dei clienti; il GDPR rafforza, in tutti i settori, compreso quello bancario, la tutela dei dati personali e le garanzie volte a consentire la condivisione e il trasferimento di tali dati solo a certe condizioni.
Un primo attrito applicativo tra GDPR e PSD2 si verifica allorché, a una più attenta lettura della definizione di dati sensibili relativi ai pagamenti, si osserva che il legislatore comunitario non ha fornito una nozione oggettiva e univoca di dato sensibile relativo ai pagamenti e, all’atto pratico, tale concetto è affidato alla sensibilità degli operatori bancari [5].
In tale ottica è opportuno, nell’interesse sia dell’operatore bancario che del TPP, che i reciproci rapporti, con riferimento al trattamento dei dati personali dei clienti, siano disciplinati in via negoziale.
In particolare l’operatore bancario, in quanto titolare del trattamento, dovrebbe fornire al TPP, in quanto responsabile del trattamento, una serie di istruzioni per la realizzazione del trattamento stesso (es. le misure di sicurezza da mettere in atto, eventuali tecniche di criptazione e/o pseudonimizzazione da adottare, elaborazione di procedure da seguire in caso di data breach, ecc.).
Si porrebbe a questo punto un primo contrasto tra GDPR e PSD2. Mentre l’art. 28 del GDPR, come detto, richiede che i rapporti tra titolare e responsabile del trattamento siano disciplinati da un contratto o altro atto giuridico, gli articoli 66(5) e 67(4) della PSD2 stabiliscono che non può essere richiesto al TPP alcun contratto per accedere e usufruire dei dati personali del cliente della banca che ha scelto di avvalersi dei servizi del TPP[8]. In pratica, allo scopo di agevolare l’operatività dei TPP facilitando la diffusione dei loro servizi, il TPP ha diritto di accedere direttamente ai dati bancari (i.e. quelli necessari per l’erogazione del servizio del TPP) del cliente.
Si configurerebbe, dunque, una cessione di dati dall’operatore bancario al TPP con tutte le relative conseguenze: nel rispetto del principio di trasparenza, al cliente dovrebbe essere reso noto che i suoi dati potranno essere comunicati a un terzo (il TPP), che potrà trattarli in maniera autonoma per il perseguimento di proprie finalità. In questo caso sia l’operatore bancario che il TPP sarebbero soggetti all’obbligo di informare l’interessato, per quanto di rispettiva competenza.
Oltre al possibile contrasto tra l’art. 28 del GDPR e gli artt. 66 e 67 della PSD2, si segnala un’altra specifica previsione normativa che sembrerebbe derogare all’assetto delineato nel GDPR. L’art. 12 del GDPR prevede che quando l’interessato esercita uno dei diritti previsti dal Capo III, il titolare del trattamento deve dare seguito alla richiesta entro un mese. Questa disposizione si applica anche nel caso in cui l’interessato chieda di accedere ai propri dati o di riceverli in un formato strutturato (il c.d. diritto alla portabilità dei dati).
Con il termine “operatore bancario” si intendono tanto le banche, quanto gli istituti di pagamento, gli intermediari finanziari non bancari, i prestatori di servizi e attività d’investimento ecc. ↑
In estrema sintesi, i TPP sono soggetti (in forma societaria) che andranno autorizzati dalle authority di vigilanza statali (ex art. 4 della PSD2) e rappresentano la reale novità del mercato dei pagamenti digitali. Questi nuovi player avranno la possibilità di operare direttamente sui conti correnti degli utenti finali realizzando quindi una forte disintermediazione tra operatore bancario e cliente.Il PISP potrà eseguire pagamenti, ordinati dal cliente-pagatore, a valere su un conto corrente aperto presso una banca; in tal modo, il cliente della banca non sarà più costretto ad avvalersi dei servizi di pagamento online della stessa banca, potendo rivolgersi a un PISP il quale avrà il diritto di accedere ai fondi del cliente presso la banca per eseguire un pagamento digitale, senza che la banca posso opporre alcun diniego.
Tramite l’AISP, invece, il cliente potrà avvalersi di un servizio online per ottenere informazioni consolidate (per es. saldi, elenco movimenti etc.) in relazione a uno o più conti correnti o strumenti di pagamento detenuti dall’utente presso gli operatori bancari. L’AISP permetterà di avere una visione d’insieme istantanea di tutti i conti correnti e strumenti di pagamento e, anche in questo caso, le banche non potranno negare l’accesso del TPP ai dati.
Le due norme richiamate nel testo stabiliscono rispettivamente che “la prestazione di servizi di disposizione di ordine di pagamento non è subordinata all’esistenza di un rapporto contrattuale a tale scopo tra i prestatori di servizi di disposizione di ordine di pagamento e i prestatori di servizi di pagamento di radicamento del conto” (art. 66, comma 5, per quanto riguarda i PISP) e che, analogamente, “la prestazione di servizi di informazione sui conti non è subordinata all’esistenza di un rapporto contrattuale a tale scopo tra i prestatori di servizi di informazione sui conti e i prestatori di servizi di pagamento di radicamento del conto” (art. 67, comma 4, per quanto riguarda gli AISP).Le due disposizioni normative sono state rispettivamente attuate in Italia agli articoli 5-ter e 5-quater del D.Lgs. 10/2011. ↑