Elementi di tutela privacy nel trattamento dei dati del titolare effettivo

1. Il rapporto fra i due ordinamenti: antiriciclaggio e protezione dei dati personali

Il rapporto fra le disposizioni antiriciclaggio e quelle dedicate alla protezione dei dati personali risente del canone ispiratore che fa prevalere le prime sulle seconde per un’evidente scelta di politica del diritto tesa a privilegiare la lotta contro la selva di reati che si annidano nell’immonda galassia del riciclaggio. In considerazione di questa chiara esigenza si prevede pacificamente il ridursi dell’area della privacy, vale a dire della tutela del singolo e dei suoi dati personali, per consentire l’affermazione di quelle regole così coinvolgenti e capillari che sono proprie dell’antiriciclaggio¹.

Nel corso degli anni di vigenza delle due normative, il Garante della Privacy ha cercato di precisare il confine tra i due ordinamenti, talora con prese di posizione che, sebbene fondate in diritto, forse per un eccesso di garantismo, sono potute sembrate un po’ troppo formalistiche².

Pur nello scenario – condiviso e meritevole – predisposto dal legislatore, che postula il citato dislivello normativo, in talune evenienze non si può certo consentire che i diritti dell’interessato siano elusi o violati. In proposito, intendo richiamare una situazione che si sta ripetendo con una qualche frequenza nella prassi bancaria e che presenta una sua elevata criticità, a possibile scapito di coloro i cui dati vengono in considerazione.

E’ accaduto in svariate occasioni che un intermediario bancario o finanziario abbia proceduto al trattamento dei dati del titolare effettivo per scopi che esulavano dal rapporto continuativo o dall’operazione che ne aveva originato la raccolta e, quindi, si sia posto al di fuori dei limiti dell’ampia declaratoria prevista dall’art. 8 c.2 lett. a) del d.lgs. 196/03, che fonda l’eccezione secondo cui il trattamento a fini antiriciclaggio prescinde dalla necessità del consenso dell’interessato.

Come noto, il titolare effettivo (uno o più, a seconda dell’effettiva situazione giuridica) è il vero beneficiario (c.d. beneficial owner) del contratto di conto corrente, piuttosto che della locazione finanziaria o di una qualsiasi movimentazione che superi la soglia di legge. Oltre a identificare e adeguatamente verificare l’esecutore (se c’è) ed il cliente, occorre infattiche il soggetto tenuto (la banca, in ipotesi) individui il titolare effettivo – sub 1 se riferito a persona fisica, sub 2 se concernente persona non fisica³ – che è sempre una persona fisica, titolare del negozio o dell’attività in esame, e poi lo identifichi⁴.

Addentrandoci negli aspetti operativi, l’art. 7 c. 1 lett. c) del Provvedimento della Banca d’Italia del 3.4.13, prevede che ai fini dell’obbligo di registrazione vadano inseriti nell’archivio unico informatico i seguenti dati e informazioni con riferimento ai legami di cui all’art. 9 c. 2, cioè la data, i dati identificativi del cliente o del soggetto per conto del quale un’operazione è effettuata, i dati identificativi dei titolari effettivi sub 2). Sono “dati identificativi” (per l’art. 1 c. 1 lett. u) del medesimo Provvedimento), il nome e il cognome, il luogo e la data di nascita, l’indirizzo, gli estremi del documento di identificazione e il codice fiscale o, nel caso di soggetti diversi da persona fisica, la denominazione, la sede legale e il codice fiscale. I successivi artt. 9 e 13 del citato Provvedimento dispongono rispettivamente in materia di registrazione del titolare effettivo⁵ e di protezione dei dati e delle informazioni⁶.

2. Illiceità nella condotta seguita e possibili conseguenze

E’ successo nell’operatività quotidiana (ne sono testimonianza i reclami provenienti da parte degli interessati⁷) che i dati dei titolari effettivi, acquisiti in occasione dell’adeguata verifica di un rapporto continuativo o di un’operazione, e pertanto legittimamente ottenuti e trattati in quest’ambito e a tale fine, siano stati in seguito utilizzati per espletare funzioni che prescindevano dall’esigenza originaria, ad esempio per svolgere valutazioni di credito, deliberare nuovi affidamenti, procedere a cessioni di credito, seguite o meno da compensazioni.

Nasce il quesito – dalla rilevanza concreta, foriero in ipotesi non certo remota di eventuali sanzioni e risarcimento danni – circa la liceità di questa tipologia di trattamento dei dati del titolare effettivo da parte di un intermediario bancario / finanziario in assenza del preventivo consenso e per esigenze che non paiono sempre riconducibili all’antiriciclaggio, salvo per l’occasione iniziale, peraltro superata da una condotta o da una serie di condotte successive.

Appare evidente che qualora questi dati venissero trattati in occasione ed in relazione a scopi diversi da quello, ben circoscritto, previsto in sede iniziale di raccolta, sorgerebbero dubbi circa l’uso legittimo degli stessi e la liceità delle conseguenze derivanti dal successivo trattamento. Si potrebbero, infatti, configurare eventuali abusi da parte di banche o di altri soggetti che, in assenza della legittimazione, li usino ad esempio per compensare debiti e crediti vantati nei confronti del medesimo soggetto interessato.

L’esperienza evidenzia quali sono gli impieghi cui in genere vengono sottoposti questi dati: nuovo trattamento in epoca posteriore a quello iniziale – in linea di principio, lecito – cui seguono altre condotte, che possono configurare cessioni, compensazioni, con quanto a queste condotte relazionato, vale a dire approfondimenti, disamine, valutazioni, ecc. forme tutte di trattamento variamente svolto.

Ora: simile condotta non si presenta conforme al dettato originario e può configurare una serie di violazioni delle norme sulla protezione dei dati personali, foriere anche di risvolti apprezzabili sotto il profilo del risarcimento danni.

Né si potrebbe obiettare che venga a riproporsi una situazione analoga o vicina a quella definita con il provvedimento del Garante n. 533 del 28.11.2013 nei confronti di Poste Italiane s.p.a., in cui si sottolinea che “gli obblighi devono essere concretamente assolti commisurando il relativo adempimento al grado di rischiosità associato al tipo di cliente, all’operazione che si intende effettuare, al rapporto avviato o alla prestazione professionale richiesta” nel caso di specie, risultato eccedente anche in rapporto alle finalità lecite perseguite da Poste Italiane s.p.a.⁸.

Invero, la situazione in esame determinerebbe con molta probabilità la violazione del principio di necessità nel trattamento dei dati personali (art. 3 d.lgs. 196/03): i dati dell’interessato sarebbero stati trattenuti e, poi, utilizzati per fini diversi da quelli per cui furono raccolti. Non parrebbe, infatti, configurabile l’esenzione ex art. 8 c. 2 lett. a), in quanto la situazione venuta formandosi esulerebbe dall’ampia fattispecie prevista per la normativa antiriciclaggio e delineerebbe uno scenario ben diverso, ove mancherebbe il consenso, necessario e manifestato formalmente. Si potrebbe, pertanto, concretizzare un vero e proprio abuso, perseguibile e sanzionabile sotto il profilo della normativa sulla protezione dei dati personali, oltre che fonte di eventuale risarcimento danni⁹.