[*] Il contributo affronta il tema del diritto al c.d. oblio oncologico nei servizi bancari, analizzando lo stato dell’arte della normativa e quelli che potranno essere i prossimi sviluppi.
1. Premessa
Sono trascorsi oltre due anni dall’entrata in vigore della Legge 193/2023 ma, perché sia pienamente completato il quadro normativo, per quanto riguarda i servizi bancari[1], manca ancora un tratto rilevante da percorrere.
All’origine di questo “ritardo” vi sono le significative modifiche che la Direttiva (UE) 2225/2023 (CCD2) e il D. Lgs. 212/2025, con il quale è stata recepita, hanno apportato alle disposizioni originarie, per quanto riguarda:
- i tempi della loro attuazione e l’Autorità competente a stabilirne le modalità [2];
- la vigilanza sulla loro attuazione e l’Autorità competente ad esercitarla [3]
2. La Direttiva CCD2 e il D. Lgs. 212/2025: modifiche alla Legge 193 e loro origine
In realtà, avuto riguardo al c.d. oblio oncologico, la Direttiva non fa riferimento ai servizi bancari e finanziari ma solo a quelli di natura assicurativa, connessi ai contratti di credito [4].
La “preoccupazione” del legislatore europeo confluisce nella formulazione dell’articolo 14, 4 comma, della medesima Direttiva, in materia di pratiche di commercializzazione abbinata e aggregata [5].
Il legislatore italiano, all’inizio dell’iter di recepimento della Direttiva CCD2, come si desume dalla consultazione pubblica [6] non aveva incluso specificamente la Legge 193/2023 fra le norme oggetto di modifica, ma si era riservato una sorta di “opzione aperta” per ulteriori interventi su altre disposizioni normative.
“Non si esclude che, anche in esito alla consultazione, possa risultare necessario intervenire su altri plessi normativi”.
Tale assunto, peraltro, trovava legittimazione nella stessa Legge di Delegazione Europea n. 91/2025 nell’articolo 4 comma 1, lettera m) [7], che fissava i principi e criteri direttivi per l’esercizio della delega per il recepimento della direttiva (UE) 2023/2225.
Alla luce di questa disposizione, lo schema di D. Lgs. (e, successivamente, il D. Lgs. nella sua versione definitiva) apporta modifiche anche alla Legge 193/2023.
Nella “Relazione illustrativa” al Provvedimento [8], a riguardo, si legge:
“[..] In particolare, si elimina il riferimento al CICR, in quanto la materia oggetto della normativa di attuazione eccede l’ambito di competenza dello stesso. Quest’ultimo, secondo quanto previsto dal TUB, «ha l’alta vigilanza in materia di credito e di tutela del risparmio» (articolo 2, comma 1, del TUB).
[…] Viene, quindi, riformulato il comma 7 conferendo direttamente alle Autorità di vigilanza di settore, ossia alla Banca d’Italia e alla Consob, sentito il Garante per la protezione dei dati personali, il compito di emanare disposizioni attuative nei rispettivi ambiti di competenza, analogamente a quanto già previsto per l’IVASS dal comma 7”
E Inoltre, per quanto riguarda la vigilanza sull’applicazione della legge, viene scissa la competenza fra:
- l’Autorità garante per la protezione dei dati personali, cui spetta la vigilanza “generale”;
- le Autorità di vigilanza di settore per “la supervisione specifica sul rispetto delle disposizioni attuative da esse stesse emanate”.
3. Le modifiche alla legge 193/2023: alcune riflessioni
Il percorso appena descritto ha portato, quindi, alla nuova formulazione dell’articolo 2, comma 7:
“La Banca d’Italia e la Consob, sentito il Garante per la protezione dei dati personali, stabiliscono, per le materie di rispettiva competenza, le modalità di attuazione dei commi 1 e 2, eventualmente predisponendo formulari e modelli. Analogo provvedimento è adottato dall’Istituto per la vigilanza sulle assicurazioni, sentito il Garante per la protezione dei dati personali.».
La prima (e banale) constatazione riguarda la “scomparsa” del termine originario di emanazione delle modalità attuative (sei mesi).
D’altro lato, si evidenzia l’estensione del potere attuativo in capo a Banca d’Italia anche al comma 2 dell’art. 2[9], non prevista in precedenza (atteso il ruolo che, originariamente, era stato attribuito al CICR).
Nella nuova formulazione dell’articolo 5, comma quattro, della Legge 193/2023, viene stabilito, specularmente, il potere di controllo circa le norme attuative di pertinenza:
“4. Il Garante per la protezione dei dati personali vigila sull’applicazione delle disposizioni di cui alla presente legge. La Banca d’Italia, la Consob e l’Istituto per la vigilanza sulle assicurazioni, nell’ambito dei rispettivi ordinamenti, vigilano sull’applicazione delle disposizioni adottate ai sensi dell’articolo 2, comma 7.”
Alcune delle scelte operate dal Legislatore Delegato non sono di agevole lettura e presentano, ad avviso di chi scrive, “criticità”, che si auspica possano essere chiarite dall’Autorità di Vigilanza.
Ci riferiamo, in particolare, all’istituto della nullità parziale previsto dall’articolo 2, comma 6, della legge 193/2023:
“Nei contratti concernenti operazioni e servizi bancari […], stipulati successivamente alla data di entrata in vigore della presente legge, la violazione delle disposizioni di cui ai commi da 1 a 5 determina la nullità delle singole clausole contrattuali difformi rispetto ai principi di cui al comma 1 e di quelle a esse connesse e non comporta la nullità del contratto, che rimane valido ed efficace per il resto. La nullità opera soltanto a vantaggio della persona fisica contraente ed è rilevabile d’ufficio in ogni stato e grado del procedimento.”
Le disposizioni attuative da parte della Banca d’Italia, con la modifica apportata allo stesso articolo (nuovo comma 7) comprendono ora anche il comma secondo.
In sintesi, la Banca d’Italia, per quanto riguarda i contratti che hanno ad oggetto operazioni e servizi bancari, deve emanare disposizioni attuative (eventualmente predisponendo anche formulari e modelli) relativamente:
- ai divieti informativi che presidiano il diritto all’oblio oncologico nelle fasi di stipulazione e rinnovo dei contratti;
- agli obblighi informativi, da parte dell’intermediario, circa il diritto all’oblio oncologico n tutte le fasi di accesso a servizi bancari […], ivi compresi le trattative precontrattuali e la stipulazione o il rinnovo di contratti
La violazione di tali divieti e obblighi comporta, infatti, la nullità delle clausole contrattuali difformi.
Ma la modifica normativa sopra esaminata estende tale nullità parziale alle clausole “connesse” a quelle difformi.
Non è agevole comprendere quale possa essere la natura di queste clausole “connesse”.
La lettura del comma 3 dell’articolo 2 della Legge 193/2023 fa ipotizzare che la nullità delle clausole “connesse” sia riconducibile a motivi di “discriminazione”, in particolare di natura economica.
“Nei casi di cui ai commi 1 e 2 non possono essere altresì applicati al contraente limiti, costi e oneri aggiuntivi né trattamenti diversi rispetto a quelli previsti per la generalità dei contraenti a legislazione vigente”
Ma i dubbi permangono: la formulazione normativa, pur apprezzabile sotto un profilo di equità, appare molto generica.
In particolare, non si comprende come sia individuabile, ai fini di evitare discriminazioni, il termine di paragone costituito dalla “generalità dei contraenti a legislazione vigente”.
4. La legge 193/2023 e il regime transitorio previsto dal D. Lgs. 212/2025
L’articolo 6, del D. Lgs. 212/2025, stabilisce, ai commi secondo [10] e terzo [11], il regime transitorio per i contratti di credito ai consumatori.
Non vi è dubbio che tali disposizioni siano applicabili anche alla platea dei clienti – consumatori destinatari delle disposizioni della Legge 193/2023 ma, per gli stessi (e anche per i non consumatori, visto che il c.d. “oblio oncologico” fa riferimento alla generalità delle “persone fisiche”) ad avviso di chi scrive, deve essere tenuta in debito conto la norma “supplementare” (“fuori perimetro”, cioè, del TUB) di cui al comma 3 dell’articolo 5 della Legge 193/2023 (Disposizioni transitorie).
“Nelle more dell’adozione dei provvedimenti di cui agli articoli 2, comma 7 [..], i contratti bancari, […] stipulati dopo la data di entrata in vigore della presente legge, […] devono conformarsi ai principi ivi introdotti, a pena di nullità delle singole clausole contrattuali […] da essi difformi. La nullità opera soltanto a vantaggio della persona fisica contraente ed è rilevabile d’ufficio in ogni stato e grado del procedimento”.
Decorsa la fase transitoria[12], si può ipotizzare che:
- per i clienti nel perimetro della Legge 193/2023 che siano consumatori sia applicabile in toto il D. Lgs. 212/2025, “integrato” dai presidi stabiliti dall’articolo 2 della Legge 193/2023;
- per i clienti nel perimetro della Legge 193/2023 che non siano consumatori non sarà applicabile il D. Lgs. 212/2025[13], ferma restando la disposizione di tutela di cui all’articolo 2 della Legge 193/2023.
[*] Le opinioni espresse non impegnano l’Istituto di appartenenza.
[1] E finanziari; per quanto riguarda i servizi assicurativi, IVASS ha provveduto con il Provvedimento n. 19 del 15 gennaio 2026.
[2] Legge 193/2023, articolo 2, comma 7 (che stabiliva in sei mesi il termine per le modalità di attuazione, di competenza CICR).
[3] Legge 193/2023, articolo 7 (che assegnava in toto la vigilanza al Garante della Privacy).
[4] Cfr. Considerando 48.
[5] “Gli Stati membri dispongono che i dati personali relativi alla diagnosi di malattie oncologiche dei consumatori non siano utilizzati ai fini di una polizza assicurativa collegata a un contratto di credito dopo un periodo di tempo stabilito dagli Stati membri, non superiore a 15 anni dalla fine delle cure mediche dei consumatori”.
[6] Cfr. il documento disponibile sul sito del MEF – DT all’indirizzo: https://www.dt.mef.gov.it/export/sites/sitodt/modules/documenti_it/regolamentazione_bancaria_finanziaria/consultazioni_pubbliche/Documento-per-la-consultazione-pubblica-2107.pdf
[7] “[Il Governo può] apportare tutte le abrogazioni, modificazioni e integrazioni alla normativa vigente, anche di derivazione europea o di natura secondaria, […] al fine di assicurare il coordinamento con le disposizioni emanate in attuazione del presente articolo”.
[8] Cfr. il documento disponibile all’indirizzo: https://documenti.camera.it/apps/nuovoSito/attiGoverno/schedaLavori/getTesto.ashx?leg=XIX&file=0321_F001.pdf
[9] “In tutte le fasi di accesso a servizi bancari […], ivi compresi le trattative precontrattuali e la stipulazione o il rinnovo di contratti, le banche, gli istituti di credito, le imprese di assicurazione e gli intermediari finanziari e assicurativi forniscono alla controparte adeguate informazioni circa il diritto di cui al comma 1, di cui è fatta espressa menzione nei moduli o formulari predisposti e utilizzati ai fini della stipulazione o del rinnovo dei predetti contratti.”
[10] Contratti di credito ai consumatori stipulati prima della scadenza del 20 novembre 2026.
[11] Contratti di credito ai consumatori a tempo indeterminato stipulati prima della scadenza del termine del 20 novembre 2026 e ancora in essere a tale data.
[12] O, forse, “transitorie”, nel caso in cui le disposizioni attuative di Banca d’Italia ex Legge 193/2023 e D. Lgs. 212/2025 seguano “percorsi”, anche temporali, differenti.
[13] Con l’eccezione dell’articolo 127 – ter TUB, (Valutazione del merito creditizio fondata sul trattamento automatizzato di dati personali del cliente), introdotta dal D. Lgs. 212, che si applica sia ai consumatori sia ai non consumatori.
