L’Avvocata Generale della Corte di Giustizia UE Laila Medina, nelle conclusioni dell’8 ottobre 2026, rese nella causa C-222/25, ha reso il proprio parere sulla qualificazione giuridica delle Unità di informazione finanziaria (UIF) e dei limiti al diritto di accesso ai dati in possesso delle UIF, ex art. 2 par. 2 lett. d) del GDPR e art. 15 della Direttiva (UE) 2016/680.
Questi i principi di diritto suggeriti alla Corte di Giustizia:
“1) L’articolo 2, paragrafo 2, lettera d), del regolamento (UE) 2016/679 e l’articolo 2, paragrafo 1, della direttiva (UE) 2016/680, letti in combinato disposto con l’articolo 1, paragrafo 1, di tale direttiva, devono essere interpretati nel senso che il trattamento di dati personali da parte di un’Unità di informazione finanziaria (FIU), nell’esercizio del suo compito di prevenire, individuare e combattere il riciclaggio e il finanziamento del terrorismo, deve essere considerato effettuato da un’autorità competente, ai sensi dell’articolo 3, punto 7, della direttiva 2016/680, anche qualora la FIU non sia un’autorità inquirente ai sensi del codice di procedura penale nazionale. Il trattamento rientra pertanto nell’ambito di applicazione della direttiva 2016/680.
2) L’articolo 15 della direttiva 2016/680 deve essere interpretato nel senso che esso osta a una disposizione nazionale che restringe in toto, sino alla distruzione dei dati, l’esercizio del diritto dell’interessato di accedere ai dati personali che lo riguardano in possesso di una FIU, in modo che risulti impossibile ottenere informazioni su tali dati, qualora la misura non stabilisca regole chiare e precise che disciplinino la portata e l’applicazione della misura e non fissi requisiti minimi di garanzia contro i rischi di abuso.
3) L’articolo 15, paragrafo 3, della direttiva 2016/680 deve essere interpretato nel senso che esso consente a una FIU di rifiutare la comunicazione dei motivi del diniego o della limitazione al fine di evitare che il trattamento dei dati personali risulti confermato o smentito. Tuttavia, gli interessati devono sempre essere informati della possibilità di esercitare il diritto di accesso tramite l’autorità di controllo ai sensi dell’articolo 17, paragrafo 1, della direttiva 2016/680.
4) L’articolo 15, paragrafo 1, della direttiva 2016/680 deve essere interpretato nel senso che esso non osta a una normativa nazionale che attribuisca al responsabile di una FIU il potere di limitare i diritti degli interessati, per il solo motivo che la ratio, le condizioni e la portata della limitazione debbano essere interpretate in combinato disposto con altre disposizioni. Tuttavia, la stessa disposizione osta a detta normativa qualora non si stabiliscano regole chiare e precise che disciplinino la portata e le condizioni di applicazione della limitazione del diritto di accesso, di modo che le persone dispongano di garanzie sufficienti contro i rischi di abuso.”
La controversia trae origine dal rigetto opposto da un‘unità di informazione finanziaria estone alla richiesta di un privato diretta a conoscere l’esistenza di trattamenti o scambi di informazioni che lo riguardavano; la Corte suprema adita aveva quindi sospeso il procedimento sottoponendo quattro questioni pregiudiziali alla Corte di Giustizia.
La disamina delle motivazioni dell’Avvocata generale evidenzia una complessa ricostruzione volta a bilanciare la riservatezza delle attività di prevenzione con le garanzie stabilite dall’art. 8 della CEDU; di seguito si analizzano in dettaglio i quattro nuclei argomentativi formulati nelle Conclusioni.
Inquadramento funzionale dell’UIF quale “autorità competente”
L’Avvocata Generale, preliminarmente, ricorda la disciplina applicabile, distinguendo fra GDPR e Direttiva (UE) 2016/680 (c.d. Direttiva polizia).
In particolare, l’art. 2, par. 2, lett. d), del GDPR esclude dal proprio ambito di applicazione i trattamenti di dati personali effettuati dalle autorità competenti a fini di prevenzione, indagine, accertamento o perseguimento di reati o esecuzione di sanzioni penali, incluse la salvaguardia contro minacce alla sicurezza pubblica e la prevenzione delle stesse.
L’ambito di applicazione della Direttiva 2016/680, previsto all’art. 2, par. 1, in combinato disposto con l’art. 1, par. 1, della stessa, è determinato sulla base della persona o del soggetto che effettua il trattamento e delle finalità del trattamento stesso: il soggetto che effettua l’operazione deve essere un’”autorità competente” ai sensi dell’art. 3, punto 7, della Direttiva 2016/680; nelle finalità del trattamento rientrano la prevenzione, l’indagine, l’accertamento e il perseguimento di reati o l’esecuzione di sanzioni penali, incluse la salvaguardia contro minacce alla sicurezza pubblica e la prevenzione delle stesse.
Dal considerando 10 della Direttiva 2016/680 risulta che la nozione di “autorità competente” deve essere intesa in relazione alla protezione dei dati personali nel settore della cooperazione giudiziaria in materia penale e della cooperazione di polizia, tenuto conto degli adeguamenti che possono al riguardo risultare necessari in considerazione della specificità di tali settori.
L’art. 3, punto 7, della Direttiva 2016/680 prevede due categorie di autorità competenti:
- “qualsiasi autorità pubblica competente in materia di prevenzione, indagine, accertamento e perseguimento di reati o esecuzione di sanzioni penali, incluse la salvaguardia contro e la prevenzione di minacce alla sicurezza pubblica”(lett. a): tale definizione include quindi le autorità pubbliche, quali le autorità giudiziarie, la polizia o altre autorità incaricate dell’applicazione della legge
- “qualsiasi altro organismo o entità incaricati dal diritto dello Stato membro di esercitare l’autorità pubblica e i poteri pubblici a fini di prevenzione, indagine, accertamento e perseguimento di reati o esecuzione di sanzioni penali, incluse la salvaguardia e la prevenzione di minacce alla sicurezza pubblica” (lett. b).
La definizione di autorità competente deve essere applicata quindi, per analogia, all’art. 2, par. 2, lett. d), del GDPR e all’eccezione in materia di attività di contrasto prevista da tale disposizione: dalla formulazione della disposizione risulta che, ai fini dell’applicazione di tale eccezione, le due condizioni relative alle finalità del trattamento e al suo autore devono essere soddisfatte simultaneamente.
Pertanto, il fatto che il trattamento dei dati sia effettuato ai fini di attività di contrasto non è sufficiente, di per sé, ad escludere l’applicazione del RGPD; di converso, il fatto che un’autorità competente effettui un trattamento di dati non è sufficiente a determinare l’applicazione della Direttiva 2016/680 se tale trattamento non ha alcun rapporto con le finalità di contrasto.
L’Avocato ricostruisce quindi le funzioni delle UIF nel contesto della disciplina AML/CFT dell’Unione, affermando che la circostanza che un’UIF non sia qualificata come autorità inquirente dal codice di procedura penale dello Stato membro non ne preclude l’inquadramento tra le “autorità competenti“: infatti, il compito primario assegnato alle FIU dall’art. 32 della Direttiva (UE) 2015/849 consiste nel prevenire, individuare e combattere efficacemente il riciclaggio ed il finanziamento del terrorismo.
In tale prospettiva, l’UIF opera quale “hub dell’intelligence finanziaria”, collocandosi in una fase prepenale all’interno di un continuum funzionale che sfocia nell’azione della polizia e degli organi giudiziari.
A sostegno di ciò, le motivazioni tracciano un’analogia con le Unità d’informazione sui passeggeri (che la Corte di Giustizia, nella sentenza resa nella causa CGUE C-817/19 aveva ritenuto essere un’autorità competente) e con l’autorità Hadopi (che, allo stesso modo, la sentenza resa nella causa CGUE C-470/21 aveva ritenuto sempre di qualificarla come autorità competente).
Ne consegue che il trattamento dei dati personali svolto dall’UIF rientra nell’ambito applicativo della Direttiva (UE) 2016/680 ed è escluso dall’ambito di applicazione del GDPR ex art. 2 par. 2 lett. d) del GDPR.
Requisiti di proporzionalità e limiti alla restrizione totale all’accesso ai dati dell’UIF
L’Avvocato generale analizza poi la compatibilità dell’art. 15 par. 1 della Direttiva (UE) 2016/680 con le normative nazionali che impongono il divieto assoluto di ostensione dei dati dell’UIF.
Sebbene la riservatezza sia indispensabile per l’efficacia della prevenzione e per evitare il rischio di tipping-off ex art. 41 par. 4 della Direttiva (UE) 2015/849, il diritto di accesso ex art. 8 della CEDU non può essere compresso in modo arbitrario.
L’ordinamento europeo ammette sì limitazioni all’accesso per non compromettere le inchieste ufficiali; tuttavia, una norma che introduca una preclusione totale e generalizzata sino alla cancellazione dei dati viola l’art. 52 della CEDU.
Il principio di proporzionalità richiede infatti regole chiare e precise che definiscano i presupposti della restrizione fissando garanzie contro il rischio di abusi. In assenza di criteri legali, l’autorità di controllo ed il giudice sarebbero impossibilitati a svolgere un effettivo sindacato di legittimità.
Dovere di informativa sull’accesso indiretto ai dati dell’UIF
Il terzo passaggio delle Conclusioni affronta la possibilità per la FIU di opporre il diniego senza esplicitare le motivazioni ex art. 15 par. 3 della Direttiva (UE) 2016/680.
L’Avvocata Generale osserva che l’amministrazione è legittimata a formulare una risposta che non confermi e non smentisca l’esistenza del trattamento. Tale facoltà di adottare una risposta neutra risponde all’esigenza di non rivelare le indagini finanziarie in corso ed evitare la dissimulazione dei fondi.
Ciononostante, l’esercizio di tale potere non esonera la FIU dal dovere di informare l’interessato della facoltà di adire l’autorità di controllo ex art. 17 par. 1 della Direttiva (UE) 2016/680.
La procedura di accesso indiretto condotta dall’autorità indipendente rappresenta il contrappeso necessario per bilanciare il diritto individuale con l’interesse pubblico (CGUE C-333/22). Inoltre, la FIU deve comunque documentare le ragioni del diniego ex art. 15 par. 4 della Direttiva (UE) 2016/680, rendendole ostensibili all’autorità di vigilanza ed al giudice.
Misure legislative e discrezionalità dell’UIF
Il quarto ed ultimo profilo esamina il requisito della misura legislativa prescritta dall’art. 15 par. 1 della Direttiva (UE) 2016/680 per limitare i diritti individuali. Rifacendosi alla giurisprudenza della Corte EDU, le motivazioni chiariscono che la nozione di legge ex art. 52 della Carta dei diritti fondamentali dell’Unione europea va intesa in senso sostanziale. Pertanto, il presupposto legale può essere soddisfatto anche da disposizioni di grado subordinato ed atti generali letti in combinato disposto.
Tuttavia, l’applicazione di tali fonti composite deve risultare del tutto prevedibile, mettendo i cittadini in grado di individuare le condizioni della limitazione. Se la normativa nazionale attribuisce al responsabile della FIU un potere discrezionale privo di criteri direttivi e garanzie procedurali, la norma interna si risolve in un arbitrio ed osta al diritto dell’Unione europea.
In definitiva, le motivazioni dell’Avvocata Generale Medina individuano nella Direttiva (UE) 2016/680 il punto di equilibrio tra l’efficacia della prevenzione e le garanzie del diritto di accesso ai dati in possesso dell’UIF.
