Antiriciclaggio o privacy? Dipende dal rischio

Il Garante per la protezione dei dati personali torna a puntare il dito sulla già complessa disciplina dell’antiriciclaggio, cercando questa volta di contemperare gli obblighi previsti dalla disciplina con il rispetto delle norme in tema di privacy.

Più nello specifico, il Provvedimento su cui si vuole focalizzare l’attenzione (il n.533 del 2013) riguarda il caso di un correntista privato che aveva segnalato un indebito accesso ai dati personali da parte di Poste Italiane Spa nell’espletamento, da parte di quest’ultima, delle operazioni di verifica della clientela richieste dalla disciplina antiriciclaggio.

Accadeva infatti che il correntista si fosse recato all’Ufficio postale per procedere all’acquisto dei buoni lavoro (vouchers) in nome e per conto di un ente comunale, ma l’operatore di sportello non si è limitato a identificare il soggetto come mero esecutore, estendendo le indagini anche ai rapporti tra lo stesso e Poste Italiane Spa, verificando pertanto il conto corrente e la tessera prepagata “Postepay” di quest’ultimo.

D’altra parte Poste Italiane Spa non ha potuto che ribattere di essersi semplicemente adeguata agli obblighi previsti in tema di antiriciclaggio, i quali impongono di identificare non solo il titolare effettivo dell’operazione, ma anche il materiale esecutore.

Più precisamente, tali controlli, da effettuarsi in occasione del “primo contatto utile”, sarebbero, secondo gli orientamenti espressi da Poste Italiane Spa, coerenti sia con la necessità di svolgere un “controllo costante del rapporto continuativo” sia con il contenuto dell’attività di “riciclaggio”, la quale, come noto può concretizzarsi anche in “tentativi di trasformazione, trasferimento, conversione di fondi e provviste finanziarie, mediante l’alterazione dei ruoli, dei poteri, delle facoltà” di tutti coloro che, a vario titolo, siano coinvolti in operazioni finanziarie.

Le valutazioni dell’Autorità Garante della privacy

L’Autorità ha, in primo luogo, analizzato la normativa in materia di antiriciclaggio, ribadendo tuttavia che, anche nell’espletamento dell’attività di adeguata verifica della clientela, devono essere comunque osservate le garanzie previste in materia di protezione dei dati personali.

Sebbene sia ovvio che la disciplina antiriciclaggio debba essere rispettata, soprattutto al fine di non incorrere nelle pesanti sanzioni previste, gli obblighi “devono essere concretamente assolti commisurando il relativo adempimento al grado di rischiosità associato al tipo di cliente, all’operazione che si intende effettuare, al rapporto avviato o alla prestazione professionale richiesta”.

Con specifico riferimento al caso in oggetto, pertanto, l’Autorità ha individuato un comportamento eccessivo, se valutato alla luce di quello che dovrebbe essere un normale approccio basato sul rischio.
L’operazione era infatti di importo esiguo e il cliente era personalmente conosciuto dagli operatori dello sportello postale.

È quindi il rischio connesso all’operazione/prestazione a dover orientare i soggetti tenuti agli adempimenti degli obblighi antiriciclaggio (tra cui, come noto, si annoverano anche i professionisti).
Risulta inoltre sempre opportuno favorire misure formative e tecnico-organizzative che siano idonee a prevenire, sempre nell’ambito dei controlli richiesti dalla disciplina antiriciclaggio, misure eccessive e non conformi al criterio dell’approccio “basato sul rischio”.