Direttiva 2019/1153

Direttiva (UE) 2019/1153 – accesso e scambio di informazioni finanziarie e bancarie per finalità di contrasto

La direttiva istituisce un quadro armonizzato volto a rafforzare la capacità investigativa delle autorità pubbliche e delle FIU nella lotta ai reati gravi, al riciclaggio e al finanziamento del terrorismo. Il legislatore UE evidenzia, nei considerando, la natura transfrontaliera delle minacce criminali e la necessità di un accesso rapido, diretto e controllato alle informazioni bancarie e finanziarie, nel rispetto della tutela dei dati personali e dell’autonomia operativa delle FIU.

Finalità e assetto generale

L’obiettivo è duplice: da un lato agevolare l’accesso delle autorità competenti alle informazioni sui conti bancari e alle informazioni finanziarie; dall’altro rafforzare la cooperazione tra FIU, autorità nazionali ed Europol. La direttiva precisa espressamente che non incide sulla direttiva (UE) 2015/849, sui canali ordinari di cooperazione tra autorità, sul regolamento (UE) 2016/794 né sugli strumenti UE di assistenza giudiziaria reciproca e riconoscimento reciproco in materia penale.

Ambito di applicazione soggettivo e oggettivo

Le misure riguardano le autorità competenti designate dagli Stati membri per la prevenzione, l’accertamento, l’indagine o il perseguimento di reati gravi, le FIU, gli uffici per il recupero dei beni e, per specifici flussi informativi, Europol. L’oggetto materiale comprende i registri centralizzati dei conti bancari, le informazioni finanziarie, le informazioni in materia di contrasto e lo scambio di dati relativi a reati gravi, riciclaggio, reati presupposto associati e finanziamento del terrorismo. Restano fuori dall’ambito applicativo gli accessi per finalità diverse da quelle previste o relativi a reati non contemplati dalla direttiva.

Definizioni rilevanti

L’articolo 2 chiarisce che i "registri centralizzati dei conti bancari" comprendono registri centrali o sistemi elettronici centrali di reperimento dati istituiti ai sensi della direttiva (UE) 2015/849. Le "informazioni sui conti bancari" comprendono dati identificativi del titolare e del titolare effettivo, numero IBAN, date di apertura e chiusura e dati sulle cassette di sicurezza. Sono inoltre definiti le FIU, gli uffici per il recupero dei beni, i soggetti obbligati, le analisi finanziarie e i reati gravi (rinvio all’allegato I del regolamento (UE) 2016/794).

Designazione delle autorità competenti

Ciascuno Stato membro deve designare, tra le proprie autorità competenti, quelle abilitate ad accedere ai registri centralizzati dei conti bancari e quelle abilitate a richiedere/ricevere informazioni finanziarie o analisi finanziarie dalle FIU. Gli uffici per il recupero dei beni devono essere inclusi almeno tra le autorità con accesso ai registri. Le designazioni devono essere notificate alla Commissione entro il 2 dicembre 2021.

Accesso ai registri centralizzati dei conti bancari

Gli Stati membri devono garantire un accesso diretto e immediato alle informazioni sui conti bancari quando ciò sia necessario per finalità di contrasto a reati gravi o per sostenere un’indagine penale, inclusi identificazione, reperimento e congelamento dei beni. Il testo precisa che l’accesso è considerato diretto e immediato anche quando la trasmissione avvenga tramite meccanismo automatico, purché nessun intermediario possa interferire con i dati. Le informazioni supplementari eventualmente incluse nei registri ai sensi dell’articolo 32 bis, paragrafo 4, della direttiva (UE) 2015/849 non sono accessibili in base alla presente direttiva.

Presìdi organizzativi, audit e sicurezza dei dati

L’accesso ai dati è limitato a personale specificamente designato e autorizzato, caso per caso. Gli Stati membri devono assicurare elevati standard di riservatezza, integrità e competenza del personale, nonché misure tecniche e organizzative adeguate per la sicurezza. Ogni accesso o consultazione deve essere registrato con dati di audit minimi dettagliati; le registrazioni sono controllate dai responsabili della protezione dei dati, rese disponibili all’autorità di controllo e conservate per cinque anni, salvo necessità per procedimenti di monitoraggio in corso. È richiesta anche formazione specializzata del personale sulle norme UE e nazionali, incluse quelle in materia di protezione dei dati.

Scambio di informazioni tra autorità competenti e FIU

Le FIU devono cooperare con le autorità competenti designate e rispondere tempestivamente alle richieste motivate di informazioni finanziarie o analisi finanziarie, purché necessarie caso per caso per prevenire, accertare, indagare o perseguire reati gravi. La FIU può rifiutare la richiesta se la comunicazione rischia di pregiudicare indagini o analisi in corso, oppure in circostanze eccezionali se la richiesta è manifestamente sproporzionata o non pertinente. Ogni utilizzo per finalità ulteriori richiede il previo consenso della FIU che ha fornito i dati; il rifiuto deve essere motivato. In senso inverso, le autorità competenti designate devono rispondere tempestivamente alle richieste della FIU quando le informazioni in materia di contrasto siano necessarie per prevenire, accertare e contrastare riciclaggio, reati presupposto associati e finanziamento del terrorismo.

Scambio tra FIU di Stati membri diversi e tra autorità competenti di Stati membri diversi

In casi urgenti ed eccezionali, le FIU possono scambiarsi informazioni finanziarie o analisi finanziarie pertinenti per il trattamento o l’analisi di casi connessi al terrorismo o alla criminalità organizzata associata al terrorismo, e devono adoperarsi per farlo tempestivamente, fermo restando il loro margine operativo. Le autorità competenti designate possono invece scambiare, su richiesta e caso per caso, informazioni finanziarie o analisi finanziarie ottenute dalle FIU con autorità omologhe di altri Stati membri, ma solo per le finalità richieste e con previo consenso della FIU d’origine per usi ulteriori. Le richieste e le risposte devono transitare tramite comunicazioni elettroniche sicure dedicate.

Rapporti con Europol

La direttiva disciplina anche il rapporto con Europol: le autorità competenti possono rispondere a richieste motivate di informazioni sui conti bancari presentate dall’agenzia tramite le unità nazionali Europol, o direttamente se ammesso dallo Stato membro. Analogamente, le FIU possono rispondere a richieste motivate di Europol su informazioni finanziarie e analisi finanziarie. Le richieste devono essere caso per caso, entro i limiti delle competenze di Europol e per lo svolgimento dei suoi compiti; il rifiuto deve essere motivato. Gli scambi avvengono per via elettronica tramite SIENA o FIU.NET, o le rispettive sostituzioni. Il trattamento dei dati da parte di Europol segue il regolamento (UE) 2016/794 ed è riservato a personale specificamente designato e autorizzato.

Protezione dei dati personali e dati sensibili

Il capo V introduce garanzie supplementari per i dati personali. Il trattamento di dati sensibili è consentito solo con adeguate garanzie e da personale specificamente formato e autorizzato. Le richieste di informazioni devono essere registrate per cinque anni, con indicazione del richiedente, del caso nazionale, dell’oggetto e delle eventuali misure di esecuzione, e tali registrazioni sono usate esclusivamente per verificare la liceità del trattamento. Gli Stati membri possono limitare, in tutto o in parte, il diritto di accesso dell’interessato, nel quadro dell’articolo 23 del GDPR o dell’articolo 15 della direttiva (UE) 2016/680. Il trattamento e l’eventuale trasferimento verso paesi terzi sono subordinati alle norme UE applicabili in materia di protezione dei dati.

Monitoraggio, statistiche e valutazioni della Commissione

Gli Stati membri devono valutare l’efficacia dei propri sistemi di contrasto ai reati gravi elaborando statistiche esaustive e trasmettendole annualmente alla Commissione. Entro il 1° febbraio 2020 la Commissione deve istituire un programma dettagliato di monitoraggio; le statistiche devono includere, tra l’altro, il numero di consultazioni dei registri, il volume delle richieste, il seguito dato, i tempi di risposta e, se disponibili, i costi delle risorse impiegate. La Commissione deve inoltre presentare relazioni sull’attuazione entro il 2 agosto 2024 e successivamente ogni tre anni, nonché valutare possibili estensioni della disciplina, inclusa l’ipotesi di un meccanismo di coordinamento e supporto tra FIU e l’eventuale ampliamento dell’ambito di scambio ad altri reati gravi.

Recepimento, entrata in vigore e abrogazione

Gli Stati membri devono recepire la direttiva entro il 1° agosto 2021 e informare la Commissione delle misure adottate, indicando il riferimento alla direttiva negli atti nazionali di recepimento. La decisione 2000/642/GAI è abrogata con effetto dal 1° agosto 2021. La direttiva è entrata in vigore il ventesimo giorno successivo alla pubblicazione nella Gazzetta ufficiale dell’Unione europea.