Provvedimento AGCM I844 n. 29826 del 21/09/2021

Progetto antifrode ANIA: impegni obbligatori e chiusura senza accertamento

Il provvedimento riguarda il progetto antifrode comunicato da ANIA, associazione nazionale tra le imprese assicuratrici, e la verifica delle sue possibili implicazioni ai sensi dell’art. 101 TFUE. L’AGCM ha reso obbligatori gli impegni presentati e modificati da ANIA ai sensi dell’art. 14-ter, comma 1, della legge n. 287/1990, chiudendo il procedimento senza accertare un’infrazione.

Parti e origine del procedimento

ANIA opera come associazione rappresentativa delle imprese assicuratrici italiane e, secondo il proprio Statuto, svolge attività di studio, raccolta ed elaborazione di dati e supporto alle imprese associate. Al procedimento ha partecipato anche l’associazione CODICI – Centro per i Diritti del Cittadino.

Nel marzo 2020 ANIA ha informato l’Autorità dell’avvio di un’iniziativa, ancora in fase di progettazione, diretta a contrastare le frodi assicurative. Il progetto comprendeva:

• una Piattaforma per lo scambio di informazioni sui macro-fenomeni fraudolenti osservati dalle compagnie;
• un Portale, relativo ai rami vita puro rischio e danni, escluso il ramo RC Auto, alimentato dalle imprese e utilizzabile per valutare il rischio di frode connesso a singoli soggetti o sinistri.

L’iniziativa era finalizzata a supportare le imprese assicuratrici, gli organi giudiziari e le autorità di vigilanza. ANIA aveva evidenziato possibili benefici di efficienza e risparmi per il sistema assicurativo e per gli assicurati, senza che il provvedimento quantificasse tali risparmi, indicati con dati omissati.

Base normativa e avvio dell’istruttoria

L’AGCM ha avviato l’istruttoria con delibera del 3 novembre 2020 ai sensi dell’art. 14 della legge n. 287/1990, per verificare possibili violazioni dell’art. 101 TFUE. L’applicazione della norma europea è stata ritenuta potenzialmente rilevante poiché il progetto riguardava l’intero territorio nazionale, coinvolgeva l’associazione delle imprese assicuratrici e interessava compagnie appartenenti anche a gruppi di rilievo internazionale, con possibile pregiudizio al commercio tra Stati membri.

Il procedimento si è svolto nel quadro del Regolamento (CE) n. 1/2003, richiamato dall’Autorità insieme all’art. 101 TFUE e all’art. 14-ter della legge n. 287/1990. L’AGCM ha inoltre acquisito contributi da IVASS e dal Garante per la protezione dei dati personali e ha effettuato la comunicazione alla Commissione europea prevista dall’art. 11, paragrafo 4, del Regolamento n. 1/2003.

Mercati rilevanti e contesto economico

Il progetto interessa i mercati della produzione e distribuzione di prodotti assicurativi nei rami vita e danni, con esclusione del ramo RC Auto per quanto riguarda il Portale. L’Autorità ha richiamato il principio secondo cui, nelle valutazioni di un’intesa, la definizione del mercato rilevante serve soprattutto a individuare il contesto economico e giuridico nel quale la pratica può incidere sulla concorrenza.

Dal lato del prodotto, i prodotti assicurativi sono normalmente distinti in funzione del rischio coperto, poiché la sostituibilità tra diverse tipologie di copertura è limitata. I mercati della produzione delle polizze vita e danni sono stati considerati, in linea generale, di dimensione nazionale. I mercati della distribuzione hanno invece dimensione normalmente locale, in prima approssimazione provinciale, in ragione del servizio di prossimità e del rapporto fiduciario con l’intermediario.

Criticità concorrenziali individuate in avvio

L’AGCM ha riconosciuto che le frodi assicurative possono generare costi per le imprese e per la collettività degli assicurati. Tuttavia, la configurazione iniziale del progetto presentava potenziali criticità concorrenziali.

In particolare, l’Autorità aveva evidenziato:

• il rischio di assenza di adeguate garanzie di terzietà nella gestione dell’iniziativa, considerato che l’attività avrebbe dovuto operare a beneficio dell’intero sistema assicurativo;
• il possibile effetto di preclusione anticoncorrenziale nei confronti di imprese non partecipanti o non associate ad ANIA;
• il rischio che una grande quantità di dati, combinati secondo criteri non sufficientemente chiari, conducesse allo sviluppo di algoritmi comuni;
• la possibile elaborazione di indicatori omogenei del rischio frode, utilizzabili tanto nella fase liquidativa quanto nella fase assuntiva;
• il rischio di uniformazione delle condotte delle imprese in fasi essenziali dell’attività assicurativa;
• un potenziale scambio di informazioni sensibili tra imprese concorrenti.

La particolare criticità della fase assuntiva derivava dal fatto che in tale fase vengono determinate le condizioni contrattuali ed economiche e viene valutata l’accettazione del rischio da parte dell’impresa.

Impegni presentati da ANIA

Il 18 marzo 2021 ANIA ha presentato impegni ai sensi dell’art. 14-ter della legge n. 287/1990. Gli impegni sono stati sottoposti a market test e successivamente integrati il 28 giugno 2021, anche alla luce delle osservazioni di SNA, IVASS e del Garante per la protezione dei dati personali.

Gli impegni prevedono, in sintesi, le seguenti misure.

Accesso non discriminatorio

L’accesso alla Piattaforma e al Portale deve essere garantito a tutte le compagnie assicurative interessate, indipendentemente dalla loro adesione ad ANIA, nel rispetto dei principi di parità di trattamento e non discriminazione. La versione integrata ha esteso espressamente l’accesso anche a:

• compagnie italiane ed europee non associate ad ANIA;
• imprese che svolgono attività liquidativa per conto di imprese di assicurazione;
• soggetti diffusi in altri Paesi dell’Unione europea, quali i Managing General Agents, ove ricorrano le condizioni indicate negli impegni.

L’accesso di soggetti istituzionali, tra cui autorità e forze dell’ordine, è previsto anche a titolo gratuito per le informazioni contenute nelle banche dati.

Limitazione del Portale alla fase liquidativa

L’impegno 2 limita l’utilizzo del Portale alla fase di liquidazione dei sinistri. È escluso, allo stato, l’utilizzo nella fase assuntiva. Qualora una futura normativa consentisse l’uso di banche dati in fase assuntiva, l’eventuale estensione del Portale dovrebbe essere preliminarmente sottoposta all’Autorità.

Questa limitazione elimina il rischio che indicatori di rischio frode comuni e algoritmi condivisi incidano direttamente sulla sottoscrizione dei contratti, sulla determinazione delle condizioni economiche o sul rifiuto dei rischi.

Regolamento d’uso e trasparenza

ANIA deve adottare un regolamento per l’utilizzo del Portale, applicabile a tutte le imprese e alla stessa ANIA. Il regolamento deve disciplinare, tra l’altro:

• le finalità dell’accesso, limitate alla verifica dell’anomalia o del rischio frode di uno specifico sinistro e all’eventuale svolgimento di ulteriori indagini antifrode;
• i soggetti autorizzati alla consultazione;
• i tempi massimi per il conferimento dei dati;
• gli obblighi degli utenti;
• i controlli sull’uso del Portale;
• le conseguenze e le sanzioni in caso di violazione delle regole.

L’Autorità ha ritenuto che tale regolamento aumenti la trasparenza e riduca il rischio di applicazioni discriminatorie o di usi non conformi alle finalità antifrode.

Dati di input, output e regole di elaborazione

ANIA deve definire anticipatamente e comunicare all’Autorità i dati di input ritenuti necessari per il funzionamento del Portale, tenendo conto anche delle interlocuzioni con il Garante privacy. Eventuali modifiche successive all’avvio devono essere comunicate all’Autorità.

Per i dati di output, gli impegni prevedono che le cosiddette regole esperte siano elaborate esclusivamente sulla base degli ambiti logici riconducibili alle regole della banca dati AIA gestita da IVASS. Il provider deve adottare cautele, inclusa la segregazione delle informazioni, per impedire la circolazione dei dati raccolti.

Il Portale deve elaborare, per ciascun sinistro conferito, due indicatori di anomalia:

• un Expert Index, basato sulle regole esperte;
• un Anomaly Index, basato su analisi statistiche.

I due indicatori confluiscono in un Risk Index sintetico. Ogni impresa può scegliere le regole di interesse e attribuire loro pesi diversi rispetto a quelli risultanti dalla procedura standard.

L’algoritmo dell’Anomaly Index deve appartenere alla famiglia degli algoritmi di anomaly detection non self-learning, cioè non deve apprendere automaticamente dagli esiti delle proprie indicazioni. L’AGCM ha considerato tali elementi idonei a ridurre il rischio di uniformazione delle condotte delle compagnie.

Misure di sicurezza e limitazione delle consultazioni

Il Portale deve essere accessibile esclusivamente ai soggetti autorizzati e deve essere protetto da misure tecniche e organizzative idonee a prevenire utilizzi impropri. In particolare, non è consentita la consultazione massiva della banca dati: la consultazione deve riferirsi a uno specifico codice sinistro.

L’Autorità ha ritenuto che questa modalità circoscritta di accesso riduca il rischio di scambi di informazioni sensibili tra concorrenti e limiti l’utilizzo della banca dati alla verifica antifrode concretamente necessaria.

Organismo di garanzia

ANIA deve istituire un Organismo di garanzia composto da soggetti indipendenti dalle imprese assicurative. L’Organismo deve supervisionare il corretto utilizzo del Portale e gestire eventuali problematiche o anomalie segnalate dagli assicurati.

Nella versione definitiva degli impegni sono state rafforzate le prerogative dell’Organismo ed è stato previsto un budget annuale minimo, con l’obiettivo di assicurarne l’autonomia e l’efficacia. Nei casi più gravi, l’Organismo può disporre l’esclusione dell’impresa dal Portale.

Market test e contributi delle autorità

Durante il market test SNA ha espresso preoccupazioni relative alla trasparenza e alla terzietà nella gestione delle banche dati, alla possibile insufficienza del controllo pubblico, ai rischi di utilizzo improprio delle informazioni e alle conseguenze per consumatori e intermediari. SNA ha valutato positivamente la limitazione del Portale alla fase liquidativa, pur segnalando possibili rischi futuri qualora ne fosse consentito l’uso in fase assuntiva.

IVASS ha ritenuto che gli impegni, se correttamente ed esaustivamente attuati, affrontassero o attenuassero le criticità relative alla volontarietà dell’adesione, ai presidi di funzionamento, al sistema di scoring e all’esclusione della fase assuntiva. IVASS ha tuttavia evidenziato che rimanevano profili non risolti connessi alla titolarità privata del progetto in capo ad ANIA e all’assenza di una norma primaria istitutiva della banca dati e di specifici poteri pubblici di regolazione e vigilanza.

Il Garante per la protezione dei dati personali ha precisato che era ancora in corso la valutazione degli aspetti di propria competenza, inclusa la natura sensibile di alcune categorie di dati e il trattamento dei big data. L’AGCM ha considerato tali profili distinti dalle condotte dell’associazione oggetto del procedimento.

Valutazione dell’Autorità

L’AGCM ha ritenuto che la versione definitiva degli impegni modificasse in modo sostanziale il progetto originario e fosse idonea a rimuovere le preoccupazioni concorrenziali che avevano determinato l’avvio dell’istruttoria.

L’impegno sull’accesso non discriminatorio elimina il rischio di preclusione nei confronti delle imprese non associate e rafforza la terzietà della gestione del progetto. La limitazione del Portale alla fase liquidativa elimina le principali criticità connesse all’uso di indicatori e algoritmi comuni nel momento di assunzione del rischio.

La preventiva comunicazione degli input, la definizione dei criteri di elaborazione, il riferimento agli ambiti logici della banca dati AIA di IVASS, la possibilità per ciascuna impresa di personalizzare le regole e i relativi pesi e le misure di segregazione delle informazioni sono stati considerati presidi idonei a ridurre il rischio di uniformazione delle condotte.

Anche le limitazioni tecniche di accesso, il divieto di consultazione massiva, il regolamento comune e l’Organismo di garanzia sono stati valutati positivamente. Nel complesso, l’Autorità ha ritenuto che gli impegni, considerati unitariamente, affrontassero puntualmente i rischi individuati in avvio.

Durata e attuazione degli impegni

ANIA ha precisato che gli impegni relativi al Portale non sarebbero stati attuati prima della conclusione del processo di consultazione con le autorità di vigilanza. Essi sarebbero rimasti validi fino a quando il Portale fosse rimasto in esercizio.

Per la Piattaforma, l’impegno 1 doveva essere implementato entro 15 giorni dall’accettazione degli impegni. L’Autorità ha inoltre stabilito specifici obblighi informativi:

• entro un mese dalla notifica del provvedimento, ANIA deve trasmettere una relazione sull’ottemperanza all’impegno 1 per la Piattaforma;
• entro 15 giorni dalla conclusione del processo di consultazione con le autorità di vigilanza, ANIA deve informare l’Autorità e comunicare la data di effettiva messa in esercizio del Portale;
• entro due mesi dalla messa in esercizio del Portale, ANIA deve trasmettere una relazione sull’ottemperanza all’impegno 1 per il Portale e agli altri impegni;
• ogni due anni, ANIA deve trasmettere una relazione sullo stato complessivo di attuazione, con la prima relazione biennale decorrente dalla relazione iniziale relativa alla messa in esercizio.

ANIA si è riservata di proporre modifiche future agli impegni, ove necessarie in seguito alle interlocuzioni con le autorità di vigilanza o all’esperienza maturata dopo l’avvio del Portale.

Esito del procedimento

L’AGCM ha reso obbligatori gli impegni di ANIA ai sensi dell’art. 14-ter, comma 1, della legge n. 287/1990, integrandoli nel provvedimento come parte integrante dello stesso.

Il procedimento è stato chiuso senza accertamento dell’infrazione, ai sensi dell’art. 14-ter, comma 1, della legge n. 287/1990. Non è stata irrogata alcuna sanzione. L’Autorità ha mantenuto il potere di vigilare sull’esecuzione degli impegni e di riaprire d’ufficio il procedimento nei casi previsti dall’art. 14-ter, commi 2 e 3, della legge n. 287/1990.