Parere del Garante n. 230 del 26/03/2026

Parere sullo schema di decreto legislativo in materia di titolarità effettiva e accesso ai dati

Il Garante per la protezione dei dati personali ha espresso parere ai sensi dell’articolo 36, par. 4, GDPR sullo schema di decreto legislativo di recepimento della direttiva (UE) 2024/1640 (AMLD6), adottato in attuazione della delega di cui all’articolo 14 della legge 3 giugno 2025, n. 91. Lo schema interviene sul d.lgs. 21 novembre 2007, n. 231, ridisegnando il regime di accesso alle informazioni sulla titolarità effettiva contenute nel Registro delle imprese.

Quadro di riferimento

Il parere si colloca nel contesto delineato dalla sentenza della Corte di giustizia dell’Unione europea del 22 novembre 2022 (cause riunite C-37/20 e C-601/20), che ha ritenuto incompatibile con la Carta dei diritti fondamentali dell’Unione europea l’accesso indiscriminato del pubblico ai dati sulla titolarità effettiva. Il Garante ricorda anche la possibile incidenza dei rinvii pregiudiziali pendenti dinanzi alla CGUE (cause C-684/24 e C-685/24) sulla nozione di "legittimo interesse" e sulla compatibilità della disciplina con gli articoli 7 e 8 della Carta e con l’articolo 8 CEDU.

Contenuto essenziale dello schema

Lo schema introduce nel d.lgs. 231/2007 i nuovi articoli da 21-bis a 21-septies.

Accesso delle autorità competenti

L’articolo 21-bis disciplina l’accesso per le autorità competenti, che deve essere immediato, non filtrato, diretto e libero tramite sistemi telematici dedicati, senza previa informativa al titolare effettivo. L’elenco delle autorità abilitate è tassativo e comprende, tra le altre, MEF, autorità di vigilanza, UIF, DIA, Guardia di finanza, DNA, autorità giudiziaria e autorità fiscali. Le modalità tecniche e operative sono demandate a convenzioni con Unioncamere e Infocamere.

Accesso dei soggetti obbligati

L’articolo 21-ter regola l’accesso dei soggetti obbligati, come banche e professionisti, previo accreditamento telematico presso la Camera di commercio e limitatamente agli adempimenti di adeguata verifica della clientela. Il gestore del sistema informativo nazionale deve mettere a disposizione funzionalità tecniche conformi all’articolo 32 GDPR e al Codice privacy. È inoltre previsto l’obbligo di segnalare tempestivamente eventuali incongruenze tra dati di registro e informazioni acquisite in sede di adeguata verifica, con garanzia di anonimato per il segnalante.

Accesso fondato sul legittimo interesse

L’articolo 21-quater introduce l’accesso per soggetti diversi da autorità e soggetti obbligati, basato sul criterio del legittimo interesse ridefinito dalla direttiva. Le categorie riconosciute ex lege possono accedere a dati essenziali sulla titolarità effettiva; in alcuni casi è consentito l’accesso anche a informazioni storiche e alla descrizione dettagliata dell’assetto proprietario o di controllo. È previsto anche un accesso caso per caso, subordinato alla dimostrazione concreta del legittimo interesse.

L’accesso è tracciato dalla Camera di commercio e, su richiesta del titolare effettivo, ne può essere data comunicazione; per giornalisti, ONG e ricercatori è assicurato l’anonimato, comunicando solo la professione o la funzione svolta. È inoltre disciplinato l’accesso da parte di autorità di Paesi terzi, con protezione rafforzata nei casi in cui la divulgazione dell’identità possa compromettere indagini o analisi in corso.

Procedura amministrativa e circostanze eccezionali

L’articolo 21-quinquies disciplina la verifica del legittimo interesse: la domanda deve essere motivata e corredata dalla documentazione necessaria; la Camera di commercio verifica identità e documentazione, può rilasciare un certificato di validità triennale e deve respingere l’istanza in presenza di specifici motivi ostativi, tra cui mancanza di documentazione, assenza di legittimo interesse, rischio di uso improprio delle informazioni o mancata estensione del legittimo interesse riconosciuto da altro Stato membro.

L’articolo 21-sexies prevede l’esclusione o limitazione dell’accesso quando esso esponga il titolare effettivo a rischi sproporzionati di frode, rapimento, estorsione o violenza, oppure quando l’interessato sia minore o incapace. Il titolare effettivo può presentare una dichiarazione motivata; la Camera di commercio decide in base al principio di proporzionalità e, in caso di diniego, il richiedente e, in parte, il titolare effettivo ne sono informati. Sono previste anche misure di conservazione separata e cifratura delle dichiarazioni sulle circostanze eccezionali.

Valutazioni del Garante

Il Garante considera lo schema complessivamente coerente con il quadro europeo e nazionale, ma ritiene opportuni alcuni aggiustamenti per rafforzare le garanzie privacy, in particolare in relazione ai principi di minimizzazione, integrità e riservatezza di cui all’articolo 5, par. 1, lettera c), GDPR.

1. Un atto generale per le modalità di accesso delle autorità

Secondo il Garante, la disciplina delle modalità di accesso delle autorità non dovrebbe essere rimessa a singole convenzioni tecniche, ma a un unico atto ad efficacia generale, sottoposto al suo parere, analogamente al disciplinare generale del gestore previsto dal d.M. n. 55/2022. Tale atto dovrebbe includere anche:

• il termine di conservazione dei dati e dei log di tracciamento;
• l’effettuazione di una valutazione di impatto sulla protezione dei dati;
• l’introduzione di sistemi di audit interno.

2. Limitazione dei dati comunicati al titolare effettivo

Per l’articolo 21-quater, comma 6, il Garante osserva che, se il richiedente accede per conto di una persona giuridica, la comunicazione al titolare effettivo non dovrebbe includere i dati identificativi dei dipendenti, delegati o collaboratori che materialmente effettuano l’accesso, ma solo quelli dell’ente rappresentato. In questo modo si eviterebbe la divulgazione di dati eccedenti rispetto alle finalità della norma.

3. Disciplina dell’accesso analogico

Il Garante rileva che l’articolo 21-quater, comma 5, secondo periodo, prevede la possibilità di accesso anche in forma analogica, ma la relativa modalità deve essere espressamente disciplinata.

4. Possibile consultazione del Garante nei casi dubbi

In relazione all’articolo 21-quinquies, comma 10, il Garante suggerisce di prevedere la facoltà per la Camera di commercio di consultarlo, ai sensi dell’articolo 57, par. 1, lettera c), GDPR, quando la valutazione sull’insussistenza del legittimo interesse presenti profili attinenti alla protezione dei dati personali. La questione richiede infatti un delicato bilanciamento tra contrasto al riciclaggio e tutela dei dati personali, e l’intervento dell’Autorità può essere utile nei casi più complessi.

Esito

Il Garante esprime dunque parere favorevole sullo schema di decreto legislativo, con le osservazioni sopra indicate, che mirano a rendere il sistema più coerente con il GDPR, con il Codice privacy e con la legge di delegazione.