Parere del Garante n. 141 del 13/04/2023

Specifiche tecniche OAM per il registro dei soggetti convenzionati e degli agenti di PSP e IMEL

Il Garante per la protezione dei dati personali esamina lo schema di "Specifiche tecniche delle procedure di registrazione, accreditamento e consultazione" relative al registro dei soggetti convenzionati e degli agenti di prestatori di servizi di pagamento e istituti emittenti moneta elettronica. Il parere è reso su richiesta dell’Organismo agenti e mediatori (OAM), ai sensi dell’art. 7 del d.m. 31 maggio 2022, nell’ambito del sistema delineato dall’art. 45 del d.lgs. 231/2007.

Quadro normativo di riferimento

Il registro è un registro pubblico informatizzato istituito presso l’OAM per raccogliere, con cadenza semestrale, i dati comunicati da PSP, IMEL, succursali e punti di contatto centrale relativi ai soggetti convenzionati e agli agenti utilizzati per l’attività di pagamento e moneta elettronica. L’art. 45, comma 3, del d.lgs. 231/2007 demanda a un decreto ministeriale la definizione delle modalità tecniche di alimentazione e consultazione del registro. Il d.m. 31 maggio 2022, già oggetto di parere favorevole del Garante, prevede all’art. 7 che le specifiche tecniche siano adottate dall’OAM sentito il Garante prima del trattamento.

Contenuto dello schema tecnico

Lo schema descrive in modo articolato:

• le modalità di comunicazione tra utenti e portale OAM;
• la procedura di registrazione e i dati/documenti richiesti;
• la fase di accreditamento di PSP/IMEL italiani, succursali di soggetti comunitari e punti di contatto centrale;
• la consultazione del registro, distinguendo sezione pubblica e sottosezione ad accesso riservato;
• la trasmissione dei dati relativi alla cessazione del rapporto di convenzionamento o mandato per motivi non commerciali;
• la consultazione di provvedimenti di sospensione e decreti sanzionatori;
• l’interconnessione con altri elenchi e registri tenuti dall’OAM, per verificare eventuali cancellazioni o sospensioni già disposte altrove;
• i tempi di conservazione, l’aggiornamento dei dati, la formazione del personale e le misure tecniche e organizzative di sicurezza.

Valutazioni del Garante sui profili privacy

Il Garante rileva che la versione esaminata tiene conto delle indicazioni emerse nei confronti informali con l’OAM e risulta coerente con il principio di privacy by design e by default di cui all’art. 25 GDPR. In particolare, vengono considerati positivamente:

• la distinzione tra dati obbligatori e facoltativi nelle fasi di registrazione e accreditamento;
• la specificazione delle categorie di dati trattati, inclusi quelli accessibili alle autorità di vigilanza e indagine;
• la definizione delle informazioni effettivamente accessibili al pubblico e di quelle riservate;
• l’inquadramento dell’acquisizione dei dati da albi ed elenchi della Banca d’Italia per verifiche di autorizzazione e allineamento informativo;
• l’adozione di informative adeguate agli interessati, anche in relazione ai dati resi pubblici;
• le misure di sicurezza, tra cui l’autenticazione a due fattori per la consultazione riservata e le modalità protette di trasmissione;
• le istruzioni al personale autorizzato;
• un meccanismo di informazione reciproca e tempestiva tra i titolari coinvolti in caso di violazioni di sicurezza o altre minacce, utile anche per gli adempimenti degli artt. 33 e 34 GDPR.

Le valutazioni sono ricondotte ai principi di liceità, correttezza, trasparenza, limitazione della finalità, minimizzazione, esattezza, integrità e riservatezza, nonché agli obblighi di accountability e sicurezza previsti dagli artt. 24, 29, 32, 33 e 34 GDPR e dall’art. 2-quaterdecies del Codice privacy.

Esito

Alla luce delle modifiche apportate e dell’assenza di rilievi residui, il Garante esprime parere favorevole sullo schema di specifiche tecniche. Il provvedimento richiama, in via comparativa, precedenti pareri relativi ad altri registri settoriali, tra cui quello sugli operatori compro oro e quello sugli operatori di valuta virtuale, evidenziando la continuità dell’approccio seguito dall’Autorità in materia di registri pubblici e controlli antiriciclaggio.