Parere del Garante n. 380 del 28/05/2026

Regolamento Banca d’Italia sul trattamento dei dati personali nell’ambito del supporto all’ABF

Il Garante per la protezione dei dati personali esprime parere favorevole sullo schema di regolamento predisposto dalla Banca d’Italia relativo ai trattamenti di dati personali effettuati nell’ambito delle attività di supporto all’Arbitro Bancario Finanziario (ABF). Il parere è reso ai sensi degli artt. 36, par. 4, e 58, par. 3, lett. b), del GDPR, nel quadro della disciplina bancaria e della regolazione dell’ABF prevista dal TUB e dalla delibera CICR in materia di sistemi di risoluzione stragiudiziale delle controversie.

Quadro normativo di riferimento

Il provvedimento richiama il GDPR, il Codice privacy, il TUB, l’art. 128-bis TUB, l’art. 40 del d.lgs. n. 11/2010 per le controversie sui servizi di pagamento, nonché la disciplina CICR sull’ABF. Sono inoltre richiamati il regolamento (UE) 2024/1689 sull’IA e la legge nazionale n. 132/2025 in materia di IA. Il Garante precisa però che, con riguardo all’uso dei sistemi di IA, il parere si limita ai profili di protezione dei dati personali e non valuta la piena conformità alla disciplina settoriale sull’IA, che non è ancora integralmente applicabile.

Oggetto dello schema di regolamento

Lo schema disciplina i trattamenti di dati personali svolti dalla Banca d’Italia a supporto del funzionamento dell’ABF, sistema composto da un organo decidente e da una segreteria tecnica. Il regolamento riguarda in particolare:

• la gestione dei dati necessari alla nomina, al rinnovo, alla decadenza e alla revoca dei componenti del collegio ABF, inclusi i dati utili a verificare il possesso e il mantenimento dei requisiti di settore e gli eventuali dati relativi a condanne penali e reati presenti nei certificati del casellario giudiziale;
• la gestione dei dati contenuti nei ricorsi, nelle memorie e nella documentazione del procedimento ABF, che possono includere dati riferiti a terzi e categorie particolari di dati o dati giudiziari;
• l’analisi della documentazione dei ricorsi mediante strumenti di ricerca avanzata, sistemi di IA e tecnologie correlate, per finalità di supporto amministrativo, monitoraggio del contenzioso e produzione di informazioni aggregate utili alla vigilanza e alla relazione annuale sull’attività dell’ABF.

Valutazioni del Garante sui trattamenti documentali

Il Garante prende atto che, a seguito delle interlocuzioni informali, lo schema è stato modificato per rendere i trattamenti coerenti con i principi del GDPR e del Codice privacy. In particolare, viene valorizzata la necessità di una più stretta correlazione tra trattamenti e finalità perseguite, nel rispetto dei principi di liceità, correttezza, trasparenza e limitazione della finalità, nonché dell’esigenza di definire con precisione operazioni eseguibili e tipologie di dati trattabili.

Per i dati contenuti nei ricorsi, l’Autorità evidenzia che il trattamento deve avvenire esclusivamente per la risoluzione della controversia e con le sole operazioni indispensabili. Se, nel caso concreto, documenti contenenti dati particolari o giudiziari non risultano necessari alla decisione, è possibile la loro rimozione dal fascicolo a seguito del bilanciamento tra diritto di difesa e protezione dei dati personali. Inoltre, la pubblicazione delle decisioni deve essere preceduta da anonimizzazione dei dati personali.

Trasparenza e customer satisfaction

Lo schema prevede anche l’utilizzo dei dati dei ricorrenti contattati dopo la conclusione del procedimento per l’invio di una survey di customer satisfaction, finalizzata a valutare la qualità del servizio di assistenza ricevuto. Il Garante richiama la necessità di assicurare la piena trasparenza di tale trattamento, in coerenza con l’art. 13 GDPR e con i principi di cui all’art. 5, par. 1, lett. a), del Regolamento.

Uso di strumenti di ricerca avanzata e sistemi di IA

Un passaggio centrale del parere riguarda l’impiego di strumenti di full-text search, IA e tecnologie correlate. Il Garante dà atto che lo schema distingue tre utilizzi principali:

• la ricerca di precedenti nei documenti dei ricorsi dell’ultimo decennio mediante full-text search, per supportare la redazione della relazione tecnica per il collegio ABF;
• l’estrazione di dati essenziali, come date, cifre e intermediari coinvolti, per una preliminare analisi di ammissibilità del ricorso;
• l’analisi di decisioni già anonimizzate per individuare orientamenti, ricorrenze, centroidi e outlier, mediante clusterizzazione semantica.

Il Garante evidenzia che, in tali processi, la decisione sul ricorso resta integralmente rimessa al collegio ABF e che gli strumenti di IA non devono sostituire la valutazione umana, né dare luogo a forme di profilazione o predizione dei comportamenti delle persone fisiche coinvolte. Per la clusterizzazione delle decisioni anonimizzate, non devono essere utilizzati dati personali, poiché il sistema opera solo su documenti previamente anonimizzati.

Misure tecniche e organizzative e privacy by design

Il provvedimento valorizza un insieme di misure tecniche e organizzative introdotte nello schema, ritenute coerenti con i principi di privacy by design e by default di cui all’art. 25 GDPR e con gli obblighi di sicurezza e accountability. Tra le misure richiamate figurano:

• formazione periodica degli operatori abilitati all’uso degli strumenti;
• sensibilizzazione e aggiornamento sulle corrette modalità operative e sulle cautele da adottare;
• riaddestramento continuo del training dataset e suo periodico monitoraggio;
• supervisione e monitoraggio da parte di un team multidisciplinare di esperti;
• tecniche di spiegabilità e rappresentazione del funzionamento interno dell’algoritmo;
• conservazione della documentazione relativa al continuo perfezionamento del modello, anche ai fini di versioning.

Il Garante considera particolarmente rilevante la supervisione umana, l’autonomia decisionale del collegio ABF e la capacità di giustificare i risultati prodotti dai sistemi di IA.

Limiti del parere e valutazione d’impatto

L’Autorità precisa che il proprio esame resta circoscritto ai profili strettamente attinenti alla protezione dei dati personali. In relazione all’uso dei sistemi di IA, il Garante sottolinea comunque l’importanza di monitorare e revisionare costantemente le misure adottate, aggiornando periodicamente la valutazione d’impatto sulla protezione dei dati ai sensi dell’art. 35 GDPR.

Viene inoltre richiamato l’art. 35, par. 9, GDPR, che prevede, se del caso, la raccolta delle opinioni degli interessati o dei loro rappresentanti sul trattamento previsto, fatti salvi gli interessi commerciali o pubblici e la sicurezza dei trattamenti. Il Garante suggerisce dunque di considerare, ove appropriato, il coinvolgimento degli stakeholder, inclusi i collegi ABF e i destinatari delle decisioni.

Conclusioni

Alla luce delle modifiche apportate e delle garanzie previste, il Garante esprime parere favorevole sullo schema di regolamento della Banca d’Italia. Il parere è favorevole senza prescrizioni formali ulteriori, ma con una forte raccomandazione sostanziale a mantenere nel tempo il presidio di trasparenza, minimizzazione, supervisione umana, documentazione e aggiornamento delle valutazioni d’impatto, soprattutto in caso di uso di sistemi di IA.