Prescrizioni del Garante n. 128 del 13/04/2023

Banco BPM S.p.A.: limitazione illegittima del diritto di accesso in ambito antiriciclaggio

Il provvedimento riguarda il reclamo di un cliente di Banco BPM S.p.A. che, a seguito della revoca di una carta di credito e poi del recesso dal rapporto di conto corrente, aveva chiesto di conoscere i dati e le informazioni utilizzati dalla banca per assumere tali decisioni. Il Garante valuta la correttezza del parziale diniego opposto dall’istituto, fondato sull’esigenza di non compromettere presunte finalità antiriciclaggio.

Fatti e svolgimento del procedimento

Il reclamante riferisce di aver ottenuto nel giugno 2020 una carta di credito collegata al proprio conto corrente. Poco dopo, la banca lo contattava invitandolo a restituirla perché in possesso di dati e informazioni sulla sua persona che avrebbero determinato l’interruzione dei rapporti in essere.

L’interessato formulava quindi una prima richiesta del 24 luglio 2020, chiedendo sia la motivazione della revoca sia l’accesso ai dati personali trattati. Banco BPM rispondeva l’11 agosto 2020 confermando la richiesta di restituzione della carta per "insindacabili valutazioni di natura commerciale", senza fornire un reale riscontro sull’accesso ai dati. In successivi colloqui, il cliente apprendeva che la banca riteneva di avere informazioni qualificate internamente come "dati sensibili" e non comunicabili.

Dopo una nuova istanza del 22 settembre 2020, e poi un reclamo formale dell’8 novembre 2020, la banca forniva soltanto dati anagrafici, professionali e relativi ai rapporti in essere, ma non le informazioni particolari che avrebbero costituito la base della decisione di revoca.

I chiarimenti della banca

Nel corso dell’istruttoria Banco BPM spiega di essere venuta a conoscenza, tramite verifiche antiriciclaggio e una banca dati reputazionale denominata SGR Daily Control, di notizie di stampa che riferivano di un’indagine della Guardia di Finanza a carico del reclamante e di una successiva denuncia per falso, truffa aggravata ai danni di un ente pubblico, false attestazioni e certificazioni.

Secondo la banca, tali notizie erano rilevanti ai fini del profilo di rischio antiriciclaggio del cliente e potevano giustificare la mancata comunicazione all’interessato, anche perché la pubblicazione risultava allora ancora rintracciabile sul web e la banca riteneva di non conoscere ancora l’esito definitivo del procedimento penale.

Quadro normativo richiamato dal Garante

L’Autorità ricostruisce il quadro delle limitazioni ai diritti dell’interessato, richiamando:

• la Carta dei diritti fondamentali dell’UE, in particolare gli artt. 7, 8 e 52;
• l’art. 23 GDPR, che consente limitazioni ai diritti di cui agli artt. 12-22 solo mediante misure legislative e in modo necessario e proporzionato;
• l’art. 2-undecies del Codice privacy, che disciplina le limitazioni dei diritti quando possa derivarne un pregiudizio effettivo e concreto, includendo tra gli interessi tutelati anche quelli in materia di riciclaggio;
• l’art. 39 del d.lgs. 231/2007, che vieta di comunicare al cliente l’avvenuta segnalazione di operazioni sospette o l’esistenza/probabilità di indagini o approfondimenti in materia di riciclaggio o finanziamento del terrorismo.

Il Garante richiama inoltre le Linee guida EDPB n. 10/2020 sulle restrizioni ex art. 23 GDPR, sottolineando che la limitazione deve essere strettamente necessaria, proporzionata e limitata nel tempo, e che le informazioni non comunicate vanno rese disponibili quando non sussista più il rischio di pregiudizio.

Valutazione del caso concreto

L’Autorità ritiene che Banco BPM abbia erroneamente applicato la limitazione ai diritti dell’interessato. Le informazioni non comunicate riguardavano esclusivamente articoli di stampa su indagini e denuncia a carico del reclamante: dati pubblicamente accessibili e già noti all’interessato.

Per tale ragione, la loro comunicazione non avrebbe comportato il disvelamento di elementi idonei a determinare un pregiudizio effettivo e concreto agli interessi tutelati dalle norme antiriciclaggio. Il Garante osserva inoltre che non tutte le informazioni raccolte ai fini antiriciclaggio devono essere sottratte all’interessato, essendo necessario valutare caso per caso natura delle informazioni e conseguenze della comunicazione.

Esattezza e aggiornamento dei dati provenienti da banche dati reputazionali

Un ulteriore profilo riguarda l’impiego della banca dati SGR Daily Control, qualificata come banca dati reputazionale alimentata da fonti pubbliche. Il Garante sottolinea che, quando le banche si avvalgono di tali strumenti, operano come autonomi titolari e devono rispettare i principi dell’art. 5 GDPR, in particolare:

• esattezza dei dati;
• aggiornamento;
• minimizzazione.

Ne consegue che spetta al titolare verificare l’attendibilità e l’attualità delle informazioni acquisite, procedendo se necessario alla loro correzione o aggiornamento.

Violazioni accertate e decisione finale

Il Garante conclude che Banco BPM ha fornito un riscontro incompleto e non tempestivo all’istanza di accesso del reclamante, in violazione degli artt. 5, par. 1, lett. a) e c), e 15 GDPR. La banca ha inoltre trattato dati in modo non conforme ai principi di esattezza e aggiornamento.

In ragione della complessità del quadro normativo, dell’assenza di precedenti specifici, della collaborazione mostrata dall’istituto e delle misure correttive promesse, l’Autorità non applica una sanzione pecuniaria ma adotta un ammonimento ai sensi dell’art. 58, par. 2, lett. b), GDPR e dell’art. 143 Codice privacy.

Misure correttive e annotazioni

Nel corso del procedimento la banca dichiara di aver avviato azioni correttive, tra cui:

• revisione della gestione dei diritti degli interessati;
• maggiori indicazioni a dipendenti e collaboratori sui casi di possibile limitazione dei diritti di accesso;
• maggiore coordinamento tra uffici interni;
• sensibilizzazione dei fornitori delle banche dati per assicurare un più puntuale aggiornamento delle informazioni;
• ulteriore formazione del personale.

Il Garante dispone l’annotazione della violazione nel registro interno dell’Autorità ex art. 57, par. 1, lett. u), GDPR. Viene inoltre ricordata la possibilità di impugnazione avanti all’autorità giudiziaria ordinaria nei termini di legge.