Parere del Garante n. 449 del 21/12/2022

Parere su due schemi di specifiche tecniche OAM per operatori in valuta virtuale

Il Garante per la protezione dei dati personali si pronuncia, su richiesta dell’OAM, su due schemi di specifiche tecniche adottati in attuazione del d.m. 13 gennaio 2022 relativo ai prestatori di servizi in valuta virtuale e ai prestatori di servizi di portafoglio digitale (VASP). Il parere riguarda, da un lato, la procedura di registrazione nella sezione speciale del Registro dei cambiavalute e, dall’altro, la procedura di trasmissione telematica all’OAM dei dati relativi alle operazioni effettuate sul territorio italiano.

Quadro normativo di riferimento

Gli schemi si collocano nell’ambito dell’art. 17-bis del d.lgs. 13 agosto 2010, n. 141, come modificato, che ha esteso l’obbligo di iscrizione nella sezione speciale del registro anche ai VASP. Il d.m. 13 gennaio 2022 demanda all’OAM l’adozione, sentito il Garante, delle specifiche tecniche per:

• la comunicazione telematica finalizzata all’iscrizione nella sezione speciale, ai sensi dell’art. 3, comma 4;
• la trasmissione telematica dei dati sulle operazioni, ai sensi dell’art. 5, comma 2;
• l’adozione di misure tecniche e organizzative adeguate e dei tempi di conservazione, ai sensi dell’art. 7, comma 2, in coerenza con l’art. 32 GDPR.

Esame unitario dei due schemi

Il Garante tratta i due schemi unitariamente, perché strettamente collegati e riferiti alla medesima disciplina antiriciclaggio applicabile ai VASP. Entrambi gli schemi descrivono procedure informatiche, tracciati dati, flussi di accesso, misure di sicurezza e presidi organizzativi. Tuttavia, dall’esame emergono criticità sia comuni sia specifiche, che portano il Garante a formulare un parere favorevole condizionato.

Valutazione d’impatto e rischio dei trattamenti

Per entrambi i trattamenti il Garante ritiene necessaria una valutazione d’impatto ai sensi dell’art. 35 GDPR, alla luce dei criteri delle Linee guida del Gruppo Articolo 29 e della natura dei dati trattati, che includono informazioni di dettaglio sulle operazioni dei clienti e sono trattate su larga scala. Pur prendendo atto che l’OAM ha svolto una valutazione preliminare del rischio o una DPIA, il Garante invita a:

• considerare attentamente se sia opportuno inserire negli schemi pubblici dettagli specifici sui rischi per la sicurezza;
• evitare la divulgazione di elementi che possano esporre a criticità operative o di sicurezza.

Misure tecniche e organizzative comuni richieste

Su entrambi gli schemi il Garante rileva che il termine di conservazione dei dati è fissato in dieci anni, ma non è indicato il momento da cui tale termine decorre né sono descritte in modo sufficiente le misure di conservazione sicura. Chiede dunque di specificare:

• il dies a quo del periodo di conservazione;
• le misure tecniche e organizzative a presidio della conservazione.

Inoltre, per garantire integrità e riservatezza ex art. 5, par. 1, lett. f), e art. 32 GDPR, le misure dei due schemi devono essere rese omogenee sulla medesima piattaforma OAM, con particolare riguardo a:

• policy delle credenziali e delle password, allineata alle regole già vigenti sul portale OAM, con password almeno di 12 caratteri, maiuscole, numeri e simboli, e con divieto di riuso;
• protezione crittografica delle password degli incaricati con algoritmi adeguati allo stato dell’arte;
• protezione dei sistemi da attacchi SQL injection;
• registrazione di accessi e operazioni nei log;
• meccanismi reciproci di comunicazione delle violazioni dei dati personali tra OAM e soggetti che alimentano le banche dati, per consentire azioni tempestive di contenimento.

Schema sulla registrazione dei VASP: dati di contatto e aggiornamento

Sul solo schema relativo alla registrazione, il Garante contesta la richiesta, per le persone fisiche, di un numero di telefono fisso, un cellulare, una email e un eventuale fax. Tali dati non risultano previsti dal d.m. e, poiché è già raccolta la PEC per le comunicazioni con OAM, la loro acquisizione appare non giustificata rispetto ai principi di liceità, correttezza, trasparenza e minimizzazione.

Il Garante richiede quindi che:

• tali dati siano espunti dallo schema; oppure
• se mantenuti, siano resi facoltativi e sia chiarita la finalità della raccolta.

Lo schema deve inoltre descrivere meglio come sono assicurati l’aggiornamento dei dati e le relative misure tecniche e organizzative, in coerenza con il principio di esattezza.

Schema sulla trasmissione dei dati: accesso delle autorità e organizzazione interna

Sul solo schema relativo alla trasmissione dei dati, il Garante interviene su vari profili. In particolare, quando l’accesso ai dati da parte delle autorità avvenga tramite una postazione dedicata OAM, il personale incaricato deve avere istruzioni specifiche, ai sensi dell’art. 29 GDPR e dell’art. 2-quaterdecies del Codice privacy, per ridurre il rischio di accessi abusivi o illeciti.

Quanto ai report per la relazione semestrale del MEF, il Garante osserva che non è sufficiente affidarne l’elaborazione agli amministratori di sistema; occorre invece che siano prodotti da personale OAM appositamente incaricato, formato e istruito.

Per i flussi di accesso da parte delle autorità di cui all’art. 4, comma 4, del d.m., il Garante chiede inoltre che:

• siano specificate le caratteristiche dell’autenticazione rafforzata, che dovrebbe concretarsi in un’autenticazione a più fattori;
• laddove non si usi il cruscotto informativo, le informazioni accessibili tramite la procedura alternativa siano le stesse del cruscotto, nel rispetto dei principi di minimizzazione e riservatezza.

Informativa agli interessati e diritti degli interessati

Il Garante affronta anche il tema della trasparenza. Precisa che i VASP, in quanto titolari del trattamento dei dati dei propri clienti, devono rendere l’informativa ex art. 13 GDPR. Tuttavia, OAM è anch’esso titolare per i trattamenti di propria competenza e non può limitarsi a rinviare all’informativa dei VASP.

Pertanto, lo schema deve essere integrato prevedendo che OAM:

• pubblichi sul proprio sito una informativa completa ai sensi dell’art. 14 GDPR;
• indichi le modalità di esercizio dei diritti;
• adotti misure appropriate a tutela degli interessi legittimi degli interessati, in linea con l’art. 14, par. 5, lett. c), GDPR.

Referenti nominati dai VASP

Lo schema sulla trasmissione prevede che ciascun VASP nomini uno o più referenti fisici per le trasmissioni, con indicazione di dati anagrafici e di contatto. Il Garante richiede che sia precisato che tali referenti:

• siano autorizzati, formati e istruiti ai sensi dell’art. 29 GDPR;
• utilizzino un indirizzo di posta elettronica professionale.

Conclusioni del Garante

Il parere è favorevole su entrambi gli schemi, ma solo a condizione che siano recepite le prescrizioni indicate. In sintesi, il Garante subordina l’assenso a interventi su conservazione, sicurezza, minimizzazione dei dati, aggiornamento delle informazioni, istruzioni agli incaricati e trasparenza verso gli interessati. Le condizioni sono formulate distintamente per i due schemi, ma con un nucleo comune di misure tecniche e organizzative da integrare prima dell’adozione definitiva.