Regolamento (UE) 2024/595

Regolamento delegato (UE) 2024/595: banca dati centrale AML/CFT dell’ABE

Il regolamento delegato (UE) 2024/595 integra il regolamento (UE) n. 1093/2010 per definire in modo dettagliato come l’ABE deve ricevere, analizzare e mettere a disposizione le informazioni confluite nella banca dati centrale AML/CFT prevista dall’articolo 9 bis. Il testo risponde all’esigenza di armonizzare la segnalazione delle carenze rilevanti in materia di antiriciclaggio e contrasto del finanziamento del terrorismo, garantendo al tempo stesso riservatezza, tempestività e comparabilità delle informazioni.

L’impianto del regolamento è costruito per consentire un flusso informativo coerente tra autorità nazionali e autorità europee, con particolare attenzione ai gruppi transfrontalieri, alle succursali e agli operatori che operano tramite agenti o distributori. Vengono inoltre definiti criteri comuni per stabilire quando una carenza è “rilevante” e quindi meritevole di segnalazione alla banca dati centrale.

Base giuridica e finalità

Il regolamento si fonda sull’articolo 9 bis del regolamento (UE) n. 1093/2010, che attribuisce all’ABE il compito di creare, aggiornare e utilizzare una banca dati centrale contenente informazioni sulle carenze AML/CFT e sulle misure adottate dalle autorità segnalanti. I considerando sottolineano che la banca dati deve diventare uno strumento efficace per la prevenzione dell’uso del sistema finanziario a fini di riciclaggio e finanziamento del terrorismo, anche mediante analisi su base aggregata e cooperazione con EIOPA ed ESMA.

Il regolamento si inserisce anche nel quadro della direttiva (UE) 2015/849 e delle norme settoriali sulla vigilanza prudenziale, di condotta, risoluzione e garanzia dei depositi. In particolare, si mira a evitare duplicazioni di notifiche e a coordinare i flussi informativi con quelli già previsti da altri atti dell’Unione.

Ambito soggettivo e nozioni rilevanti

Le "autorità segnalanti" comprendono una pluralità di soggetti: autorità AML/CFT, autorità prudenziali, autorità di vigilanza degli istituti di pagamento, autorità di vigilanza sull’esercizio dell’attività, autorità di risoluzione, autorità designate per i sistemi di garanzia dei depositi e il Comitato di risoluzione unico. Il regolamento precisa anche nozioni fondamentali come "misura", "succursale", operatore del settore finanziario controllante e collegio.

La disciplina riguarda gli operatori del settore finanziario e, quando pertinenti, le loro succursali, agenti e distributori. È espressamente considerata la dimensione di gruppo, con riferimenti all’operatore controllante dell’Unione e ai collegi competenti.

Carenze e criteri di rilevanza

L’articolo 2 definisce tre categorie di carenza:

• violazione di un obbligo AML/CFT già individuata;
• potenziale violazione, quando vi siano ragionevoli motivi per sospettarla o per sospettare un tentativo di violazione;
• applicazione inefficace o inadeguata di obblighi, politiche o procedure AML/CFT, tale da poter evolvere in violazione o potenziale violazione.

La casistica concreta delle situazioni in cui possono emergere carenze è riportata nell’allegato I, differenziata per tipologia di autorità segnalante. L’articolo 3 richiede poi che la carenza sia qualificata come rilevante quando comporta, o può comportare, gravi inadempienze agli obblighi AML/CFT. Ai fini di tale valutazione devono essere considerati almeno i seguenti fattori: ripetizione, durata, gravità, eventuale consapevolezza e inerzia dell’organo di gestione o dell’alta dirigenza, carattere doloso o negligente, aumento dell’esposizione al rischio AML/CFT e impatto su stabilità, integrità, trasparenza, sostenibilità economica e regolare funzionamento dei mercati.

Informazioni da trasmettere alla banca dati centrale

L’articolo 4 struttura l’obbligo di segnalazione in tre blocchi: informazioni generali, informazioni sulle carenze rilevanti e informazioni sulle misure adottate. Questa ripartizione consente all’ABE di ricostruire il contesto della carenza, la sua qualificazione giuridica e le azioni conseguenti.

Le informazioni generali dell’articolo 5 includono l’identificazione dell’autorità segnalante, dell’operatore e delle sue strutture rilevanti, l’eventuale appartenenza a un gruppo, il coinvolgimento in collegi e la presenza di un punto di contatto centrale. Le autorità prudenziali devono inoltre comunicare gli esiti delle valutazioni del rischio nell’ambito dei processi di revisione prudenziale e le eventuali decisioni negative di autorizzazione basate su motivi AML/CFT. Le autorità AML/CFT devono trasmettere il profilo di rischio AML/CFT dell’operatore e delle sue succursali, oltre alle informazioni disponibili su agenti e distributori secondo le categorie dell’allegato III.

L’articolo 6 richiede, per ciascuna carenza rilevante, informazioni molto dettagliate: natura della carenza, ragioni della rilevanza, descrizione, circostanze, tempistica, origine delle informazioni, obbligo AML/CFT interessato, prodotti o servizi coinvolti, portata territoriale e transfrontaliera, comunicazioni a collegi o autorità del paese d’origine, possibili problemi di progettazione del prodotto o servizio, collegamento con persone fisiche e elementi di contesto, inclusi rischi emergenti e uso di nuove tecnologie.

L’articolo 7 disciplina invece le misure adottate in risposta alla carenza: data, tipo di misura, descrizione, base giuridica, stato, eventuali ricorsi, modalità di pubblicazione, azioni correttive e stato delle comunicazioni agli altri livelli di vigilanza o ai collegi.

Tempistiche, aggiornamenti e qualità delle segnalazioni

L’articolo 8 impone che le informazioni sulle carenze rilevanti e sulle misure siano trasmesse senza indebito ritardo. La segnalazione della carenza è obbligatoria anche se non sono state ancora adottate misure correttive; per le autorità AML/CFT del paese ospitante, l’obbligo sussiste a prescindere da eventuali notifiche al paese d’origine.

Le autorità devono assicurare che i dati siano sempre accurati, completi, adeguati e aggiornati. Se l’ABE riscontra lacune, può chiedere informazioni supplementari o successive, che devono essere fornite tempestivamente. È inoltre previsto l’obbligo di comunicare ogni successivo sviluppo, incluse le evoluzioni della carenza, delle misure e delle azioni correttive.

Analisi da parte dell’ABE e uso delle informazioni

L’articolo 9 prevede che l’ABE analizzi le informazioni con un approccio basato sul rischio. Nell’ambito di tale analisi l’ABE può combinare i dati ricevuti con altre informazioni di cui dispone, comprese quelle provenienti da persone fisiche o giuridiche, anche relative ai dati personali elencati nell’allegato II.

L’ABE deve utilizzare le informazioni per i propri compiti istituzionali: analisi aggregate, supporto al parere previsto dall’articolo 6, paragrafo 5, della direttiva (UE) 2015/849, valutazioni dei rischi ex articolo 9 bis, paragrafo 5, del regolamento (UE) n. 1093/2010, orientamento delle richieste di indagine, comunicazione di informazioni pertinenti alle autorità segnalanti e condivisione con EIOPA ed ESMA quando necessaria per i rispettivi mandati.

Messa a disposizione delle informazioni alle autorità segnalanti

L’articolo 10 regola il momento in cui l’ABE può o deve restituire le informazioni alle autorità segnalanti. Ciò avviene sia su richiesta motivata sia di propria iniziativa, secondo un approccio basato sul rischio. In particolare, l’ABE può informare i collegi competenti quando le informazioni siano pertinenti ma non siano state già comunicate ai sensi degli articoli 6, lettera j), e 7, lettera i), e può anche trasmettere informazioni ad autorità competenti di altri paesi quando l’operatore faccia parte di un gruppo transfrontaliero o operi in più Stati tramite succursali, agenti o distributori.

Le richieste devono contenere elementi puntuali: autorità richiedente, operatore interessato, oggetto della richiesta, ragioni di pertinenza, uso previsto, termine entro cui ricevere le informazioni, urgenza e ulteriori elementi utili al trattamento. Per le persone fisiche si applicano le regole dell’allegato II.

Coordinamento con altre notifiche e riduzione delle duplicazioni

L’articolo 11 chiarisce che l’invio all’ABE di informazioni su una misura da parte di un’autorità AML/CFT vale anche come notifica ai sensi dell’articolo 62 della direttiva (UE) 2015/849. Inoltre, chi trasmette le informazioni deve specificare se abbia già effettuato la notifica prevista dall’articolo 97, paragrafo 6, della direttiva 2013/36/UE. La ratio è evitare duplicazioni e garantire coerenza fra diversi canali informativi dell’Unione.

Modalità pratiche, lingua e trasmissione indiretta

L’articolo 12 stabilisce che informazioni e richieste siano inviate per via elettronica e in inglese. I documenti giustificativi non disponibili in inglese devono essere presentati nella lingua originale con una sintesi in inglese. Il regolamento introduce anche un meccanismo di trasmissione indiretta per alcune autorità non AML/CFT, attraverso l’autorità AML/CFT competente dello Stato membro, con regole precise su responsabilità e canali di scambio.

Le autorità segnalanti devono nominare una persona con adeguata posizione gerarchica e uno o più punti di contatto, e devono dedicare risorse sufficienti agli obblighi di segnalazione. L’ABE, inoltre, definisce le specifiche tecniche di scambio, compresi formati, punti dati, istruzioni e diritti di accesso alla banca dati.

Riservatezza e protezione dei dati

L’articolo 13 impone il rispetto del segreto professionale e della riservatezza. Le informazioni possono essere ulteriormente divulgate solo in forma sintetica o aggregata, senza consentire l’identificazione di singoli operatori o persone fisiche, salvo i casi in cui siano in corso procedimenti penali. Le informazioni ricevute devono essere usate esclusivamente per finalità di vigilanza AML/CFT e nei relativi contenziosi o procedimenti giudiziari.

Sul piano della protezione dei dati, l’articolo 14 prevede che l’ABE possa conservare i dati personali in forma identificabile per un massimo di 10 anni dalla raccolta, con possibile cancellazione anticipata sulla base di una valutazione annuale. Il regolamento richiama espressamente il regolamento (UE) 2016/679 e il regolamento (UE) 2018/1725.

Allegati: casistica e categorie di dati personali

L’allegato I dettaglia le situazioni tipiche in cui possono emergere carenze per ciascuna categoria di autorità: adeguata verifica della clientela, segnalazione di operazioni sospette, conservazione documentale, controlli interni, governance, SREP, autorizzazioni, sistemi di garanzia dei depositi, risoluzione e vigilanza sull’esercizio dell’attività, oltre alle attività degli istituti di pagamento. L’allegato prevede anche una clausola residuale per qualsiasi altra situazione rilevante.

L’allegato II specifica le informazioni da trasmettere sulle persone fisiche, distinguendo tra dati identificativi, ruoli, motivi del sospetto o della connessione con la carenza e contenuti delle richieste di divulgazione da parte dell’ABE. L’allegato III definisce quattro livelli di profilo di rischio AML/CFT: poco significativo, moderatamente significativo, significativo e molto significativo, sulla base dell’intensità del rischio intrinseco e dell’efficacia delle misure di mitigazione.

Entrata in vigore

Il regolamento entra in vigore il ventesimo giorno successivo alla pubblicazione nella Gazzetta ufficiale dell’Unione europea ed è direttamente applicabile in tutti gli Stati membri.