Prescrizioni del Garante n. 129 del 13/04/2023

BPER Banca S.p.A.: limitazione indebita del diritto di accesso in ambito antiriciclaggio

Il Garante è intervenuto su un reclamo presentato da un cliente di BPER Banca che lamentava la mancata comunicazione completa dei dati personali trattati dalla banca. Il caso riguarda il rapporto tra diritto di accesso ex art. 15 GDPR e limiti ai diritti dell’interessato in materia antiriciclaggio.

Fatti e avvio del procedimento

L’interessato aveva chiesto alla banca chiarimenti sui dati personali e sulle informazioni negative riferite alla sua posizione, dopo aver appreso informalmente che alcune operazioni di finanziamento e bancarie erano state ostacolate per la presenza di alert connessi a un rischio di riciclaggio. La banca aveva fornito solo un riscontro parziale, limitato ai dati anagrafici e ai rapporti bancari, senza comunicare le ulteriori informazioni negative.

A seguito dell’attività istruttoria, il Garante ha notificato alla banca le presunte violazioni, richiamando gli artt. 5, par. 1, lett. a) e c), 15 e 23 GDPR, oltre all’art. 2-undecies del Codice.

Difese della banca

BPER Banca ha sostenuto di aver correttamente applicato la limitazione dei diritti dell’interessato in forza della disciplina antiriciclaggio, in particolare degli artt. 35 e 39 del d.lgs. 231/2007. Secondo la banca, la comunicazione delle informazioni avrebbe potuto compromettere eventuali verifiche interne e il processo che può condurre a una segnalazione di operazione sospetta.

La banca ha inoltre affermato che le informazioni provenivano da fonti pubbliche, come articoli di stampa e una sentenza della Corte di Cassazione reperita in banca dati giurisprudenziale, e che il loro trattamento era stato effettuato nel rispetto dei principi di minimizzazione, esattezza e limitazione della conservazione.

Quadro normativo sulle limitazioni ai diritti

Il Garante ha richiamato la Carta dei diritti fondamentali dell’Unione europea, gli artt. 7, 8 e 52, l’art. 23 GDPR e le Linee guida EDPB n. 10/2020 sulle restrizioni. Ha ribadito che una limitazione ai diritti degli interessati può essere applicata solo se prevista da una base legale, necessaria, proporzionata e giustificata da un pregiudizio effettivo e concreto agli interessi tutelati.

Nel diritto interno, l’art. 2-undecies del Codice consente limitazioni, ritardi o esclusioni dei diritti di cui agli artt. 15-22 GDPR solo nei limiti in cui possa derivarne un pregiudizio effettivo e concreto; tra gli interessi rilevanti sono inclusi quelli tutelati dalle disposizioni in materia di riciclaggio. Il titolare, inoltre, deve informare l’interessato della limitazione con comunicazione motivata, salvo che ciò comprometta la finalità della stessa.

Valutazione del Garante sul caso concreto

L’Autorità ha ritenuto che la banca avesse applicato in modo eccessivo la limitazione, arrivando a escludere l’accesso a dati e informazioni che, nel caso concreto, non erano idonei a pregiudicare la finalità antiriciclaggio.

In particolare, le informazioni non comunicate:

• provenivano da quotidiani nazionali e da una banca dati giurisprudenziale accessibile online;
• riguardavano fatti già noti all’interessato;
• non avrebbero potuto svelare elementi ulteriori o riservati tali da compromettere in modo effettivo e concreto gli interessi protetti dalla normativa antiriciclaggio.

Secondo il Garante, non tutte le informazioni acquisite per finalità antiriciclaggio sono automaticamente sottratte all’accesso: occorre una valutazione concreta della natura del dato e delle conseguenze della sua comunicazione. Nel caso di specie, il rifiuto è stato ritenuto sproporzionato.

Esito: illiceità del trattamento e ammonimento

Il Garante ha quindi dichiarato l’illiceità del trattamento effettuato da BPER Banca per violazione degli artt. 5, par. 1, lett. a) e c), e 15 GDPR, ritenendo che il riscontro fornito all’interessato fosse inidoneo.

Pur rilevando la violazione, l’Autorità non ha irrogato una sanzione pecuniaria, ma ha adottato un ammonimento ai sensi dell’art. 58, par. 2, lett. b), GDPR, valorizzando:

• la complessità del quadro normativo tra privacy e antiriciclaggio;
• l’assenza di precedenti specifici dell’Autorità sul punto;
• l’assenza di precedenti violazioni della banca in materia;
• la collaborazione prestata durante l’istruttoria e l’impegno a implementare processi interni più corretti per la gestione delle richieste di esercizio dei diritti.

Prescrizioni e ulteriori effetti

Il provvedimento dispone l’annotazione della violazione nel registro interno dell’Autorità ai sensi dell’art. 57, par. 1, lett. u), GDPR e dell’art. 17 del Regolamento del Garante n. 1/2019.

Il Garante ha inoltre ricordato la possibilità di proporre ricorso dinanzi all’autorità giudiziaria ordinaria ai sensi dell’art. 78 GDPR, degli artt. 152 del Codice e 10 del d.lgs. 150/2011.