Direttiva 2018/843

Direttiva (UE) 2018/843: rafforzamento del quadro antiriciclaggio e antiterrorismo

La direttiva interviene sulla direttiva (UE) 2015/849 per adeguare il quadro europeo AML/CFT alle nuove modalità di finanziamento del terrorismo, alla digitalizzazione dei pagamenti e all’esigenza di maggiore trasparenza delle strutture societarie e fiduciarie. Il legislatore sottolinea nei considerando la necessità di un approccio proporzionato e basato sul rischio, nel rispetto della protezione dei dati personali e dei diritti fondamentali.

Finalità e logica dell’intervento

La direttiva mira a:

• contrastare il riciclaggio di denaro e il finanziamento del terrorismo in modo più efficace;
• colmare le lacune emerse rispetto a valute virtuali, carte prepagate anonime e sistemi non trasparenti;
• rafforzare la tracciabilità dei titolari effettivi di società, trust e istituti giuridici affini;
• migliorare il coordinamento tra FIU, autorità di vigilanza, autorità fiscali e autorità di contrasto.

I considerando richiamano il GAFI, le risoluzioni ONU, l’"Agenda europea sulla sicurezza" e il "Piano d’azione per rafforzare la lotta al finanziamento del terrorismo", nonché la necessità di assicurare coerenza con la Carta dei diritti fondamentali e con il principio di proporzionalità.

Ambito soggettivo e oggettivo

La modifica incide sui soggetti obbligati della direttiva antiriciclaggio e, in particolare, estende il perimetro applicativo a:

• prestatori di servizi di cambio tra valute virtuali e valute aventi corso forzoso;
• prestatori di servizi di portafoglio digitale;
• persone che commerciano opere d’arte o operano come intermediari nel relativo commercio, anche tramite gallerie e case d’asta, se l’operazione o serie di operazioni collegate raggiunge 10 000 EUR;
• soggetti che conservano o commerciano opere d’arte, anche in porti franchi, oltre la soglia di 10 000 EUR.

Rilevano inoltre i rapporti con paesi terzi ad alto rischio, i trust e gli istituti giuridici affini ai trust, i meccanismi nazionali per l’identificazione dei titolari di conti bancari e di pagamento e delle cassette di sicurezza, nonché i registri centrali dei titolari effettivi.

Definizioni e qualificazioni rilevanti

La direttiva introduce o aggiorna alcune definizioni chiave:

• valute virtuali: rappresentazione digitale di valore non emessa o garantita da banca centrale o ente pubblico, non necessariamente legata a una valuta avente corso legale, ma accettata come mezzo di scambio e trasferibile, memorizzabile e scambiabile elettronicamente;
• prestatore di servizi di portafoglio digitale: soggetto che custodisce chiavi crittografiche private per conto dei clienti al fine di detenere, memorizzare e trasferire valute virtuali;
• viene chiarito il concetto di moneta elettronica e il novero delle persone rilevanti per la titolarità effettiva nei trust.

Sono escluse dal concetto di valute virtuali le valute locali o complementari utilizzate in ambiti ristretti e le valute di gioco utilizzabili solo in ambienti di gioco specifici.

Paesi terzi ad alto rischio

L’articolo 9 viene riformulato per rafforzare l’individuazione dei paesi terzi ad alto rischio mediante atti delegati della Commissione. La valutazione deve considerare:

• il quadro giuridico e istituzionale AML/CFT del paese terzo;
• la perseguibilità del riciclaggio e del finanziamento del terrorismo;
• gli obblighi di adeguata verifica e conservazione documentale;
• gli obblighi di segnalazione delle operazioni sospette;
• la disponibilità di informazioni precise e tempestive sulla titolarità effettiva;
• i poteri, le procedure e le sanzioni delle autorità competenti;
• l’efficacia complessiva del sistema AML/CFT.

Per i rapporti e le operazioni che coinvolgono tali paesi, gli Stati membri devono imporre misure rafforzate di adeguata verifica e possono prevedere ulteriori misure di mitigazione o contromisure, tenendo conto delle valutazioni di organizzazioni ed enti internazionali competenti.

Adeguata verifica della clientela e identificazione elettronica

L’obbligo di adeguata verifica è rafforzato in più punti:

• l’identificazione del cliente può avvenire anche tramite mezzi di identificazione elettronica e servizi fiduciari ai sensi del regolamento (UE) n. 910/2014, o tramite altre procedure elettroniche/distanza sicure e riconosciute a livello nazionale;
• in caso di titolare effettivo coincidente con un dirigente di alto livello, il soggetto obbligato deve adottare misure ragionevoli per verificare l’identità della persona fisica e conservare evidenza delle difficoltà incontrate;
• al momento dell’instaurazione di rapporti con società, altri soggetti giuridici, trust o istituti affini soggetti a registrazione, il soggetto obbligato deve acquisire la prova della registrazione o un estratto del registro;
• il riesame dei clienti esistenti deve avvenire anche quando il soggetto obbligato è tenuto, nell’anno civile, a contattare il cliente per verificare le informazioni sulla titolarità effettiva.

Misure rafforzate per operazioni rischiose e paesi terzi ad alto rischio

Per rapporti d’affari o operazioni con paesi terzi ad alto rischio, gli Stati membri devono imporre almeno le seguenti misure rafforzate:

• acquisire informazioni aggiuntive su cliente e titolare effettivo;
• ottenere informazioni sullo scopo e sulla natura prevista del rapporto;
• ottenere informazioni sull’origine dei fondi e del patrimonio;
• ottenere informazioni sulle motivazioni delle operazioni;
• richiedere l’approvazione dell’alta dirigenza per l’instaurazione o la prosecuzione del rapporto;
• svolgere un controllo rafforzato e più frequente del rapporto.

Possono inoltre essere richiesti, a seconda dei casi, il primo pagamento tramite conto intestato al cliente presso un ente soggetto a presidi equivalenti, la limitazione o il rifiuto di taluni rapporti, e misure specifiche su filiazioni, succursali e corrispondenti.

Carte prepagate anonime e limiti di esenzione

La direttiva restringe l’uso di strumenti prepagati anonimi:

• sono vietati conti e libretti di risparmio anonimi, nonché cassette di sicurezza anonime;
• i titolari esistenti devono essere sottoposti a CDD entro il 10 gennaio 2019 e comunque prima dell’uso;
• per gli strumenti prepagati, la soglia massima scende a 150 EUR per importo memorizzato e, se non ricaricabili, a un massimale mensile di 150 EUR;
• la deroga non si applica ai rimborsi in contanti o prelievi sopra 50 EUR, né ai pagamenti a distanza sopra 50 EUR;
• le carte anonime emesse in paesi terzi sono accettabili solo se soddisfano requisiti equivalenti, e gli Stati membri possono anche vietarne l’uso sul proprio territorio.

Titolari effettivi di società e registri centrali

L’articolo 30 rafforza la disciplina delle società e degli altri soggetti giuridici:

• devono ottenere e conservare informazioni adeguate, accurate e attuali sulla titolarità effettiva;
• le violazioni devono essere sanzionate in modo effettivo, proporzionato e dissuasivo;
• devono esistere meccanismi per verificare l’aggiornamento e l’accuratezza dei dati e per segnalare discrepanze tra registro e informazioni detenute dai soggetti obbligati o dalle autorità.

Le informazioni devono essere accessibili:

• senza restrizioni a autorità competenti e FIU;
• ai soggetti obbligati per l’adeguata verifica;
• al pubblico, con un nucleo minimo di dati: nome, mese e anno di nascita, paese di residenza, cittadinanza, natura ed entità dell’interesse beneficiario.

Gli Stati membri possono subordinare l’accesso a registrazione online e a un contributo non superiore ai costi amministrativi. Possono anche prevedere deroghe eccezionali, caso per caso, quando l’accesso esponga il titolare effettivo a rischi sproporzionati di frode, rapimento, ricatto, estorsione, molestia, violenza o intimidazione, oppure quando il titolare effettivo sia minore o incapace.

I registri centrali devono essere interconnessi tramite la piattaforma prevista dalla direttiva (UE) 2017/1132. Le informazioni devono restare disponibili per almeno cinque anni e non oltre dieci anni dopo la cancellazione della società o del soggetto giuridico dal registro.

Trust e istituti giuridici affini

L’articolo 31 estende e specifica il regime per trust e istituti giuridici affini:

• si applica ai trust e a istituti quali fiducie, determinati tipi di Treuhand o fideicomiso, se comparabili per assetto o funzioni;
• il trustee deve ottenere e mantenere informazioni adeguate, accurate e aggiornate sulla titolarità effettiva;
• le informazioni comprendono costituente, trustee, guardiano, beneficiari o classe di beneficiari e altre persone che esercitano il controllo effettivo.

Le informazioni devono essere registrate nel registro centrale dello Stato membro in cui il trustee o la persona equivalente è stabilito o residente; se tale soggetto è fuori dall’Unione, il registro è tenuto nello Stato membro in cui il trustee avvia rapporti d’affari o acquisisce immobili a nome del trust.

L’accesso è riconosciuto:

• alle autorità competenti e alle FIU senza restrizioni;
• ai soggetti obbligati;
• a chiunque possa dimostrare un legittimo interesse;
• a chi presenti richiesta scritta relativa a trust che detengano partecipazioni di controllo in società o altri soggetti giuridici.

Anche qui sono previste deroghe eccezionali, disciplina sull’interconnessione dei registri, requisiti di aggiornamento e disponibilità per almeno cinque anni e non oltre dieci anni dopo la cessazione dei motivi di registrazione.

Gli Stati membri devono notificare alla Commissione, entro il 10 luglio 2019, categorie, caratteristiche, nomi e base giuridica dei trust e istituti giuridici affini; la Commissione deve pubblicare l’elenco consolidato entro il 10 settembre 2019.

Meccanismi sui conti bancari, di pagamento e cassette di sicurezza

L’articolo 32 bis impone l’istituzione di meccanismi centralizzati automatici, come registri o sistemi elettronici di reperimento dati, per identificare tempestivamente i titolari di conti di pagamento, conti bancari IBAN e cassette di sicurezza.

Le FIU devono avere accesso diretto, immediato e non filtrato alle informazioni; tali informazioni devono essere accessibili anche alle autorità nazionali competenti. Le informazioni minime comprendono:

• nome del titolare del conto e di chi agisce per suo conto;
• nome del titolare effettivo del titolare del conto;
• numero IBAN e date di apertura e chiusura del conto;
• per le cassette di sicurezza, nome del locatario e durata del rapporto.

La Commissione deve presentare una relazione entro il 26 giugno 2020 sulle condizioni tecniche per l’interconnessione di tali meccanismi.

Poteri delle FIU e scambio di informazioni

Le FIU ricevono un rafforzamento significativo dei poteri di accesso e utilizzo delle informazioni:

• possono richiedere, ottenere e utilizzare informazioni da qualsiasi soggetto obbligato anche in assenza di segnalazione di operazione sospetta;
• devono poter scambiare spontaneamente o su richiesta ogni informazione utile, indipendentemente dal reato presupposto eventualmente associato;
• non possono essere ostacolate da differenze nelle definizioni nazionali dei reati presupposto.

È prevista inoltre la designazione di almeno una persona o punto di contatto per ricevere richieste da FIU di altri Stati membri, e il previo consenso alla diffusione alle autorità competenti deve essere concesso tempestivamente e nella più ampia misura possibile.

Cooperazione tra autorità competenti e segreto professionale

La direttiva introduce una sottosezione specifica sulla cooperazione tra autorità competenti:

• gli Stati membri non possono vietare lo scambio di informazioni o assistenza tra autorità competenti né imporre condizioni irragionevoli o indebitamente restrittive;
• non possono rifiutare assistenza solo perché la richiesta riguarda anche questioni fiscali, per obblighi di segretezza o perché è in corso un procedimento nello Stato ricevente, salvo rischio di pregiudizio;
• le autorità che vigilano su enti creditizi e finanziari sono soggette a regole di segreto professionale e possono scambiarsi informazioni, anche con la BCE, secondo modalità pratiche da concordare entro il 10 gennaio 2019.

Sono disciplinati anche gli scambi con autorità di vigilanza dei mercati finanziari, commissioni parlamentari d’inchiesta, corti dei conti e altri organismi di indagine, sempre nel rispetto del segreto professionale e, in caso di informazioni provenienti da altro Stato membro, con consenso esplicito dell’autorità che le ha condivise.

Vigilanza, registrazione e autorità competenti

Gli Stati membri devono garantire che:

• i prestatori di servizi di cambio tra valute virtuali e valute legali e i prestatori di portafoglio digitale siano registrati;
• i cambiavalute, gli uffici per l’incasso di assegni e i prestatori di servizi relativi a società o trust ottengano una licenza o siano registrati;
• i prestatori di servizi di gioco d’azzardo siano regolamentati.

È inoltre rafforzato il ruolo delle autorità competenti, che devono disporre di poteri adeguati, risorse sufficienti e personale integro e qualificato; gli Stati membri devono notificare alla Commissione l’elenco delle autorità competenti e la Commissione deve pubblicarlo in un registro sul proprio sito web.

Protezione dei dati e base giuridica del trattamento

Il trattamento dei dati personali effettuato ai fini della direttiva è qualificato come di interesse pubblico ai sensi del regolamento (UE) 2016/679. La direttiva richiama inoltre la direttiva (UE) 2016/680 per i trattamenti effettuati dalle autorità competenti in ambito penale. Il testo insiste sulla necessità di limitare i dati pubblicati al minimo necessario e di salvaguardare in ogni caso vita privata e protezione dei dati.

Statistiche, valutazioni e relazioni

Gli Stati membri devono raccogliere statistiche complete sull’efficacia dei sistemi AML/CFT, comprese informazioni su dimensione dei settori, segnalazioni, indagini, condanne, beni congelati/sequestrati/confiscati, richieste internazionali, risorse umane e azioni di vigilanza. Tali statistiche devono essere pubblicate annualmente in forma consolidata e trasmesse alla Commissione.

La Commissione deve presentare:

• una relazione sull’attuazione entro l’11 gennaio 2022 e poi ogni tre anni;
• una relazione sul quadro di cooperazione delle FIU con i paesi terzi entro il 1° giugno 2019;
• relazioni su titolarità effettiva e altri profili tecnici, incluse eventuali proposte legislative.

Recepimento e scadenze

Il termine generale di recepimento è fissato al 10 gennaio 2020. Tuttavia la direttiva contiene scadenze operative differenziate:

• 10 gennaio 2019: adeguata verifica dei titolari di conti e cassette anonime esistenti; accordo pratico sullo scambio di informazioni tra autorità di vigilanza e BCE;
• 10 luglio 2020: applicazione delle nuove regole sulle carte prepagate anonime;
• 10 gennaio 2020: istituzione dei registri centrali per società e altri soggetti giuridici;
• 10 marzo 2020: istituzione del registro centrale per trust e istituti affini;
• 10 settembre 2020: istituzione dei meccanismi centralizzati per conti bancari, conti di pagamento e cassette di sicurezza;
• 10 marzo 2021: interconnessione dei registri centrali;
• 11 gennaio 2022: prima relazione della Commissione sull’attuazione.

Impatto operativo per professionisti e imprese

Per avvocati, commercialisti, intermediari e soggetti vigilati, la direttiva comporta:

• rafforzamento dei presidi di identificazione del cliente e del titolare effettivo;
• maggiore attenzione a trust, società veicolo e strutture estere;
• obblighi di registrazione e aggiornamento per soggetti operanti in settori nuovi o ad alto rischio;
• necessità di adeguare procedure interne, conservazione documentale, segnalazioni e cooperazione con FIU e autorità;
• valutazione dell’impatto su privacy, governance dei dati e rapporti con registri nazionali e interconnessioni UE.