Parere del Garante n. 161 del 21/03/2024

Parere sullo schema di regolamento IVASS per il Registro delle imprese e dei gruppi assicurativi (RIGA)

Il Garante per la protezione dei dati personali si è pronunciato, ai sensi degli artt. 36, par. 4, e 58, par. 3, lett. b), del GDPR, sullo schema di regolamento dell’IVASS istitutivo del Registro delle imprese e dei gruppi assicurativi (RIGA). Lo schema disciplina gli adempimenti di segnalazione digitale delle imprese vigilate in relazione a dati anagrafici, partecipazioni, azionisti, componenti degli organi sociali e soggetti con funzioni di controllo.

Quadro normativo e contesto istituzionale

Il provvedimento si colloca nel quadro del Codice delle assicurazioni private e delle funzioni di vigilanza dell’IVASS. Sono richiamati, in particolare, l’art. 5, comma 2, del d.lgs. 209/2005, che consente all’IVASS di adottare i regolamenti necessari per la sana e prudente gestione e per la trasparenza dei soggetti vigilati, l’art. 10, comma 4, sulla collaborazione con la Banca d’Italia, nonché gli artt. 190 e 190-bis sul flusso di dati e informazioni da parte dei soggetti vigilati. È richiamato anche il Regolamento (UE) 1374/2014 e la circolare della Banca d’Italia n. 302 dell’8 giugno 2018 sull’Anagrafe dei soggetti.

Struttura e finalità del RIGA

Lo schema di regolamento persegue diverse finalità di interesse pubblico. Il RIGA è concepito per:

• costituire una base dati integrata;
• consentire l’esercizio delle funzioni di vigilanza dell’IVASS;
• supportare i compiti di tutela del consumatore e di contrasto alle frodi assicurative;
• permettere analisi sulla struttura del mercato assicurativo italiano;
• favorire la digitalizzazione e l’aggiornamento automatico dei dati;
• rafforzare il collegamento tra vigilanza assicurativa e vigilanza bancaria.

Le informazioni trattate riguardano i soggetti che ricoprono specifiche cariche sociali e direttive nelle imprese e nei gruppi assicurativi, con la previsione dell’obbligo di segnalazione in capo ai soggetti vigilati.

Ruoli di IVASS e Banca d’Italia e interazione con l’Anagrafe dei soggetti

Uno dei profili centrali del parere riguarda la corretta attribuzione dei ruoli privacy tra IVASS e Banca d’Italia. Il RIGA viene alimentato tramite uno specifico applicativo della Banca d’Italia, sviluppato per conto dell’IVASS, con utilizzo dei codici censiti presenti nell’Anagrafe dei soggetti (AS).

Il Garante prende atto che:

• la Banca d’Italia è titolare autonoma dei trattamenti relativi all’AS;
• IVASS è titolare dei trattamenti relativi ai dati presenti nel RIGA;
• le funzioni della Banca d’Italia come responsabile del trattamento per la componente tecnica sono separate da quelle esercitate quale titolare, tramite misure tecniche e organizzative appropriate;
• la consultazione dei dati dell’AS tramite codice censito è finalizzata a migliorare la qualità delle informazioni e a semplificare l’alimentazione degli archivi.

Il Garante osserva che tale architettura è coerente con i principi di esattezza e di privacy by design di cui agli artt. 5, par. 1, lett. d), e 25, par. 1, GDPR.

Valutazioni sui principi di protezione dei dati

Lo schema è stato ritenuto conforme, anche a seguito delle interlocuzioni informali con l’Ufficio del Garante, ai principi di:

• liceità, correttezza e trasparenza;
• limitazione delle finalità;
• minimizzazione dei dati;
• integrità e riservatezza;
• sicurezza del trattamento.

In particolare, il Garante evidenzia che l’individuazione dei dati personali oggetto di trattamento è stata delimitata in modo coerente con il principio di minimizzazione e che nessun dato personale è reso consultabile dal pubblico. È inoltre apprezzata l’esplicitazione delle misure tecniche e organizzative necessarie a garantire sicurezza e protezione dei dati, in linea con gli artt. 5, par. 1, lett. f), e 32 GDPR.

Conservazione dei dati

Lo schema prevede tempi di conservazione dei dati raccolti tramite il RIGA, considerati al momento proporzionati al tempo strettamente necessario per il perseguimento degli scopi istituzionali di vigilanza e statistici. Il Garante segnala tuttavia che una disciplina più dettagliata dei tempi di conservazione sarà definita successivamente, all’esito delle linee guida europee per le autorità del settore finanziario sullo scambio di informazioni, la cui finalizzazione è prevista entro il 2024.

Procedura per le imprese non ancora censite nell’AS

È prevista una procedura specifica per il caso in cui un’impresa da segnalare al RIGA non sia ancora censita nell’Anagrafe dei soggetti. In tale ipotesi, l’impresa presenta istanza di registrazione a IVASS, che effettua un controllo di regolarità formale e trasmette la richiesta alla Banca d’Italia per il censimento. Una volta completata l’operazione, IVASS ne dà comunicazione all’impresa per consentire la segnalazione nella procedura RIGA.

Esito del parere

Il Garante esprime parere favorevole sullo schema di regolamento IVASS concernente il RIGA. Il parere è comunque accompagnato da una precisazione essenziale: IVASS, quale titolare del trattamento nell’ambito del RIGA, deve assolvere nei confronti degli interessati agli obblighi informativi previsti dagli artt. 12 e seguenti del GDPR, nel rispetto del principio di trasparenza di cui all’art. 5, par. 1, lett. a), del Regolamento.