IV Direttiva antiriciclaggio: la condivisione delle informazioni all’interno dei gruppi

1. Premessa

Come noto, il 4 luglio è entrato in vigore il D.lgs. 25 maggio 2017, n. 90 [1], emanato lo scorso 25 maggio, con cui è stata data attuazione in Italia alla c.d. "IV Direttiva antiriciclaggio" [2] e che ha ampiamente modificato il D.lgs. 21 novembre 2007, n. 231.

Una norma potenzialmente innovativa contenuta nel nuovo framework normativo comunitario è l’art. 45, par. 1, della IV Direttiva, ai sensi del quale i soggetti appartenenti adun gruppo hanno l’obbligo di attuarepolitiche e procedure a livello di succursali e filiazioni controllate a maggioranza situate negli Stati membri e in Paesi terzi, tra cui politiche in materia di protezione dei dati e politiche e procedure per la condivisione delle informazioni all’interno del gruppo a fini antiriciclaggio e di contrasto al finanziamento del terrorismo (AML/CFT).

Come si dirà meglio nel prosieguo, la violazione dell’obbligo di cui al richiamato art. 45, par. 1, è autonomamente sanzionata.

Quale premessa di ordine generale, la disposizione in esame costituisce una novità nell’ambito della legislazione comunitaria in materia: infatti, nella c.d. "III Direttiva antiriciclaggio" [3] non vi era alcuna previsione analoga che imponesse (o comunque prevedesse) l’obbligo per società appartenenti ad un gruppo di dotarsi di politiche e procedure per la condivisione delle informazioni (ed eventualmente dei nominativi) sui relativi clienti.

Il presente lavoro propone una valutazione della nuova norma, che rafforza il principio basato sull’approccio globale al rischio e ne garantisce la coerenza con gli standard stabiliti nelle raccomandazioni internazionali adottate dal GAFI, muovendo da un’analisi comparativa con la precedente legislazione in materia.

2. La III Direttiva e la disciplina attuativa italiana

La III Direttiva conteneva – all’art. 34, par. 1 – disposizioni relative all’adozione di idonee ed appropriate politiche e procedure in materia di obblighi di adeguata verifica della clientela, segnalazione di casi sospetti, conservazione dei documenti, controllo interno, valutazione e gestione del rischio, garanzia dell’osservanza delle pertinenti disposizioni e di comunicazione per prevenire e impedire la realizzazione di operazioni connesse con il riciclaggio e il finanziamento del terrorismo.

Come detto, la normativa comunitaria non prevedeva, invece, un obbligo per i gruppi di dotarsi di vere e proprie politiche e procedure di condivisione interna delle informazioni.

La disciplina primaria e secondaria italiana di recepimento della III Direttiva ha previsto talune norme specifiche relative ai gruppi societari, volte essenzialmente a garantire un approccio comune tra le società appartenenti ad un medesimo gruppo rispetto agli adempimenti in materia di AML/CFT nonché – con specifico riguardo alla segnalazione di operazioni considerate sospette – a condividere informazioni attinenti alle informazioni stesse.

In particolare:

• da un lato, l’art. 46, co. 4, del “vecchio” D.lgs. 231/2007 (ante D.lgs. 90/2017) [4] prevedeva la facoltà (ma non l’obbligo) per gli intermediari appartenenti allo stesso gruppo di condividere i dati della clientela oggetto di segnalazioni di operazioni sospette (SOS), e ciò in deroga al più generale divieto di comunicazione previsto dall’art. 45 e dallo stesso art. 46 (“il divieto di cui al comma 1 non impedisce la comunicazione tra gli intermediari finanziari appartenenti al medesimo gruppo, anche se situati in Paesi terzi, a condizione che applichino misure equivalenti a quelle previste dalla direttiva”);
• dall’altro lato, il “Provvedimento recante disposizioni attuative in materia di organizzazione, procedure e controlli interni volti a prevenire l’utilizzo degli intermediari e degli altri soggetti che svolgono attività finanziaria a fini di riciclaggio e di finanziamento del terrorismo, ai sensi dell’art. 7, comma 2, del decreto legislativo 21 novembre 2007, n. 231” del 10 marzo 2011 della Banca d’Italia, per il settore bancario e finanziario, e il Regolamento n. 41 del 15 maggio 2012 dell’IVASS [5], per il settore assicurativo, adottati ai sensi dell’art. 7, co. 2, del D.lgs. 231/2007 [6], dove si prevede che i gruppi (bancari, finanziari ed assicurativi) sviluppino un approccio globale al rischio AML/CFT.

Le suddette previsioni – che, per quanto su piani distinti [7], rispondono alla medesima esigenza di prevenzione del rischio AML/CFT nei gruppi – hanno dovuto necessariamente coordinarsi con la normativa in materia di tutela della riservatezza e della privacy della clientela applicabile alle singole componenti del gruppo (c.d. bilanciamento d’interessi).

(a) Comunicazione infra-gruppo di dati relativi a SOS

In termini generali, ai sensi dell’art. 46, co. 1, del “vecchio” D.lgs. 231/2007, le informazioni relative alle SOS, ivi inclusi i dati relativi al soggetto interessato dalla segnalazione, non potevano essere comunicate al di fuori dei casi specificamente previsti dalla legge. L’inosservanza del divieto comportava sanzioni penali, ex art. 55, co. 8, del medesimo D.lgs. [8].

Tuttavia, il richiamato art. 46, co. 4, prevedeva la facoltà di condividere infra-gruppo i dati personali dei clienti relativamente alle SOS effettuate.

Quindi, fermo restando che – come sopra accennato – la normativa non prevedeva un generale obbligo di condivisione endo-gruppo dei dati relativi ai clienti, una società appartenente ad un determinato gruppo societario, dopo aver effettuato una SOS (e non, invece, a seguito della semplice assunzione di informazioni relative ai clienti nell’ambito dell’adeguata verifica della clientela e/o nell’ambito degli obblighi di registrazione), poteva comunicare ad altre società del gruppo la “avvenuta segnalazione”.

Con riguardo alla condivisione di informazioni in tale ipotesi, si ritiene utile effettuare alcune considerazioni:

• quanto alla ratio della previsione, la stessa appariva finalizzata alla condivisione a livello di gruppo delle SOS effettuate, in quanto trattasi di informazioni rilevanti ai fini della conoscenza di clienti con i quali più società di uno stesso gruppo – anche inconsapevolmente – avrebbero potuto intrattenere rapporti rilevanti ai fini AML/CFT. Tale condivisione avrebbe potuto divenire di fatto necessaria al fine di consentire un approccio coordinato e congiunto a livello di gruppo nel contrasto al riciclaggio ed al finanziamento del terrorismo nonché funzionale alla gestione del rischio che operazioni per fini illeciti fossero poste in essere dalla clientela per il tramite dell’intermediario (e, quindi, dei rischi reputazionali e/o sanzionatori derivanti dalla mancata individuazione – e quindi segnalazione – di operazioni sospette);
• le società del gruppo dovevano istituire regole a presidio del rischio che la condivisione interna delle informazioni relative a SOS effettuate – per quanto consentita dal già più volte ricordato art. 46, co. 4 – violasse il divieto di dare comunicazione dell’avvenuta SOS fuori dai casi espressamente consentiti (primo tra tutti, il divieto di comunicare al soggetto interessato o a terzi l’avvenuta SOS). Al riguardo, si evidenzia che nel Provvedimento del 10 marzo 2011 (non si rinviene norma analoga nel Regolamento IVASS n. 41), la Banca d’Italia ha stabilito che “il responsabile delle segnalazioni di operazioni sospette può consentire che i nominativi dei clienti oggetto di segnalazione di operazione sospetta siano consultabili – anche attraverso l’utilizzo di idonee basi informative – dai responsabili delle diverse strutture operative aziendali, stante la particolare pregnanza che tale informazione può rivestire in sede di apertura di nuovi rapporti contrattuali ovvero di valutazione dell’operatività della clientela già in essere”. Dalla previsione è da subito emerso in modo evidente che, anche nell’ambito della stessa società che avesse effettuato SOS venivano posti dei limiti alla condivisione delle informazioni relative alle avvenute segnalazioni da parte del responsabile delle segnalazioni: quest’ultimo “poteva” infatti consentire che i nominativi dei clienti oggetto di SOS fossero consultabili dai soli “responsabili” delle diverse strutture operative aziendali (e non da chiunque all’interno della società), allo scopo di valutare l’operatività dei clienti in relazione ai rapporti esistenti ed all’apertura di nuovi rapporti. Quindi, a maggior ragione in caso di condivisione nell’ambito del gruppo, avrebbero dovuto necessariamente essere create regole che vietassero l’accesso a tali informazioni a chiunque [9];
• in ogni caso, la condivisione con società di Paesi terzi appartenenti al medesimo gruppo era subordinata allacondizione che tali Paesi applicassero “misure equivalenti a quelle previste dalla direttiva”, con riguardo al divieto di comunicazione delle SOS effettuate e che, quindi, fosse garantita la “protezione” dell’informazione condivisa con altre società del gruppo.

Sotto il profilo privacy, sulle condizioni di liceità di tale comunicazione si era favorevolmente espresso il Garante per la protezione dei dati personali in data 10 settembre 2009 [10], il quale aveva ritenuto che ricorressero gli estremi per dare attuazione al c.d. “bilanciamento degli interessi” [11] disciplinato dall’art. 24, co. 1, lettera g), del D.lgs. 30 giugno 2003, n. 196 (il "Codice privacy") e, conseguentemente, che potevano formare oggetto di comunicazione i dati personali concernenti le segnalazioni previste dalla disciplina in materia antiriciclaggio, in presenza delle condizioni previste dall’art. 46, co. 4, senza che a tal fine fosse quindi necessario acquisire il consenso dell’interessato.

Sul punto, peraltro già la III Direttiva – nel considerando 33 – aveva precisato che “la comunicazione di informazioni di cui all’articolo 28 dovrebbe essere in conformità con le norme sul trasferimento dei dati personali a paesi terzi di cui alla direttiva 95/46/CE del Parlamento europeo e del Consiglio, del 24 ottobre 1995, relativa alla tutela delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati. Inoltre, l’articolo 28 non può interferire con la legislazione nazionale sulla protezione dei dati personali e sul segreto professionale”.

Maggiore era l’attenzione al rispetto della normativa in materia di privacy con riguardo alla possibilità che le informazioni relative a SOS fossero condivise tra intermediari non appartenenti al medesimo gruppo. Con riguardo a tale ipotesi, l’art. 46, co. 6, richiamava espressamente le disposizioni in materia di privacy al cui rispetto era subordinata la condivisione delle informazioni; la norma disponeva, infatti, che “in casi relativi allo stesso cliente o alle stesse operazioni che coinvolgano due o più intermediari finanziari … il divieto di cui al comma 1 non impedisce la comunicazione tra gli intermediari …, a condizione che siano situati in un Paese terzo che impone obblighi equivalenti a quelli previsti dal presente decreto, fermo restando quanto stabilito dagli articoli 42, 43 e 44 del Codice in materia di protezione dei dati personali. Le informazioni scambiate possono essere utilizzate esclusivamente ai fini di prevenzione del riciclaggio o del finanziamento del terrorismo”. In aggiunta alla cautela stabilita anche dell’art. 46, co. 4, secondo cui la comunicazione poteva avvenire "a condizione che [nei Paesi terzi si]applichino misure equivalenti" a quelle previste nel D.lgs. 231/2007 in relazione al divieto di comunicazione delle SOS effettuate ed alle deroghe a tale divieto, il co. 6 disponeva che dovesse essere altresì salvaguardata la conformità alle norme sul trasferimento dei dati contenute negli artt. 42 (trasferimenti all’interno della UE), 43 (trasferimenti consentiti in Paesi terzi) e 44 (altri trasferimenti consentiti) del Codice privacy.

(b) Approccio globale al rischio

Come accennato sopra, a prescindere dalla possibilità (e non obbligo) di scambio delle informazioni inerenti ai clienti oggetto di SOS, sulla base della normativa citata i gruppi avevano (e hanno) anche l’obbligo di sviluppare un approccio globale al rischio riciclaggio.

La tutela degli interessi dei gruppi, la loro sana e prudente gestione e stabilità patrimoniale nonché l’adozione di presidi atti ad evitare l’assunzione – anche inconsapevole – del rischio di coinvolgimento diretto in fatti di riciclaggio e/o finanziamento del terrorismo, erano (e restano) obiettivi primari della legislazione comunitaria in materia.

A tale fine, è ormai notorio che i conglomerati finanziari internazionali di rilevanti dimensioni adottino programmaticamente “un approccio globale al rischio di riciclaggio, con fissazione di standard generali in materia di identificazione e conoscenza della clientela”, tramite policy, processi e procedure sviluppate in modo consolidato e attuate coerentemente sia in Italia che all’estero, come peraltro espressamente richiesto nella richiamata normativa regolamentare. Un approccio di tal genere si basa su alcuni semplici principi:

• omogeneità, in sede di adozione di criteri e sistemi di profilatura del rischio;
• integrazione, mediante la creazione di database contenenti un set standard di informazioni sui clienti (come meglio si dirà nel seguito);
• governance e controllo, attraverso il consolidamento di report analitici anche a beneficio degli organi aziendali e delle Autorità [12].

È proprio l’esigenza di omogeneitàalla base della citata disciplina Banca d’Italia del marzo 2011 in tema di presidi antiriciclaggio nelle strutture di gruppo, laddove l’Autorità ha prescritto che “particolare attenzione richiede l’articolazione della funzione [antiriciclaggio]nei gruppi bancari con operatività cross-border. Come previsto dalle linee guida in materia elaborate a livello internazionale, i gruppi sono tenuti a sviluppare un approccio globale al rischio di riciclaggio, con fissazione di standard generali in materia di identificazione e conoscenza della clientela”, rimettendo agli intermediari l’onere di “individuare le soluzioni organizzative più idonee per assicurare il rispetto di tutte le disposizioni applicabili in relazione ai diversi ambiti di operatività e, nel contempo, assicurare che la gestione dei rischi in discorso tenga conto di tutti gli elementi di valutazione e di misurazione in possesso delle singole componenti”. Medesime considerazioni merita il Regolamento n. 41, laddove l’IVASS ha prescritto che “i gruppi assicurativi con operatività cross-border sviluppano un approccio globale al rischio di riciclaggio e di finanziamento del terrorismo, con fissazione di standard generali in materia di identificazione e conoscenza della clientela” e che “le decisioni strategiche a livello di gruppo assicurativo in materia di gestione del rischio di riciclaggio e di finanziamento del terrorismo sono rimesse alla capogruppo che le assume coinvolgendo, nei modi ritenuti più opportuni, gli organi aziendali delle imprese Controllate”.

Anche in considerazione del fatto che l’inosservanza delle disposizioni regolamentari prevedeva la comminazione di una sanzione amministrativa pecuniaria, ai sensi dell’art. 56 del “vecchio” D.lgs. 231/2007 [13], è necessario comprendere meglio la portata pratica del concetto di “approccio globale al rischio” e, per quanto rileva ai fini del presente scritto, se ciò equivalga o meno ad un obbligo di scambio tout court dei dati della clientela infra-gruppo, a prescindere dall’avvenuta segnalazione di operazioni sospette.

A tale riguardo, la Banca d’Italia, nelle FAQ sull’applicazione della normativa antiriciclaggio, nel regime della III Direttiva, a fronte del quesito “In caso di gruppi, il profilo di rischio di un cliente va condiviso anche con le eventuali controllate estere” si è limitata ad affermare che “fermo il rispetto degli specifici adempimenti prescritti dall’ordinamento del paese ospitante, le procedure in essere presso le succursali e le filiazioni estere devono essere in linea con gli standard del gruppo e tali da assicurare la condivisione delle informazioni a livello consolidato", senza tuttavia chiarirne la portata pratica; la posizione dell’Autorità è peraltro stata ribadita anche pubblicamente, ma sempre a livello di principio [14].

Pertanto, è necessario valutare se i riferimenti elaborati a livello internazionale possano essere d’ausilio in tal senso: ci si riferisce alle “Guidelines – Sound management of risks related to money laundering and financing of terrorism” elaborate nell’ottobre 2004 dal Comitato di Basilea per la Vigilanza Bancaria, successivamente confluite nel più ampio documento del febbraio 2016, ma anche alle raccomandazioni elaborate nel febbraio 2012 dal GAFI_FATF (“International standards on combating money laundering and the financing of terrorism & proliferation – The FATF Recommendations”), da ultimo aggiornate a ottobre 2016.

Con riguardo a queste ultime, il GAFI-FATF si è limitato a disporre, nella raccomandazione 18, che: “i gruppi finanziari devono implementare programmi di contrasto del riciclaggio e del finanziamento del terrorismo a livello di gruppo, ivi incluse politiche e procedure di condivisione delle informazioni all’interno del gruppo a scopo di contrasto del riciclaggio di denaro e del finanziamento del terrorismo”, senza tuttavia fornire particolari indicazioni sull’applicazione del principio.

Anche le linee guida elaborate dal Comitato di Basilea hanno fornito indicazioni laconiche e focalizzate su un determinato ambito, ma comunque utili da considerare:

• da un lato, è stato ribadito come le policy e le procedure debbano essere sviluppate e coordinate “on a group-wide basis” [15];
• dall’altro lato, è stato precisato che tali policy e procedure devono permettere lo scambio informativo infra-gruppo (“information-sharing”) con riguardo alla clientela ad alto rischio e a quella oggetto di operatività “sospetta” [16].

Pertanto, il Comitato di Basilea ha confermato l’approccio di gruppo al rischio in parola ed evidenziato l’esigenza di garantire lo scambio informativo con riguardo alla clientela a più elevato rischioe a quella segnalata come sospetta. Il Comitato ha stabilito, quindi, l’obbiettivo e, con esso, una soglia minima di condivisione, fermo restando la “possibilità” di una condivisione maggiormente estesa nell’ambito dei gruppi, purché nel rispetto della normativa sulla tutela della privacy [17].

3. La IV Direttiva

Come già accennato, i principi sopra riassunti sono stati di fatto trasposti nella IV Direttiva, laddove si prevede un rafforzamento dell’approccio consolidato stabilendo all’art. 45, par. 1, che “i soggetti appartenenti ad un gruppo attuino politiche e procedure a livello di gruppo, tra cui politiche in materia di protezione dei dati e politiche e procedure per la condivisione delle informazioni all’interno del gruppo ai fini AML/CFT”, e ciò con riguardo alle “informazioni relative al sospetto che i fondi provengano da attività criminose o siano collegati al finanziamento del terrorismo” (art. 45, par. 8). Come già sopra accennato, si passa quindi dalla facoltà di condivisione all’obbligo di attuare politiche e procedure per la condivisione delle informazioni all’interno del gruppo.

La ratio di tale norma è da rinvenirsi nei lavori preparatori a livello comunitario [18], laddove la Commissione europea:

• ha preso atto delle difficoltà da parte degli operatori di adempiere agli oneri previsti dalla legislazione in materia di AML/CFT e, al tempo stesso, di garantire un elevato livello di protezione dei dati personali della clientela [19];
• a fronte delle possibili alternative da adottare, ha riconosciuto una forte preferenza da parte degli operatori per l’introduzione di disposizioni in materia di privacy maggiormente dettagliate a fini AML/CFT [20];
• alla luce di quanto sopra, al fine di assicurare un elevato livello di protezione dei dati personali ed assicurare, nel contempo, l’adeguamento agli obblighi in materia di AML/CFT, ha proposto di introdurre nuove regole comunitarie in materia di AML/CFT al fine di un maggiore coordinamento con la protezione dei dati personali, al fine di eliminare l’incertezza legale nell’operatività quotidiana cross-border dei gruppi (“in view of the need to ensure a high level of data protection whilst at the same time ensuring proper compliance with AML rules, it appears appropriate to ensure an adequate legal basis for data processing in specific AML legislation”) [21].

Il “cambio di passo” è confermato anche dalle sanzioni previste con riguardo alla violazione dell’obbligo di attuare politiche e procedure per la condivisione di informazioni ai fini AML/CFT: l’art. 59 della IV Direttiva antiriciclaggio pone l’obbligo per gli Stati Membri di assicurare che le sanzioni a fronte delle violazioni gravi, reiterate, sistematiche, o che presentano una combinazione di tali caratteristiche, commesse dai soggetti obbligati, degli obblighi, inter alia, di cui all’art. 45, comprendano almeno quanto segue:

1. dichiarazione pubblica che identifica la persona fisica o giuridica e la natura della violazione;
2. ordine che impone alla persona fisica o giuridica responsabile di porre termine al comportamento in questione e di astenersi dal ripeterlo;
3. ove un soggetto obbligato sia soggetto ad autorizzazione, revoca o sospensione dell’autorizzazione;
4. interdizione temporanea dall’esercizio di funzioni dirigenziali per le persone con compiti dirigenziali in un soggetto obbligato ritenute responsabili della violazione, o per qualsiasi altra persona fisica ritenuta responsabile della violazione;
5. sanzioni amministrative pecuniarie massime pari almeno al doppio dell’importo dei profitti ricavati grazie alla violazione, quando tale importo può essere determinato, o pari almeno a 1 milione di euro [22].

Fermo restando che, secondo l’art. 59, par. 4, gli Stati Membri possono conferire alle autorità competenti la facoltà di imporre ulteriori tipi di sanzioni amministrative in aggiunta a quanto previsto alle lettere da a) a d), o di imporre sanzioni amministrative pecuniarie di importo superiore a quanto previsto alla lettera e), le sanzioni espressamente previste di per sé esprimono la rilevanza attribuita – tra l’altro – all’esigenza di condivisione delle informazioni a livello di gruppo. Si richiama, in particolare, l’attenzione sulla dichiarazione pubblica, rimedio utilizzato nel nuovo sistema sanzionatorio in relazione alle violazioni di maggior rilevanza, nonché alla revoca dell’autorizzazione.

4. La nuova disciplina italiana

Preliminarmente, si noti che la prescrizione dell’art. 45 della IV Direttiva antiriciclaggio non è stata direttamente recepita nel D.lgs. 231/2007 da parte del D.lgs. 90/2017: infatti, non si ritrova, nella normativa primaria, una disposizione che preveda l’obbligo per i soggetti obbligati appartenenti adun gruppo di dotarsi di politiche e procedure per lo scambio di informazioni a fini AML/CFT.

Tuttavia, l’art. 7, co. 1, lett. a), del nuovo D.lgs. 231/07 (post D.lgs. 90/2017) – ricalcando la disposizione del previgente art. 7, co. 2 – dispone che le Autorità di vigilanza di settore adottino nei confronti dei soggetti rispettivamente vigilati, disposizioni di attuazione del D.lgs. in materia di organizzazione, procedure e controlli interni e di adeguata verifica della clientela.

Pertanto, sarà compito delle Autorità di vigilanza di settore dettare le disposizioni attuative per l’implementazione delle politiche e procedure di gruppo per lo scambio di informazioni, e ciò con le tempistiche previste dall’art. 9 del D.lgs. 90/2017 (31 marzo 2018). Alla luce della appena citata disciplina transitoria, parrebbe che, in mancanza delle disposizioni attuative ex art. 7, co. 1, lett. a) e, quindi, verosimilmente fino al 31 marzo 2018, non vi sia l’obbligo per i gruppi di dotarsi di politiche e procedure di scambio informativo ex art. 45 della IV Direttiva antiriciclaggio.

Al riguardo, l’art. 39, co. 1, del nuovo D.lgs. 231/2007, invece, riprende il testo dell’art. 46, co. 1, del precedente D.lgs. 231/2007, vietando ai soggetti tenuti alla SOS e a chiunque ne sia comunque a conoscenza, di dare comunicazione al cliente interessato o a terzi dell’avvenuta segnalazione, dell’invio di ulteriori informazioni richieste dalla UIF o dell’esistenza ovvero della probabilità di indagini o approfondimenti in materia di riciclaggio o di finanziamento del terrorismo. Tale divieto non impedisce, tuttavia, la comunicazione tra gli intermediari bancari e finanziari ovvero tra tali intermediari e le loro succursali e filiazioni controllate a maggioranza e situate in Paesi terzi, “a condizione” che le medesime succursali e filiazioni si conformino a politiche e procedure di gruppo, ivi comprese quelle relative alla condivisione delle informazioni, idonee a garantire la corretta osservanza delle prescrizioni dettate in materia di prevenzione del riciclaggio e del finanziamento del terrorismo (art. 39, co. 3).

L’adozione delle politiche e procedure di gruppo diventa, pertanto, una condizione al ricorrere della quale è possibile la comunicazione infra-gruppo:

• nel previgente regime il divieto di comunicazione dell’avvenuta segnalazionenon impediva le comunicazioni tra gli intermediari finanziari appartenenti al medesimo gruppo, anche se situati in Paesi terzi, a condizione che applicassero misure equivalenti a quelle previste dalla III Direttiva antiriciclaggio;
• nel nuovo regime, il divieto non impedisce la comunicazione tra gli intermediaribancari efinanziari ovvero tra tali intermediari e le loro succursali e filiazioni controllate a maggioranza e situate in Paesiterzi, a condizione che le medesime succursali e filiazioni si conformino a politiche e procedure di gruppo, ivi inclusequelle relative alla condivisione diinformazioni, idonee a garantire la corretta osservanza delle prescrizioni dettate in materia di AML/CFT.

Pertanto, in assenza delle politiche e procedure di gruppo, ovvero laddove le succursali e filiazioni controllate a maggioranza e situate in Paesi terzi non vi si conformino, sussiste un divieto di comunicazione infra-gruppo.

L’art. 39 prevede altresì, al co. 5 (in analogia con quanto previsto dall’art. 46, co. 6), i casi relativi allo stesso cliente o alla stessa operazione, che coinvolgano due o più intermediari bancari e finanziari: il divieto di comunicazione non impedisce la condivisione tra intermediari, a condizione che appartengano ad uno Stato membro o siano situati in un Paese terzo che impone obblighi equivalenti a quelli previsti dal D.lgs. 231/2007, fermo restando quanto previsto dagli artt. 42, 43 e 44 del Codice privacy.

Una volta che le Autorità di vigilanza di settore interverranno disciplinando tale aspetto, i soggetti obbligati vigilati dovranno conformarsi, pena la sanzione di cui al nuovo art. 62, co. 1, ai sensi del quale: “nei confronti degli intermediari bancari e finanziari responsabili, in via esclusiva o concorrente, di violazioni gravi,ripetute osistematiche ovveroplurime delle disposizioni di cui al Titolo II, Capi I, II e III, di quelle in materia di procedure e controlli interni di cui agli articoli 15 e 16 del presente Decreto, delle relative disposizioni attuative adottate dalle autorità di vigilanza di settore nonché dell’inosservanza dell’ordine di cui al comma 4, lettera a), si applica lo sanzione amministrativa pecuniaria da euro 30.000 a euro 5.000.000 ovvero pari al dieci per cento del fatturato complessivo annuo, quando tale importo percentuale è superiore a 5.000.000 di euro e il fatturato è disponibile e determinabile”.

Inoltre, l’art. 62, co. 2 e 3, prescrive che “fermo quanto disposto dal comma 1, si applica la sanzione amministrativa pecuniaria da 10.000 euro a 5.000.000 di euro ai soggetti titolari di funzioni di amministrazione, direzione e controllo dell’intermediario che, non assolvendo in tutto o in parte ai compiti direttamente o indirettamente correlati alla funzione o all’incarico, hanno agevolato, facilitato o comunque reso possibili le violazioni di cui al comma 1 o l’inosservanza dell’ordine di cui al comma 4, lettera a) ovvero hanno inciso in modo rilevante sull’esposizione dell’intermediario al rischio di riciclaggio o di finanziamento del terrorismo. Qualora il vantaggio ottenuto da/l’autore della violazione sia superiore a 5.000.000 di euro, la sanzione amministrativa pecuniaria è elevata fino al doppio dell’ammontare del vantaggio ottenuto, purché tale ammontare sia determinato o determinabile” e che“nelle ipotesi di cui al comma 2, tenuto conto della gravità della violazione accertata e nel rispetto dei criteri di cui all’articolo 67, le autorità di vigilanza di settore, secondo le rispettive competenze, hanno il potere di applicare la sanzione amministrativa accessoria dell’interdizione dallo svolgimento della funzione o dell’incarico di amministrazione, direzione o controllo dell’ente, per un periodo non inferiore a sei mesi e non superiore a tre anni”[23].

Nel nuovo regime, la violazione del divieto imposto dall’art. 39, co. 1, rimarrà altresì sanzionata – ex art. 55 – con l’arresto da sei mesi a un anno e con l’ammenda da 5.000 euro a 30.000 euro, salvo che il fatto costituisca più grave reato.

5. Conclusioni

In attesa di capire come verrà declinato in termini pratici l’obbligo di dotarsi di politiche e procedure di gruppo per lo scambio di informazioni ai fini AML/CFT, è difficile prevedere un obbligo di scambio di dati personali della generalità dei clienti nei gruppi bancari/finanziari o di categorie o gruppi di clienti (quali, ad esempio, tutte le persone politicamente esposte o tutti i clienti con un profilo di rischio maggiore).

Sarà interessante valutare le modalità con cui le capogruppo:

• assicureranno che le sedi in un altro Stato membro rispettino le disposizioni locali che recepiscono la IV Direttiva;
• imporranno alle succursali o filiazioni controllate a maggioranza e situate in Paesi terzi, che applicano obblighi minimi in materia di AML/CFT meno rigorosi di quelli applicati sul suo territorio, di applicare gli obblighi dello Stato membro della capogruppo stessa, anche in materia di protezione dei dati, nella misura consentita dal diritto interno del Paese terzo;
• nei casi in cui l’ordinamento di un Paese terzo non consente l’attuazione delle politiche e delle procedure di gruppo, assicureranno che le succursali o le filiali controllate a maggioranza situate in detto Paese terzo applichino misure supplementari per far fronte in modo efficace al rischio di riciclaggio o di finanziamento del terrorismo e ne informino le competenti autorità del loro Stato membro d’origine;
• consentano la condivisione delle informazioni all’interno del gruppo, con particolare riguardo alle informazioni relative al sospetto che i fondi provengano da attività criminose o siano collegati al finanziamento del terrorismo di cui è stata fatta segnalazione.

L’obbligo di condivisione delle informazioni atterrà certamente alle SOS effettuate ed ai soggetti riguardati dalle segnalazioni stesse.

Le modalità di scambio dei dati, che a rigore sarà obbligatorio, dovranno essere regolamentate in apposita policy/procedura formalizzata a livello di gruppo, secondo la strategia dettata dalla capogruppo e nel rispetto delle normative locali dei Paesi di origine delle singole società del gruppo. In particolare, la policy potrà limitare l’accesso a tali informazioni ai soli responsabili delle strutture che dovranno valutare l’operatività dei clienti e l’apertura di nuovi rapporti ai fini antiriciclaggio; ciò al fine di evitare un accesso indiscriminato con il conseguente rischio che l’informazione relativa all’avvenuta SOS trapeli, con violazione del disposto dell’art. 39 del D.lgs. 231/2007.

In secondo luogo, verrà richiesto ai gruppi di rafforzare l’approccio globale al rischio di riciclaggio in termini di adozione di policy/procedure coerenti per tutte le realtà del gruppo (compatibilmente con la normativa locale applicabile a ciascuna), secondo la strategia dettata dalla capogruppo, che tuttavia non è detto che debba prevedere un obbligo di condividere infra-gruppo i dati relativi alla clientela tout court, senza che ciò sia giustificato da una specifica esigenza sottostante. Infatti, il principio secondo cui “nel caso dei gruppi, ai quali la presente normativa riserva specifiche disposizioni, si ravvisano esigenze di coordinamento ma anche di conoscenza integrata della clientela” (cfr. Provvedimento Banca d’Italia marzo 2011) ormai non può che essere interpretato alla luce della sopra richiamata previsione della IV Direttiva secondo la quale il presupposto per la condivisione delle informazioni è che ricorra il sospetto che “i fondi provengano da attività criminose o siano collegati al finanziamento del terrorismo”.

1. Alla luce di quanto precede, con riguardo all’approccio globale richiesto, si ritiene che la policy di gruppo dovrà ragionevolmente prevedere:
2. innanzitutto una condivisione ed uniformazione dei criteri e delle modalità di adeguata verifica della clientela e, in tale ambito, di attribuzione dei profili di rischio;
3. in secondo luogo, con specifico riguardo alla condivisione di informazioni:
   – il già richiamato obbligo in capo a ciascuna società di comunicare alle altre società del gruppo le SOS effettuate;
   – il riconoscimento a ciascuna società del gruppo che stia valutando l’operatività di un determinato cliente in relazione ad un possibile sospetto di riciclaggio o finanziamento al terrorismo della facoltà di richiedere alle altre società del gruppo se abbiano rapporti con il cliente stesso e, in tal caso, le informazioni da esse raccolte nell’ambito dell’adeguata verifica della clientela;
   – la creazione di un database condiviso dei nominativi dei clienti classificati ad alto rischio da ciascuna società del gruppo, alimentato da e accessibile a tutte le società del gruppo. Le informazioni inserite nel database potrebbero limitarsi ai dati identificativi del cliente, senza neppure dare evidenza della/e società del gruppo con la/e quale/i il cliente abbia rapporti in essere.

Infine, come sopra indicato con riguardo alla condivisione delle informazioni sulle SOS, nella definizione delle regole di gruppo si dovrà garantire che lo scambio di informazioni sia funzionale esclusivamente alla prevenzione del rischio AML/CFT e che siano inibiti utilizzi differenti dei dati scambiati; ciò in considerazione della rilevanza delle informazioni stesse e dei danni che a ciascuna società del gruppo potrebbero derivare da fughe di notizie (si pensi, ad esempio, al rischio di sanzioni in caso di violazioni dell’art. 39 o ai danni derivanti da contestazioni da parte dei clienti per la divulgazione di informazioni ad essi attinenti).

La policy dovrebbe quindi essere strutturata in modo tale da evitare un accesso indiscriminato alle informazioni condivise, ad esempio riservando alle sole strutture antiriciclaggio delle società del gruppo l’accesso al database.