La protezione dei dati personali come strumento per limitare i rischi connessi all’attività bancaria

[*] 1. La protezione dei dati personali nel settore bancario

Con l’obiettivo di assicurare il diritto alla protezione dei dati di carattere personale tutelato a livello europeo,[1] il regolamento sulla protezione dei dati personali (“GDPR”)[2] rafforza i diritti dell’interessato rispetto al titolare del trattamento e impone severe misure in caso di violazione.[3]

Come recentemente discusso nel corso di una consultazione promossa dall’ABE sugli usi innovativi dei dati dei consumatori da parte delle istituzioni finanziarie,[4] la GDPR ha particolare rilievo nel settore bancario non solo per la quantità di dati personali che gli istituti finanziari trattano, ma anche perché può rappresentare uno strumento di contenimento di taluni tra i principali rischi connessi all’attività bancaria.[5]

La GDPR, ad esempio, contiene ampi requisiti di trasparenza nei confronti degli interessati che rafforzano ulteriormente gli obblighi già imposti agli istituti finanziari rispetto ai consumatori.[6]

Secondo quanto previsto nel Regolamento i principi di trattamento corretto e trasparente “implicano che l’interessato sia informato dell’esistenza del trattamento e delle sue finalità”. Inoltre l’interessato“dovrebbe essere informato dell’esistenza di una profilazione e delle conseguenze della stessa”.[7]

Non solo: l’interessato ha diritto, ai sensi dell’Art. 15 GDPR, di “ottenere dal titolare del trattamento la conferma che sia o meno in corso un trattamento di dati personali che lo riguardano e in tal caso, di ottenere l’accesso ai dati personali nonchè alle informazioni relative al trattamento stesso”.

In aggiunta a quanto sopra, l’uso improprio dei dati come descritto dall’EBA nel discussion paper è direttamente interessato dai requisiti della GDPR. L’EBA individua tra le pratiche considerate come improprie: l’utilizzazione per scopi diversi da quelli per cui i dati sono stati raccolti, il trattamento di una quantità di dati non necessaria rispetto agli scopi, il trasferimento di dati a terze parti senza il consenso o salvaguardie equivalenti, il rischio che la mancata concessione di dati personali comporti l’esclusione del consumatore da certe tipologie di servizi o comporti costi più alti rispetto a coloro che decidono di fornire i dati richiesti.

Tali rischi possono essere fortemente mitigati ove si assicuri il rispetto di quanto previsto nella GDPR. Si pensi, ad esempio, all’obbligo di avere una base legittima per qualsiasi trattamento o trasferimento successivo (Art. 6), l’obbligo di raccogliere e trattare i dati per finalità determinate, esplicite e legittime [Art. 5.1 (b)], l’obbligo di raccogliere dati adeguati, pertinenti e limitati a quanto necessario rispetto alle finalità per le quali sono trattati [Art. 5.1 (c)]. Ancora, ulteriori disposizioni che limitano i rischi evidenziati dall’EBA concernono le condizioni imposte in caso di trasferimento dei dati al di fuori dell’area economica europea (Capo V GDPR), il diritto di opposizione al trattamento dei dati e di cancellazione concessi all’interessato (Artt. 17 e 21).

L’EBA, inoltre, evidenzia particolari rischi legati alla profilazione e all’utilizzo di dati sensibili. Anche in questo caso la GDPR contiene specifiche disposizioni. I titolari del trattamento sono tenuti ad (i) assicurare trasparenza all’interessato rispetto all’esistenza di una profilazione; (ii) svolgere una valutazione d’impatto sulla protezione dei dati (Data Protection Impact Assessment) ai sensi dell’articolo 35 GDPR; (iii) dimostrare comportamenti proattivi e una concreta e non meramente formale adozione del regolamento (accountability) mediante misure di tutela e garanzia dei dati trattati (Artt. 5 (1) (f) e 32 GDPR).[8]

Il titolare potrà dimostrare il rispetto della normativa in materia di privacy mediante l’adozione di misure tecniche ed organizzative adeguate fin dalla fase di progettazione di prodotti e servizi per il cliente (Art. 24 e 32 GDPR). La valutazione sull’adeguatezza si fonda su un risk based approach: la responsabilità del titolare o del responsabile del trattamento si misura tenendo conto dello stato dell’arte e dei costi di attuazione, nonché della natura, della portata, del contesto e delle finalità del trattamento, della probabilità e della gravità dei rischi per i diritti e le libertà delle persone fisiche.[9]

A livello applicativo, il rispetto delle disposizioni sopra descritte è assicurato da un pesante quadro sanzionatorio. In caso di mancata osservanza della normativa GDPR le banche non solo rischiano ingenti sanzioni comminate dall’autorità di vigilanza competente, ma anche richieste di risarcimento da parte degli interessati.[10] Inoltre, data la particolarità del settore bancario che più di altri dipende fortemente dalla fiducia dei clienti e degli investitori, l’eventuale pubblicità del mancato rispetto della normativa potrebbe comportare un considerevole danno reputazionale per la banca.[11]

2. L’approccio della Banca Centrale Europea nell’ambito della supervisione bancaria: la sicurezza cibernetica e il rischio informatico

Nel contesto del sistema europeo di vigilanza bancaria la valutazione in merito al rispetto della normativa in materia di protezione dei dati personali assume connotati specifici. In particolare, gli aspetti su cui si concentra la supervisione bancaria sono la resilienza cibernetica e il rischio informatico.

Recenti incidenti informatici avvenuti presso banche importanti[12] hanno ricordato l’impatto economico debilitante che un attacco informatico può avere non solo per il singolo istituto di credito ma per l’intero sistema finanziario nel suo insieme. Secondo un recentissimo report dell’ESRB, un cyber-attacco informatico ben organizzato contro le principali istituzioni finanziarie potrebbe addirittura portare a una crisi del sistema finanziario nel suo complesso.[13] La necessità di una vigilanza, di un lavoro e di una collaborazione continui in questo campo si sono quindi imposti come imperativi.[14]

In questa medesima prospettiva la BCE, come autorità di vigilanza sul sistema bancario, ha inserito la ciber-criminalità e le carenze dei sistemi informatici tra i primi tre fattori di rischio per il sistema bancario nell’area euro^[15]. Conseguentemente, la Banca Centrale:

1. chiede alle più grandi banche dell’Euroarea di segnalare gli incidenti cibernetici significativi non appena siano stati rilevati – in modo da essere preparati a reagire più rapidamente a potenziali crisi innescate da episodi di tale natura – e sta elaborando linee guida riguardanti specificatamente la gestione dei rischi informatici.
2. ha inclusoil rischio IT-cibernetico tra i componenti di rischio operativo nelle metodologie utilizzate nel processo di revisione e valutazione prudenziale (ad es. sicurezza informatica, outsourcing IT, qualità dei dati).
3. conduce periodiche ispezioni mirate in loco (sulle aree a rischio IT in generale, ma anche sulla sicurezza IT e sul rischio informatico).
4. ha inserito il rischio IT-cibernetico tra i criteri utilizzati nella valutazione delle domande di autorizzazione all’esercizio dell’attività bancaria.[16]

Per completezza merita segnalare che l’Eurosistema ha elaborato varie misure non solo nell’ambito della propria attività di vigilanza, ma anche nel contesto delle infrastrutture dei mercati finanziari. Nel contesto del FMI oversight, ad esempio, la BCE ha emanato il quadro europeo per il Threat Intelligence-based Ethical Red Teaming (TIBER-EU) che permette alle autorità di lavorare con gli enti sotto la loro responsabilità così da mettere in atto un programma per testare e migliorare la loro resilienza contro i sofisticati attacchi informatici.

3. Conclusioni

Gli istituti bancari hanno tradizionalmente considerato la protezione dei dati come un mero costo di conformità piuttosto che un’opportunità.

Al contrario, la nuova normativa in materia di protezione dei dati personali dovrebbe rappresentare “an opportunity for banks to build even stronger customer relationships, based at its core on trust”[17] posto che i consumatori hanno già da tempo affidato alle banche i propri dati personali. Allo stesso modo, come sopra evidenziato, il rispetto della disciplina in materia di data protection può rappresentare uno strumento di contenimento di taluni dei principali rischi connessi all’attività bancaria, ciò anche in ragione degli ingenti costi – sia dal punto di vista economico che da quello reputazionale – in caso di mancato rispetto.

A livello di vigilanza, è importante continuare a monitorare la ciber-resilienza bancaria, la sicurezza IT ed il rischio informatico. D’altro lato, una maggiore attenzione al rispetto della normativa in materia di protezione dei dati personali da parte delle banche potrebbe garantire un maggiore controllo sulla trasparenza bancaria e sul livello di fiducia dei consumatori, sull’esistenza di adeguate misure di sicurezza per contenere il rischio informatico, nonché di sistemi di risposta ad eventuali cyber-attacchi e data breaches.

[*] Il presente articolo non può considerarsi come rappresentativo della posizione della Banca Centrale Europea (BCE). Le opinioni qui espresse sono quelle dell’autore e non riflettono necessariamente il pensiero della BCE.

[1] Articolo 8 della Carta dei diritti fondamentali dell’Unione europea e Articolo 16 del Trattato sul Funzionamento dell’Unione Europea.