Avvocata generale della CGUE: le unità antiriciclaggio possono tenere segreti i dati di una persona, ma non senza garanzie

Le unità di informazione finanziaria che indagano su sospetti di riciclaggio di denaro possono limitare o persino rifiutare l’accesso di una persona ai dati che detengono su di lei, propone l’avvocata generale della Corte di giustizia dell’UE Laila Medina. La segretezza può essere necessaria per non compromettere le indagini, ma non può funzionare senza regole chiare, controllo indipendente e la possibilità per la persona interessata di esercitare i propri diritti attraverso l’autorità per la protezione dei dati. Le conclusioni non sono vincolanti per i giudici della CGUE.

Una persona potrebbe non sapere se un’unità nazionale di informazione finanziaria detiene dati che la riguardano quando la divulgazione dell’informazione potrebbe compromettere la prevenzione del riciclaggio di denaro o del finanziamento del terrorismo. Le autorità non possono tuttavia trasformare questa esigenza di segretezza in un divieto assoluto, incontrollato e privo di garanzie, secondo le conclusioni presentate l’8 ottobre dall’avvocata generale della Corte di giustizia dell’Unione europea Laila Medina.

La causa è nata in Estonia, dove un uomo ha cercato ripetutamente di sapere quali informazioni l’unità nazionale di informazione finanziaria detenesse su di lui e se queste fossero state scambiate con banche o autorità straniere. L’autorità ha rifiutato di confermare persino l’esistenza dei dati, invocando l’obbligo di riservatezza necessario a proteggere il sistema di contrasto al riciclaggio.

In breve
Le unità di informazione finanziaria possono rifiutare l’accesso diretto ai dati quando la divulgazione comprometterebbe la prevenzione o l’indagine sul riciclaggio di denaro.

Un divieto totale è consentito solo se la legge stabilisce condizioni chiare, precise e proporzionate e garanzie contro gli abusi.

L’autorità può, in determinate situazioni, non spiegare a una persona perché le ha negato l’accesso, se la spiegazione confermerebbe l’esistenza di un’indagine o pregiudicherebbe l’interesse pubblico.

La persona deve tuttavia essere informata della possibilità di esercitare indirettamente i propri diritti attraverso l’autorità indipendente per la protezione dei dati.

Le conclusioni dell’avvocata generale non costituiscono una sentenza della CGUE. I giudici della Corte decideranno successivamente la causa.

Le unità di informazione finanziaria, FIU, si trovano in una posizione diversa da quella di una normale amministrazione. Ricevono e analizzano informazioni su transazioni sospette, possono chiedere dati agli istituti finanziari e scambiano informazioni con autorità nazionali e unità analoghe di altri Stati. In molte situazioni, il semplice fatto che una persona scopra di essere analizzata può compromettere le verifiche in corso.

Medina propone alla Corte di stabilire per la prima volta in modo chiaro che, quando svolgono la loro missione di prevenzione, individuazione e contrasto del riciclaggio di denaro e del finanziamento del terrorismo, queste unità devono essere trattate come autorità competenti ai sensi della direttiva UE sulla protezione dei dati in materia penale.

La conseguenza è importante. Il trattamento dei dati per questa attività non sarebbe disciplinato in primo luogo dal regime generale del GDPR, come aveva ritenuto in precedenza la Corte suprema estone, bensì dalla direttiva 2016/680, concepita per i dati utilizzati dalle autorità nella prevenzione e nel contrasto dei reati.

La differenza non elimina i diritti della persona. La direttiva consente di limitare l’accesso ai propri dati quando ciò è necessario per proteggere un’indagine, prevenire un reato o tutelare altri interessi pubblici previsti dalla legge. La restrizione deve tuttavia rimanere necessaria e proporzionata.

L’avvocata generale accetta persino che, nel settore del riciclaggio di denaro, possa essere giustificata una limitazione completa dell’accesso diretto. La riservatezza è essenziale in un sistema nel quale banche e altre entità segnalano transazioni sospette senza avvertire la persona interessata.

Il problema sorge quando la segretezza diventa automatica e illimitata. La legislazione deve spiegare in quali situazioni l’accesso può essere rifiutato, quanto può durare la restrizione e quali garanzie esistono contro l’uso abusivo dei dati. L’autorità non può semplicemente ricevere la libertà di mantenere segrete tutte le informazioni fino alla loro distruzione, senza criteri che consentano di verificare la necessità della misura.

Nel procedimento estone, le informazioni presentate alla Corte suggeriscono che l’accesso potesse essere bloccato per tutte le persone e per l’intero periodo di conservazione dei dati. Medina ritiene che un simile sistema violerebbe il diritto dell’UE se la legislazione non offrisse regole sufficientemente chiare e garanzie che consentano all’autorità di controllo e ai tribunali di verificare se la restrizione sia giustificata.

Il controllo indipendente diventa così l’elemento centrale della soluzione proposta.

Se una persona non può vedere direttamente i dati, l’autorità nazionale per la protezione dei dati deve poter verificare al suo posto quali informazioni esistono, se il trattamento è legale e se il rifiuto dell’accesso è giustificato. L’autorità di controllo deve poter discutere in via riservata con l’unità di informazione finanziaria e avere accesso alle informazioni necessarie per la verifica.

La persona interessata può poi utilizzare questo meccanismo per ottenere un controllo effettivo della legalità, anche dinanzi a un tribunale, senza che i dati sensibili o l’esistenza di un’operazione debbano necessariamente esserle rivelati.

Le conclusioni ammettono anche una situazione ancora più delicata: la FIU può rifiutarsi di spiegare perché non concede l’accesso quando la semplice motivazione rivelerebbe se la persona è o meno oggetto di analisi e potrebbe mettere in pericolo l’interesse pubblico.

L’autorità non può tuttavia chiudere completamente la via del ricorso. Anche se non spiega il motivo del rifiuto, deve comunicare alla persona che può esercitare i propri diritti attraverso l’autorità per la protezione dei dati.

La causa è rilevante per tutti gli Stati dell’UE, poiché ogni sistema nazionale di contrasto al riciclaggio utilizza un’unità di informazione finanziaria e lo scambio di dati tra queste unità è una delle componenti essenziali della cooperazione europea contro i flussi finanziari illeciti.

La posta in gioco è accresciuta dalla natura delle informazioni che confluiscono in queste banche dati. Una persona può comparire in un’analisi finanziaria senza essere incriminata o persino senza che esista un’indagine penale formale. I dati possono provenire da segnalazioni di transazioni sospette, da informazioni ricevute da banche o altre entità soggette all’obbligo di segnalazione e da scambi tra autorità.

Proprio per questo, Medina cerca di conciliare due obiettivi che sembrano entrare in conflitto. Il sistema antiriciclaggio deve funzionare senza avvertire le persone sospettate prima che le autorità possano analizzare le transazioni. Allo stesso tempo, l’esistenza di banche dati segrete non può eliminare il diritto fondamentale alla protezione dei dati e al controllo sul modo in cui le autorità utilizzano le informazioni personali.

La Corte non è obbligata a seguire le conclusioni dell’avvocata generale. Il ruolo degli avvocati generali è proporre in piena indipendenza una soluzione giuridica, mentre i giudici della CGUE deliberano separatamente. La sentenza sarà pronunciata in una data successiva.

Se i giudici seguiranno questa interpretazione, l’effetto non sarà obbligare le FIU a rivelare alle persone se sono monitorate. Sarebbe tuttavia confermato il principio secondo cui la segretezza necessaria per contrastare il riciclaggio deve essere accompagnata da regole verificabili e da un canale indipendente attraverso il quale possa essere controllata la legalità dell’utilizzo dei dati.