I sistemi AML/CFT/CPF proteggono l’economia legale e il sistema finanziario dall’azione dei gruppi criminali, i quali tuttavia sviluppano strumenti sempre più sofisticati e complessi per realizzare i propri scopi illeciti. Il singolo istituto finanziario ha una visione parziale e limitata delle transazioni poste in essere, senza riuscire a cogliere lo schema più completo del “puzzle” criminale. La criminalità economica sfrutta questa lacuna di informazioni, spesso ricorrendo a più istituti finanziari nell’ambito dello stesso Stato o adottando schemi criminali transnazionali.
L’assenza di informazioni più accurate e coerenti rende più difficoltosa per gli istituti finanziari la rilevazione delle anomalie e delle operatività illecite. Al contrario, lo scambio di informazioni tra i soggetti operanti nel settore privato permette ai singoli istituti finanziari di accedere ad un patrimonio informativo più ampio, idoneo a far emergere i profili di criticità, valutare il livello di rischio e adempiere correttamente agli obblighi in materia di antiriciclaggio. E difatti, come dimostrato dai casi studio osservati dal Rapporto, in alcuni Stati gli istituti finanziari stanno adottando sistemi di condivisione delle informazioni ai fini di AML/CFT/CPF. Per esempio, laddove una banca riscontrasse difficoltà nell’identificare uno schema complesso di riciclaggio di denaro, le informazioni provenienti da altri istituti finanziari potrebbero risultare utili per completarne il quadro conoscitivo. È tuttavia importante tenere in considerazione le problematiche in materia di privacy e tutela dei dati che lo scambio di informazioni nel settore privato porta con sé. Lo scambio di informazioni tra i soggetti del settore privato, infatti, deve avvenire sempre nel rispetto dei principi di ragionevolezza e proporzionalità rispetto alle finalità del trattamento, in osservanza alla disciplina applicabile.
Il Rapporto fornisce un’introduzione ai principi e agli obiettivi del DPP (Data protection and privacy) che le parti interessate sono chiamate a considerare durante la progettazione di iniziative di collaborazione nel settore privato e mette in evidenza alcune soluzioni comuni adottate da soggetti del settore privato, e talvolta dal settore pubblico, nell’adozione di efficaci sistemi di condivisione delle informazioni. In particolare, fornisce casi di studio che illustrano come i membri del FATF-GAFI e della rete globale hanno aumentato la condivisione delle informazioni del settore privato nel rispetto dei quadri del DPP (Data protection and privacy). Le esperienze riportate indicano che le misure di condivisione delle informazioni del settore privato possono essere realizzate in conformità con le regole e gli obblighi del DPP, soggetti a test e requisiti chiave.
Il documento riporta inoltre le raccomandazioni non vincolanti formulate dal FATF-GAFI:
- Il settore pubblico dovrebbe prendere in considerazione la possibilità di adottare iniziative volte a facilitare l’implementazione di meccanismi di scambio di informazioni nel settore privato, ad esempio introducendo novità legislative o nuovi strumenti di vigilanza ove necessario; ricorrendo all’uso di sandbox regolamentari e programmi pilota; evidenziando aree, tipologie o tipi di dati; identificando un’agenzia principale/punto di contatto che promuova e coordini le iniziative; fornendo indicazioni o liste di controllo; costruendo piattaforme sicure per la condivisione e il controllo; sviluppando progetti per armonizzare e standardizzare i dati.
- Il settore pubblico dovrebbe garantire e promuovere un dialogo regolare tra DPP (Data protection and privacy) e autorità AML/CFT (Anti-money laundering/Counter terrorist financing), coerentemente con la Raccomandazione 2 del FATF-GAFI, anche a livello internazionale, ad esempio organizzando forum; ideare una strategia d’azione; fornire una guida a livello di settoriale; fornire assistenza alle iniziative intraprese dai soggetti del settore privato; condurre iniziative congiunte, come sandbox regolamentari o “technology sprints”.
- Il settore privato dovrebbe prendere in considerazione l’adozione di iniziative volte ad implementare tecnologie utili alla protezione dei dati personali e tutela della privacy; seguire progetti coordinati con le autorità DPP; sviluppare indicatori e metriche per misurare il fenomeno; adottare misure per prevenire i rischi connessi al ricorso agli strumenti di condivisione delle informazioni.
