Dati personali e antiriciclaggio, per l’Avvocata generale Medina si applica la direttiva sulle attività di contrasto

La direttiva europea sulla protezione dei dati personali nelle attività di contrasto si applica anche ai trattamenti effettuati dalle unità di informazione finanziaria (FIU) nello svolgimento dei compiti di prevenzione, accertamento e contrasto del riciclaggio e del finanziamento del terrorismo. È quanto sostiene l’avvocata generale Laila Medina nelle conclusioni presentate alla Corte di giustizia dell’Unione europea, nelle quali affronta anche i limiti che possono essere imposti al diritto di accesso degli interessati alle informazioni detenute da queste autorità.

La vicenda trae origine da una serie di richieste di accesso presentate da un cittadino, indicato come X, all’Unità di informazione finanziaria estone (RAB). Tra il dicembre 2019 e il gennaio 2020, l’autorità aveva respinto le domande relative alle informazioni sullo scambio di dati che lo riguardavano con istituzioni finanziarie e autorità straniere. Dopo ulteriori richieste concernenti eventuali indagini in corso, il RAB aveva mantenuto il proprio rifiuto, richiamando l’esigenza di garantire la riservatezza delle informazioni e di proteggere il sistema finanziario estone.

Nonostante gli interventi dell’autorità nazionale per la protezione dei dati e le decisioni dei giudici di primo e secondo grado favorevoli al richiedente, il RAB aveva continuato a negare l’accesso. La controversia è quindi giunta alla Corte suprema estone, che ha sottoposto alla Corte di giustizia dell’Unione europea alcune questioni relative alla disciplina applicabile e alle condizioni alle quali può essere limitato il diritto degli interessati di conoscere i dati che li riguardano.

Nelle sue conclusioni, Medina chiarisce anzitutto il rapporto tra il regolamento generale sulla protezione dei dati (GDPR) e la direttiva 2016/680, che disciplina il trattamento dei dati personali da parte delle autorità competenti a fini di prevenzione, indagine, accertamento e perseguimento dei reati. Quando ricorrono le condizioni previste dal diritto dell’Unione, il trattamento rientra nel regime speciale della direttiva, anziché in quello generale del GDPR.

Secondo l’avvocata generale, le unità di informazione finanziaria soddisfano tali condizioni quando trattano dati nell’esercizio delle proprie funzioni di prevenzione e contrasto del riciclaggio e del finanziamento del terrorismo. La loro qualificazione come autorità competenti dipende dai compiti e dai poteri esercitati, non dalla specifica struttura organizzativa. Le FIU svolgono infatti un ruolo essenziale nell’acquisizione e nell’analisi delle informazioni finanziarie, potendo ottenere dati dalle autorità di contrasto e intervenire tempestivamente rispetto a operazioni potenzialmente collegate ad attività illecite.

Un secondo profilo riguarda la possibilità di escludere l’accesso diretto degli interessati alle informazioni detenute dalle FIU. Per Medina, anche un divieto generale di accesso può risultare compatibile con il diritto dell’Unione, considerata l’esigenza di preservare la riservatezza delle attività di queste autorità. Una simile limitazione, tuttavia, non può essere priva di condizioni: deve rispettare il principio di proporzionalità ed essere circoscritta, nella portata e nella durata, a quanto necessario per perseguire l’obiettivo legittimo.

Le restrizioni devono inoltre trovare fondamento in disposizioni chiare e precise, che consentano agli interessati di comprenderne la portata e l’applicazione. Il quadro normativo deve prevedere garanzie adeguate contro gli abusi, gli accessi illeciti e gli utilizzi impropri dei dati, assicurando al contempo un controllo effettivo da parte delle autorità competenti e degli organi giurisdizionali. Tali garanzie possono derivare anche da una pluralità di atti normativi, purché questi costituiscano un insieme coerente e sufficientemente prevedibile. Nel caso estone, spetterà al giudice nazionale verificare se la disciplina applicabile soddisfi tali requisiti.

Le conclusioni affrontano anche le modalità con cui tutelare gli interessati quando l’accesso diretto è escluso. In questa situazione, la protezione dei loro diritti deve essere assicurata indirettamente attraverso l’intervento dell’autorità di controllo, alla quale devono essere attribuiti poteri sufficienti per svolgere interlocuzioni riservate con le FIU e determinare quali informazioni siano necessarie a garantire un ricorso giurisdizionale effettivo.

Infine, secondo Medina, il diritto dell’Unione consente alle unità di informazione finanziaria di respingere una richiesta di accesso senza motivare il rifiuto quando la comunicazione delle ragioni possa compromettere un interesse pubblico. Anche in tale ipotesi, tuttavia, l’interessato deve essere informato della possibilità di esercitare indirettamente i propri diritti attraverso l’autorità di controllo.

Le conclusioni dell’avvocata generale non costituiscono una decisione vincolante per la Corte di giustizia, che sarà chiamata a pronunciarsi sulla controversia. Il caso pone al centro il rapporto tra riservatezza delle attività di contrasto e diritti degli interessati, chiarendo che la tutela dell’interesse pubblico può giustificare restrizioni all’accesso ai dati, ma richiede garanzie normative e rimedi effettivi contro possibili abusi.

Approfondimenti:

• Conclusioni dell’avvocata generale Laila Medina nella causa C-222/25 Rahapesu Andmebüroo