—

inserire un riferimento esplicito alla legislazione vigente nell’UE in materia di protezione dei dati in una disposizione sostanziale e dedicata, menzionando in particolare la direttiva 95/46/CE e le relative disposizioni nazionali di attuazione, nonché il regolamento (CE) n. 45/2001 concernente la tutela delle persone fisiche in relazione al trattamento dei dati personali da parte delle istituzioni e degli organismi dell’UE. Detta disposizione deve anche indicare chiaramente che le proposte lasciano impregiudicate le norme vigenti in materia di protezione dei dati. Il riferimento al considerando 33 della decisione quadro 2008/977/GAI del Consiglio, del 27 novembre 2008, dovrebbe essere eliminato;

—

inserire nella proposta di direttiva una definizione di «autorità competenti» e di «UIF», precisando che le «autorità competenti» non devono essere considerate «autorità competenti» ai sensi dell’articolo 2, lettera h), della decisione quadro 2008/977/GAI;

—

chiarire, al considerando 32, che la base giuridica per il trattamento dei dati è la necessità di adempiere un obbligo legale al quale sono soggetti gli enti obbligati, le autorità competenti e gli UIF (articolo 7, lettera c), della direttiva 95/46/CE);

—

rammentare che l’unica finalità del trattamento deve essere la prevenzione del riciclaggio e del finanziamento del terrorismo e che i dati non devono essere successivamente trattati in modo non compatibile con tale finalità;

—

prevedere il divieto specifico di ulteriore trattamento dei dati a fini commerciali, attualmente menzionato al considerando 31 della proposta di direttiva e al considerando 7 della proposta di regolamento, in una disposizione sostanziale;

—

aggiungere un considerando dedicato per chiarire che la lotta all’evasione fiscale è inserita soltanto come reato presupposto;

—

per quanto riguarda i trasferimenti internazionali, inserire disposizioni dedicate sostanziali sul trasferimento dei dati personali, prevedendo una base giuridica adeguata per i trasferimenti all’interno del gruppo e da prestatore a prestatore di servizi di pagamento che rispetti il testo e l’interpretazione dell’articolo 26 della direttiva 95/46/CE, come raccomandato dal gruppo di lavoro «articolo 29» delle autorità europee competenti per la protezione dei dati. Il GEPD raccomanda di riesaminare la proporzionalità dell’obbligo di trasferimento in massa di informazioni personali e sensibili a paesi terzi ai fini della lotta contro il riciclaggio e il finanziamento del terrorismo e di optare per un approccio più proporzionato;

—

per quanto riguarda la pubblicazione delle sanzioni, il GEPD raccomanda di valutare soluzioni alternative e meno intrusive all’obbligo generale di pubblicazione e, in ogni caso, di specificare nella proposta di direttiva:

—

per quanto riguarda la conservazione dei dati, inserire una disposizione sostanziale per stabilire il periodo massimo di conservazione che gli Stati membri dovranno rispettare, con ulteriori precisazioni.

—

inserire una disposizione specifica che rammenti il principio di informazione delle persone interessate in merito al trattamento dei loro dati personali (conformemente agli articoli 10 e 11 della direttiva 95/46/CE) e indicare l’identità del responsabile del trattamento di tali informazioni personali;

—

rispettare il principio di proporzionalità in caso di limitazione dei diritti delle persone interessate e, di conseguenza, inserire una disposizione specifica per indicare le condizioni in cui i diritti delle persone interessate possono essere limitati;

—

indicare chiaramente se le valutazioni dei rischi effettuate dall’autorità designata e dagli enti obbligati possono comportare il trattamento di dati personali. In caso affermativo, la proposta di direttiva deve imporre l’introduzione di opportune salvaguardie relative alla protezione dei dati;

—

inserire un elenco preciso delle informazioni delle quali si deve e non si deve tenere conto per l’adempimento degli obblighi di verifica della clientela. Chiarire se a tal fine siano o non siano raccolti dati di natura delicata ai sensi dell’articolo 8, paragrafo 1, della direttiva 95/46/CE. Se tale trattamento dovesse risultare necessario, gli Stati membri devono assicurare che sia effettuato sotto il controllo di un’autorità ufficiale e che il diritto nazionale preveda garanzie specifiche adeguate;

—

modificare l’articolo 21 per limitare più chiaramente le situazioni in cui il livello di rischio è tale da giustificare obblighi rafforzati di verifica della clientela e prevedere garanzie procedurali contro gli abusi;

—

modificare l’articolo 42 al fine di includervi un riferimento alla riservatezza, che dovrà essere rispettata da tutti i dipendenti che si occupano delle procedure di verifica della clientela;

—

elencare in una disposizione sostanziale i tipi di dati di identificazione da raccogliere sul titolare effettivo, anche quando non sono coinvolti trust.

—

astenersi dall’usare il numero d’identità nazionale come riferimento senza restrizioni e/o garanzie specifiche e usare invece il numero dell’operazione;

—

rammentare l’importanza di rispettare il principio di esattezza dei dati, di cui all’articolo 6, lettera d), della direttiva 95/46/CE, nel contesto delle procedure antiriciclaggio;

—

inserire una disposizione per disporre che «hanno accesso alle informazioni esclusivamente le persone o le categorie di persone designate»;

—

inserire una disposizione relativa al rispetto degli obblighi in materia di riservatezza e di protezione dei dati da parte dei dipendenti che trattano informazioni personali riguardanti l’ordinante e il beneficiario;

—

precisare all’articolo 15 che nessun’altra parte o autorità esterna che non sia interessata alla lotta contro il riciclaggio o il finanziamento del terrorismo ha accesso ai dati conservati;

—

completare l’articolo 21 indicando l’autorità alla quale trasmettere le segnalazioni di violazioni del regolamento e prescrivendo l’adozione di opportune misure tecniche e organizzative per proteggere i dati contro la distruzione accidentale o illecita, la perdita accidentale, l’alterazione o la divulgazione non autorizzata.