La proposta di regolamento sull’accesso ai dati finanziari (Payments Package)

Di Antonio Pezzuto, ex Dirigente della Banca d’Italia

 

1. Introduzione

Il 28 giugno 2023 la Commissione europea ha presentato un pacchetto di misure legislative (c.d. Payments Package), finalizzate a promuovere l’innovazione e la concorrenza nel settore dei pagamenti, nonché a fornire un quadro di riferimento per l’accesso ai dati finanziari.

Il pacchetto è costituito dai seguenti atti:

• una proposta di direttiva relativa ai servizi di pagamento e ai servizi di moneta elettronica nel mercato interno (Payment Services Directive, PSD 3)[1];
• una proposta di regolamento sui servizi di pagamento nel mercato interno (Payment Services Regulation, PSR)[2];
• una proposta di regolamento[3] volta a definire un framework armonizzato in materia di accesso ai dati finanziari (c.d. Financial Data Access, FIDA o più comunemente Open Finance), su cui ci si soffermerà  più diffusamente nel prosieguo del lavoro.

L’obiettivo primario della proposta su FIDA è garantire che tutti i consumatori e le imprese dispongano di strumenti di controllo efficaci sui propri dati finanziari.

La proposta legislativa prende le mosse dall’osservazione che attualmente i clienti delle istituzioni finanziarie non possono controllare efficacemente l’accesso ai loro dati e la condivisione degli stessi al di là  dei conti di pagamento (Open Banking). Le imprese che intendono accedere ai dati dei clienti per fornire servizi innovativi hanno difficoltà  ad accedere ai dati detenuti dagli enti finanziari. Di conseguenza, i clienti non beneficiano di prodotti e servizi più personalizzati e più in linea con le loro specifiche esigenze.

La limitazione all’accesso ai dati appare riconducibile a una serie di fattori tra loro interconnessi. Anzitutto, i clienti sono spesso riluttanti a condividere i loro dati; in secondo luogo, pur nell’ipotesi di voler condividere i dati, non vi sono norme che disciplinano tale condivisione; infine, la condivisione dei dati è resa più onerosa in quanto sia i dati stessi sia l’infrastruttura tecnica non sono standardizzati e presentano differenze significative.

Una volta approvata, la proposta consentirebbe: i) ai consumatori di accedere a prodotti/servizi più personalizzati in grado di corrispondere alle loro specifiche esigenze; ii) alle imprese, in ispecie quelle di minori dimensioni, di godere di un accesso più ampio a prodotti e servizi finanziari; iii) agli enti finanziari di sfruttare appieno le tendenze della trasformazione digitale; iv) ai prestatori terzi di servizi di fruire di nuove opportunità  commerciali nell’ambito dell’innovazione basata sui dati.

La relazione sulla valutazione d’impatto che accompagna la proposta evidenzia la pervasività  del regolamento, considerato che oltre 17.500 enti finanziari saranno tenuti a rendere disponibili i dati dei clienti a circa 4.000 utilizzatori. Si stima inoltre che: i) i vantaggi annui totali per l’intera economia europea derivanti da un più ampio accesso ai dati e dalla loro condivisione nel settore finanziario dell’Unione oscillano tra 4,6 e 12,4 miliardi di euro; ii) i costi una tantum per i titolari dei dati per la creazione di infrastrutture tecniche ammontano a 2,4 miliardi di euro.

La proposta in commento si articola in otto Titoli: il Titolo I delinea l’oggetto, l’ambito di applicazione e le definizioni; il Titolo II introduce un obbligo giuridico per i titolari dei dati e ne disciplina le modalità  di esercizio; il Titolo III contiene le prescrizioni per garantire l’utilizzo responsabile e la sicurezza dei dati; il Titolo IV stabilisce le prescrizioni per la creazione e la governance dei sistemi di condivisione dei dati finanziari; il Titolo V disciplina il regime autorizzativo e le condizioni operative dei prestatori di servizi di informazione finanziaria; il Titolo VI fornisce dettagli sui poteri delle autorità  competenti; il Titolo VII definisce l’accesso transfrontaliero ai dati; il Titolo VIII contiene le disposizioni finali.

 

2. Le novità  principali della proposta FIDA

La proposta stabilisce l’obbligatorietà  della condivisione dei dati dei clienti (customer data) di natura sia personale sia finanziaria, che siano stati forniti dai clienti stessi o generati dall’interazione del cliente con l’intermediario e raccolti, conservati o trattati da un intermediario nell’ambito della propria attività  ordinaria con la clientela (art. 3, punto 3), dell’articolato).

I dati oggetto dell’obbligo di condivisione riguardano le seguenti categorie di prodotti e servizi:

• contratti di credito ipotecario, prestiti e conti, con l’eccezione dei conti di pagamento quali definiti dalla Direttiva (UE) 2015/2366 sui servizi di pagamento, compresi i dati relativi al saldo, alle condizioni e alle operazioni;
• risparmi, investimenti in strumenti finanziari, prodotti di investimento assicurativo, cripto-attività , beni immobili e altre attività  finanziarie correlate, nonché i benefici economici derivanti da tale attività , compresi i dati raccolti ai fini della valutazione dell’appropriatezza e dell’adeguatezza a norma dell’art. 25 della Direttiva 2014/65/UE (c.d. MiFID);
• prodotti di assicurazione non vita conformemente alla Direttiva 2009/138/CE, con l’eccezione dei prodotti di assicurazione malattia, compresi i dati raccolti ai fini di una valutazione delle richieste e delle esigenze a norma dell’art. 20 della Direttiva (UE) 2016/97 (c.d. IDD), e i dati raccolti ai fini di una valutazione dell’idoneità  e adeguatezza a norma dell’art. 30 della sopra richiamata Direttiva;
• diritti pensionistici negli schemi pensionistici aziendali o professionali e sulla fornitura di prodotti pensionistici paneuropei (c.d. PEPP);
• dati che fanno parte di una valutazione del merito creditizio di un’impresa, raccolti nell’ambito di una procedura di richiesta di fido o di una richiesta di rating del credito.

Sono esclusi dall’ambito di applicazione oggettivo dell’articolato l’esito delle valutazioni di adeguatezza e appropriatezza MiFID/IDD, le valutazioni del merito del credito delle persone fisiche, le assicurazioni sulla vita, sulla malattia e sulla salute.

I soggetti tenuti alla condivisione dei dati (data holder) sono gli enti finanziari che detengono i dati, e cioè: gli enti creditizi, gli istituti di pagamento, gli istituti di moneta elettronica, le imprese di investimento, i prestatori di servizi per le cripto-attività , gli emittenti di token collegati ad attività , i gestori di FIA, le società  di gestione di UCITS, le imprese di assicurazione, gli enti pensionistici aziendali o professionali, le agenzie di rating del credito, i fornitori di servizi di crowdfunding e i fornitori di PEPP.

I soggetti abilitati ad accedere ai dati dei clienti (data user), previo rilascio dell’autorizzazione da parte dei clienti stessi, sono sia gli enti finanziari come sopra individuati sia i prestatori di servizi di informazione finanziaria (Financial Information Service Providers, FISP), i quali costituiscono una nuova categoria di enti appositamente introdotta dalla proposta FIDA[4]. Si noti, per quanto ovvio, che mentre gli enti finanziari ricoprono il doppio ruolo di data holder e data user, i FISP sono solo data user.

I FISP potranno accedere ai dati dei clienti previa autorizzazione rilasciata dall’autorità  competente dello Stato membro d’origine. Nella richiesta di autorizzazione i FISP, tra le altre cose, devono descrivere i dispositivi di governance e dei meccanismi di controllo interno, la procedura per monitorare e gestire gli incidenti relativi alla sicurezza e i reclami dei clienti in tema di sicurezza, nonché le disposizioni in materia di continuità  operativa.

All’ABE è stato attribuito il compito di elaborare, in collaborazione con ESMA ed EIOPA, i progetti di norme tecniche di regolamentazione che specifichino, tra l’altro, le informazioni da fornire all’autorità  competente nella domanda di autorizzazione dei FISP e una metodologia di valutazione comune per la concessione dell’autorizzazione. Tali progetti devono essere presentati alla Commissione europea entro nove mesi dall’entrata in vigore del regolamento FIDA.

I FISP stabiliti in paesi terzi che richiedono l’accesso ai dati finanziari nell’Unione devono designare un rappresentante legale (persona fisica o giuridica) in uno degli Stati membri da cui il FISP intende accedere ai dati finanziari.

Per facilitare la trasparenza in merito all’accesso ai dati e al servizio di informazione finanziaria, è stato conferito all’Autorità  bancaria europea (ABE) il compito di istituire e tenere un registro elettronico centrale dei FISP autorizzati e di quelli che hanno notificato la loro intenzione di accedere ai dati in uno Stato membro diverso da quello d’origine, nonché dei sistemi di condivisione dei dati finanziari concordati tra data holder e data user. Il registro è accessibile al pubblico sul sito web dell’Autorità  di vigilanza.

Sono previsti specifici obblighi in capo ai data holder e ai data user.

I data holder sono tenuti a:

• mettere a disposizione dei data user i dati del cliente per le finalità  per le quali il cliente ha concesso l’autorizzazione senza indebito ritardo, su base continuativa e in tempo reale[5];
• fornire i dati del cliente su modelli standard generalmente riconosciuti e di elevata qualità ;
• comunicare in modo sicuro con i data user garantendo un livello adeguato di sicurezza per il trattamento e la trasmissione dei dati del cliente;
• chiedere ai data user di dimostrare di aver ottenuto l’autorizzazione dal cliente per accedere ai dati di quest’ultimo detenuti dai data holder;
• fornire al cliente un pannello di gestione delle autorizzazioni (permission dashboards) per monitorare, rinnovare e revocare le autorizzazioni rilasciate ai data user;
• rispettare la riservatezza dei segreti commerciali e dei diritti di proprietà  intellettuale in caso di accesso ai dati del cliente.

I data user sono tenuti, a loro volta, a:

• accedere ai dati del cliente solo per le finalità  e alle condizioni per le quali il cliente ha concesso l’autorizzazione;
• cancellare i dati del cliente quando non sono più necessari per le finalità  per le quali il cliente ha concesso l’autorizzazione;
• rispettare la riservatezza dei segreti commerciali e dei diritti di proprietà  intellettuale;
• mettere in atto adeguate misure tecniche, giuridiche e organizzative, al fine di impedire il trasferimento di dati del cliente non personali o l’accesso a questi ultimi nel caso in cui ciò sia illegale a norma del diritto dell’Unione o del diritto nazionale di uno Stato membro;
• adottare le misure necessarie per assicurare che vi sia un adeguato livello di sicurezza per la conservazione, il trattamento e la trasmissione di dati del cliente non personali;
• non trattare i dati del cliente per scopi pubblicitari, con l’eccezione del marketing diretto conformemente al diritto dell’Unione e nazionale.

Allo scopo di consentire l’interazione contrattuale e tecnica necessaria per attuare l’accesso ai dati tra più enti finanziari, viene prevista la creazione di uno o più sistemi di condivisione dei dati finanziari (Financial Data Sharing Schemes, FDSS), organismi di autoregolamentazione costituiti da data holder e data user, nonché da organizzazioni e associazioni rappresentative dei clienti e dei consumatori, con il compito, inter alia, di: i) elaborare norme in materia di dati e interfacce tecniche per consentire ai clienti di richiedere la condivisione dei dati; ii) elaborare un quadro contrattuale standardizzato comune che disciplini l’accesso a specifiche serie di dati; iii) definire norme sulla governance, obblighi di trasparenza, responsabilità  e risoluzione delle controversie.

Laddove non fosse istituito un sistema di condivisione dei dati finanziari, la Commissione europea potrà  adottare un atto delegato per specificare le seguenti modalità  in base alle quali il data holder mette a disposizione i dati del cliente: i) norme comuni per i dati e, se del caso, le interfacce tecniche per consentire ai clienti di richiedere la condivisione dei dati; ii) un modello per la determinazione del compenso massimo che il data holder richiederà  per la messa a disposizione dei dati; iii) la responsabilità  degli attori coinvolti nella messa a disposizione dei dati.

Viene inoltre previsto che l’istituzione di un sistema di condivisione di dati finanziari sia notificato all’autorità  competente, entro un mese dall’istituzione.

Agli Stati membri si richiede di designare le autorità  competenti incaricate di vigilare sugli enti finanziari e sui prestatori di servizi di informazione finanziaria, dandone notizia alla Commissione europea. Le autorità  competenti dispongono di poteri di vigilanza, di indagine e sanzionatori.

Secondo la proposta, l’accesso transfrontaliero ai dati da parte di FISP stabiliti in Stati membri diversi rispetto a quelli in cui sono custoditi i dati può essere consentito in virtù del principio della libera prestazione di servizi. Pertanto, un FISP che desidera avere accesso ai dati detenuti da un data holder insediato in un altro Stato membro, deve comunicare alla propria autorità  competente il tipo di dati a cui desidera accedere, lo schema di condivisione dei dati finanziari a cui aderisce e gli Stati membri presso i quali intende accedere ai dati.

 

3. Valutazioni della proposta FIDA

A giudizio dell’ABI, la proposta di regolamento FIDA, pur recependo alcuni suggerimenti formulati dall’industria finanziaria nel corso della consultazione condotta nel 2022, presenta talune criticità  che, se non rimosse, potrebbero avere effetti negativi sul sistema finanziario europeo.

Un primo elemento di criticità  risiede nel fatto che la proposta introduce un obbligo di condivisione di dati relativi a un’ampia gamma di prodotti e servizi finanziari senza che sia stata effettuata un’adeguata valutazione d’impatto quantitativa dei benefici della nuova disciplina per l’economia europea e sulla sua competitività  nei confronti di fornitori esteri con sede anche in paesi extraeuropei. Infatti, permettere il libero accesso ai dati del settore finanziario alle big tech, che hanno già  una posizione dominante nel campo dei dati individuali e aziendali, senza dover a loro volta condividere alcun dato, rischia di alimentare l’asimmetria competitiva con in nuovi competitor.

Un secondo elemento di criticità  è rappresentato dall’eccessiva ampiezza del perimetro dei dati oggetto dell’obbligo di condivisione ricomprendendovi anche informazioni di secondo livello che pertengono l’attività  e il modello di business degli enti finanziari.

Ulteriori aspetti critici rilevati riguardano:

• le misure preordinate a garantire la sicurezza, la riservatezza e il corretto utilizzo dei dati dei clienti, che non appaiono sufficienti a evitare il rischio di frodi o comunque un loro utilizzo improprio;
• la disciplina autorizzativa dei FISP, la quale prevede misure molto generiche, difficili da valutare compiutamente, poiché fa rinvio alle norme di regolamentazione tecniche che la Commissione europea dovrà  emanare sulla base dei pareri di ABE, ESMA ed EIOPA;
• il meccanismo previsto per concedere l’autorizzazione di FISP anche a soggetti ubicati in paesi terzi, che risulta “troppo labile, in quanto è richiesta la sola designazione di un rappresentante legale nell’UE “e non è affatto chiaro come in tale caso venga verificata la sussistenza dei requisiti organizzativi previsti dalla proposta”.

Alla luce delle considerazioni critiche sopra esposte, viene formulato l’auspicio che la proposta della Commissione sia attentamente riesaminata e che, nel corso dell’iter di approvazione, possa essere modificata “al fine di adottare un approccio più cauto e graduale, anche a tutela degli interessi dei clienti”. Sarà  importante, si soggiunge, che i correttivi conferiscano un maggiore equilibrio alle proposte, assicurando parità  concorrenziale tra i vari operatori di mercato.

 

Note:

[1] COM (2023) 366.

[2] COM (2023) 367.

[3] COM (2023) 360.

[4] I FISP non vanno confusi con gli AISP (Account Information Service Providers) introdotti dalla seconda direttiva sui servizi di pagamento (PSD 2), i quali possono solo accedere ai dati, ma non di detenerli.

[5] I data holder potranno chiedere un compenso ragionevole ai data user per aver messo a disposizione i dati del cliente, la cui misura massima sarà  stabilita dai sistemi di condivisione dei dati dei clienti. Nel caso in cui l’utilizzatore di dati sia una PMI, l’eventuale compenso non dovrà  superare i costi direttamente sostenuti per l’accesso ai dati.

---

Le informazioni contenute in questo sito web e nella rivista "Magistra Banca e Finanza" sono fornite solo a scopo informativo e non possono essere ritenute sostitutive di una consulenza legale. Nessun destinatario del contenuto di questo sito, cliente o visitatore, dovrebbe agire o astenersi dall'agire sulla base di qualsiasi contenuto incluso in questo sito senza richiedere una appropriata consulenza legale professionale, da un avvocato autorizzato, con studio dei fatti e delle circostanze del proprio specifico caso legale.