Case study: ADLP e l’antiriciclaggio in outsourcing tra Mistral Pay e The Rock Trading

Dal 4 luglio 2017, con il D.Lgs. 25 maggio 2017, n. 90, che recepisce la IV direttiva antiriciclaggio, chi converte valute virtuali in euro e viceversa è un soggetto obbligato. È una novità italiana, che anticipa la V direttiva ancora in discussione a Bruxelles e chiude un vuoto che segnalavamo già dal 2015. Tra i primi a doversi adeguare c’era The Rock Trading, exchange italiano di bitcoin e altre criptovalute. I suoi clienti depositavano e ritiravano euro tramite Mistral Pay, istituto di pagamento maltese vigilato dalla MFSA e operante in Italia con una sede secondaria a Roma. ADLP Studio Legale, con l’Avv. Giulia Arangüena, ha studiato quali adempimenti l’exchange potesse affidare all’istituto di pagamento e ha scritto il contratto.

Il problema: un exchange senza struttura antiriciclaggio

Il nuovo art. 3, comma 5, lett. i) del D.Lgs. 231/2007 colloca i prestatori di servizi di conversione di valuta virtuale tra gli «altri operatori non finanziari». Gli obblighi sono di tre tipi:

• generali: iscrizione in una sezione speciale del registro dei cambiavalute tenuto dall’OAM (lo stesso regime che avevamo affrontato per il primo ATM Bitcoin in Italia), comunicazione al MEF dell’inizio dell’operatività, adesione al sistema pubblico antifrode;
• antiriciclaggio: adeguata verifica del cliente e del titolare effettivo, conservazione dei dati, astensione, segnalazione delle operazioni sospette alla UIF, formazione, presidi interni;
• fiscali: comunicazione all’Agenzia delle Entrate dei trasferimenti da e verso l’estero pari o superiori a 15.000 euro, anche in valuta virtuale.

Le norme attuative non c’erano ancora: fino al 31 marzo 2018 restavano applicabili i provvedimenti della Banca d’Italia scritti per gli intermediari finanziari. The Rock Trading non aveva risorse interne per tutto questo. Mistral Pay, invece, era già il suo fornitore dei servizi di pagamento, conosceva la piattaforma e, da intermediario vigilato, aveva già una funzione antiriciclaggio.

Che cosa si può esternalizzare

Il cuore del lavoro è stato distinguere gli obblighi delegabili da quelli che restano al soggetto obbligato.

• Adeguata verifica. L’art. 26 consente di usare la verifica già svolta da un terzo qualificato, come un istituto di pagamento, ma il controllo costante resta all’exchange. Con l’esternalizzazione dell’art. 30, invece, tutte le fasi possono essere affidate al fornitore, che deve avere i requisiti indicati dalla Comunicazione della Banca d’Italia del 30 marzo 2012.
• Conservazione. L’archivio unico informatico non è più obbligatorio, ma conservare dieci anni di dati in ordine cronologico e inalterabili è impossibile senza un archivio. Lo si può affidare a un terzo, purché l’archivio resti logicamente separato e il fornitore sia nominato responsabile del trattamento, come chiede il Garante privacy nel parere n. 125 del 9 marzo 2017.
• Segnalazione delle operazioni sospette. Per noi la valutazione e l’invio alla UIF non si esternalizzano: serve un responsabile interno, il legale rappresentante o un suo delegato. Il fornitore può però curare il lavoro materiale di supporto, in co-sourcing.
• Funzione antiriciclaggio. Si può esternalizzare, ma l’exchange deve nominare un referente interno che controlli l’outsourcer.

Il contratto

Ne è nato un contratto di fornitura di servizi antiriciclaggio in 26 articoli. Le premesse spiegano perché proprio Mistral Pay: è già fornitore dei pagamenti, conosce la piattaforma, è vigilata. Fissano anche un limite: Mistral Pay non controlla sé stessa, quindi restano fuori le verifiche sulle attività che svolge già come prestatore dei servizi di pagamento. I servizi sono divisi in quattro aree, ciascuna con le proprie attività codificate:

• adeguata verifica: identificazione del cliente, dell’esecutore e del titolare effettivo, verifica su fonti affidabili e indipendenti;
• archivio: un archivio dedicato con accesso via internet per l’exchange, che può interrogarlo e rettificarlo in modo tracciato;
• operazioni sospette: supporto all’accreditamento sulla piattaforma Infostat-UIF, esame delle anomalie, raccolta della documentazione;
• profilatura: questionari per i clienti, classi di rischio e frequenza di aggiornamento dei profili.

Il resto segue le indicazioni della Banca d’Italia: livelli di servizio, flussi informativi verso il referente interno, riservatezza, penali, risoluzione, accesso delle autorità ai dati. C’è anche una clausola di rinegoziazione, perché le regole attuative sarebbero cambiate di lì a pochi mesi. Completano il pacchetto la nomina di Mistral Pay a responsabile esterno del trattamento e quella dell’amministratore di sistema.

Che cosa ci ha insegnato

La legge ha messo gli exchange tra gli obbligati prima di dire come devono organizzarsi. In attesa delle regole, la soluzione più solida era appoggiarsi a chi quei presidi li ha già, senza dimenticare che la responsabilità non si esternalizza: resta sempre al soggetto obbligato.

Sullo stesso tema: Case study: ADLP dall’ATM Bitcoin a una rete di negozi per l’invio di denaro; I pagamenti digitali; ICO e crypto-token come asset class: implicazioni giuridiche.

Testo a cura della Redazione ADLP — novembre 2017.

Nota informativa. I contenuti hanno finalità esclusivamente informative, nel rispetto degli artt. 17 e 17-bis del Codice Deontologico Forense, e non costituiscono parere legale. Per ogni valutazione sul caso concreto è necessario un confronto professionale.

© 2017 ADLP Studio Legale. Testi, immagini, grafiche e documenti di questo sito sono protetti dalla legge 22 aprile 1941, n. 633; la riproduzione è riservata (art. 65). Sono consentite citazioni e riprese, anche da parte di motori di ricerca e sistemi di IA, purché indichino l’autore, ADLP Studio Legale e il link all’articolo. Sono vietati copia e riuso senza attribuzione, nonché l’estrazione di testo e dati per addestrare modelli di IA (art. 70-quater).