SixthContinent Europe gestisce a Milano una piattaforma di profit sharing che vende al pubblico gift card, voucher, coupon e carte prepagate, fisiche e digitali. Per la sua attività deve verificare il più accuratamente possibile l’identità degli utenti che acquistano sul sito. Ha scelto di affidare questo lavoro a Mistral Pay, istituto di pagamento maltese vigilato dalla MFSA e operante in Italia con una succursale a Roma. A dicembre 2018 ADLP Studio Legale, con l’Avv. Giulia Arangüena, ha assistito Mistral Pay nella stesura del contratto e dell’accordo sulla protezione dei dati.
Il servizio
Mistral Pay aveva già integrato nel sito un questionario per l’identificazione degli utenti. I dati passano dai server di SixthContinent a quelli di Mistral Pay solo per il tempo necessario alla trasmissione. Il contratto, di fornitura e di esternalizzazione, organizza i servizi in quattro gruppi:
- adeguata verifica, semplificata o rafforzata: identificazione dell’utente, controllo del documento, eventuale questionario rafforzato, conservazione dei dati;
- segnalazione delle anomalie sui nominativi, con il confronto con le liste pubbliche e con la banca dati World-Check;
- rating di ciascun utente sottoposto a verifica;
- API, cioè la configurazione e la licenza delle interfacce che collegano il sito ai sistemi di Mistral Pay.
Che cosa resta fuori
Come nel contratto con The Rock Trading, la parte più delicata era tracciare il confine. Il fornitore esegue materialmente le verifiche con i propri strumenti informatici. Restano invece al committente:
- l’organizzazione interna e i controlli per gestire il rischio di riciclaggio, né in outsourcing né in co-sourcing;
- la valutazione e la segnalazione delle operazioni sospette alla UIF;
- ogni responsabilità per gli obblighi del D.Lgs. 231/2007, come riformato dal D.Lgs. 90/2017.
Il contratto dice anche che cosa i risultati del fornitore non sono: pareri sulle operazioni, consulenza sull’attività commerciale, funzioni interne antiriciclaggio o di controllo.
Regole che cambiano
A fine 2018 le nuove disposizioni della Banca d’Italia sull’adeguata verifica, poste in consultazione ad aprile, non erano ancora in vigore. Restava applicabile il provvedimento del 3 aprile 2013, e intanto era stata approvata la V direttiva antiriciclaggio. Per questo il contratto, di dodici mesi con rinnovo automatico, prevede di rinegoziarlo in buona fede se le nuove regole rendono il servizio troppo oneroso. Prevede anche un adeguamento se il numero mensile di identificazioni si allontana dai livelli di servizio concordati.
Il Data Protection Addendum
Verificare l’identità significa trattare documenti e dati personali. Con il GDPR in vigore da maggio, il contratto è accompagnato da un Data Protection Addendum. SixthContinent è titolare del trattamento e nomina Mistral Pay responsabile ai sensi dell’art. 28. L’addendum descrive il trattamento affidato e le istruzioni del titolare, insieme alle misure di sicurezza e alla gestione delle violazioni dei dati. Il testo è stato negoziato con i legali della controparte fino agli ultimi giorni prima della firma.
Che cosa ci ha insegnato
Esternalizzare l’identificazione dei clienti conviene a chi vende online e non ha una struttura di compliance. Funziona però solo se il contratto separa con chiarezza l’esecuzione materiale, che si può affidare, dalla responsabilità, che resta al committente. E se privacy e antiriciclaggio vengono scritte insieme, perché riguardano gli stessi dati.
Sullo stesso tema: Case study: ADLP e l’antiriciclaggio in outsourcing tra Mistral Pay e The Rock Trading; Case study: ADLP e il servizio di escrow di Mistral Pay per la compravendita di veicoli online; Case study: ADLP per l’espansione in Italia dei servizi di pagamento di Mistral Pay.
Domande frequenti
Si può affidare a un terzo l’identificazione dei clienti?
Sì, l’esecuzione materiale dell’adeguata verifica si può esternalizzare; la responsabilità degli obblighi antiriciclaggio resta però al committente.
Il fornitore può segnalare le operazioni sospette al posto del committente?
No: nel contratto la valutazione e la segnalazione alla UIF restano escluse dai servizi e in capo al committente.
Che ruolo ha il fornitore ai fini privacy?
È responsabile del trattamento ai sensi dell’art. 28 GDPR, nominato dal committente, che resta titolare.
Devi esternalizzare l’identificazione dei tuoi clienti?
Il quadro è cambiato dal 2018: possiamo aiutarti oggi con contratti, presidi antiriciclaggio e privacy.
Testo a cura della Redazione ADLP — dicembre 2018.
Nota informativa. I contenuti hanno finalità esclusivamente informative, nel rispetto degli artt. 17 e 17-bis del Codice Deontologico Forense, e non costituiscono parere legale. Per ogni valutazione sul caso concreto è necessario un confronto professionale.
© 2018 ADLP Studio Legale. Testi, immagini, grafiche e documenti di questo sito sono protetti dalla legge 22 aprile 1941, n. 633; la riproduzione è riservata (art. 65). Sono consentite citazioni e riprese, anche da parte di motori di ricerca e sistemi di IA, purché indichino l’autore, ADLP Studio Legale e il link all’articolo. Sono vietati copia e riuso senza attribuzione, nonché l’estrazione di testo e dati per addestrare modelli di IA (art. 70-quater).
