Art. 32 — Modalità di conservazione dei dati e delle informazioni
I soggetti obbligati adottano sistemi di conservazione dei documenti, dei dati e delle informazioni idonei a garantire il rispetto delle norme dettate dal codice in materia di protezione dei dati personali nonché il trattamento dei medesimi esclusivamente per le finalità di cui al presente decreto.
Le modalità di conservazione adottate devono prevenire qualsiasi perdita dei dati e delle informazioni ed essere idonee a garantire la ricostruzione dell'operatività o attività del cliente nonché l'indicazione esplicita dei soggetti legittimati ad alimentare il sistema di conservazione e accedere ai dati e alle informazioni ivi conservati. Le predette modalità devono, altresì, assicurare:
a) l'accessibilità completa e tempestiva ai dati e alle informazioni da parte delle autorità di cui all'articolo 21-bis, comma 1, lettere a ) e b ) ;
b) la tempestiva acquisizione, da parte del soggetto obbligato, dei documenti, dei dati e delle informazioni, con indicazione della relativa data. È considerata tempestiva l'acquisizione conclusa entro trenta giorni dall'instaurazione del rapporto continuativo o dal conferimento dell'incarico per lo svolgimento della prestazione professionale, dall'esecuzione dell'operazione o della prestazione professionale, dalla variazione e dalla chiusura del rapporto continuativo o della prestazione professionale;
c) l'integrità dei dati e delle informazioni e la non alterabilità dei medesimi successivamente alla loro acquisizione; d) la trasparenza, la completezza e la chiarezza dei dati e delle informazioni nonché il mantenimento della storicità dei medesimi.
I soggetti obbligati possono avvalersi, per la conservazione dei documenti, dei dati e delle informazioni, di un autonomo centro di servizi, ferma restando la responsabilità del soggetto obbligato e purché sia assicurato a quest'ultimo l'accesso diretto e immediato al sistema di conservazione.
Note di aggiornamento (1)
(23) Il D.Lgs. 25 maggio 2017, n. 90 ha disposto (con l'art. 9, comma 1) che "Le disposizioni emanate dalle autorità di vigilanza di settore, ai sensi di norme abrogate o sostituite per effetto del presente decreto, continuano a trovare applicazione fino al 31 marzo 2018".
Spiegazione
I soggetti obbligati devono conservare documenti, dati e informazioni in sistemi sicuri, protetti e utilizzati solo per gli scopi antiriciclaggio. Il sistema deve consentire di ricostruire la storia dei rapporti con il cliente, evitare perdite o modifiche e indicare chi può inserire o consultare i dati. La raccolta deve essere completata entro trenta giorni dall’evento rilevante, come l’apertura, la variazione o la chiusura del rapporto, oppure dall’operazione o dall’incarico professionale. È possibile affidare la conservazione a un centro esterno, ma il soggetto obbligato resta responsabile e deve poter accedere direttamente e immediatamente ai dati.
Perché esiste questa norma
La norma tutela la disponibilità, l’affidabilità e la tracciabilità delle informazioni utili a prevenire e accertare il riciclaggio. Impone inoltre garanzie di riservatezza e integrità, così da evitare dispersioni, alterazioni o utilizzi dei dati estranei alle finalità previste.
Domande frequenti
Per quanto tempo ho per inserire i documenti e i dati nel sistema?
L’acquisizione deve concludersi entro trenta giorni dall’instaurazione, variazione o chiusura del rapporto, dal conferimento dell’incarico oppure dall’esecuzione dell’operazione o della prestazione professionale.
Chi può vedere le informazioni conservate?
Devono essere individuati espressamente i soggetti autorizzati a inserire dati e ad accedere alle informazioni. Il sistema deve inoltre garantire l’accesso completo e tempestivo alle autorità indicate dalla norma.
I dati già registrati possono essere modificati o cancellati?
Il sistema deve impedire alterazioni successive all’acquisizione e preservare la storicità. Deve inoltre prevenire la perdita dei dati e mantenere informazioni trasparenti, complete e comprensibili.
Posso affidare la conservazione dei documenti a un fornitore esterno?
Sì, è possibile utilizzare un autonomo centro di servizi. Tuttavia, il soggetto obbligato conserva la responsabilità e deve mantenere un accesso diretto e immediato al sistema.
I dati raccolti per l’antiriciclaggio possono essere usati per altri scopi?
No. I documenti, i dati e le informazioni devono essere trattati esclusivamente per le finalità previste dalla disciplina antiriciclaggio, nel rispetto delle norme sulla protezione dei dati personali.