Dall'EDPB due nuovi pareri per un uso equo e proporzionato dei dati personali in pagamenti digitali e servizi finanziari
L’European Data Protection Board ha pubblicato due nuovi pareri in materia di fintech, uno sulla proposta di regolamento sull’accesso ai dati finanziari e uno sulla proposta di regolamento e direttiva sui servizi di pagamento nel mercato interno dell’UE.
Entrambe le proposte dei garanti europei (EDPB) mirano a favorire la condivisione dei dati per ampliare l’offerta di servizi e prodotti finanziari, fornendo allo stesso tempo a privati ed organizzazioni il controllo sul trattamento dei propri dati finanziari.
Secondo le proposte, i privati e le organizzazioni gestirebbero l’accesso ai propri dati finanziari utilizzando dashboard forniti dagli istituti finanziari. Ciò consentirebbe agli interessati di monitorare, limitare o concedere l’accesso alle proprie informazioni.
Il Garante per la privacy europeo (EDPS) sottolinea che, per raggiungere questo obiettivo, le persone o le organizzazioni dovrebbero ricevere informazioni complete, precise e chiare sul fornitore del servizio finanziario che richiede l'accesso ai loro dati. Dovrebbero essere comunicate anche informazioni sul tipo di prodotto, pagamento o servizio per il quale verrebbero utilizzati i dati personali di un individuo e i tipi di dati richiesti. Il Garante europeo accoglie con favore gli sforzi compiuti per garantire la coerenza delle proposte con il Regolamento europeo sulla protezione dei dati (GDPR).
Entrambe le proposte dovrebbero specificare che la concessione di “autorizzazioni” per accedere ai dati finanziari non equivale a dare il consenso ai sensi del GDPR.
Allo stesso modo, tutti i trattamenti di dati personali a seguito di una richiesta di accesso ai dati finanziari di un individuo devono avere una base giuridica adeguata ai sensi del GDPR.
A tal proposito, il Garante europeo Wojciech Wiewiórowski ha dichiarato: “Una maggiore condivisione dei dati finanziari dovrebbe aprire nuove opportunità per i singoli individui, non chiudere porte. Senza confini chiari si potrebbe verificare un aumento dei prezzi per importanti servizi finanziari o l’esclusione di clienti con un profilo di rischio sfavorevole. Le autorità finanziarie e le autorità di protezione dei dati dovranno cooperare strettamente per garantire che le persone e i loro diritti fondamentali siano tutelati”.
Oltre a queste osservazioni generali, il Garante europeo formula raccomandazioni specifiche per ciascuna proposta. Considerati i dati personali altamente sensibili che possono essere condivisi nel contesto del proposto quadro per l’accesso ai dati finanziari, l’EDPS accoglie con favore lo sviluppo di linee guida per stabilire i limiti per il trattamento dei dati personali delle persone in relazione ai servizi finanziari, e raccomanda di circoscrivere chiaramente i tipi di dati personali che possono essere trattati e di escludere i dati ottenuti attraverso la profilazione di un individuo.
Per garantire che queste linee guida siano conformi alla normativa sulla protezione dei dati, compreso il GDPR, il Garante europeo raccomanda che l’European Data Protection Board sia formalmente consultato prima della loro adozione.
Il Garante UE consiglia inoltre che le linee guida approfondiscano i limiti della combinazione delle informazioni finanziarie delle persone con altri tipi di informazioni personali, come i dati personali ottenuti da fonti terze, come le reti di social media. Tale pratica è già esplicitamente vietata nella legislazione settoriale su determinati servizi finanziari.
Affrontando il Regolamento e la Direttiva sui servizi di pagamento, l’EDPS fornisce raccomandazioni sulla prevenzione delle frodi, affermando che le categorie di dati personali che i prestatori di servizi di pagamento trattano in questo contesto dovrebbero essere chiaramente definite e limitate a quanto strettamente necessario.
Rassicurando che continuerà a monitorare lo sviluppo di queste proposte e di eventuali ulteriori misure di attuazione previste, il Garante europeo raccomanda infine che il regolamento specifichi quale tipo di servizio di pagamento e quali prestatori di servizi di pagamento sarebbero autorizzati a trattare categorie particolari di dati personali.
Fonte: European Data Protection Board
