Il rapporto tra normativa antiriciclaggio e protezione dei dati personali rappresenta uno dei nodi più delicati del panorama regolamentare europeo. Da un lato la necessità di prevenire e contrastare il riciclaggio di denaro e il finanziamento del terrorismo, dall’altro il diritto alla riservatezza sancito dal GDPR e dalle pronunce della Corte di Giustizia UE. Il 2025 e il 2026 hanno portato novità sostanziali che ridisegnano il perimetro entro cui i soggetti obbligati devono muoversi, imponendo un approccio integrato alla compliance e una riflessione approfondita sui presidi da adottare per coniugare trasparenza finanziaria e tutela della persona.
Due discipline che si incontrano: il quadro normativo di riferimento
La convivenza tra normativa antiriciclaggio e disciplina sulla protezione dei dati personali nasce da un presupposto comune, ma genera, nella pratica, tensioni costanti.
Il D.Lgs. 231/2007, novellato dai successivi interventi legislativi, impone ai soggetti obbligati una raccolta sistematica di informazioni sui clienti, sui titolari effettivi e sulle operazioni economiche.
Parallelamente, il Regolamento UE 2016/679 (GDPR) richiede che ogni trattamento di dati personali risponda ai principi di necessità, proporzionalità e minimizzazione.
Il legislatore europeo, con il nuovo pacchetto antiriciclaggio europeo composto dalla VI Direttiva UE 2024/1640, dal Regolamento 2024/1624 (Single Rulebook) e dal Regolamento 2024/1620 istitutivo dell’AMLA, ha confermato che il trattamento dei dati per finalità AML/CFT costituisce un’attività di interesse pubblico.
Ciò non solleva tuttavia i soggetti obbligati dal rispetto delle garanzie poste a tutela dell’interessato, ma anzi richiede uno sforzo organizzativo ulteriore per integrare i due piani normativi.
L’adeguata verifica della clientela e il principio di minimizzazione
L’adeguata verifica della clientela costituisce il cuore operativo del sistema antiriciclaggio.
Banche, professionisti, intermediari finanziari e gli altri soggetti obbligati raccolgono documenti d’identità, codici fiscali, dati reddituali, informazioni sulla provenienza dei fondi e sulla titolarità effettiva delle strutture societarie.
Si tratta di un’attività che, per sua natura, comporta il trattamento di una quantità ingente di dati personali, spesso anche di natura sensibile.
Il Garante per la protezione dei dati personali ha più volte ribadito che tali informazioni devono essere raccolte e conservate esclusivamente per le finalità antiriciclaggio, evitando ogni utilizzo ulteriore o scollegato dalla normativa di riferimento.
Il principio della limitazione della finalità impone dunque un confine netto: i dati raccolti per prevenire il riciclaggio non possono essere riutilizzati per attività commerciali, di marketing o di profilazione.
Le violazioni espongono il titolare del trattamento a sanzioni rilevanti sia sul fronte privacy, sia sul piano della responsabilità organizzativa.
La conservazione dei dati: tempi, modalità e responsabilità
Uno dei punti più discussi riguarda i tempi di conservazione della documentazione antiriciclaggio.
La normativa italiana prevede un periodo di conservazione di dieci anni dalla cessazione del rapporto continuativo o dell’esecuzione della prestazione professionale, in coerenza con i termini civilistici e fiscali.
Questo lungo arco temporale, giustificato dalla necessità di consentire eventuali verifiche da parte delle autorità competenti, deve però essere accompagnato da misure tecniche e organizzative adeguate a proteggere i dati da accessi non autorizzati, perdite o trattamenti illeciti.
La conservazione su archivi cartacei o digitali richiede sistemi di cifratura, gestione granulare dei permessi di accesso e tracciatura delle consultazioni.
La distruzione dei documenti, una volta decorso il termine, deve avvenire secondo procedure documentate, perché un’errata gestione del fine vita del dato espone il soggetto obbligato a contestazioni tanto sotto il profilo AML quanto sotto quello del GDPR.
Il registro dei titolari effettivi e la pronuncia della Corte di Giustizia UE
Il caso del registro dei titolari effettivi è emblematico della tensione tra trasparenza e privacy.
La Corte di Giustizia dell’Unione Europea, con la sentenza del novembre 2022, ha censurato l’accesso indiscriminato al registro, ritenendolo sproporzionato rispetto agli obiettivi perseguiti.
La pronuncia ha imposto al legislatore italiano un’opera di riadeguamento, sfociata nello schema di decreto approvato a fine 2025, che restringe la platea dei soggetti autorizzati alla consultazione.
L’accesso resta garantito alle autorità competenti, alla UIF, alla Guardia di Finanza e ai soggetti obbligati nell’esercizio dei propri obblighi di adeguata verifica.
Per i privati, invece, viene richiesta la dimostrazione di un interesse giuridico qualificato e differenziato.
Si tratta di un passaggio decisivo, che ridisegna il bilanciamento tra il diritto alla trasparenza societaria e il diritto del singolo a non vedere esposti pubblicamente i propri dati personali, soprattutto in contesti in cui tale esposizione potrebbe generare rischi concreti per la sicurezza fisica ed economica.
Il ruolo del Garante Privacy nella riforma europea
La Legge 91/2025, che delega il Governo italiano al recepimento della VI Direttiva UE 2024/1640, prevede espressamente il coinvolgimento del Garante per la protezione dei dati personali nell’iter di adozione dei decreti attuativi.
È una scelta che riconosce la centralità del Garante come custode del corretto bilanciamento tra antiriciclaggio e privacy e che mira a prevenire conflitti interpretativi sin dalla fase normativa.
L’Autorità sarà chiamata a esprimere pareri vincolanti sui profili di trattamento dei dati personali, sulle modalità di accesso ai registri, sui flussi informativi verso la UIF e verso l’AMLA, la nuova autorità europea antiriciclaggio con sede a Francoforte.
Il coordinamento tra Garante, UIF e Banca d’Italia diventerà cruciale per garantire che gli adempimenti antiriciclaggio non si traducano in trattamenti eccessivi, sproporzionati o privi di adeguate garanzie procedurali per i soggetti interessati.
Le sfide per i soggetti obbligati: verso una compliance integrata
Per banche, intermediari finanziari, commercialisti, notai, avvocati e operatori del settore del gioco, la sfida dei prossimi mesi sarà quella di costruire un sistema di compliance integrata.
Non sarà più sufficiente predisporre presidi separati per gli adempimenti AML e per la conformità al GDPR.
Occorrerà adottare un approccio unitario, che parta dalla mappatura dei trattamenti, prosegua con l’analisi dei rischi e si concretizzi in procedure operative capaci di rispondere a entrambe le esigenze.
La formazione del personale antiriciclaggio diventa un elemento imprescindibile, così come l’aggiornamento costante delle policy interne in funzione delle novità introdotte dall’AMLA, dei Regulatory Technical Standards dell’EBA e degli orientamenti del Garante.
Solo un approccio integrato, basato sulla cultura della prevenzione e sulla consapevolezza dei diritti dei soggetti coinvolti, consentirà di trasformare l’apparente conflitto tra antiriciclaggio e privacy in una sinergia virtuosa, capace di tutelare contemporaneamente la legalità economica e la dignità della persona.
