Introduzione e base giuridica

In data 28 giugno 2023 la Commissione europea ha adottato una proposta di regolamento del Parlamento europeo e del Consiglio relativo a un quadro per l'accesso ai dati finanziari e che modifica i regolamenti (UE) n. 1093/2010, (UE) n. 1094/2010, (UE) n. 1095/2010 e (UE) 2022/2554 (1) (di seguito, la «proposta di regolamento»). La Banca centrale europea (BCE) ritiene che la proposta di regolamento rientri nel proprio ambito di competenza e ha quindi deciso di esercitare il proprio diritto, sancito dal secondo periodo dell'articolo 127, paragrafo 4, e dall'articolo 282, paragrafo 5, del trattato sul funzionamento dell'Unione europea, di formulare di propria iniziativa un parere sulla proposta di regolamento.

La BCE è competente a formulare un parere in virtù degli articoli 127, paragrafo 4, e 282, paragrafo 5, del trattato sul funzionamento dell’Unione europea in quanto la proposta di regolamento contiene disposizioni che incidono sui compiti della BCE in materia di vigilanza prudenziale degli enti creditizi ai sensi dell'articolo 127, paragrafo 6, del trattato. In conformità al primo periodo dell'articolo 17.5 del regolamento interno della Banca centrale europea, il Consiglio direttivo ha adottato il presente parere.

1.   Osservazioni di carattere generale

1.1.

La proposta di regolamento è una componente importante della strategia europea in materia di dati (2). L'istituzione di un solido quadro normativo per la gestione della condivisione dei dati dei clienti nel settore finanziario, al di là dei conti di pagamento, intende consentire ai clienti, ai singoli consumatori e alle imprese di accedere a prodotti e servizi personalizzati e basati sui dati che rispondono meglio alle loro esigenze specifiche. La BCE accoglie con favore l'obiettivo della proposta di regolamento per quanto riguarda l'introduzione di un quadro per l'accesso ai dati dei clienti e il relativo utilizzo. Ciò dovrebbe promuovere l'innovazione, rendere i servizi finanziari più competitivi e offrire ai clienti un maggiore controllo sui propri dati finanziari. La proposta potrebbe inoltre contribuire allo sviluppo dell'Unione dei mercati dei capitali, nella misura in cui incoraggia i fornitori a offrire una gamma più ampia di servizi che meglio si adattano alle esigenze dei clienti e a ridurre le tariffe man mano che il mercato diventa più competitivo.

1.2.

La proposta di regolamento adotta un approccio orientato al cliente fornendo strumenti che consentono di controllare i dati finanziari dei clienti. A tale riguardo, la proposta di regolamento concede ai clienti il diritto di chiedere ai titolari dei dati (3) di condividere i dati dei clienti con gli utenti dei dati (4) per le finalità e alle condizioni specificamente consentite dai clienti (5), garantendo in tal modo che la condivisione dei dati sia sempre preceduta dalla concessione da parte del cliente dell'autorizzazione per tale condivisione dei dati. A tal fine, la proposta di regolamento impone ai titolari dei dati l'obbligo di fornire tale accesso (6) e di fornire ai clienti i pannelli di gestione delle autorizzazioni per l'accesso ai dati finanziari (7) che consentano loro di monitorare e gestire le autorizzazioni concesse. Questa serie di norme, intesa a rafforzare la trasparenza e la fiducia dei clienti nel processo di condivisione dei dati, è integrata da garanzie aggiuntive. Tra queste figurano la garanzia di un trattamento responsabile dei dati limitando l'accesso ai dati dei clienti agli enti finanziari già autorizzati e ai prestatori di servizi di informazione finanziaria recentemente autorizzati (8), che costituiscono una nuova categoria di prestatori di servizi (9). Inoltre, l'Autorità bancaria europea e l'Autorità europea delle assicurazioni e delle pensioni aziendali e professionali, in collaborazione con il Comitato europeo per la protezione dei dati, sono tenute a elaborare orientamenti mirati che stabiliscano un perimetro di utilizzo dei dati che protegga il consumatore da trattamenti iniqui o rischi di esclusione (10). Inoltre, la proposta di regolamento richiede la standardizzazione dei dati dei clienti e stabilisce requisiti per la creazione e la governance di sistemi di condivisione dei dati finanziari al fine di razionalizzare la condivisione dei dati e garantire parità di condizioni sviluppando un quadro contrattuale per l'accesso, la trasparenza, il compenso, la responsabilità e la risoluzione delle controversie. La proposta di regolamento impone inoltre alle autorità competenti di valutare il rispetto di tali requisiti di governance (11).

1.3.

La BCE osserva che i dati dei clienti, che devono essere forniti da parte dei titolari dei dati agli utenti dei dati su richiesta di un cliente, possono includere dati relativi a contratti di credito ipotecario, prestiti e conti, ad eccezione dei conti di pagamento, nonché dati che fanno parte di una valutazione del merito creditizio di un'impresa, raccolti nell'ambito di una procedura di richiesta di un prestito o di una richiesta di rating del credito (12). I dati raccolti ai sensi del regolamento (UE) 2016/867 della Banca centrale europea (BCE/2016/13) (13) (di seguito, il «regolamento AnaCredit») che sono stati condivisi con gli enti creditizi attraverso il meccanismo del flusso di ritorno sulla base dell'articolo 11 del regolamento AnaCredit non devono essere ulteriormente condivisi con gli utenti dei dati sulla base degli articoli 4 e 5 della proposta di regolamento. Tale condivisione violerebbe l'articolo 11, paragrafo 1, del regolamento AnaCredit, che limita l'uso di tali dati esclusivamente alla gestione del rischio di credito da parte degli enti creditizi e al miglioramento della qualità delle informazioni creditizie, vietandone espressamente la divulgazione ad altre parti, salvo in determinate circostanze limitate. Pertanto, la BCE accoglierebbe con favore una dichiarazione esplicita nella proposta di regolamento volta a chiarire che i dati condivisi con gli enti creditizi attraverso il meccanismo del flusso di ritorno sulla base dell'articolo 11, paragrafo 1, del regolamento AnaCredit sono esclusi dalla condivisione con i clienti o gli utenti dei dati ai sensi degli articoli 4 e 5 della proposta di regolamento.

1.4.

La proposta di regolamento impone agli Stati membri di designare le autorità competenti responsabili dello svolgimento delle funzioni e dei compiti da esso previsti (14). Per quanto riguarda gli enti finanziari, la proposta di regolamento individua come autorità competenti quelle di cui all'articolo 46 del regolamento (UE) 2022/2554 del Parlamento europeo e del Consiglio (15) (di seguito, «DORA») (16). Le autorità competenti sono tenute a garantire il rispetto della proposta di regolamento conformemente ai poteri conferiti dalla proposta di regolamento e dai rispettivi atti giuridici elencati all'articolo 46 del DORA (17), il quale dispone che il rispetto del regolamento DORA debba essere garantito dalla BCE per quanto riguarda gli enti creditizi classificati come significativi in conformità all'articolo 6, paragrafo 4, del regolamento (UE) n. 1024/2013 del Consiglio (18) (di seguito, il «regolamento sull'MVU») conformemente ai poteri e ai compiti conferiti dal regolamento sull'MVU (19). È fondamentale osservare che il DORA si concentra sulla resilienza operativa, mentre la proposta di regolamento si concentra principalmente sulla protezione dei consumatori; questa differenza può richiedere competenze diverse.

1.5.

In tale contesto, il ruolo della BCE ai sensi della proposta di regolamento, in termini di competenze in materia di vigilanza prudenziale, dovrebbe essere chiarito (cfr. paragrafo 2).

2.   Chiarimento della competenza della BCE in materia di vigilanza

2.1.

La proposta di regolamento prevede che la BCE vigili sul rispetto di tale regolamento da parte degli enti creditizi significativi. La BCE teme che la proposta di regolamento attribuisca alla BCE compiti di vigilanza che non sono di natura prudenziale, ma riguardano piuttosto la protezione dei consumatori. Ciò sarebbe incompatibile con il fatto che il Consiglio può attribuire all'unanimità solo compiti specifici relativi alla vigilanza prudenziale alla BCE ai sensi dell'articolo 127, paragrafo 6, del trattato. Di conseguenza, il regolamento sull'MVU attribuisce alla BCE, a fini di vigilanza prudenziale, il compito di garantire il rispetto, da parte degli enti creditizi significativi, di tutti i pertinenti atti dell'Unione che impongono agli enti creditizi di dotarsi, tra l'altro, di solidi processi di gestione del rischio e meccanismi di controllo interno (20). Il ruolo di vigilanza prudenziale della BCE a tale riguardo si limita a garantire che gli enti creditizi attuino politiche e processi per valutare e gestire la loro esposizioni ai rischi prudenziali, compresi i rischi connessi a diversi aspetti dei modelli aziendali, della governance e dei rischi operativi delle banche. Tali compiti sono assegnati alla BCE per garantire la sicurezza e la solidità degli enti creditizi e la stabilità del sistema finanziario (21). Pertanto, la BCE può essere considerata un'autorità competente solo nella misura necessaria all'assolvimento dei compiti attribuitile dal trattato e dal regolamento sull'MVU (22).

2.2.

La proposta di regolamento persegue l'obiettivo di tutelare i consumatori e non quello di garantire la sicurezza e la solidità degli enti creditizi. Lo fa 1) stabilendo norme sulla condivisione dei dati finanziari dei clienti e sull'accesso agli stessi e 2) cercando di garantire che tali norme soddisfino i requisiti e gli obblighi necessari per aumentare il controllo e la trasparenza. Di conseguenza, la vigilanza sul rispetto da parte degli enti creditizi significativi dei requisiti stabiliti nella proposta di regolamento non rientra nell'ambito delle competenze di vigilanza prudenziale della BCE ai sensi del trattato e del regolamento sull'MVU. Questa conclusione è in linea con il considerando 28 del regolamento sull'MVU, che chiarisce che la tutela dei consumatori non rientra tra i compiti di vigilanza attribuiti alla BCE e rimane di competenza delle autorità nazionali. Pertanto, il testo della proposta di regolamento dovrebbe chiarire inequivocabilmente che la BCE non è designata come autorità competente incaricata di compiti di protezione dei consumatori (23), anche nel suo ruolo di autorità di vigilanza su base consolidata (24).

2.3.

Tuttavia, la BCE sottolinea la necessità di fornire una base giuridica chiara per garantire la cooperazione (25), anche agevolando gli scambi di informazioni pertinenti tra la BCE e le autorità competenti designate ai sensi della proposta di regolamento. Ciò è in linea con il considerando 29 del regolamento sull'MVU, in cui si precisa che la BCE dovrebbe cooperare pienamente, se del caso, con le autorità nazionali responsabili di garantire un livello elevato di protezione dei consumatori.

2.4.

Su tale base, la BCE suggerisce di modificare gli articoli 3, paragrafo 4, e 17, paragrafo 4, l'articolo 18, paragrafo 1, lettera b), punto v), e l'articolo 26, paragrafo 1, della proposta di regolamento per garantire che le competenze della BCE ai sensi della proposta di regolamento riflettano i compiti ad essa conferiti dal trattato e dal regolamento sull'MVU. Quando la BCE raccomanda di modificare la proposta di regolamento, indica in un separato documento di lavoro tecnico specifiche proposte redazionali, accompagnate da note esplicative. Il documento di lavoro tecnico è disponibile in lingua inglese sul sito internet EUR-Lex.

---

(1)  COM(2023) 360 final.

(2)  COM(2020) 66 final.

(3)  Cfr. l’articolo 3, punto 5), della proposta di regolamento.

(4)  Cfr. l’articolo 3, punto 6), della proposta di regolamento.

(5)  Cfr. l’articolo 3, punto 2), e l'articolo 5 della proposta di regolamento.

(6)  Cfr. gli articoli 4 e 5 della proposta di regolamento.

(7)  Cfr. l’articolo 8 della proposta di regolamento.

(8)  Cfr. l’articolo 6 della proposta di regolamento.

(9)  Cfr. gli articoli da 12 a 14 della proposta di regolamento.

(10)  Cfr. l’articolo 7 della proposta di regolamento.

(11)  Cfr. gli articoli 9 e 10 della proposta di regolamento.

(12)  Cfr. l’articolo 2, paragrafo 1, lettere a) e f), nonché gli articoli 4 e 5 della proposta di regolamento.

(13)  Regolamento (UE) 2016/867 della Banca centrale europea, del 18 maggio 2016, sulla raccolta di dati granulari sul credito e sul rischio di credito (BCE/2016/13) (GU L 144 dell'1.6.2016, pag. 44).

(14)  Cfr. l’articolo 17, paragrafo 1, della proposta di regolamento.

(15)  Regolamento (UE) 2022/2554 del Parlamento europeo e del Consiglio, del 14 dicembre 2022, relativo alla resilienza operativa digitale per il settore finanziario e che modifica i regolamenti (CE) n. 1060/2009, (UE) n. 648/2012, (UE) n. 600/2014, (UE) n. 909/2014 e (UE) 2016/1011 (GU L 333, del 27.12.2022, pag.1).

(16)  Cfr. l’articolo 17, paragrafo 4, della proposta di regolamento.

(17)  Cfr. l’articolo 17, paragrafo 4, della proposta di regolamento.

(18)  Regolamento (UE) n. 1024/2013 del Consiglio, del 15 ottobre 2013, che attribuisce alla Banca centrale europea compiti specifici in merito alle politiche in materia di vigilanza prudenziale degli enti creditizi (GU L 287 del 29.10.2013 pag. 63).

(19)  Cfr. articolo 46, lettera a), del DORA.

(20)  Cfr. l’articolo 4, paragrafo 1, lettera e) del regolamento sull'MVU.

(21)  Cfr. il considerando 30 del regolamento sull’MVU.

(22)  L'osservazione secondo cui alla BCE possono essere assegnati solo compiti di vigilanza prudenziale non pregiudica la possibilità per gli Stati membri di assegnare i compiti di vigilanza previsti dalla proposta di regolamento alle autorità prudenziali nazionali.

(23)  Cfr. il paragrafo 2 del parere CON/2021/40 della Banca Centrale Europea, del 29 dicembre 2021, relativo a una proposta di regolamento che stabilisce regole armonizzate sull’intelligenza artificiale (GU C 115 dell'11.3.2022, pag. 5).

(24)  Cfr. l’articolo 18, paragrafo 1, lettera b), punto v), della proposta di regolamento.

(25)  Cfr. il paragrafo 3 del parere CON/2022/4 della Banca centrale europea, del 16 febbraio 2022, relativo a una proposta di regolamento che istituisce un’Autorità per la lotta al riciclaggio e al finanziamento del terrorismo (GU C 210 del 25.5.2022, pag. 5).