FIDA è una proposta di Regolamento Europeo che si propone la creazione di un quadro normativo per l’accesso ai dati finanziari e che modifica numerosi altri regolamenti in ambito finanziario e non solo, tra cui il neonato Digital Operational Resilience Act (cd. DORA), che ha unificato la gestione di rischio operativo delle banche, entrato in vigore meno di un anno fa.
Cos’è FIDA
Questa premessa consente di comprendere la portata dell’obiettivo di questo nuovo regolamento e, anche se potrebbe sembrare curiosa la scelta della Commissione Europea di proporre un regolamento per l’accesso ai dati finanziari, in un momento in cui i cittadini sembra fatichino ancora a controllare, in generale, in modo efficiente l’accesso e la condivisione dei propri dati personali, FIDA rappresenta una pietra miliare per la creazione di un ambiente digitale in grado di ampliare le libertà dei cittadini europei, da un lato, e di proteggere i loro dati finanziari dall’altro.
Queste nuove regole avranno alcune implicazioni per gli istituti finanziari e le società fintech che raccolgono, archiviano ed elaborano i dati dei clienti, oltre che per i clienti stessi. E infatti l’obiettivo dichiarato dalla Commissione è quello di rafforzare i modelli di business innovativi e tecnologici appartenenti alla c.d. “data economy”, in quanto la mancanza di regole chiare sulla condivisione dei dati impedisce, di fatto, l’accesso dei clienti ai propri dati finanziari. Nello specifico, è stato osservato che mancando formati e interfacce di trasferimento standardizzati imposti dalla normativa attuale, si precludono al cliente una serie di possibilità in grado di ampliare la concorrenza del mercato.
In questo contesto, la proposta FIDA, parte di un pacchetto più ampio di norme in ambito di pagamenti digitali e open banking, tra cui la modifica della famosa PSD2, mira a favorire la nascita di nuovi modelli di business e ad aumentare la concorrenza tra gli esistenti. Questo quadro dovrebbe infatti rappresentare la base per consentire ai consumatori e alle imprese di beneficiare di prodotti e servizi finanziari più personalizzati. Sulla base degli insegnamenti tratti dal c.d. open banking, la Commissione ha ritenuto necessario stabilire un quadro di riferimento per l’accesso ai dati individuali e dei clienti in un’ampia gamma di servizi finanziari, al di là dei dati relativi ai conti di pagamento (già oggetto della normativa sull’open banking stesso), aprendo la strada alla c.d. open finance.
L’estensione dell’accesso ai dati finanziari: il quadro di FIDA
FIDA comprenderà sia i dati B2C sia quelli B2B, dati personali e non, che gli istituti finanziari raccolgono, archiviano ed elaborano nell’ambito della loro normale interazione con i clienti, ad eccezione delle categorie di dati riguardanti le valutazioni del merito creditizio delle persone fisiche e le assicurazioni sulla vita, sulla malattia e sulla salute.
Oltre ai dati oggetto di condivisione, vengono introdotti nuovi soggetti sottoposti a specifici obblighi: coloro che detengono i dati dei clienti sono i “titolari dei dati” – in continuità con le definizioni introdotte dal GDPR – mentre gli istituti finanziari che hanno il permesso di accedere ai dati dei clienti sono definiti nella proposta come “utenti dei dati”. La definizione di “istituti finanziari” è ampia e comprende quasi tutti i tipi di istituti regolamentati dalla legislazione europea sui servizi finanziari.
Tra le novità introdotte, ad esempio, il cliente potrà richiedere che i titolari dei dati mettano i dati (inclusi nel perimetro FIDA) a disposizione del cliente stesso, su richiesta presentata per via elettronica, senza ritardi ingiustificati, gratuitamente, in modo continuo e in tempo reale – una sorta di diritto di accesso del GDPR, ma più specifico e più ampio.
Non solo. I titolari dei dati devono mettere i dati dei clienti a disposizione di un utente dei dati su richiesta del cliente, ma solo per gli scopi per i quali il cliente ha concesso l’autorizzazione – questa invece rappresenta una estensione del diritto alla portabilità, già previsto dal GDPR.
È interessante considerare che i titolari e gli utenti dei dati dovranno diventare membri di uno schema di condivisione dei dati finanziari in base al quale concorderanno, tra gli altri aspetti, anche termini contrattuali per la condivisione dei dati standardizzati. Tali schemi mirano a riunire, altresì, le organizzazioni dei consumatori, al fine di sviluppare un approccio alle nuove regole il più possibile condiviso. Questo da un lato offre una maggiore trasparenza, ma dall’altro richiede che il controllo da parte dell’utente sia consapevole: l’educazione finanziaria diventerà, quindi, cruciale.
Nuovi standard di sicurezza in materia di protezione dei dati personali
In questo contesto – già complesso di per sé – FIDA deve necessariamente interfacciarsi con le norme già presenti in materia di sicurezza, incident reporting e protezione dei dati personali.
Nello specifico, nelle comunicazioni tra l’istituto finanziario e il cliente deve essere garantito un livello di sicurezza adeguato, anche con riferimento ai dati personali (leggasi: risk-based approach e articolo 32 GDPR).
Inoltre, vengono imposti meccanismi in grado di tracciare le responsabilità contrattuali degli attori in gioco e la creazione di procedure finalizzate a monitorare, gestire e dare seguito a un incidente di sicurezza e ai reclami dei clienti relativi alla sicurezza, compresi un meccanismo di segnalazione degli incidenti stessi e numerosi altri aspetti più strettamente collegati alla resilienza dei sistemi in base a quanto specificato in DORA.
Conclusioni
La proposta FIDA è solo all’inizio del lungo iter legislativo dell’UE e potrà, quindi, subire varie modifiche. Nel frattempo, gli stakeholders possono partecipare alla consultazione lanciata dalla Commissione per alimentare il futuro dibattito legislativo.
È molto presto per immaginare quali saranno le questioni più controverse durante le prossime discussioni, ma è possibile prevedere che la protezione dei consumatori, la garanzia di condizioni di parità tra i partecipanti e le potenziali evoluzioni del mercato verso il binomio condivisione dati-monetizzazione possano rappresentare nodi cruciali, anche perché gli istituti che si dimostreranno in grado di garantire un elevato livello di sicurezza dei dati e di rispettare la privacy dei propri clienti potranno godere di un vantaggio competitivo nel mercato, aumentando la fiducia dei consumatori.
Infine, non si può non rilevare quanto il proliferare di regolamentazione a livello europeo in materia (anche) di cybersecurity possa – a tendere – creare entropia anche nelle realtà del settore bancario/finanziario, sicuramente tra le più avvezze a gestire tali tipi di ipertrofia normativa.
