Capire la compliance dell'identità digitale

Perché la compliance è importante

I controlli d'identità si trovano spesso all'interno di processi regolamentati: apertura di conti, controlli dell'età, pagamenti e servizi finanziari. In questi processi il controllo non è solo una misura antifrode. È anche la prova che l'azienda ha adempiuto a un obbligo, e questa prova potrebbe dover reggere mesi o anni dopo, durante un audit o un controllo dell'autorità di vigilanza.

I requisiti variano da mercato a mercato. Lo stesso prodotto può essere soggetto a regole diverse a Zurigo, Berlino e Lisbona, e a regole ancora diverse a seconda che disponga di una licenza finanziaria, venda prodotti con limiti d'età o voglia semplicemente tenere lontani gli account falsi. Il lavoro di compliance inizia dal capire quale di queste situazioni vi riguarda.

Questo articolo offre una panoramica generale. Non è una consulenza legale, e i dettagli dei vostri obblighi dipendono dalla vostra licenza, dal vostro settore e dai mercati in cui operate. Verificateli con il vostro team legale o di compliance.

L'adeguata verifica della clientela in termini generali

Nei settori regolamentati, la maggior parte degli obblighi legati all'identità deriva dalle norme antiriciclaggio. L'etichetta abituale è KYC, e il processo sottostante è l'adeguata verifica della clientela. A grandi linee, chiede all'azienda di:

• Identificare il cliente. Raccogliere nome, data di nascita e altri dati identificativi.
• Verificare l'identità. Controllare i dati su una fonte affidabile, di solito un documento d'identità, e confermare che la persona che lo presenta ne sia il titolare.
• Comprendere la relazione. Sapere a cosa serve il conto e, per le società, chi sono gli aventi economicamente diritto.
• Monitorare nel tempo. Mantenere aggiornate le informazioni e reagire quando l'attività non corrisponde più al profilo.

La profondità di ciascun passaggio dovrebbe crescere con il rischio. Un conto di basso valore può richiedere controlli semplificati, mentre un cliente o una giurisdizione ad alto rischio richiedono una verifica rafforzata. È proprio questo approccio basato sul rischio a permettere all'azienda di usare flussi più leggeri dove sono giustificati e più severi dove servono. Il quadro AML fissa il risultato da raggiungere; come progettate il flusso dipende in larga misura da voi.

Svizzera

In Svizzera, per la verifica dell'identità contano soprattutto due gruppi di norme.

La legge federale sulla protezione dei dati riveduta (nLPD) è in vigore dal 1° settembre 2023. Ha avvicinato la struttura del diritto svizzero al GDPR, con principi come la limitazione della finalità, la proporzionalità, la protezione dei dati fin dalla progettazione e per impostazione predefinita. I dati biometrici che identificano univocamente una persona sono considerati dati personali degni di particolare protezione, il che alza l'asticella per il modo in cui vengono trattati, spiegati agli utenti e protetti. Un confronto facciale usato per confermare il titolare di un documento rientra in questa categoria.

Le norme antiriciclaggio si applicano agli intermediari finanziari, come banche, fornitori di servizi di pagamento, gestori patrimoniali e molte aziende crypto. Queste norme, insieme alle indicazioni dell'autorità di vigilanza e degli organismi di autodisciplina, stabiliscono come devono essere identificati i clienti, compresi i requisiti per l'onboarding a distanza. Le regole esatte dipendono dalla licenza e dal tipo di vigilanza a cui è sottoposta l'azienda. La nostra pagina sulla copertura per la Svizzera elenca i documenti supportati per il mercato svizzero.

Unione europea

Nell'UE il trattamento dei dati personali è disciplinato dal GDPR. I dati biometrici usati per identificare in modo univoco una persona sono una categoria particolare di dati, per cui l'azienda ha bisogno sia di una base giuridica sia di una condizione applicabile per trattarli, oltre ai consueti obblighi di trasparenza, sicurezza e rispetto dei diritti degli interessati.

Sul fronte antiriciclaggio, l'UE ha adottato un pacchetto che sostituisce gran parte del vecchio approccio basato sulle direttive con un regolamento direttamente applicabile, l'AMLR, in vigore da luglio 2027. Un corpus unico di regole dovrebbe ridurre le differenze tra gli Stati membri, ma prima di quella data le aziende dovranno rivedere le proprie procedure di adeguata verifica alla luce del nuovo regolamento.

eIDAS 2.0 introduce il portafoglio europeo di identità digitale, che gli Stati membri sono tenuti a offrire ai cittadini. Con il tempo i portafogli potrebbero diventare un modo accettato per condividere attributi verificati, come la prova dell'età o dell'identità, senza consegnare l'immagine completa di un documento. Conviene progettare il flusso in modo da poter aggiungere in seguito una nuova fonte di prova senza ricostruire tutto.

Aspetti transfrontalieri

Residenza dei dati, conservazione e ciò che conservate dopo un controllo cambiano a seconda della giurisdizione. Pianificate lo stack prima di crescere.

In quasi ogni progetto transfrontaliero emergono tre domande:

1. Dove vengono trattati e conservati i dati? I trasferimenti fuori dalla Svizzera o dall'UE richiedono una base giuridica, e alcuni clienti o autorità di vigilanza si aspettano che i dati restino in un Paese specifico. Consultate la voce del nostro glossario sulla residenza dei dati.
2. Quali subresponsabili hanno accesso ai dati? Siete responsabili dell'intera catena dei vostri fornitori. Chiedete un elenco aggiornato, come la nostra pagina sui subresponsabili, e confrontatelo con il vostro registro delle attività di trattamento.
3. Quali documenti sono accettati? La copertura di passaporti, carte d'identità e permessi di soggiorno varia da Paese a Paese, e alcuni documenti hanno un chip NFC mentre altri no.

Conservazione e tracciabilità

Due obblighi vanno in direzioni opposte. Le norme antiriciclaggio richiedono spesso di conservare la documentazione sull'identificazione per un periodo definito dopo la fine della relazione. Le norme sulla protezione dei dati impongono di non conservare nulla più a lungo del necessario.

La soluzione pratica è separare ciò che conservate da ciò che eliminate:

Qualunque cosa conserviate, fate in modo che sia ricostruibile. Un revisore deve poter vedere quali controlli sono stati eseguiti, quale versione del flusso è stata usata, qual è stato l'esito e chi ha esaminato eventuali casi manuali.

Indicazioni pratiche

Scegliete controlli adeguati al vostro rischio e ai vostri obblighi. La verifica deve sostenere la compliance senza diventare il collo di bottiglia del prodotto.

Una breve checklist prima del lancio:

• Associate ogni mercato alle norme che si applicano alla vostra licenza e al vostro settore.
• Definite le fasce di rischio e i controlli richiesti per ciascuna.
• Documentate la base giuridica per il trattamento dei dati biometrici.
• Fissate i tempi di conservazione per tipo di dato e automatizzate la cancellazione.
• Verificate dove sono ospitati i dati e quali subresponsabili sono coinvolti.
• Assicuratevi che ogni decisione lasci una traccia verificabile.

secuveri è pensato per questo tipo di configurazione. I dati vengono trattati e conservati in Svizzera, è disponibile l'installazione on-premise e scegliete voi quali controlli eseguire in ogni flusso. Se volete discutere di un mercato specifico, prenotate una chiamata.