Comunicazione dei dati sul traffico internazionale dei pagamenti ai governi esteri nell’ambito dell’applicazione di sanzioni

Nello svolgimento delle loro attività internazionali, gli istituti di credito svizzeri possono essere tenuti a dimostrare a Paesi terzi (in particolare agli Stati Uniti) che rispettano le sanzioni decise da quegli Stati. In caso contrario, a seconda della situazione, gli sbocchi commerciali in quei paesi potrebbero essere ostacolati. Un istituto di credito svizzero ha ipotizzato, nell’ambito del traffico internazionale dei pagamenti in cui operava a titolo di banca di trasferimento, la possibilità di comunicare volontariamente agli Stati Uniti i dati sulle operazioni finanziarie. Dopo aver analizzato i fatti e la situazione giuridica, abbiamo concluso che l’unica prova ammessa per dimostrare il rispetto delle sanzioni è la trasmissione volontaria e anonimizzata dei dati.

Abbiamo accertato per conto di un istituto di credito svizzero in che misura la LPD autorizzi la trasmissione di dati ad autorità estere nell’ambito delle operazioni finanziarie internazionali. Nel caso concreto, l’istituto svizzero rappresentava un anello di congiunzione nella catena del flusso di pagamenti internazionali e intendeva dimostrare alle autorità statunitensi di aver rispettato le sanzioni americane contro l’Iran nell’ambito delle operazioni finanziarie.

Dal momento che il trasferimento dei bonifici comporta il trattamento di dati personali, la LPD è applicabile. Di conseguenza, la trasmissione dei dati delle transazioni è ammissibile solo se non vi è lesione illecita della personalità della persona interessata. Considerando che la trasmissione dei dati delle transazioni alle autorità statunitensi non si fonda su alcuna base legale e che un interesse pubblico o privato preponderante non è manifesto, abbiamo esaminato in che misura si potesse supporre l’esistenza di un consenso implicito.

A questo proposito, l’istituto di credito svizzero ha argomentato che la persona che emette un ordine di bonifico in dollari americani deve attendersi che il trattamento dei dati sia effettuato negli Stati Uniti. Nel mondo della finanza nessuno ignora che, salvo rare eccezioni, le transazioni sui cambi si svolgono nel paese della valuta corrispondente e che perciò le banche nazionali intrattengono relazioni di conto cosiddette «Nostro/Vostro» con le banche estere. Ma si tratta di un fatto che i privati per lo più ignorano e che, a nostro avviso, non può essere dato per scontato. Spetta dunque alla banca del cliente che effettua la transazione in valuta estera (in questo caso in dollari USA) informare il suo cliente che i suoi dati potrebbero essere comunicati a una banca nel paese della valuta estera (in questo caso gli Stati Uniti). Tuttavia, nell'ambito di questo genere di operazioni, la banca che effettua il trasferimento dei dati potrebbe comunque supporre che il cliente sia stato opportunamente informato.

Se l’istituto di credito svizzero ha realmente trasmesso i dati tramite una banca o una sua affiliata negli Stati Uniti e i presupposti legali hanno permesso alle autorità statunitensi di accedere a questi dati, non c’è nulla da obiettare dal punto di vista della protezione dei dati perché, per l’esecuzione del mandato, il cliente ha acconsentito alla trasmissione dei suoi dati all’estero. Per contro, una trasmissione successiva e volontaria di dati alle autorità americane si opporrebbe ai principi di trattamento dei dati (in particolare al principio di opportunità). Siamo dunque giunti alla conclusione che, nel caso concreto, una trasmissione volontaria di dati alle autorità statunitensi non è ammissibile. Per contro, non la legge sulla protezione dei dati non è violata quando le autorità americane consultano i dati relativi alle transazioni, trasmessi negli Stati Uniti presso una filiale dell’istituto di credito svizzero o una banca partner negli Stati Uniti, e sono legalmente legittimate a farlo.

Abbiamo inoltre sottolineato che le sanzioni degli Stati Uniti non sono dirette generalmente contro singole persone, ma contro Stati. Per questo motivo, l’istituto di credito svizzero può anonimizzare i dati della transazione da comunicare, in modo da permettere di risalire allo Stato ed eventualmente alla città di provenienza, ma non all’effettiva identità del mandante e del destinatario. In tal modo, l’istituto di credito svizzero potrebbe dimostrare alle autorità estere di rispettare le sanzioni e, allo stesso tempo, di tenere adeguatamente in considerazione la protezione dei dati.