DECRETO 3 febbraio 2006, n. 142

4.Nella tenuta dell'archivio previsto all'articolo 9, gli intermediari sono tenuti al rispetto degli obblighi e delle misure di sicurezza contenuti negli articoli da 31 a 36 del codice in materia di protezione dei dati personali.

Note all'art. 12: - Il testo degli articoli 4, comma 1, lettera a), 11, 13 e dal 30 al 36 del citato decreto legislativo 30 giugno 2003, n. 196, e' il seguente: «Art. 4 (Definizioni). - 1. Ai fini del presente codice si intende per: a) «trattamento», qualunque operazione o complesso di operazioni, effettuati anche senza l'ausilio di strumenti elettronici, concernenti la raccolta, la registrazione, l'organizzazione, la conservazione, la consultazione, l'elaborazione, la modificazione, la selezione, l'estrazione, il raffronto, l'utilizzo, l'interconnessione, il blocco, la comunicazione, la diffusione, la cancellazione e la distruzione di dati, anche se non registrati in una banca di dati;». Art. 11 (Modalita' del trattamento e requisiti dei dati). - 1. I dati personali oggetto di trattamento sono: a) trattati in modo lecito e secondo correttezza; b) raccolti e registrati per scopi determinati, espliciti e legittimi, ed utilizzati in altre operazioni del trattamento in termini compatibili con tali scopi; c) esatti e, se necessario, aggiornati; d) pertinenti, completi e non eccedenti rispetto alle finalita' per le quali sono raccolti o successivamente trattati; e) conservati in una forma che consenta l'identificazione dell'interessato per un periodo cli tempo non superiore a quello necessario agli scopi per i quali essi sono stati raccolti o successivamente trattati. 2. I dati personali trattati in violazione della disciplina rilevante in materia di trattamento dei dati personali non possono essere uti1izzati.». Art. 13 (Informativa). - 1. L'interessato o la persona presso la quale sono raccolti i dati personali sono previamente informati oralmente o per iscritto circa: a) le finalita' e le modalita' del trattamento cui sono destinati i dati; b) la natura obbligatoria o facoltativa del conferimento dei dati; c) le conseguenze di un eventuale rifiuto cli rispondere; d) i soggetti o le categorie di soggetti ai quali i dati personali possono essere comunicati o che possono venirne a conoscenza in qualita' di responsabili o incaricati, e l'ambito di diffusione dei dati medesimi; e) i diritti di cui all'art. 7; f) gli estremi identificativi del titolare e, se designati, del rappresentante nel territorio dello Stato ai sensi dell'art. 5 e del responsabile. Quando il titolare ha designato piu' responsabili e' indicato almeno uno di essi, indicando il sito della rete di comunicazione o le modalita' attraverso le quali e' conoscibile in modo agevole l'elenco aggiornato dei responsabili. Quando e' stato designato un responsabile per il riscontro all'interessato in caso di esercizio dei diritti di cui all'art. 7, e' indicato tale responsabile. 2. L'informativa di cui al comma 1 contiene anche gli elementi previsti da specifiche disposizioni del presente codice e puo' non comprendere gli elementi gia' noti alla persona che fornisce i dati o la cui conoscenza puo' ostacolare in concreto l'espletamento, da parte di un soggetto pubblico, di funzioni ispettive o di controllo svolte per finalita' di difesa o sicurezza dello Stato oppure di prevenzione, accertamento o repressione di reati. 3. Il Garante puo' individuare con proprio provvedimento modalita' semplificate per l'informativa fornita in particolare da servizi telefonici di assistenza e informazione al pubblico. 4. Se i dati personali non sono raccolti presso l'interessato, l'informativa di cui al comma 1, comprensiva delle categorie di dati trattati, e' data al medesimo interessato all'atto della registrazione dei dati o, quando e' prevista la loro comunicazione, non oltre la prima comunicazione 5 La disposizione di cui al comma 4 non si applica quando: a) i dati sono trattati in base ad un obbligo previsto dalla legge, da un regolamento o dalla normativa comunitaria; b) i dati sono trattati ai fini dello svolgimento delle investigazioni difensive di cui alla legge 7 dIcembre 2000, n. 397, o, comunque, per far valere o difendere un diritto in sede giudiziaria, sempre che i dati siano trattati esclusivamente per tali finalita' e per il periodo strettamente necessario al loro perseguimento; c) l'informativa all'interessato comporta un impiego di mezzi che il Garante, prescrivendo eventuali misure appropriate, dichiari manifestamente sproporzionati rispetto al diritto tutelato, ovvero si riveli, a giudizio del Garante, impossibile.». «Art. 30 (Incaricati del trattamento). - 1. Le operazioni di trattamento possono essere effettuate Solo da incaricati che operano sotto la diretta autorita' del titolare o del responsabile, attenendosi alle istruzioni impartite. 2. La designazione e' effettuata per iscritto e individua puntualmente l'ambito del trattamento consentito. Si considera tale anche la documentata preposizione della persona fisica ad una unita' per la quale e' individuato, per iscritto, l'ambito del trattamento consentito agli addetti all'unita' medesima.». «Art. 31 (Obblighi di sicurezza). - 1. I dati personali oggetto di trattamento sono custoditi e controllati, anche in relazione alle conoscenze acquisite in base al progresso tecnico, alla natura dei dati e alle specifiche caratteristiche del trattamento, in modo da ridurre al minimo, mediante l'adozione di idonee e preventive misure di sicurezza, i rischi di distruzione o perdita, anche accidentale, dei dati stessi, di accesso non autorizzato o di trattamento non consentito o non conforme alle finalita' della raccolta.». «Art. 32 (Particolari titolari). - 1. Il fornitore di un servizio di comunicazione elettronica accessibile al pubblico adotta ai sensi dell'art. 31 idonee misure tecniche e organizzative adeguate al rischio esistente, per salvaguardare la sicurezza dei suoi servizi, l'integrita' dei dati relativi al traffico, dei dati relativi all'ubicazione e delle comunicazioni elettroniche rispetto ad ogni forma di utilizzazione o cognizione non consentita. 2. Quando la sicurezza del servizio o dei dati personali richiede anche l'adozione di misure che riguardano la rete, il fornitore del servizio di comunicazione elettronica accessibile al pubblico adotta tali misure congiuntamente con il fornitore della rete pubblica di comunicazioni. In caso di mancato accordo, su richiesta di uno dei fornitori, la controversia e' definita dall'Autorita' per le garanzie nelle comunicazioni secondo le modalita' previste dalla normativa vigente. 3. Il fornitore di un servizio di comunicazione elettronica accessibile al pubblico informa gli abbonati e, ove possibile, gli utenti, se sussiste un particolare rischio di violazione della sicurezza della rete, indicando, quando il rischio e' al di fuori dell'ambito di applicazione delle misure che il fornitore stesso e' tenuto ad adottare ai sensi dei commi 1 e 2, tutti i possibili rimedi e i relativi costi presumibili. Analoga informativa e' resa al Garante e all'Autorita' per le garanzie nelle comunicazioni.». «Art. 33 (Misure minime). - 1. Nel quadro dei piu' generali obblighi di sicurezza di cui all'art. 31, o previsti da speciali disposizioni, i titolari del trattamento sono comunque tenuti ad adottare le misure minime individuate nel presente capo o ai sensi dell'art. 58, comma 3, volte ad assicurare un livello minimo di protezione dei dati personali.». Art. 34 (Trattamenti con strumenti elettronici). - 1. Il trattamento di dati personali effettuato con strumenti elettronici e' consentito solo se sono adottate, nei modi previsti dal disciplinare tecnico contenuto nell'allegato B), le seguenti misure minime: a) autenticazione informatica; b) adozione di procedure di gestione delle credenziali di autenticazione; c) utilizzazione di un sistema di autorizzazione; d) aggiornamento periodico dell'individuazione dell'ambito del trattamento consentito ai singoli incaricati e addetti alla gestione o alla manutenzione degli strumenti elettronici; e) protezione degli strumenti elettronici e dei dati rispetto a trattamenti illeciti di dati, ad accessi non consentiti e a determinati programmi informatici; f) adozione di procedure per la custodia di copie di sicurezza, il ripristino della disponibilita' dei dati e dei sistemi; g) tenuta di un aggiornato documento programmatico sulla sicurezza; h) adozione di tecniche di cifratura o di codici identificativi per determinati trattamenti di dati idonei a rivelare lo stato di salute o la vita sessuale effettuati da organismi sanitari.». «Art. 35 (Trattamenti senza l'ausilio di strumenti elettronici). - 1. Il trattamento di dati personali effettuato senza l'ausilio di strumenti elettronici e' consentito solo se sono adottate, nei modi previsti dal disciplinare tecnico contenuto nell'allegato b), le seguenti misure minime: a) aggiornamento periodico dell'individuazione dell'ambito del trattamento consentito ai singoli incaricati o alle unita' organizzative; b) previsione di procedure per un'idonea custodia di atti e documenti affidati agli incaricati per lo svolgimento dei relativi compiti; c) previsione di procedure per la conservazione di determinati atti in archivi ad accesso selezionato e disciplina delle modalita' di accesso finalizzata all'identificazione degli incaricati.». «Art. 36 (Adeguamento). - 1. Il disciplinare tecnico di cui all'allegato B), relativo alle misure minime di cui al presente capo, e' aggiornato periodicamente con decreto del Ministro della giustizia di concerto con il Ministro per le innovazioni e le tecnologie, in relazione all'evoluzione tecnica e all'esperienza maturata nel settore.».

Art. 13

Vicende dell'archivio unico informatico nei processi di trasformazione

1.Nei casi di cessione di dipendenze, di cessione di rami di azienda, di scissione nonche' di fusione, il cessionario, il soggetto risultante dalla fusione ed i soggetti derivanti dalla scissione non devono procedere ad una nuova identificazione in relazione all'apertura dei rapporti trasferiti, salvi i casi di dubbio sull'identita' della clientela e ferma restando la responsabilita' per i casi di omessa o inesatta identificazione.

2.I soggetti cedenti di dipendenze o di rami di azienda devono registrare la chiusura dei rapporti trasferiti entro due mesi dalla data di esecutivita' dell'atto. Qualora da parte di detti soggetti cessi l'attivita' rilevante per l'applicazione del decreto, entro sei mesi dalla data di esecutivita' dell'atto devono trasferire il proprio archivio unico al cessionario che garantira' la conservazione delle registrazioni ricevute e la integrazione delle stesse con le proprie registrazioni.

3.Il soggetto che si scinde deve registrare la chiusura dei rapporti trasferiti entro due mesi dalla data di esecutivita' dell'atto. Qualora il soggetto che si scinde cessi l'attivita' rilevante per l'applicazione del decreto, deve trasferire l'archivio unico, entro sei mesi dalla data di esecutivita' dell'atto, al soggetto derivante dalla scissione che eserciti detta attivita', il quale garantira' la conservazione delle registrazioni ricevute e la integrazione delle stesse con le proprie registrazioni; in caso di pluralita', le informazioni conservate nell'archivio unico saranno trasferite a tutti i soggetti derivanti dalla scissione.

4.In caso di fusione il soggetto che cessa l'attivita' deve registrare, entro due mesi dalla data di esecutivita' dell'atto, la chiusura dei rapporti e trasferire, entro sei mesi dalla stessa data, l'archivio unico all'intermediario incorporante o risultante dalla fusione, il quale garantira' la conservazione delle registrazioni ricevute e la integrazione delle stesse con le proprie registrazioni.

5.L'UIC puo' adottare disposizioni applicative per le modalita' della tenuta dell'archivio unico nei casi di trasformazione dei soggetti indicati nell'articolo 2 del presente regolamento in una diversa forma giuridica ovvero in un diverso soggetto ugualmente compreso tra quelli indicati nell'articolo 2.

6.Al di fuori delle ipotesi previste nei commi precedenti, gli intermediari, nei casi di liquidazione, di procedure concorsuali o in qualsiasi altro evento che comporti la cessazione dell'attivita', registrano la chiusura dei rapporti entro due mesi e trasferiscono l'archivio unico informatico all'UIC entro i successivi quattro mesi.

Art. 14

Eccezioni agli obblighi di identificazione, registrazione e conservazione

1.Gli obblighi, nei termini sopra riportati, non sussistono per le operazioni e i rapporti posti in essere tra intermediari abilitati quando operano esclusivamente in nome e per conto proprio; l'esenzione opera per ambedue gli intermediari abilitati.

2.Parimenti gli obblighi non sussistono per gli intermediari abilitati in relazione alle operazioni e ai rapporti posti in essere con enti creditizi e finanziari e le imprese di assicurazioni che esercitano l'attivita' di assicurazione diretta diversa dall'assicurazione sulla vita debitamente autorizzate ai sensi del decreto legislativo 7 settembre 2005, n. 209 e le relative succursali, cosi' come definiti all'articolo 1, lettera A) e lettera B), n. 2), n. 3) e n. 4) della direttiva, situati in Stati membri dell'Unione europea, nonche' con soggetti cui sia stato attribuito dall'UIC il codice di corrispondente bancario estero.

3.In ogni caso, per le materiali movimentazioni di contante e di titoli al portatore, effettuate anche per il tramite di vettori specializzati, vanno acquisiti e registrati il codice dell'anagrafe dei corrispondenti bancari esteri di banche italiane attribuito dall'UIC, la data, la causale, il codice Paese estero e l'importo dell'operazione, distinguendo mediante apposito codice la parte in contante.

4.Le deroghe di cui al comma 2 non si applicano alle operazioni e rapporti posti in essere con e da soggetti privi di insediamenti fisici in alcun paese secondo quanto previsto dall'articolo 8, comma 6, del presente regolamento.

5.Gli intermediari non sono tenuti agli obblighi di identificazione e di registrazione per i rapporti intrattenuti e per le operazioni poste in essere dai soggetti di cui all'articolo 2, comma 2, dalla lettera b) alla lettera f) del decreto. Resta peraltro fermo in capo agli intermediari l'obbligo di identificazione del cliente, e di registrazione delle operazioni da questi compiute in contropartita con i suddetti soggetti.

6.Gli obblighi sono altresi' esclusi per i conti, i depositi e gli altri rapporti continuativi intrattenuti dagli intermediari con le sezioni di tesoreria provinciale dello Stato, la Banca d'Italia e l'UIC.

7.Non sono sottoposte a registrazione le operazioni contabili di accredito e addebito relative ai Titoli di Stato, effettuate, presso lo stesso intermediario, tra rapporti recanti l'identica intestazione.

Note all'art. 14: - Per il decreto legislativo 7 settembre 2005, n. 209, e la direttiva 91/308/CEE, si vedano le note all'art. 1. - Il testo dell'art. 2, comma 2, del citato decreto legislativo 20 febbraio 2004, n. 56, e' il seguente: «2. Gli obblighi di segnalazione delle operazioni sospette e le disposizioni contenute negli articoli 3, 3-bis e 10 della legge antiriciclaggio si applicano: a) ai soggetti indicati nel comma 1; b) alle societa' di gestione accentrata di strumenti finanziari; c) alle societa' di gestione dei mercati regolamentati di strumenti finanziari e ai soggetti che gestiscono strutture per la negoziazione di strumenti finanziari e di fondi interbancari; d) alle societa' di gestione dei servizi di liquidazione delle operazioni su strumenti finanziari; e) alle societa' di gestione dei sistemi di compensazione e garanzia delle operazioni in strumenti finanziari; f) agli uffici della pubblica amministrazione.».

Parte III DISPOSIZIONI FINALI

Art. 15

Abrogazioni e disposizioni finali e transitorie

1.Sono abrogati il decreto del Ministro del tesoro del 19 dicembre 1991 e del 29 ottobre 1993, nonche' gli articoli da 1 a 5 del decreto del Ministro del tesoro del 7 luglio 1992.

2.Fino all'emanazione di nuove disposizioni applicative ai sensi dell'articolo 8, comma 6, del decreto, continuano ad essere applicate in quanto compatibili, le disposizioni vigenti contenute in decreti ministeriali e in altri provvedimenti attuativi. Il presente decreto munito del sigillo di Stato, sara' inserito nella Raccolta ufficiale degli atti normativi della Repubblica italiana. E' fatto obbligo a chiunque di osservarlo e farlo osservare. Roma, 3 febbraio 2006 Il Ministro: Tremonti Visto, il Guardasigilli: Castelli Registrato alla Corte dei conti il 13 marzo 2006 Ufficio di controllo sui Ministeri economico-finanziari, registro n. 1 Economia e finanze, foglio n. 386

Nota all'art. 15: - Il testo dell'art. 8, comma 6, del citato decreto legislativo 20 febbraio 2004, n. 56, e' il seguente: «6. L'UIC adotta disposizioni applicative sentite le competenti autorita' di vigilanza di settore e le amministrazioni interessate. Per lo svolgimento di approfondimenti sul piano finanziario, l'UIC puo' acquisire dati, notizie e documenti presso i soggetti indicati nell'art. 2.».