La condivisione delle informazioni e i suoi limiti
Leggi l’edizione PDF (2 pagine)
Un programma di gruppo presuppone che ciascuna delle due entità sappia ciò che l’altra sa sui clienti comuni. Quattro vincoli giuridici delimitano ciò che può essere condiviso.
Il primo è il divieto di tipping-off. La s. 57 CDSA di Singapore non prevede alcuna eccezione espressa per le comunicazioni infragruppo. Comunicare che è stata presentata una STR è quindi lecito solo se non rivela informazioni idonee a pregiudicare un’indagine ed è effettuato nei confronti di persone che a loro volta non le divulgheranno ulteriormente. Il diritto svizzero è più esplicito. L’art. 10a LRD vieta all’intermediario segnalante di informare della segnalazione le persone interessate o terzi, ma consente di informarne un altro intermediario finanziario soggetto alla LRD, se ciò è necessario a fini antiriciclaggio ed entrambi appartengono allo stesso gruppo.1 Il protocollo di gruppo dovrebbe pertanto consentire all’entità svizzera di informare l’entità di Singapore di una segnalazione svizzera nei termini consentiti dall’art. 10a. L’entità di Singapore dovrebbe informare l’entità svizzera di una segnalazione di Singapore soltanto nella forma limitata di una notifica di evento di rischio e di variazione della classificazione del rischio, circoscritta ai compliance officer e documentata.
Il secondo è il diritto penale svizzero sui segreti d’affari. L’art. 273 del Codice penale svizzero (CP; StGB) punisce chi rende accessibile un segreto di fabbricazione o d’affari a un organismo ufficiale estero o a un’organizzazione privata estera. Le banche svizzere considerano da tempo i dati dei clienti come rientranti in tale norma.2 Un custode affiliato a un OAD non è vincolato dal segreto bancario ai sensi dell’art. 47 LBCR, ma l’art. 273 CP gli si applica. Il trasferimento dei dati dei clienti svizzeri all’affiliata di Singapore per finalità antiriciclaggio di gruppo è ampiamente ritenuto lecito quando il cliente vi ha acconsentito nelle condizioni del conto e il trasferimento è necessario per la compliance del gruppo. Il consenso deve essere espresso e la finalità documentata. La Parte F, Capitolo IX tratta compiutamente la questione.
Il terzo è la protezione dei dati. La legge federale svizzera sulla protezione dei dati consente il trasferimento transfrontaliero verso Paesi con una protezione adeguata secondo l’elenco del Consiglio federale e richiede altrimenti garanzie quali le clausole contrattuali tipo. Singapore non figura nell’elenco svizzero dell’adeguatezza, sicché il gruppo necessita di un accordo infragruppo sul trasferimento dei dati che incorpori le clausole tipo svizzere o dell’UE.3 Nella direzione opposta, l’obbligo di limitazione dei trasferimenti previsto dal PDPA impone all’entità di Singapore di assicurarsi che il destinatario svizzero sia vincolato a uno standard comparabile, risultato che lo stesso accordo infragruppo consente di conseguire (Capitolo III, Sezione 8).4 L’accordo dovrebbe riguardare specificamente i dati di compliance, compresi i risultati delle analisi e le notifiche di rischio connesse alle STR, poiché si tratta delle categorie più sensibili.
Il quarto è la cooperazione tra i regolatori stessi. La MAS e la FINMA hanno sottoscritto nel settembre 2016 un accordo di cooperazione in materia di fintech ed entrambe sono parti del memorandum dell’IOSCO e di altri memorandum multilaterali che consentono lo scambio di informazioni di vigilanza.5 Un gruppo dovrebbe presumere che ciò che un regolatore apprende su un cliente comune o su una carenza comune nei controlli possa giungere all’altro. La conseguenza pratica è che il rimedio a un rilievo in un’entità dovrebbe essere applicato anche nell’altra prima che il secondo regolatore lo chieda.
Note
- LRD, art. 10a cpv. 1–3 (divieto d’informazione, con eccezioni per gli intermediari finanziari appartenenti allo stesso gruppo e per gli intermediari coinvolti nella stessa operazione). ↩
- Codice penale svizzero (CP; StGB, RS 311.0), art. 273 (spionaggio economico); l’art. 47 della legge sulle banche si applica solo alle banche e alle società di intermediazione mobiliare e non si estende a un custode affiliato a un OAD, mentre l’art. 273 CP si applica a tutti. ↩
- Legge federale sulla protezione dei dati (LPD; DSG, RS 235.1), art. 16 (comunicazione all’estero) e allegato 1 all’ordinanza sulla protezione dei dati (OPDa; DSV, RS 235.11), che elenca gli Stati con una protezione adeguata; Singapore non vi figura. ↩
- Personal Data Protection Act 2012, s. 26 e Personal Data Protection Regulations 2021, reg. 10. ↩
- MAS e FINMA, Cooperation Agreement on FinTech, 12 settembre 2016; legge sulla vigilanza dei mercati finanziari (LFINMA; FINMAG, RS 956.1), art. 42 (assistenza amministrativa); Monetary Authority of Singapore Act 1970, parte sull’assistenza alle autorità di regolamentazione estere. ↩
Solo a scopo informativo generale. Il presente articolo non costituisce consulenza legale o fiscale, non sostituisce la consulenza sul singolo caso e non instaura alcun rapporto tra avvocato e cliente. Riflette la situazione giuridica aggiornata a novembre 2026.