La Commissione Europea ha pubblicato una proposta di Regolamento che disciplina il cosiddetto “Open Finance”, ossia l’accesso, la condivisione e l’utilizzo dei dati finanziari (Financial Data Access o “FIDA”) dei clienti (includendo sia consumatori sia persone giuridiche) nell’ambito dei servizi finanziari (intesi in senso lato). L’Open Finance espande l’Open Banking, introdotto dalla Direttiva Ue 2366/2015 (PSD2) e non è un caso che la proposta di Regolamento sia inclusa nel medesimo pacchetto della proposta di revisione della PSD2.
Gli obiettivi
La proposta di Regolamento è finalizzata a permettere ai consumatori di avere un controllo effettivo sui propri dati finanziari e di beneficiare della possibilità di condividere tali dati in sicurezza per accedere a servizi innovativi offerti dai soggetti vigilati.
La proposta di Regolamento include tra i “dati finanziari” quelli rinvenibili da:
- contratti di credito ipotecario, prestiti e conti (diversi però dai conti di pagamento di cui alla PSD2);
- conti di deposito, investimenti in strumenti finanziari, prodotti di investimento assicurativo, crypto-asset, immobili e altre attività finanziarie, inclusi i dati raccolti per lo svolgimento delle valutazioni di adeguatezza e appropriatezza;
- prodotti pensionistici;
- assicurazioni non-vita (diverse da assicurazioni sanitarie o contro il rischio malattia), inclusi i dati raccolti per la valutazione delle esigenze e dei bisogni del cliente o, se del caso, per la valutazione di adeguatezza o appropriatezza;
- procedure di valutazione del merito creditizio svolta ai fini della concessione di un prestito o nell’ambito di una richiesta di credit rating.
L’accesso o la condivisione di questi dati presuppone sempre il consenso del cliente interessato, che può revocarlo in qualsiasi momento.
Tra data holder e data user
La proposta di Regolamento distingue due figure fondamentali, i “data holder” e i “data user”: i primi sono soggetti vigilati che raccolgono, conservano o svolgono qualsiasi altro trattamento dei dati finanziari; i secondi, invece, sono quei soggetti che, muniti dell’autorizzazione al trattamento dei dati finanziari da parte del cliente, possono accedere a tali dati e usarli. I data holder sono tenuti a predisporre adeguate interfacce (cosiddette “API”) per consentire l’accesso ai dati dei clienti a favore dei data user.
I soggetti destinatari della proposta di Regolamento sono i data user e i data holder, ossia (salve specifiche esenzioni) banche, istituti di pagamento, istituti di moneta elettronica, imprese di investimento, fornitori di servizi in crypto-asset, emittenti di stablecoin, gestori di Fia e di Oicvm, imprese di assicurazione o riassicurazione nonché i relativi intermediari, anche a titolo accessorio, agenzie di rating, fornitori di servizi di crowdfunding o di prodotti pensionistici paneuropei e, infine, i fornitori di servizi di informazioni finanziarie.
Una nuova figura sul mercato
La proposta di Regolamento introduce questa nuova figura dei fornitori di servizi di informazioni finanziarie che sono “data user” (diversi dai soggetti vigilati) autorizzati specificamente ad accedere ai dati finanziari dei clienti per la prestazione di servizi di informazione finanziaria. Quanto al contenuto di tali servizi, sarà necessario attendere l’intervento delle Autorità di Vigilanza europee. Nel frattempo, la proposta di Regolamento disciplina il procedimento autorizzativo che si avvia con un’apposita domanda, corredata da documentazione a supporto, che include – inter alia – un programma di attività, un business plan triennale, le procedure interne per garantire la sicurezza dei dati, i piani per la gestione di incidenti di sicurezza, e la continuità operativa in caso di interruzioni o incidenti.
Per perseguire le finalità sopra illustrate, la proposta di Regolamento intende disciplinare:
- la possibilità per i clienti di condividere i propri dati finanziari con i data user in sicurezza;
- l’obbligo per i data holder di rendere disponibili i dati dei clienti ai data user;
- il diritto dei clienti al pieno controllo dei dati finanziari e degli accessi agli stessi;
- la standardizzazione dei requisiti tecnici e dei dati dei clienti per agevolare accesso e condivisione dei dati;
- il regime di responsabilità dei soggetti coinvolti in caso di violazioni normative per ridurre i rischi derivanti dall’accesso o dalla condivisione dei dati;
- gli incentivi per i data holder di predisporre e offrire interfacce di alta qualità per i data user a fronte di un compenso ragionevole.
In questo modo, le nuove regole potranno permettere lo sviluppo di servizi e prodotti innovativi e personalizzati per i clienti, automatizzando e agevolando l’accessibilità di determinati prodotti (ad esempio finanziamenti e investimenti); l’accesso ai dati permetterà anche ai soggetti vigilati di fornire prodotti e servizi più competitivi.