L'Unione europea sta lavorando ormai da alcuni anni alla produzione di normative volte alla creazione di un mercato unico dei dati (personali e non) a livello europeo. Nel 2020 hanno preso il via la Strategia europea in materia di dati (European Data Strategy) e la Strategia per la finanza digitale (Digital Finance Strategy), e sono proseguiti i lavori per la determinazione di norme per la raccolta, la gestione e la circolazione dei dati. In questo contesto nasce la proposta di regolamento del Parlamento europeo e del Consiglio relativo a un framework per l'accesso ai dati finanziari (Financial Data Access - FIDA), che si affianca al Data Act, entrato in vigore l'11 gennaio 2024. In questo articolo ci soffermiamo sul framework FIDA: vedremo che cos'è, quali sono gli obiettivi, come funziona la condivisione dei dati e qual è il possibile impatto che avrà sul settore dei servizi finanziari.

Contenuto dell'articolo

• Che cos'è il Financial Data Access (FIDA)
  
• Obiettivi del FIDA
  
• Ambito di applicazione
  
• Condivisione dei dati
  
• Prestatori di servizi di informazione finanziaria
  
• Tempistiche di attuazione del FIDA
  
• Possibile impatto sul settore dei servizi finanziari
  

Che cos'è il Financial Data Access (FIDA)

Il 28 giugno 2023 la commissione europea ha presentato una proposta del regolamento volto a migliorare l'accesso e la condivisione dei dati finanziari all'interno dell'UE, chiamato FIDA (Financial Data Access). Il framework FIDA si inserisce all'interno di una più ampia strategia dell'Unione europea per la creazione di un sistema di open finance, finalizzato a consentire la condivisione dei dati degli utenti tra i soggetti operanti nel settore bancario, dei servizi assicurativi, di investimento, di pagamento e finanziari, partendo dalle norme che disciplinano il fenomeno dell'open banking introdotte con l'attuale PSD2 (la Direttiva europea che ha l'obiettivo di rendere più sicuri e convenienti i servizi di pagamento per gli Stati membri) e ulteriormente aggiornate con la nuova PSD3.

Il Regolamento FIDA fa parte della European Data Strategy, lanciata dalla Commissione europea, che, secondo la comunicazione della Commissione del 19 febbraio 2020, mira a "creare uno spazio unico europeo di dati – un autentico mercato unico di dati, aperto ai dati provenienti da tutto il mondo – nel quale sia i dati personali sia quelli non personali, compresi i dati commerciali sensibili, siano sicuri e le imprese abbiano facilmente accesso a una quantità pressoché infinita di dati industriali di elevata qualità, che stimolino la crescita e creino valore, riducendo nel contempo al minimo la nostra impronta di carbonio e ambientale".

È importante specificare che, come specificato nel testo del regolamento, "L'accesso ai dati finanziari si riferisce all'accesso ai dati, e al loro trattamento, tra imprese e tra impresa e cliente (compresi i consumatori) su richiesta del cliente in un'ampia gamma di servizi finanziari" all'interno del mercato finanziario europeo.

Obiettivi del FIDA

Il settore finanziario si è sempre trovato di fronte a sfide relative alla condivisione dei dati dei clienti. Gli utenti dei dati, infatti, cioè le imprese che desiderano accedere ai dati dei clienti, hanno problemi ad accedere ai dati detenuti dai titolari dei dati, cioè gli enti finanziari che raccolgono, conservano e trattano i dati dei clienti. Non c'è mai stata una vera e propria regolamentazione dell'accesso ai dati, che spesso non era neanche supervisionato. Inoltre, le interfacce tecniche impiegate a tale scopo erano vulnerabili alle minacce informatiche, il che ha dato luogo a preoccupazioni sulla sicurezza dei dati dei clienti.

Questa situazione porta ad avere un accesso limitato ai dati finanziari, creando notevoli difficoltà per i nuovi operatori e per i piccoli fornitori di servizi innovativi in questo settore che non riescono ad offrire prodotti su misura che soddisfino le esigenze dei clienti. Chi desidera acquistare prodotti e servizi finanziari rischia quindi di pagare tariffe più elevate senza ricevere l'esperienza attesa.

Il framework FIDA si propone quindi di agire su due livelli:

• da un lato, migliorare la condivisione dei dati tra i soggetti che operano nel settore dei servizi finanziari, con una conseguente agevolazione dello sviluppo di prodotti finanziari maggiormente in linea con le esigenze della clientela;
  
• dall'altro, garantire una maggiore tutela della privacy dei clienti, assicurando l'applicazione di elevati standard di sicurezza e riservatezza da parte degli operatori e garantendo inoltre che l'utilizzo dei dati avvenga soltanto con il consenso dell'utente.
  

La proposta della Commissione europea rispetta il regolamento generale sulla protezione dei dati (GDPR), che stabilisce le norme generali sul trattamento dei dati personali relativi a un interessato e garantisce la protezione dei dati personali nonché la libera circolazione degli stessi. Inoltre, i consumatori saranno tutelati contro eventuali utilizzi impropri e violazioni dei dati, poiché sia i titolari che gli utenti dei dati saranno vincolati dalle norme dell'atto sulla resilienza operativa digitale (DORA) entrato in vigore il 16 gennaio 2023.

Ambito di applicazione

La proposta richiede che vengano resi accessibili i dati inerenti alle seguenti categorie di prodotti:

• Crediti ipotecari, finanziamenti e conti (fatta eccezione per i conti di pagamento di cui alla PSD2)
  
• Risparmi, investimenti in strumenti finanziari, prodotti di investimento assicurativi (IBIPs), cripto-attività, immobili e altre attività finanziarie, nonché i benefici economici derivanti da tali attività, ivi inclusi i dati raccolti per effettuare le valutazioni di adeguatezza e appropriatezza
  
• Prodotti pensionistici
  
• Prodotti di assicurazione non vita conformemente alla direttiva 2009/138/CE, fatta eccezione per i prodotti che coprono il rischio salute e malattia, ivi incluse le informazioni raccolte per effettuare la valutazione di coerenza (c.d. "demands and needs test") e di appropriatezza/adeguatezza del prodotto assicurativo;
  
• I dati che fanno parte della valutazione del merito creditizio di un'impresa purché raccolti nell'ambito di una richiesta di erogazione di un finanziamento o di una richiesta di assegnazione di un rating.
  

Condivisione dei dati

Prima di entrare nel merito della condivisione dei dati, per una maggiore chiarezza riportiamo di seguito un breve glossario per meglio comprendere chi sono gli attori principali della condivisione dei dati finanziari nell'ambito del regolamento FIDA:

• Cliente: una persona fisica o giuridica che utilizza prodotti e servizi finanziari.
  
• Titolare dei dati: un ente finanziario (diverso da un prestatore di servizi di informazione sui conti) che raccoglie, conserva e altrimenti tratta i dati di cui all'articolo 2, paragrafo 1.
  
• Utente dei dati: una delle entità (di cui all'articolo 2, paragrafo 2), che, previa autorizzazione di un cliente, ha accesso legittimo ai dati del cliente.
  

Secondo la proposta, la condivisione dei dati deve avvenire attraverso i cosiddetti Financial data sharing schemes (FDSS), una sorta di accordo quadro determinato da titolari dei dati e utenti dei dati, nonché da organizzazioni e associazioni rappresentative dei clienti e dei consumatori, con l'obiettivo di autoregolamentare la gestione dell'accesso ai dati tra i membri stessi degli FDSS.

La proposta stabilisce inoltre gli obblighi dei titolari dei dati e degli utenti dei dati nelle operazioni di accesso ai dati finanziari dei clienti.

Obblighi dei titolari dei dati

Il titolare dei dati, su richiesta presentata da un cliente per via elettronica, è obbligato a mettere a disposizione di quest'ultimo i dati senza indebito ritardo, gratuitamente, in maniera continuativa e in tempo reale.

Per il titolare dei dati sussiste inoltre l'obbligo di mettere i dati del cliente a disposizione di un utente dei dati. A tale scopo, il titolare dei dati è tenuto a:

• mettere a disposizione dell'utente i dati del cliente in un formato basato su norme generalmente riconosciute e almeno della stessa qualità di cui dispone il titolare dei dati;
  
• comunicare in modo sicuro con l'utente dei dati garantendo un livello adeguato di sicurezza per il trattamento e la trasmissione dei dati del cliente;
  
• chiedere agli utenti dei dati di dimostrare di aver ottenuto l'autorizzazione del cliente ad accedere ai dati di quest'ultimo detenuti dal titolare dei dati;
  
• fornire al cliente un pannello di gestione delle autorizzazioni per monitorare, rinnovare e revocare facilmente le autorizzazioni agli utenti dei dati;
  
• rispettare la riservatezza dei segreti commerciali e dei diritti di proprietà intellettuale quando si accede ai dati del cliente.
  

Obblighi degli utenti dei dati

A sua volta, l'utente dei dati che riceve i dati del cliente è tenuto a:

• non trattare i dati dei clienti per finalità diverse rispetto a quelle attinenti alla prestazione del servizio espressamente richiesto dal cliente;
  
• rispettare la riservatezza dei segreti industriali e i diritti di proprietà intellettuale in sede di accesso ai dati;
  
• adottare le misure necessarie per assicurare che vi sia un adeguato livello di sicurezza attinente al profilo della conservazione, trattamento e trasmissione dei dati non personali;
  
• non trattare i dati del cliente a fini pubblicitari, fatta eccezione per il marketing diretto conformemente al diritto dell'Unione e nazionale.
  

Prestatori di servizi di informazione finanziaria

Il FIDA introduce la nuova categoria di "prestatori di servizi di informazione finanziaria" (Financial information service provider, FISP), che possono accedere ai dati del cliente se sono autorizzati dall'autorità competente di uno Stato membro allo scopo di offrire servizi di informazione finanziaria.

I prestatori di servizi di informazione finanziaria che non operano all’interno del mercato finanziario europeo, ma che richiedono l'accesso ai dati finanziari nell'Unione, possono farlo senza necessità di stabilire una società o una succursale nel territorio dell'Unione, a condizione che nominino per iscritto una persona fisica o giuridica come loro rappresentante legale in uno degli Stati membri da cui il FISP intende accedere ai dati finanziari.

Tempistiche di attuazione del FIDA

Il regolamento FIDA entrerà in applicazione 24 mesi dopo la sua entrata in vigore, ad eccezione delle disposizioni relative all'FDSS e ai requisiti di autorizzazione per i FISP che entreranno in applicazione 18 mesi dopo l'entrata in vigore del regolamento.

Possibile impatto sul settore dei servizi finanziari

L'applicazione del FIDA, nell'ambito dell'obiettivo della creazione dell'open finance, avrà sicuramente ripercussioni sul settore dei servizi finanziari. Porterà con sé grandi opportunità per le attività che saranno in grado di fornire servizi finanziari sempre più personalizzati e in linea con le esigenze dei clienti.

Ecco alcuni dei possibili impatti che l'applicazione del framework FIDA potrà avere sul settore dei servizi finanziari:

• Aumento dell'offerta di prodotti e servizi finanziari
  I dati finanziari condivisi nell'ambito del FIDA consentiranno a sviluppatori terzi, startup fintech e altri operatori di creare nuovi prodotti e servizi finanziari, di investimento e assicurativi. La conseguenza sarebbe quindi un aumento di offerte innovative e della qualità del servizio reso alla clientela.

• Servizi maggiormente personalizzati
  L'accesso ai dati finanziari si tradurrebbe anche in servizi maggiormente incentrati sull'utente e quindi più personalizzati, aumentando la soddisfazione dei clienti.

• Aumento della concorrenza
  L'accesso ai dati finanziari contemplato dal FIDA permetterà ai nuovi operatori (Terze Parti) di competere con le istituzioni finanziarie tradizionali, portando anche alla riduzione dei costi dei prodotti applicati ai clienti. In tal modo si intende favorire una concorrenza equa e imparziale.

• Problemi relativi alla protezione dei dati
  Con la condivisione aperta dei dati finanziari introdotta dal framework FIDA si pongono importanti problemi relativi alla sicurezza e alla privacy. Gli operatori dovranno garantire misure di sicurezza informatica efficienti e il rispetto delle attuali normative di protezione dei dati al fine di prevenire le violazioni degli stessi e di mantenere la fiducia dei clienti.