Protezione dei dati

Con il termine “outsourcing” si intende nell’uso della lingua parlata l’appalto a prestatori di servizi esterni o interni di mansioni e strutture aziendali.

Per quanto concerne l’attività delle banche svizzere, l’Autorità federale di vigilanza sui mercati finanziari (FINMA) ha ulteriormente precisato il termine “outsourcing” per mezzo di una circolare. Si ha outsourcing (appalto di campi di attività) ai sensi della circolare FINMA 2008/7 “Outsourcing – banche” quando una banca incarica un’altra impresa (prestatore di servizi) di assicurarle in modo durevole una prestazione di servizio essenziale per l’attività della banca. Ai sensi della circolare sono “essenziali” le prestazioni di servizio che possono avere un effetto segnatamente sulla determinazione, la limitazione e il controllo dei rischi centrali per la banca. Ne fanno parte in primo luogo, secondo la circolare, i rischi di mercato, di credito, di liquidità e di immagine, nonché quelli operativi e giuridici.

L’Autorità federale di vigilanza sui mercati finanziari (FINMA) è un ente di diritto pubblico con una personalità giuridica propria. È competente dell’esecuzione della Legge sulla vigilanza dei mercati finanziari (LFINMA), nonché delle varie leggi sui mercati finanziari in vigore in Svizzera. In qualità di organo di sorveglianza indipendente, la FINMA si prefigge la protezione dei creditori, degli investitori e degli assicurati, nonché la tutela della funzionalità dei mercati finanziari.

Nella sua funzione di organo di sorveglianza, la FINMA vigila fra l’altro sull’attività di tutti gli istituti finanziari autorizzati quali banche in Svizzera.

La FINMA è legalmente autorizzata a emanare fra l’altro, tramite circolari, delle precisazioni per l’attività degli istituti da essa controllati. In relazione ad “outsourcing” e “protezione di dati di clienti di massa", la FINMA ha emanato due circolari alle quali le banche controllate devono attenersi (cfr. in proposito anche la precedente domanda 1 e la domanda 5 di cui nel prosieguo).

L’appalto di determinati campi di attività nell’ambito di soluzioni di outsourcing è di norma consentito senza autorizzazione da parte della FINMA anche per banche svizzere come la Cembra Money Bank.

Affinché una simile soluzione di outsourcing sia e rimanga consentita, la banca appaltante deve costantemente attenersi alle prescrizioni legali e regolamentari vigenti, ovvero, con riferimento alla protezione di dati dei clienti, segnatamente alle disposizioni della Legge federale sulla protezione dei dati, nonché alle prescrizioni regolamentari specifiche per il settore bancario.

Per quanto concerne le prescrizioni regolamentari, la banca appaltante deve, a titolo esemplificativo, definire con precisione il campo di attività da appaltare. Inoltre, i partner di outsourcing devono essere accuratamente selezionati, istruiti e controllati.

No. Appaltando determinati processi aziendali a dei partner di outsourcing, una banca svizzera non può sottrarsi alle sue responsabilità, segnatamente non per la gestione legale e sicura dei dati dei clienti.

Infatti, la circolare FINMA 2008/7 stabilisce anche espressamente che la banca appaltante continua ad assumersi nei confronti della FINMA la responsabilità per il campo di attività appaltato. L'istituto è responsabile nei confronti della FINMA anche per gli campi di attività appaltati, come se li gestisse direttamente. La banca rimane sempre pienamente responsabile nei confronti dei propri clienti dell'osservanza delle relative prescrizioni di carattere contrattuale, legale e regolamentare.

Nell’ambito della circolare FINMA (vedi in proposito la precedente domanda 2) per dati dei clienti si intendono i dati personali di persone fisiche (“clienti privati”) le cui relazioni d’affari vengono curate o gestite in Svizzera o dalla Svizzera. I dati personali sono tutte le informazioni riferite a una persona identificata o identificabile, come definito nell’articolo 3 lettera a della Legge federale sulla protezione dei dati. Per Lei quale cliente della Cembra Money Bank, sono annoverate fra i dati personali protetti in particolare le seguenti informazioni: nome, indirizzo(i), data di nascita, stato civile, titolo, firma, numero(i) di telefono, codice cliente, numero di conto/deposito, numero(i) della(e) carta(e) di credito.

Fino al 31 ottobre 2013, la Cembra Money Bank (allora ancora GE Money Bank) era interamente di proprietà del Gruppo General Electric (GE), uno dei maggiori gruppi diversificati al mondo.

Dal 31 ottobre 2013, le azioni della Cembra Money Bank sono quotate alla Borsa svizzera SIX Swiss Exchange e, quindi, liberamente e pubblicamente negoziabili. La Cembra Money Bank è un’azienda svizzera indipendente che prende autonomamente le proprie decisioni, ovvero senza che venga esercitata influenza da parte di un azionista maggioritario. La Cembra Money Bank gestisce i propri affari, tra cui anche le decisioni su eventuali soluzioni di outsourcing, in autonomia e in modo indipendente, osservando sempre, ovviamente, le prescrizioni di carattere legale e regolamentare in vigore.

In seguito al distacco dal Gruppo GE, la Cembra Money Bank punta a rafforzare la collaborazione con noti prestatori di servizi IT sul territorio nazionale e, quindi, la propria presenza sulla scena svizzera.

In tale contesto, si può dire che la Cembra Money Bank utilizzi la propria libertà imprenditoriale complementare dall'ingresso in borsa per una valutazione completa delle soluzioni di outsourcing esistenti. Di tali soluzioni deve essere informato(a) anche Lei, quale cliente della banca, ai sensi della trasparenza clienti. Ulteriori informazioni sulle misure della Cembra Money Bank per la sicurezza dei dati dei clienti nell’ambito delle soluzioni di outsourcing sono disponibili di seguito, alla domanda 7.

In qualità di banca svizzera anche la Cembra Money Bank è controllata dalla FINMA. La Cembra Money Bank attua in tale contesto tutte le prescrizioni della FINMA nell'ambito dell'organizzazione della propria attività. Sono particolarmente importanti al riguardo per la Cembra Money Bank segnatamente anche le summenzionate circolari relative ad “outsourcing” e “protezione dei dati dei clienti di massa".

Nell’ambito di outsourcing e di protezione dei dati dei clienti, la Cembra Money Bank ha emanato numerose direttive interne che precisano ulteriormente le prescrizioni legali e regolamentari, segnatamente quelle della FINMA, per la banca e la sua attività, nonché per i partner di outsourcing coinvolti. Ai fini dell’osservanza di direttive e prescrizioni regolamentari, la Cembra Money Bank ha adottato importanti misure tecniche, personali e organizzative secondo lo stato dell’arte. L’osservanza delle direttive è imposta rigidamente all’interno della banca.

Nei contratti di outsourcing, la Cembra Money Bank impone, inoltre, anche ai propri contraenti di rispettare gli standard sulla protezione dei dati e le misure di protezione vigenti in Svizzera per la banca, laddove la banca può verificare detta osservanza in qualsiasi momento anche in loco presso i rispettivi partner.

Oltre a ciò, revisori interni ed esterni controllano regolarmente le misure in questione della Cembra Money Bank. Il fatto che non si siano mai verificate in passato perdite di dati nell’ambito delle soluzioni di outsourcing della Cembra Money Bank dimostra come la banca disponga di una gestione di sicurezza effettiva del rischio e IT per la sorveglianza e il controllo dei propri contraenti di outsourcing e come i dati dei clienti godano in tal modo in una protezione completa.