Quando si apre un fascicolo per una società a responsabilità limitata, è prassi consolidata richiedere a ogni amministratore registrato al Registro delle Imprese un documento d’identità con foto e una prova di residenza.
Questa procedura è spesso eccessiva, soprattutto quando l’amministratore non è il beneficiario effettivo o non gestisce la società.
Il cliente è la società, non le persone fisiche.
La due diligence dovrebbe quindi concentrarsi sull’identità della società, sulla struttura proprietaria e di controllo, e su chi detiene effettivamente la responsabilità decisionale, verificandone l’autorità.
Questo metodo consente di garantire la conformità normativa, ridurre i rischi per la privacy e semplificare la gestione dei fascicoli.
La Customer Due Diligence non obbliga a identificare tutte le persone legate al cliente.
Per una società con diversi amministratori, controllare sistematicamente l’identità di ciascuno non è di norma un obbligo e rischia di diventare un adempimento che complica i processi senza apportare reali benefici alla gestione dei rischi.
Gli approfondimenti sono necessari solo se la valutazione del rischio evidenzia situazioni particolari, come strutture proprietarie complesse, partecipazioni straniere poco trasparenti, collegamenti con giurisdizioni ad alto rischio o incertezze sulla gestione societaria. In questi casi, i controlli aggiuntivi sugli amministratori sono giustificati e devono basarsi su un’analisi del rischio, non su una regola automatica che imponga a tutti gli amministratori di fornire documenti identificativi.
È fondamentale distinguere tra ciò che richiede la legge e ciò che costituisce una scelta di buona prassi.
La protezione dei dati è altrettanto rilevante, ma spesso non riceve l’attenzione necessaria.
La raccolta di passaporti e prove di residenza da parte di più amministratori comporta la gestione di numerose informazioni personali sensibili, che devono essere conservate in modo sicuro, trattate in conformità alla legge e cancellate nei tempi previsti. Senza una reale esigenza, è difficile giustificare questo trattamento.
Raccogliere dati personali oltre il necessario comporta rischi significativi. Un approccio calibrato e proporzionato, che limiti la raccolta ai dati indispensabili, riduce tali rischi e tutela la privacy.