«È impossibile garantire la sicurezza di quei dati»

Dal 1. ottobre la Svizzera, con l’entrata in vigore della nuova Legge federale sulla trasparenza delle persone giuridiche (LTPG) e della revisione della Legge sul riciclaggio di denaro (LRD), avrà il suo Registro per la trasparenza. Per la prima volta i nomi delle persone fisiche che controllano oltre mezzo milione di società ed enti, ovvero chi detiene almeno il 25% o esercita il controllo «in altro modo», confluiranno in un’unica banca dati federale, tenuta dall’Ufficio federale di giustizia. Ma non sarà pubblica, vi accederanno infatti soltanto le autorità e gli intermediari finanziari già tenuti agli obblighi antiriciclaggio. L’obiettivo è allineare la piazza svizzera agli standard internazionali, in particolare alla Raccomandazione 24 del Gruppo d’azione finanziaria internazionale (Gafi) e presentarsi con un dispositivo collaudato alla prossima valutazione tra pari, attesa entro il 2028.

A poche settimane dall’avvio, però, il Registro divide. Tutto nasce da un attacco informatico, avvenuto nella notte tra il 29 e il 30 luglio, quando ignoti hanno copiato i dati di circa 31 mila tra società, fondazioni e trust dal registro del Liechtenstein. Lo scorso 24 agosto l’Associazione svizzera dei gestori patrimoniali (ASG), che rappresenta oltre 800 società di gestione patrimoniale, ha chiesto al Dipartimento federale di giustizia di sospendere l’avvio del Registro. Secondo l’organizzazione mantello, che non si oppone all’introduzione del Registro, concentrare in un solo luogo i dati sensibili di centinaia di migliaia di entità significa creare «un bersaglio estremamente attraente», con un potenziale «danno d’immagine incommensurabile» per la piazza in caso di cyberattacco.

Berna ha tuttavia confermato, qualche giorno dopo, che il Registro entrerà in vigore come previsto. L’incidente del Liechtenstein, ha replicato il Governo, dimostra semmai quanto siano importanti le misure di sicurezza informatica già predisposte, pensate per garantire «il massimo livello di protezione possibile».

Un campanello d’allarme sulla questione della sicurezza dei registri come quello svizzero lo suona l’avvocato ticinese Filippo Noseda, partner dello studio Mishcon de Reya a Londra e visiting professor al King’s College. Nel 2022 Noseda ha guidato alcuni dei ricorsi sfociati nella sentenza della Corte di giustizia UE che ha bocciato i registri pubblici degli aventi diritto come ingerenza sproporzionata nella privacy; nel 2007, invece, aveva convinto Berna a riconoscere i trust. Da settimane l’esperto legale sta incalzando la Commissione europea con una serie di lettere, l’ultima di lunedì scorso, per chiedere la sospensione temporanea dei sistemi di raccolta dati dopo una sequenza di attacchi ai registri del continente.

Che il registro svizzero, a differenza di quelli europei, non sia pubblico non lo rassicura affatto. Per Noseda il problema si è spostato e non riguarda più chi possa consultare i dati, ma se lo Stato sia in grado di custodirli. Che cosa insegna allora il caso del Liechtenstein a un Paese che dovrà gestire una banca dati venti volte più grande? «L’impossibilità oggettiva di garantire la sicurezza del dato», afferma al CdT Noseda. Non una preoccupazione isolata, tiene a precisare, ricordando che la presidente della Banca centrale europea Christine Lagarde e il governatore della Banca d’Inghilterra Andrew Bailey, alla guida anche del Financial Stability Board, «hanno suonato l’allarme sulle vulnerabilità causate dai sistemi basati sull’intelligenza artificiale». Nell’ultima lettera Noseda cita anche l’offensiva informatica contro l’amministrazione di Berlino avvenuta in agosto, con oltre un milione di file sottratti.

Il Governo svizzero rassicura che l’incidente del Principato è la prova dell’importanza delle misure già adottate. Ma per Noseda ciò non è per nulla sufficiente. «Lo stillicidio di incidenti - afferma - lo conferma. A cui si aggiunge la mancanza di vie di ricorso per i cittadini a cui i dati vengono rubati. Mancano norme sulla responsabilità dello Stato, a differenza delle salate multe previste per il settore privato dal Gdpr».

Per l’avvocato Noseda resta un argomento di fondo, ovvero che questi strumenti nascono già vecchi. E dunque, perché registri concepiti oltre dieci anni fa non reggerebbero l’era dell’hacking sistematico e dell’intelligenza artificiale? «Perché allora i rischi non erano noti - risponde - e ora che lo sono, le norme a garanzia dei diritti fondamentali alla vita privata e alla protezione dei dati, come sancito dall’articolo 8 della Convenzione europea dei diritti dell’uomo, impongono una revisione dei sistemi in essere».

Mentre la Svizzera stringe, altri Paesi allentano. L’esempio più clamoroso proviene dagli Stati Uniti, che dallo scorso 14 agosto hanno «svuotato» per via regolamentare (Corporate Transparency Act, CTA), il proprio registro degli aventi diritto, esentando cittadini e società americane. Viene da pensare che la Svizzera sta nuovamente facendo «la prima della classe»... Ancora Noseda: «La Svizzera si sta semplicemente piegando alle pressioni dell’Unione europea e del Gafi-Ocse, che ha incluso l’esistenza o meno di un registro tra i criteri per definire se una piazza finanziaria è conforme oppure no. Gli Stati Uniti sono immuni da queste pressioni, come hanno dimostrato quando si sono sfilati dal programma internazionale sull’imposta globale minima delle società».

E allora, se non un rinvio, che cosa dovrebbe fare la Confederazione prima del 1. ottobre? «Il rinvio è l’unica strada corretta», sostiene infine Noseda, che però non si fa illusioni e avverte: «È politicamente scomodo, per cui prevedo che il Consiglio federale andrà avanti per la sua strada, creando pericoli e danneggiando la piazza quando - e non “se” - si verificherà un incidente come quello del Liechtenstein».