KYC e diritto alla sicurezza

Eccomi, buongiorno a tutti. Mi chiamo Marco Costanza, sono divulgatore ed educatore. Allora giuro che avevo scritto il discorso per stare nei tre minuti, però voglio aggiungere una cosa prima di cominciare. Sono un po' dispiaciuto di vedere che appunto la sala è un po' così mezza vuota perché questo mi fa capire che c'è ancora troppo lavoro da fare, perché quando c'è da ascoltare poi persone che hanno proprio competenza su questo settore, che hanno proprio pratica perché lo vivono ogni giorno, si tratta ancora un po' tutto troppo con superficialità e comunque faccio invece i complimenti a chi si sta interessando a questi temi. Detto questo, lo Stato deve poter contrastare il riciclaggio e il fisco deve poter fare il suo lavoro e penso che su questo siamo tutti d'accordo.

Eppure il modo in cui oggi noi raccogliamo e gestiamo i dati degli italiani sta proprio lavorando contro questi stessi interessi. Il 12 settembre, qualche giorno fa, dei criminali hanno usato una PEC della prefettura di Reggio Calabria e si sono fatti consegnare da Revolut i dati dei loro clienti. Documenti d'identità, selfie della verifica, indirizzi di casa, estratti conto e movimenti in Bitcoin. Pensate che dal 2023 la procura francese contro il crimine organizzato ha contato oltre 135 casi tra tentati rapimenti, rapimenti e torture legate a persone che possedevano criptovalute. Parliamo di una media di quasi un caso ogni settimana.

E nonostante questo, qualche settimana fa, i dati di 678.000 contribuenti francesi sono finiti in vendita sul dark web da parte di un'impiegata del fisco che ha consegnato i dati personali di persone in cambio di denaro. Ora, il KYC nasce per conoscere il cliente, ma quando identità, patrimonio e indirizzo stanno nello stesso archivio, quell'archivio dice a un criminale dove trovare una persona e quanto può rubarle e rischia di trasformare quel know your customer a kill your customer. Un cittadino che ha paura di finire in una lista pericolosa e mal gestita non smette di usare Bitcoin, ma anzi lo usa semplicemente fuori dalle piattaforme regolamentate dove per assurdo si può sentire, si può trovare più sicuro. E così lo Stato che dovrebbe poi difendere i cittadini e sorvegliare sugli illeciti, perde proprio quello che cercava. Ora non voglio chiedere cose assurde, però penso che dovrebbero essere prese in considerazione almeno 4 mosse concrete.

Prima di tutto riconoscere che verificare non vuol dire archiviare. Abbiamo SPID, carta d'identità elettronica, non dobbiamo per forza tenere i passaporti e i selfie per anni nei nostri archivi. Poi secondariamente nessun dato finanziario dovrebbe uscire per una mail, nemmeno se certificata. Servono canali dedicati, richieste firmate, richieste verificabili e soprattutto tracce di ogni accesso. Terzo, dobbiamo consapevolizzare che la condivisione dei dati aumenta esponenzialmente il rischio di fughe di dati e ogni entità dovrebbe tenere solo ciò che è strettamente necessario alla sua attività.

Custodire i dati in posti diversi significa che un singolo punto di fallimento non comprometta l'intera sicurezza. E infine è molto importante che chi custodisce i dati ne risponda pienamente assumendosi tutte le responsabilità penali, civili ed amministrative. Infine io voglio ricordare che un dato privato è come un segreto. Una volta che lo diffondi non puoi più tornare indietro. Ormai il danno è fatto.

E quindi la legalità non può e non deve trasformare un cittadino onesto in un elenco di bersagli. Favoriamo la privacy e favoriamo la sicurezza e sono sicuro che riemergeranno anche tanti capitali. Grazie.