In breve. Esiste un circuito di banche dati internazionali — World-Check (oggi del gruppo LSEG), Dow Jones Risk Center, LexisNexis WorldCompliance e altre — che le banche consultano prima di aprirti un conto o concederti credito. Se finisci in una di quelle schede, spesso il rapporto bancario si chiude o non parte nemmeno, senza che nessuno te lo spieghi. Si può uscirne, ma non con una mail di protesta: serve documentare l’errore e usare le leve giuste, dal diritto di accesso e cancellazione previsto dal GDPR fino al reclamo al Garante. Di seguito ti spiego come lo affronto io.
Chi mi cerca per questa storia, di solito, arriva con la stessa frase: “Avvocato, la banca mi ha chiuso il conto e non mi dicono perché”. A volte è un imprenditore che importa ed esporta, a volte un professionista con interessi all’estero, a volte una persona del tutto comune che si è vista rifiutare un mutuo già istruito. Il filo conduttore è quel silenzio: nessuna contestazione, nessuna accusa, solo una porta che si chiude.
Quasi sempre, dietro quel silenzio, c’è una scheda. Il tuo nome è finito in una di quelle banche dati che il mondo bancario usa per i controlli antiriciclaggio, e a quel punto un algoritmo e un ufficio compliance hanno deciso per te. La prima domanda che ti pongo, quindi, non è “che cosa hai fatto”, ma “che cosa risulta scritto su di te, e dove”.
Che cos’è davvero World-Check
World-Check è la più nota di queste banche dati. Nata in casa Refinitiv, oggi appartiene al London Stock Exchange Group (LSEG), e raccoglie schede su milioni di persone fisiche e società. Non è un registro pubblico né un casellario: è un prodotto commerciale di risk intelligence che le banche acquistano per fare la loro “adeguata verifica” del cliente.
Dentro quelle schede confluiscono cose molto diverse fra loro: i nomi presenti nelle liste sanzionatorie (UE, OFAC statunitense, ONU, Tesoro britannico), le persone politicamente esposte e i loro familiari, chi è coinvolto in procedimenti penali resi pubblici e — ed è qui che nascono i problemi più gravi — chi è semplicemente finito sui giornali per un’indagine, anche poi archiviata. World-Check non è l’unica: accanto a lei lavorano Dow Jones Risk Center, LexisNexis WorldCompliance e altri operatori, ciascuno con il proprio archivio.
Il punto delicato è che la segnalazione non è una condanna. È un’etichetta di rischio. Ma quando la banca la legge, raramente si mette a indagare: nella maggior parte dei casi avvia una valutazione interna che, secondo le sue policy, finisce con la chiusura del rapporto. È il fenomeno che in gergo si chiama de-risking: la banca, per non correre rischi, taglia. E a pagare il conto sei tu.
Le leve che funzionano davvero
La buona notizia è che queste banche dati trattano dati personali e quindi rispondono al Regolamento europeo sulla protezione dei dati, il GDPR (Regolamento UE 2016/679). Questo ti dà strumenti concreti, non solo principi.
Il primo è il diritto di accesso: puoi chiedere al gestore di dirti se ti tratta e di mostrarti esattamente che cosa risulta a tuo nome. È il passaggio da cui parto sempre, perché senza sapere cosa c’è scritto si combatte al buio. Per World-Check, LSEG mette a disposizione un modulo dedicato.
Poi vengono i diritti che servono a far cadere la scheda. C’è la rettifica, quando il dato è inesatto o incompleto. C’è la cancellazione — il cosiddetto diritto all’oblio — quando i dati non sono più necessari o il trattamento è illegittimo. E c’è l’opposizione, quando puoi far valere ragioni legate alla tua situazione particolare. A questi aggiungo, nei casi giusti, la regola sulle decisioni automatizzate: hai diritto a non essere giudicato unicamente da un sistema automatico, e gran parte dello screening AML è, di fatto, automatizzato.
Qui devo essere onesto con te, perché è un punto dove molti vendono illusioni. Il diritto alla cancellazione non è assoluto. Lo stesso GDPR prevede che non si applichi quando il trattamento serve ad adempiere un obbligo di legge, e la normativa antiriciclaggio impone agli intermediari di conservare le evidenze dell’adeguata verifica per un periodo determinato. Tradotto: contro un dato che la banca deve per legge conservare, la cancellazione secca difficilmente passa. Ciò che si ottiene, e si ottiene spesso, è far cadere o correggere la scheda quando il dato è sbagliato, datato o sproporzionato. È lì che si gioca la partita vera.
Quando ho più probabilità di farti uscire
Negli anni ho imparato a riconoscere i casi che si vincono. Il primo è l’inesattezza pura: una segnalazione costruita su un procedimento concluso senza condanna, un’omonimia, un articolo di giornale poi smentito, un dato anagrafico errato. Qui non discuto di interpretazioni: porto documenti.
Il secondo è la sproporzione: la persona segnalata per una vicenda minore, oppure il soggetto trattato ancora come “politicamente esposto” anni dopo che quella qualità è cessata. Il terzo è il venir meno della causa: un’assoluzione definitiva, un’archiviazione, una riabilitazione ottenuta ai sensi degli articoli 178 e 179 del codice penale, la cancellazione dal casellario. Tutti fatti che svuotano la ragione della scheda.
Ci sono poi due situazioni più tecniche ma molto efficaci, perché toccano il cuore della credibilità del dato. Una è la rimozione di una Red Notice Interpol: quando ottengo, davanti alla Commissione per il controllo dei file dell’Interpol (la CCF), la cancellazione di una segnalazione, quella decisione va comunicata e fatta valere verso le banche dati che la riportavano. L’altra riguarda le decisioni assolutorie maturate all’estero: un rifiuto di estradizione, una mancata consegna su mandato d’arresto europeo, il riconoscimento dell’asilo politico. Sono pronunce che dicono, in modo autorevole, che il procedimento sottostante non reggeva — e questo pesa.
Casi che ho seguito
Mi è capitato di assistere un imprenditore inserito in un database internazionale di compliance sulla base di un vecchio articolo di stampa che riferiva di un’indagine a suo carico. Quell’indagine si era poi conclusa con una sentenza di assoluzione, ma la segnalazione era rimasta, continuando a precludergli rapporti bancari e commerciali. Ho chiesto la rettifica al gestore del database e, in parallelo, ho adito il Garante. Documentata l’assoluzione, la voce è stata rimossa nel giro di pochi mesi.
In un altro caso un cittadino del tutto estraneo a vicende penali era stato erroneamente segnalato in un registro di rischio per via di un’omonimia con una persona nota alle cronache giudiziarie. Qui la difesa è stata essenzialmente documentale: ho prodotto la documentazione anagrafica che dimostrava in modo inequivoco l’errore di identità. La rettifica è arrivata in tempi brevi, con la cancellazione della segnalazione che gravava ingiustamente sul mio assistito.
Due storie diverse, una stessa lezione: contro questi sistemi non si vince alzando la voce, si vince con le carte in mano.
Come si muove, in pratica
Si parte da una richiesta scritta al gestore — LSEG per World-Check, gli altri operatori per le rispettive banche dati. La richiesta deve dire chi sei, quale dato contesti e perché chiedi la rettifica o la cancellazione, allegando le prove: sentenze, decreti di archiviazione, documenti anagrafici. Il titolare ha un mese per risponderti, prorogabile a tre nei casi complessi.
Se la risposta non arriva o è negativa, la strada non è una sola. Puoi presentare reclamo al Garante per la protezione dei dati personali oppure rivolgerti direttamente al giudice ordinario: la legge italiana tratta queste due vie come alternative, nel senso che, sulla stessa questione e tra le stesse parti, non puoi percorrerle entrambe in parallelo. La scelta va fatta con attenzione, caso per caso. Se invece il Garante adotta un provvedimento e vuoi contestarlo, c’è un termine breve — trenta giorni dalla comunicazione — per portarlo davanti al tribunale.
Un’ultima cosa, che spesso sorprende: nessuna cancellazione “si propaga” da sola. Far cadere la scheda su World-Check non cancella le altre. Ogni banca dati va affrontata separatamente, e per questo, quando il cliente è schedato in più archivi, imposto fin dall’inizio una strategia parallela.
Domande che mi fanno più spesso
Posso vedere cosa è scritto su di me in World-Check? Sì. È il diritto di accesso del GDPR, e per World-Check si esercita con una richiesta formale tramite il modulo di LSEG. È il primo passo che ti consiglio sempre.
La banca è obbligata a chiudermi il conto se sono segnalato? No, non automaticamente. La segnalazione fa scattare una valutazione di rischio, ma è la banca a decidere in base alle proprie policy. Spesso sceglie la strada prudente e taglia, ma non è un obbligo di legge.
Se ottengo la cancellazione da una banca dati, vale per tutte? No. Ogni gestore ha il suo archivio e va contattato separatamente. Non esiste un “interruttore unico”.
Posso chiedere i danni se la banca mi ha chiuso il conto su dati sbagliati? In linea di principio sì. Il GDPR prevede il diritto al risarcimento per trattamento illecito dei dati, con un onere della prova che grava sul titolare, e la giurisprudenza italiana ed europea su questi temi è in piena evoluzione. Va valutato caso per caso.
Queste banche dati possono trattare i miei dati senza il mio consenso? Sì, ma non perché siano “fuori legge”. Operano su basi giuridiche specifiche — l’obbligo legale antiriciclaggio, l’interesse legittimo, i motivi di rilevante interesse pubblico — che rendono lecito il trattamento anche senza il tuo consenso. Proprio per questo la difesa non passa dal negare la liceità in astratto, ma dal dimostrare che quel singolo dato è errato o non più necessario.
Per approfondire — il mio commento
Il sistema delle banche dati AML è diventato una specie di tribunale parallelo: silenzioso, automatico, capace di incidere sulla tua vita economica senza un’udienza. Per questo dico sempre che la difesa va attivata presto, prima che la scheda faccia danni difficili da rimediare. Se vuoi seguire i miei commenti su antiriciclaggio e protezione dei dati, iscriviti alla mia newsletter mensile.
Le norme di riferimento
- Regolamento (UE) 2016/679 (GDPR) — in particolare diritto di accesso (art. 15), rettifica (art. 16), cancellazione (art. 17), opposizione (art. 21), decisioni automatizzate (art. 22), termini di risposta (art. 12) e risarcimento del danno (art. 82).
- Disciplina antiriciclaggio: D.lgs. 21 novembre 2007, n. 231 (Italia) e quadro europeo, oggi rinnovato dal pacchetto AML pubblicato in Gazzetta Ufficiale UE il 19 giugno 2024 — Regolamento (UE) 2024/1624 (AMLR, applicabile dal 10 luglio 2027), Direttiva (UE) 2024/1640 (AMLD6, recepimento entro il 10 luglio 2027) e Regolamento (UE) 2024/1620 istitutivo dell’AMLA, l’Autorità europea con sede a Francoforte (regolamento applicabile dal 1° luglio 2025; l’Autorità assumerà la vigilanza diretta sui soggetti selezionati a partire dal 2028).
- Tutela in Italia: reclamo al Garante e ricorso al giudice ordinario come vie alternative (Codice privacy, D.lgs. 196/2003); opposizione ai provvedimenti del Garante entro 30 giorni (D.lgs. 150/2011).
- Riabilitazione penale: artt. 178 e 179 c.p.
- Tutela internazionale dei dati: CEDU, art. 8; Convenzione di Strasburgo n. 108/1981.