Art. 71 D.Lgs. 209/2005 – Richiesta di informazioni

Ratio del potere informativo

La disposizione attribuisce a IVASS uno strumento istruttorio essenziale per la trasparenza dell'assetto proprietario delle imprese assicurative. La vigilanza prudenziale presuppone la conoscenza puntuale di chi controlla la compagnia, perché la qualità degli azionisti rilevanti incide sulla solvibilità, sulla governance e sulla protezione degli assicurati. Il potere si esercita in qualsiasi momento e non richiede la previa apertura di un procedimento sanzionatorio: serve a costruire e mantenere la mappa proprietaria dinamica del settore.

Destinatari della richiesta

L'art. 71 individua una pluralità di destinatari concentrici. Il primo è la compagnia stessa, che deve fornire l'elenco dei soci risultanti dai libri sociali, dalle comunicazioni ricevute ai sensi dell'art. 69 e da altri dati disponibili. Il secondo livello sono le società ed enti titolari di partecipazioni, ai cui amministratori IVASS può chiedere l'identità dei soggetti controllanti, scardinando catene di holding opache. Il terzo livello riguarda controllanti, controllate e collegate, per verificare interrelazioni finanziarie infragruppo che potrebbero produrre conflitti di interesse o operazioni di doppio impiego del capitale.

Estensione transnazionale e fiduciarie

Il comma 4 conferma la possibilità di indirizzare richieste anche a soggetti esteri, in coerenza con la cooperazione tra autorità di vigilanza europee (EIOPA, art. 35 Reg. 1094/2010) e con la disciplina Solvency II. Il comma 5 disciplina le società fiduciarie, che devono comunicare l'identità del fiduciante effettivo. Questa previsione è cruciale: la struttura fiduciaria, ammessa dall'ordinamento italiano, non può schermare la titolarità sostanziale rispetto all'autorità di vigilanza. Diversamente, il filtro IVASS sugli azionisti rilevanti ex art. 68 sarebbe facilmente aggirabile.

Rapporto con segreto bancario e privacy

La giurisprudenza amministrativa ha chiarito che le richieste IVASS prevalgono sui vincoli di riservatezza professionale e bancaria, in quanto manifestazione di un potere pubblico di vigilanza. Il trattamento dei dati personali raccolti è giustificato dall'art. 6 GDPR (compito di interesse pubblico) e dall'art. 9, par. 2, lett. g, qualora coinvolga categorie particolari. La compagnia che riceve la richiesta deve documentare nel proprio registro dei trattamenti la base giuridica e i destinatari finali.

Sanzioni in caso di rifiuto

L'omessa o incompleta risposta alla richiesta integra l'illecito amministrativo di cui all'art. 309 cod. ass. (ostacolo alle funzioni di vigilanza), con sanzioni pecuniarie fino a 250.000 euro per le persone fisiche e proporzionate alle dimensioni dell'ente per le persone giuridiche. Possono inoltre derivare misure interdittive nei confronti degli esponenti aziendali non collaborativi e, nei casi più gravi, la sospensione dei diritti di voto delle partecipazioni di cui non si chiarisca la titolarità effettiva.