Una nuova sfida si propone nel settore della protezione dei dati personali ed è relativa al mondo bancario, con la prossima introduzione dell’euro digitale.
Indice degli argomenti
Euro digitale e privacy: la nuova sfida per i dati personali
A partire dal 2020, con l’avvio di una pubblica consultazione da parte della Banca Centrale Europea (BCE) e nel 2021, con la successiva prima fase di indagine da parte della BCE e delle altre banche degli Stati Membri, si è cominciato a discutere in maniera sempre più concreta della possibile introduzione di una nuova modalità di pagamento digitale, denominata appunto euro digitale.
Negli intenti delle Istituzioni Europee, l’euro digitale non vuole sostituire il denaro contante, ma costituire, per i consumatori, un’alternativa digitale priva della necessità di possedere una carta di credito/debito e di dover sostenere le relative commissioni. Secondo la visione promossa sempre dalla BCE, l’euro digitale costituirebbe uno strumento accettato ovunque e utilizzabile gratuitamente dai consumatori per tutti i tipi di pagamento – nei negozi, online o tra persone – sia in modalità online che offline.
Iter dell’euro digitale tra pacchetto legislativo e progetto pilota
La prima fase preparatoria ha avuto termine il 28 giugno2023, data in cui la Commissione europea ha adottato un pacchetto legislativo volto all’approvazione del regolamento dedicato.
Nel biennio 2023 – 2025, si è aperta e conclusa una fase ulteriore nel progetto di costituzione dell’euro digitale, di c.d. preparazione, con la definizione di uno schema e la selezione di possibili fornitori, culminata poi nel passaggio a quella ulteriore, di c.d. definizione del progetto pilota dal primo novembre 2025, relativo a tre punti principali:
Lo schema preparatorio e i tre punti principali
- sviluppo tecnico,
- coinvolgimento del mercato
- supporto al processo legislativo.
Il 19 dicembre 2025 poi, il Consiglio UE, in un comunicato stampa, ha concordato la sua posizione negoziale su proposte fondamentali volte a rafforzare la moneta unica, consentendo l’introduzione di un euro digitale, con l’obiettivo anche di contribuire a migliorare l’autonomia strategica, la sicurezza economica e la resilienza dell’UE.
Sono state previste quindi due proposte di regolamenti che definiscono il quadro giuridico per la potenziale emissione di un euro digitale e un regolamento per salvaguardare il ruolo del contante nell’UE garantendone la continua vigenza e disponibilità.
La bozza di regolamento relativa all’euro digitale è quindi in corso di approvazione e nello specifico è previsto che la Commissione Affari economici (ECON) del Parlamento europeo si prepara al voto il 23 giugno 2026.
Da qui seguirà una fase pilota specifica su transazioni reali nel 2027 e l’introduzione definitiva ufficiale nel 2029.
Staremo a vedere.
Privacy dell’euro digitale: pareri EDPB, EDPS e principi GDPR
L’introduzione di una versione digitale della moneta unica europea presuppone molteplici processi che, come è agevole immaginare, coinvolgono dati personali.
Per questa ragione, all’esito di numerosi scambi, avvenuti durante il biennio 2021-2023, lo European Data protection Board (EDPB) e lo European Data Protection Supervisor (EDPS) hanno emesso un parere congiunto sul tema, suggerendo, per quanto di loro competenza, l’implementazione delle misure di sicurezza ritenute più adeguate per proteggere i dati personali coinvolti per l’emissione e la diffusione dell’euro digitale.
Le due istituzioni hanno sottolineato la necessità di ridurre il trattamento di dati personali alla quantità strettamente necessaria, secondo il principio di minimizzazione. Hanno altresì ricordato alla BCE la necessità di impostare i processi di trattamento legati all’emissione ed alla diffusione (nonché all’utilizzo) dell’euro digitale nel rispetto dei principi di privacy by design e by default.
Ciò significa altresì analizzare e valutare il bilanciamento relativo alla volontà di introdurre un nuovo metodo ulteriore al contante rispetto alla protezione dei diritti fondamentali degli individui, verificando la proporzionalità del primo rispetto all’ultimo.
Base giuridica e ruolo dei PSP
EDBP ed EDPS però non si sono fermate ad enunciare principi. Nel parere congiunto, infatti, hanno altresì affrontato il tema della base giuridica per il trattamento e dei ruoli attribuibili ai Prestatori dei Servizi di Pagamento (PSP): EDPB ed EDPS hanno precisato infatti che l’articolo 6, paragrafo 1, lettera c), del GDPR sembra essere la base giuridica più pertinente i trattamenti posti in essere dai PSP stessi, secondo la formulazione della proposta di regolamento sopra menzionata (art. 34).
Pseudonimizzazione, CNIL e identificatori dinamici nell’euro digitale
Una delle maggiori preoccupazioni in ambito privacy è relativa all’impossibilità di utilizzare l’anonimizzazione per garantire che, attraverso le informazioni trasmesse a fronte dell’utilizzo dell’euro digitale, la BCE o le banche centrali nazionali non siano in grado di identificare direttamente i singoli utenti.
L’alternativa è la pseudonimizzazione: si ricorda in questo caso l’importanza cruciale di verificare quale soggetto abbia la possibilità (anche solo eventuale) di accedere alla chiave di decodifica dei dati, evitando appunto che i soggetti sopra indicati possano accedervi. Interessante, in questo senso, la lettura della Corte di Giustizia dell’Unione Europea sul caso Deloitte, ripresa poi nelle varie bozze di Digital Omnibus secondo cui, in effetti, in assenza della possibilità legale, per il destinatario, di identificare i soggetti le cui informazioni sono state pseudonimizzate dal titolare, i dati non vanno considerati come personali.
Oltre al EDPB ed EDPS, anche l’Autorità di controllo francese (CNIL) ha sollevato dubbi sull’adeguatezza delle misure di sicurezza prospettate dalla BCE. In un recente articolo, del 26 maggio 20261, la CNIL, in tema di pseudonimizzazione appunto descrive in modo molto accurato la distinzione tra pseudonimizzazioni effettuate tramite identificatori statici ed identificatori dinamici., il l’utilizzo degli identificatori statici viene valutato come meno sicuro, dalla CNIL.
In tale situazione, infatti, a ciascun utente viene assegnato un ID interno unico e fisso. Senza ulteriori informazioni, dovrebbe essere impossibile re-identificare un utente utilizzando solo questo identificatore. Tuttavia, questo non esclude il rischio di una re-identificazione retroattiva, ad esempio attraverso la riconciliazione con altri dati esterni. Per questo motivo, la CNIL, per eliminare tale rischio, suggerisce di progettare i processi d’uso dell’euro digitale utilizzando un sistema di pseudonimizzazione ad identificatori dinamici (aggiornati a intervalli regolari) .
Pagamenti offline, token e rischi per la privacy dell’euro digitale
Ulteriori aspetti di protezione dei dati personali, sono stati evidenziati da EDPB ed EDPS nel 2023, con riferimento ai pagamenti offline nonché nei pagamenti online di bassa entità, effettuati mediante token. Le due istituzioni, infatti, sottolineano la necessità di garantire anonimato anche in tali tipologie di pagamento.
Un rapporto sulla modalità offline basata su token redatto da Tibor Jager2, tuttavia, ha analizzato in dettaglio le misure di salvaguardia contro la doppia spesa, ritenendo che una modalità offline rispettosa della privacy sia fattibile.
La doppia spesa nella modalità offline
Sulla questione “pagamenti offline”, interviene anche la stessa CNIL, a parere di chi scrive, forse un po’ fuori perimetro rispetto a quelle che sono le sue funzioni e prerogative. L’Autorità francese, infatti, richiama un ulteriore rischio legato all’euro digitale che però è davvero complesso da ricondurre nell’ambito della personal data protection.
La CNIL, infatti, si concentra sul rischio relativo alla doppia spesa, ossia l’utilizzo di un’unità di valuta digitale più di una volta. Secondo l’Autorità l’euro digitale deve essere in grado di resistere a questo e ad altri tipi di duplicazione illegale dei valori monetari, specialmente nella modalità di pagamento offline. La modalità online invece presenta un rischio di doppia spesa di molto inferiore grazie al suo sistema di regolamento centralizzato.
Accesso ai dati e misure di sicurezza per l’euro digitale
L’accesso ai dati da parte di BCE e banche centrali nazionali è stato disciplinato nel regolamento citato. Esso sarà possibile solo per il rispetto di specifiche normative, di cui ovvio è costituito dall’ambito dell’antiriciclaggio: anche su questo sarà essenziale definire in maniera concreta un’effettiva armonizzazione fra le legislazioni, volta a limitare il rischio di interpretazioni e applicazioni ambigue di norme non sempre coordinate fra di loro.
In conclusione, la sfida del regolamento, dal punto di vista della personal data protection regulation, sarà definire ruoli ben precisi anche a livello privacy, nonché un sistema di misure di sicurezza che vadano dalla previsione di differenti livelli di autorizzazione sino a misure (come la pseudonimizzazione ad identificatori dinamici) efficaci a garantire che l’identificabilità di chi effettua e di chi riceve il pagamento sia limitata al minimo indispensabile di soggetti, esattamente come accade per la moneta tradizionale. .
Note
Per approfondimenti: The Digital Euro and its token-based offline modality | European Data Protection Board↩︎
Per leggere l’articolo: https://www.cnil.fr/en/confidentiality-digital-euro-where-are-we↩︎
Partecipa alla community