Strumenti di Pagamento: cenni di regolamento contrattuale

Negli ultimi anni stiamo assistendo a una veloce evoluzione dei rapporti tra tecnologia e offerta di servizi finanziari, con un notevole impatto nei confronti degli utenti e nelle relazioni tra operatori professionali.

Si moltiplicano, spesso grazie alle felici intuizioni di startup innovative, le piattaforme digitali che permettono l’acquisto di prodotti di consumo, lo sviluppo di nuovi strumenti di pagamento, così come l’attuazione di operazioni finanziarie complesse.

I profili rilevanti

In questo contesto i profili rilevanti da un punto di vista legale possono riguardare:

• il trasferimento tecnologico;
• il “diritto” dei dati (personali e non personali);
• il diritto dei contratti, i connessi aspetti di natura regolatoria;
• il tutto a comporre un quadro eterogeneo che può essere ricondotto alla, ormai acquisita, definizione di “Fintech”.

Obiettivo di questo intervento è quindi focalizzare l’attenzione su alcuni aspetti che emergono con sempre maggiore frequenza allorché ci si trovi a dover valutare le criticità legali di questi strumenti e che possono essere così sintetizzati:

• requisiti legali, soggettivi e oggettivi, ai fini della corretta classificazione di un servizio di pagamento elettronico;
• gestione e trasferimento dei diritti di proprietà industriale e intellettuale e dei dati circolanti sulle Piattaforma.

Tecnologia e Direttiva 2015/2366 PSD2 (Payment Services Directive 2): parametri soggettivi e oggettivi

Occorre premettere che la grande novità della PSD2 è stata l’estensione dell’ambito soggettivo degli operatori cui si applicano le previsioni della norma, ricomprendendo ora anche gli operatori non finanziari. La Direttiva PSD2, la cui lettura deve essere coordinata con la precedente Direttiva PSD, elenca poi una serie di esclusioni, ossia di operazioni di pagamento che devono ritenersi non rilevanti e che quindi non sono soggette alla sua disciplina; tra queste è utile segnalare:

• operazioni di pagamento effettuate tramite un agente commerciale il quale agisca soltanto per conto del solo pagatore o del solo beneficiario (si tratta, in particolare delle transazioni perfezionate all’interno di piattaforme di e-commerce);
• le cc.dd. “reti a spendibilità limitata” aventi quale prevalente finalità la loro fidelizzazione;
• operazioni di pagamento da parte di un fornitore di reti o servizi di comunicazione elettronica realizzate in aggiunta a servizi di comunicazione elettronica per un abbonato alla rete o al servizio;
• servizi forniti dai prestatori di servizi tecnici, che supportano la prestazione dei servizi di pagamento, senza mai entrare in possesso dei fondi da trasferire.

Al di fuori di questi casi la Piattaforma implicherà la gestione di un vero e proprio servizio di pagamento, imponendo, tra il resto, l’applicazione delle previsioni relative ai procedimenti autorizzatori presso la Banca d’Italia, delle Linee Guida dell’EBA (European Banking Authority), che richiamano espressamente le misure di sicurezza previste dal GDPR, nonché del Regolamento delegato (UE) 2018/389 in tema di norme tecniche di autenticazione forte.

Definire ruoli e responsabilità

Nelle fasi prodromiche alla acquisizione di queste tecnologie, così come nella gestione del loro avvio sul mercato, è pertanto essenziale comprendere se la Piattaforma (o la singola componente tecnologica di interesse) implichi o meno vere e proprie operazioni di pagamento e, in caso affermativo, quale sia il soggetto che deve farsi carico di tale attività.

Sarà quindi essenziale precisare e circoscrivere ruoli e responsabilità di ogni anello della catena che opera all’interno della Piattaforma (fornitore del software, fornitore dei servizi di “wallet”; fornitore del servizio offerto dalla Piattaforma) individuando al contempo le criticità legali e regolatorie derivanti dai meccanismi di funzionamento dell’applicazione tecnologica.

Nel compiere questo preliminare assessment è indispensabile che le funzioni legali, compliance e IT, lavorino con piena collaborazione e sinergia, sviluppando un modello di analisi “comportamentale” delle applicazioni che, traslando il linguaggio tipico della privacy, potrebbe ricondursi alla definizione di adeguatezza dei sistemi by design e by default.

Tecnologia e Dati: acquisizione e gestione

L’acquisizione dei diritti di proprietà industriale e intellettuale sulla tecnologia sottostante la Piattaforma Digitale sarà condotta secondo il consueto schema della cessione o della licenza dei diritti (diritto d’autore / informazioni confidenziali / brevetti per invenzione industriale) sul software. Poiché nella grande maggioranza dei casi, perlomeno a livello italiano, la tutela del Software non è affidata a privative brevettuali, occorrerà riferirsi alla c.d. “protezione non titolata”, garantita ai programmi per elaboratore dalla legge sul diritto d’autore (artt. 64bis-quater) e alle informazioni confidenziali dal Codice della Proprietà Industriale (artt. 98 e 99).    

È qui fondamentale che l’analisi legale prenda in considerazione i seguenti fattori:

• individuazione “documentale” del software e sue misure di tutela (in particolare se siano state adottate specifiche misure di segretazione del codice sorgente);
• garanzia della piena originalità del software e inesistenza di violazione di diritti di soggetti terzi;
• individuazione delle persone fisiche coinvolte nell’ideazione e nello sviluppo del software.

Riguardo alla vera e propria operatività della Tecnologia di pagamento, il passaggio al tema che coinvolge il trattamento dei dati è pressoché obbligato e può essere affrontato valorizzando un aspetto che, ancora oggi, appare ampiamente sottostimato nell’analisi legale rispetto a quello, ormai ben più consolidato, della conformità dei processi al Regolamento (UE) 2016/679 il c.d. “GDPR”.  Ci riferiamo, in particolare, alla acquisizione e gestione di dati non personali.

L’oggettiva importanza “economica” di questo tipo di dati, molto spesso non trova ancora adeguati presidi di natura contrattuale e non è infrequente rinvenire testi che incorporano clausole sulla “privacy” in ambiti dove, appunto, neppure entrano in gioco dati personali.

Che cosa devono definire i contratti

Diviene qui essenziale che i contratti destinati a regolare lo scambio di questi dati individuino in maniera puntuale:

• titolarità dei dati (personali e non personali);
• modalità di loro trasferimento/acquisizione;
• garanzie e modalità operative volte ad assicurarne la segretezza.

La stessa Commissione europea, nell’enfatizzare la crescente importanza economica di questo fenomeno ha recentemente pubblicato il “Regolamento sulla Circolazione dei dati non personali” (Regolamento (UE) 2018/1807 del 14 novembre 2018, che è in vigore dal 29 maggio 2019, che impone agli Stati membri di approntare adeguate misure volte a:

• garantire la libera circolazione transfrontaliera dei dati;   
• garantire la disponibilità dei dati per i controlli regolamentari;
• incoraggiare la realizzazione di codici di condotta per i servizi cloud.

Le aree da consolidare

In un contesto normativo che non è sempre “al passo” con la rapidità dei cambiamenti tecnologici e che stenta ad uniformarsi a livello comunitario e internazionale, è sempre più necessario che gli operatori si dotino di una elevata capacità di aggiornamento, sviluppando conoscenze ed esperienze multidisciplinari e approcciando i diversi temi con un certo grado di creatività.

Permangono infine ampie aree da consolidare: si pensi all’implementazione della tecnologia blockchain e ai cc.dd. smart contract, con le connesse problematiche, tuttora apertissime, relative al “valore legale” dei documenti che tali tecnologie producono e rispetto alle quali si auspica, a stretto giro, anche una presa di posizione del regolatore italiano, che potrà contribuire alla ulteriore definizione del quadro normativo di riferimento.

Avv. Massimiliano Patrini

Responsabile Dipartimento IP/IT  Studio Legale Gatti Pavesi Bianchi