Come creare un flusso di onboarding KYC conforme al GDPR senza scrivere una sola riga di codice?

L'articolo 25 del GDPR richiede a ogni titolare del trattamento dei dati personali di integrare le protezioni della privacy nella progettazione del sistema fin dall'inizio, non di aggiungerle dopo il rilascio del prodotto. Per i team di conformità e di prodotto che gestiscono l'onboarding per la verifica dell'identità, ciò crea una sfida di progettazione specifica: il gate del consenso, l'ambito dei dati e il programma di conservazione devono essere tutti configurati correttamente prima che il primo cliente attraversi il flusso. Le multe totali del GDPR hanno superato i 7.1 miliardi di euro a partire dal 2026 (Aquiloni), con l'applicazione delle norme sui servizi finanziari in aumento di anno in anno. Questo articolo mostra come configurare un flusso di onboarding conforme che soddisfi sia il GDPR che antiriciclaggio (AML) obblighi, passo dopo passo, senza scrivere alcun codice.

Un flusso di onboarding KYC conforme al GDPR è un processo di verifica dell'identità configurato per soddisfare la normativa sulla protezione dei dati e gli obblighi antiriciclaggio. Raccoglie solo i dati personali richiesti per legge dalla normativa antiriciclaggio, acquisisce l'esplicita autorizzazione dell'utente prima dell'inizio dell'elaborazione e applica periodi di conservazione e cancellazione definiti a ogni categoria di dati gestita.

Cosa richiede concretamente il GDPR dal vostro processo KYC?

Il GDPR non vieta la procedura KYC (Know Your Customer). Definisce piuttosto le modalità di progettazione di tale procedura. Tre articoli rivestono un ruolo determinante in termini di conformità per la verifica dell'identità, e comprendere i requisiti di ciascuno di essi è il punto di partenza per costruire un flusso che superi sia il vaglio del DPA (Data Protection Act) che l'audit AML (Antiriciclaggio). Gli obblighi relativi alla base giuridica, alla minimizzazione dei dati e alla privacy by design operano in parallelo, non in sequenza.

Base giuridica e sovrapposizione con la normativa antiriciclaggio

Per i requisiti AML Integrazione KYC, la base giuridica del trattamento è tipicamente Articolo 6 (1) (c) del Regolamento generale sulla protezione dei dati (GDPR): trattamento necessario per adempiere a un obbligo legale. La sesta direttiva antiriciclaggio (6AMLD) e la legislazione nazionale antiriciclaggio prevedono tale obbligo. Dal 2025, il Regolamento UE antiriciclaggio impone anche l'identificazione elettronica del cliente per l'acquisizione di nuovi clienti, il che significa che un flusso di verifica digitale è il percorso di conformità previsto, non un aggiornamento opzionale.coredo.eu, 2025).

Il consenso ai sensi dell'articolo 6, paragrafo 1, lettera a), svolge un ruolo diverso. Il controllo antiriciclaggio in sé non si basa sul consenso, poiché quest'ultimo può essere revocato e la verifica dell'identità per finalità regolamentate non può essere resa facoltativa. Il consenso in un flusso KYC riguarda la fase di informativa preliminare al controllo: l'utente viene informato su quali dati verranno raccolti e perché, prima dell'inizio della verifica. Tale informativa è richiesta dagli obblighi di trasparenza del GDPR ai sensi dell'articolo 5, paragrafo 1, lettera a), separatamente dalla questione della base giuridica.

Minimizzazione dei dati e default dell'articolo 25

Articolo 5 (1) (c) limita la raccolta dei dati a ciò che è "adeguato, pertinente e limitato a quanto necessario". Articolo 25 richiede che le misure tecniche prevedano la raccolta del set minimo di dati, per impostazione predefinita, non per direttiva. Insieme, ciò significa che non è possibile richiedere una patente di guida completa quando un campo della zona a lettura ottica (MRZ) del passaporto soddisfa il controllo antiriciclaggio. Linee guida 4/2019 del Comitato europeo per la protezione dei dati (EDPB) sull'articolo 25 Conferma che "per impostazione predefinita" significa che il sistema è configurato in modo restrittivo prima che chiunque modifichi le impostazioni, e non configurato in modo generico per poi tornare indietro.

Perché la maggior parte dei processi di onboarding KYC non supera ancora gli audit GDPR?

Il divario di conformità nella maggior parte dei flussi di onboarding non ha nulla a che fare con la tecnologia di verifica. I risultati delle autorità di protezione dei dati contro le implementazioni KYC tendono a concentrarsi su due errori di configurazione che i team ripetono indipendentemente dagli strumenti che utilizzano. Entrambi sono evitabili in fase di build se GDPR I vincoli vengono trattati come input di progettazione anziché come elementi da esaminare dopo il lancio.

Avvio dell'acquisizione dei dati prima della schermata di visualizzazione

L'errore più comune è presentare la richiesta della fotocamera prima della divulgazione del consenso. Un utente che carica il proprio Documento di identità prima di vedere una dichiarazione chiara su quali dati vengono raccolti, chi li elabora e su quale base giuridica non ha ricevuto la trasparenza del controllo preliminare richiesta dall'articolo 5(1)(a) del GDPR. Anche laddove la base giuridica per il trattamento dei dati è Controllo antiriciclaggio Sebbene si tratti di un obbligo legale piuttosto che di un consenso, la fase di divulgazione deve comunque avvenire per prima. La fase di consenso non è una formalità legale, bensì il controllo tecnico che rende lecito il resto del processo.

Esecuzione senza un programma di ritenzione collaudato

Articolo 17 Il sistema conferisce agli interessati il ​​diritto alla cancellazione dei dati, ma la normativa antiriciclaggio prevale su tale diritto durante il periodo di conservazione obbligatorio, generalmente di cinque anni dalla fine del rapporto commerciale ai sensi della sesta direttiva antiriciclaggio (6AMLD), sebbene questo periodo possa variare a seconda della giurisdizione. L'errore più comune nella maggior parte dei flussi è che non è stata impostata alcuna pianificazione di cancellazione in fase di configurazione, oppure la pianificazione è stata impostata ma non è mai stata testata. Un flusso che non ha mai effettivamente cancellato i dati secondo la pianificazione è, ai fini di audit, un flusso privo di una politica di conservazione.

Come creare un flusso in cinque passaggi?

I cinque passaggi seguenti traducono gli obblighi del GDPR sopra descritti in una sequenza di configurazione specifica. Ogni passaggio corrisponde a una parte del processo di onboarding che i team di conformità e di prodotto possono impostare utilizzando un generatore di flussi di lavoro di verifica senza codice e senza il coinvolgimento del team di ingegneria. Le tipologie di documenti e i periodi di conservazione specifici variano a seconda del regime AML adottato, ma la sequenza di configurazione si applica indipendentemente dal settore.

Passaggio 1: Aggiungere una schermata di informativa prima di qualsiasi acquisizione di dati

La prima schermata visualizzata dall'utente deve essere la schermata informativa, non la richiesta di autorizzazione per l'utilizzo della fotocamera. Deve indicare: quali dati personali verranno raccolti, chi li elaborerà (la vostra organizzazione e il fornitore del servizio di verifica in qualità di responsabile del trattamento), la base giuridica del trattamento e il periodo di conservazione applicabile. La schermata non deve essere lunga, ma deve essere accurata. Configurate il flusso in modo che la verifica non possa iniziare finché l'utente non abbia esplicitamente accettato l'informativa.

Passaggio 2: Limita i campi del documento che raccogli

Mappa i tuoi requisiti AML ai dati minimi del documento che li soddisfano. Per lo standard due diligence del cliente (CDD)Nome, data di nascita, numero del documento e data di scadenza di un documento d'identità rilasciato dal governo sono in genere sufficienti. Configura la fase di verifica in modo da raccogliere solo questi campi e documenta la decisione di mappatura nella tua valutazione d'impatto sulla protezione dei dati (DPIA), così che l'ambito di applicazione sia verificabile qualora un'autorità di controllo lo richieda.

Passaggio 3: Impostare il programma di conservazione prima della messa in produzione

Configura la politica di conservazione dei dati prima che il flusso esegua il suo primo controllo in tempo reale. Imposta il periodo di conservazione in modo che corrisponda ai tuoi obblighi AML, generalmente cinque anni dalla fine del rapporto ai sensi della 6AMLD. Abilita la cancellazione automatica o l'anonimizzazione al termine di tale periodo. Quindi, testa il tutto in un ambiente di staging: invia un record di prova, fai avanzare il timer alla data di cancellazione e verifica che la cancellazione venga eseguita come configurato.

Passaggio 4: Conferma il tuo accordo sul trattamento dei dati

Sotto Articolo 28 del GDPRQualsiasi terza parte che elabori dati personali per tuo conto deve operare in base a un accordo sul trattamento dei dati (DPA). Prima di inoltrare una verifica in tempo reale tramite qualsiasi fornitore, verifica che il DPA sia firmato e che copra le categorie di dati trattati, le finalità del trattamento, i sub-responsabili del trattamento utilizzati e le misure di sicurezza applicate. Per i dati biometrici, classificati come dati di categoria speciale ai sensi dell'articolo 9, il DPA dovrebbe specificare anche come tali dati vengono gestiti durante l'elaborazione e quando vengono cancellati.

Passaggio 5: integrare un registro di controllo nel flusso

Ogni registrazione di consenso, decisione di verifica ed evento di cancellazione dei dati dovrebbe generare una voce di registro con timestamp. Il registro di controllo costituisce la prova in caso di indagine da parte delle autorità di controllo. Configura il flusso in modo che queste voci vengano scritte in una posizione accessibile direttamente al tuo team di conformità, senza il coinvolgimento del reparto IT, e verifica che la scrittura del registro avvenga correttamente prima di passare alla produzione. Il registro non deve essere complesso, ma completo e a prova di manomissione.

In che modo Shufti aiuta i team di conformità a configurare un processo di onboarding conforme al GDPR?

Configurare un flusso KYC conforme al GDPR tramite codice personalizzato significa realizzare la schermata di consenso, la logica di conservazione dei dati e la tracciabilità delle modifiche come progetti di ingegneria separati. Per la maggior parte dei team di compliance, ciò si traduce nell'attendere la conclusione di sprint di sviluppo già al completo. Costruttore di viaggi Shufti è lo strumento di flusso di lavoro di verifica senza codice che consente ai team di conformità e di prodotto di configurare il flusso descritto in questo articolo direttamente dalla dashboard, senza aprire un singolo ticket di assistenza tecnica.

La fase di consenso, la selezione dei campi del documento, la pianificazione della conservazione dei dati e il registro di controllo sono tutti configurabili come elementi distinti nel flusso. Shufti opera come responsabile del trattamento dei dati conforme al GDPR e fornisce un accordo sul trattamento dei dati che copre il tuo obbligo ai sensi dell'articolo 28, inclusa la divulgazione del sub-responsabile del trattamento, la documentazione delle finalità del trattamento e le specifiche delle misure di sicurezza. I dati biometrici acquisiti durante verifica dell'identità viene eliminato al termine del processo di verifica e, per impostazione predefinita, non viene conservato oltre tale momento.

Il sistema di verifica di Shufti copre oltre 10,000 tipologie di documenti in più di 240 paesi, il che significa che lo stesso flusso configurato per il GDPR che create per i clienti UE funziona anche per l'onboarding internazionale, all'interno della stessa architettura di conservazione e consenso.