Gazzetta n. 215 del 16 settembre 2026 (vai al sommario) BANCA D'ITALIA PROVVEDIMENTO 3 settembre 2026 Regolamento recante disposizioni sul trattamento dei dati personali effettuato dalla Banca d'Italia nell'ambito delle attivita' di supporto all'Arbitro bancario finanziario (ABF). LA BANCA D'ITALIA Visto l'art. 6, paragrafo 1, lettere c) ed e) del regolamento generale sulla protezione dei dati (UE) 2016/679 (di seguito GDPR), che consente il trattamento dei dati quando e' necessario, rispettivamente, per adempiere un obbligo legale al quale e' soggetto il titolare del trattamento e per l'esecuzione di un compito di interesse pubblico o connesso all'esercizio dei pubblici poteri di cui e' investito il titolare del trattamento; Visto il medesimo art. 6, paragrafi 2 e 3, del GDPR per cui, ove il trattamento dei dati sia effettuato per l'adempimento di un obbligo legale o per l'esecuzione di un compito di interesse pubblico o connesso all'esercizio di pubblici poteri, lo Stato membro puo' determinare con maggiore precisione requisiti specifici per il trattamento e altre misure atte a garantire liceita' e correttezza dello stesso, tra cui: le condizioni generali relative alla liceita' del trattamento da parte del titolare del trattamento; le tipologie di dati personali trattati; gli interessati; i soggetti cui possono essere comunicati i dati e le finalita' per cui sono comunicati; le limitazioni della finalita', i periodi di conservazione e le operazioni e procedure di trattamento, comprese le misure atte a garantirne la liceita' e correttezza; Visto l'art. 2-ter, comma 1, del decreto legislativo 30 giugno 2003, n. 196 (di seguito codice privacy), come modificato dal decreto legislativo 10 agosto 2018, n. 101, di adeguamento alle disposizioni del GDPR e dal decreto-legge 8 ottobre 2021, n. 139, convertito, con modificazioni, dalla legge 3 dicembre 2021, n. 205, per cui la base giuridica prevista dal sopra citato art. 6, paragrafo 3, del GDPR e' costituita da norma di legge, di regolamento o da atti amministrativi generali; Visto l'art. 9, paragrafo 2, lettere f) e g) del GDPR, che consente il trattamento di «categorie particolari di dati personali» quando sia necessario, rispettivamente, «per accertare, esercitare o difendere un diritto in sede giudiziaria o ogniqualvolta le autorita' giurisdizionali esercitino le loro funzioni giurisdizionali», nonche' «per motivi di interesse pubblico rilevante sulla base del diritto dell'Unione o degli Stati membri»; Visto il considerando 52 del GDPR che chiarisce che tali categorie particolari di dati personali dovrebbero poter essere trattati se necessari per accertare, esercitare o difendere un diritto, oltre che in sede giudiziale, anche in sede amministrativa o stragiudiziale; Visto l'art. 2-sexies, comma 1, del codice privacy che consente il trattamento delle «categorie particolari di dati personali» necessari per motivi di interesse pubblico rilevante, qualora sia previsto da disposizioni di legge o di regolamento, o da atti amministrativi generali, che specifichino i tipi di dati che possono essere trattati, le operazioni eseguibili e il motivo di interesse pubblico rilevante, nonche' le misure appropriate e specifiche per tutelare i diritti fondamentali degli interessati; Visto in particolare il medesimo art. 2-sexies, comma 2, lettera q), del codice privacy ai sensi del quale si considera rilevante l'interesse pubblico relativo a trattamenti effettuati da soggetti che svolgono compiti di interesse pubblico o connessi all'esercizio di pubblici poteri in attivita' sanzionatorie e di tutela in sede amministrativa o giudiziaria, nelle quali e' riconducibile l'attivita' di supporto all'Arbitro bancario e finanziario svolta dalla Banca d'Italia; Visto anche il medesimo art. 2-sexies, comma 2, lettera dd), del codice privacy ai sensi del quale si considera rilevante l'interesse pubblico relativo a trattamenti effettuati da soggetti che svolgono compiti di interesse pubblico o connessi all'esercizio di pubblici poteri per l'instaurazione, gestione ed estinzione di rapporti di lavoro di qualunque tipo, anche non retribuito o onorario, e di altre forme di impiego, nei quali e' riconducibile il rapporto con i membri dell'organo decidente dell'Arbitro bancario e finanziario i cui dati vengono trattati dalla Banca d'Italia; Visto l'art. 10 del GDPR che consente il trattamento di «dati relativi a condanne penali e reati» quando sia autorizzato dal diritto dell'Unione o degli Stati membri che preveda garanzie appropriate per i diritti e le liberta' degli interessati; Visto l'art. 2-octies, comma 1, del codice privacy che consente il trattamento di «dati personali relativi a condanne penali e reati» se autorizzato da una norma di legge o, nei casi previsti dalla legge, di regolamento, che prevedano garanzie appropriate per i diritti e le liberta' degli interessati; Visto in particolare l'art. 2-octies, comma 3, lettere c) ed e), del codice privacy ai sensi del quale il trattamento di «dati personali relativi a condanne penali e reati» e' consentito se autorizzato da una norma di legge o, nei casi previsti dalla legge, di regolamento, riguardanti rispettivamente «la verifica o l'accertamento dei requisiti di onorabilita', requisiti soggettivi e presupposti interdittivi, nei casi previsti dalle leggi o dai regolamenti» - come nel caso dei membri dell'organo decidente dell'Arbitro bancario e finanziario - nonche' «l'accertamento, l'esercizio o la difesa di un diritto in sede giudiziaria», a cui e' riconducibile l'attivita' dell'Arbitro bancario e finanziario; Visto l'art. 22 del GDPR secondo il quale, fatte salve specifiche condizioni, l'interessato ha il diritto di non essere sottoposto a una decisione basata unicamente sul trattamento automatizzato, compresa la profilazione, che produca effetti giuridici che lo riguardano o che incida significativamente sulla sua persona; Visto il regolamento (UE) 2024/1689 che stabilisce regole armonizzate sull'Intelligenza artificiale (di seguito «AI Act»), il quale, all'art. 6 detta regole di classificazione per i sistemi ad alto rischio, prevedendo, al paragrafo 2, che sono considerati ad alto rischio i sistemi di Intelligenza artificiale (di seguito «sistemi di IA») ricompresi nell'allegato III del medesimo AI Act, nonche' i sistemi di IA che effettuano profilazione di persone fisiche; Visto il citato allegato III dell'AI Act che, al punto 8, include tra i sistemi di IA ad alto rischio quei sistemi utilizzati da un'autorita' giudiziaria o nella risoluzione alternativa delle controversie per l'attivita' di ricerca o interpretazione dei fatti e del diritto e per l'applicazione della legge a una serie concreta di fatti; Visto, tuttavia, l'art. 6 dell'AI Act che al successivo paragrafo 3 stabilisce che, fatto salvo il caso dei sistemi di IA che effettuano profilazione di persone fisiche, i sistemi di IA possono non essere considerati ad alto rischio, in deroga al paragrafo 2, se non presentano un rischio significativo per la salute, la sicurezza o i diritti fondamentali delle persone fisiche, anche nel senso di non influenzare il processo decisionale; Visto il medesimo art. 6, paragrafo 3, dell'AI Act che, alle lettere da a) a d) indica varie condizioni in presenza delle quali puo' affermarsi che un sistema di IA non influenza il processo decisionale, in quanto destinato: a) a eseguire un compito procedurale limitato; b) a migliorare il risultato di un'attivita' umana precedentemente completata; c) a rilevare schemi decisionali o deviazioni da schemi decisionali precedenti senza sostituire o influenzare la valutazione umana precedentemente completata in assenza di un'adeguata revisione umana; d) a eseguire un compito preparatorio per una valutazione umana; Visto inoltre il considerando 61 dell'AI Act secondo il quale non sarebbero da considerarsi ad alto rischio i sistemi di IA utilizzati nell'ambito dell'amministrazione della giustizia e delle procedure di risoluzione alternativa delle controversie, ove «destinati ad attivita' amministrative puramente accessorie, che non incidono sull'effettiva amministrazione della giustizia nei singoli casi, quali l'anonimizzazione o la pseudonimizzazione di decisioni, documenti o dati giudiziari, la comunicazione tra il personale, i compiti amministrativi»; Vista la legge 23 settembre 2025, n. 132 che, a livello nazionale, reca principi in materia di ricerca, sperimentazione, sviluppo, adozione e applicazione di sistemi e di modelli di intelligenza artificiale, in conformita' all'AI Act e, in particolare, l'art. 15 della citata legge che, nel disciplinare l'impiego dei sistemi di IA nell'attivita' giudiziaria, prevede che «e' sempre riservata al magistrato ogni decisione sull'interpretazione e sull'applicazione della legge, sulla valutazione dei fatti e delle prove e sull'adozione dei provvedimenti»; Visti gli articoli 4 e 5 del decreto legislativo 1° settembre 1993, n. 385, recante il testo unico delle leggi in materia bancaria e creditizia (di seguito TUB), che identificano la Banca d'Italia come autorita' creditizia, cui spettano i poteri di vigilanza nei confronti delle banche, dei gruppi bancari, degli intermediari finanziari, degli istituti di moneta elettronica e degli istituti di pagamento (di seguito, intermediari vigilati); Visti gli articoli 4, comma 1, e 8 del TUB, che attribuiscono alla Banca d'Italia il potere di emanare regolamenti, impartire istruzioni e adottare provvedimenti, dettandone uno specifico regime di pubblicita'; Visto l'art. 127 del TUB ai sensi del quale le autorita' creditizie, ivi compresa la Banca d'Italia, esercitano i poteri di vigilanza avendo riguardo anche «alla trasparenza delle condizioni contrattuali e alla correttezza dei rapporti con la clientela»; Visto l'art. 128-bis del TUB che prevede l'adesione degli intermediari bancari e finanziari di cui all'art. 115 del TUB a sistemi di risoluzione stragiudiziale delle controversie con i clienti e rimette a una delibera del CICR (Comitato interministeriale per il credito ed il risparmio), su proposta della Banca d'Italia, la definizione dei criteri di svolgimento delle procedure e di composizione dell'organo decidente, in modo da assicurare che tale organo sia imparziale e rappresentativo e che le procedure garantiscano rapidita' ed economicita' nella risoluzione delle controversie ed effettivita' della tutela; Visto l'art. 40 del decreto legislativo 27 gennaio 2010, n. 11, che attribuisce agli utilizzatori dei servizi di pagamento il diritto di avvalersi di sistemi di risoluzione stragiudiziale delle controversie e, a tal fine, prevede l'adesione delle banche, degli istituti di moneta elettronica e degli istituti di pagamento ai sistemi di risoluzione stragiudiziale delle controversie previsti dall'art. 128-bis del TUB; Visto il decreto legislativo 6 agosto 2015, n. 130, recante l'attuazione della direttiva 2013/11/UE del Parlamento europeo e del Consiglio del 21 maggio 2013 sulla risoluzione alternativa delle controversie dei consumatori; Vista la delibera del CICR n. 275 del 29 luglio 2008, come modificata con decreto d'urgenza del Ministro dell'economia e delle finanze - Presidente del CICR, del 10 luglio 2020 n. 127, recante la «Disciplina dei sistemi di risoluzione stragiudiziale delle controversie con la clientela ai sensi dell'art. 128-bis del decreto legislativo 1° settembre 1993, n. 385 e successive modificazioni», che ha dettato la disciplina dei nuovi sistemi stragiudiziali, attribuendo alla Banca d'Italia il compito di svolgere attivita' di segreteria tecnica per l'organo decidente, di nominare i suoi membri e di emanare disposizioni regolamentari e organizzative per il suo funzionamento; Visto l'art. 1 della medesima delibera del CICR che definisce il sistema di risoluzione stragiudiziale delle controversie come «l'insieme formato dall'organo decidente - composto in funzione degli interessi degli intermediari e dei clienti coinvolti nella controversia - dal procedimento e dalle relative strutture organizzative»; Visto il provvedimento Banca d'Italia del 29 luglio 2009 - «Disposizioni di trasparenza delle operazioni e dei servizi bancari e finanziari. Correttezza delle relazioni tra intermediari e clienti» e successive modificazioni ed integrazioni; Viste le disposizioni della Banca d'Italia sui sistemi di risoluzione stragiudiziale delle controversie in materia di operazioni e servizi bancari e finanziari del 18 giugno 2009 (di seguito, disposizioni ABF), come modificate con provvedimento del 12 agosto 2020, che disciplinano l'Arbitro bancario finanziario, sistema di risoluzione stragiudiziale avente lo scopo di dirimere in modo semplice, rapido ed efficace le controversie tra i clienti e gli intermediari; Vista la sezione III, paragrafo 3, delle medesime disposizioni nella parte in cui stabilisce che i componenti dell'organo decidente debbano possedere requisiti di esperienza, professionalita', integrita' e indipendenza, nonche' la sezione IV, che attribuisce alla Banca d'Italia il compito di curare, anche tramite le segreterie tecniche, le attivita' amministrative e di supporto per il funzionamento dei collegi ABF; Visto l'art. 22 del decreto legislativo 10 agosto 2018, n. 101, di adeguamento del codice privacy alle disposizioni del GDPR che, nel dettare le disposizioni transitorie per i trattamenti di dati personali in essere, prevede che siano tuttora applicabili le disposizioni di legge o di regolamento, emanate in forza della precedente normativa in materia di privacy, che individuavano il tipo di dati trattabili e le operazioni eseguibili nelle attivita' di trattamento delle pubbliche amministrazioni effettuate per motivi di interesse pubblico rilevante; Considerata, quindi, l'attuale vigenza del regolamento, adottato dalla Banca d'Italia con provvedimento del 6 novembre 2015, recante l'individuazione dei dati sensibili e giudiziari e delle operazioni eseguibili, relativamente alle fattispecie ivi disciplinate; Considerato che la Banca d'Italia, nella qualita' di autorita' creditizia, nell'esercizio delle sue funzioni di vigilanza sugli intermediari bancari e finanziari, e' titolare di potesta' regolamentare, sulla base di quanto previsto dal TUB; Considerato che l'attivita' di supporto all'Arbitro bancario finanziario e' svolta in adempimento di un obbligo legale e in esecuzione di un compito di interesse pubblico individuati dalla disciplina di settore e affidati alla Banca d'Italia; Considerata altresi' la opportunita' di utilizzare sistemi di IA per agevolare le attivita' amministrative e di supporto svolte dalla Banca d'Italia per il funzionamento dell'Arbitro bancario finanziario; Considerato che i sistemi di IA sarebbero utilizzati per l'individuazione di schemi decisionali nelle attivita' dell'ABF e di eventuali deviazioni dagli stessi, nonche' per attivita' preliminari o comunque puramente accessorie, che non incidono sui processi decisionali delle singole fattispecie ne', piu' in generale, sull'amministrazione della giustizia da parte dell'Arbitro bancario finanziario; Ritenuta la necessita', da parte della Banca d'Italia, di effettuare trattamenti di dati personali, di categorie particolari di dati e di dati relativi a condanne penali e reati nell'ambito dell'attivita' di supporto al funzionamento dell'Arbitro bancario finanziario; Ritenuta altresi' la necessita' che rispetto a tali trattamenti si forniscano disposizioni specifiche sulle operazioni eseguibili, sulle misure di protezione e sulle modalita' di trattamento, anche con specifico riferimento all'uso dei suddetti sistemi di IA, in un'ottica di chiarezza e trasparenza nei confronti degli interessati; Ritenuta l'importanza di chiarire che dall'uso di tali strumenti non deriva un rischio significativo per i diritti e le liberta' degli interessati, in quanto non influenzano materialmente l'esito del processo decisionale; Sentito il Garante per la protezione dei dati personali, il quale si e' espresso con parere n. 380 del 28 maggio 2026; Adotta il seguente regolamento per il trattamento di dati personali di cui la scheda allegata costituisce parte integrante e sostanziale. 1. Oggetto del regolamento Il presente regolamento identifica le tipologie di dati personali trattati nonche' le operazioni eseguibili e le misure di sicurezza adottate dalla Banca d'Italia per tutelare i diritti e le liberta' degli interessati nell'ambito dell'attivita' di supporto al funzionamento dell'Arbitro bancario finanziario (di seguito ABF), svolta in adempimento di un obbligo legale e in esecuzione di un compito di interesse pubblico di cui all'art. 6, paragrafo 1, lettere c) ed e), del GDPR. 2. Disposizioni specifiche sulle attivita' di trattamento Con riferimento alle attivita' di trattamento, nella scheda allegata vengono dettate disposizioni concernenti le finalita' e le modalita' del trattamento, con l'individuazione di misure specifiche per tutelare i diritti e le liberta' degli interessati. Le disposizioni, tenendo anche conto dell'uso di sistemi di IA, stabiliscono: le attivita' di supporto al funzionamento dell'ABF assicurate dalla Banca d'Italia; le modalita' del trattamento dei dati; la limitazione del trattamento; la finalita' di interesse pubblico rilevante; le basi normative su cui si fonda l'interesse pubblico; le tipologie di dati oggetto del trattamento; le categorie di interessati; le operazioni eseguibili; i diritti degli interessati; la modalita' di informativa e le misure adottate a tutela dei diritti degli interessati. 3. Disposizione di coordinamento Per quanto non espressamente previsto nelle presenti disposizioni si applica il «Regolamento recante l'individuazione dei dati sensibili e giudiziari e delle operazioni eseguibili» emanato dalla Banca d'Italia con provvedimento del 6 novembre 2015.   Allegato (a) Attivita' di supporto al funzionamento dell'ABF La Banca d'Italia, nello svolgimento delle attivita' di tutela della clientela bancaria e finanziaria, regolamenta e fornisce supporto alla risoluzione stragiudiziale delle controversie dell'ABF. L'ABF e' un sistema di risoluzione stragiudiziale delle controversie caratterizzato dalla presenza di un organo decidente, di una procedura di gestione dei ricorsi e di apposite strutture organizzative all'interno della Banca d'Italia. In particolare la Banca d'Italia, come meglio specificato al successivo punto (1), dispone la nomina, il rinnovo, la decadenza o la revoca dei membri dell'organo decidente (o collegio ABF) deputato alla decisione delle controversie; cura le attivita' amministrative di supporto nella procedura di gestione dei ricorsi, tramite strutture organizzative operanti presso alcune delle proprie filiali - c.d. segreterie tecniche - come meglio descritto al successivo punto (2); si avvale dell'ausilio di strumenti di ricerca, anche avanzata, di sistemi di IA e tecnologie correlate per l'analisi della documentazione raccolta, come meglio descritto al punto (3). Nello svolgimento di queste attivita' la Banca d'Italia, attraverso una struttura centrale, coordina l'attivita' delle segreterie tecniche, ne monitora i processi di lavoro e offre supporto specialistico e assistenza tecnico-operativa. I compiti di supporto al funzionamento del sistema ABF come sopra delineati - articolati nelle attivita' svolte dai collegi ABF, dai loro Presidenti, dalle segreterie tecniche e dalla struttura centrale di coordinamento - comportano le seguenti attivita' di trattamento di dati personali, facenti complessivamente capo alla Banca d'Italia quale titolare del trattamento, per le quali le strutture indicate e i relativi addetti, sono stati designati autorizzati al trattamento: 1) gestione dei dati contenuti nella documentazione raccolta per la nomina, rinnovo, decadenza e revoca dei componenti dell'organo decidente dell'ABF; 2) gestione dei dati contenuti nella documentazione raccolta nell'ambito del procedimento ABF; 3) analisi della documentazione relativa ai ricorsi, effettuata anche tramite strumenti di ricerca avanzata, sistemi di IA e tecnologie correlate. 1) Gestione dei dati contenuti nella documentazione per la nomina, rinnovo, decadenza e revoca dei componenti dell'organo decidente dell'ABF La Banca d'Italia nomina con proprio provvedimento i componenti dell'organo decidente dell'ABF, composto da cinque membri di cui: tre - compreso il Presidente - scelti dalla stessa Banca d'Italia; uno dalle associazioni degli intermediari; uno dalle associazioni rappresentative dei clienti. La Banca d'Italia puo' dichiarare la decadenza dei componenti che abbiano effettuato reiterate assenze o disporne la revoca per giusta causa. I componenti dell'organo devono possedere requisiti di esperienza, professionalita', integrita' e indipendenza, meglio indicati nelle Disposizioni ABF (1) . Nell'ambito dei procedimenti di nomina, rinnovo, decadenza e revoca dei componenti dell'organo decidente dell'ABF, al fine di una corretta e funzionale selezione o valutazione dei membri, la Banca d'Italia - anche per il tramite della struttura centrale di coordinamento - tratta i dati personali contenuti nella documentazione prodotta dagli stessi soggetti interessati all'assunzione (o al rinnovo) dell'incarico o dalle associazioni degli intermediari e dei clienti incaricati di designare alcuni componenti, nonche' i dati raccolti da altre fonti, sulla base di disposizioni di legge. La documentazione contiene gli elementi che consentono l'identificazione dei soggetti interessati all'assunzione o al rinnovo, nonche' il loro recapito telematico, telefonico e di residenza/domicilio; contiene inoltre tutte le informazioni utili a comprovare la presenza e permanenza dei requisiti richiesti dalle citate disposizioni ABF per la nomina o il rinnovo o per disporre, in caso contrario, la decadenza o revoca dell'incarico, ivi compresi i dati relativi a condanne penali e reati eventualmente presenti nei certificati del casellario giudiziale. I documenti contenenti i dati personali sono raccolti e gestiti dalla Banca d'Italia attraverso il Sistema di gestione documentale dell'istituto e altre procedure informatiche di supporto, con l'impiego di misure di sicurezza idonee a garantire la riservatezza dei dati personali e a evitare l'indebito accesso ai dati stessi da parte di soggetti non autorizzati, illustrate nel paragrafo h). 2) Gestione dei dati contenuti nella documentazione raccolta nell'ambito del procedimento ABF Attraverso un applicativo informatico di backoffice, la Banca d'Italia gestisce i ricorsi presentati dalla clientela e le successive memorie trasmesse da intermediari e clienti (2) . I ricorsi vengono di norma presentati on-line tramite un Portale dedicato, ma possono essere presentati anche offline (ad esempio, in modalita' cartacea) (3) . Tramite le proprie Segreterie tecniche, la Banca d'Italia accerta la completezza, regolarita' e tempestivita' della documentazione presentata dalle parti; cura l'invio alle parti della documentazione inerente al ricorso ove necessario; cura la formazione dei fascicoli dei ricorsi con i relativi documenti, messi a disposizione dei componenti dell'organo decidente, unitamente a una relazione tecnica di accompagnamento; assiste alle riunioni dell'organo decidente redigendone i verbali; alimenta l'archivio elettronico pubblico delle decisioni. La Banca d'Italia provvede inoltre, tramite la struttura centrale di coordinamento, alla pubblicazione della notizia degli eventuali inadempimenti degli intermediari accertati dall'organo decidente. Nell'ambito dell'attivita' sopra descritta, la Banca d'Italia tratta i dati personali contenuti nella seguente documentazione: ricorso presentato dal cliente, con i relativi allegati; controdeduzioni prodotte dall'intermediario convenuto, con i relativi allegati; repliche del ricorrente alle controdeduzioni, con i relativi allegati; controrepliche dell'intermediario alle repliche del ricorrente, con i relativi allegati; integrazioni documentali prodotte dalle parti su richiesta della Segreteria tecnica o dell'organo decidente; richieste di supporto presentate dalle parti; provvedimento del Presidente del collegio di inammissibilita' del ricorso; provvedimento del Presidente del collegio per la soluzione anticipata della lite, anche su base concordata; provvedimento del Presidente del collegio sulle istanze di correzione; decisione rese dal collegio, anche all'esito delle istanze di correzione; verbale della riunione del collegio; comunicazioni dell'intermediario e/o del ricorrente che concernono l'adempimento alla decisione del Presidente o del collegio; comunicazioni alle parti previste ai sensi delle disposizioni ABF. I documenti relativi al ricorso sono gestiti dalla Banca d'Italia attraverso il Sistema di gestione documentale dell'istituto, utilizzato per la protocollazione e archiviazione dei documenti, nonche' attraverso procedure informatiche di supporto (per la presentazione del ricorso on-line, il deposito di atti in via telematica e lo scambio della documentazione tra le parti) e applicativi aziendali che, come meglio descritto al successivo punto (3), possono anche fare uso di sistemi di IA e tecnologie correlate. I documenti, compresi i dati personali ivi contenuti, sono scambiati tra le parti del procedimento ABF per consentire loro l'esercizio del diritto di difesa. La documentazione del procedimento ABF contiene gli elementi che consentono l'identificazione delle parti (ricorrente o, nel caso in cui questo sia una persona giuridica o ente, suo rappresentante legale; eventuali cointestatari del ricorso; intermediario convenuto) e del loro eventuale procuratore nonche' i rispettivi recapiti (telematico, telefonico, residenza e/o domicilio). Oltre alle generalita' delle parti e del procuratore (se presente) e a eventuali dati personali di soggetti terzi a vario titolo coinvolti nel ricorso, la documentazione fornisce le informazioni strettamente necessarie a rappresentare la questione oggetto di controversia, trattate all'esclusivo fine di risoluzione della stessa. La documentazione puo' anche contenere categorie particolari di dati personali (ad esempio, dati sullo stato di salute) e dati relativi a condanne penali e reati riferibili al ricorrente, al/ai cointestatario/i del ricorso e a soggetti terzi, in quanto il contenuto degli atti difensivi non e' predeterminabile ex ante ma liberamente redatto dalle parti che allegano cio' che ritengono utile a sostegno della propria richiesta o difesa. Il trattamento di tali dati e' comunque limitato alle sole operazioni indispensabili per la risoluzione della controversia. Se un documento contiene dati particolari o relativi a condanne penali e reati di terzi, l'organo decidente ne valuta la rilevanza nel contemperamento tra il diritto di difesa del ricorrente e il diritto dei terzi alla protezione dei dati personali e, se non lo ritiene necessario per la soluzione della controversia, ne ordina la rimozione dal fascicolo. Tutti i dati personali eventualmente richiamati nella pronuncia del collegio sono oggetto di previa anonimizzazione, ai fini della pubblicazione delle decisioni. Come indicato nell'informativa resa al momento della presentazione del ricorso, i ricorrenti che hanno ricevuto l'esito del ricorso, nel corso dell'anno vengono contattati e invitati a partecipare alla survey di customer satisfaction curata dalla struttura centrale di coordinamento dell'ABF per valutare la qualita' del servizio di assistenza ricevuto (4) . I dati personali raccolti in tale contesto vengono pseudonimizzati con la generazione di un codice univoco alfanumerico utilizzato in sostituzione del nome e cognome del soggetto intervistato e vengono archiviati su sistemi interni accessibili a un numero limitato di addetti e trattati per l'esclusiva finalita' di analisi degli esiti della survey. 3) Analisi della documentazione relativa ai ricorsi, effettuata anche tramite strumenti di ricerca avanzata, sistemi di IA e tecnologie correlate I principali documenti raccolti presso le diverse segreterie tecniche nell'ambito dell'attivita' di supporto al funzionamento dell'ABF (modulo del ricorso e relativi allegati, controdeduzioni, relazioni tecniche e decisioni dei collegi) sono analizzati tramite strumenti di ricerca, anche avanzata (c.d. full text search), nonche' tramite sistemi di IA e tecnologie correlate. Tale ulteriore attivita' di trattamento, consistente nella consultazione e analisi della documentazione relativa ai ricorsi e nell'estrazione di notizie rilevanti, e' finalizzata a supportare l'attivita' amministrativa delle segreterie tecniche. In particolare, tramite strumenti di full-text search, vengono effettuate ricerche di singole parole o informazioni all'interno dei documenti sopra richiamati, in qualunque formato pervenuti, relativi ai ricorsi presentati nell'ultimo decennio presso le diverse segreterie tecniche, al fine di ricercare precedenti riguardanti fattispecie analoghe a quella oggetto di trattazione e avere un supporto nella redazione della relazione tecnica per il collegio. La relazione tecnica, infatti, oltre ad illustrare i fatti oggetto del ricorso, richiama anche la normativa applicabile e gli eventuali precedenti dell'ABF e/o della giurisprudenza ivi citata, che possono essere di interesse per la decisione del collegio. Il trattamento dei dati personali e' finalizzato pertanto esclusivamente alla risoluzione della controversia avviata con la presentazione del ricorso e non rilevano le eventuali categorie particolari di dati o i dati relativi a eventuali condanne penali e reati presenti nei documenti analizzati che, non rivestendo alcuna utilita', non sono per questo mai utilizzati come parole o informazioni su cui effettuare la ricerca. Una volta predisposta la relazione per l'organo decidente, anche con l'ausilio di tali strumenti, la decisione sul ricorso e' comunque integralmente rimessa alla valutazione umana dei componenti del collegio. A supporto dell'attivita' amministrativa delle segreterie tecniche vengono utilizzati anche strumenti di IA. Con il supporto di tali strumenti viene effettuata un'analisi preliminare di ricevibilita' del ricorso, attraverso la ricerca di elementi - date, cifre e intermediari coinvolti - presenti nella documentazione e utili alla valutazione sulla regolarita' del ricorso, sotto il profilo della corretta individuazione dell'intermediario convenuto e della competenza temporale e per valore dell'ABF (cfr. Disposizioni ABF, sez. I, par. 4); i medesimi strumenti consentono anche di ricercare i ricorsi proposti negli ultimi dieci anni dal ricorrente contro lo stesso intermediario, allo scopo di accertare il rispetto del divieto di bis in idem. Il trattamento dei dati personali e' finalizzato pertanto in via esclusiva alla pronuncia sull'ammissibilita' del ricorso, la cui decisione, anche in questo caso, e' integralmente rimessa all'organo decidente. Al fine di completare il quadro informativo da utilizzare a supporto della decisione, gli strumenti di IA analizzano le decisioni anonimizzate dei collegi ABF per individuare gli orientamenti dell'Arbitro sulle principali materie di contenzioso, svolgendo un lavoro di estrazione e connessione di concetti e ricorrenze. Segnalano cosi' sia le decisioni tipiche (c.d. centroidi) per ogni gruppo omogeneo di ricorsi, sia quelle che piu' si discostano da esse (c.d. outlier). Nello specifico, tali sistemi di IA ricorrono a tecniche di analisi e algoritmi di machine learning, che analizzano le decisioni dell'ABF per estrarre gli elementi a tal fine rilevanti. La logica alla base di queste tecniche consiste nell'aggregare le decisioni in cluster per similitudine semantica, apprendendo elementi informativi e rappresentazioni gerarchiche dall'aggregazione dei dati. A questo scopo il modello assegna ad ogni cluster dei tag indicativi del suo contenuto. Per la clusterizzazione non vengono utilizzati i dati personali dei ricorrenti, degli eventuali cointestatari del ricorso o dei soggetti terzi coinvolti a vario titolo nelle controversie, in quanto il sistema di AI non lavora su tutta la documentazione dei fascicoli, ma solo sulle decisioni gia' anonimizzate. I sistemi di IA utilizzati a supporto delle attivita' delle segreterie tecniche non sono classificabili come «sistemi di IA ad alto rischio» in quanto non influenzano materialmente il processo decisionale e non presentano un rischio significativo per i diritti e le liberta' delle persone fisiche. Come illustrato, infatti, i sistemi di IA utilizzati per l'analisi della documentazione raccolta nell'ambito del procedimento ABF sono usati per l'individuazione degli orientamenti ricorrenti su determinate fattispecie oggetto di contenzioso e degli eventuali scostamenti dagli stessi, nonche' per lo svolgimento di attivita' amministrative preliminari, ausiliarie e accessorie rispetto all'attivita' di gestione delle controversie; sono inoltre d'ausilio nella verifica della completa anonimizzazione dei dati identificativi delle parti e dei terzi nelle decisioni da pubblicare. L'uso dei sistemi di IA non comporta pertanto, in alcun modo, una sostituzione nell'interpretazione dei fatti e della normativa o nell'applicazione della legge al caso concreto, rimesse alle valutazioni umane, terze e imparziali, dell'organo decidente. L'attivita' decisoria resta dunque una prerogativa di quest'ultimo, che si pronuncia con autonomia di giudizio sulle controversie sottoposte al suo esame. Ferma restando l'applicazione degli articoli 35 e 36 del GDPR, in materia di valutazione di impatto e rischio per gli interessati, l'attivita' di analisi della documentazione condotta tramite strumenti di IA non genera quindi decisioni basate unicamente su di un trattamento automatizzato di dati personali, suscettibili di incidere sulla sfera giuridica degli interessati, di cui all'art. 22, paragrafi 1 e 4 del GDPR. Da essa, inoltre, non derivano forme di profilazione o predizione di comportamenti per le persone fisiche coinvolte (ricorrenti, cointestatari del ricorso, rappresentanti, procuratori e terzi citati negli atti della procedura). Infine, le attivita' di analisi, ricerca e clusterizzazione, effettuate anche con sistemi di IA, sono anche finalizzate a monitorare l'andamento spazio-temporale del contenzioso, cosi' da rilevare la distribuzione dei ricorsi su base territoriale in relazione ad uno specifico intervallo di tempo ed intercettare fattispecie ricorrenti o nuovi filoni di contenzioso. Esse permettono in tal modo di ricavare dai ricorsi e dalle decisioni notizie su tematiche rilevanti o emergenti, utili a un migliore indirizzamento delle attivita' di vigilanza sugli intermediari e di tutela della clientela condotte dalla Banca d'Italia, nonche' alla redazione della relazione annuale sulle attivita' svolte dall'ABF. I risultati delle analisi sono prodotti in forma aggregata e da essi non e' possibile identificare, neanche indirettamente, le persone fisiche coinvolte nei ricorsi. Tali analisi in questione non determinano l'attivazione delle funzioni di controllo svolte dalla Banca d'Italia in relazione alle funzioni di vigilanza e di tutela della clientela, ma costituiscono solo una delle fonti informative alla base del loro eventuale esercizio. (b) Principi di liceita' e limitazione del trattamento In linea con il principio di liceita' e di limitazione delle finalita' del trattamento, i dati non vengono trattati in violazione della disciplina in materia di protezione dei dati personali e sono utilizzati esclusivamente nell'ambito delle attivita' di supporto al funzionamento dell'ABF, nonche' per attivita' di analisi e di reportistica legate all'attivita' dell'ABF utili anche a un migliore indirizzamento delle attivita' di vigilanza sugli intermediari e di tutela della clientela condotte dalla Banca d'Italia. L'uso di sistemi di IA e tecnologie correlate risponde a principi di proporzionalita', necessita' e limitazione in base alle finalita' strettamente delimitate e attribuite per legge alla Banca d'Italia. Nel paragrafo h) sono meglio illustrate le misure a tutela dei dati e a garanzia dei diritti delle persone fisiche. I dati sono conservati per il tempo necessario al perseguimento delle finalita' per le quali sono stati raccolti, ivi comprese quelle connesse alle forme di collaborazione previste dall'ordinamento con l'autorita' giudiziaria e con le altre autorita' di settore e pubbliche amministrazioni; l'accesso ai dati e' consentito agli utenti abilitati per ciascun sistema, designati autorizzati al trattamento. Nello specifico, i dati raccolti nell'ambito delle attivita' del sistema ABF sono conservati per i seguenti periodi di tempo: i dati contenuti nella documentazione per la nomina, rinnovo, revoca e decadenza dei componenti dell'organo decidente dell'ABF, di cui al precedente punto 1), sono disponibili nel Sistema di gestione documentale per venti anni, trascorsi i quali sono cancellati in modo definitivo; i dati contenuti nella documentazione raccolta nell'ambito del procedimento ABF, di cui al precedente punto 2), sono disponibili nel Sistema di gestione documentale e nelle procedure interne di back-office che con esso si interfacciano per un tempo massimo di trenta anni, trascorsi i quali sono cancellati in modo definitivo; i documenti accessibili dal Portale on-line, utilizzato per la presentazione del ricorso, sono conservati per cinque anni; i dati contenuti nella documentazione analizzata tramite sistemi di IA, di cui al precedente punto 3), vengono conservati nei relativi applicativi per dieci anni dall'acquisizione del ricorso per garantire la correlazione esistente tra la performance dei sistemi di IA e la lunghezza delle serie storiche sottostanti e consentire cosi' la verifica e la replicabilita' dei risultati delle analisi, utile a stabilire le corrette interazioni tra i dati contenuti nella documentazione del procedimento ABF. (c) Finalita' di interesse pubblico rilevante perseguite dal trattamento Le attivita' di supporto al funzionamento dell'ABF, comprensive dei procedimenti di nomina, rinnovo, decadenza e revoca dei membri dei collegi di cui al precedente punto 1) e della procedura di gestione dei ricorsi di cui al precedente punto 2), rispondono a una finalita' di interesse pubblico rilevante consistente nella tutela delle posizioni individuali delle parti di una controversia bancaria e nel rispetto delle norme di trasparenza e correttezza nelle relazioni tra intermediari e clienti, al fine ultimo di tutelare la clientela e rafforzare la fiducia dei cittadini nel sistema bancario e finanziario. L'analisi della documentazione della procedura ABF effettuata tramite strumenti di IA, di cui al precedente punto 3), e' finalizzata allo svolgimento di attivita', amministrativa e di supporto, per la risoluzione della controversia - effettuando in tal caso il trattamento dei soli dati personali necessari, contenuti nella principale documentazione del ricorso (modulo del ricorso e relativi allegati, controdeduzioni, relazioni tecniche e decisioni dei collegi) - nonche' all'utilizzo del patrimonio informativo, costituito dalle decisioni dei collegi anonimizzate, per un migliore indirizzamento delle attivita' di vigilanza sugli intermediari e di tutela della clientela. d) Base giuridica I trattamenti dei dati personali effettuati nell'ambito delle sopra descritte attivita' di supporto al funzionamento dell'ABF sono leciti ai sensi del combinato disposto dell'art. 6 paragrafo 1 lettere c) ed e) del GDPR e dell'art. 2-ter del codice privacy, in quanto necessari per adempiere a un obbligo legale del titolare del trattamento e per dare esecuzione ai compiti connessi all'esercizio dei pubblici poteri attribuiti alla Banca d'Italia e disciplinati dalle seguenti norme nazionali primarie e secondarie: decreto legislativo del 1° settembre 1993, n. 385 (TUB) e successive modificazioni ed integrazioni, art. 128-bis; delibera del CICR n. 275 del 29 luglio 2008 e successive modificazioni ed integrazioni - «Disciplina dei sistemi di risoluzione stragiudiziale delle controversie con la clientela ai sensi dell'art. 128-bis del decreto legislativo 1° settembre 1993, n. 385, e successive modificazioni ed integrazioni»; disposizioni della Banca d'Italia sui sistemi di risoluzione stragiudiziale delle controversie in materia di operazioni e servizi bancari e finanziari del 18 giugno 2009 e successive modificazioni ed integrazioni; decreto legislativo 27 gennaio 2010, n. 11, art. 40 sull'utilizzo dei sistemi alternativi di risoluzione delle controversie in materia di servizi di pagamento; decreto legislativo 6 agosto 2015, n. 130 di attuazione della direttiva europea sulla risoluzione alternativa delle controversie riguardanti i consumatori; provvedimento Banca d'Italia del 29 luglio 2009 - «Disposizioni di trasparenza delle operazioni e dei servizi bancari e finanziari. Correttezza delle relazioni tra intermediari e clienti» e successive modificazioni ed integrazioni. Il trattamento di categorie particolari di dati personali, eventualmente prodotti nel corso dei procedimenti di nomina, rinnovo, decadenza e revoca dei componenti dei collegi ABF, ovvero contenuti nei ricorsi e negli altri documenti prodotti dalle parti coinvolte nella controversia, e' lecito, rispettivamente, ai sensi: dell'art. 2-sexies, comma 2, lettera dd), del codice privacy, in quanto necessario all'instaurazione, gestione ed estinzione del rapporto di lavoro dei membri dell'ABF; del combinato disposto degli articoli 9, paragrafo 2, lettera g), del GDPR e 2-sexies, comma 2, lettere q), del codice privacy, in quanto necessario per motivi di interesse pubblico considerati rilevanti dal diritto nazionale, consistenti nell'esercizio di pubblici poteri in attivita' di tutela in sede amministrativa e giudiziale. Il trattamento dei dati relativi a condanne penali e reati eventualmente contenuti nei documenti raccolti per valutare il rispetto dei requisiti dei componenti dell'organo decidente e nei documenti prodotti dalle parti coinvolte nella controversia, e' lecito, rispettivamente, ai sensi: del combinato disposto degli articoli 10 del GDPR e 2-octies, comma 3, lettera c), del codice privacy, in quanto autorizzato dal diritto nazionale poiche' necessario per la verifica e l'accertamento dei requisiti di onorabilita' e integrita' dei componenti dell'organo decidente dell'ABF di cui all'art. 3, comma 10 della delibera del CICR n. 275 del 29 luglio 2008 e successive modificazioni ed integrazioni e al paragrafo 3 della sezione III delle disposizioni ABF; del combinato disposto degli articoli 10 del GDPR e 2-octies, comma 3, lettera b) e lettera e) del codice privacy, in quanto autorizzato dal diritto nazionale poiche' necessario per l'accertamento, l'esercizio o la difesa di un diritto in sede giudiziaria nonche' per l'adempimento degli obblighi previsti in materia di mediazione finalizzata alla conciliazione delle controversie attraverso il meccanismo di risoluzione alternativa delle controversie devolute all'Arbitro bancario finanziario. Il trattamento dei dati personali dei ricorrenti che partecipano alla survey di customer satisfaction e' lecito ai sensi dell'art. 6, lettera a) del GDPR, in quanto l'interessato, nel partecipare facoltativamente all'indagine di gradimento, esprime il proprio consenso al trattamento dei dati personali, a seguito di specifica indicazione nell'informativa. (e) Tipologie di dati oggetto di trattamento La documentazione raccolta per i procedimenti di nomina, rinnovo, decadenza e revoca dei membri dei collegi ABF di cui al precedente punto 1), puo' contenere: dati personali idonei a identificare in modo diretto o indiretto una persona fisica; dati personali relativi a condanne penali e reati o a connesse misure di sicurezza, nonche' informazioni riguardanti eventuali incarichi professionali. Queste informazioni sono necessarie a valutare l'idoneita' morale e professionale a ricoprire l'incarico di membro dei collegi ABF. La documentazione utilizzata nella gestione dei ricorsi, di cui al punto 2) e nell'analisi effettuata tramite sistemi di ricerca avanzata e di IA, di cui al punto 3) puo' contenere: dati personali idonei a identificare in modo diretto o indiretto una persona fisica; categorie particolari di dati personali che rivelino l'origine razziale o etnica, le opinioni politiche, le convinzioni religiose o filosofiche o l'appartenenza sindacale nonche' dati relativi alla salute o alla vita sessuale o all'orientamento sessuale della persona; dati personali relativi a condanne penali e reati o a connesse misure di sicurezza. Non sono invece presenti dati personali nella documentazione analizzata per la funzione di clusterizzazione. Talune tipologie di informazioni, comprese quelle relative a categorie particolari di dati personali e a dati relativi a condanne penali e reati, non sono strettamente necessarie alla gestione del ricorso, ma possono essere prodotte dalle parti negli allegati al ricorso, a supporto delle proprie posizioni difensive. Ai fini della risoluzione della controversia, sono trattate solo quelle ritenute indispensabili. (f) Soggetti interessati I dati personali contenuti nella documentazione relativa ai procedimenti di nomina, rinnovo, decadenza e revoca dei componenti dei collegi ABF, di cui al precedente punto 1), si riferiscono ai soggetti interessati all'assunzione (o al rinnovo) dell'incarico o che ricoprono la carica di componente dell'organo decidente dell'ABF. I dati personali contenuti nella documentazione del procedimento ABF analizzata anche tramite sistemi di IA, di cui ai punti 2) e 3), possono riferirsi a: persone fisiche che ricorrono in proprio o in qualita' di rappresentanti di persone giuridiche o enti, persone fisiche che aderiscono al ricorso (cointestatari), persone fisiche terze. Tra le persone fisiche terze rientrano: persone fisiche che agiscono quali procuratori delle parti; persone fisiche legate ai ricorrenti da rapporti di diversa natura o coinvolte a vario titolo nella controversia; persone fisiche che operano in rapporto di mandato, lavoro o collaborazione con l'intermediario convenuto innanzi all'ABF (tra cui consulenti finanziari, agenti o mediatori eventualmente coinvolti nella controversia, anche se indipendenti, autonomi o mandatari di societa' diverse dall'intermediario convenuto). (g) Operazioni eseguibili Le operazioni che si eseguono sulla documentazione relativa ai procedimenti di nomina, rinnovo, decadenza e revoca dei componenti dei collegi ABF, di cui al precedente punto 1), sono attivita' volte: alla raccolta e all'organizzazione della suddetta documentazione, anche attraverso l'utilizzo di una piattaforma informatica interna e la consultazione di altre banche dati; alla verifica dei requisiti normativi per l'assunzione o il rinnovo della carica, ovvero delle cause per l'eventuale decadenza/revoca dall'incarico; alla trasmissione agli interessati e agli eventuali enti designanti dei provvedimenti di nomina, rinnovo, decadenza e revoca dei componenti dell'organo decidente dell'ABF. Le operazioni che si eseguono sulla documentazione del procedimento ABF di cui al precedente punto 2), anche attraverso l'uso di strumenti di IA di cui al precedente punto 3), sono le seguenti: attivita' di raccolta, registrazione, organizzazione, strutturazione, conservazione, adattamento, estrazione, consultazione, uso, raffronto, interconnessione, limitazione, cancellazione degli atti del procedimento e dei dati ivi contenuti, condotte con o senza l'ausilio di sistemi di IA e tecnologie correlate; scambio tra le parti dei rispettivi atti e allegati, sia con l'invio ad opera della segreteria tecnica che in modo automatico tramite il portale ABF, per consentire a ciascuna parte l'esercizio del diritto di difesa; trasmissione degli atti del procedimento al collegio; analisi attraverso la ricerca, effettuata anche con l'ausilio di strumenti di IA e tecnologie correlate, di eventuali precedenti ricorsi presentati dal ricorrente contro il medesimo intermediario sulla stessa questione, ovvero di controversie analoghe e delle relative decisioni assunte dai collegi ABF; predisposizione della relazione tecnica in vista della riunione del Collegio in cui dev'essere esaminato il ricorso; trasmissione alle parti dell'esito della controversia e delle eventuali valutazioni del collegio sulle azioni poste in essere dall'intermediario convenuto per dare attuazione alle decisioni dell'ABF; gestione dei dati, anche con l'ausilio di strumenti di IA e tecnologie correlate, nell'ambito delle elaborazioni statistiche condotte sui ricorsi e sui loro esiti per finalita' connesse alle funzioni di vigilanza e di tutela della clientela svolte dalla Banca d'Italia, per rendere al pubblico l'informativa sulle attivita' svolte dall'ABF e per valutare la qualita' dell'eventuale assistenza ricevuta dai ricorrenti in fase di presentazione del ricorso; archiviazione delle decisioni dei collegi ABF; pubblicazione delle decisioni sul sito internet dell'ABF in forma anonimizzata; trasmissione degli atti del procedimento a: pubbliche amministrazioni, autorita' od organismi con funzioni di controllo, competenti a trattare la questione oggetto di ricorso e/o nei cui confronti sussiste un obbligo di collaborazione, anche tramite scambio di informazioni, quali Consob, Ivass, AGCM, Organismo agenti e mediatori - OAM, Organismo confidi minori - OCM, Organismo di vigilanza e tenuta dell'albo unico dei consulenti finanziari - OCF, Covip, Autorita' di supervisione estere, BCE, sistemi di risoluzione stragiudiziale delle controversie attivi nel settore bancario, finanziario e assicurativo e facenti parte della Rete Fin-Net; Autorita' giudiziaria e organismi investigativi, nei casi in cui la Banca d'Italia rilevi negli atti del fascicolo ABF profili che comportano l'obbligo di denuncia o nei casi in cui occorra corrispondere a richieste di collaborazione nell'ambito di procedimenti giudiziari in corso. (h) Misure tecniche e organizzative adottate e garanzie a tutela dei diritti degli interessati Nello svolgimento delle attivita' di supporto al funzionamento dell'ABF, comprensive dei procedimenti di nomina, rinnovo, decadenza e revoca dei membri dei collegi di cui al precedente punto 1) e del procedimento di gestione dei ricorsi, effettuato anche tramite strumenti di IA, di cui ai precedenti punti (2) e (3), sono utilizzati applicativi e procedure di supporto il cui uso e' presidiato da misure di sicurezza tecniche e organizzative. In particolare, i dati personali sono trattati nel rispetto dei principi in materia di protezione dei dati personali ai sensi dell'art. 5 GDPR. A tal fine sono adottate misure a garanzia della sicurezza dei dati quali: la limitazione dell'accesso alle informazioni ai dipendenti abilitati, agli addetti ad attivita' di supporto al funzionamento dell'ABF e, solo per l'accesso al fascicolo telematico contenente la documentazione del procedimento ABF, anche ai componenti dell'organo decidente; la raccolta e conservazione dei log degli accessi e delle operazioni compiute dagli addetti e dagli amministratori di sistema che accedono alle informazioni; la pianificazione di aggiornamenti e backup periodici dei dati e procedure di ripristino a tutela dell'integrita' delle informazioni; l'adozione di misure di protezione degli hardware, delle reti e delle apparecchiature da minacce ambientali, accessi non autorizzati o intercettazioni; la previsione per gli apparati mobili (laptop) della crittografia del disco; la designazione, quali autorizzati al trattamento, dei soggetti abilitati all'accesso alle informazioni (addetti alle attivita' di supporto e componenti del collegio ABF) e la periodica formazione, sensibilizzazione e aggiornamento sulle corrette modalita' operative nell'utilizzo degli applicativi e degli strumenti di ricerca avanzata, dei sistemi di IA e delle tecnologie correlate, nonche' sulle misure da adottare, a presidio della riservatezza della documentazione e del corretto uso dei sistemi di IA (cfr. infra); l'adozione di specifiche policy interne sulla protezione dei dati, con specifico riferimento alle modalita' di gestione di eventuali data breach; l'esecuzione di verifiche periodiche (almeno annuali) dei privilegi di accesso degli utenti e dei relativi gruppi autorizzativi. I documenti raccolti per le attivita' di nomina, rinnovo, decadenza e revoca dei componenti dei collegi, di cui al precedente punto 1), e di gestione del procedimento ABF di cui al precedente punto 2), transitano nel Sistema di gestione documentale della Banca d'Italia, che presidia il protocollo della corrispondenza dell'Istituto nei flussi documentali ufficiali, in arrivo e in partenza. La procedura e' stata realizzata in osservanza delle norme di legge in materia e persegue l'obiettivo di dematerializzare i flussi documentali. Ogni documento e' inserito in uno degli archivi elettronici disponibili ed e' identificato da un numero progressivo annuo univoco. Inoltre, con riferimento all'attivita' di nomina, rinnovo, decadenza e revoca dei membri dei collegi, di cui al precedente punto 1), vengono utilizzati anche applicativi aziendali, connessi con il Sistema di gestione documentale, che consentono la gestione in via informatizzata della documentazione raccolta. Per la trattazione della documentazione relativa alla nomina dei componenti dei collegi ABF, considerata la presenza di eventuali riferimenti a fatti di possibile rilievo penale, sono stati implementati ulteriori e specifici presidi tecnici e organizzativi: i documenti vengono classificati con un elevato livello di riservatezza; la circolazione dei documenti viene limitata ad addetti che rivestono uno specifico ruolo o che sono strettamente coinvolti nei compiti di gestione della documentazione; l'eventuale ulteriore diffusione avviene solo su specifica autorizzazione dei responsabili di struttura; per la trasmissione di documentazione riservata viene utilizzata la crittografia; in caso di conservazione di informazioni su supporto rimovibile sono applicati specifici presidi di sicurezza fisica, quali la custodia in armadi chiusi a chiave il cui accesso e' limitato a un determinato numero di persone. Anche con riferimento alla gestione del procedimento ABF di cui al punto 2), sono utilizzati applicativi aziendali, connessi con il Sistema di gestione documentale, che consentono la presentazione on-line del ricorso e la gestione in via telematica dei relativi documenti. In particolare, i ricorsi presentati on-line tramite il portale ABF vengono protocollati attraverso il Sistema di gestione documentale; i documenti allegati dal ricorrente sono rintracciabili nella scheda protocollata distinti per tipologia (documenti di identita', procura e documentazione di supporto al ricorso). Tali dati vengono importati automaticamente negli applicativi interni utilizzati per la gestione dei fascicoli e delle diverse fasi della procedura. Sia la procedura di backoffice sia il Portale on-line prevedono presidi di sicurezza in linea con la classificazione di riservatezza delle informazioni di livello alto, in considerazione della documentazione di natura riservata che potrebbe essere depositata dai clienti. All'esito del ricorso, il provvedimento del Presidente o del collegio e' comunicato alle parti e puo' essere pubblicato sul sito esterno dell'ABF previa anonimizzazione dei dati personali ivi contenuti. A tal fine il sistema provvede ad eliminare il frontespizio in cui e' specificata l'identita' delle parti ed il numero identificativo del ricorso. Sono state fornite alle segreterie tecniche e ai collegi indicazioni operative per evitare l'inserimento di dati personali nel corpo della decisione; un ausilio per la corretta anonimizzazione dei provvedimenti e' costituito da una specifica funzione dei sistemi di IA utilizzati per l'analisi della documentazione. Con riferimento, infine, a quest'ultima attivita' di analisi della documentazione effettuata tramite sistemi di IA e tecnologie correlate, di cui al precedente punto 3), sono utilizzati applicativi aziendali che non prevedono connessioni verso l'esterno, ma solo verso il Sistema di gestione documentale e gli altri applicativi interni di gestione telematica dei documenti. L'attivita' di analisi della documentazione, effettuata tramite tali strumenti non ha ad oggetto i dati personali e non coinvolge direttamente le persone fisiche, le quali quindi non sono destinatarie di alcuna decisione automatica, ne' soggette a profilazione o predizione dei comportamenti. Per garantire un corretto uso dei sistemi di IA utilizzati a supporto dell'attivita' di gestione dei ricorsi ABF, viene svolta un'attivita' di formazione destinata agli operatori abilitati all'utilizzo di tali tool, al fine di assicurarne un uso consapevole e conforme alla normativa applicabile. Il testo di tale documentazione viene processato tramite tecniche di ML, ricorrendo ad algoritmi in grado di apprendere le logiche di analisi e di ricerca da un insieme di dati (c.d. training dataset) che, in un processo continuo di riaddestramento, vengono periodicamente monitorati e aggiornati. Un team multidisciplinare di esperti, composto da addetti alle attivita' di supporto al funzionamento dell'ABF e da addetti con profilo tecnico (data scientist), si occupa di presidiare la qualita' e l'accuratezza delle analisi svolte e di definire, validare e controllare periodicamente i risultati forniti dai modelli di IA, monitorando l'obsolescenza delle relazioni da questi ultimi apprese e operando il riaddestramento e aggiornamento della macchina, al fine di garantire la supervisione umana e l'autonomia decisionale rispetto ai risultati prodotti dai modelli di IA. In particolare, l'algoritmo viene periodicamente riaddestrato non appena si ritiene, anche alla luce dei risultati restituiti, che il set di informazioni o l'interpretazione ad essi associata stia per rendere «obsolete» le relazioni apprese dal modello a causa di fattori di variazione, anche esogeni, che possono impattare sui risultati delle analisi. Al riguardo hanno rilievo, ad esempio, nuovi orientamenti dell'ABF che superino i precedenti in conseguenza di un riesame della fattispecie, di nuovi indirizzi della giurisprudenza o di interventi normativi innovativi. L'applicazione del ML si avvale di tecniche in grado di fornire una rappresentazione del funzionamento interno dell'algoritmo, finalizzata alla spiegabilita' dei risultati prodotti. E' prevista la conservazione della documentazione che da' conto del continuo perfezionamento dell'algoritmo al fine di «versioning» del modello e di monitoraggio dello sviluppo nel corso del tempo. L'accesso a tali applicativi e' consentito in via esclusiva ai data scientist che hanno elaborato l'algoritmo e agli addetti alle attivita' di supporto al funzionamento dell'ABF e puo' avvenire solamente con l'utilizzo di account e password dotate di determinati criteri (blocco dopo un certo numero di tentativi falliti, qualita' delle password in termini di lunghezza e scadenza). i) Modalita' di informativa agli interessati ed esercizio dei diritti connessi Il trattamento dei dati effettuato nell'ambito delle attivita' di supporto al funzionamento dell'ABF e' conforme ai principi generali di correttezza e trasparenza, ai sensi dell'art. 5, paragrafo 1, lettera a) del GDPR. Allo scopo, in ossequio anche agli obblighi informativi cui e' tenuta in qualita' di titolare del trattamento ai sensi degli articoli 12 e seguenti del GDPR, la Banca d'Italia predispone e sottopone agli interessati l'informativa sulla protezione dei dati personali. Per il trattamento dei dati personali raccolti nell'ambito del procedimento di nomina, rinnovo, decadenza e revoca dei componenti dell'organo decidente, di cui al precedente punto 1), l'informativa viene resa disponibile ai soggetti interessati all'assunzione dell'incarico (o al rinnovo) in sede di compilazione della dichiarazione sostitutiva di certificazione e di atto notorio sulla sussistenza dei requisiti per ricoprire la carica. Per il trattamento dei dati personali effettuato nell'ambito delle attivita' di gestione della procedura ABF, anche tramite sistemi di IA - di cui ai precedenti punti (2) e (3) - l'informativa viene fornita in sede di presentazione del ricorso. L'informativa contiene il riferimento anche al trattamento dei dati riferibili ai cointestatari del ricorso e dei terzi coinvolti a vario titolo nella controversia. In particolare, gli interessati vengono informati dell'utilizzo di sistemi di IA per effettuare l'analisi della documentazione raccolta, sia con la pubblicazione del presente regolamento sul sito internet dell'ABF sia attraverso l'informativa sulla protezione dei dati personali: l'informativa fa espressa menzione dell'uso di strumenti di IA a supporto dell'attivita' di analisi della documentazione del procedimento ABF, facendo altresi' presente che l'uso di tali tecniche, che puo' riguardare anche il trattamento dei dati di cointestatari del ricorso e di terzi coinvolti a vario titolo nella controversia, e' finalizzato a ricavare elementi utili per l'attivita' amministrativa di supporto al funzionamento dell'ABF e non comporta alcun processo decisionale automatizzato relativo alle persone fisiche, compresa la profilazione, ne' influenza l'esito dei ricorsi sottoposti all'ABF, la cui decisione e' rimessa alla valutazione imparziale dei collegi. Al riguardo, e' reso disponibile un disclaimer sul portale ABF per l'invio del ricorso in via telematica e nella modulistica cartacea per i casi in cui venga utilizzato il canale analogico. Al momento dell'invio del ricorso e' raccolta una dichiarazione di presa visione dell'informativa: tramite specifico flag nel caso di invio telematico del ricorso, o con apposita sottoscrizione del modulo nel caso di invio cartaceo. Gli interessati, rivolgendosi al titolare del trattamento dei dati o al responsabile della protezione dei dati per la Banca d'Italia, possono esercitare i diritti di cui agli articoli da 15 a 22 del GDPR, fatto salvo il caso in cui ricorrano le limitazioni di cui all'art. 2-undecies del Codice privacy, chiedendo l'accesso ai dati personali e la rettifica o la cancellazione degli stessi o la limitazione del trattamento che li riguarda. In ogni caso, l'interessato ha diritto di opporsi in qualsiasi momento, per motivi connessi alla sua situazione particolare, al trattamento dei dati personali che lo riguardano ai sensi e nei limiti di cui all'art. 21 del GDPR. L'interessato, qualora ritenga che il trattamento che lo riguarda sia effettuato in violazione di legge, puo' proporre reclamo al Garante per la protezione dei dati personali nei termini previsti dalla normativa vigente. Il presente regolamento e' pubblicato sul sito della Banca d'Italia e nella Gazzetta Ufficiale della Repubblica italiana. Roma, 3 settembre 2026 Il direttore generale: Angelini (1) Cfr. paragrafo 2 della Sezione III delle Disposizioni ABF (disponibili sul sito www.arbitrobancariofinanziario.it). (2) Cfr. Sezione IV delle Disposizioni ABF (disponibili sul sito http://www.arbitrobancariofinanziario.it). (3) Cfr. il sito Presentare un ricorso _ Sito dell'Arbitro Bancario Finanziario. (4) Sono esclusi gli indirizzi che compaiono piu' volte, oppure che coincidono con l'indirizzo e-mail del rappresentante del ricorrente.