Un background check è una fotografia istantanea: documenta il riscontro alla data della verifica – e niente di più. Le liste di sanzioni cambiano ogni giorno, le adverse media emergono continuamente e la situazione economica di una persona può capovolgersi nel giro di mesi. Per i soggetti obbligati ai sensi della GwG il monitoraggio continuo del rapporto d’affari è comunque un obbligo (§ 10 par. 1 n. 5 GwG); per il proprio personale, invece, i principi del GDPR pongono limiti a uno screening permanente senza motivo. La risposta giusta non è quindi un aut-aut, ma una matrice decisionale: una tantum, su evento o continuativo – a seconda del ruolo e del regime giuridico.
Perché la fotografia istantanea invecchia
Il controllo point-in-time risponde alla domanda «Alla data di riferimento era noto qualcosa?» – non alla domanda «Oggi è noto qualcosa?». Tre esempi mostrano quanto velocemente un esito di verifica diventi obsoleto:
- Liste di sanzioni: i regolamenti UE sulle sanzioni (tra cui il reg. (UE) n. 269/2014) vengono continuamente integrati con persone e organizzazioni – un riscontro può emergere un giorno dopo il check.
- Adverse media: la copertura di indagini, insolvenze o conflitti di interessi emerge in modo continuo ed è per natura imprevedibile.
- Situazione personale: attività secondarie, partecipazioni e dissesti economici si sviluppano dopo l’assunzione – cioè dopo l’unico momento di verifica di molte aziende.
Cosa richiede la legge – e dove differenzia
Nei rapporti d’affari la situazione giuridica per i soggetti obbligati è chiara: il § 10 par. 1 n. 5 GwG richiede il monitoraggio continuo, inclusa l’aggiornamento dei documenti e delle informazioni sottostanti. Chi verifica clienti e partner commerciali solo in fase di onboarding non adempie gli obblighi di diligenza.
Per il personale il quadro è più differenziato: presso i soggetti obbligati l’affidabilità dei dipendenti va garantita non solo all’assunzione, ma continuativamente – come ciò appaia nel merito è illustrato nel nostro contributo sulla verifica dei dipendenti ai sensi della GwG. Al contempo non esiste un obbligo generale di sottoporre ogni dipendente a uno scrutinio permanente – e sotto il profilo della protezione dei dati ciò non sarebbe nemmeno sostenibile. Per la revisione interna e la vigilanza conta meno il singolo riscontro che la dimostrazione che il vostro modello di verifica è stato scelto consapevolmente, motivato per iscritto e applicato coerentemente.
Dove il GDPR pone limiti
Lo screening permanente senza motivo dell’intera forza lavoro collide con i principi dell’art. 5 par. 1 GDPR: finalità (lett. b), minimizzazione dei dati (lett. c) e limitazione della conservazione (lett. e) richiedono che le verifiche ripetute abbiano una finalità definita, un ambito limitato e un concetto di cancellazione. Come base giuridica vengono in considerazione l’art. 6 par. 1 lett. c GDPR (obblighi legali di verifica dei soggetti obbligati) e la lett. f (interesse legittimo con ponderazione) – più rischioso è il ruolo, più facilmente la ponderazione sostiene anche un turno più ravvicinato. La sistematica sottostante l’abbiamo elaborata nel contributo sulle basi giuridiche GDPR dello screening.
Matrice decisionale: una tantum, su evento, continuativo
Nella pratica si rivela efficace un modello a tre livelli:
- Una tantum (assunzione): tutte le posizioni – identità, curriculum, registri rilevanti per la posizione. Il check di base resta il fondamento di ogni decisione sul personale.
- Su evento: cambi di ruolo verso funzioni sensibili, indizi concreti, occasioni normative (ad esempio una notifica di nomina imminente). Rientrano qui anche gli esterni – perché lo mostra il nostro contributo sullo screening di interim manager e fornitori di servizi.
- Continuativo: ruoli chiave con accesso a denaro, dati dei clienti o sistemi critici, nonché situazioni con obbligo legale di sorveglianza – qui soprattutto monitoraggio di liste di sanzioni e adverse media, cioè le categorie che possono cambiare quotidianamente.
Decisiva è l’attribuzione documentata: quale ruolo rientra in quale livello, con quale motivazione e quale turno? Anche il turno stesso va motivato – un ritmo annuale per i ruoli chiave è di regola ben sostenibile, uno più fitto solo per fonti che cambiano quotidianamente come le liste di sanzioni.
Raccomandazione operativa
Classificate i vostri ruoli lungo i tre livelli, motivate l’attribuzione per iscritto e definite per ciascun livello ambito di verifica, turno e termini di cancellazione. Iniziate dai ruoli chiave – lì il divario tra verifica una tantum e realtà è più costoso. Indicium fornisce report verificabili con fonti datate e controllo finale umano (art. 22 GDPR) a partire da €79 a report; la promessa di soddisfazione a 6 mesi getta il ponte tra i due mondi – iniziate con verifiche singole e sviluppate da esse un programma ricorrente senza impegnarvi in anticipo. Dettagli sui modelli trovate in Prezzi, l’ambito di verifica nel report software.
Questo articolo non costituisce una consulenza giuridica.