L’8 gennaio 2026, la Corte Suprema dell’Estonia, nel procedimento n. 3-23-125, ha dichiarato illegittima una direttiva generalizzata emanata dall’Unità di informazione finanziaria estone (FIU o Rahapesu Andmebüroo) che, alla fine del 2022, aveva richiesto un volume significativo di informazioni a tutti i prestatori di servizi relativi a trust e società (TCSP) autorizzati che offrivano servizi di registrazione di società e di sede legale virtuale in Estonia.
Questa decisione è diventata un importante punto di riferimento per l’intero sistema di supervisione AML (Anti-Money Laundering) e ha delineato i limiti dell’ingerenza statale ammissibile nelle attività delle imprese legittime. La posizione della Corte Suprema estone ha ricevuto ampia copertura anche nei media estoni, tra cui Postimees ed ERR, evidenziandone l’importanza non solo per la comunità professionale, ma anche per il più ampio dibattito giuridico pubblico.
Uno dei promotori del procedimento giudiziario sfociato in questa storica sentenza della Corte Suprema estone nel gennaio 2026 è stato Ühinenud Õigusbürood OÜ, società madre di Eesti Firma OÜ. L’obiettivo del ricorso al tribunale era ottenere certezza giuridica sui limiti ammissibili dei poteri di vigilanza in ambito AML/KYC (Anti-Money Laundering / Know Your Customer), nonché tutelare il principio di proporzionalità nei rapporti tra l’autorità di regolamentazione e le imprese autorizzate.
Supervisione AML e richiesta massiva di dati
Nel dicembre 2022, la FIU ha inviato un’unica direttiva a 322 TCSP autorizzati, imponendo loro di rispondere a un questionario composto da 44 domande. La richiesta riguardava un’ampia gamma di temi: dalle procedure interne AML/KYC alla struttura della clientela, all’ambito geografico delle attività, agli indicatori finanziari e all’applicazione delle misure sanzionatorie.
L’autorità di regolamentazione ha giustificato il proprio operato con la necessità di acquisire una comprensione completa dei rischi del settore e di sviluppare una supervisione AML orientata al rischio. Allo stesso tempo, la richiesta non era collegata ad alcun sospetto, violazione o controllo individuale specifico. Aveva carattere preventivo e si applicava indistintamente a tutti gli operatori del mercato, indipendentemente dalle loro dimensioni, dal modello di business o dal profilo di rischio.
È stato proprio questo approccio a diventare oggetto della controversia. Diverse società che avevano già adempiuto alla direttiva hanno sollevato la questione di dove si collochi il confine tra una legittima supervisione AML e un onere amministrativo eccessivo e se l’autorità di regolamentazione possa, nell’ambito di una valutazione astratta del rischio, esigere dalle imprese informazioni così estese e complesse sotto il profilo analitico.
Principali conclusioni giuridiche della Corte Suprema
Nell’esaminare il procedimento n. 3-23-125, la Corte Suprema non ha messo in discussione l’importanza delle misure AML/KYC (Anti-Money Laundering / Know Your Customer) quali strumenti di protezione del sistema finanziario. Si è invece concentrata sulla correttezza procedurale e sui fondamenti giuridici dell’operato dell’autorità di vigilanza.
Distinzione tra le funzioni della FIU
La Corte ha rilevato che in Estonia la FIU riunisce due ruoli distinti. Da un lato, è un’unità di informazione finanziaria (FIU) che analizza le operazioni sospette. Dall’altro, è un’autorità di vigilanza che controlla il rispetto dei requisiti AML/KYC da parte dei soggetti obbligati.
Questi ruoli hanno natura giuridica diversa e si fondano su disposizioni di legge differenti. I poteri conferiti alla FIU per lo svolgimento dei compiti di informazione finanziaria non possono essere automaticamente utilizzati per esercitare la vigilanza statale. Quando svolge attività di vigilanza, l’autorità di regolamentazione deve attenersi rigorosamente agli strumenti espressamente previsti a tale scopo.
Fondamento giuridico errato come errore determinante
La Corte ha concluso che la FIU si era basata su una disposizione di legge non destinata alle richieste massive di informazioni rivolte a società private nell’ambito della vigilanza preventiva. Il ricorso a un fondamento giuridico errato è stato ritenuto una violazione significativa, tale da rendere illegittima la direttiva indipendentemente dalla finalità dichiarata.
È importante sottolineare che la Corte non ha affermato che la raccolta di informazioni sia di per sé inammissibile. Ha precisato che, anche nell’ambito AML/KYC, le misure di vigilanza devono avere una giustificazione giuridica chiara, specifica e appropriata.
Principio «prima i registri, poi le imprese»
La Corte ha dedicato particolare attenzione alle fonti delle informazioni. Nel contesto della supervisione AML preventiva, l’autorità di regolamentazione è tenuta a utilizzare innanzitutto i dati già in possesso dello Stato o disponibili tramite i registri ufficiali.
Non è ammissibile richiedere alle società informazioni che possono essere ottenute senza il loro coinvolgimento. Un simile approccio non rispetta il principio di proporzionalità e trasferisce ingiustificatamente sulle imprese il lavoro analitico dell’autorità di regolamentazione.
Confine tra dati e «nuove relazioni»
Una delle conclusioni più rilevanti sul piano pratico della decisione è stata l’affermazione secondo cui una richiesta di informazioni non deve trasformarsi nell’obbligo per le società di creare nuovi documenti o sintesi analitiche, qualora tale livello di dettaglio non fosse già richiesto dalla legge.
Le società dispongono naturalmente dei dati primari relativi alle proprie attività. Tuttavia, l’esistenza dei dati non equivale all’obbligo di disporre di relazioni già pronte per ogni possibile articolazione che possa interessare l’autorità di vigilanza. La Corte ha sottolineato che la supervisione AML non può imporre alle imprese di produrre retroattivamente analisi complesse al solo scopo di agevolare l’autorità di regolamentazione.
La proporzionalità quale elemento obbligatorio della supervisione AML
Pur riconoscendo la legittimità dell’obiettivo — valutare i rischi del settore — la Corte ha rilevato la sproporzione dello strumento prescelto. Una richiesta identica di 44 domande rivolta a tutti gli operatori del mercato, senza tenere conto delle loro caratteristiche individuali, è stata ritenuta eccessiva per ampiezza e grado di invasività. Secondo la Corte, la supervisione AML dovrebbe essere mirata e limitata a quanto strettamente necessario, anziché universale ed eccessiva.
Rilevanza pratica della decisione per i TCSP e il settore FinTech
Per i TCSP, così come per le società fintech soggette alla regolamentazione AML/KYC, questa decisione comporta importanti implicazioni pratiche. **In primo luogo**, aumenta la prevedibilità delle prassi di vigilanza. Le società hanno il diritto di aspettarsi che le richieste di informazioni siano motivate, proporzionate e giuridicamente fondate.
In secondo luogo, la decisione favorisce una migliore organizzazione interna dei processi di compliance. Comprendere quali dati una società sia tenuta per legge a conservare e quali siano invece generati esclusivamente per finalità di gestione interna diventa di importanza cruciale nei rapporti con le autorità di regolamentazione.
In terzo luogo, per le stesse autorità di vigilanza, la decisione definisce un quadro nel quale la supervisione AML rimane altrettanto efficace, ma diventa più solida dal punto di vista giuridico. Controlli mirati, una chiara motivazione delle richieste e l’utilizzo delle fonti informative pubbliche disponibili riducono il rischio di successive controversie e aumentano la fiducia complessiva nel sistema.
Conclusione
La decisione della Corte Suprema estone dell’8 gennaio 2026 non indebolisce il sistema AML/KYC. Al contrario, lo rende più maturo. La Corte ha chiaramente indicato che la lotta al riciclaggio di denaro deve essere condotta nel rispetto della legge, del principio di proporzionalità e delle garanzie procedurali previste per le imprese.
Per i TCSP autorizzati, questa sentenza ha confermato che la certezza giuridica e una vigilanza efficace non sono in contrasto tra loro. Per l’autorità di regolamentazione, ha rappresentato un richiamo al fatto che, anche in ambiti sensibili di interesse pubblico, i poteri di regolamentazione hanno dei limiti. È proprio questo equilibrio a creare in Estonia un ambiente stabile, prevedibile e basato sulla fiducia per lo sviluppo delle imprese.
