Dati sulla titolarità effettiva: nuove regole di accesso in Estonia 

A partire dal 10 luglio 2026, l’Estonia aggiornerà le modalità di accesso ai dati sui titolari effettivi nel Registro elettronico delle imprese. La novità principale è semplice: i dati sui titolari effettivi non saranno più liberamente visibili a tutti gli utenti non autenticati. L’accesso passerà a un modello basato sulla finalità per le autorità competenti, i soggetti obbligati, i partner contrattuali con diritti e le persone in grado di dimostrare un interesse legittimo. Ciò fa seguito alla Comunicato del Ministero delle Finanze e l'aggiornamento pratico pubblicato dal Portale di assistenza di e-Business Register.

Cosa sta cambiando per quanto riguarda i dati sui titolari effettivi in Estonia?

Il Ministero delle Finanze sta preparando alcune modifiche alle norme relative al registro dei titolari effettivi, noto come TEKSA. Oggi, chiunque può consultare le informazioni sui titolari effettivi tramite l’e-Business Register. A partire dal 10 luglio 2026, questo sistema cambierà perché i dati saranno non è più accessibile gratuitamente, per poter accedere ci vorrà una base ben definita, e utenti non autenticati non potrai visualizzare i dati. 

L'orientamento politico mira a conciliare tre obiettivi: trasparenza, i controlli antiriciclaggio e la tutela della privacy. Questo equilibrio è importante perché i dati sulla titolarità effettiva identificano le persone fisiche che controllano in ultima istanza una società. Sono utili per la due diligence, la vigilanza e le attività antiriciclaggio, ma contengono anche informazioni personali che non dovrebbero essere rese pubbliche senza una valida ragione. 

Questo cambiamento fa seguito al nuovo quadro normativo dell’Unione Europea in materia di antiriciclaggio e alla giurisprudenza della Corte di Giustizia Europea sull’accesso pubblico illimitato ai registri dei titolari effettivi. In pratica, l’Estonia sta passando da una visibilità pubblica aperta a un accesso controllato. Dovremmo considerarlo come un cambiamento in termini di conformità e governance dei dati, non solo come un semplice aggiornamento tecnico del registro. 

Il cambiamento principale può essere riassunto così: 

• La visibilità pubblica diventa un accesso limitato.
• Le ricerche basate sulla curiosità vengono sostituite dall'accesso mirato.
• Gli utenti che non hanno i diritti necessari devono inviare una richiesta motivata.

Chi potrà ancora accedere al registro?

Gruppi di accesso e impatto concreto 

Le nuove norme non eliminano i dati relativi alla titolarità effettiva da flussi di lavoro relativi alla conformità. Anzi, limitano l’accesso alle persone e alle organizzazioni che hanno un motivo legalmente riconosciuto per utilizzarlo. Le autorità competenti lo useranno per adempiere ai propri obblighi di legge, i soggetti obbligati lo useranno per l’adeguata verifica della clientela e la conformità, mentre chi ha un interesse legittimo potrà richiedere l’accesso a dati specifici. 

Per le aziende, le banche, le fintech, gli studi legali, i commercialisti, i notai, i revisori dei conti e altri soggetti obbligati, la questione pratica non è se il registro scomparirà. Non scomparirà. La questione pratica è se il loro percorso di accesso, autorizzazioni utente, e procedure interne siano pronti prima del 10 luglio 2026. 

Ti consigliamo di definire i diversi gruppi di utenti all’interno dell’organizzazione. Una persona che deve accedere al sistema per l’onboarding dei clienti potrebbe non aver bisogno degli stessi diritti di chi si occupa di pratiche burocratiche, amministrazione o rendicontazione. L’approccio più sicuro è accesso basato sui ruoli, finalità documentata e revisione periodica.

Come funzioneranno le richieste di dati sui titolari effettivi a partire dal 10 luglio 2026 

A partire dalla data di entrata in vigore, chi non ha diritti di accesso automatici puoi presentare una richiesta e spiegare perché è necessario accedere ai dati sulla titolarità effettiva. Il comunicato del Ministero delle Finanze precisa che gli utenti che accedono tramite il portale del Registro elettronico delle imprese continueranno ad avere accesso gratuito se rientrano nelle categorie autorizzate. 

La procedura di richiesta è particolarmente importante per chi non è un’autorità competente né un soggetto obbligato, ma ha comunque bisogno di informazioni specifiche per un finalità legittima. In questi casi, la motivazione dovrebbe essere precisa. Una richiesta generica di ricerche di mercato, di semplice curiosità o di monitoraggio senza limiti difficilmente si adatta al modello basato sulle finalità. 

A file di richiesta interna con priorità elevata dovrebbe includere: 

• L'entità di cui si richiedono i dati.
• Il motivo specifico per cui serve l'accesso.
• Il contesto legale, contrattuale o normativo in cui si inserisce la richiesta.
• Il responsabile del trattamento e della conservazione dei dati.  

Ci aspettiamo che le richieste di accesso diventino più formale rispetto alle attuali ricerche pubbliche. Questo significa che i team dovrebbero preparare subito dei modelli, istruire il personale sugli scopi ammissibili e conservare le prove che dimostrino il motivo per cui si è avuto accesso ai dati.

Cosa dovrebbero verificare i partner contrattuali e gli utenti dell'API

Il portale di assistenza dell'e-Business Register fornisce importanti dettagli operativi per i partner contrattuali e gli utenti delle API. Le persone autorizzate designate dal Ministero delle Finanze potranno accedere ai dati effettuando l’accesso all’e-Business Register in qualità di partner contrattuali. I nuovi partner contrattuali, così come quelli esistenti che non dispongono di diritti predefiniti, potranno presentare una richiesta di accesso nell’ambiente del Registro elettronico delle imprese a partire da luglio 2026.

L'impatto delle API e dei dati aperti

Le restrizioni di accesso si applicheranno a singole richieste e servizi API. I dati relativi ai titolari effettivi non saranno più pubblicati come file di dati aperti a partire dalla data di entrata in vigore della modifica. Inoltre, gli utenti autorizzati riceveranno i dati tramite il API dei titolari effettivi servizio, mentre i dati relativi ai titolari effettivi non saranno più trasmessi tramite il API dei dati dettagliati dopo la modifica.

Autorizzazioni utente e accesso tramite e-ID

Anche i partner contrattuali devono gestire le autorizzazioni interne. L'accesso sarà limitato a tutti gli utenti per impostazione predefinita, e il partner contrattuale deve assegnare i diritti corretti a ogni utente che deve poter visualizzare i dati. Gli utenti che effettuano richieste devono effettuare l'accesso con un e-ID, come ad esempio una carta d'identità estone, Smart-ID, Mobile-ID, oppure eID dell'UE. 

Prima di luglio, gli amministratori dovrebbero controllare: 

• Se ogni utente ha un numero di identificazione personale nel proprio profilo.
• Quali dipendenti hanno effettivamente bisogno di accedere al sistema.
• Se le integrazioni API puntano al servizio corretto.
• I log interni indicano chi ha consultato i dati e per quale motivo?.  

Azioni concrete da intraprendere entro il 10 luglio 2026

L'aggiornamento relativo all'accesso ai dati sulla titolarità effettiva è gestibile se le organizzazioni si preparano per tempo. Ti suggeriamo di considerare il 10 luglio 2026 come termine ultimo per revisione legale, prontezza tecnica, e formazione del personale. 

Per prima cosa, verifica se l’organizzazione è un’autorità competente, un soggetto obbligato, un partner contrattuale o un altro soggetto che potrebbe dover dimostrare un interesse legittimo. In secondo luogo, documenta la finalità aziendale per ogni tipo di accesso. Infine, verifica il processo operativo relativo ad accessi, diritti, chiamate API e file di richiesta. 

Per i team che si occupano dell'onboarding dei clienti o dei controlli sulle transazioni, questo è anche un buon momento per rivedere le procedure interne antiriciclaggio. Puoi inserire qui il link alla nostra pagina di consulenza sulla conformità antiriciclaggio come guida interna di supporto. Le aziende che seguono gli sviluppi del registro estone potrebbero anche voler collegare questo aggiornamento alle più ampie novità in materia di diritto societario in Estonia. 

Una lista di controllo pratica per la preparazione dovrebbe includere: 

• Conferma la categoria di accesso per l'organizzazione.
• Indica gli utenti specifici che hanno bisogno di accedere al registro.
• Aggiorna le note interne sulla privacy e sulla conservazione dei dati.
• Controlla le connessioni API e le dipendenze dei dati aperti.
• Prepara un modello di richiesta basata sull'interesse legittimo.
• Forma il personale prima della data di entrata in vigore.  

Il messaggio giuridico è chiaro: la trasparenza sulla titolarità effettiva rimane parte integrante del sistema antiriciclaggio dell’Estonia, ma l’accesso sta diventando più mirato. Le organizzazioni dovrebbero ora passare dalle pratiche di ricerca aperta a controlli di accesso basati sullo scopo. Questo garantisce il rispetto degli obblighi di conformità, riducendo al contempo l'esposizione non necessaria dei dati personali. 

Scritto da Elena Crimaldi, Team legale.