Conservazione documenti antiriciclaggio Spagna: l’obbligo dei 10 anni

L’articolo 25 della Legge 10/2010 ti obbliga a conservare per dieci anni la documentazione di adeguata verifica e delle operazioni. È l’obbligo che riceve meno attenzione e quello che trasforma qualsiasi ispezione in un problema, se non è stato rispettato.

Riesci a recuperare un fascicolo di otto anni fa? Diagnosi gratuita

Raccontaci come conservi oggi la documentazione e ti diciamo se reggerebbe a una richiesta di informazioni.

  • +50 enti assistiti
  • Risposta entro 24 ore
  • Senza impegno
Periodo di conservazione
10 anni
Base giuridica (Legge 10/2010)
Art. 25
Sanzione minima grave
60.000 €
Base giuridica GDPR
Art. 6.1.c

Cosa si deve conservare e per quanto tempo

Dieci anni, su un supporto recuperabile e con la possibilità di ricostruire il fascicolo così com’era.

L’articolo 25 della Legge 10/2010 obbliga i soggetti obbligati a conservare per un periodo di dieci anni la documentazione in cui si formalizza il rispetto degli obblighi di adeguata verifica, nonché i documenti e i registri delle operazioni. È un termine lungo, ben superiore a quello che si applica di solito, per impostazione predefinita, alla documentazione commerciale ordinaria.

Ciò che conta non è il termine in sé, ma ciò che implica: l’obbligo non si adempie archiviando, si adempie potendo recuperare. Un archivio che esiste ma non permette di individuare in tempi ragionevoli il fascicolo di un cliente specifico, o che restituisce un documento che non si riesce ad aprire perché il formato è diventato obsoleto, non soddisfa l’articolo 25, anche se tecnicamente nulla è andato perso.

E c’è un secondo aspetto che quasi nessuno cura: la cancellazione. Conservare oltre il termine di legge senza una giustificazione non è prudenza, è un trattamento di dati privo di base giuridica. La politica di conservazione deve dire quando si conserva e anche quando si distrugge, con evidenza dell’avvenuta distruzione.

Quali documenti rientrano nell’obbligo

Sei blocchi, con regole di decorrenza diverse e insidie proprie.

Quale documentazione rientra nell’obbligo di conservazione
BloccoCosa comprendeDa quando decorre il termineErrore frequente
Identificazione del clienteDocumento di identità, dati di verifica, rappresentanza e poteriDalla cessazione del rapporto d’affariSi conta dall’onboarding e non dalla cessazione, il che accorcia di diversi anni il termine reale.
Titolare effettivoOrganigrammi, dichiarazioni, verifiche e motivazione dell’analisi della catena di controlloDalla cessazione del rapportoSi conserva il risultato ma non il ragionamento, che è proprio ciò che viene richiesto in ispezione.
Scopo e naturaInformazioni sull’attività del cliente e sullo scopo del rapportoDalla cessazione del rapportoResta in appunti sparsi del commerciale che non arrivano mai al fascicolo.
OperazioniDocumenti e registri che attestano ogni operazioneDall’esecuzione dell’operazioneSi conserva la registrazione contabile ma non il supporto documentale che la giustificava.
Analisi e alertAlert generati, analisi svolta, conclusione e decisione adottataDalla chiusura dell’analisiSi cancellano gli alert chiusi come falso positivo, che sono proprio quelli che dimostrano che c’è stata un’analisi.
ComunicazioniComunicazioni inviate al SEPBLAC e ricevute di confermaDall’invioLa ricevuta viene conservata da sola, senza il fascicolo che l’ha originata.

La decorrenza del termine non è uniforme per tutti i blocchi: la documentazione di adeguata verifica è collegata alla cessazione del rapporto d’affari e quella delle operazioni alla loro esecuzione. Conviene fissarlo per iscritto nella politica di conservazione per evitare cancellazioni premature.

Conservazione AML e protezione dei dati

Due obblighi che sembrano contrapposti e che in realtà si ordinano nel tempo.

Conservazione AML e protezione dei dati: come convivono
QuestioneQuadro AML (Legge 10/2010)Quadro GDPRCome si risolve
Base giuridica del trattamentoObbligo legale di conservazioneAdempimento di un obbligo legale (art. 6.1.c)La base esiste; va documentata nel registro delle attività di trattamento
TermineDieci anniIl tempo necessario per la finalitàIl termine AML delimita il termine GDPR, non lo supera
FinalitàPrevenzione del riciclaggio di denaro e risposta alle richieste di informazioniLimitata ed esplicitaL’archivio AML non può essere usato per finalità commerciali
AccessoLimitato a chi ne ha bisognoMinimizzazione e controllo degli accessiPermessi specifici e registro degli accessi
Diritto alla cancellazioneCede di fronte all’obbligo legaleEsercitabile con limitiRifiutato con motivazione durante il termine
Alla scadenza del termineCessa l’obbligo di conservareImpone la cancellazione se non c’è un’altra baseCancellazione documentata

L’apparente collisione tra i due quadri si risolve quasi sempre allo stesso modo: durante il termine di legge prevale la conservazione; scaduto il termine, prevale la cancellazione. Ciò che non ammette difesa è conservare indefinitamente «per ogni evenienza».

Dove si perde la documentazione in ogni settore

Il problema raramente è una distruzione deliberata: è una migrazione, un fornitore che cambia o un formato che muore.

Fintech

La migrazione di piattaforma

«Si cambia core banking o fornitore di KYC e i vecchi fascicoli restano in un sistema a cui ormai nessuno ha accesso.»

Studi legali

Il fascicolo cartaceo

«Esiste ancora un archivio fisico, e il criterio su cosa sia stato digitalizzato e cosa no non è mai stato documentato.»

Immobiliare

L’agente che se n’è andato

«La documentazione del cliente era nella posta elettronica o nel computer di chi ha seguito l’operazione, non in un repository comune.»

Cripto

Lo storico del monitoraggio

«Si conservano le transazioni on-chain ma non gli alert né l’analisi svolta su di esse.»

Cosa succede se non riesci a recuperare la documentazione

La conservazione è l’obbligo che regge tutti gli altri: senza documento, non c’è prova che sia stato rispettato alcunché.

Non poter produrre un fascicolo è peggio che averlo incompleto. Un fascicolo con carenze si può discutere; un fascicolo che non si trova si considera inesistente.

L’inadempimento emerge nel momento peggiore: quando c’è già una richiesta di informazioni sul tavolo e pochi giorni per rispondere.

E conservare troppo non è neutro. Mantenere dati personali senza base giuridica dopo la scadenza del termine è un problema diverso, ma anch’esso sanzionabile.

Importo delle sanzioni per la violazione della Legge 10/2010 in materia di AML/CFT in Spagna
GravitàImportoBase o alternativa
Sanzioni lievifino a 60.000 €Inadempimenti di minore entità o senza impatto apprezzabile sul sistema di prevenzione.
Sanzioni gravi60.000 € – 5.000.000 €Oppure il 10% delle risorse totali dell’impresa.
Sanzioni molto gravi150.000 € – 10.000.000 €Oppure il 10% dei fondi propri dell’ente.

Fai la prova: chiedi un fascicolo di otto anni fa

È il test più rapido che esista per sapere se il tuo archivio AML funziona. Se ci mette più di un giorno o torna incompleto, hai un problema da risolvere prima della prossima ispezione.

Conservazione dei documenti: dubbi frequenti

Per quanto tempo bisogna conservare la documentazione AML?

Dieci anni, ai sensi dell’articolo 25 della Legge 10/2010. La decorrenza non è identica per tutti i blocchi documentali: la documentazione di adeguata verifica è collegata alla cessazione del rapporto d’affari e quella delle operazioni alla loro esecuzione.

Basta conservare una copia digitale?

Sì, purché siano garantite l’integrità, la leggibilità e la possibilità di recupero per tutto il periodo. Non vanno bene una digitalizzazione parziale senza criteri documentati, né un formato che tra sette anni non si possa più aprire. La politica di conservazione deve pronunciarsi su supporto, formato e migrazioni.

Da quando decorrono i dieci anni?

Per la documentazione di adeguata verifica, dalla cessazione del rapporto d’affari, non dall’onboarding. È uno degli errori di calcolo più frequenti e quello che provoca cancellazioni premature: un cliente con quindici anni di rapporto impone di conservare il suo fascicolo fino a dieci anni dopo la fine del rapporto.

Bisogna conservare gli alert chiusi come falso positivo?

Sì, e sono tra i più preziosi. Un alert chiuso con un’analisi documentata dimostra che il sistema di monitoraggio funziona e che è stato applicato un criterio di valutazione. Cancellarli lascia un registro in cui compaiono solo gli alert sfociati in una segnalazione, il che suggerisce — erroneamente — che non venga analizzato nient’altro.

E il GDPR? Non bisogna cancellare i dati?

Durante il periodo legale di conservazione, l’obbligo AML opera come base giuridica del trattamento e prevale sul diritto alla cancellazione, che va rifiutato con motivazione. Scaduto il termine, la logica si inverte: se non c’è un’altra base giuridica, si deve procedere alla cancellazione. Ne parliamo in dettaglio nella pagina sulla protezione dei dati.

E se la documentazione è in mano a un fornitore esterno?

La responsabilità resta tua. Il contratto con il fornitore deve garantire la conservazione per tutto il periodo legale, l’accesso in qualsiasi momento e — aspetto critico — la restituzione integrale al termine del rapporto. Se esternalizzi il KYC o l’archivio, controlla quella clausola: è quella che manca più spesso. Maggiori informazioni: esternalizzazione antiriciclaggio.

Bisogna documentare la cancellazione?

È molto consigliabile. Una politica di conservazione che prevede la cancellazione alla scadenza ma non lascia evidenza di averla eseguita non permette di spiegare perché un fascicolo di dodici anni fa non c’è più. L’evidenza della cancellazione è ciò che distingue una cancellazione conforme da una perdita di informazioni.

Cosa mi chiederanno in un’ispezione?

Di solito un campione di fascicoli specifici, indicati per nome e data. Ciò che si valuta non è solo che compaiano, ma quanto tempo ci vuole per individuarli e se arrivano completi del loro contesto: identificazione, titolare effettivo, scopo, operazioni, alert e decisioni.

L’AMLR cambia il termine?

Il Regolamento (UE) 2024/1624 disciplina anch’esso il periodo di conservazione con uno schema simile e lo armonizza a livello europeo dal 10 luglio 2027. Prima di quella data conviene rivedere la politica interna per verificare che non ci siano divergenze nel calcolo del termine. Maggiori informazioni nella pagina sull’AMLR.

Si possono conservare i documenti per più di dieci anni, per ogni evenienza?

Non senza una base che lo giustifichi. L’esistenza di un procedimento giudiziario, di un procedimento sanzionatorio o di un reclamo in corso può legittimare la conservazione prolungata di documenti specifici. Ciò che non regge è una conservazione indefinita e generalizzata come politica predefinita.

Guida pratica alla conservazione documentale

Una politica di conservazione utile sta in poche pagine e risponde a cinque domande: cosa, per quanto tempo, dove, chi accede e quando si cancella. Dieci passaggi per scriverla e verificarla.

Decorrenza

Fissa il giorno di inizio

Per ogni blocco documentale. Adeguata verifica dalla cessazione del rapporto con il cliente; operazioni dalla loro esecuzione. Senza questa precisione, le cancellazioni saranno premature o tardive.

Recupero

Verifica che funzioni

Una politica che nessuno ha mai testato è un’ipotesi. Chiedi due fascicoli vecchi a caso una volta all’anno e cronometra.

Cancellazione

E chiudi il ciclo

Definisci cosa si distrugge alla scadenza, chi lo esegue e come ne resta evidenza. La cancellazione documentata fa parte della compliance, non ne è il contrario.

Checklist di conservazione documentale in 10 passaggi

  1. Inventariare i blocchi documentali soggetti a conservazione e dove si trova oggi ciascuno.
  2. Fissare per iscritto la regola di decorrenza del termine per ogni blocco, distinguendo adeguata verifica e operazioni.
  3. Definire il supporto e il formato di conservazione, prevedendo le migrazioni tecnologiche.
  4. Stabilire i permessi di accesso all’archivio e il registro degli accessi.
  5. Regolare per contratto la custodia quando la documentazione è in mano a un fornitore, inclusa la sua restituzione.
  6. Redigere la procedura di risposta alle richieste di informazioni: chi individua i documenti, entro quanto tempo e in quale formato vengono consegnati.
  7. Documentare la base giuridica del trattamento ai fini del GDPR e la politica di risposta alle richieste di cancellazione.
  8. Definire la procedura di cancellazione alla scadenza, con un responsabile e l’evidenza dell’esecuzione.
  9. Eseguire ogni anno una prova di recupero su fascicoli vecchi scelti a caso.
  10. Rivedere la politica dopo ogni migrazione di sistemi, cambio di fornitore o modifica normativa rilevante.

Se vuoi mettere alla prova il tuo archivio prima che lo faccia l’autorità di vigilanza, parti da un audit AML/CFT o dalla relazione dell’esperto esterno.

La conservazione nella pratica operativa

Da «è tutto archiviato» a poterlo dimostrare

La conservazione si inceppa in momenti precisi e prevedibili. Eccoli, sono quattro.

Far arrivare il documento all’archivio1) Acquisizione

Far arrivare il documento all’archivio

Il fascicolo che vive nella posta di un commerciale o in una cartella locale non è conservato: rischia di sparire insieme alla persona.

  • Repository unico
  • Nessuna copia locale
  • Acquisizione nel flusso di lavoro
Far sì che resti lo stesso documento2) Integrità

Far sì che resti lo stesso documento

Formato stabile, metadati conservati ed evidenza delle versioni. Un PDF rigenerato senza il suo contesto perde buona parte del suo valore probatorio.

  • Formato duraturo
  • Metadati
  • Versionamento
Sopravvivere al cambio di sistema3) Migrazione

Sopravvivere al cambio di sistema

È il momento di maggiore perdita documentale. Ogni migrazione richiede un piano esplicito per lo storico, non solo per i dati attivi.

  • Piano per lo storico
  • Verifica post-migrazione
  • Accesso al vecchio sistema
Mappa pratica: va conservato?Decisione rapida

Mappa pratica: va conservato?

Tre dubbi frequenti e la relativa risposta.

Alert chiuso

Sì. È la prova che c’è stata un’analisi. Con la sua conclusione e la sua data.

Cliente che non lo è mai diventato

Sì, se è stata avviata l’adeguata verifica. Si conserva quanto raccolto.

Fascicolo di undici anni fa

No, se il termine è scaduto e non ci sono procedimenti aperti. E con evidenza della cancellazione.

Playbook archivio

La conservazione documentale nella pratica

Controllo
Cosa ci si aspetta
Evidenza tipica

Politica scritta

Documento che stabilisce cosa, per quanto tempo, dove, chi accede e quando si cancella.

Politica approvata dall’OCI con versione e data.

Regola di decorrenza

Inizio del termine definito per blocco documentale.

Sezione specifica della politica e parametrizzazione del sistema.

Acquisizione

Ogni documento rilevante arriva al repository unico.

Assenza di file in cartelle locali e nella posta.

Recupero

Individuazione di un fascicolo specifico in tempi ragionevoli.

Verbale della prova annuale con tempo impiegato e completezza.

Cancellazione

Distruzione alla scadenza con evidenza.

Registro delle cancellazioni con data, ambito e responsabile.

Segnali che il tuo archivio AML non risponderà

Basta uno di questi per fare una prova di recupero questa settimana.

  • Nessuno sa con certezza dove siano i fascicoli precedenti all’ultima migrazione.
  • Il termine si conta dall’onboarding del cliente e non dalla cessazione.
  • Gli alert chiusi come falso positivo vengono eliminati periodicamente.
  • La documentazione è custodita da un fornitore senza clausola di restituzione.
  • Non è mai stata fatta una prova di recupero di un fascicolo vecchio.
Glossario operativo

Concetti chiave della conservazione documentale

Termini che compaiono nelle politiche di archivio, nelle richieste di informazioni e nelle relazioni dell’esperto esterno.

Art. 25Base

Conservazione dei documenti

Obbligo di conservare per dieci anni la documentazione di adeguata verifica e delle operazioni.

Legge 10/2010, articolo 25.
DecorrenzaCritico

Inizio del termine

Adeguata verifica dalla cessazione del rapporto; operazioni dalla loro esecuzione.

Errore frequente: contare dall’onboarding.
IntegritàRequisito

Documento inalterato

Il documento conservato deve essere lo stesso, leggibile e con il suo contesto.

Contano formato e metadati.
RecuperabilitàProva

Capacità di individuazione

Poter trovare un fascicolo specifico in tempi compatibili con una richiesta di informazioni.

Si dimostra con una simulazione.
CancellazioneChiusura

Cancellazione alla scadenza

Distruzione documentata delle informazioni il cui termine di conservazione è scaduto.

Con evidenza dell’esecuzione.
GDPRConvivenza

Base giuridica del trattamento

L’obbligo legale di conservare legittima il trattamento durante il termine, non oltre.

MigrazioneRischio

Cambio di sistema

Momento di maggiore perdita documentale. Richiede un piano esplicito per lo storico.

Verificare dopo, non solo prima.
CustodiaTerzi

Archivio esternalizzato

La responsabilità non si esternalizza: il contratto deve garantire accesso e restituzione.

AMLR2027

Regolamento (UE) 2024/1624

Armonizza il regime di conservazione a livello europeo da luglio 2027.

Vedi: AMLR.

COMPLIANCE CONTROL CENTER · ARCHIVIO

Matrice decisionale: conservo, migro o cancello?

Incrocia l’anzianità del fascicolo con la sua situazione. La casella ti dice cosa fare e con quale evidenza.

Matrice di conservazione

Verde: situazione ordinaria. Rosso: richiede una decisione documentata.

Anzianità \ Situazione
Rapporto attivo
Rapporto cessato
Procedimento aperto
Meno di 5 anni
Conservarenessun dubbio
Conservaretermine in corso
Conservareblocco della cancellazione
Da 5 a 10 anni
Conservarenessun dubbio
Conservareverificare la decorrenza
Conservareblocco della cancellazione
Oltre 10 anni
Conservarerapporto in essere
Cancellarecon evidenza
Conservarefino alla definizione

I sei errori che vediamo più spesso nella conservazione

Nessuno di essi emerge finché non arriva una richiesta di informazioni, ed è proprio questo il problema.

Contare il termine dall’onboarding

La decorrenza della documentazione di adeguata verifica parte dalla cessazione del rapporto. Contarla dall’onboarding provoca la cancellazione prematura di fascicoli che andavano ancora conservati.

Eliminare gli alert chiusi

Gli alert che non sono sfociati in una segnalazione sono la prova che esiste un’analisi. Senza di essi, il registro lascia pensare che si guardi solo ciò che viene segnalato.

Migrare senza un piano per lo storico

Il progetto di migrazione si concentra sui dati attivi e i fascicoli chiusi restano in un sistema a cui, nel giro di due anni, nessuno avrà più accesso.

Esternalizzare senza clausola di restituzione

Il fornitore custodisce la documentazione e il contratto non dice cosa succede alla fine del rapporto. Quando il rapporto finisce, è ormai tardi per negoziarlo.

Non documentare la cancellazione

Alla scadenza si distrugge correttamente ma non resta evidenza, e anni dopo non si riesce a distinguere una cancellazione conforme da una perdita.

Non provare mai il recupero

La politica esiste, l’archivio esiste e nessuno ha mai verificato quanto ci vuole per tirare fuori un fascicolo di otto anni fa. È una prova da un pomeriggio.

Prenota una chiamata

Raccontaci dove conservi oggi i fascicoli e quando è stata l’ultima migrazione di sistemi.

Quadro normativo della conservazione dei documenti in AML/CFT

L’obbligo di conservazione dei documenti è previsto dall’articolo 25 della Legge 10/2010, del 28 aprile, sulla prevenzione del riciclaggio di denaro e del finanziamento del terrorismo. Impone ai soggetti obbligati di conservare per dieci anni la documentazione in cui si formalizza il rispetto degli obblighi di adeguata verifica, nonché i documenti e i registri delle operazioni effettuate.

Conservare non è archiviare: è poter recuperare

Il rispetto dell’articolo 25 non si esaurisce nell’esistenza fisica o logica del documento. Richiede integrità —che il documento conservato sia lo stesso e resti leggibile—, contesto —che il fascicolo si possa ricostruire così com’era a suo tempo— e recuperabilità in tempi compatibili con quelli di risposta a una richiesta di informazioni. Un archivio che conserva tutto ma impiega settimane a individuare un fascicolo specifico non soddisfa nella sostanza l’obbligo, anche se nulla è andato perso.

La decorrenza del termine

È il punto in cui si concentrano più errori. La documentazione relativa all’adeguata verifica si conserva per dieci anni dalla cessazione del rapporto d’affari, non dall’onboarding del cliente. La documentazione delle operazioni è collegata all’esecuzione di ciascuna operazione. Applicare una decorrenza unica dall’onboarding provoca la cancellazione prematura di fascicoli che per legge dovevano continuare a essere conservati, ed è una carenza ricorrente nelle relazioni dell’esperto esterno.

La convivenza con il GDPR

L’obbligo legale di conservazione costituisce base giuridica del trattamento ai fini dell’articolo 6.1.c) del Regolamento generale sulla protezione dei dati e, durante il termine di legge, consente di rifiutare con motivazione le richieste di cancellazione. Scaduto il termine, il rapporto si inverte: se non ricorre un’altra base giuridica, si procede alla cancellazione. La conservazione indefinita «per ogni evenienza» non trova copertura in nessuno dei due quadri. Puoi vedere il quadro completo nella nostra pagina sulla protezione dei dati.

Cosa cambia con l’AMLR

Il Regolamento (UE) 2024/1624 (AMLR), applicabile dal 10 luglio 2027, disciplina anche il periodo di conservazione delle informazioni ottenute in applicazione delle misure di adeguata verifica, armonizzandolo a livello europeo. Per gli enti spagnoli l’esercizio utile prima di quella data consiste nel rivedere la politica interna —in particolare le regole di decorrenza e la procedura di cancellazione— per individuare le divergenze e correggerle per tempo. Questo lavoro si integra in modo naturale con la revisione del manuale antiriciclaggio e con la relazione dell’esperto esterno dell’esercizio.

Legge 10/2010Art. 2510 anniRD 304/2014GDPRAMLR 2024/1624AEPDSEPBLAC