Titolare effettivo: chi può vedere i vostri dati e come si chiede l’esclusione

Se siete titolare effettivo di una società italiana, o avete appena firmato la comunicazione che ne indica uno, avete già preso una decisione di cui forse non conoscete il prezzo. Dal 23 luglio il vostro nome, il mese e l’anno di nascita, il paese di residenza e la cittadinanza non sono più materia riservata alle autorità: li leggono i soggetti obbligati accreditati e chiunque dimostri un legittimo interesse — compreso chi documenti con la vostra impresa «una effettiva contrattazione commerciale o finanziaria in corso, anche in fase di trattative». Il tutto «senza alcuna previa comunicazione al soggetto interessato». Una procedura per fermarli esiste: si presenta insieme alla comunicazione al Registro, non dopo. E il tracciato tecnico per depositarla, approvato il 23 settembre, oggi non è efficace.

Chi vede, e che cosa vede

Il d.lgs. 10 giugno 2026, n. 122 (in Gazzetta l’8 luglio, in vigore dal 23 luglio 2026) recepisce gli articoli 11, 12, 13 e 15 della direttiva (UE) 2024/1640 e inserisce nel d.lgs. 231/2007 gli articoli da 21-bis a 21-sexies. Alle autorità (art. 21-bis) — MEF, UIF, Guardia di finanza, AMLA, EPPO, OLAF, Europol — l’accesso è «immediato, non filtrato, diretto e libero».

I soggetti obbligati (art. 21-ter) accedono previo accreditamento presso la Camera di commercio, che vale due anni, e devono segnalare le incongruenze fra Registro e adeguata verifica.

Il legittimo interesse (art. 21-quater) è la porta nuova. La legge lo presume per giornalisti iscritti all’albo, enti del Terzo settore e ONG, professori e ricercatori, chi è in trattativa commerciale o finanziaria con voi, soggetti obbligati e autorità di paesi terzi, amministrazioni del PNRR, stazioni appaltanti e ANAC; il comma 4 la lascia aperta a chiunque altro lo dimostri caso per caso. Ai primi tre gruppi e alle autorità estere il comma 3 concede anche lo storico di cinque anni, entità sciolte comprese, e l’assetto proprietario. L’istruttoria (art. 21-quinquies) chiude in dodici giorni lavorativi e il certificato di accesso vale tre anni.

Lo scudo, e il suo silenzio

L’art. 21-sexies si intitola «Casi di esclusione dell’accesso». La Camera di commercio può escludere l’accesso, in tutto o in parte, «in presenza di determinate circostanze eccezionali»: quelle che espongono il titolare effettivo «a un rischio sproporzionato di frode, rapimento, ricatto, estorsione, molestia, violenza o intimidazione», più i casi di persona incapace o minore d’età.

Qui sta la parte che decide. La dichiarazione accompagna la comunicazione al Registro e indica una PEC del titolare effettivo (comma 2): non è un rimedio da azionare quando qualcuno bussa, è un atto da depositare prima. Contiene «un’indicazione puntuale delle circostanze eccezionali», spiega come l’accesso «aggraverebbe il rischio» ed è «corredata degli elementi probatori e della eventuale documentazione a supporto» (comma 3). La valutazione è caso per caso, «tenendo comunque conto del principio di proporzionalità tra il rischio paventato e l’interesse all’accesso» (comma 4).

Poi il comma 5, da leggere due volte. Il provvedimento motivato si comunica via PEC entro dodici giorni lavorativi dalla richiesta di accesso, e «In mancanza di comunicazione al richiedente entro il termine […] l’accesso si intende respinto». Il silenzio protegge il titolare effettivo, non chi chiede: l’opposto di quello che l’abitudine al silenzio-assenso suggerisce. Se invece l’accesso è concesso, il Registro si apre «non prima di trenta giorni dalla ricezione della comunicazione» da parte del controinteressato (commi 5 e 6): la finestra per reagire, con i mezzi di tutela dell’art. 25 della legge 241/1990 richiamati dal comma 7.

Tre cose da sapere. L’esclusione non opera contro notai, avvocati e altri liberi professionisti legali — l’art. 3, punto 3), lettera b), del regolamento (UE) 2024/1624 — «quando operano come pubblici ufficiali» (comma 8). Ogni 31 gennaio le Camere di commercio comunicano a MEF e MIMIT le statistiche sui dinieghi, anche per la Commissione europea: scadenza ricorrente. E il comma 10 impone di conservare separatamente quelle informazioni, con misure che assicurino «accessi selettivi» e rendano i dati «incomprensibili a chiunque non sia autorizzato ad accedervi attraverso l’adozione di tecniche crittografiche». Chi legge davvero i dati non è scritto nella valutazione d’impatto: è scritto nei permessi.

Il pezzo che manca

L’art. 2 del d.lgs. 122/2026 fissa tre adempimenti, tutti entro sessanta giorni dall’entrata in vigore: il 21 settembre 2026. Un decreto MIMIT che aggiorna le specifiche tecniche di comunicazione. L’aggiornamento del disciplinare tecnico del DM MEF 11 marzo 2022, n. 55, previo parere del Garante. E, «in ogni caso, successivamente» ai primi due, «un provvedimento che sancisce l’operatività del sistema di accesso ai dati e alle informazioni sulla titolarità effettiva».

Il primo esiste: è il decreto direttoriale MIMIT 23 settembre 2026, «Registro imprese. Aggiornamento del decreto 18 ottobre 2013 (Fedra 7.20)», in Gazzetta Ufficiale n. 228 dell’1° ottobre 2026, a pagina 33 — firmato due giorni dopo la scadenza. Ma il suo art. 1, comma 2, dispone che le specifiche «acquistano efficacia a decorrere dalla data individuata con il provvedimento del Ministero delle imprese e del made in Italy di cui all’art. 2, comma 4, del decreto legislativo 10 giugno 2026, n. 122».

Quel provvedimento, al 3 ottobre, non risulta adottato. Il perimetro della verifica è un limite, non una prova: i fascicoli della Serie generale dal n. 221 del 23 settembre al n. 229 del 2 ottobre, e l’elenco dei decreti direttoriali su mimit.gov.it, dove l’atto più recente resta quello del 23 settembre stesso. Sul disciplinare del comma 3 non affermiamo nulla: non lo abbiamo trovato, e nessuna fonte ne esclude l’adozione.

Che cosa cambia nel tracciato

L’allegato A a quel decreto — pubblicato in Gazzetta con la mappa dei caratteri del font rotta, illeggibile a schermo — introduce un nuovo tracciato xsd per la dichiarazione del titolare effettivo controinteressato all’accesso, nuovi controlli automatici sul tracciato xml e nuovi codici di tipo documento per la dichiarazione e per i suoi allegati probatori. Dalla data di efficacia le pratiche redatte con la versione precedente valgono per un massimo di sessanta giorni di calendario; poi vengono respinte.

In fila: la procedura esiste nella legge dal 23 luglio, il modulo per presentarla è stato approvato il 23 settembre, la sua efficacia dipende da un atto che doveva arrivare il 21 settembre e oggi non c’è. I termini dell’art. 21-sexies, intanto, sono scritti e vincolanti.

Che cosa fare adesso

Chi ha un titolare effettivo esposto — per settore, per paese, per contenzioso o per minacce — non può aspettare il provvedimento per preparare il fascicolo. Stabilire chi, nel gruppo, è titolare effettivo e con quali dati risulta iscritto. Raccogliere gli elementi probatori del rischio, che il comma 3 pretende puntuali e documentati, non asseriti. Presidiare la PEC del titolare effettivo: lì arriva il provvedimento, da lì decorrono i termini. Mappare chi, fra i vostri interlocutori, rientra nelle categorie dell’art. 21-quater, controparti in trattativa comprese. Nel fascicolo per il nulla osta di sicurezza industriale l’elenco dei titolari effettivi è già un documento vivo: tenerne due versioni è il modo più rapido per sbagliarle entrambe.

Come lo risolviamo

Un adempimento così non si chiude con un parere. Si chiude con un controllo che gira sui dati dell’organizzazione: chi è titolare effettivo di ogni entità del gruppo, che cosa risulta iscritto, quando scade un accreditamento, quale fascicolo probatorio regge la dichiarazione — con la traccia da esibire alla Camera di commercio o a un’ispezione. Questo è il primo asse. Il secondo è quello che conta: lo stesso impianto tiene insieme visure, atti societari, contratti, PEC, archivi e gestionali in un modello operativo unico, su cui agenti AI eseguono le verifiche e preparano gli atti con un operatore al comando — per grandi imprese, difesa, pubblica amministrazione e sanità. Due modalità: on-premise, su macchine autonome che non chiedono di entrare in profondità nella vostra rete, oppure cloud dedicato con data center in Italia in locali presidiati da noi; in entrambi i casi con gestione condivisa, perché nessuno deve già avere in casa chi amministra modelli AI. Accessi selettivi e dati cifrati per chi non è autorizzato — quello che il comma 10 impone al Registro — sono le stesse misure che chiediamo a un impianto di protezione dei dati.

Se nel vostro gruppo c’è un titolare effettivo esposto, parliamone prima che il provvedimento esca.