@Sauron è lecito che i book chiedano estratti conto ed altre tipologie di documenti, soprattutto quando sono obbligati da giurisdizioni, come la nostra, a rispettare le normative antiriciclaggio e le procedure di verifica dell'identità. Tuttavia, secondo il GDPR:
I dati devono essere pertinenti allo scopo (quindi per verificare identità e provenienza dei fondi);
Il motivo della raccolta dati deve essere chiaramente citato dal book;
I dati devono essere trattati in modo sicuro e non possono essere condivisi senza il tuo consenso o motivo legittimo.
Inoltre, se non mi sbaglio, in fase di apertura conto, ci ritroviamo proprio a dover prestare il consenso al trattamento dei nostri dati a tali fini, ma è cosa da verificare.