AML a RODO – jak wygląda ochrona danych osobowych przy wypełnianiu obowiązków instytucji obowiązanej?

Ustawa z dnia 1 marca 2018 r. o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu, znana jako Ustawa o AML, reguluje zasady i tryb przeciwdziałania praniu pieniędzy oraz finansowaniu terroryzmu. Jednym ze środków bezpieczeństwa finansowego, stosowanym przez instytucje obowiązane na gruncie Ustawy o AML – m.in. banki, instytucje płatnicze, firmy inwestycyjne, notariuszy czy pośredników finansowych – jest gromadzenie informacji na temat klienta, w tym danych pozwalających ustalić źródło pochodzenia środków.

Zgodnie z art. 34 ust. 4 Ustawy o AML instytucje obowiązane na potrzeby stosowania środków bezpieczeństwa finansowego mogą przetwarzać informacje zawarte w dokumentach tożsamości klienta i osoby upoważnionej do działania w jego imieniu oraz sporządzać ich kopie (w ramach gromadzenia danych osobowych na potrzeby weryfikacji tożsamości klientów). Jakie dane zatem wchodzą w posiadanie instytucji obowiązanych? Przede wszystkim będą to:

• Imię i nazwisko (nazwiska)
• PESEL
• Data i miejsce urodzenia
• Obywatelstwo
• Numer identyfikacji podatkowej
• Adres zamieszkania / korespondencyjny
• Numer i seria dowodu osobistego.

Jeżeli osoba fizyczna występuje za pośrednictwem gromadzone są także dane pełnomocnika. Ponadto, jeżeli klientem jest osoba prawna, instytucje finansowe będą gromadzić także ww. dane ich beneficjentów rzeczywistych oraz pełnomocników i reprezentantów i zajmować się ochroną danych osobowych, które podmioty obowiązane przetwarzają na podstawie ustawy o przeciwdziałaniu praniu pieniędzy (niestety przepisy nie wskazują gotowych rozwiązań) .

Podmioty obowiązane są zobligowane na gruncie przepisów Ustawy o AML do zbierania informacji pozwalających na weryfikację Klienta. To oznacza, że celem przetwarzania wyżej wskazanych danych będzie konieczność realizacji obowiązku prawnego ciążącego na administratorze. Należy mieć jednak na uwadze, że chociaż Ustawa o AML przydała instytucjom obowiązanym szeroki wachlarz uprawnień w zakresie gromadzenia danych (art. 34 Ustawy o AML stanowi m.in. o możliwości kopiowania dokumentów tożsamości klientów), każdy administrator danych powinien mieć na uwadze podstawowe zasady rządzące przetwarzaniem danych osobowych m.in. zasadę minimalizacji danych. Zgodnie z jej brzmieniem, administrator danych winien zbierać tylko taki zakres informacji, które są mu absolutnie niezbędne dla wykazanego przez niego celu.

Obowiązek zbierania informacji na temat podmiotów dla instytucji obowiązanych wynika bezpośrednio z przepisów prawa. Oznacza to, że wśród podstaw przetwarzania danych – wskazanych w art. 6 RODO – przetwarzanie danych dla celów związanych z AML będzie odbywać się głównie na gruncie art. 6 ust. 1 lit. c RODO, a więc jak zostało już wskazane wyżej – w celu niezbędnym do wypełnienia obowiązku prawnego ciążącego na administratorze. W ramach celi polegających na wypełnieniu obowiązku prawnego należy wskazać w szczególności:

• Obowiązek sporządzenia oceny ryzyka związanego z praniem pieniędzy;
• Stosowanie środków bezpieczeństwa finansowego;
• Dokonywanie zgłoszeń i zawiadomień do odpowiednich organów.

To co łączy Ustawę o AML oraz RODO to tzw. risk -based approach. W języku polskim nazywane jest to podejściem opartym na ryzyku. Jest to metoda zmierzająca do ochrony danych polegająca na badaniu potencjalnego ryzyka oraz dostosowywaniu do niego środków i zabezpieczeń. Ani Ustawa o AML ani RODO nie dają gotowej recepty na doskonałe zabezpieczenia zasobów. W tym celu instytucje – czy to obowiązane, czy po prostu podmioty przetwarzające dane osobowe – zobligowane są do cyklicznego wykonywania badania i oceny ryzyka. Na tej podstawie określają, jakie występują zagrożenia dla danych i jakie kroki podjąć aby to ryzyko zmitygować.

Nie wszystkie instytucje czują się na siłach, aby taką analizę przeprowadzić we własnym zakresie. Tymczasem, właściwe określenie zagrożeń i dostosowanie do nich środków bezpieczeństwa jest niezwykle istotne. Nieumiejętne przeprowadzenie analizy rodzi ryzyko po stronie instytucji co do błędnej realizacji obowiązków ustawowych. Instytucje nie mają możliwości zasłonienia się w takim przypadku niewiedzą czy brakami kadrowymi. Z tego względu przy ocenie ryzyka warto wesprzeć się doświadczeniem i fachową wiedzą ekspertów z dziedziny AML i ochrony danych osobowych.