Jak nové AML nařízení ovlivní zpracování osobních údajů

Nové AML nařízení Evropské unie (nařízení 2024/1624 ze dne 31. května 2024) bude účinné od 10. července 2027. Jeho hlavním cílem je sjednotit pravidla pro boj proti legalizaci výnosů z trestné činnosti a financování terorismu v rámci celé EU. Nařízení však zároveň stanoví důležitá pravidla pro používání, předávání a uchovávání osobních údajů povinnými subjekty.

AML nařízení nezavádí samostatný režim ochrany osobních údajů. Doplňuje obecné nařízení o ochraně osobních údajů (GDPR) tím, že stanoví konkrétnější požadavky na zpracování osobních údajů v souvislosti s bojem proti praní peněz. Týká se zejména automatizovaného zpracování osobních údajů, dalšího využívání informací získaných pro účely AML, možnosti využití zvláštních kategorií osobních údajů a také dodatečných záruk pro subjekty údajů. Nařízení se vztahuje na širokou škálu povinných subjektů, od bank, pojišťoven, poskytovatelů služeb souvisejících s kryptoaktivy, advokátů, notářů, realitních zprostředkovatelů až po poskytovatele služeb pro svěřenské fondy a obchodní společnosti. Od 10. července 2029 se povinnosti v této oblasti rozšíří také na některé profesionální fotbalové kluby a fotbalové agenty.

AML nařízení je součástí širšího legislativního balíčku, kterým byl zřízen také nový unijní úřad, Orgán pro boj proti praní peněz a financování terorismu (AMLA). AMLA bude koordinovat dohled, podporovat vnitrostátní finanční zpravodajské jednotky (v českém případě Finanční analytický úřad) a přispívat k jednotnému uplatňování pravidel proti praní peněz v celé EU.

Automatizované zpracování vyžaduje lidský dohled

Automatizované zpracování se stalo nezbytnou součástí plnění povinností v oblasti boje proti praní peněz. Identifikace klientů, transakční monitoring a průběžná kontrola klientů se stále více opírají o systémy, které dokážou rychle a jednotně analyzovat velké množství informací. U velkých finančních institucí už není reálné ručně prověřovat každého klienta nebo každou transakci.

AML nařízení tuto skutečnost výslovně zohledňuje. Recitál č. 150 uznává význam automatizovaného zpracování při činnostech souvisejících s bojem proti praní peněz, článek 76 upravuje konkrétnější postupy a zavádí další ochranná opatření pro osoby, kterých se automatizované vyhodnocování týká. Nejdůležitějším z nich je požadavek na zapojení člověka.

Podle čl. 76 odst. 5 AML nařízení mohou povinné subjekty využívat automatizované postupy včetně profilování a systémů umělé inteligence. U některých rozhodnutí však musí být zajištěn smysluplný lidský zásah. Týká se zejména rozhodnutí navázat nebo ukončit obchodní vztah s klientem, provést jednorázovou transakci nebo změnit rozsah opatření hloubkové kontroly klienta.

AML nařízení nenahrazuje článek 22 GDPR a obecná pravidla pro automatizované individuální rozhodování, která tento článek stanoví. Pouze doplňuje zvláštní ochranná opatření pro zpracování osobních údajů v oblasti boje proti praní peněz, zejména požadavek na smysluplný lidský zásah u konkrétních rozhodnutí. Další ochranné opatření podle AML nařízení spočívá v právu klienta získat vysvětlení rozhodnutí, které povinný subjekt přijal, a toto rozhodnutí napadnout. Výjimkou jsou případy, kdy by se toto právo týkalo oznámení předaného finanční zpravodajské jednotce.

Zvláštní kategorie osobních údajů a AML

AML nařízení přináší větší jistotu ohledně zpracování zvláštních kategorií osobních údajů. Čl. 76 odst. 2 a 3 nařízení takové zpracování výslovně umožňují, pokud je nezbytné pro účely boje proti praní peněz či financování terorismu. Zpracování je nadále založeno na čl. 6 odst. 1 písm. c) GDPR (plnění právní povinností), zatímco článek 76 AML nařízení upřesňuje konkrétní podmínky, za nichž lze zvláštní kategorie osobních údajů zpracovávat podle čl. 9 odst. 2 písm. g) GDPR (důležitý veřejný zájem vyjádřený v právu EU nebo členských států).

Článek 76 AML nařízení zpracování zvláštních kategorií osobních údajů podmiňuje řadou ochranných opatření. Povinné subjekty musí klienty informovat, že tyto údaje mohou být pro AML účely, jsou povinny zajistit, aby údaje pocházely ze spolehlivých zdrojů a byly přesné a aktuální, nesmějí na jejich základě přijímat rozhodnutí, která by mohla vést k předpojatým nebo diskriminačním výsledkům, a musí přijmout opatření zajišťující vysokou úroveň bezpečnosti dat, zejména jejich důvěrnosti. 

Údaje získané pro AML účely nelze využívat jako běžné obchodní údaje

Další významnou povinností zavedenou AML nařízením je úprava dalšího využívání osobních údajů shromážděných pro účely boje proti legalizaci výnosů z trestné činnosti. Nařízení v čl. 76 odst. 4 jasně stanoví, že informace získané výhradně za účelem předcházení praní peněz a financování terorismu se nemohou jednoduše stát obecným zdrojem obchodních informací. Rozsáhlý přístup k osobním údajům, který je AML povinným subjektům umožněn, je odůvodněn veřejným zájmem na boji proti finanční kriminalitě, nikoli obchodními zájmy.

V praxi by proto organizace měly rozlišovat mezi dvěma kategoriemi údajů. Do první patří informace, které již zpracovává pro jiné účely, například pro poskytování finančních služeb, správu vztahů s klienty nebo plnění smluvních povinností, a které následně využije také pro účely boje proti praní peněz. Další využití těchto údajů pro původní nebo navazující obchodní účely AML nařízení neomezuje. Jejich další zpracování však i nadále podléhá GDPR, včetně požadavku na posouzení slučitelnosti podle čl. 6 odst. 4, pokud je to nutné.

Druhou kategorii tvoří informace shromážděné výhradně proto, že jejich získání vyžadují právní předpisy týkající se prevence legalizace výnosů z trestné činnosti a financování terorismu. Může jít například o informace o původu majetku nebo finančních prostředků, o tom, zda je klient politicky exponovanou osobou, o zamýšlené povaze obchodního vztahu, vzorcích transakcí nebo informace získané při průběžném sledování klienta a jeho aktivit. Pokud byly tyto informace shromážděny výhradně pro AML, nelze je znovu použít pro marketing, profilování klientů ani jiné obchodní činnosti. 

Pro řadu organizací to bude znamenat potřebu přesnějšího přístupu ke správě osobních dat. Už nebude stačit klasifikovat informace pouze podle systému nebo databáze. Organizace by měly také vědět, pro jaký právní účel byly údaje původně shromážděny, a zajistit, aby informace získané pro účely boje proti praní peněz podléhaly odpovídajícím omezením po celou dobu, po kterou jsou zpracovávány.

Další GDPR povinnosti

Z pohledu GDPR nové AML nařízení nemění účel ani právní základ pro zpracování údajů souvisejících s bojem proti praní peněz a financování terorismu. Zpracování je nadále založeno na plnění právní povinnosti podle čl. 6 odst. 1 písm. c) GDPR. AML nařízení především stanoví podrobnější pravidla pro to, jaké informace lze zpracovávat, jak je lze používat a jaká ochranná opatření se na jejich zpracování vztahují.

AML nařízení také sjednocuje požadavky na minimální dobu uchovávání záznamů souvisejících AML agendou. Podle článku 77 AML nařízení musí povinné subjekty uchovávat dokumentaci a informace získané pro AML účely po dobu pěti let. Vnitrostátní právní předpisy mohou tuto dobu prodloužit o dalších pět let.

Většina dalších povinností podle GDPR nebudou po účinnosti AML nařízení dotčena. Organizace musí i nadále zavádět odpovídající technická a organizační opatření pro ochranu zpracovávaných osobních dat, zajišťovat bezpečnost zpracování a plnit povinnosti vyplývající ze zásady odpovědnosti. AML nařízení nezavádí zcela nová práva subjektů údajů, ani neomezuje ty současné. Recitál č. 157 objasňuje, že stávající omezení práv subjektu údajů podle GDPR se nadále uplatňují tam, kde by poskytnutí informací mohlo ohrozit cíle boje proti praní peněz a financování terorismu, například tím, že by byl klient upozorněn na podané oznámení o podezřelém obchodu nebo by došlo k jinému ohrožení vyšetřování.

Praktickým dopadem proto nebude úplné přepracování postupů zajišťujících soulad s GDPR. Organizace by naopak měly prověřit, zda jejich postupy v oblasti boje proti praní peněz a financování terorismu zohledňují další ochranná opatření zavedená AML nařízením, zejména pokud jde o automatizované zpracování, zpracování zvláštních kategorií osobních údajů a omezení dalšího využívání informací získaných AML účely.

AML nařízení zároveň otevírá důležitou otázku týkající se nastavení odpovědností. Článek 11 AML nařízení vyžaduje, aby povinné subjekty určily osobu odpovědnou za zajištění souladu s AML regulací. V menších organizacích bývají povinnosti v oblasti dodržování těchto pravidel často soustředěny v rámci jednoho útvaru nebo svěřeny jedné osobě. Nabízí se proto otázka, zda by tuto úlohu mohl současně vykonávat také pověřenec pro ochranu osobních údajů, aniž by tím vznikl střet zájmů podle GDPR. To je však další téma, kterému je třeba se věnovat samostatně.

‍článek původně vyšel v anglickém jazyce na webu IAPP

‍