(Pełny tekst niniejszej opinii jest dostępny w wersji angielskiej, francuskiej i niemieckiej na stronie internetowej EIOD www.edps.europa.eu)(2021/C 524/03)
(Dz.U.UE C z dnia 29 grudnia 2021 r.)
20 lipca 2021 r. Komisja Europejska przyjęła pakiet wniosków ustawodawczych mających na celu wzmocnienie unijnych przepisów w zakresie przeciwdziałania praniu pieniędzy i finansowaniu terroryzmu (AML/CFT) ("pakiet legislacyjny dotyczący przeciwdziałania praniu pieniędzy"), składający się z: wniosku dotyczącego rozporządzenia Parlamentu Europejskiego i Rady w sprawie przeciwdziałania korzystaniu z systemu finansowego w celu prania pieniędzy lub finansowania terroryzmu; wniosku dotyczącego dyrektywy Parlamentu Europejskiego i Rady w sprawie mechanizmów mających na celu zapobieganie wykorzystywaniu systemu finansowego do prania pieniędzy lub finansowania terroryzmu oraz uchylającej dyrektywę (UE) 2015/849; wniosku dotyczącego rozporządzenia Parlamentu Europejskiego i Rady ustanawiającego europejski Urząd ds. Przeciwdziałania Praniu Pieniędzy i Finansowaniu Terroryzmu i zmieniającego rozporządzenia (UE) nr 1093/2010, (UE) nr 1094/2010 i (UE) nr 1095/2010; oraz wniosku dotyczącego rozporządzenia Parlamentu Europejskiego i Rady w sprawie informacji towarzyszących transferom środków pieniężnych i niektórych kryptoaktywów.
EIOD z zadowoleniem przyjmuje cele pakietu legislacyjnego dotyczącego przeciwdziałania praniu pieniędzy, a mianowicie zwiększenie skuteczności przeciwdziałania praniu pieniędzy i finansowaniu terroryzmu, w szczególności poprzez większą harmonizację obowiązujących przepisów i wzmocniony nadzór na szczeblu UE (w tym ustanowienie europejskiego Urzędu ds. Przeciwdziałania Praniu Pieniędzy i Finansowaniu Terroryzmu - "AMLA").
EIOD podkreśla, że podejście do monitorowania wykorzystywania systemu finansowego do prania pieniędzy oparte na analizie ryzyka, stanowiące podstawę pakietu legislacyjnego dotyczącego przeciwdziałania praniu pieniędzy, choć przyjęte z zadowoleniem, wymaga dalszych uściśleń i wyjaśnień.
W tym kontekście, aby zapewnić przestrzeganie zasad konieczności i proporcjonalności, a także wzmocnić pewność prawa dla podmiotów zobowiązanych w odniesieniu do ich obowiązków, EIOD przedstawia szereg uwag i zaleceń, w szczególności:
W pakiecie legislacyjnym dotyczącym przeciwdziałania praniu pieniędzy należy określić kategorie danych osobowych, które mają być przetwarzane przez podmioty zobowiązane w celu wypełnienia obowiązków w zakresie przeciwdziałania praniu pieniędzy i finansowaniu terroryzmu, zamiast systematycznie pozostawiać tę specyfikację regulacyjnym standardom technicznym, a także należy w nim lepiej opisać warunki i ograniczenia przetwarzania szczególnych kategorii danych osobowych oraz danych osobowych związanych z wyrokami skazującymi i przestępstwami.
W pakiecie legislacyjnym dotyczącym przeciwdziałania praniu pieniędzy należy w szczególności określić, jakie rodzaje szczególnych kategorii danych osobowych powinny być przetwarzane przez podmioty zobowiązane, z uwzględnieniem zasad konieczności i proporcjonalności oraz poszczególnych działań i środków, które należy zastosować (identyfikacja, należyta staranność wobec klienta, sprawozdawczość wobec jednostek analityki finansowej), oraz zważywszy na realizowany konkretny cel (tj. przeciwdziałanie praniu pieniędzy lub finansowaniu terroryzmu). EIOD w szczególności uważa, że nie należy zezwalać na przetwarzanie danych osobowych związanych z orientacją seksualną lub pochodzeniem etnicznym.
W odniesieniu do rejestrów beneficjentów rzeczywistych EIOD:
- Z zadowoleniem przyjmuje spoczywający na państwach członkowskich obowiązek przekazywania Komisji zamkniętego wykazu właściwych organów i organów samorządu zawodowego oraz kategorii podmiotów zobowiązanych, którym przyznano dostęp do rejestrów beneficjentów rzeczywistych. EIOD zwraca się jednak do prawodawcy o sprecyzowanie, że dostęp organów podatkowych oraz organów samorządu zawodowego do rejestrów beneficjentów rzeczywistych powinien ograniczać się do celu zwalczania prania pieniędzy i finansowania terroryzmu, a zatem powinien być dozwolony wyłącznie w tym celu.
- Jeżeli chodzi o dostęp "każdego członka społeczeństwa" do rejestrów beneficjentów rzeczywistych, EIOD podtrzymuje swoje wcześniejsze stanowisko, zgodnie z którym konieczność i proporcjonalność takiego uogólnionego dostępu do celów zapobiegania praniu pieniędzy i finansowaniu terroryzmu nie została jak dotąd jasno określona. Co do zasady taki dostęp powinien być ograniczony do właściwych organów, które są odpowiedzialne za egzekwowanie prawa, oraz do podmiotów zobowiązanych przy stosowaniu środków należytej staranności wobec klienta. EIOD jest zdania, że dostęp do informacji o beneficjentach rzeczywistych motywowany innymi celami leżącymi w interesie ogólnym (np. zwiększeniem przejrzystości) należy raczej uznać za prawo do uzyskiwania informacji. Taki publiczny dostęp wymagałby odrębnej oceny konieczności i proporcjonalności oraz podlegałby odrębnemu zestawowi przepisów ustanawiających niezbędne zabezpieczenia. W związku z tym EIOD zaleca prawodawcy dokonanie oceny konieczności i proporcjonalności takiego "ogólnego dostępu" oraz, na podstawie tej oceny, jeżeli uzna to za stosowne, ustanowienie konkretnych ram prawnych w tym zakresie, różniących się od ram prawnych dotyczących dostępu właściwych organów.
Co więcej - wśród rodzajów ryzyka, które państwa członkowskie mają wziąć pod uwagę przy ustanawianiu kryteriów przyznawania zwolnień w zakresie dostępu do informacji o beneficjentach rzeczywistych - EIOD zdecydowanie zaleca dodanie wyraźnego odniesienia do ryzyka dla ochrony danych osobowych zainteresowanych osób fizycznych.
EIOD zaleca również uwzględnienie w pakiecie legislacyjnym dotyczącym przeciwdziałania praniu pieniędzy mechanizmu sprawozdawczego dotyczącego wykorzystania rejestrów beneficjentów rzeczywistych w walce z praniem pieniędzy i finansowaniem terroryzmu, aby zebrać oparte na faktach dowody na skuteczność systemu, a także wspierać ewentualne przyszłe inicjatywy ustawodawcze.
Ponadto EIOD odnotowuje szerokie uprawnienia dostępu przyznane jednostkom analityki finansowej i zachęca prawodawcę do ponownej oceny konieczności i proporcjonalności tych praw dostępu, w szczególności w odniesieniu do "informacji dotyczących egzekwowania prawa" wymienionych w art. 18 ust. 1 lit. c) wniosku dotyczącego dyrektywy. Biorąc pod uwagę system wymiany informacji między jednostkami analityki finansowej, FIU.net, EIOD zaleca, by wniosek dotyczący rozporządzenia ustanawiającego AMLA został zmieniony w celu jasnego określenia roli wszystkich zaangażowanych zainteresowanych stron (AMLA, jednostki analityki finansowej) z perspektywy ochrony danych w odniesieniu do tego kanału komunikacji, ponieważ ma to wpływ na obowiązujące ramy ochrony danych i oddziałuje na model nadzoru.
Uwzględniając źródła informacji na potrzeby należytej staranności wobec klienta, w tym "listy zagrożeń", w pakiecie legislacyjnym dotyczącym przeciwdziałania praniu pieniędzy należy w szczególności wyjaśnić, w jakich przypadkach podmioty zobowiązane powinny korzystać z takich list. W związku z tym EIOD zwraca się do prawodawcy o rozważenie, czy taki dostęp powinien mieć miejsce wyłącznie w przypadku wysokiego ryzyka prania pieniędzy lub finansowania terroryzmu.
Ponadto, aby wspierać przyjmowanie kodeksów postępowania i certyfikacji, których mają przestrzegać dostawcy baz danych, i list zagrożeń wykorzystywanych do celów przeciwdziałania praniu pieniędzy i finansowaniu terroryzmu, EIOD zwraca się do prawodawcy o włączenie do pakietu legislacyjnego dotyczącego przeciwdziałania praniu pieniędzy odniesienia do kodeksów postępowania na mocy art. 40 RODO oraz odniesienia do certyfikacji na mocy art. 42 RODO, które zostaną opracowane z uwzględnieniem szczególnych potrzeb w tym sektorze.
1. Kontekst
1. 20 lipca 2021 r. Komisja Europejska przyjęła wniosek dotyczący rozporządzenia Parlamentu Europejskiego i Rady w sprawie przeciwdziałania korzystaniu z systemu finansowego w celu prania pieniędzy lub finansowania terroryzmu ("wniosek dotyczący rozporządzenia") 1 ; wniosek dotyczący dyrektywy Parlamentu Europejskiego i Rady w sprawie mechanizmów mających na celu zapobieganie wykorzystywaniu systemu finansowego do prania pieniędzy lub finansowania terroryzmu oraz uchylającej dyrektywę (UE) 2015/849 ("wniosek dotyczący dyrektywy") 2 ; wniosek dotyczący rozporządzenia Parlamentu Europejskiego i Rady ustanawiającego europejski Urząd ds. Przeciwdziałania Praniu Pieniędzy i Finansowaniu Terroryzmu i zmieniającego rozporządzenia (UE) nr 1093/2010, (UE) nr 1094/2010 i (UE) nr 1095/2010 ("wniosek dotyczący rozporządzenia ustanawiającego AMLA") 3 ; oraz wniosek dotyczący rozporządzenia Parlamentu Europejskiego i Rady w sprawie informacji towarzyszących transferom środków pieniężnych i niektórych kryptoaktywów ("wniosek dotyczący rozporządzenia w sprawie kryptoaktywów") 4 . Poniżej te cztery projekty wniosków określa się również jako "pakiet legislacyjny dotyczący przeciwdziałania praniu pieniędzy".
2. Pakiet legislacyjny dotyczący przeciwdziałania praniu pieniędzy jest przedmiotem wniosku zgodnie z planem działania na rzecz kompleksowej unijnej polityki zapobiegania praniu pieniędzy i finansowaniu terroryzmu z dnia 7 maja 2020 r. 5 23 lipca 2020 r. EIOD wydał opinię w sprawie planu działania 6 .
3. Cele planu działania, o których mowa w szczególności w rozporządzeniu 7 , są następujące:
- zapewnienie skutecznego wdrożenia istniejących unijnych ram AML/CFT;
- ustanowienie jednolitego zbioru unijnych przepisów w zakresie AML/CFT;
- wprowadzenie na szczeblu UE nadzoru w zakresie AML/CFT;
- ustanowienie mechanizmu wsparcia i współpracy dla jednostek analityki finansowej;
- egzekwowanie przepisów prawa karnego i wymiana informacji na szczeblu unijnym;
- wzmocnienie międzynarodowego wymiaru unijnych ram w zakresie AML/CFT.
4. Pakiet legislacyjny dotyczący przeciwdziałania praniu pieniędzy, w tym wniosek dotyczący rozporządzenia zawierającego elementy (przepisy) dyrektywy (UE) 2018/843 8 , jest ambitną inicjatywą ustawodawczą mającą na celu zwiększenie skuteczności walki z praniem pieniędzy. Ma to na celu w szczególności centralizację egzekwowania przepisów, w tym nowo utworzony europejski Urząd ds. Przeciwdziałania Praniu Pieniędzy i Finansowaniu Terroryzmu ("AMLA"), standaryzację obowiązków podmiotów zobowiązanych, usprawnienie ponadnarodowego i krajowego podejścia opartego na ryzyku, a także ustanowienie przepisów dotyczących współpracy między właściwymi organami nadzoru oraz przepisów dotyczących odpowiednich baz danych i infrastruktury do celów wymiany informacji, zwłaszcza systemu FIU.net, którego hostingiem i zarządzaniem ma zająć się AMLA.
5. 21 lipca 2021 r. Komisja Europejska zwróciła się do EIOD o wydanie opinii w sprawie wniosku, zgodnie z art. 42 ust. 1 rozporządzenia (UE) 2018/1725. Uwagi te ograniczają się do tych przepisów wniosku, które są najistotniejsze z punktu widzenia ochrony danych.
4. Wnioski
W związku z powyższym EIOD:
- z zadowoleniem przyjmuje cele pakietu legislacyjnego dotyczącego przeciwdziałania praniu pieniędzy: zwiększenie skuteczności przeciwdziałania praniu pieniędzy i finansowaniu terroryzmu, w szczególności poprzez większą harmonizację obowiązujących przepisów i wzmocniony nadzór na szczeblu UE (w tym ustanowienie europejskiego Urzędu ds. Przeciwdziałania Praniu Pieniędzy i Finansowaniu Terroryzmu - AMLA);
- oraz z zadowoleniem przyjmuje podejście oparte na analizie ryzyka - stosowane w celu zapobiegania wykorzystywaniu systemu finansowego do prania pieniędzy - stanowiące podstawę pakietu legislacyjnego dotyczącego przeciwdziałania praniu pieniędzy.
Aby jednak zapewnić zgodność z zasadami konieczności i proporcjonalności ochrony danych, a także z mającymi zastosowanie przepisami Unii i państw członkowskich o ochronie danych, EIOD zauważa i zaleca w szczególności, co następuje:
- Pakiet legislacyjny dotyczący przeciwdziałania praniu pieniędzy (w szczególności wniosek dotyczący rozporządzenia) powinien określać kategorie danych osobowych, które mają być przetwarzane przez podmioty zobowiązane w celu wypełnienia obowiązków w zakresie AML/CFT.
- W szczególności wniosek dotyczący rozporządzenia powinien zawierać jasne wskazówki co do warunków i ograniczeń przetwarzania szczególnych kategorii danych osobowych i danych osobowych związanych z wyrokami skazującymi i przestępstwami.
- W odniesieniu do szczególnych kategorii danych osobowych w pakiecie legislacyjnym dotyczącym przeciwdziałania praniu pieniędzy należy w szczególności określić, jaki rodzaj danych (w ramach szerszej kategorii szczególnych kategorii danych osobowych na mocy art. 9 RODO) powinien być przetwarzany przez podmioty zobowiązane, i na jakim konkretnym etapie procesu, do celów przeciwdziałania praniu pieniędzy i finansowaniu terroryzmu. W związku z tym EIOD uważa, że nie należy zezwalać na przetwarzanie danych osobowych związanych z orientacją seksualną lub pochodzeniem etnicznym.
- Jeżeli chodzi o rejestry beneficjentów rzeczywistych, EIOD:
- z zadowoleniem przyjmuje doprecyzowanie informacji o beneficjentach rzeczywistych, które mają być przechowywane w rejestrach beneficjentów rzeczywistych. EIOD zaleca jednak sprecyzowanie, że wykaz informacji, o których mowa w art. 44 wniosku dotyczącego rozporządzenia, jest wyczerpujący;
- z zadowoleniem przyjmuje spoczywający na państwach członkowskich obowiązek przekazywania Komisji wykazu właściwych organów i organów samorządu zawodowego oraz kategorii podmiotów zobowiązanych, którym przyznano dostęp do rejestrów. EIOD zwraca się jednak do prawodawcy o sprecyzowanie, że dostęp organów podatkowych oraz organów samorządu zawodowego do rejestrów beneficjentów rzeczywistych powinien ograniczać się do celu zwalczania prania pieniędzy i finansowania terroryzmu, a zatem powinien być dozwolony wyłącznie w tym celu;
- zauważa, że art. 12 wniosku dotyczącego dyrektywy zawiera przepisy już zawarte w dyrektywie (UE) 2015/849, zmienionej dyrektywą (UE) 2018/843, zgodnie z którymi "każdy członek społeczeństwa" ma dostęp do rejestrów beneficjentów rzeczywistych. EIOD podtrzymuje zatem swoje stanowisko, wyrażone w opinii EIOD 1/2017 w sprawie takiego uogólnionego dostępu, zgodnie z którym to stanowiskiem dostęp do informacji o beneficjentach rzeczywistych - w celu identyfikacji prania pieniędzy i finansowania terroryzmu oraz zapobiegania tym zjawiskom - mają wyłącznie właściwe organy odpowiedzialne za egzekwowanie prawa oraz podmioty zobowiązane przy stosowaniu środków należytej staranności wobec klienta 9 . EIOD zauważa, że dostęp do informacji o beneficjentach rzeczywistych (np. przez organizacje pozarządowe) miałby zastosowanie jako inne prawo do uzyskania i przekazywania informacji. Taki publiczny dostęp, odpowiadający innej funkcji lub celowi, powinien podlegać innemu testowi zgodności z zasadą konieczności i proporcjonalności oraz odrębnemu, zróżnicowanemu zbiorowi przepisów. W związku z tym EIOD zaleca prawodawcy dokonanie oceny konieczności i proporcjonalności takiego "ogólnego dostępu" oraz, w stosownych przypadkach, ustanowienie - na podstawie tej oceny - konkretnych ram prawnych w tym względzie, różniących się od ram prawnych dotyczących dostępu właściwych organów;
- Co więcej - wśród rodzajów ryzyka, które państwa członkowskie mają wziąć pod uwagę przy ustanawianiu kryteriów przyznawania zwolnień w zakresie dostępu do informacji o beneficjentach rzeczywistych - EIOD zdecydowanie zaleca dodanie wyraźnego odniesienia do ryzyka dla ochrony danych osobowych zainteresowanych osób fizycznych. EIOD zaleca również skreślenie terminu "wyjątkowy" w art. 13 zdanie pierwsze i drugie;
- wreszcie EIOD zaleca wprowadzenie do pakietu legislacyjnego dotyczącego przeciwdziałania praniu pieniędzy przepisu ustanawiającego mechanizm sprawozdawczości na temat skuteczności wykorzystania rejestrów beneficjentów rzeczywistych w walce z praniem pieniędzy i finansowaniem terroryzmu;
- mając na uwadze przetwarzanie danych osobowych dotyczących wyroków skazujących i przestępstw, odniesienie do "zarzutów" (oprócz "dochodzeń", "postępowań" i "wyroków skazujących") w art. 55 ust. 3 lit. b) wniosku dotyczącego rozporządzenia jest niejasne i w związku z tym powinno zostać skreślone lub sprecyzowane;
- odnotowuje szerokie uprawnienia dostępu przyznane jednostkom analityki finansowej na mocy art. 18 wniosku dotyczącego dyrektywy i w związku z tym zwraca się do prawodawcy o ponowną ocenę konieczności i proporcjonalności tych praw dostępu, w szczególności w odniesieniu do "informacji dotyczących egzekwowania prawa" wymienionych w art. 18 ust. 1 lit. c). Podobnie EIOD zaleca jasne i wyczerpujące rozgraniczenie kategorii danych osobowych, do których jednostki analityki finansowej mogą mieć dostęp zgodnie z art. 18 ust. 1 lit. a) ("informacje finansowe") i art. 18 ust. 1 lit. b) ("informacje administracyjne");
- przypomina, że konfiguracja prawna uprawnień i działań jednostek analityki finansowej jako "opartych na dochodzeniu", a nie "opartych na informacjach wywiadowczych", byłaby bardziej zgodna z zasadami ochrony danych, tj. zasadą proporcjonalności i celowości, i w związku z tym zaleca skreślenie w motywie 51 dyrektywy sformułowania dotyczącego wykrywania "podmiotów, które są przedmiotem zainteresowania";
- uwzględniając system FIU.net zaleca, aby wniosek dotyczący rozporządzenia ustanawiającego AMLA lub przynajmniej wykonawczy standard techniczny, który ma zostać przyjęty przez Komisję zgodnie z art. 24 ust. 3 wniosku dotyczącego dyrektywy, wyraźnie określał role wszystkich zaangażowanych zainteresowanych stron (AMLA, jednostki analityki finansowej) z punktu widzenia ochrony danych, ponieważ ma to wpływ na obowiązujące ramy ochrony danych i model nadzoru;
- uwzględniając centralną bazę danych dotyczących przeciwdziałania praniu pieniędzy i finansowania terroryzmu, EIOD zaleca określenie okresu przechowywania danych osobowych w niej zawartych, w szczególności ze względu na gromadzenie przez jednostki analityki finansowej i przekazywanie do centralnej bazy danych dotyczących AML/CFT "wyników kontroli nadzorczych obejmujących dokumentację dotyczącą osób zajmujących eksponowane stanowiska polityczne, członków ich rodzin i ich wspólników";
W tym względzie przypominamy również orzecznictwo Trybunału Sprawiedliwości w sprawie Österreichischer Rundfunk, w której Trybunał orzekł, że konieczne jest zbadanie, czy cel z zakresu polityki, któremu służy reklama, "nie może zostać równie skutecznie osiągnięty przez przekazanie imiennych informacji jedynie organom kontrolnym" [pkt 88, zaznaczenie własne, wyrok Trybunału z dnia 20 maja 2003 r., Rechnungshof (C-465/00) przeciwko Österreichischer Rundfunk i innym oraz Christa Neukomm (C-138/01) i Joseph Lauermann (C-139/01) przeciwko Österreichischer Rundfunk, ECLI:EU:C:2003:294]. Kwestię tę należy dokładnie rozważyć przy ocenie proporcjonalności środków polegających na publicznym dostępie do danych osobowych.
- uwzględniając źródła informacji na potrzeby należytej staranności wobec klienta, w tym "listy zagrożeń", w pakiecie legislacyjnym dotyczącym przeciwdziałania praniu pieniędzy należy w szczególności wyjaśnić, w jakich przypadkach podmioty zobowiązane powinny korzystać z takich list. W związku z tym EIOD zwraca się do prawodawcy o rozważenie, czy taki dostęp powinien mieć miejsce wyłącznie w przypadku wysokiego ryzyka prania pieniędzy lub finansowania terroryzmu. Co więcej, można by sprecyzować w motywie, że podmioty zobowiązane powinny należycie weryfikować informacje z list zagrożeń, uwzględniając w szczególności ich wiarygodność i dokładność;
- ponadto, aby wspierać przyjmowanie kodeksów postępowania i certyfikacji, których mają przestrzegać dostawcy baz danych, i list zagrożeń wykorzystywanych do celów przeciwdziałania praniu pieniędzy i finansowaniu terroryzmu, EIOD zwraca się do prawodawcy o włączenie do pakietu legislacyjnego dotyczącego przeciwdziałania praniu pieniędzy odniesienia do kodeksów postępowania na mocy art. 40 RODO oraz odniesienia do certyfikacji na mocy art. 42 RODO, które zostaną opracowane z uwzględnieniem szczególnych potrzeb w tym sektorze;
- art. 32 ust. 3 wniosku dotyczącego rozporządzenia stanowi, że AMLA wydaje wytyczne dotyczące kryteriów identyfikacji osób objętych definicją osób znanych jako bliscy współpracownicy [ "osoby zajmującej eksponowane stanowisko polityczne"]. W związku z tym EIOD uważa, że kategoria "osoby znane jako bliscy współpracownicy" powinna zostać określona we wniosku dotyczącym rozporządzenia, a nie (tylko) w wytycznych AMLA;
- EIOD zaleca określenie kategorii pracowników objętych "badaniem rzetelności" wymaganym na mocy art. 11 wniosku dotyczącego rozporządzenia;
- EIOD zaleca, by wśród kryteriów do rozważenia przez właściwy organ przy publikacji sankcji i środków administracyjnych wyraźniej uwzględnić ryzyko dla ochrony danych osobowych osób, których to dotyczy;
- wreszcie, EIOD zaleca wprowadzenie pewnych zmian (uzupełnień i skreśleń) do brzmienia artykułów i motywów pakietu legislacyjnego dotyczącego przeciwdziałania praniu pieniędzy odnoszących się do RODO i EUDPR.
Bruksela, 22 września 2021 r.
Wojciech Rafał WIEWIÓROWSKI
