AML a RODO: granice, pierwszeństwo i odpowiedzialność
AML i RODO to dwa reżimy prawne które często pojawiają się w tej samej rozmowie — i równie często są źle rozumiane jako sprzeczne.
W praktyce compliance officerowie słyszą dwa mity regularnie. Pierwszy: „RODO nie pozwala nam zebrać tych danych.” Drugi: „Klient żąda usunięcia danych — musimy to zrobić.”
Oba są błędne. I oba mogą kosztować instytucję naruszenie ustawy AML.
Ta lekcja wyjaśnia jak te dwa reżimy naprawdę się mają do siebie — który ma pierwszeństwo, gdzie się uzupełniają i gdzie każdy z nich kończy swój zakres.
PODSTAWA PRAWNA
Aby prawidłowo interpretować zakres pozyskiwanych danych, musimy odwołać się do przepisów o ochronie danych osobowych, które definiują legalność naszych działań.
Art. 6 ust. 1 lit. c RODO
1. Przetwarzanie jest zgodne z prawem wyłącznie w przypadkach, gdy – i w takim zakresie, w jakim – spełniony jest co najmniej jeden z poniższych warunków:
…
c) przetwarzanie jest niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze;
W praktyce oznacza to, że AML stanowi samodzielną podstawę prawną przetwarzania danych osobowych.
Jak pamiętasz z poprzedniej lekcji, Art. 49 ustawy AML nakłada obowiązek przechowywania dokumentacji AML przez określony czas.
Co to oznacza?
Retencja danych AML wynika z ustawy i ma pierwszeństwo przed zasadą minimalizacji okresu przechowywania z RODO.
Zakres ograniczeń informacyjnych Przepisy AML ograniczają możliwość informowania klientów o:
- raportowaniu,
- działaniach analitycznych,
- współpracy z GIIF.
Znaczenie praktyczne: Pełna transparentność wobec klienta może prowadzić do naruszenia przepisów AML, tzw. tipping off. Więcej na ten temat dowiesz się w Module 9.
REAL TALK SECTION
W AML nie ma miejsca na uprzejmości. Regulatora nie obchodzi Twoja chęć bycia „pro-klienckim” – liczy się wyłącznie litera prawa. Co może kłócić się czasem z podejściem biznesowym.
Błąd 1: „RODO nie pozwala nam zebrać tych danych”. To mit. Jeśli Art. 34 ustawy AML nakłada na Ciebie obowiązek CDD, to RODO nie jest wymówką. Art. 6 RODO wprost wskazuje, że wypełnienie obowiązku ustawowego (AML) to samodzielna podstawa prawna. Jeśli nie zbierzesz danych „bo prywatność”, polegniesz na pierwszej kontroli.
Błąd 2: „Klient ma prawo do zapomnienia”. Nie w AML. Jeśli klient żąda usunięcia danych, a nie minęło 5 lat od zakończenia relacji – odmawiasz. Jeśli ulegniesz klientowi i skasujesz dane, łamiesz Art. 49 ustawy AML. Podczas kontroli nikt nie zapyta o Twoje intencje, tylko o brakujące dokumenty.
Zasada jest następujaca:
AML mówi, CO i JAK DŁUGO musisz mieć. RODO mówi tylko JAK masz to bezpiecznie trzymać.