TL;DR dla IOD
Jeśli wśród Twoich klientów są banki, pośrednicy finansowi, doradcy podatkowi, notariusze, adwokaci, biegli rewidenci lub pośrednicy nieruchomości - wszyscy oni są podmiotami zobowiązanymi w zakresie przeciwdziałania praniu pieniędzy. Od 10 lipca 2027 r. będą mogli wymieniać się informacjami między sobą i z organami o przypadkach podejrzanych. Zasady, jak robić to bez naruszania RODO, powstają właśnie teraz, a konsultacje przyjdą kilka miesięcy przed startem.
Co ogłoszono
1 lipca 2026 r., z Brukseli i Frankfurtu, EROD i AMLA - europejski Urząd ds. Przeciwdziałania Praniu Pieniędzy z siedzibą we Frankfurcie - poinformowały, że będą wspólnie pracować nad wytycznymi poświęconymi partnerstwom na rzecz wymiany informacji. Pytanie, na które odpowiadają, postawiono wprost: jak dzielić się informacjami w walce z przestępczością finansową, chroniąc jednocześnie dane osobowe.
Podstawą jest art. 75 rozporządzenia AML, który pozwala objętym regulacją przedsiębiorstwom i profesjonalistom wymieniać informacje między sobą oraz z organami publicznymi, w wyraźnie określonych granicach. To uprawnienie będzie stosowane od 10 lipca 2027 r. Pracami pokieruje mieszany zespół redakcyjny złożony z członków EROD i AMLA.
Kalendarz, czyli najbardziej użyteczna część
- Do końca 2026 r.: wspólne wydarzenie EROD i AMLA, aby zebrać pierwsze stanowiska rynku co do kwestii wymagających wyjaśnienia.
- Pierwsza połowa 2027 r.: konsultacje publiczne nad projektem wytycznych.
- 10 lipca 2027 r.: uprawnienie do wymiany z art. 75 staje się stosowalne.
Daty zostawiają mało miejsca
Między końcem konsultacji a początkiem stosowania miną tylko miesiące. Podmioty zobowiązane będą budować procesy, gdy tekst końcowy będzie jeszcze świeży, a kto czeka na wytyczne, żeby zacząć o tym myśleć, spóźni się.
Dlaczego problem jest realny
Bo wymiana informacji AML należy do najbardziej wrażliwych operacji przetwarzania, jakie istnieją. Dotyczy osób, wobec których nie toczy się postępowanie i które nie zostały skazane: po prostu wewnętrzna analiza uznała je za podejrzane. Dane wędrują między podmiotami prywatnymi, nie tylko do organów. A osoba, której dane dotyczą, z definicji nic o tym nie wie, bo obowiązek zachowania tajemnicy AML zabrania jej poinformować.
Razem te trzy elementy opisują dokładnie scenariusz, któremu RODO przygląda się najuważniej: przetwarzanie nieprzejrzyste, o dużym wpływie na osobę, dotyczące danych, które mogą być równoznaczne z oskarżeniem. Bez precyzyjnych reguł ryzyko nie jest teoretyczne: to powstawanie prywatnych list osób niepożądanych, budowanych na nigdy nieweryfikowanych podejrzeniach, których ci na nich figurujący nie mogą zakwestionować.
Co IOD może zrobić już teraz
Dziś nie ma czego stosować, ale jest dużo do przygotowania. Trzy rzeczy są przydatne od razu i nie zależą od tekstu końcowego.
- Sprawdź, czy Twoi klienci są podmiotami zobowiązanymi: krąg jest szerszy, niż się sądzi, i obejmuje zawody, które nie uważają się za objęte, dopóki ktoś im tego nie powie.
- W rejestrze czynności zobacz, jak dziś opisano przetwarzanie AML: w większości przypadków kończy się na zgłoszeniu do jednostki analityki finansowej i nie przewiduje żadnej wymiany poziomej.
- Wpisz do kalendarza wydarzenie z końca 2026 r. i konsultacje 2027 r.: to materiał potrzebny do aktualizacji ocen skutków przed 10 lipca, a nie po.
Uwaga, którą warto przekazać klientowi
To, że rozporządzenie AML dopuszcza wymianę, nie czyni jej automatycznie zgodną z RODO: pozostaje ustalić podstawę prawną, minimalizację, okresy przechowywania i bezpieczeństwo. Wspólne wytyczne istnieją właśnie dlatego, że te dwie płaszczyzny się nie pokrywają - a pierwszy odkryje to w praktyce ten, kto ruszył, nie czekając na nie.
Szukasz narzędzia do codziennej pracy inspektora ochrony danych?
DPO Workspace został zbudowany przez certyfikowanego IOD. 30 dni bezpłatnie.
Zacznij bezpłatnie
