TL;DR para o EPD
Se entre os seus clientes há bancos, intermediários financeiros, contabilistas, notários, advogados, auditores ou mediadores imobiliários, são todos entidades obrigadas em matéria de branqueamento. A partir de 10 de Julho de 2027 poderão trocar informação entre si e com as autoridades sobre casos suspeitos. As regras para o fazer sem violar o RGPD estão a ser escritas agora, e a consulta chegará poucos meses antes de a faculdade se tornar operacional.
O que foi anunciado
A 1 de Julho de 2026, de Bruxelas e Frankfurt, o CEPD e a AMLA - a Autoridade europeia de combate ao branqueamento, sediada em Frankfurt - deram a conhecer que trabalharão em conjunto em orientações dedicadas às parcerias para a partilha de informação. A pergunta a que respondem é colocada sem rodeios: como partilhar informação para combater a criminalidade financeira protegendo ao mesmo tempo os dados pessoais.
A base é o artigo 75.º do regulamento antibranqueamento, que permite às empresas e aos profissionais abrangidos trocar informação entre si e com as autoridades públicas, dentro de limites definidos. Essa faculdade aplicar-se-á a partir de 10 de Julho de 2027. Uma equipa de redação mista, com membros do CEPD e da AMLA, conduzirá os trabalhos.
O calendário, que é a parte útil
- Até ao final de 2026: um evento conjunto CEPD-AMLA para recolher as primeiras posições dos operadores sobre os pontos que merecem esclarecimento.
- Primeira metade de 2027: consulta pública sobre o projeto de orientações.
- 10 de Julho de 2027: a faculdade de partilha do artigo 75.º torna-se aplicável.
As datas deixam pouca margem
Entre o fim da consulta e a entrada em aplicação passarão poucos meses. As entidades obrigadas terão de construir os seus processos com o texto definitivo ainda fresco, e quem esperar pelas orientações para começar a pensar nisto chegará tarde.
Porque é que o problema é real
Porque a partilha de informação antibranqueamento é um dos tratamentos mais delicados que existem. Diz respeito a pessoas que não estão sob investigação nem condenadas: simplesmente uma análise interna considerou-as suspeitas. Os dados circulam entre entidades privadas, não apenas para as autoridades. E, por definição, o titular nada sabe, porque o dever de confidencialidade antibranqueamento impede que seja informado.
Somados, estes três elementos descrevem exatamente o cenário que o RGPD vigia com mais atenção: um tratamento opaco, de forte impacto sobre a pessoa, sobre dados que podem equivaler a uma acusação. Sem regras precisas o risco não é teórico: é a formação de listas privadas de pessoas indesejadas, construídas sobre suspeitas nunca verificadas e que quem nelas figura não pode contestar.
O que um EPD pode fazer desde já
Não há nada para aplicar hoje, mas há muito para preparar. Três coisas são úteis agora e não dependem do texto final.
- Verifique se os seus clientes são entidades obrigadas: o universo é mais amplo do que se julga e inclui profissões que não se consideram abrangidas até alguém lho dizer.
- No registo de atividades, veja como está hoje descrito o tratamento antibranqueamento: na maioria dos casos fica-se pela comunicação à unidade de informação financeira e não prevê qualquer partilha horizontal.
- Marque na agenda o evento do final de 2026 e a consulta de 2027: é o material de que precisará para atualizar as avaliações de impacto antes de 10 de Julho, e não depois.
A observação que vale a pena fazer ao cliente
Que uma partilha seja permitida pelo regulamento antibranqueamento não a torna automaticamente lícita à luz do RGPD: continuam por definir fundamento jurídico, minimização, prazos de conservação e segurança. As orientações conjuntas existem precisamente porque os dois planos não coincidem, e o primeiro a descobri-lo no terreno será quem se tiver movido sem as esperar.
Procura uma ferramenta para o seu trabalho de EPD?
O DPO Workspace foi construído por um DPO certificado. 30 dias de experiência gratuita.
Começar gratuitamente
