Rozdział 7 - OCHRONA DANYCH I PRZECHOWYWANIE DOKUMENTACJI - Rozporządzenie 2024/1624 w sprawie zapobiegania wykorzystywaniu systemu finansowego do prania pieniędzy lub finansowania terroryzmu

Dzienniki UE

Dz.U.UE.L.2024.1624

Akt oczekujący

Wersja od: 19 czerwca 2024 r.

ROZDZIAŁ  VII

OCHRONA DANYCH I PRZECHOWYWANIE DOKUMENTACJI

Artykuł  76

Przetwarzanie danych osobowych

1. W zakresie, w jakim jest to ściśle niezbędne do celów zapobiegania praniu pieniędzy i finansowaniu terroryzmu, podmioty zobowiązane mogą przetwarzać szczególne kategorie danych osobowych, o których mowa w art. 9 ust. 1 rozporządzenia (UE) 2016/679, oraz dane osobowe dotyczące wyroków skazujących i przestępstw, o których mowa w art. 10 tego rozporządzenia, z zastrzeżeniem zabezpieczeń przewidzianych w ust. 2 i 3 niniejszego artykułu.

2. Podmioty zobowiązane mogą przetwarzać dane osobowe objęte art. 9 rozporządzenia (UE) 2016/679, pod warunkiem że:

a) informują one swoich klientów lub potencjalnych klientów, że takie kategorie danych mogą być przetwarzane w celu spełnienia wymogów niniejszego rozporządzenia;

b) dane pochodzą z wiarygodnych źródeł, są dokładne i aktualne;

c) nie podejmują one na podstawie tych danych decyzji, które prowadziłyby do stronniczych i dyskryminujących wyników;

d) przyjmują środki o wysokim poziomie bezpieczeństwa zgodnie z art. 32 rozporządzenia (UE) 2016/679, w szczególności w zakresie poufności.

3. Podmioty zobowiązane mogą przetwarzać dane osobowe objęte art. 10 rozporządzenia (UE) 2016/679, o ile spełniają warunki określone w ust. 2 niniejszego artykułu oraz o ile:

a) takie dane osobowe mają związek z praniem pieniędzy, jego przestępstwami źródłowymi lub finansowaniem terroryzmu;

b) podmioty zobowiązane posiadają procedury umożliwiające - w ramach przetwarzania takich danych - rozróżnienie między zarzutami, postępowaniami przygotowawczymi, postępowaniami i wyrokami skazującymi, z uwzględnieniem podstawowego prawa do rzetelnego procesu sądowego, prawa do obrony i domniemania niewinności.

4. Dane osobowe przetwarzane są przez podmioty zobowiązane na podstawie niniejszego rozporządzenia wyłącznie do celów zapobiegania praniu pieniędzy i finansowaniu terroryzmu i nie mogą być dalej przetwarzane w sposób niezgodny z tymi celami. Przetwarzanie danych osobowych na podstawie niniejszego rozporządzenia do celów handlowych jest zabronione.

5. Podmioty zobowiązane mogą przyjmować decyzje będące wynikiem procesów zautomatyzowanych, w tym profilowania zdefiniowanego w art. 4 pkt 4 rozporządzenia (UE) 2016/679, lub procesów z udziałem systemów sztucznej inteligencji zdefiniowanych w art. 3 pkt 1 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2024/xxx ⁴⁵ , pod warunkiem że:

a) dane przetwarzane przez takie systemy są ograniczone do danych uzyskanych zgodnie z rozdziałem III niniejszego rozporządzenia;

b) wszelkie decyzje o nawiązaniu lub odmowie nawiązania lub o utrzymaniu stosunków gospodarczych z klientem, o przeprowadzeniu lub odmowie przeprowadzenia transakcji sporadycznej na rzecz klienta lub o zwiększeniu lub zmniejszeniu zakresu środków należytej staranności wobec klienta stosowanych zgodnie z art. 20 niniejszego rozporządzenia, podlegają znaczącej ludzkiej interwencji, aby zapewnić prawidłowość i adekwatność takiej decyzji, oraz

c) klient może uzyskać wyjaśnienie dotyczące decyzji podjętej przez podmiot zobowiązany i może zaskarżyć tę decyzję, z wyjątkiem w związku ze zgłoszeniem, o którym mowa w art. 69 niniejszego rozporządzenia.

Artykuł  77

Przechowywanie dokumentacji

1. Podmioty zobowiązane przechowują następujące dokumenty i informacje:

a) kopię dokumentów i informacji uzyskanych w trakcie przeprowadzania należytej staranności wobec klienta zgodnie z rozdziałem III, w tym informacji uzyskanych za pomocą środków identyfikacji elektronicznej;

b) dokumentację oceny przeprowadzonej zgodnie z art. 69 ust. 2, w tym wzięte pod uwagę informacje i okoliczności oraz wyniki takiej oceny, bez względu na to, czy ocena ta skutkuje zgłoszeniem podejrzanej transakcji FIU, oraz kopię zgłoszenia podejrzanych transakcji, jeżeli istnieje;

c) dowody potwierdzające transakcje i rejestry transakcji, obejmujące oryginalne dokumenty lub kopie dopuszczalne w postępowaniach sądowych zgodnie z mającymi zastosowanie przepisami krajowymi, które to dowody, rejestry i dokumenty są konieczne do identyfikacji transakcji;

d) w przypadku gdy uczestniczą w partnerstwach na rzecz wymiany informacji zgodnie z rozdziałem VI, kopie dokumentów i informacji uzyskanych w ramach tych partnerstw oraz dokumentację wszystkich przypadków wymiany informacji.

Podmioty zobowiązane zapewniają, aby dokumenty, informacje i dokumentacja przechowywane na podstawie niniejszego artykułu nie zawierały informacji utajnionych.

2. W drodze odstępstwa od ust. 1 podmioty zobowiązane mogą podjąć decyzję o zastąpieniu przechowywania kopii informacji przechowywaniem odniesień do takich informacji, pod warunkiem że charakter i sposób przechowywania takich informacji gwarantują, że podmioty zobowiązane mogą niezwłocznie dostarczyć informacje właściwym organom oraz że informacje te nie mogą zostać zmienione lub zmodyfikowane.

Podmioty zobowiązane korzystające z odstępstwa, o którym mowa w akapicie pierwszym, określają w swoich wewnętrznych procedurach - sporządzonych na podstawie art. 9 - kategorie informacji, względem których będą przechowywać odniesienie zamiast kopii lub oryginału, jak również procedury wyszukiwania informacji, tak aby można je było przekazać właściwym organom na ich wniosek.

3. Informacje, o których mowa w ust. 1 i 2, przechowuje się przez okres pięciu lat począwszy od dnia zerwania stosunków gospodarczych lub od dnia przeprowadzenia transakcji sporadycznej lub od dnia odmowy nawiązania stosunków gospodarczych lub przeprowadzenia transakcji sporadycznej. Bez uszczerbku dla okresów przechowywania danych gromadzonych do celów innych aktów prawa Unii lub prawa krajowego zgodnych z rozporządzeniem (UE) 2016/679 podmioty zobowiązane usuwają dane osobowe wraz z upływem tego pięcioletniego okresu przechowywania.

Właściwe organy mogą wymagać dalszego przechowywania informacji, o których mowa w akapicie pierwszym, w indywidualnych przypadkach, pod warunkiem że takie przechowywanie jest niezbędne do zapobiegania praniu pieniędzy lub finansowaniu terroryzmu, ich wykrywania, prowadzenia postępowań przygotowawczych lub wnoszenia i popierania oskarżeń w ich sprawie. Taki okres dalszego przechowywania nie może przekroczyć pięciu lat.

4. W przypadku gdy w dniu 10 lipca 2027 r. w państwie członkowskim toczy się postępowanie sądowe dotyczące zapobiegania podejrzewanym przypadkom prania pieniędzy lub finansowania terroryzmu, wykrywania takich przypadków, prowadzenia postępowań przygotowawczych lub wnoszenia i popierania oskarżeń w ich sprawie, a podmiot zobowiązany posiada informacje lub dokumenty związane z tym toczącym się postępowaniem, takie informacje lub dokumenty mogą być przechowywane przez dany podmiot zobowiązany przez okres pięciu lat od dnia 10 lipca 2027 r.

Państwa członkowskie mogą - bez uszczerbku dla krajowych przepisów prawa karnego dotyczących dowodów, mających zastosowanie do trwających postępowań przygotowawczych i postępowań sądowych - zezwolić na przechowywanie takich informacji lub dokumentów przez dalszy okres pięciu lat lub wymagać takiego przechowywania, w przypadku gdy stwierdzono, że takie dalsze przechowywanie jest konieczne i proporcjonalne do zapobiegania podejrzewanym przypadkom prania pieniędzy lub finansowania terroryzmu, wykrywania takich przypadków, prowadzenia postępowań przygotowawczych lub wnoszenia i popierania oskarżeń w ich sprawie.

Artykuł  78

Dostarczanie dokumentacji właściwym organom

Podmioty zobowiązane posiadają systemy umożliwiające im udzielanie pełnych i szybkich odpowiedzi na zapytania kierowane przez ich FIU lub przez inne właściwe organy wystosowane zgodnie z prawem krajowym, dotyczące tego, czy podmioty te utrzymują lub utrzymywały w ciągu pięciu lat przed otrzymaniem zapytania stosunki gospodarcze z określonymi osobami, oraz dotyczące charakteru tych stosunków, z wykorzystaniem bezpiecznych kanałów oraz w sposób zapewniający pełną poufność zapytań.

⁴⁵ Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2024/xxx z dnia xxx ustanawiające zharmonizowane przepisy dotyczące sztucznej inteligencji) i zmieniające rozporządzenia (WE) nr 300/2008, (UE) nr 167/2013, (UE) nr 168/2013, (UE) 2018/858, (UE) 2018/1139 i (UE) 2019/2144 oraz dyrektywy 2014/90/UE, (UE) 2016/797 i (UE) 2020/1828 (akt w sprawie sztucznej inteligencji) (dotychczas nieopublikowane w Dzienniku Urzędowym).