Shrnutí stanoviska evropského inspektora ochrany údajů k balíčku legislativních návrhů pro boj proti praní peněz a financování terorismu (AML/CFT)

(Úplné znění tohoto stanoviska je k dispozici v angličtině, francouzštině a němčině na internetových stránkách evropského inspektora ochrany údajů na adrese www.edps.europa.eu)

(2021/C 524/03)

Evropská komise přijala dne 20. července 2021 balíček legislativních návrhů, jejichž cílem je posílit pravidla EU pro boj proti praní peněz a financování terorismu (AML/CFT) (dále jen „legislativní balíček pro AML“), který obsahuje: návrh nařízení Evropského parlamentu a Rady o předcházení využívánfí finančního systému k praní peněz nebo financování terorismu, návrh směrnice Evropského parlamentu a Rady o mechanismech pro předcházení využívání finančního systému k praní peněz nebo financování terorismu a o zrušení směrnice (EU) 2015/849 a návrh nařízení Evropského parlamentu a Rady, kterým se zřizuje Orgán pro boj proti praní peněz a financování terorismu a mění nařízení (EU) č. 1093/2010, (EU) č. 1094/2010 a (EU) č. 1095/2010, a návrh nařízení Evropského parlamentu a Rady o informacích doprovázejících převody peněžních prostředků a některých kryptoaktiv.

Evropský inspektor ochrany údajů vítá cíle, které sleduje legislativní balíček pro AML, konkrétně zvýšení účinnosti boje proti praní peněz a financování terorismu, zejména prostřednictvím větší harmonizace platných pravidel a posíleného dohledu na úrovni EU (včetně zřízení Evropského orgánu pro boj proti praní peněz a financování terorismu, dále jen „AMLA“).

Evropský inspektor ochrany údajů zdůrazňuje, že přístup založený na posouzení rizik ke sledování využívání finančního systému k praní peněz, který je jádrem legislativního balíčku pro AML, je sice vítán, avšak vyžaduje další upřesnění a vyjasnění.

V této souvislosti s cílem zajistit soulad se zásadami nezbytnosti a přiměřenosti, jakož i s cílem posílit právní jistotu povinných osob, pokud jde o jejich povinnosti, předkládá evropský inspektor ochrany údajů řadu připomínek a doporučení, zejména:

Legislativní balíček pro AML by měl určit kategorie osobních údajů, které mají povinné osoby zpracovávat za účelem splnění povinností v oblasti AML/CFT, namísto toho, aby tuto specifikaci systematicky ponechal na regulačních technických normách, stejně jako by měl též lépe popsat podmínky a omezení pro zpracování zvláštních kategorií osobních údajů a osobních údajů souvisejících s rozsudky v trestních věcech a trestnými činy.

Legislativní balíček pro AML by měl zejména stanovit, které typy zvláštních kategorií osobních údajů by měly povinné osoby zpracovávat, s přihlédnutím k zásadám nezbytnosti a přiměřenosti, s ohledem na různé činnosti a opatření, jež je třeba přijmout (identifikace, hloubková kontrola klienta, oznamování finančním zpravodajským jednotkám), a na konkrétní sledovaný účel (konkrétně praní peněz nebo boj proti financování terorismu). Evropský inspektor ochrany údajů se zejména domnívá, že by nemělo být povoleno zpracování osobních údajů týkajících se sexuální orientace nebo etnického původu.

Pokud jde o registry informací o skutečných majitelích, evropský inspektor ochrany údajů:

— vítá povinnost členských států oznámit Komisi uzavřený seznam příslušných orgánů a orgánů stavovské samosprávy a kategorií povinných osob, kterým je povolen přístup k registrům informací o skutečných majitelích. Evropský inspektor ochrany údajů však vyzývá normotvůrce, aby upřesnil, že přístup správců daně i orgánů stavovské samosprávy k registrům informací o skutečných majitelích by měl být omezen na účely boje proti praní peněz a financování terorismu, a měl by být tudíž povolen pouze pro tento účel,

— pokud jde o přístup udělený „jakékoli osobě z široké veřejnosti“ k registrům informací o skutečných majitelích, evropský inspektor ochrany údajů opakuje svůj dřívější postoj, že doposud nebyla jasně stanovena nezbytnost a přiměřenost takového všeobecného přístupu pro účely předcházení praní peněz a financování terorismu. Tento přístup by měl být v zásadě omezen na příslušné orgány, které jsou odpovědné za prosazování práva, a na povinné osoby při přijímání opatření hloubkové kontroly klienta. Evropský inspektor ochrany údajů je toho názoru, že přístup k informacím o skutečných majitelích motivovaný jinými cíli obecného zájmu (jako je posílení transparentnosti) by měl být spíše považován za právo na získání informací. Takový přístup veřejnosti by vyžadoval samostatné posouzení nezbytnosti a přiměřenosti a řídil by se samostatným souborem pravidel stanovujícím nezbytné záruky. Evropský inspektor ochrany údajů proto doporučuje normotvůrci, aby posoudil nezbytnost a přiměřenost takového „obecného přístupu“ a aby na základě tohoto posouzení, bude-li to považováno za vhodné, stanovil v tomto ohledu zvláštní právní rámec odlišný od právního rámce týkajícího se přístupu příslušných orgánů.

Evropský inspektor ochrany údajů navíc důrazně doporučuje, aby mezi rizika, která mají členské státy zvážit při stanovování kritérií pro udělování výjimek z přístupu k informacím o skutečných majitelích, byl doplněn výslovný odkaz na rizika pro ochranu osobních údajů dotčených fyzických osob.

Evropský inspektor ochrany údajů rovněž doporučuje, aby byl v legislativním balíčku pro AML stanoven mechanismus podávání zpráv o využívání registrů informací o skutečných majitelích v boji proti praní peněz a financování terorismu s cílem shromáždit důkazy podložené fakty o účinnosti systému a podpořit případné budoucí legislativní iniciativy.

Evropský inspektor ochrany údajů dále bere na vědomí rozsáhlé přístupové pravomoci svěřené finančním zpravodajským jednotkám a vyzývá normotvůrce, aby znovu posoudil nezbytnost a přiměřenost těchto přístupových práv, zejména pokud jde o „informace v oblasti vymáhání práva“ uvedené v čl. 18 odst. 1 písm. c) návrhu směrnice. Vzhledem k systému výměny informací mezi finančními zpravodajskými jednotkami, FIU.net, evropský inspektor ochrany údajů doporučuje, aby byl návrh nařízení, kterým se zřizuje orgán AMLA, změněn tak, aby jasně vymezil úlohy všech zúčastněných stran (orgánu AMLA a finančních zpravodajských jednotek) z hlediska ochrany údajů v souvislosti s tímto komunikačním kanálem, jelikož má dopad na použitelný rámec ochrany údajů a má důsledky pro model dohledu.

S ohledem na zdroje informací pro hloubkovou kontrolu klienta, včetně „kontrolních seznamů“, by legislativní balíček pro AML měl zejména vyjasnit, ve kterých případech by povinné osoby měly tyto seznamy využívat. V tomto ohledu evropský inspektor ochrany údajů vyzývá normotvůrce, aby zvážil, zda by k takovému přístupu mělo dojít pouze v případě vysokého rizika praní peněz nebo financování terorismu.

S cílem podpořit přijetí kodexů chování a osvědčení, které mají poskytovatelé databází a kontrolních seznamů používaných pro účely AML/CFT dodržovat, evropský inspektor ochrany údajů dále vyzývá normotvůrce, aby do legislativního balíčku pro AML zahrnul odkaz na kodexy chování podle článku 40 obecného nařízení o ochraně osobních údajů a na osvědčení podle článku 42 obecného nařízení o ochraně osobních údajů, které je třeba vypracovat s ohledem na specifické potřeby v tomto odvětví.

1. Souvislosti

1. Evropská komise přijala dne 20. července 2021 návrh nařízení Evropského parlamentu a Rady o předcházení využívání finančního systému k praní peněz nebo financování terorismu (dále jen „návrh nařízení“) (1), návrh směrnice Evropského parlamentu a Rady o mechanismech pro předcházení využívání finančního systému k praní peněz nebo financování terorismu a o zrušení směrnice (EU) 2015/849 (dále jen „návrh směrnice“) (2), návrh nařízení Evropského parlamentu a Rady, kterým se zřizuje Orgán pro boj proti praní peněz a financování terorismu a mění nařízení (EU) č. 1093/2010, (EU) č. 1094/2010 a (EU) č. 1095/2010, (dále jen „návrh nařízení, kterým se zřizuje orgán AMLA“) (3) a návrh nařízení Evropského parlamentu a Rady o informacích doprovázejících převody peněžních prostředků a některých kryptoaktiv (dále jen „návrh nařízení o kryptoaktivech“) (4). Tyto čtyři návrhy dále označujeme též jako „legislativní balíček pro AML“.

2. Legislativní balíček pro AML je navržen v souladu s akčním plánem pro komplexní politiku Unie v oblasti předcházení praní peněz a financování terorismu ze dne 7. května 2020 (5). Evropský inspektor ochrany údajů vydal dne 23. července 2020 stanovisko k akčnímu plánu (6).

3. Cíle akčního plánu, na něž se odkazuje zejména v nařízení (7), jsou tyto: — zajištění účinného provádění stávajícího rámce EU pro AML/CFT, — vytvoření jednotného souboru pravidel EU v oblasti AML/CFT, — dotažení dohledu v oblasti AML/CFT na úroveň EU, — zřízení podpůrného a kooperačního mechanismu pro finanční zpravodajské jednotky, — vynucování trestněprávních předpisů a výměna informací na úrovni Unie, — posílení mezinárodního rozměru rámce EU pro AML/CFT.

4. Legislativní balíček pro AML, včetně návrhu nařízení, jehož součástí jsou prvky (ustanovení) směrnice (EU) 2018/843 (8), je ambiciózní legislativní iniciativou, jejímž cílem je zvýšit účinnost boje proti praní peněz. Usiluje o to zejména centralizací vynucování, včetně nově zřízeného Evropského orgánu pro boj proti praní peněz a financování terorismu (dále jen „AMLA“), standardizací povinností povinných osob, zefektivněním nadnárodního a vnitrostátního přístupu založeného na posouzení rizik, jakož i stanovením pravidel pro spolupráci mezi příslušnými orgány dohledu a pro příslušné databáze a infrastrukturu pro výměnu informací, zejména FIU.net, kterou má provozovat a spravovat orgán AMLA.

5. Dne 21. července 2021 požádala Evropská komise v souladu s čl. 42 odst. 1 nařízení (EU) 2018/1725 evropského inspektora ochrany údajů, aby k návrhu vydal stanovisko. Tyto připomínky se omezují na ustanovení návrhu, která jsou nejrelevantnější z hlediska ochrany údajů.

4. Závěry

S ohledem na výše uvedené evropský inspektor ochrany údajů:

— vítá cíle legislativního balíčku pro AML, konkrétně zvýšení účinnosti boje proti praní peněz a financování terorismu, zejména prostřednictvím větší harmonizace platných pravidel a posíleného dohledu na úrovni EU (včetně zřízení Evropského orgánu pro boj proti praní peněz a financování terorismu, AMLA)

— a vítá přístup založený na posouzení rizik, jehož cílem je předcházet využívání finančního systému k praní peněz, což je jádrem legislativního balíčku pro AML.

Aby byl však zajištěn soulad se zásadami nezbytnosti a přiměřenosti ochrany údajů, jakož i soulad s platnými právními předpisy Unie a členských států v oblasti ochrany údajů, evropský inspektor ochrany údajů poznamenává a doporučuje zejména toto:

— legislativní balíček pro boj proti praní peněz (zejména návrh nařízení) by měl určit kategorie osobních údajů, které mají povinné osoby zpracovávat za účelem splnění povinností v oblasti AML/CFT,

— návrh nařízení by měl především poskytnout jasné informace o podmínkách a omezeních zpracování zvláštních kategorií osobních údajů a osobních údajů souvisejících s rozsudky v trestních věcech a trestnými činy,

— pokud jde o zvláštní kategorie osobních údajů, legislativní balíček pro AML by měl zejména stanovit, který typ údajů (v rámci širší kategorie zvláštních kategorií osobních údajů podle článku 9 obecného nařízení o ochraně osobních údajů) by měly povinné osoby zpracovávat a v jaké přesné fázi procesu pro účely boje proti praní peněz a financování terorismu. V tomto ohledu se evropský inspektor ochrany údajů domnívá, že by nemělo být povoleno zpracování osobních údajů týkajících se sexuální orientace nebo etnického původu,

— pokud jde o registry informací o skutečných majitelích, evropský inspektor ochrany údajů: — vítá upřesnění informací o skutečných majitelích, které mají být uchovávány v registrech informací o skutečných majitelích. Evropský inspektor ochrany údajů však doporučuje upřesnit, že seznam informací podle článku 44 návrhu nařízení je úplným seznamem, — vítá povinnost členských států oznámit Komisi seznam příslušných orgánů a orgánů stavovské samosprávy a kategorií povinných osob, kterým je udělen přístup k registrům. Evropský inspektor ochrany údajů však vyzývá normotvůrce, aby upřesnil, že přístup správců daně i orgánů stavovské samosprávy k registrům informací o skutečných majitelích by měl být omezen na účely boje proti praní peněz a financování terorismu, a měl by být tudíž povolen pouze pro tento účel, — konstatuje, že článek 12 návrhu směrnice zahrnuje ustanovení již obsažená ve směrnici (EU) 2015/849 ve znění směrnice (EU) 2018/843, podle nichž má „jakákoli osoba z široké veřejnosti“ přístup k registrům informací o skutečných majitelích. Evropský inspektor ochrany údajů proto opakuje svůj postoj vyjádřený ve stanovisku evropského inspektora ochrany údajů č. 1/2017 k takovému všeobecnému přístupu, totiž že přístup k informacím o skutečných majitelích – za účelem identifikace a předcházení praní peněz a financování terorismu – mají mít pouze příslušné orgány, které jsou pověřeny vynucováním práva, a povinné osoby při přijímání opatření hloubkové kontroly klienta (9). Evropský inspektor ochrany údajů poznamenává, že přístup k informacím o skutečných majitelích (například ze strany nevládních organizací) by se uplatnil jako, odlišné, právo na získání a poskytnutí informací. Tento přístup veřejnosti, který odpovídá odlišné funkci / odlišnému účelu, by měl podléhat jinému testu nezbytnosti a přiměřenosti a samostatnému, odlišnému souboru pravidel. Evropský inspektor ochrany údajů proto normotvůrci doporučuje, aby posoudil nezbytnost a přiměřenost takového „obecného přístupu“ a aby na základě tohoto posouzení případně v tomto ohledu stanovil zvláštní právní rámec odlišný od právního rámce týkajícího se přístupu příslušných orgánů, — Evropský inspektor ochrany údajů navíc důrazně doporučuje, aby mezi rizika, která mají členské státy zvážit při stanovování kritérií pro udělování výjimek z přístupu k informacím o skutečných majitelích, byl doplněn výslovný odkaz na rizika pro ochranu osobních údajů dotčených fyzických osob. Evropský inspektor ochrany údajů rovněž doporučuje vypustit výraz „výjimečný“ v první a druhé větě článku 13, — a konečně by evropský inspektor ochrany údajů doporučil vložit do legislativního balíčku pro AML ustanovení, kterým se zřizuje mechanismus pro podávání zpráv o účinnosti využívání registrů informací o skutečných majitelích v boji proti praní peněz a financování terorismu,

— s ohledem na zpracování osobních údajů souvisejících s rozsudky v trestních věcech a trestnými činy je odkaz na „nařčení“ (kromě „vyšetřování“, „řízení“ a „odsouzení“) v čl. 55 odst. 3 písm. b) návrhu nařízení neurčitý, a měl by proto být vypuštěn nebo upřesněn,

— bere na vědomí rozsáhlé přístupové pravomoci svěřené finančním zpravodajským jednotkám podle článku 18 návrhu směrnice, a proto vyzývá normotvůrce, aby přehodnotil nezbytnost a přiměřenost těchto přístupových práv, zejména ve vztahu k „informacím v oblasti prosazování práva“ uvedeným v čl. 18 odst. 1 písm. c). Ve stejném duchu evropský inspektor ochrany údajů doporučuje jasně a vyčerpávajícím způsobem vymezit kategorie osobních údajů, ke kterým mohou mít finanční zpravodajské jednotky přístup podle čl. 18 odst. 1 písm. a) („finanční informace“) a čl. 18 odst. 1 písm. b) („správní informace“),

— znovu opakuje, že právní uspořádání pravomocí a činností finančních zpravodajských jednotek jako uspořádání „založené na vyšetřování“ namísto uspořádání „založeného na zpravodajských informacích“ by bylo více v souladu se zásadami ochrany údajů, tj. se zásadou přiměřenosti a omezení účelu, a proto doporučuje vypustit v 51. bodě odůvodnění směrnice formulaci týkající se odhalování „osob, které jsou v centru pozornosti“,

— s ohledem na síť FIU.net doporučuje, aby návrh nařízení, kterým se zřizuje orgán AMLA, nebo alespoň prováděcí technická norma, kterou má Komise přijmout podle čl. 24 odst. 3 návrhu směrnice, jasně stanovil úlohy všech zúčastněných stran (orgánu AMLA a finančních zpravodajských jednotek) z hlediska ochrany údajů, neboť to má dopad na použitelný rámec ochrany údajů a na model dohledu,

— s ohledem na centrální databázi AML/CFT evropský inspektor ochrany údajů doporučuje stanovit lhůtu pro omezení uchovávání osobních údajů obsažených v této databázi, zejména s ohledem na to, že finanční zpravodajské jednotky sbírají „výsledky kontrol spisů týkajících se politicky exponovaných osob, jejich rodinných příslušníků a spolupracovníků“ a předávají je do centrální databáze AML/CFT,

— s ohledem na zdroje informací pro hloubkovou kontrolu klienta, včetně „kontrolních seznamů“, by legislativní balíček pro AML měl především vyjasnit, ve kterých případech by povinné osoby měly tyto seznamy využívat. V tomto ohledu evropský inspektor ochrany údajů vyzývá normotvůrce, aby zvážil, zda by k takovému přístupu mělo dojít pouze v případě vysokého rizika praní peněz nebo financování terorismu. V některém z bodů odůvodnění by navíc mohlo být uvedeno, že povinné osoby by měly řádně ověřovat informace z kontrolních seznamů, zejména s ohledem na jejich spolehlivost a přesnost,

— s cílem podpořit přijetí kodexů chování a osvědčení, které mají poskytovatelé databází a kontrolních seznamů používaných pro účely AML/CFT dodržovat, evropský inspektor ochrany údajů dále vyzývá normotvůrce, aby do legislativního balíčku pro AML zahrnul odkaz na kodexy chování podle článku 40 obecného nařízení o ochraně osobních údajů a na osvědčení podle článku 42 obecného nařízení o ochraně osobních údajů, které je třeba vypracovat s ohledem na specifické potřeby v tomto odvětví,

— v čl. 32 odst. 3 návrhu nařízení je stanoveno, že orgán AMLA vydá pokyny týkající se kritérií pro identifikaci osob spadajících pod definici osob blízkých [„politicky exponované osoby“]. V tomto ohledu se evropský inspektor ochrany údajů domnívá, že kategorie „osob blízkých“ by měla být upřesněna v samotném návrhu nařízení, a nikoli (pouze) pomocí pokynů orgánu AMLA,

— evropský inspektor ochrany údajů doporučuje upřesnit kategorie zaměstnanců, na něž se vztahuje „prověrka bezúhonnosti“ podle článku 11 návrhu nařízení,

— evropský inspektor ochrany údajů doporučuje zahrnout výslovněji mezi kritéria pro posouzení příslušného orgánu při zveřejňování správních sankcí a opatření rizika pro ochranu osobních údajů dotčených fyzických osob,

— závěrem evropský inspektor ochrany údajů doporučuje některé změny (doplnění a vypuštění) ve znění článků a bodů odůvodnění legislativního balíčku pro AML odkazujících na obecné nařízení o ochraně osobních údajů a nařízení EUDPR.

V Bruselu dne 22. září 2021. Wojciech Rafał WIEWIÓROWSKI

(1) COM(2021) 420 final.

(2) COM(2021) 423 final.

(3) COM(2021) 421 final.

(4) COM(2021) 422 final. Evropský inspektor ochrany údajů v této souvislosti konstatuje, že návrh nařízení rozšiřuje pro účely AML/CFT požadavky na sledovatelnost na kryptoaktiva, zavádí povinnost poskytovatele služeb souvisejících s kryptoaktivy poskytovat informace podle článků 14–18 a začleňuje poskytovatele služeb souvisejících s kryptoaktivy podle článku 20 (Ochrana údajů) a článku 21 (Uchovávání záznamů). V poslední době evropský inspektor ochrany údajů vydal dne 24. června 2021 své stanovisko ke kryptoaktivům, Stanovisko evropského inspektora ochrany údajů k návrhu nařízení o trzích s kryptoaktivy a o změně směrnice (EU) 2019/1937.

Stanovisko je k dispozici na adrese: https://edps.europa.eu/data-protection/our-work/publications/opinions/edps-opinion-proposal-regulation-markets-crypto_en.

(5) Sdělení o akčním plánu pro komplexní politiku Unie v oblasti předcházení praní peněz a financování terorismu (C(2020)2800 final).

(6) Stanovisko č. 5/2020 k akčnímu plánu Evropské komise pro komplexní politiku Unie v oblasti předcházení praní peněz a financování terorismu, k dispozici na adrese: https://edps.europa.eu/sites/default/files/publication/20-07-23_edps_aml_opinion_en.pdf

(7) Viz strana 1 důvodové zprávy.

(8) Směrnice Evropského parlamentu a Rady (EU) 2018/843 ze dne 30. května 2018, kterou se mění směrnice (EU) 2015/849 o předcházení využívání finančního systému k praní peněz nebo financování terorismu a směrnice 2009/138/ES a 2013/36/EU (Úř. věst. L 156, 19.6.2018, s. 43).

(9) Viz body 61 a 62 stanoviska evropského inspektora ochrany údajů č. 1/2017: „Jak je vidět v úvodu tohoto stanoviska, směrnice o AML vyhrazuje vyšetřování a stíhání trestných činností příslušným veřejným orgánům. V tomto ohledu jsou soukromé subjekty působící na finančních trzích pouze požádány, aby poskytly informace příslušným odpovědným orgánům. Za žádných okolností není soukromé osobě nebo soukromému subjektu formálně či neformálně, přímo či nepřímo svěřena úloha vymáhání práva.“ 62. „Je možné uznat, že nevládní organizace zabývající se finanční trestnou činností a zneužíváním, tisk a investigativní žurnalistika de facto přispívají k upozorňování orgánů na jevy, které mohou mít význam pro vymáhání trestního práva. Je-li tomu tak, měl by normotvůrce stanovit, že přístup občanů k informacím o příjemcích by měl být součástí práva občanů a tisku získávat a poskytovat informace. Veřejný přístup by tak získal nový účel, což by vedlo k tomu, že přiměřenost takového pravidla by byla posuzována ve vztahu k tomuto právu, a nikoli ve vztahu k politickým účelům (např. boj proti terorismu nebo daňovým únikům), které nelze spojit se soukromými opatřeními.“

V tomto ohledu rovněž připomínáme judikaturu Soudního dvora ve věci Österreichischer Rundfunk, v níž Soudní dvůr rozhodl, že je nezbytné přezkoumat, zda politického cíle, který slouží zveřejňování, „nemohlo být dosaženo stejn[ě] účinným způsobem přenosem jmenných informací pouze orgánům dohledu“ [bod 88, zvýraznění doplněno, rozsudek Soudního dvora ze dne 20. května 2003. Rechnungshof (C-465/00) v. Österreichischer Rundfunk a další a Christa Neukomm (C-138/01) a Joseph Lauermann (C-139/01) v. Österreichischer Rundfunk, ECLI:EU:C:2003:294]. Tato otázka by měla být pečlivě zvážena při posuzování přiměřenosti opatření spočívajících v přístupu veřejnosti k osobním informacím.