Resumé af udtalelse fra Den Europæiske Tilsynsførende for Databeskyttelse om pakken med lovgivningsforslag om bekæmpelse af hvidvask af penge og finansiering af terrorisme (AML/CFT)

(Udtalelsen findes i sin helhed på engelsk, fransk og tysk på EDPS’ websted www.edps.europa.eu)

(2021/C 524/03)

Europa-Kommissionen vedtog den 20. juli 2021 en lovgivningspakke, der har til formål at styrke EU’s regler for bekæmpelse af hvidvask af penge og finansiering af terrorisme (AML/CFT) (»AML-lovgivningspakken«), bestående af: et forslag til Europa-Parlamentets og Rådets forordning om forebyggende foranstaltninger mod anvendelse af det finansielle system til hvidvask af penge eller finansiering af terrorisme; et forslag til Europa-Parlamentets og Rådets direktiv om de mekanismer, medlemsstaterne skal indføre for at forebygge, at det finansielle system anvendes til hvidvask af penge eller finansiering af terrorisme, og om ophævelse af direktiv (EU) 2015/849; et forslag til Europa-Parlamentets og Rådets forordning om oprettelse af Myndigheden for Bekæmpelse af Hvidvask af Penge og Finansiering af Terrorisme og om ændring af forordning (EU) nr. 1093/2010, (EU) nr. 1094/2010 og (EU) nr. 1095/2010 og et forslag til Europa-Parlamentets og Rådets forordning om oplysninger, der skal medsendes ved pengeoverførsler og ved overførsler af visse kryptoaktiver.

EDPS glæder sig over de mål, der forfølges med AML-lovgivningspakken, nemlig at øge effektiviteten af bekæmpelsen af hvidvask af penge og finansiering af terrorisme, særlig ved større harmonisering af de gældende regler og øget tilsyn på EU-plan (herunder etablering af den europæiske myndighed til bekæmpelse af hvidvask af penge og finansiering af terrorisme, »AMLA«).

EDPS fremhæver, at selv om den risikobaserede tilgang til overvågning af brugen af det finansielle system til hvidvask af penge, der er kernen i AML-lovgivningspakken, er velkommen, kræves der yderligere specificeringer og præciseringer.

EDPS fremsætter på baggrund heraf, for at sikre overholdelse af principperne om nødvendighed og proportionalitet samt for at øge retssikkerheden for forpligtede enheder vedrørende deres opgaver, en række bemærkninger og henstillinger, især:

AML-lovgivningspakken bør identificere de kategorier af personoplysninger, der skal behandles af de forpligtede enheder for at opfylde AML/CFT-forpligtelserne, i stedet for systematisk at overlade denne specificering til lovgivningsmæssige tekniske standarder, samt bedre beskrive betingelserne og grænserne for behandling af særlige kategorier af personoplysninger og personoplysninger vedrørende straffedomme og lovovertrædelser.

AML-lovgivningspakken bør navnlig specificere, hvilke typer særlige kategorier af personoplysninger der bør behandles af de forpligtede enheder, under hensyntagen til nødvendigheds- og proportionalitetsprincipperne, under hensyntagen til de forskellige aktiviteter og foranstaltninger, der skal træffes (identifikation, kundekendskabskrav, rapportering til FIU’er), og til det særlige formål, der forfølges (nemlig bekæmpelse af hvidvask af penge eller finansiering af terrorisme). EDPS mener navnlig, at behandling af personoplysninger vedrørende seksuel orientering eller etnisk oprindelse ikke bør være tilladt.

Vedrørende registre over reelt ejerskab:

— glæder EDPS sig over medlemsstaternes forpligtelse til at underrette Kommissionen om den lukkede liste over kompetente myndigheder og selvregulerende organer og om kategorierne af forpligtede enheder, der får adgang til registrene over reelt ejerskab. EDPS opfordrer dog lovgiver til at præcisere, at adgang til registre over reelt ejerskab for skattemyndigheder såvel som for selvregulerende organer bør begrænses til formålet med bekæmpelse af hvidvask af penge og finansiering af terrorisme og således kun godkendes til dette formål

— i forbindelse med adgang for »ethvert medlem af offentligheden« til registre over reelt ejerskab gentager EDPS sin tidligere holdning om, at nødvendigheden og proportionaliteten af en sådan generel adgang til forebyggelse af hvidvask af penge og finansiering af terrorisme indtil videre ikke er klart fastslået. Principielt bør denne adgang begrænses til de kompetente myndigheder, der er ansvarlige for håndhævelse af loven, og til forpligtede enheder, når de træffer foranstaltninger vedrørende kundekendskabskrav. EDPS er af den opfattelse, at adgang til oplysninger om reelt ejerskab begrundet i andre mål af almen interesse (f.eks. forbedring af gennemsigtighed) snarere bør betragtes som retten til at indhente oplysninger. Denne offentlige adgang vil kræve en særskilt vurdering af nødvendigheden og proportionaliteten og være underlagt et særskilt regelsæt, der fastsætter de nødvendige foranstaltninger. EDPS anbefaler derfor lovgiver at vurdere nødvendigheden og proportionaliteten af en sådan »generel adgang« og på grundlag af denne vurdering, hvis det anses for hensigtsmæssigt, at fastlægge en særlig lovramme i denne henseende, som er forskellig fra den, der vedrører kompetente myndigheders adgang

EDPS anbefaler desuden på det kraftigste at tilføje en udtrykkelig henvisning til de risici, der er forbundet med beskyttelse af personoplysninger, for de berørte personer, blandt de risici, som medlemsstaterne skal tage i betragtning ved fastsættelsen af kriterierne for at give dispensation til adgang til oplysninger om reelt ejerskab.

EDPS anbefaler også, at der i AML-lovgivningspakken indføres en rapporteringsmekanisme om brugen af registre over reelt ejerskab til bekæmpelse af hvidvask af penge og finansiering af terrorisme for at indsamle faktabaseret dokumentation om systemets effektivitet samt støtte mulige fremtidige lovgivningsinitiativer.

EDPS noterer sig desuden de omfattende adgangsbeføjelser, der er tildelt FIU’er, og opfordrer lovgiveren til at revurdere nødvendigheden og proportionaliteten af disse adgangsrettigheder, især i relation til de »retshåndhævelsesoplysninger«, der er anført i artikel 18, stk. 1, litra c), i forslaget til direktiv.Under henvisning til systemet med udveksling af oplysninger mellem FIU’er, FIU.net, henstiller EDPS, at forslaget til forordning om oprettelse af AMLA ændres for klart at definere alle involverede interessenters roller (AMLA og FIU’erne) fra et databeskyttelsesperspektiv i forhold til denne kommunikationskanal, da dette påvirker de gældende databeskyttelsesrammer og har konsekvenser for tilsynsmodellen.

Under hensyntagen til informationskilder til kundekendskab, herunder »overvågningslister«, bør AML-lovgivningspakken navnlig præcisere, i hvilke tilfælde forpligtede enheder bør gøre brug af sådanne lister. I denne henseende opfordrer EDPS lovgiver til at overveje, om en sådan adgang kun bør finde sted i tilfælde af høj risiko for hvidvask af penge eller finansiering af terrorisme.

Desuden opfordrer EDPS, for at fremme vedtagelsen af adfærdskodekser og certificeringer, der skal overholdes af udbydere af databaser og overvågningslister, der bruges til AML/CFT-formål, lovgiver til at medtage en henvisning til adfærdskodekser i AML-lovgivningspakken i henhold til artikel 40 i GDPR og til certificeringer i henhold til artikel 42 i GDPR, der skal udvikles under hensyntagen til de særlige behov i denne sektor.

1. Baggrund

1. Europa-Kommissionen vedtog den 20. juli 2021 et forslag til Europa-Parlamentets og Rådets forordning om forebyggende foranstaltninger mod anvendelse af det finansielle system til hvidvask af penge eller finansiering af terrorisme (»forslaget til forordning«) (1), et forslag til Europa-Parlamentets og Rådets direktiv om de mekanismer, medlemsstaterne skal indføre for at forebygge, at det finansielle system anvendes til hvidvask af penge eller finansiering af terrorisme, og om ophævelse af direktiv (EU) 2015/849 ("forslaget til direktiv) (2), et forslag til Europa-Parlamentets og Rådets forordning om oprettelse af Myndigheden for Bekæmpelse af Hvidvask af Penge og Finansiering af Terrorisme og om ændring af forordning (EU) nr. 1093/2010, (EU) nr. 1094/2010 og (EU) nr. 1095/2010 (»forslag til forordning om oprettelse af AMLA«) (3) og et forslag til Europa-Parlamentets og Rådets forordning om oplysninger, der skal medsendes ved pengeoverførsler og ved overførsler af visse kryptoaktiver (»forslag til forordning om kryptoaktiver«) (4). I det følgende henviser vi også til de fire udkast til forslag som »AML-lovgivningspakken«.

2. AML-lovgivningspakken foreslås i medfør af handlingsplanen for en samlet EU-politik for forebyggelse af hvidvaskning af penge og finansiering af terrorisme, 7. maj 2020 (5). EDPS udsendte udtalelsen om handlingsplanen den 23. juli 2020 (6).

3. Målene med handlingsplanen, som der navnlig henvises til i forordningen (7), er: — Sikring af en effektiv gennemførelse af den gældende EU-ramme for AML/CFT — Fastlæggelse af et fælles EU-regelsæt for AML/CFT — Gennemførelse af AML/CFT-tilsyn på EU-plan — Oprettelse af en koordinerings- og støttemekanisme for finansielle efterretningsenheder — Håndhævelse af strafferetlige bestemmelser og informationsudveksling på EU-plan — Styrkelse af den internationale dimension af EU-rammen for AML/CFT.

4. AML-lovgivningspakken, herunder forslaget til en forordning, der indeholder elementer (bestemmelser) fra direktiv (EU) 2018/843 (8), er et ambitiøst lovgivningsinitiativ, der har til formål at øge effektiviteten af bekæmpelsen af hvidvask af penge. Den sigter mod at gøre dette især gennem centralisering af håndhævelsen, herunder den nyoprettede Europæiske Myndighed for Bekæmpelse af Hvidvask af Penge og Finansiering af Terrorisme (»AMLA«), en standardisering af forpligtelserne for forpligtede enheder, effektivisering af en overnational og national risikobaseret tilgang samt fastsættelse af regler om samarbejde mellem kompetente tilsynsmyndigheder og om relevante databaser og infrastruktur til udveksling af oplysninger, især FIU.net, der skal hostes og forvaltes af AMLA.

5. Den 21. juli 2021 anmodede Europa-Kommissionen EDPS om at afgive udtalelse om forslaget i overensstemmelse med artikel 42, stk. 1, i forordning (EU) 2018/1725. Disse kommentarer er begrænset til de bestemmelser i forslaget, der er mest relevante set fra et databeskyttelsesperspektiv.

4. Konklusioner

På baggrund af ovenstående

— glæder EDPS sig over de mål, der forfølges med AML-lovgivningspakken, nemlig at øge effektiviteten af bekæmpelsen af hvidvask af penge og finansiering af terrorisme, særlig ved større harmonisering af de bestemmelser og øget tilsyn på EU-plan (herunder etablering af den europæiske myndighed for bekæmpelse af hvidvask af penge og finansiering af terrorisme, AMLA)

— og glæder sig over den risikobaserede tilgang til forebyggelse af anvendelse af det finansielle system til hvidvask af penge, der er et centralt element i AML-lovgivningspakken

For at sikre overholdelse af databeskyttelsesprincipperne om nødvendighed og proportionalitet samt gældende databeskyttelseslovgivning i EU og medlemsstaterne bemærker og henstiller EDPS dog især følgende:

— AML-lovgivningspakken (navnlig forslaget til forordning) bør identificere de kategorier af personoplysninger, der skal behandles af de forpligtede enheder for at opfylde AML/CFT-forpligtelserne

— Navnlig bør forslaget til forordning indeholde klare indikationer af betingelserne og grænserne for behandling af særlige kategorier af personoplysninger og personoplysninger vedrørende straffedomme og lovovertrædelser

— Vedrørende særlige kategorier af personoplysninger bør AML-lovgivningspakken navnlig specificere, hvilken type data (inden for den bredere kategori af særlige kategorier af personoplysninger i henhold til artikel 9 i GDPR) der bør behandles af de forpligtede enheder, og på præcist hvilket tidspunkt af processen med det formål at bekæmpe hvidvask af penge og finansiering af terrorisme. I den henseende mener EDPS mener navnlig, at behandlingen af personoplysninger vedrørende seksuel orientering eller etnisk oprindelse ikke bør være tilladt

— Vedrørende registre over reelt ejerskab: — glæder EDPS sig over specificeringen af oplysninger om reelt ejerskab, der skal opbevares i registret over reelt ejerskab. EDPS anbefaler imidlertid, at det specificeres, at listen over oplysninger i henhold til artikel 44 i forslaget til forordning er udtømmende — glæder EDPS sig over medlemsstaternes forpligtelse til at underrette Kommissionen om listen over kompetente myndigheder og selvregulerende organer og om kategorierne af forpligtede enheder, der får adgang til registrene. EDPS opfordrer imidlertid lovgiver til at præcisere, at adgang til registre over reelt ejerskab for skattemyndigheder såvel som for selvregulerende organer bør begrænses til formålet med bekæmpelse af hvidvask af penge og finansiering af terrorisme og således kun godkendes til dette formål — bemærker EDPS, at artikel 12 i forslaget til direktiv indeholder bestemmelser, der allerede er indeholdt i direktiv (EU) 2015/849, som ændret ved direktiv (EU) 2018/843, hvorefter »ethvert medlem af offentligheden« har adgang til registrene over reelt ejerskab. EDPS gentager således sin holdning i sin udtalelse nr. 1/2017 om sådan generel adgang, nemlig at oplysninger om reelt ejerskab – med henblik på identifikation og forebyggelse af hvidvask af penge og finansiering af terrorisme – kun skal tilgås af kompetente myndigheder med ansvar for retshåndhævelse og af forpligtede enheder, når de træffer foranstaltninger vedrørende kundekendskabsprocedurer (9). EDPS bemærker, at adgangen til oplysninger om reelt ejerskab (f.eks. for NGO’er) ville komme i spil som en anden ret til at indhente og afgive oplysninger. Sådan offentlig adgang, der affødes af en anden funktion/et andet formål, bør være genstand for en anden kontrol af nødvendighed og proportionalitet og for et andet, særskilt regelsæt. EDPS anbefaler derfor lovgiver at vurdere nødvendigheden og proportionaliteten af en sådan »generel adgang« og på grundlag af denne vurdering, hvis det anses for hensigtsmæssigt, at fastlægge en særlig lovramme i denne henseende, forskellig fra den, der vedrører kompetente myndigheders adgang — anbefaler EDPS desuden på det kraftigste at tilføje en udtrykkelig henvisning til de risici, der er forbundet med beskyttelse af personoplysninger, for de berørte personer, blandt de risici, som medlemsstaterne skal tage i betragtning ved fastsættelsen af kriterierne for at give dispensation til adgang til oplysninger om reelt ejerskab. EDPS anbefaler også at slette udtrykket »usædvanligt« i artikel 13, første og andet punktum — vil EDPS endelig også anbefale, at der i AML-lovgivningspakken indføres en mekanisme til rapportering om effektiviteten af brugen af registre over reelt ejerskab til bekæmpelse af hvidvask af penge og finansiering af terrorisme

— under henvisning til behandling af personoplysninger vedrørende straffedomme og lovovertrædelser, er henvisningen til »påstande« (samt »efterforskninger«, »retssager« og »domfældelser«) i artikel 55, stk. 3, litra b), i forslaget til forordning vag og bør derfor slettes eller gøres mere specifikke

— bemærker EDPS de omfattende adgangsbeføjelser, der er tillagt FIU’er i henhold til artikel 18 i forslaget til direktiv, og opfordrer derfor lovgiveren til at revurdere nødvendigheden og proportionaliteten af disse adgangsrettigheder, især i relation til de »retshåndhævelsesoplysninger«, der er anført i artikel 18, stk. 1), litra c). anbefaler EDPS på samme måde, at der foretages en klar og udtømmende afgrænsning af de kategorier af personoplysninger, som FIU’er kan have adgang til i henhold til artikel 18, stk. 1, litra a) (»finansielle oplysninger«) og artikel 18, stk. 1, litra b) (»administrative oplysninger«)

— gentager EDPS, at en juridisk strukturering af FIU’ernes beføjelser og aktiviteter som »undersøgelsesbaseret« snarere end »efterretningsbaseret« ville være mere i overensstemmelse med databeskyttelsesprincipperne om proportionalitet og formålsbegrænsning og anbefaler derfor at slette ordlyden i betragtning 51 i direktivet vedrører afsløring af »personer af interesse«.

— under henvisning til FIU.net, anbefaler EDPS, at forslaget til forordning om oprettelse af AMLA, eller i det mindste en teknisk gennemførelsesstandard, der skal vedtages af Kommissionen i henhold til artikel 24, stk. 3, i forslaget til direktiv, klart fastsætter alle involverede interessenters roller (AMLA, FIU’er) fra et databeskyttelsesperspektiv, da dette påvirker de gældende databeskyttelsesrammer og tilsynsmodellen.

— under henvisning til den centrale AML/CFT-database anbefaler EDPS at specificere en lagringsbegrænsningsperiode for de personoplysninger, der er indeholdt heri, især på grund af FIU’ernes indsamling og overførsel til den centrale AML/CFT-database af resultater fra tilsynsinspektion af filer vedrørende politisk udsatte personer, deres familiemedlemmer og medarbejdere

— under hensyntagen til informationskilder til kundekendskab, herunder »overvågningslister«, bør AML-lovgivningspakken navnlig præcisere, i hvilke tilfælde forpligtede enheder bør gøre brug af sådanne lister. I denne henseende opfordrer EDPS lovgiver til at overveje, om en sådan adgang kun bør finde sted i tilfælde af høj risiko for hvidvask af penge eller finansiering af terrorisme. Desuden ville en betragtning kunne præcisere, at forpligtede enheder behørigt bør kontrollere oplysninger fra overvågningslister, især under hensyntagen til deres pålidelighed og nøjagtighed.

— opfordrer EDPS desuden, for at fremme indførelsen af adfærdskodekser og certificeringer, der skal overholdes af udbydere af databaser og overvågningslister, der bruges til AML/CFT-formål, lovgiver til at medtage en henvisning til adfærdskodekser i lovgivningspakken til AML i henhold til artikel 40 i GDPR og til certificeringer i henhold til artikel 42 i GDPR, der skal udvikles under hensyntagen til de særlige behov i denne sektor.

— Artikel 32, stk. 3, i forslaget til forordning bestemmer, at AMLA skal udstede retningslinjer vedrørende kriterierne for identifikation af personer, der falder ind under definitionen af personer, der vides at være en nærtstående [til ’politisk udsat person’]. I denne henseende mener EDPS, at kategorien »personer, der vides at være nærtstående«, bør specificeres i selve forslaget til forordning snarere end (kun) efter AMLA’s vejledning

— anbefaler EDPS at specificere de kategorier af medarbejdere, der falder ind under den »integritetsscreening«, der kræves i henhold til artikel 11 i forslaget til forordning

— anbefaler EDPS at medtage, på en mere eksplicit måde, blandt kriterierne for overvejelse af den kompetente myndighed ved offentliggørelse af administrative sanktioner og foranstaltninger, risiciene for beskyttelsen af de pågældende personers personoplysninger

— anbefaler EDPS endelig nogle ændringer (tilføjelser og sletninger) i ordlyden i artikler og betragtninger i AML-lovgivningspakken, der henviser til GDPR og EUDPR.

Bruxelles, den 22. september 2021 Wojciech Rafał WIEWIÓROWSKI

(1) COM(2021) 420 final.

(2) COM (2021) 423 final.

(3) COM(2021) 421 final.

(4) COM(421) 422 final. EDPS bemærker i denne henseende, at forslaget til forordning udvider sporbarhedskravene til at omfatte kryptoaktiver, hvad angår AML/CFT; forpligtelsen for udbyderen af kryptoaktiver til at levere oplysningerne i henhold til artikel 14-18; medtagelse af udbydere af kryptoaktiver under artikel 20 om databeskyttelse og artikel 21 om opbevaring af fortegnelser. EDPS har for nylig, den 24. juni 2021, udsendt sin udtalelse om kryptoaktiver, Udtalelse fra Den Europæiske Tilsynsførende for Databeskyttelse om forslaget til forordning om markeder for kryptoaktiver og om ændring af direktiv (EU) 2019/1937.

Udtalelsen findes på: https://edps.europa.eu/data-protection/our-work/publications/opinions/edps-opinion-proposal-regulation-markets-crypto_en

(5) Meddelelse om en handlingsplan for en samlet EU-politik for forebyggelse af hvidvaskning af penge og finansiering af terrorisme (C(2020)2800 final).

(6) Udtalelse nr. 5/2020 om Europa-Kommissionens handlingsplan for en samlet EU-politik for forebyggelse af hvidvaskning af penge og finansiering af terrorisme, der er tilgængelig på: https://edps.europa.eu/sites/default/files/publication/20-07-23_edps_aml_opinion_en.pdf

(7) Se side 1 i begrundelsen.

(8) Europa-Parlamentets og Rådets direktiv (EU) 2018/843 af 30. maj 2018 om ændring af direktiv (EU) 2015/849 om forebyggende foranstaltninger mod anvendelse af det finansielle system til hvidvask af penge eller finansiering af terrorisme og om ændring af direktiv 2009/138/EF og 2013/36/EU (EUT L 156 af 19.6.2018, s. 43).

(9) Se stk. 61 og 62 i udtalelse 1/2017 fra EDPS: »Som det fremgår af indledningen til denne udtalelse, forbeholder AML-direktivet undersøgelse og håndhævelse af kriminelle aktiviteter til de offentlige kompetente myndigheder. Derfor anmodes private parter, der beskæftiger sig med de finansielle markeder, kun om at give oplysninger til de ansvarlige myndigheder. En privatperson eller enhed må under ingen omstændigheder, hverken formelt eller uformelt, direkte eller indirekte, betros en håndhævende rolle.« 62. »Det må erkendes, at NGO’er, der arbejder med økonomisk kriminalitet og misbrug, pressen og undersøgende journalistik faktisk bidrager til at henlede myndighedernes opmærksomhed på fænomener, der kan være relevante for strafferetlig håndhævelse. Hvis dette er tilfældet, bør lovgiver imidlertid udforme adgangen til information om retlige ejere som en del af såvel borgernes som pressens ret til at indhente og give oplysninger. Derved ville offentlig adgang få et nyt formål, med den konsekvens, at proportionaliteten af en sådan regel ville skulle vurderes i forhold til denne ret og ikke i forhold til politiske formål (f.eks. bekæmpelse af terrorisme eller skatteunddragelse), der ikke kan knyttes til private handlinger.«.

Vi minder også herom om Domstolens retspraksis i sagen Österreichischer Rundfunk, hvor Domstolen fastslog, at det var nødvendigt at undersøge, om det politiske mål, der blev opfyldt ved offentlighed, »ikke kan opfyldes lige så effektivt, såfremt kun revisionsorganerne får meddelt oplysningerne med navneangivelser« [præmis 88, fremhævelse tilføjet, Domstolens dom af 20. maj 2003. Rechnungshof (C-465/00) mod Österreichischer Rundfunk and Others and Christa Neukomm (C-138/01) and Joseph Lauermann (C-139/01) mod Österreichischer Rundfunk, ECLI:EU:C:2003:294]. Dette spørgsmål bør overvejes nøje, når man vurderer proportionaliteten af foranstaltninger, der består i offentlighedens adgang til personoplysninger.