Resumo do parecer da Autoridade Europeia para a Proteção de Dados sobre o pacote de propostas legislativas de combate ao branqueamento de capitais e ao financiamento do terrorismo (CBC/FT)

(O texto integral do presente parecer encontra-se disponível em inglês, francês e alemão no sítio Web da AEPD em www.edps.europa.eu)

(2021/C 524/03)

Em 20 de julho de 2021, a Comissão Europeia adotou um pacote de propostas legislativas destinado a reforçar as regras da UE em matéria de combate ao branqueamento de capitais e ao financiamento do terrorismo (CBC/FT) (o «pacote legislativo CBC»), composto por: uma proposta de regulamento do Parlamento Europeu e do Conselho relativo à prevenção da utilização do sistema financeiro para efeitos de branqueamento de capitais ou de financiamento do terrorismo; uma proposta de diretiva do Parlamento Europeu e do Conselho relativa aos mecanismos de prevenção da utilização do sistema financeiro para efeitos de branqueamento de capitais ou de financiamento do terrorismo e que revoga a Diretiva (UE) 2015/849; uma proposta de regulamento do Parlamento Europeu e do Conselho que cria a Autoridade Europeia para o Combate ao Branqueamento de Capitais e ao Financiamento do Terrorismo e altera os Regulamentos (UE) n.os 1093/2010, (UE) 1094/2010 e (UE) 1095/2010; e uma proposta de regulamento do Parlamento Europeu e do Conselho relativo às informações que acompanham as transferências de fundos e de determinados criptoativos.

A AEPD congratula-se com os objetivos visados pelo pacote legislativo CBC, ou seja, aumentar a eficácia do combate ao branqueamento de capitais e ao financiamento do terrorismo, em especial através de uma maior harmonização das regras aplicáveis e de uma supervisão reforçada a nível da UE (incluindo a criação da Autoridade Europeia para o Combate ao Branqueamento de Capitais e ao Financiamento do Terrorismo, «AMLA»).

A AEPD salienta que, embora se congratule com a a abordagem baseada no risco ao controlo da utilização do sistema financeiro para o branqueamento de capitais, que está no cerne do pacote legislativo CBC, necessita de mais especificações e clarificações.

Neste contexto, a fim de garantir o respeito dos princípios da necessidade e da proporcionalidade, bem como de reforçar a segurança jurídica das entidades obrigadas relativamente aos seus deveres, a AEPD faz uma série de observações e recomendações, em especial:

O pacote legislativo CBC deverá identificar as categorias de dados pessoais a tratar pelas entidades obrigadas a cumprir as obrigações de CBC/FT, em vez de deixar sistematicamente esta especificação para as normas técnicas de regulamentação, bem como descrever melhor as condições e os limites aplicáveis ao tratamento de categorias especiais de dados pessoais e de dados pessoais relativos a condenações penais e infrações.

O pacote legislativo CBC deverá especificar, em especial, que tipos de categorias especiais de dados pessoais deverão ser tratados pelas entidades obrigadas, tendo em conta os princípios da necessidade e da proporcionalidade, considerando as diferentes atividades e medidas a tomar (identificação, diligências adequadas quanto à clientela, comunicação às UIF), bem como a finalidade específica visada (ou seja, o combate ao branqueamento de capitais ou ao financiamento do terrorismo). Em especial, a AEPD considera que não deve ser permitido o tratamento de dados pessoais relacionados com a orientação sexual ou a origem étnica.

No que se refere aos registos de beneficiários efetivos, a AEPD:

— congratula-se com a obrigação de os Estados-Membros notificarem à Comissão a lista fechada das autoridades competentes e dos organismos de autorregulação e das categorias de entidades obrigadas aos quais é concedido acesso aos registos de beneficiários efetivos. No entanto, a AEPD convida o legislador a especificar que o acesso aos registos de beneficiários efetivos, tanto por parte das autoridades fiscais como dos organismos de autorregulação, deve limitar-se à finalidade da luta contra o branqueamento de capitais e o financiamento do terrorismo e, por conseguinte, ser autorizado apenas para esta finalidade;

— no que se refere ao acesso por «qualquer elemento do público em geral» aos registos de beneficiários efetivos, a AEPD reitera a sua anterior posição de que a necessidade e a proporcionalidade desse acesso generalizado para efeitos de prevenção do branqueamento de capitais e do financiamento do terrorismo não foram claramente estabelecidas até à data. Em princípio, esse acesso deverá limitar-se às autoridades competentes responsáveis pela aplicação da lei e às entidades obrigadas quando tomam medidas de diligência adequadas quanto à clientela. Na opinião da AEPD, o acesso a informações sobre os beneficiários efetivos motivado por outros objetivos de interesse geral (como o reforço da transparência) deverá ser considerado como direito de obter informações. Esse acesso público exigiria uma avaliação específica da necessidade e da proporcionalidade, e estaria sujeito a um conjunto específico de regras que estabelecessem as salvaguardas necessárias. Assim, a AEPD recomenda ao legislador que avalie a necessidade e a proporcionalidade desse «acesso geral» e, com base nessa avaliação, se considerar adequado, que estabeleça um quadro jurídico específico aplicável a esta matéria, distinto do que está relacionado com o acesso por parte das autoridades competentes;

Além disso, a AEPD recomenda vivamente que se acrescente, entre os riscos a considerar pelos Estados-Membros ao estabelecerem os critérios para a concessão de isenções ao acesso a informações sobre os beneficiários efetivos, uma referência expressa aos riscos para a proteção dos dados pessoais das pessoas em causa.

A AEPD recomenda igualmente que, no pacote legislativo CBC, seja previsto um mecanismo de comunicação de informações sobre a utilização dos registos de beneficiários efetivos na luta contra o branqueamento de capitais e o financiamento do terrorismo, a fim de recolher provas baseadas em factos sobre a eficácia do sistema, bem como apoiar eventuais iniciativas legislativas futuras.

Além disso, a AEPD regista os amplos poderes de acesso conferidos às UIF e convida o legislador a reavaliar a necessidade e a proporcionalidade desses direitos de acesso, em especial no que se refere às «informações em matéria de aplicação da lei» enumeradas no artigo 18.o, n.o 1, alínea c), da proposta de diretiva. Tendo em conta o sistema de intercâmbio de informações entre as UIF, o FIU.net, a AEPD recomenda que a proposta de regulamento que cria a AMLA seja alterada para definir claramente os papéis de todas as partes interessadas envolvidas (AMLA, UIF) do ponto de vista da proteção de dados em relação a este canal de comunicação, uma vez que tal afeta o quadro de proteção de dados aplicável e tem implicações no modelo de supervisão.

Tendo em conta as fontes de informação para a CDD, incluindo as «listas de observação», o pacote legislativo CBC deverá clarificar, em especial, em que casos as entidades obrigadas deverão recorrer a essas listas. A este propósito, a AEPD convida o legislador a ponderar se esse acesso só deverá ter lugar em caso de elevado risco de branqueamento de capitais ou de financiamento do terrorismo.

Além disso, a fim de promover a adoção de códigos de conduta e de certificações a respeitar pelos fornecedores de bases de dados e listas de observação utilizadas para efeitos de CBC/FT, a AEPD convida o legislador a incluir no pacote legislativo CBC uma referência a códigos de conduta nos termos do artigo 40.o do RGPD e a certificações nos termos do artigo 42.o do RGPD, a desenvolver tendo em conta as necessidades específicas deste setor.

1. Contexto

1. A Comissão Europeia adotou, em 20 de julho de 2021, uma proposta de regulamento do Parlamento Europeu e do Conselho relativo à prevenção da utilização do sistema financeiro para efeitos de branqueamento de capitais ou de financiamento do terrorismo («proposta de regulamento») (1); uma proposta de diretiva do Parlamento Europeu e do Conselho relativa aos mecanismos para prevenir a utilização do sistema financeiro para efeitos de branqueamento de capitais ou de financiamento do terrorismo e que revoga a Diretiva (UE) 2015/849 («proposta de diretiva») (2); uma proposta de regulamento do Parlamento Europeu e do Conselho que cria a Autoridade Europeia para o Combate ao Branqueamento de Capitais e ao Financiamento do Terrorismo e altera os Regulamentos (UE) n.os 1093/2010 (UE), 1094/2010 e (UE) 1095/2010 («proposta de regulamento que cria a AMLA») (3); e uma proposta de regulamento do Parlamento Europeu e do Conselho relativo às informações que acompanham as transferências de fundos e de determinados criptoativos («proposta de regulamento relativo aos criptoativos») (4). A seguir, referimos também os quatro projetos de propostas como «pacote legislativo CBC».

2. O pacote legislativo CBC é proposto nos termos do plano de ação para uma política abrangente da União em matéria de luta contra o branqueamento de capitais e o financiamento do terrorismo, de 7 de maio de 2020 (5). A AEPD emitiu o parecer sobre o plano de ação em 23 de julho de 2020 (6).

3. Os objetivos do plano de ação, tal como referido, nomeadamente, no regulamento (7), são os seguintes: — assegurar a aplicação efetiva do atual quadro da UE em matéria de CBC/FT; — criar um conjunto único de regras da UE em matéria de CBC/FT; — assegurar a supervisão do CBC/FT a nível da UE; — criar um mecanismo de apoio e de cooperação para as UIF; — aplicar as disposições de direito penal da UE e intercâmbio de informações; — reforçar a dimensão internacional do quadro em matéria de CBC/FT da UE.

4. O pacote legislativo CBC, incluindo a proposta de regulamento que incorpora elementos (disposições) da Diretiva 2018/843 (8), é uma iniciativa legislativa ambiciosa destinada a aumentar a eficácia da luta contra o branqueamento de capitais. Visa fazê-lo, em especial, através da centralização da aplicação, incluindo a recém-criada Autoridade Europeia para o Combate ao Branqueamento de Capitais e ao Financiamento do Terrorismo («AMLA»), da normalização das obrigações das entidades obrigadas, da racionalização de uma abordagem baseada no risco, supranacional e nacional, bem como do estabelecimento de regras sobre a cooperação entre as autoridades de fiscalização competentes e sobre as bases de dados e infraestruturas relevantes para o intercâmbio de informações, nomeadamente o FIU.net, a alojar e gerir pela AMLA.

5. Em 21 de julho de 2021, a Comissão Europeia solicitou à AEPD que emitisse um parecer sobre a proposta, em conformidade com o artigo 42.o, n.o 1, do Regulamento (UE) 2018/1725. As presentes observações respeitam exclusivamente às disposições da proposta que são mais relevantes do ponto de vista da proteção de dados.

4. Conclusões

Tendo em conta o que precede, a AEPD:

— congratula-se com os objetivos do pacote legislativo CBC de aumentar a eficácia do combate ao branqueamento de capitais e ao financiamento do terrorismo, em especial através de uma maior harmonização das regras aplicáveis e de uma supervisão reforçada a nível da UE (incluindo a criação da Autoridade Europeia para o Combate ao Branqueamento de Capitais e ao Financiamento do Terrorismo, AMLA);

— e congratula-se com a abordagem baseada no risco seguida para prevenir a utilização do sistema financeiro para o branqueamento de capitais, que está no cerne do pacote legislativo CBC;

No entanto, a fim de assegurar o cumprimento dos princípios da necessidade e da proporcionalidade em matéria de proteção de dados, bem como da legislação aplicável da União e dos Estados-Membros em matéria de proteção de dados, a AEPD observa e recomenda, em especial, o seguinte:

— o pacote legislativo CBC (nomeadamente, a proposta de regulamento) deverá identificar as categorias de dados pessoais a tratar pelas entidades obrigadas para cumprirem as obrigações em matéria de CBC/FT;

— em especial, a proposta de regulamento deverá fornecer indicações claras sobre as condições e os limites aplicáveis ao tratamento de categorias especiais de dados pessoais e de dados pessoais relativos a condenações penais e infrações;

— no que se refere às categorias especiais de dados pessoais, o pacote legislativo CBC deverá especificar, em especial, que tipo de dados (dentro da categoria mais vasta de categorias especiais de dados pessoais nos termos do artigo 9.o do RGPD) deverão ser tratados pelas entidades obrigadas e em que fase exata do processo, para efeitos de combate ao branqueamento de capitais e ao financiamento do terrorismo. A este respeito, a AEPD considera que o tratamento de dados pessoais relacionados com a orientação sexual ou a origem étnica não deve ser permitido;

— no que se refere aos registos de beneficiários efetivos, a AEPD: — congratula-se com a especificação das informações relativas aos beneficiários efetivos que devem constar dos registos de beneficiários efetivos. No entanto, a AEPD recomenda que se especifique que a lista de informações prevista no artigo 44.o da proposta de regulamento é uma lista exaustiva; — congratula-se com a obrigação de os Estados-Membros notificarem à Comissão a lista das autoridades competentes e dos organismos de autorregulação e das categorias de entidades obrigadas aos quais é concedido acesso aos registos. Porém, a AEPD convida o legislador a especificar que o acesso aos registos de beneficiários efetivos, tanto por parte das autoridades fiscais como por parte dos organismos de autorregulação, deverá limitar-se à finalidade da luta contra o branqueamento de capitais e o financiamento do terrorismo e, assim, ser autorizado apenas para esta finalidade; — observa que o artigo 12.o da proposta de diretiva incorpora disposições, já incluídas na Diretiva (UE) 2015/849, alterada pela Diretiva (UE) 2018/843, segundo as quais «qualquer elemento do público em geral» tem acesso aos registos de beneficiários efetivos. A AEPD reitera, assim, a sua posição expressa no parecer 1/2017 da AEPD sobre esse acesso generalizado, nomeadamente, que as informações sobre os beneficiários efetivos devem estar acessíveis - para efeitos de identificação e prevenção do branqueamento de capitais e do financiamento do terrorismo - apenas às autoridades competentes responsáveis pela aplicação da lei e às entidades obrigadas quando tomam medidas de diligência adequadas quanto à clientela (9). A AEPD observa que o acesso a informações sobre os beneficiários efetivos (por exemplo, por parte das ONG) seria utilizado como direito, diferente, de obter e prestar informações. Esse acesso público, que responda a uma função/finalidade diferente, deverá ser sujeito a um teste diferente de necessidade e proporcionalidade, bem como a um conjunto de regras específicas e diferentes. Assim sendo, a AEPD recomenda ao legislador que avalie a necessidade e a proporcionalidade desse «acesso geral» e que, com base nessa avaliação, se for caso disso, estabeleça um quadro jurídico específico sobre esta matéria, distinto do que está relacionado com o acesso por parte das autoridades competentes; — além disso, a AEPD recomenda vivamente que se acrescente, entre os riscos a considerar pelos Estados-Membros ao estabelecerem os critérios para a concessão de isenções ao acesso a informações sobre os beneficiários efetivos, uma referência expressa aos riscos para a proteção dos dados pessoais das pessoas em causa. A AEPD recomenda igualmente a supressão do termo «excecionais/excecional» na primeira e na segunda frases do artigo 13.o; — por último, a AEPD recomenda a inserção de uma disposição no pacote legislativo CBC que estabeleça um mecanismo de comunicação de informações sobre a eficácia da utilização dos registos de beneficiários efetivos na luta contra o branqueamento de capitais e o financiamento do terrorismo;

— tendo em conta o tratamento de dados pessoais relativos a condenações penais e infrações, a referência a «alegações» (para além de «investigações», «processos» e «condenações») no artigo 55.o, n.o 3, alínea b), da proposta de regulamento é vaga e deve, por conseguinte, ser suprimida ou especificada;

— salienta os amplos poderes de acesso conferidos às UIF nos termos do artigo 18.o da proposta de diretiva e convida, assim, o legislador a reavaliar a necessidade e a proporcionalidade desses direitos de acesso, em especial no que se refere às «informações em matéria de aplicação da lei» enumeradas no artigo 18.o, n.o 1, alínea c). No mesmo sentido, a AEPD recomenda que se definam de forma clara e exaustiva as categorias de dados pessoais às quais as UIF podem ter acesso nos termos do artigo 18.o, n.o 1, alínea a) («informações financeiras») e do artigo 18.o, n.o 1, alínea b) («informações administrativas»);

— reitera que uma configuração jurídica dos poderes e atividades das UIF como sendo «baseados em investigações», em vez de «baseados em informações», seria mais consentânea com os princípios da proporcionalidade e da limitação da finalidade em matéria de proteção de dados, pelo que recomenda a supressão da redação do considerando 51 da diretiva que diz respeito à deteção de «pessoas que possam ter interesse»;

— tendo em conta o FIU.net, recomenda que a proposta de regulamento que cria a AMLA, ou pelo menos uma norma técnica de regulamentação a adotar pela Comissão nos termos do artigo 24.o, n.o 3, da proposta de diretiva, preveja claramente os papéis de todas as partes interessadas envolvidas (AMLA, UIF) do ponto de vista da proteção de dados, uma vez que tal afeta o quadro de proteção de dados aplicável e o modelo de supervisão;

— tendo em conta a base de dados central de CBC/FT, a AEPD recomenda que se especifique um prazo de prescrição para o armazenamento dos dados pessoais nela contidos, em especial devido à recolha pelas UIF e à transmissão à base de dados central de CBC/FT dos «resultados de inspeções de supervisão de processos relativos a pessoas politicamente expostas e a familiares e associados destas pessoas»;

— tendo em conta as fontes de informação para a CDD, incluindo as «listas de observação», o pacote legislativo CBC deverá clarificar, em especial, em que casos as entidades obrigadas deverão recorrer a essas listas. A este propósito, a AEPD convida o legislador a ponderar se esse acesso só deverá ter lugar em caso de elevado risco de branqueamento de capitais ou de financiamento do terrorismo. Além do mais, um considerando poderia especificar que as entidades obrigadas devem verificar devidamente as informações constantes das listas de observação, tendo especialmente em conta a sua fiabilidade e exatidão.

— além disso, a fim de promover a adoção de códigos de conduta e de certificações a respeitar pelos fornecedores de bases de dados e listas de observação utilizadas para efeitos de CBC/FT, a AEPD convida o legislador a incluir no pacote legislativo CBC uma referência a códigos de conduta nos termos do artigo 40.o do RGPD e a certificações nos termos do artigo 42.o do RGPD, a desenvolver tendo em conta as necessidades específicas deste setor;

— O artigo 32.o, n.o 3, da proposta de regulamento prevê que a AMLA emita orientações sobre os critérios de identificação das pessoas abrangidas pela definição de pessoas conhecidas como estreitamente associadas [de«pessoas politicamente expostas»]. Relativamente a este aspeto, a AEPD considera que a categoria de «pessoas conhecidas como estreitamente associadas» deve ser especificada na própria proposta de regulamento e não (apenas) pelas orientações da AMLA;

— a AEPD recomenda que se especifique as categorias de trabalhadores abrangidos pelo «exame de integridade» exigido pelo artigo 11.o da proposta de regulamento;

— a AEPD recomenda que se incluam, de forma mais explícita, entre os critérios a serem considerados pela autoridade competente aquando da publicação das sanções e medidas administrativas, os riscos para a proteção dos dados pessoais das pessoas em causa;

— por último, a AEPD recomenda a introdução de algumas alterações (aditamentos e supressões) à redação dos artigos e considerandos do pacote legislativo CBC que se referem ao RGPD e ao EUDPR.

Bruxelas, 22 de setembro de 2021 Wojciech Rafał WIEWIÓROWSKI

(1) COM(2021) 420 final.

(2) COM(2021) 423 final.

(3) COM(2021) 421 final.

(4) COM(421) 422 final. A AEPD observa, a este respeito, que a proposta de regulamento alarga os requisitos de rastreabilidade aos criptoativos para efeitos de CBC/FT; a obrigação de o prestador de serviços de criptoativos prestar as informações previstas nos artigos 14.o a 18.o; a inclusão dos prestadores de serviços de criptoativos no artigo 20.o, Proteção de dados, e 21.o, Conservação de registos. A AEPD emitiu recentemente o seu parecer sobre criptoativos, Parecer da AEPD sobre a proposta de regulamento relativo aos mercados de criptoativos e que altera a Diretiva (UE) 2019/1937, em 24 de junho de 2021.

O parecer está disponível em: https://edps.europa.eu/data-protection/our-work/publications/opinions/edps-opinion-proposal-regulation-markets-crypto_en

(5) Comunicação sobre um plano de ação para uma política abrangente da União em matéria de luta contra o branqueamento de capitais e o financiamento do terrorismo (C(2020)2800 final).

(6) Parecer 5/2020 da AEPD sobre o plano de ação da Comissão Europeia para uma política abrangente da União em matéria de luta contra o branqueamento de capitais e o financiamento do terrorismo, disponível em:https://edps.europa.eu/sites/default/files/publication/20-07-23_edps_aml_opinion_en.pdf

(7) Ver exposição de motivos, página 1.

(8) Diretiva (UE) 2018/843 do Parlamento Europeu e do Conselho, de 30 de maio de 2018, que altera a Diretiva (UE) 2015/849 relativa à prevenção da utilização do sistema financeiro para efeitos de branqueamento de capitais ou de financiamento do terrorismo e que altera as Diretivas 2009/138/CE e 2013/36/UE (JO L 156 de 19.6.2018, p. 43).

(9) Ver pontos 61 e 62 do parecer 1/2017 da AEPD: «Como se vê na introdução do presente parecer, a Diretiva CBC reserva a investigação e a aplicação da lei no que respeita a atividades criminosas às autoridades públicas competentes. Neste aspeto, os particulares ativos nos mercados financeiros são apenas convidados a prestar informações às autoridades competentes responsáveis. Em nenhuma circunstância, uma pessoa ou entidade privada é, formal ou informalmente, direta ou indiretamente, responsável por uma função de aplicação da lei.» 62. «Pode reconhecer-se que as ONG que trabalham com crimes e abusos financeiros, a imprensa e o jornalismo de investigação contribuem de facto para chamar a atenção das autoridades para fenómenos que podem ser relevantes para a aplicação da lei em matéria penal. Porém, se assim for, o legislador deverá conceber o acesso às informações sobre o beneficiário como uma componente do direito de obter e de prestar informações, por parte dos cidadãos e da imprensa, respetivamente. Tal atribuiria uma nova finalidade ao acesso público, com a consequência de que a proporcionalidade dessa regra seria avaliada face a esse direito e não face a objetivos políticos (por exemplo, a luta contra o terrorismo ou a evasão fiscal) que não podem ser associados à ação privada.»

Recordamos também, a este propósito, a jurisprudência do Tribunal de Justiça no processo Österreichischer Rundfunk, em que o Tribunal considerou necessário apreciar se o objetivo político servido pela publicidade «não poderia ter sido alcançado de forma igualmente eficaz através da transmissão das informações nominativas apenas às instâncias de controlo» [n.o 88, negrito acrescentado, Acórdão do Tribunal de 20 de maio de 2003. Rechnungshof (C-465/00) contra Österreichischer Rundfunk e outros e Christa Neukomm (C-138/01) e Joseph Lauermann (C-139/01) contra Österreichischer Rundfunk, ECLI:EU:C:2003:294]. Esta questão deve ser cuidadosamente considerada aquando da avaliação da proporcionalidade das medidas que consistem no acesso do público às informações pessoais.