Rezumatul Avizului Autorității Europene pentru Protecția Datelor privind pachetul de propuneri legislative privind combaterea spălării banilor și a finanțării terorismului (CSB/CFT)

(Textul integral al avizului poate fi consultat în limbile engleză, franceză și germană pe site-ul AEPD www.edps.europa.eu)

(2021/C 524/03)

La 20 iulie 2021, Comisia Europeană a adoptat un pachet de propuneri legislative menite să consolideze normele UE privind combaterea spălării banilor și a finanțării terorismului (CSB/CFT) („pachetul legislativ privind combaterea spălării banilor”), care cuprinde: o propunere de regulament al Parlamentului European și al Consiliului privind prevenirea utilizării sistemului financiar în scopul spălării banilor sau finanțării terorismului; o propunere de directivă a Parlamentului European și a Consiliului privind mecanismele care trebuie instituite de statele membre pentru prevenirea utilizării sistemului financiar în scopul spălării banilor sau finanțării terorismului și de abrogare a Directivei (UE) 2015/849; o propunere de regulament al Parlamentului European și al Consiliului de instituire a Autorității pentru Combaterea Spălării Banilor și a Finanțării Terorismului și de modificare a Regulamentelor (UE) nr. 1093/2010, (UE) nr. 1094/2010 și (UE) nr. 1095/2010; și o propunere de regulament al Parlamentului European și al Consiliului privind informațiile care însoțesc transferurile de fonduri și anumite criptoactive.

AEPD salută obiectivele avute în vedere de pachetul legislativ privind combaterea spălării banilor, și anume creșterea eficacității regimului de combatere a spălării banilor și a finanțării terorismului, în special prin asigurarea unui nivel mai ridicat al armonizării normelor aplicabile și a unei supravegheri sporite la nivelul UE (inclusiv prin înființarea Autorității UE pentru Combaterea Spălării Banilor și a Finanțării Terorismului „AMLA”).

AEPD subliniază că, deși este binevenită, abordarea bazată pe riscuri a monitorizării utilizării sistemului financiar în scopul spălării banilor, care se află în centrul pachetului legislativ privind combaterea spălării banilor, are nevoie de precizări și de clarificări suplimentare.

În acest context, pentru a asigura respectarea principiilor necesității și proporționalității, precum și pentru a spori securitatea juridică a entităților obligate în ceea ce privește atribuțiile care le revin, AEPD formulează o serie de observații și recomandări, printre care se numără în special, următoarele:

Pachetul legislativ privind combaterea spălării banilor ar trebui să identifice categoriile de date cu caracter personal care trebuie prelucrate de entitățile obligate pentru a-și îndeplini obligațiile legate de CSB/CFT, în loc să le specifice în mod sistematic în cadrul standardelor tehnice de reglementare, și să descrie mai bine condițiile și limitele stabilite pentru prelucrarea categoriilor speciale de date cu caracter personal și a datelor cu caracter personal referitoare la condamnări penale și infracțiuni.

Pachetul legislativ privind combaterea spălării banilor ar trebui să specifice, în special, tipurile de categorii speciale de date cu caracter personal care ar trebui prelucrate de entitățile obligate, ținând seama de principiile necesității și proporționalității, având în vedere diferitele activități care urmează a fi desfășurate și măsurile care trebuie luate (identificare, măsurile de precauție privind clientela, raportarea către unitățile de informații financiare) și scopul specific urmărit (și anume combaterea spălării banilor sau a finanțării terorismului). În special, AEPD consideră că prelucrarea datelor cu caracter personal referitoare la orientarea sexuală sau la originea etnică nu ar trebui permisă.

În ceea ce privește registrele beneficiarilor reali, AEPD:

— salută faptul că statele membre au obligația de a transmite Comisiei o listă închisă cu autoritățile competente și cu organismele de autoreglementare, precum și cu categoriile de entități obligate cărora li se acordă acces la registrele beneficiarilor reali. Cu toate acestea, AEPD invită legiuitorul să precizeze că accesul la registrele beneficiarilor reali ar trebui să fie limitat, atât pentru autoritățile fiscale, cât și pentru organismele de autoreglementare, la scopul combaterii spălării banilor și finanțării terorismului și că, prin urmare, ar trebui să fie autorizat doar în acest scop;

— în ceea ce privește faptul că „orice membru al publicului larg” are acces la registrele beneficiarilor reali, AEPD își reiterează poziția exprimată anterior, potrivit căreia, până în prezent, nu s-a stabilit în mod clar caracterul necesar și proporțional al unui astfel de acces generalizat în scopul prevenirii spălării banilor și a finanțării terorismului. In principiu, accesul la aceste registre ar trebui acordat numai autorităților competente responsabile de asigurarea respectării legii și entităților obligate, atunci când iau măsuri de precauție privind clientela. AEPD este de părere că accesul la informații privind beneficiarii reali care este motivat de alte obiective de interes general (cum ar fi creșterea gradului de transparență) ar trebui considerat mai degrabă ca un drept, și anume dreptul de a obține informații. Acest acces public ar necesita o evaluare separată a necesității și proporționalității, și ar face obiectul unui set separat de norme care să stabilească garanțiile necesare. Prin urmare, AEPD recomandă legiuitorului să evalueze caracterul necesar și proporțional al unui astfel de „acces general” și, pe baza acestei evaluări, să stabilească, dacă consideră că acest lucru este oportun, un cadru juridic specific în acest sens, diferit de cadrul privind accesul autorităților competente;

În plus, AEPD recomandă cu insistență să se adauge, printre riscurile care trebuie luate în considerare de statele membre atunci când stabilesc criteriile de acordare a derogărilor privind accesul la informațiile referitoare la beneficiarii reali, o trimitere în mod expres la riscurile la adresa protecției datelor cu caracter personal ale persoanelor în cauză.

De asemenea, AEPD recomandă includerea în pachetul legislativ privind combaterea spălării banilor a unui mecanism de raportare privind utilizarea registrelor beneficiarilor reali în combaterea spălării banilor și a finanțării terorismului, pentru a colecta dovezi bazate pe fapte cu privire la eficacitatea sistemului, precum și pentru a veni în sprijinul unor posibile viitoare inițiative legislative.

În plus, AEPD ia act de competențele extinse conferite unităților de informații financiare în ceea ce privește accesul și invită legiuitorul să reevalueze caracterul necesar și proporțional al acestor drepturi de acces, în special în ceea ce privește „informațiile privind asigurarea respectării legii” enumerate la articolul 18 alineatul (1) litera (c) din propunerea de directivă. În ceea ce privește sistemul de schimb de informații între FIU, FIU.net, AEPD recomandă ca propunerea de regulament de instituire a AMLA să fie modificată astfel încât să definească în mod clar rolurile tuturor părților interesate implicate (AMLA, FIU) din perspectiva protecției datelor în raport cu acest canal de comunicare, deoarece acest lucru are un impact asupra cadrului de protecție a datelor aplicabil și are implicații în ceea ce privește modelul de supraveghere.

În ceea ce privește sursele de informații pentru măsurile de precauție privind clientela, inclusiv „listele de supraveghere”, pachetul legislativ privind combaterea spălării banilor ar trebui să clarifice, în special, cazurile în care entitățile obligate ar trebui să recurgă la astfel de liste. În acest sens, AEPD invită legiuitorul să analizeze dacă nu ar trebui ca aceste informații să fie accesate doar în cazul unui risc ridicat de spălare a banilor sau de finanțare a terorismului.

În plus, pentru a încuraja adoptarea unor coduri de conduită și a unor certificări care să fie respectate de către furnizorii de baze de date și de liste de supraveghere utilizate în scopul CSB/CFT, AEPD invită legiuitorul să includă în pachetul legislativ privind combaterea spălării banilor o trimitere la codurile de conduită prevăzute la articolul 40 din RGPD și la certificările prevăzute la articolul 42 din RGPD, care să fie elaborate în funcție de nevoile specifice ale acestui sector.

1. Context

1. La 20 iulie 2021, Comisia Europeană a adoptat o propunere de regulament al Parlamentului European și al Consiliului privind prevenirea utilizării sistemului financiar în scopul spălării banilor sau finanțării terorismului („propunerea de regulament”) (1); o propunere de directivă a Parlamentului European și a Consiliului privind mecanismele care trebuie instituite de statele membre pentru prevenirea utilizării sistemului financiar în scopul spălării banilor sau finanțării terorismului și de abrogare a Directivei (UE) 2015/849 („propunerea de directivă”) (2); o propunere de regulament al Parlamentului European și al Consiliului de instituire a Autorității pentru Combaterea Spălării Banilor și a Finanțării Terorismului și de modificare a Regulamentelor (UE) nr. 1093/2010, (UE) nr. 1094/2010 și (UE) nr. 1095/2010 („propunerea de regulament de instituire a AMLA”) (3); și o propunere de regulament al Parlamentului European și al Consiliului privind informațiile care însoțesc transferurile de fonduri și anumite criptoactive („propunerea de regulament privind criptoactivele”) (4). De asemenea, facem trimitere la cele patru proiecte de propuneri denumindu-le în continuare „pachetul legislativ privind CSB”.

2. Pachetul legislativ privind CSB este propus în conformitate cu Planul de acțiune pentru o politică amplă a Uniunii în materie de prevenire a spălării banilor și a finanțării terorismului din 7 mai 2020 (5). AEPD a emis Avizul privind planul de acțiune la 23 iulie 2020 (6).

3. Obiectivele planului de acțiune, astfel cum sunt menționate, în special, în regulament (7), sunt: — asigurarea punerii în aplicare efective a actualului cadru CSB/CFT al UE; — stabilirea unui cadru unic de reglementare la nivelul UE în materie de CSB/CFT; — instituirea unei supravegheri în materie de CSB/CFT la nivelul UE; — instituirea unui mecanism de sprijin și de cooperare pentru unitățile de informații financiare; — consolidarea dispozițiilor de drept penal și a schimbului de informații la nivelul Uniunii; — consolidarea dimensiunii internaționale a cadrului CSB/CFT al UE.

4. Pachetul legislativ privind combaterea spălării banilor, care include propunerea de regulament ce cuprinde elemente (dispoziții) din Directiva (UE) 2018/843 (8), este o inițiativă legislativă ambițioasă care vizează creșterea eficacității luptei împotriva spălării banilor. Aceasta urmărește să realizeze acest lucru în special prin centralizarea asigurării respectării legii, inclusiv prin intermediul Autorității pentru Combaterea Spălării Banilor și a Finanțării Terorismului („AMLA”), care a fost înființată recent, standardizarea obligațiilor care le revin entităților obligate, raționalizarea unei abordări la nivel supranațional și național bazate pe riscuri, precum și prin stabilirea de norme cu privire la cooperarea dintre autoritățile competente în materie de supraveghere și la bazele de date și infrastructura relevante pentru schimbul de informații, în special FIU.net, care urmează să fie găzduite și gestionate de AMLA.

5. La 21 iulie 2021, Comisia Europeană a solicitat AEPD să emită un aviz cu privire la propunere, în conformitate cu articolul 42 alineatul (1) din Regulamentul (UE) 2018/1725. Prezentele observații se limitează la dispozițiile cuprinse în propunere care sunt relevante din perspectiva protecției datelor.

4. Concluzii

Având în vedere cele de mai sus, AEPD:

— salută obiectivul pachetului legislativ privind CSB de a spori eficacitatea combaterii spălării banilor și a finanțării terorismului, în special printr-un grad mai ridicat de armonizare a normelor aplicabile și printr-o supraveghere sporită la nivelul UE (inclusiv prin înființarea Autorității pentru Combaterea Spălării Banilor și a Finanțării Terorismului, AMLA);

— salută, de asemenea, abordarea bazată pe riscuri urmată pentru a preveni utilizarea sistemului financiar în scopul spălării banilor, care se află în centrul pachetului legislativ privind CSB;

Cu toate acestea, pentru a asigura respectarea principiilor necesității și proporționalității în materie de protecție a datelor, precum și a legislației aplicabile a Uniunii și a statelor membre privind protecția datelor, AEPD observă și recomandă, în special, următoarele:

— pachetul legislativ privind CSB (în special propunerea de regulament) ar trebui să identifice categoriile de date cu caracter personal care trebuie prelucrate de entitățile obligate pentru a-și îndeplini obligațiile legate de CSB/CFT;

— în special, propunerea de regulament ar trebui să ofere indicații clare privind condițiile și limitele stabilite pentru prelucrarea categoriilor speciale de date cu caracter personal și a datelor cu caracter personal referitoare la condamnări penale și infracțiuni;

— în ceea ce privește categoriile speciale de date cu caracter personal, pachetul legislativ privind CSB ar trebui să specifice, în special, care sunt tipurile de date (din cadrul categoriei mai largi de categorii speciale de date cu caracter personal stabilite în temeiul articolului 9 din RGPD) care ar trebui prelucrate de entitățile obligate în scopul combaterii spălării banilor și a finanțării terorismului și în ce etapă exactă a procesului. În acest sens, AEPD consideră că prelucrarea datelor cu caracter personal referitoare la orientarea sexuală sau la originea etnică nu ar trebui să fie permisă;

— În ceea ce privește registrele beneficiarilor reali, AEPD: — salută faptul că se specifică informațiile privind beneficiarii reali care trebuie păstrate în registrele privind beneficiarii reali. AEPD recomandă însă să se precizeze că lista cu informații prevăzută la articolul 44 din propunerea de regulament este o listă exhaustivă; — salută faptul că statele membre au obligația de a transmite Comisiei lista autorităților competente și a organismelor de autoreglementare, precum și categoriile de entități obligate cărora li se acordă acces la registre. AEPD invită însă legiuitorul să precizeze că accesul la registrele beneficiarilor reali ar trebui să fie limitat, atât pentru autoritățile fiscale, cât și pentru organismele de autoreglementare, la scopul combaterii spălării banilor și a finanțării terorismului și că, prin urmare, ar trebui să fie autorizat doar în acest scop; — constată că articolul 12 din propunerea de directivă conține dispoziții care au fost deja incluse în Directiva (UE) 2015/849, astfel cum a fost modificată prin Directiva (UE) 2018/843, potrivit cărora „orice membru al publicului larg” are acces la registrele beneficiarilor reali. Prin urmare, AEPD își reiterează poziția exprimată în Avizul AEPD nr. 1/2017 privind un astfel de acces generalizat, și anume că informațiile privind beneficiarii reali pot fi accesate, în scopul identificării și al prevenirii spălării banilor și a finanțării terorismului, numai de către autoritățile competente responsabile de asigurarea respectării legii și de către entitățile obligate, atunci când acestea iau măsuri de precauție privind clientela (9). AEPD remarcă faptul că accesul la informații privind beneficiarii reali (de exemplu, al ONG-urilor) ar fi utilizat ca un drept distinct de a obține și de a furniza informații. Acest acces public, care răspunde unei funcții diferite/unui scop diferit, ar trebui să facă obiectul unei evaluări separate a necesității și a proporționalității, precum și al unui set de norme separate și diferite. Prin urmare, AEPD recomandă legiuitorului să evalueze necesitatea și proporționalitatea acestui „acces general” și, pe baza acestei evaluări, să stabilească, după caz, un cadru juridic specific în acest sens, diferit de cadrul privind accesul autorităților competente; — în plus, AEPD recomandă cu insistență să se adauge, printre riscurile care trebuie luate în considerare de statele membre când stabilesc criteriile de acordare a derogărilor privind accesul la informațiile referitoare la beneficiarii reali, o trimitere în mod expres la riscurile la adresa protecției datelor cu caracter personal ale persoanelor în cauză. De asemenea, AEPD recomandă eliminarea termenului „excepționale” din prima și din a doua teză a articolului 13; — în sfârșit, AEPD ar recomanda introducerea în pachetul legislativ privind CSB a unei dispoziții prin care să se instituie un mecanism de raportare cu privire la eficacitatea utilizării registrelor privind beneficiarii reali în procesul de combatere a spălării banilor și a finanțării terorismului;

— în ceea ce privește prelucrarea datelor cu caracter personal referitoare la condamnări penale și infracțiuni, trimiterea la „acuzații” (pe lângă trimiterile la „anchete”, la „proceduri” și la „condamnări”) făcută la articolul 55 alineatul (3) litera (b) din propunerea de regulament este vagă și, prin urmare, ar trebui eliminată sau formulată într-un mod mai specific;

— constată competențele extinse în ceea ce privește accesul conferite unităților de informații financiare în temeiul articolului 18 din propunerea de directivă, și invită, prin urmare, legiuitorul să reevalueze caracterul necesar și proporțional al acestor drepturi de acces, în special în ceea ce privește „informațiile privind asigurarea respectării legii” enumerate la articolul 18 alineatul (1) litera (c). În aceeași ordine de idei, AEPD recomandă să se realizeze o delimitare clară și exhaustivă a categoriilor de date cu caracter personal la care pot avea acces unitățile de informații financiare în temeiul articolului 18 alineatul (1) litera (a) (intitulat „Informații financiare”) și al articolului 18 alineatul (1) litera (b) (intitulat „Informații administrative”);

— reiterează faptul că o configurare juridică a competențelor și activităților FIU „bazată pe investigații”, și nu „bazată pe informații”, ar fi mai conformă cu principiile referitoare la proporționalitate și la limitarea scopului în ceea ce privește protecția datelor și recomandă, prin urmare, eliminarea formulării de la considerentul 51 din directivă referitoare la detectarea „persoanel[or] care le interesează”;

— în ceea ce privește FIU.net, recomandă ca propunerea de regulament de instituire a AMLA sau ca cel puțin un standard tehnic de punere în aplicare care urmează să fie adoptat de Comisie în temeiul articolului 24 alineatul (3) din propunerea de directivă să prevadă în mod clar rolurile tuturor părților interesate implicate (AMLA, FIU) din perspectiva protecției datelor, deoarece acest lucru are un impact asupra cadrului de protecție a datelor aplicabil și asupra modelului de supraveghere;

— în ceea ce privește baza centrală de date CSB/CFT, AEPD recomandă specificarea unei perioade maxime de stocare a datelor cu caracter personal pe care le conține aceasta, în special din cauză că FIU colectează și transmite către baza centrală de date CSB/CFT „rezultatele inspecțiilor de supraveghere în ceea ce privește dosarele referitoare la persoanele expuse politic, la membrii familiilor și la asociații lor”;

— în ceea ce privește sursele de informații pentru măsurile de precauție privind clientela, inclusiv „listele de supraveghere”, pachetul legislativ privind CSB ar trebui să clarifice, în special, cazurile în care entitățile obligate ar trebui să recurgă la aceste liste. În acest sens, AEPD invită legiuitorul să analizeze dacă nu ar trebui ca aceste informații să fie accesate doar în cazul unui risc ridicat de spălare a banilor sau de finanțare a terorismului. În plus, s-ar putea preciza în cadrul unui considerent faptul că entitățile obligate ar trebui să verifice în mod corespunzător informațiile conținute în listele de supraveghere, în special în ceea ce privește fiabilitatea și exactitatea lor.

— în plus, pentru a încuraja adoptarea unor coduri de conduită și a unor certificări care să fie respectate de către furnizorii de baze de date și de liste de supraveghere utilizate în scopul CSB/CFT, AEPD invită legiuitorul să includă în pachetul legislativ privind CSB o trimitere la codurile de conduită prevăzute la articolul 40 din RGPD și la certificările prevăzute la articolul 42 din RGPD, care să fie elaborate în funcție de nevoile specifice ale acestui sector;

— Articolul 32 alineatul (3) din propunerea de regulament prevede că AMLA emite orientări privind criteriile de identificare a persoanelor care se încadrează în definiția persoanelor cunoscute ca fiind asociați apropiați [ai „persoanei expuse politic”]. În acest sens, AEPD consideră că ar trebui specificată chiar în propunerea de regulament categoria de „persoane cunoscute ca fiind asociați apropiați”, și nu (doar) în orientările AMLA;

— AEPD recomandă specificarea categoriilor de angajați care fac obiectul „examinării integrității”, prevăzută la articolul 11 din propunerea de regulament;

— AEPD recomandă să se includă, într-un mod mai explicit, printre criteriile pe care autoritatea competentă trebuie să le ia în considerare când publică sancțiunile și măsurile administrative, riscurile la adresa protecției datelor cu caracter personal ale persoanelor în cauză;

— în sfârșit, AEPD recomandă efectuarea unor modificări (adăugări și eliminări) la formularea articolelor și a considerentelor din cadrul pachetului legislativ privind CSB care se referă la RGPD și la REPD.

Bruxelles, 22 septembrie 2021 Wojciech Rafał WIEWIÓROWSKI

(1) COM(2021) 420 final.

(2) COM (2021) 423 final.

(3) COM(2021) 421 final.

(4) COM(421) 422 final. AEPD constată, în acest sens, că propunerea de regulament este extinsă la cerințele de trasabilitate a criptoactivelor în scopul CSB/CFT; obligația furnizorului de servicii de criptoactive de a oferi informațiile prevăzute la articolele 14-18; includerea furnizorilor de servicii de criptoactive în conformitate cu articolul 20, intitulat „Protecția datelor” și cu articolul 21, intitulat „Păstrarea evidențelor”. AEPD a emis recent, la 24 iunie 2021, un aviz privind criptoactivele, Avizul AEPD referitor la Propunerea de regulament privind piețele criptoactivelor și de modificare a Directivei (UE) 2019/1937.

Avizul este disponibil la adresa: https://edps.europa.eu/data-protection/our-work/publications/opinions/edps-opinion-proposal-regulation-markets-crypto_en

(5) Comunicare privind un plan de acțiune pentru o politică amplă a Uniunii în materie de prevenire a spălării banilor și a finanțării terorismului [C(2020)2800 final].

(6) Avizul nr. 5/2020 al AEPD privind Planul de acțiune al Comisiei Europene pentru o politică amplă a Uniunii în materie de prevenire a spălării banilor și a finanțării terorismului, disponibil la: https://edps.europa.eu/sites/default/files/publication/20-07-23_edps_aml_opinion_en.pdf

(7) Vezi pagina 1 din expunerea de motive.

(8) Directiva (UE) 2018/843 a Parlamentului European și a Consiliului din 30 mai 2018 de modificare a Directivei (UE) 2015/849 privind prevenirea utilizării sistemului financiar în scopul spălării banilor sau finanțării terorismului, precum și de modificare a Directivelor 2009/138/CE și 2013/36/UE (JO L 156, 19.6.2018, p. 43).

(9) Vezi punctele 61 și 62 din Avizul AEPD nr. 1/2017: „Astfel cum s-a putut observa în introducerea la prezentul aviz, Directiva privind combaterea spălării banilor rezervă investigarea și urmărirea penală a activităților infracționale autorităților publice competente. În acest sens, părților private active pe piețele financiare li se solicită doar să furnizeze informații autorităților competente responsabile. În nicio situație nu i se încredințează unei persoane sau unei entități private, în mod formal sau informal, direct sau indirect, un rol în asigurarea respectării legii.” 62. „Se poate recunoaște faptul că ONG-urile care își desfășoară activitatea în domeniul combaterii infracțiunilor și a abuzurilor financiare, al presei și al jurnalismului de investigație, contribuie de facto la atragerea atenției autorităților asupra fenomenelor care pot fi relevante pentru urmărirea penală a activităților infracționale. Totuși, dacă așa stau lucrurile, legiuitorul ar trebui să conceapă accesul la informațiile privind beneficiarii ca pe o componentă a dreptului de a obține și de a furniza informații, de către cetățeni și, respectiv, de către presă. S-ar atribui astfel un nou scop al accesului public, ceea ce ar avea drept consecință faptul că proporționalitatea acestei norme ar fi evaluată în raport cu acest drept, și nu în raport cu scopurile de politică (de exemplu, combaterea terorismului sau a evaziunii fiscale) care nu pot fi asociate unei acțiuni private.”

În legătură cu acest aspect, reamintim și jurisprudența Curții de Justiție în cauza Österreichischer Rundfunk, în care Curtea a considerat că era necesar să se examineze dacă obiectivul de politică urmărit prin publicitate „nu ar fi putut fi atins la fel de eficient prin transmiterea informațiilor privind numele numai organismelor de monitorizare” [punctul 88, subliniere adăugată, Hotărârea Curții din 20 mai 2003. Rechnungshof (C-465/00) împotriva Österreichischer Rundfunk și alții și Christa Neukomm (C-138/01) și Joseph Lauermann (C-139/01) împotriva Österreichischer Rundfunk, ECLI:EU:C:2003:294]. Această chestiune ar trebui luată în considerare cu atenție când se evaluează proporționalitatea măsurilor care vizează accesul publicului la informațiile cu caracter personal.