To tilsyn, et regelsæt

For første gang skriver Det Europæiske Databeskyttelsesråd og den nyligt operationelle Myndighed til bekæmpelse af hvidvask et enkelt sæt regler sammen. Deres meddelelse af 1. juli 2026 forpligter begge organer på fælles retningslinjer for, hvordan virksomheder kan samle efterretninger for at bekæmpe hvidvask og finansiering af terrorisme, samtidig med at de respekterer databeskyttelsesforordningen. Et redaktionshold sammensat af begge myndigheder vil lede arbejdet, og de to tilsyn siger, at de vil bidrage som ligemænd.

Betydningen for ejere og operatører er strukturel. Hidtil stod en bank, der ville dele signaler om mistænkelig aktivitet med en konkurrent, over for to tilsyn, der kunne nå forskellige konklusioner om den samme overførsel. En koordineret tekst fjerner den forgrening. Det er det klareste signal hidtil om, at Bruxelles agter at føre tilsyn med finansiel kriminalitet og databeskyttelse som et sammenflettet regime, ikke som to myndigheder, der taler forbi hinanden.

Hvad artikel 75 faktisk tillader

Den juridiske motor er artikel 75 i hvidvaskforordningen. Den bemyndiger forpligtede enheder - banker, betalingsvirksomheder, udbydere af kryptoaktiver og andre regulerede erhverv - til at udveksle oplysninger med hinanden og med offentlige myndigheder, hvor det tjener kampen mod finansiel kriminalitet. Det er en betydelig udvidelse af de kanaler, hvorigennem kundedata lovligt kan flyde mellem konkurrenter.

Hagen er, at hver sådan udveksling også er en behandling af personoplysninger og derfor hører under GDPR. De fælles retningslinjer findes for at løse denne spænding: at forklare, hvordan et delingspartnerskab kan bygges, så det er forsvarligt under begge regimer på en gang. Ejere bør læse dette som den efterlevelsesplan, der vil definere, hvordan et juridisk rent delingspartnerskab ser ud i hele unionen.

Uret mod 10. juli 2027

Forordningens mekanisme for informationsdeling får virkning den 10. juli 2027. Det er ikke et blødt mål. Banker og finansielle institutioner, der agter at bruge de nye delingsbeføjelser - eller som af partnere vil blive bedt om at modtage delte data - har brug for styring, kontrakter og konsekvensanalyser vedrørende databeskyttelse før den dato.

Rækkefølgen er stram. Tilsynene planlægger et interessentarrangement senere i 2026 for at afdække de punkter, der mest kræver afklaring, og derefter at åbne en offentlig høring om udkastet i første halvdel af 2027. Det efterlader et smalt vindue mellem den endelige tekst og ikrafttrædelsesdatoen, så virksomheder kan ikke vente på de færdige retningslinjer, før de begynder designarbejdet.

Ejerens træk

Den praktiske instruktion til bestyrelser er at behandle dette som et fælles AML- og privatlivsprogram, ikke som en enkelt afdelings efterlevelsesopgave. Juridiske, finansiel-kriminalitets- og databeskyttelsesfunktioner, der historisk kørte hver for sig, skal nu svare til en enkelt koordineret standard, hvilket betyder, at de bør planlægge sammen nu i stedet for at forlige positioner, efter retningslinjerne lander.

Der er også en strategisk fordel. Virksomheder, der engagerer sig i arrangementet og høringen i 2027, kan være med til at forme det regelsæt, de skal leve under, og de første til at handle kan forvandle en ren delingsramme til en konkurrencefordel i tillid og hastighed. Prisen for at vente er et forjaget kapløb i anden halvdel af 2027 mod en frist, der ikke vil rykke sig.

Læs videre: EU omskriver GDPR  |  Ofcom: at gætte en brugers alder er ikke nok