Dwa organy nadzoru, jeden zbiór zasad

Po raz pierwszy Europejska Rada Ochrony Danych oraz nowo działający Urząd ds. Przeciwdziałania Praniu Pieniędzy wspólnie piszą jeden zbiór zasad. Ich ogłoszenie z 1 lipca 2026 r. zobowiązuje oba organy do wspólnych wytycznych dotyczących tego, jak firmy mogą łączyć informacje, aby zwalczać pranie pieniędzy i finansowanie terroryzmu, jednocześnie przestrzegając ogólnego rozporządzenia o ochronie danych. Pracami pokieruje zespół redakcyjny złożony z obu urzędów, a oba organy nadzoru deklarują, że będą wnosić wkład jako równi partnerzy.

Znaczenie dla właścicieli i operatorów jest strukturalne. Dotychczas bank, który chciał podzielić się z konkurentem sygnałami o podejrzanej działalności, stawał wobec dwóch organów nadzoru, które mogły dojść do różnych wniosków w sprawie tego samego przekazania. Jeden skoordynowany tekst usuwa to rozwidlenie. To najwyraźniejszy jak dotąd sygnał, że Bruksela zamierza prowadzić nadzór nad przestępczością finansową i ochronę danych jako jeden splot, a nie jako dwa urzędy mówiące obok siebie.

Co artykuł 75 faktycznie dopuszcza

Motorem prawnym jest artykuł 75 rozporządzenia w sprawie przeciwdziałania praniu pieniędzy. Upoważnia on podmioty zobowiązane - banki, instytucje płatnicze, dostawców kryptoaktywów i inne regulowane zawody - do wymiany informacji między sobą oraz z organami publicznymi, gdy służy to walce z przestępczością finansową. To istotne poszerzenie kanałów, którymi dane klientów mogą zgodnie z prawem przepływać między konkurentami.

Haczyk polega na tym, że każda taka wymiana jest zarazem przetwarzaniem danych osobowych i dlatego podlega RODO. Wspólne wytyczne mają rozładować to napięcie: wyjaśnić, jak zbudować partnerstwo w zakresie wymiany, aby było ono do obrony jednocześnie w obu reżimach. Właściciele powinni odczytać to jako wzorzec zgodności, który określi, jak wygląda prawnie czyste partnerstwo w zakresie wymiany w całej Unii.

Zegar tyka do 10 lipca 2027 r.

Mechanizm wymiany informacji przewidziany w rozporządzeniu zacznie obowiązywać 10 lipca 2027 r. To nie jest miękki cel. Banki i instytucje finansowe, które zamierzają korzystać z nowych uprawnień do wymiany - albo które partnerzy poproszą o przyjmowanie udostępnianych danych - muszą mieć ład korporacyjny, umowy i oceny skutków dla ochrony danych gotowe przed tą datą.

Harmonogram jest napięty. Organy nadzoru planują wydarzenie dla interesariuszy jeszcze w 2026 r., aby wydobyć punkty najbardziej wymagające wyjaśnienia, a następnie otworzyć konsultacje publiczne w sprawie projektu w pierwszej połowie 2027 r. Zostawia to wąskie okno między ostatecznym tekstem a datą wejścia w życie, więc firmy nie mogą czekać na gotowe wytyczne, zanim rozpoczną prace projektowe.

Ruch właściciela

Praktyczne polecenie dla zarządów brzmi: potraktować to jako wspólny program AML i ochrony prywatności, a nie jako zadanie zgodności jednego działu. Funkcje prawna, do spraw przestępczości finansowej i ochrony danych, które historycznie działały osobno, muszą teraz odpowiadać jednemu skoordynowanemu standardowi, co oznacza, że powinny planować razem już teraz, zamiast uzgadniać stanowiska po tym, jak wytyczne się pojawią.

Jest też korzyść strategiczna. Firmy, które zaangażują się w wydarzenie i konsultacje w 2027 r., będą mogły współkształtować zbiór zasad, pod którym przyjdzie im działać, a ci, którzy ruszą pierwsi, mogą przekształcić czyste ramy wymiany w przewagę konkurencyjną w zaufaniu i szybkości. Ceną zwłoki jest gorączkowy pościg w drugiej połowie 2027 r. wobec terminu, który się nie przesunie.

Czytaj dalej: UE pisze RODO na nowo  |  Ofcom: odgadywanie wieku użytkownika nie wystarczy