Dois supervisores, um só regulamento

Pela primeira vez, o Comité Europeu para a Proteção de Dados e a recém-operacional Autoridade para o Combate ao Branqueamento de Capitais redigem em conjunto um único conjunto de regras. O anúncio de 1 de julho de 2026 compromete ambos os organismos com orientações conjuntas sobre como as empresas podem reunir informações para combater o branqueamento de capitais e o financiamento do terrorismo, respeitando ao mesmo tempo o Regulamento Geral sobre a Proteção de Dados. Uma equipa de redação formada pelas duas autoridades vai dirigir o trabalho, e os dois supervisores afirmam que contribuirão em pé de igualdade.

A importância para proprietários e operadores é estrutural. Até agora, um banco que quisesse partilhar sinais de atividade suspeita com um concorrente deparava-se com dois supervisores que podiam chegar a conclusões diferentes sobre a mesma transferência. Um texto coordenado elimina essa bifurcação. É o sinal mais claro até hoje de que Bruxelas tenciona gerir a supervisão do crime financeiro e a proteção de dados como um regime interligado, e não como duas agências que falam sem se ouvirem.

O que o artigo 75.º realmente permite

O motor jurídico é o artigo 75.º do Regulamento antibranqueamento. Autoriza as entidades obrigadas - bancos, empresas de pagamento, prestadores de criptoativos e outros profissionais regulados - a trocar informação entre si e com as autoridades públicas quando isso serve o combate ao crime financeiro. É um alargamento significativo dos canais pelos quais os dados dos clientes podem circular licitamente entre concorrentes.

O problema é que cada troca deste tipo é também um tratamento de dados pessoais e, por isso, fica sujeita ao RGPD. As orientações conjuntas existem para resolver essa tensão: explicar como uma parceria de partilha pode ser construída de modo a ser defensável ao abrigo de ambos os regimes em simultâneo. Os proprietários devem lê-lo como o modelo de conformidade que vai definir o aspeto de uma parceria de partilha juridicamente limpa em todo o bloco.

A contagem para 10 de julho de 2027

O mecanismo de partilha de informação do Regulamento produz efeitos a 10 de julho de 2027. Não é um objetivo flexível. Os bancos e instituições financeiras que tencionam usar os novos poderes de partilha - ou a quem os parceiros pedirão para receber dados partilhados - precisam de governação, contratos e avaliações de impacto sobre a proteção de dados antes dessa data.

A sequência é apertada. Os reguladores planeiam um evento com as partes interessadas ainda em 2026 para trazer à tona os pontos que mais precisam de esclarecimento e, depois, abrir uma consulta pública sobre o projeto no primeiro semestre de 2027. Isso deixa uma janela estreita entre o texto final e a data de entrada em vigor, pelo que as empresas não podem esperar pelas orientações concluídas antes de começarem a conceção.

A jogada do proprietário

A instrução prática para os conselhos de administração é tratar isto como um programa conjunto de AML e privacidade, e não como uma tarefa de um único departamento. As funções jurídica, de crime financeiro e de proteção de dados que historicamente funcionavam em separado têm agora de responder a uma única norma coordenada, o que significa que devem planear em conjunto agora, em vez de conciliar posições depois de as orientações chegarem.

Há também uma vantagem estratégica. As empresas que participam no evento e na consulta de 2027 poderão moldar o regulamento sob o qual vão viver, e quem se mover primeiro pode transformar um quadro de partilha limpo numa vantagem competitiva em confiança e rapidez. O custo de esperar é uma corrida atabalhoada no segundo semestre de 2027 contra um prazo que não se moverá.

Leia a seguir: A UE está a reescrever o RGPD  |  Ofcom: adivinhar a idade de um utilizador não chega