Två tillsynsmyndigheter, ett regelverk

För första gången skriver Europeiska dataskyddsstyrelsen och den nyligen operativa Myndigheten för bekämpning av penningtvätt en enda uppsättning regler tillsammans. Deras tillkännagivande den 1 juli 2026 binder båda organen till gemensamma riktlinjer för hur företag kan samla underrättelser för att bekämpa penningtvätt och finansiering av terrorism och samtidigt respektera dataskyddsförordningen. Ett redaktionsteam sammansatt av båda myndigheterna leder arbetet, och de två tillsynsorganen säger att de bidrar som jämlikar.

Betydelsen för ägare och operatörer är strukturell. Hittills stod en bank som ville dela signaler om misstänkt aktivitet med en konkurrent inför två tillsynsmyndigheter som kunde dra olika slutsatser om samma överföring. En samordnad text tar bort den vägskälningen. Det är den tydligaste signalen hittills om att Bryssel avser att föra tillsyn över finansiell brottslighet och dataskydd som ett sammanflätat regelverk, inte som två myndigheter som talar förbi varandra.

Vad artikel 75 faktiskt tillåter

Den juridiska motorn är artikel 75 i penningtvättsförordningen. Den bemyndigar ansvariga enheter - banker, betalningsföretag, leverantörer av kryptotillgångar och andra reglerade yrken - att utbyta information med varandra och med offentliga myndigheter där det tjänar kampen mot finansiell brottslighet. Det är en betydande breddning av de kanaler genom vilka kunddata lagligt kan flöda mellan konkurrenter.

Haken är att varje sådant utbyte också är en behandling av personuppgifter och därmed omfattas av GDPR. De gemensamma riktlinjerna finns för att lösa denna spänning: att beskriva hur ett delningspartnerskap kan byggas så att det är försvarbart under båda regelverken samtidigt. Ägare bör läsa detta som den efterlevnadsritning som kommer att definiera hur ett juridiskt rent delningspartnerskap ser ut i hela unionen.

Klockan mot 10 juli 2027

Förordningens mekanism för informationsdelning träder i kraft den 10 juli 2027. Det är inget mjukt mål. Banker och finansinstitut som avser att använda de nya delningsbefogenheterna - eller som partner ber att få ta emot delade data - behöver styrning, avtal och konsekvensbedömningar avseende dataskydd före det datumet.

Följden är tajt. Tillsynsmyndigheterna planerar ett intressentevenemang senare 2026 för att lyfta fram de punkter som mest behöver klargöras, och sedan öppna ett offentligt samråd om utkastet under första halvåret 2027. Det lämnar ett smalt fönster mellan den slutliga texten och ikraftträdandedatumet, så företag kan inte vänta på de färdiga riktlinjerna innan de börjar utformningen.

Ägarens drag

Den praktiska instruktionen till styrelser är att behandla detta som ett gemensamt AML- och integritetsprogram, inte som en enskild avdelnings efterlevnadssyssla. Juridiska, finansiell-brottslighets- och dataskyddsfunktioner som historiskt körde var för sig måste nu svara mot en enda samordnad standard, vilket betyder att de bör planera tillsammans nu i stället för att jämka positioner efter att riktlinjerna landar.

Det finns också en strategisk fördel. Företag som deltar i evenemanget och samrådet 2027 får vara med och forma det regelverk de ska leva under, och de som rör sig först kan förvandla ett rent delningsramverk till en konkurrensfördel i förtroende och snabbhet. Priset för att vänta är en förjagad kapplöpning under andra halvåret 2027 mot en tidsfrist som inte kommer att flyttas.

Läs vidare: EU skriver om GDPR  |  Ofcom: att gissa en användares ålder räcker inte