AML vs RODO - jak weryfikować tożsamość klienta bez ryzyka naruszeń?

Zakres danych przetwarzanych w procesie KYC powinien wynikać przede wszystkim z przepisów AML, a zakres i intensywność stosowanych środków bezpieczeństwa finansowego powinny uwzględniać rozpoznane ryzyko, rodzaj klienta, charakter relacji gospodarczej oraz inne okoliczności przewidziane przepisami.

Mogą to być m.in.:

• imię i nazwisko,
• obywatelstwo,
• numer PESEL lub data urodzenia,
• seria i numer dokumentu tożsamości,
• dane adresowe,
• dane identyfikacyjne osoby reprezentującej klienta,
• informacje o beneficjencie rzeczywistym,
• dane dotyczące struktury właścicielskiej,
• informacje o źródle pochodzenia środków, jeśli wymagają tego środki wzmożonej należytej staranności.

Nowe unijne podejście do AML zmierza w kierunku większej harmonizacji, cyfryzacji i podejścia opartego na ryzyku. W ramach unijnego pakietu AML podkreśla się m.in. znaczenie proporcjonalności, cyfrowej identyfikacji i dostosowania zakresu zbieranych danych do poziomu ryzyka, zamiast mechanicznego pozyskiwania nadmiarowych informacji od każdego klienta.

Dla zgodności z RODO kluczowe jest jednak, aby instytucja obowiązana potrafiła wykazać, że konkretny zakres danych był niezbędny do realizacji obowiązków AML. Innymi słowy: fakt, że organizacja jest objęta ustawą AML, nie oznacza automatycznego prawa do zbierania „wszystkiego na wszelki wypadek”.

To jedno z najczęstszych pytań w praktyce AML i ochrony danych osobowych. Odpowiedź nie zawsze jest zero-jedynkowa.

Kopiowanie dokumentu tożsamości może być dopuszczalne, jeśli jest niezbędne do realizacji obowiązków wynikających z przepisów AML i mieści się w zakresie stosowanych środków bezpieczeństwa finansowego. Nie oznacza to jednak, że każda organizacja powinna automatycznie kopiować dokumenty wszystkich klientów w każdej sytuacji. Zgodnie z art. 34 ust. 4 ustawy AML instytucje obowiązane, na potrzeby stosowania środków bezpieczeństwa finansowego, mogą przetwarzać informacje zawarte w dokumentach tożsamości klienta i osoby upoważnionej oraz sporządzać ich kopie.

Kluczowe jest jednak słowo „mogą”. Sam art. 34 ust. 4 nie ustanawia generalnego obowiązku kopiowania dokumentu.

Co szczególnie ważne, takie podejście potwierdza również Prezes UODO, wskazując, że możliwość sporządzania kopii dokumentów tożsamości stanowi uprawnienie instytucji obowiązanej, a nie generalny obowiązek mający zastosowanie w każdym przypadku.

Z perspektywy RODO należy przeanalizować:

• czy kopia dokumentu jest rzeczywiście konieczna,
• czy wystarczy odnotowanie danych z dokumentu,
• czy zakres danych utrwalonych na kopii dokumentu można ograniczyć, w szczególności poprzez zastosowanie odpowiednich rozwiązań technicznych, o ile nie uniemożliwia to realizacji lub udokumentowania obowiązków AML,
• kto będzie miał dostęp do kopii,
• jak długo dokument będzie przechowywany,
• czy system przechowywania zapewnia odpowiedni poziom bezpieczeństwa.

Największe ryzyko pojawia się wtedy, gdy organizacja rutynowo gromadzi skany dokumentów tożsamości bez oceny potrzeby, bez polityki retencji i bez ograniczeń dostępu. Taka praktyka może prowadzić do naruszenia zasady minimalizacji danych oraz zwiększać skutki ewentualnego incydentu bezpieczeństwa.

AML i RODO mają różne cele. Oba systemy wykorzystują podejście oparte na ryzyku, przy czym przedmiot i cel dokonywanej oceny ryzyka są odmienne.

W AML oznacza to konieczność oceny ryzyka klienta, produktu, transakcji, kraju, kanału dystrybucji czy struktury właścicielskiej. Intensywność działań weryfikacyjnych powinna być dostosowana do poziomu ryzyka prania pieniędzy lub finansowania terroryzmu. W polskim i unijnym systemie AML podejście risk-based approach jest jednym z podstawowych założeń należytej staranności wobec klienta.

W RODO podejście oparte na ryzyku oznacza natomiast, że administrator powinien ocenić potencjalne zagrożenia dla praw i wolności osób fizycznych oraz wdrożyć adekwatne środki techniczne i organizacyjne.

Dobrze zaprojektowany proces KYC powinien więc odpowiadać jednocześnie na dwa pytania:

1. Jakie ryzyko AML wiąże się z tym klientem?
2. Jakie ryzyko dla danych osobowych powstaje w związku z jego weryfikacją?

Dopiero połączenie tych dwóch perspektyw pozwala stworzyć procedurę, która jest skuteczna regulacyjnie i bezpieczna z punktu widzenia ochrony danych.

Najczęstsze błędy przy weryfikacji tożsamości klienta to:

• zbieranie nadmiarowych danych „na zapas”,
• kopiowanie dokumentów tożsamości bez analizy konieczności,
• brak odpowiedniego dostosowania zakresu i intensywności środków bezpieczeństwa finansowego do zidentyfikowanego poziomu ryzyka,
• brak aktualizacji danych klienta,
• przechowywanie dokumentacji AML dłużej niż wymagają tego przepisy,
• brak ograniczeń dostępu do dokumentów KYC,
• brak jasnej informacji dla klienta o przetwarzaniu danych,
• niespójność między procedurą AML, polityką prywatności i rejestrem czynności przetwarzania.

Istotnym problemem jest również traktowanie AML i RODO jako dwóch odrębnych procesów obsługiwanych przez różne zespoły. Tymczasem skuteczność compliance zależy od spójności. Procedura AML, dokumentacja ochrony danych, systemy IT i praktyka operacyjna powinny działać razem.

Aby ograniczyć ryzyko naruszeń, organizacja powinna wdrożyć kilka praktycznych zasad.

Weryfikacja tożsamości klienta nie musi prowadzić do konfliktu między AML a RODO. Problem pojawia się dopiero wtedy, gdy organizacja działa automatycznie, bez oceny ryzyka, bez dokumentacji i bez kontroli nad zakresem przetwarzanych danych.

Dobrze zaprojektowany proces KYC powinien być:

• zgodny z przepisami AML,
• proporcjonalny z punktu widzenia RODO,
• dostosowany do poziomu ryzyka,
• udokumentowany,
• bezpieczny technologicznie,
• zrozumiały dla pracowników i klientów.

W praktyce najbezpieczniejsze są te organizacje, które nie traktują AML i RODO jako konkurujących obowiązków, ale jako dwa elementy tego samego systemu compliance.

Weryfikacja tożsamości klienta jest obowiązkiem wynikającym z przepisów AML, ale jednocześnie musi odbywać się zgodnie z zasadami RODO. Kluczowe jest więc znalezienie równowagi między skutecznym przeciwdziałaniem praniu pieniędzy a ochroną danych osobowych.

Najważniejsze wnioski:

• AML i RODO nie są sprzeczne, ale wzajemnie się uzupełniają. Obowiązki AML stanowią podstawę prawną do przetwarzania danych, jednak nie zwalniają z przestrzegania zasad RODO.
• Organizacje powinny przetwarzać wyłącznie dane niezbędne do realizacji obowiązków AML, zgodnie z zasadą minimalizacji danych.
• Zakres przetwarzanych danych powinien wynikać z obowiązujących przepisów AML, natomiast zakres i intensywność stosowanych środków bezpieczeństwa finansowego powinny być dostosowane do zidentyfikowanego poziomu ryzyka.
• Ustawa AML umożliwia sporządzanie kopii dokumentów tożsamości na potrzeby stosowania środków bezpieczeństwa finansowego, nie oznacza to jednak generalnego obowiązku ich kopiowania. Instytucja obowiązana powinna ocenić zasadność i konieczność sporządzenia kopii z uwzględnieniem obowiązków AML oraz zasad RODO.
• Zarówno AML, jak i RODO opierają się na podejściu bazującym na ryzyku (risk-based approach). Ocenie podlega zarówno ryzyko prania pieniędzy, jak i ryzyko dla prywatności osoby, której dane dotyczą.