Zbieranie danych na podstawie AML, a RODO

Ustawa AML nakłada obowiązki w zakresie m.in.:

1. identyfikacji i weryfikacji tożsamości klientów, osób przez nich upoważnionych oraz ich beneficjentów rzeczywistych;
2. monitorowaniu, przeprowadzaniu analiz i rejestrowaniu transakcji oraz stosunków gospodarczych;
3. przetwarzaniu informacji otrzymanych od sygnalistów w ramach procedury anonimowego zgłaszania przez pracowników lub inne osoby rzeczywistych, lub potencjalnych naruszeń przepisów Ustawy AML;

Co to oznacza dla przeciętnego obywatela? Otóż w celu spełnienia obowiązków wynikających z Ustawy AML bank lub inna instytucja obowiązana na podstawie Ustawy AML mogą wykonać skan dowodu osobistego swojego klienta. UODO jest przeciwne praktyce kopiowania dokumentów tożsamości, przy każdej czynności, jednakże dopuszcza taką możliwość w sytuacji gdy jest to niezbędne w celu wypełnienia obowiązków wynikających z Ustawy AML.

Jak widać realizowanie części tych zagadnień wiąże się z ochroną danych osobowych. Ustawa AML w tym zakresie stanowi podstawę prawną przetwarzania danych na postawie RODO tj. realizuje art. 6 ust. 1 lit. c. RODO. Można więc zauważyć, że opierając się na obowiązkach wynikających z tego aktu, będziemy musieli realizować zadania również z RODO.

Zbierając i przetwarzając dane na podstawie Ustawy AML oraz wybierając sposób ich wykorzystania, długość okresu ich przechowywania, działania administratora powinny być adekwatne co do celu. Oznacza to, że nie można zbierać zbyt wielu informacji o klientach. W praktyce, podmioty obowiązane przetwarzają więcej danych niż są do tego zobowiązane. Dzieje się tak np. przy zbieraniu danych kontaktowych, jak numer telefonu adres e-mail, jak i w przypadku gromadzenia nadmiernych danych identyfikujących klienta. Ustawa AML nie stanowi podstawy do przetwarzania takich danych, zatem podmioty obowiązane powinny pobierać zgody od pomiotów, których dane dotyczą, na ich przetwarzanie w przypadku braku innej podstawy prawnej.