В 2018 году вступили в силу новые правила, охватывающие две важнейшие области: защиту персональных данных и противодействие отмыванию денег и финансированию терроризма, которые являются частью системы соответствия организации требованиям законодательства. Для предприятий соответствие требованиям означает организацию деятельности компании посредством создания соответствующей структуры и внедрения надлежащих мер, минимизирующих риск возникновения каких-либо нарушений внутри компании*.

Новый подход, предложенный органами ЕС при разработке нормативных актов в обсуждаемых областях, соответствует приведенному выше определению. Ни GDPR, который применяется непосредственно в государствах-членах, ни Закон о борьбе с отмыванием денег и финансированием терроризма (AML Act), который имплементирует директивы ЕС, не предоставляют готовых решений для каждой компании, которые можно было бы составить в виде контрольного списка и выполнить или нет. Это представляется целесообразным, поскольку каждый тип бизнеса имеет свои особенности, и также сложно определить конкретные решения, которые будут подходящими как для микропредприятий, так и для крупных акционерных обществ.

В настоящее время применяется риск-ориентированный подход. Каждая организация, обязанная соблюдать правила, должна определить потенциальные области, где существует больший или меньший риск отмывания денег, финансирования терроризма или нарушения обработки персональных данных. Оценка рисков должна проводиться пропорционально масштабу и типу бизнеса. Затем должны быть внедрены меры по смягчению последствий, процедуры и другие меры безопасности для минимизации выявленных рисков и угроз. С одной стороны, это обременительно и создает риск ненадлежащего выполнения правил, особенно малыми предприятиями, пытающимися выполнить требования самостоятельно. С другой стороны, можно создать гибкие и эффективные системы и процедуры, которые реагируют на частые изменения угроз и методов защиты от них. Возможна приоритизация задач и областей, а также соответствующее распределение ресурсов, что позволяет минимизировать наиболее серьезные угрозы.

Переходя к пересечению вопросов противодействия отмыванию денег (AML) и GDPR, мы рассмотрим несколько ключевых проблем и обязательств организаций, обязанных соблюдать защиту персональных данных, основываясь на некоторых принципах обработки данных, перечисленных в GDPR. К сожалению, данная статья не содержит всестороннего обсуждения всех принципов и других вопросов (например, прав субъектов данных), возникающих в связи с выполнением обязательств в рамках Закона о противодействии отмыванию денег в контексте защиты персональных данных.

Многие обязательства учреждений, подпадающих под действие Закона от 1 марта 2018 года о противодействии отмыванию денег и финансированию терроризма, включают обработку персональных данных. К ним относятся:

• Необходимость идентификации и проверки личности клиентов, уполномоченных лиц и бенефициарных владельцев (статья 34, пункты 1 и 2 Закона о борьбе с отмыванием денег). Для надлежащего применения мер безопасности допускается даже копирование удостоверений личности клиентов и лиц, уполномоченных действовать от их имени (статья 34, пункт 4 Закона о борьбе с отмыванием денег)
• Обработка всей информации, которую обязаны предоставлять учреждениям от осведомителей (статья 53 Закона о борьбе с отмыванием денег),
• Определение того, занимает ли клиент или бенефициарный владелец политически значимую позицию (ПЗП).

Если обязанное учреждение должно вести Реестр деятельности по обработке персональных данных (статья 30 GDPR), оно, несомненно, должно определить область деятельности по обработке данных, связанную с противодействием отмыванию денег и финансированию терроризма, и указать процессы, осуществляемые в рамках этой области. К ним могут относиться, помимо прочего, указанные выше обязательства.

Основа для обработки данных

Одним из важнейших принципов обработки данных в соответствии с GDPR является принцип законности (соответствия закону). Контролер может обрабатывать персональные данные только в том случае, если это основано на одном из оснований, перечисленных в статье 6 GDPR.

В случае деятельности учреждений, обязанных соблюдать Закон о борьбе с отмыванием денег, это является соблюдением возложенного на них юридического обязательства. Это основание указано в статье 6(1)(c) GDPR.

Реализация этого принципа оператором персональных данных будет означать внесение соответствующего основания для обработки данных в РКИП (Регламент о защите персональных данных), которое (как правило) должно поддерживаться обязанными учреждениями.

Кроме того, указанное основание для обработки персональных данных должно быть включено в информационную оговорку, которую обязанные субъекты предоставляют клиенту, в частности, до установления деловых отношений (статья 34, пункт 5 Закона о борьбе с отмыванием денег).

Безопасность

Еще один принцип, вытекающий из GDPR, — обеспечение конфиденциальности и целостности персональных данных, что подразумевает не что иное, как обеспечение их безопасности. Статья 32 GDPR воплощает принцип, вытекающий из статьи 5, раздела 1, пункта f, и перекликается с описанным выше подходом. Меры безопасности должны быть соразмерны размеру, предмету и характеру бизнеса, а также соответствовать риску. В сфере противодействия отмыванию денег риск неточности или утечки данных высок, поэтому обязанные учреждения должны проявлять должную осмотрительность в обеспечении безопасности своих данных. Примерами таких мер являются физические ограничения доступа к данным, а также субъективные ограничения (разрешение на обработку данных только в необходимой степени) и регулярное обучение сотрудников.

Ограничения адекватности и целевого назначения

Следующие два принципа будут рассмотрены вместе, поскольку они взаимосвязаны. Ограничение цели и адекватность обработки данных довольно сложно понять в контексте борьбы с отмыванием денег. С одной стороны, от организаций требуется проявлять максимальную осмотрительность и принимать все необходимые меры для выполнения требований законодательства. С другой стороны, это следует делать только в той мере, в какой это необходимо.

На практике практически любое действие обязанного учреждения будет адекватным и необходимым для достижения его цели, если оно может способствовать более эффективному анализу рисков или лучшему внедрению мер безопасности. Рекомендуется включить описание данного (сомнительного) критерия в документ анализа рисков, чтобы продемонстрировать эту адекватность.
Действия, не соответствующие этим принципам, почти исключительно ограничиваются инструментальным использованием Закона о борьбе с отмыванием денег для «извлечения» данных и информации от клиентов или уполномоченных лиц.

Ограничение по сроку хранения

GDPR указывает, что персональные данные могут храниться только в течение периода, необходимого для достижения целей, для которых эти данные обрабатываются (статья 5, раздел 1, буква e). К счастью, Закон о борьбе с отмыванием денег устанавливает для обязанных учреждений точный срок, в течение которого они должны хранить собранные документы. Это 5 лет, считая с первого дня года, следующего за годом, в котором деловые отношения с клиентом были прекращены или в котором были совершены разовые транзакции (статья 49 Закона о борьбе с отмыванием денег). Срок хранения данных должен быть указан в информационном пункте и в Регламенте о защите персональных данных.

Интересно, что сроки, установленные Генеральным инспектором по информации (ГИПИ), несколько отличаются. Хранение информации может длиться столько, сколько ГИПИ сочтет необходимым, и каждые пять лет он должен лишь пересматривать необходимость дальнейшей обработки собранной информации (статья 100 Закона о борьбе с отмыванием денег).

При внедрении системы защиты персональных данных в компании и выполнении обязательств, вытекающих из правил противодействия отмыванию денег и финансированию терроризма, крайне важно применять риск-ориентированный подход. Каждая организация должна надлежащим образом выявлять угрозы и внедрять соответствующие меры, учитывая взаимосвязь этих важнейших правил (GDPR и AML). В случае любых проверок, обязанные учреждения и организации, обрабатывающие персональные данные, будут обязаны продемонстрировать должную осмотрительность в своих действиях.

Данное уведомление носит исключительно информационный характер и не является юридической консультацией.

* Б. Макович, Соблюдение нормативных требований на предприятии, Варшава, 2011, стр. 16-17

|

|