У 2018 році набули чинності нові правила, що охоплюють дві ключові сфери: захист персональних даних та протидію відмиванню грошей і фінансуванню тероризму, які є частиною системи комплаєнсу організації. Для бізнесу комплаєнс означає організацію організації шляхом створення відповідної структури та впровадження відповідних заходів, що мінімізують ризик виникнення будь-яких порушень у компанії*.

Новий підхід, представлений органами ЄС у створенні нормативних актів у обговорюваних сферах, відповідає вищезазначеному визначенню. Ні GDPR, який застосовується безпосередньо в державах-членах, ні Закон про боротьбу з відмиванням грошей та фінансуванням тероризму (AML Act), який імплементує директиви ЄС, не пропонують готових рішень для кожної компанії, які можна упорядкувати у контрольний список та дотримуватися їх чи ні. Це видається доцільним, оскільки кожен тип бізнесу має різні характеристики, а також важко визначити конкретні рішення, які підійдуть як для мікропідприємств, так і для великих акціонерних товариств.

Наразі прийнято підхід, що ґрунтується на оцінці ризиків. Кожна організація, яка зобов'язана дотримуватися правил, повинна визначити потенційні сфери, де існує більший або менший ризик відмивання грошей, фінансування тероризму або порушення обробки персональних даних. Оцінка ризиків повинна проводитися пропорційно масштабу та типу бізнесу. Потім слід впроваджувати заходи щодо пом'якшення ризиків, процедури та інші заходи безпеки, щоб мінімізувати виявлені ризики та загрози. З одного боку, це громіздко та створює ризик неналежного впровадження правил, особливо малими підприємствами, які намагаються самостійно виконати вимоги. З іншого боку, можливо створити гнучкі та ефективні системи та процедури, які реагують на часті зміни загроз та методів захисту від них. Можливе визначення пріоритетів завдань та сфер, а також належний розподіл ресурсів, що мінімізує найбільші загрози.

Переходячи до перетину AML та GDPR, ми окреслимо кілька ключових питань та зобов'язань відповідальних установ, пов'язаних із захистом персональних даних, на основі деяких принципів обробки даних, перелічених у GDPR. На жаль, ця стаття не містить вичерпного обговорення всіх принципів та інших питань (наприклад, прав суб'єктів даних), що виникають внаслідок виконання зобов'язань згідно із Законом AML у контексті захисту персональних даних.

Багато зобов’язань установ, що відповідають Закону від 1 березня 2018 року про боротьбу з відмиванням грошей та фінансуванням тероризму, пов’язані з обробкою персональних даних. До них належать:

• Необхідність ідентифікації та перевірки особи клієнтів, уповноважених осіб та бенефіціарних власників (стаття 34, пункти 1 та 2 Закону про боротьбу з відмиванням грошей). Для належного застосування заходів безпеки навіть можливе копіювання посвідчень особи клієнтів та осіб, уповноважених діяти від їхнього імені (стаття 34, пункт 4 Закону про боротьбу з відмиванням грошей)
• Обробка всієї інформації, яку зобов'язані установи отримують від викривачів (стаття 53 Закону про боротьбу з відмиванням коштів),
• Визначення того, чи обіймає клієнт або бенефіціарний власник політично значущу посаду (ПВП).

Якщо зобов’язана установа зобов’язана вести Реєстр діяльності з обробки персональних даних (стаття 30 GDPR), вона, безумовно, повинна визначити сферу діяльності з обробки, пов’язану з протидією відмиванню грошей та фінансуванню тероризму, та вказати процеси, що здійснюються в ній. Це може включати, серед іншого, зазначені вище зобов’язання.

Основа для обробки даних

Одним із найважливіших принципів обробки даних згідно з GDPR є принцип законності (дотримання закону). Контролер може обробляти персональні дані лише на одній із підстав, перелічених у статті 6 GDPR.

У випадку діяльності зобов'язаних установ, пов'язаної із Законом про боротьбу з відмиванням коштів, це є дотриманням юридичного зобов'язання, покладеного на них. Це підстава, зазначена у статті 6(1)(c) GDPR.

Реалізацією цього принципу контролером персональних даних буде внесення відповідної підстави для обробки даних до РКДП, яку (як правило) повинні вести зобов'язані установи.

Більше того, зазначена підстава для обробки персональних даних повинна бути включена до інформаційного пункту, який зобов'язані суб'єкти надають клієнту, серед іншого, перед встановленням ділових відносин (стаття 34, пункт 5 Закону про боротьбу з відмиванням коштів).

Безпека

Ще одним принципом, що випливає з GDPR, є забезпечення конфіденційності та цілісності персональних даних, що є не що інше, як забезпечення їхньої безпеки. Стаття 32 GDPR втілює принцип, що випливає зі статті 5, розділу 1, літери f, і повторює підхід, обговорений вище. Заходи безпеки повинні бути пропорційними розміру, предмету діяльності та характеру бізнесу, а також відповідати ризику. У сфері боротьби з відмиванням коштів ризик неточності або витоку даних є високим, тому зобов'язані установи повинні проявляти належну ретельність у забезпеченні безпеки своїх даних. Прикладами таких заходів є фізичні обмеження доступу до даних, а також суб'єктивні обмеження (дозвіл на обробку даних лише в необхідних межах) та регулярне навчання співробітників.

Адекватність та обмеження мети

Наступні два принципи будуть розглянуті разом, оскільки вони взаємопов'язані. Обмеження мети та адекватність обробки даних досить важко зрозуміти в контексті боротьби з відмиванням коштів. З одного боку, суб'єкти господарювання повинні проявляти максимальну ретельність та вживати всіх необхідних заходів для виконання вимог законодавства. З іншого боку, це слід робити лише в необхідних межах.

Практично кажучи, майже будь-які дії зобов'язаної установи будуть адекватними та необхідними для досягнення її мети, якщо вони можуть сприяти ефективнішому аналізу ризиків або кращому впровадженню заходів безпеки. Рекомендується включити опис заданого (сумнівного) критерію до документа аналізу ризиків, щоб продемонструвати цю адекватність.
Дії, що не відповідають цим принципам, майже виключно обмежуються інструментальним використанням Закону про боротьбу з відмиванням коштів для «вилучення» даних та інформації від клієнтів або уповноважених осіб.

Обмеження часу зберігання

GDPR вказує, що персональні дані можуть зберігатися лише протягом періоду, необхідного для досягнення цілей, для яких дані обробляються (стаття 5, розділ 1, літера e). На щастя, Закон про боротьбу з відмиванням коштів визначає для зобов'язаних установ точний період, протягом якого вони повинні зберігати зібрані документи. Це 5 років, рахуючи з першого дня року, наступного за роком, у якому ділові відносини з клієнтом були припинені або в якому були здійснені епізодичні операції (стаття 49 Закону про боротьбу з відмиванням коштів). Термін зберігання даних має бути зазначений в інформаційному пункті та RCPD.

Цікаво, що термін для Генерального інспектора з питань інформації (GIFI) дещо відрізняється. Зберігання може тривати стільки, скільки GIFI вважає за необхідне, і кожні п'ять років він повинен лише переглядати необхідність подальшої обробки зібраної інформації (стаття 100 Закону про боротьбу з відмиванням коштів).

Під час впровадження системи захисту персональних даних у компанії та виконання зобов'язань, що випливають з нормативних актів щодо боротьби з відмиванням грошей та фінансуванням тероризму, важливо застосовувати ризик-орієнтований підхід. Кожна організація повинна належним чином виявляти загрози та вживати відповідних заходів, враховуючи взаємодію цих ключових нормативних актів (GDPR та AML). У разі будь-яких перевірок, зобов'язані установи та організації, що обробляють персональні дані, повинні будуть продемонструвати належну перевірку у своїх діях.

Це сповіщення надано лише для ознайомлення та не є юридичною консультацією.

* Б. Макович, Відповідність на підприємстві, Варшава 2011, с. 16-17

|

|