AMLR artiklar 75–78

I förra veckans del i bloggserien gick vi igenom rapporteringsskyldigheter och hur ansvariga enheter ska agera när misstankar om penningtvätt eller finansiering av terrorism uppstår. Rapportering till finansunderrättelseenheten är en central del av AMLR. För ansvariga enheter stannar dock inte ansvaret vid att identifiera och rapportera misstänkta transaktioner. Enheterna måste också kunna hantera informationsutbyte, personuppgifter och dokumentation på ett rättssäkert sätt. Det kräver tydliga processer, rätt tekniska lösningar och ofta stöd från erfarna AML-specialister.

Artiklarna 75–78 i AMLR handlar om hur ansvariga enheter får dela information med varandra, hur personuppgifter får behandlas, hur länge uppgifter ska bevaras och hur information snabbt ska kunna lämnas till behöriga myndigheter. Reglerna är detaljerade och ställer höga krav på både juridisk bedömning och praktisk efterlevnad.

Artikel 75 AMLR – Partnerskap för informationsutbyte

Artikel 75 är en tydlig reglering av så kallade partnerskap för informationsutbyte. Bestämmelsen innebär att ansvariga enheter i vissa situationer får dela information med varandra när det är absolut nödvändigt för att uppfylla skyldigheterna enligt AMLR.

Syftet med bestämmelsen är att informationsutbyte mellan ansvariga enheter, och ibland även myndigheter, ska kunna avslöja olagliga transaktioner. Det kan exempelvis handla om transaktioner med koppling till förbrott till penningtvätt, penningtvätt eller finansiering av terrorism.

Samtidigt kan informationsutbyte innebära betydande risker för integritet, sekretess och dataskydd. Informationsutbyte får endast ske när det är absolut nödvändigt för att fullgöra skyldigheterna enligt kapitel tre om åtgärder för kundkännedom, artikel 69 om rapportering av misstankar samt i enlighet med grundläggande rättigheter.

Ansvariga enheter som vill delta i ett partnerskap för informationsutbyte måste underrätta sina tillsynsmyndigheter innan partnerskapet inleds. Tillsynsmyndigheterna ska kontrollera att partnerskapet har tillräckliga förfaranden och mekanismer för att säkerställa regelefterlevnad och att en konsekvensbedömning avseende dataskydd har genomförts. Varje deltagande ansvarig enhet är fortsatt själv ansvarig för att reglerna efterlevs.

Artikel 75.3 innehåller en uttömmande lista över vilken typ av information som får delas inom ett partnerskap och begränsas till följande information:

• Uppgifter om kundens identitet och verklig huvudman.
• Information om affärsförbindelsens eller transaktionens syfte och avsedda natur samt, i tillämpliga fall, uppgifter om medlens ursprung.
• Information om kundens transaktioner.
• Information om riskfaktorer kopplade till kunden.
• Den ansvariga enhetens egna riskbedömningar av kunden.
• Information som bevarats enligt reglerna om lagring av uppgifter.
• Information om misstankar och misstänkta transaktioner.

Endast den information som faktiskt behövs för partnerskapets syfte får lämnas ut. Det innebär att information som inte är nödvändig för ändamålet inte tillåts att utbytas. För ansvariga enheter innebär detta att det krävs tydliga interna riktlinjer kring vilken information som får lämnas ut, till vem, i vilka situationer och med vilka begränsningar.

Artikel 75 innehåller också flera skyddsmekanismer som ska minska risken för felaktig användning av information. För förfarandet att byta information mellan ansvariga enheter följer även skyldigheten att följa vissa villkor, enligt artikel 75.4. Listan över villkoren är omfattande, men innehåller bland annat villkor såsom:

• Alla informationsutbyten måste dokumenteras.
• Tekniska och organisatoriska säkerhetsåtgärder införs.
• AI-genererad information endast delas om det finns tillräcklig mänsklig tillsyn.

Ansvariga enheter får inte förlita sig enbart på information från andra deltagare inom partnerskapet. Om ett företag får information från ett partnerskap om att en kund bedöms vara en högriskkund måste företaget göra en egen riskbedömning innan det fattar beslut om exempelvis avslutande av affärsförbindelse.

Villkoret är centralt ur ett rättssäkerhetsperspektiv. Det kan exempelvis gälla att en kund inte ska nekas tillgång till grundläggande finansiella tjänster enkom på grund av uppgifter från tredje part.

Fortsättningsvis fastställer artikel 75.5 att den information som en ansvarig enhet har mottagit inom ett partnerskap inte ska vidarebefordras ytterligare om exempelvis specifika myndigheter begär informationen eller om informationen lämnas till en annan ansvarig enhet i fråga om att utnyttja en annan ansvarig enhets kundkännedomsåtgärder.

Ansvariga enheter som deltar i partnerskap om informationsutbyte måste därutöver även ha interna riktlinjer och förfaranden på plats innan deltagandet inleds.

Dessa riktlinjer ska bland annat beskriva och identifiera:

• Vilken information som får delas och i vilken omfattning samt hur tillgången till information ska begränsas.
• Vilka roller och ansvar som finns inom partnerskapet.
• Vilka risksituationer som kan motivera informationsutbyte.

Tillsynsmyndigheter kan också kräva att en oberoende revision genomförs av hur partnerskapet fungerar. Detta kan bli särskilt relevant för större banker och finansiella grupper där informationsutbytet är omfattande.

Artikel 76 AMLR – Dataskydd och personuppgiftsbehandling

Artikel 76 behandlar vilka personuppgifter ansvariga enheter får behandla inom ramen för sitt AML-arbete. Utgångspunkten är att behandling av känsliga personuppgifter enligt GDPR normalt är förbjuden. AMLR gör dock undantag i de fall när det är absolut nödvändigt för att förebygga penningtvätt och finansiering av terrorism.

Det innebär att ansvariga enheter i vissa fall får behandla särskilda kategorier av personuppgifter enligt artikel 9 GDPR och uppgifter om brottmålsdomar och brott enligt artikel 10 GDPR.

Artikel 76.2 AMLR ställer dock upp tydliga krav för att behandling av uppgifter som omfattas av artikel 9 i GDPR ska vara tillåten:

• Kunder måste informeras om att sådana uppgifter kan behandlas.
• Uppgifterna måste vara korrekta och komma från tillförlitliga källor.
• Behandlingen av uppgifter får inte leda till partiska eller diskriminerande beslut.
• Hög säkerhet och konfidentialitet måste säkerställas.

När det gäller uppgifter om brottslighet enligt artikel 10 GDPR ställs ytterligare krav utöver kraven enligt artikel 76.2 AMLR:

• Personuppgifterna enligt artikel 10 GDPR ska röra förbrott till penningtvätt, penningtvätt eller terrorismfinansiering.
• Ansvariga enheter måste ha förfaranden som möjliggör att de ska kunna skilja mellan misstankar, pågående utredningar, rättsliga förfaranden och fällande domar. AMLR lyfter särskilt fram oskuldspresumtionen, rätten till en rättvis rättegång och rätten till försvar.

En viktig bestämmelse i artikel 76 är att personuppgifter som behandlas enligt AMLR endast får användas för att förebygga penningtvätt och finansiering av terrorism. Det är alltså förbjudet att använda AML-insamlad information för kommersiella syften, exempelvis marknadsföring, kundsegmentering eller försäljningsanalyser.

Artikel 76 öppnar även för att ansvariga enheter får använda automatiserade processer, profilering och AI-system i AML-arbetet. Förordningen ställer dock tydliga krav på hur detta får ske:

• Endast uppgifter som samlats in enligt kundkännedomsåtgärderna i AMLR får användas.
• Beslut måste vara föremål för meningsfullt mänskligt ingripande.
• Kunden ska kunna få en förklaring av beslutet och ska kunna överklaga beslutet.

Det innebär att ett företag inte får låta ett AI-system ensamt avgöra att en kund ska nekas konto, få sin affärsförbindelse avslutad eller bli föremål för skärpta kundkännedomsåtgärder.

Artikel 77 AMLR – Lagring av uppgifter

Artikel 77 innehåller detaljerade regler om vilka handlingar och uppgifter som ansvariga enheter måste bevara. Bestämmelsen omfattar bland annat skyldigheten att bevara:

• Kopior av kundkännedomsdokumentation.
• Dokumentation av misstankebedömningar som gjorts enligt artikel 69.2 AMLR.
• Kopior av rapporter om misstänkta transaktioner.
• Dokumentation som identifierar transaktioner.
• Information från partnerskap för informationsutbyte enligt artikel 75.

AMLR kräver vidare att dessa uppgifter inte ska kunna redigeras i efterhand.

Ansvariga enheter får i vissa fall välja att spara hänvisningar till uppgifter i stället för kopior av själva uppgifterna. Detta undantag från artikel 77.1 är dock bara tillåtet om uppgifterna snabbt kan lämnas till myndigheter och om det finns skydd mot att uppgifterna ändras.

Utgångspunkten enligt artikel 77.3 är att uppgifter ska bevaras i fem år från det att affärsförbindelsen avslutas, transaktionen genomförs eller en affärsförbindelse eller transaktion vägrades. Efter dessa fem år ska personuppgifterna som huvudregel raderas.

Behöriga myndigheter kan dock i enskilda fall kräva att uppgifter bevaras längre om det är nödvändigt för att förebygga, upptäcka, utreda eller lagföra penningtvätt eller finansiering av terrorism. Den lagringstiden som sträcker sig utöver det vanliga får som längst uppgå till ytterligare fem år.

För ansvariga enheter innebär detta att det behövs tydliga rutiner och att uppgifter får inte sparas längre än nödvändigt. Felaktigt bevarande kan leda till att viktig information saknas vid en myndighetsgranskning. Samtidigt kan alltför lång lagrinf innebära överträdelser av GDPR.

Artikel 78 AMLR – Snabb tillgång till information

Artikel 78 ställer krav på att ansvariga enheter ska kunna besvara förfrågningar från finansunderrättelseenheten och andra behöriga myndigheter snabbt och fullständigt.

Ansvariga enheter måste därför ha system som gör det möjligt att identifiera bland annat om en viss person är eller har varit kund samt vilken typ av affärsförbindelse som funnits och naturen av affärsförbindelsen. Förfrågningar ska hanteras genom säkra kanaler och på ett sätt som säkerställer sekretess.

Det innebär att ansvariga enheter behöver ha både tekniska lösningar och interna rutiner för hur förfrågningar tas emot, granskas, dokumenteras och besvaras.

Praktiska konsekvenser för företag

Artiklarna 75–78 innebär att AML-arbetet blir mer integrerat med frågor om dataskydd, informationssäkerhet och intern styrning. Ansvariga enheter behöver inte bara identifiera risker för penningtvätt. De behöver också säkerställa att rätt information delas, att känsliga uppgifter hanteras korrekt och att dokumentation finns tillgänglig när myndigheter begär den.

För många verksamheter blir det också viktigt att göra en översyn av befintliga system för lagring, kundkännedom och myndighetsrapportering. På Morling Consulting hjälper våra juristkonsulter specialiserade på penningtvättsregelverket företag att utforma processer för informationsutbyte, dataskydd och dokumentation. Vi bistår även ansvariga enheter med stöd från erfarna AML-specialister för att anpassa interna rutiner till regelverket.