Know Your Customer a RODO: Weryfikacja klienta AML zgodna z ochroną danych osobowych

Współczesne realia gospodarcze charakteryzują się wzrastającą koniecznością implementacji rygorystycznych procedur weryfikacji tożsamości klientów. Procedury te stanowią istotny element zabezpieczający zarówno dla przedsiębiorstw, jak i dla samych klientów, mając na celu przeciwdziałanie nadużyciom finansowym i zapewnienie bezpieczeństwa transakcji.

Równocześnie, te czynności są ściśle związane z przetwarzaniem danych osobowych, co powoduje, że podlegają one regulacjom dotyczącym ochrony danych osobowych, w tym Ogólnemu Rozporządzeniu o Ochronie Danych (RODO). W obliczu tych współistniejących wymogów, kluczowe staje się pytanie o zapewnienie zgodności procesów weryfikacji klienta w ramach przeciwdziałania praniu pieniędzy (AML) z zasadami ochrony danych osobowych.

Celem niniejszego artykułu jest analiza sposobu, w jaki procedury weryfikacji tożsamości klienta w kontekście przepisów AML wpisują się w ramy RODO, a także przedstawienie kluczowych aspektów, na które przedsiębiorcy powinni zwrócić uwagę, aby działać zgodnie z prawem i budować zaufanie w relacjach z klientami.

Czym jest KYC w kontekście AML?

Know Your Customer (KYC), w Polsce znane również jako Poznaj Swojego Klienta (PSK), stanowi procedurę należytej staranności. Zgodnie z definicją, procedura ta wymaga od instytucji finansowych i innych prawnie określonych podmiotów zidentyfikowania swoich klientów oraz uzyskania odpowiednich, istotnych informacji niezbędnych do prowadzenia z nimi relacji biznesowych.

Głównym celem procedur KYC/AML jest zapobieganie praniu pieniędzy (AML) i finansowaniu terroryzmu (CFT). Procedury te służą także wykrywaniu i zapobieganiu oszustwom finansowym oraz kradzieży tożsamości. Stosowanie polityki KYC pozwala ustalić wiarygodność klienta i jego profil transakcyjny.

Obowiązek stosowania procedur AML/KYC spoczywa na instytucjach obowiązanych, do których zalicza się m.in. banki i inne instytucje finansowe, a także inne podmioty wskazane w ustawie o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu.

Procedura KYC powinna być co do zasady kilkuetapowa i obejmuje następujące kluczowe działania:

• Pozyskiwanie danych klienta,
• Weryfikacja danych klienta,
• Identyfikacja i weryfikacja beneficjenta rzeczywistego,
• Ocena stosunków gospodarczych, celu i zamierzonego charakter,
• Monitorowanie transakcji i stosunków gospodarczych:.

Zebrane dane i dokumenty należy odpowiednio zarchiwizować i przechowywać w bezpiecznym miejscu. Dokumentowanie zastosowanych środków bezpieczeństwa finansowego i wyników analizy transakcji jest wymagane na wypadek kontroli.

Know Your Customer a RODO: Jak pogodzić obowiązki AML z ochroną danych osobowych?

Proces weryfikacji tożsamości klienta w ramach KYC/AML nierozerwalnie wiąże się z przetwarzaniem danych osobowych, co podlega przepisom RODO. RODO, obowiązujące od 25 maja 2018 r., nakłada na administratorów danych liczne obowiązki w zakresie przetwarzania danych osobowych, w tym wymóg przejrzystości. Polska ustawa AML również nawiązuje do obowiązków RODO w zakresie przetwarzania danych.

Przetwarzanie danych osobowych w celu wypełnienia obowiązków wynikających z przepisów AML/KYC opiera się na podstawie prawnej wynikającej z obowiązku prawnego ciążącego na administratorze danych, zgodnie z Art. 6 ust. 1 lit. c RODO. Instytucja obowiązana jest zobowiązana przetwarzać dane osobowe niezbędne do wypełnienia tego obowiązku. Obowiązek ten wynika wprost z ustawy o przeciwdziałaniu praniu pieniędzy i finansowaniu terroryzmu.

Kluczowe zasady RODO w procesie weryfikacji tożsamości klienta

Aby proces weryfikacji tożsamości był zgodny z RODO, instytucje obowiązane muszą przestrzegać kluczowych zasad dotyczących przetwarzania danych osobowych:

• Minimalizacja danych: Zgodnie z tą zasadą, należy przetwarzać wyłącznie te dane osobowe, które są niezbędne do osiągnięcia celu przetwarzania, czyli w tym przypadku do potwierdzenia tożsamości klienta i wypełnienia obowiązków AML. Zakres zbieranych danych jest w dużej mierze określony przepisami prawa, np. artykułami 33-35 (oraz 36) ustawy AML. Należy unikać zbierania nadmiarowych informacji, które nie są potrzebne do weryfikacji tożsamości w kontekście AML.
• Bezpieczeństwo danych: Instytucje obowiązane muszą wdrożyć odpowiednie środki techniczne i organizacyjne w celu ochrony zbieranych danych osobowych przed nieuprawnionym dostępem, utratą, zniszczeniem czy nielegalnym przetwarzaniem. Dane powinny być przechowywane w bezpiecznych bazach danych, a środki bezpieczeństwa mogą obejmować szyfrowanie danych, ochronę dostępu do systemów (np. hasła, autoryzacja wieloskładnikowa) oraz regularne audyty bezpieczeństwa.
• Przejrzystość i obowiązek informacyjny: Proces weryfikacji tożsamości musi być przejrzysty dla klientów. Klienci powinni zostać poinformowani o tym, w jaki sposób ich dane będą wykorzystywane podczas weryfikacji, w jakim celu są przetwarzane oraz jak długo będą przechowywane. Obowiązek informacyjny wobec klienta przed nawiązaniem stosunków gospodarczych wynika wprost z Art. 34 ust. 5 ustawy AML i obejmuje informację o przetwarzaniu danych osobowych, w szczególności o obowiązkach instytucji obowiązanej wynikających z ustawy. Inspektor Ochrony Danych (IOD) ma obowiązek udzielać klientom informacji o przetwarzaniu ich danych.
• Ograniczenie przechowywania: Dane osobowe zebrane w ramach procedur KYC powinny być przechowywane przez okres niezbędny do realizacji celów AML, a następnie usunięte lub zanonimizowane. Ustawa AML określa terminy przechowywania danych, np. 5 lat od zakończenia stosunków gospodarczych. Regularne usuwanie zbędnych danych jest wymagane.
• Prawa osób, których dane dotyczą: Klienci, jako osoby, których dane są przetwarzane, mają określone prawa wynikające z RODO, w tym prawo dostępu do swoich danych oraz ich poprawiania. Umożliwienie klientom korzystania z tych praw jest nie tylko obowiązkiem prawnym, ale także przyczynia się do budowania zaufania. W przypadku sprzeczności między prawem do usunięcia a wymogiem retencji ustawowej (AML), instytucja może odmówić usunięcia danych do zakończenia okresu przechowywania określonego przepisami AML 

Jakie dane są niezbędne do weryfikacji tożsamości zgodnie z zasadą minimalizacji?

Aby skutecznie zweryfikować tożsamość, niezbędne jest zebranie określonych informacji pozwalających potwierdzić, kim jest dana osoba. Przykładowe dane to:

• Dokumenty tożsamości (np. dowód osobisty, paszport).
• Dane biometryczne (np. odciski palców, skan twarzy).
• Dane kontaktowe (np. numer telefonu, adres e-mail). Zbierane dane muszą być adekwatne, stosowne i ograniczone do tego, co jest niezbędne do realizacji celu weryfikacji. Nie można wymagać danych niezwiązanych z transakcją lub usługą, np. informacji o stanie zdrowia.

Sposoby minimalizacji ryzyk i zapewnienia zgodności z RODO w procesach KYC

Zapewnienie zgodności procedur KYC/AML z RODO wymaga świadomego i proaktywnego działania ze strony przedsiębiorców. Kluczowe działania obejmują:

• Dokładna ocena ryzyka: Należy zidentyfikować i ocenić ryzyka związane z przetwarzaniem danych osobowych w procesie weryfikacji tożsamości. Na tej podstawie powinno się stworzyć plan działań mających na celu minimalizację zidentyfikowanych zagrożeń.
• Stosowanie adekwatnych metod weryfikacji: Wybór metod weryfikacji powinien uwzględniać poziom ryzyka klienta i zapewniać odpowiedni stopień pewności co do tożsamości, przy jednoczesnym przestrzeganiu zasad RODO. W wewnętrznych procedurach należy jasno wskazać, jakie dokumenty są wymagane i kiedy, w zależności od konkretnego poziomu ryzyka.
• Regularne przeglądy procedur: Procedury weryfikacji tożsamości powinny być regularnie przeglądane i dostosowywane do zmieniających się przepisów prawa (zarówno AML, jak i RODO) oraz do rozwoju technologii.
• Szkolenie personelu: Kluczowe jest szkolenie pracowników zajmujących się weryfikacją tożsamości w zakresie zasad RODO, bezpieczeństwa danych osobowych oraz wewnętrznych procedur AML/KYC. Dobrze przeszkolony personel jest fundamentalny dla prawidłowego wdrożenia zasad ochrony danych.
• Opracowanie i aktualizacja polityk: Należy stworzyć lub zaktualizować wewnętrzne polityki dotyczące ochrony danych osobowych. Polityki te powinny szczegółowo opisywać sposób zbierania, przetwarzania i przechowywania danych w kontekście identyfikacji klientów.
• Wykorzystanie technologii: Procesy KYC/AML można usprawnić, wykorzystując profesjonalne narzędzia analityczne i systemy AML. Systemy te mogą pomagać w sprawdzaniu klientów na listach sankcyjnych, w rejestrach (np. CRBR) czy na listach PEP. Automatyzacja może zwiększyć zgodność z prawem, bezpieczeństwo i efektywność.
• Bieżące monitorowanie i aktualizacja: Proces monitorowania danych klienta powinien być ciągły, a wszelkie zmiany powinny być dokumentowane i włączane do dokumentacji klienta.

Wybierając zewnętrznych dostawców usług weryfikacji tożsamości, należy upewnić się, że również przestrzegają oni zasad RODO, aby zapewnić bezpieczeństwo danych przetwarzanych przez strony trzecie.

Konsekwencje niespełniania wymogów AML

Ignorowanie lub nieprawidłowe stosowanie przepisów dotyczących przetwarzania danych osobowych w procesach KYC/AML może prowadzić do poważnych konsekwencji dla instytucji obowiązanych:

• Nałożenie kar finansowych: Organy nadzorcze, w tym Prezes Urzędu Ochrony Danych Osobowych (UODO) oraz organy nadzorcze AML (jak GIIF, KNF), mogą nakładać wysokie kary finansowe za naruszenia RODO i przepisów AML. Obserwuje się rosnącą aktywność organów nadzoru w egzekwowaniu tych przepisów.
• Odpowiedzialność kadry zarządzającej: Członkowie zarządu lub inne osoby odpowiedzialne za naruszenia mogą ponosić osobistą odpowiedzialność finansową, a nawet karną.
• Utrata reputacji i zaufania klientów: Naruszenia w zakresie ochrony danych mogą prowadzić do utraty zaufania ze strony klientów i negatywnie wpływać na reputację firmy.
• Trudności w relacjach biznesowych: Niespełnianie wymogów AML/RODO może skutkować trudnościami w nawiązywaniu i utrzymywaniu relacji z partnerami biznesowymi i instytucjami finansowymi.
• Zwiększone koszty: Konieczność naprawy i usprawnienia systemów i procedur AML/RODO po stwierdzonych naruszeniach generuje dodatkowe, często wysokie koszty.

Podsumowanie

Weryfikacja tożsamości klienta w ramach procedur KYC jest niezbędnym elementem systemu przeciwdziałania praniu pieniędzy i finansowaniu terroryzmu. Jednocześnie, ze względu na przetwarzanie danych osobowych, musi ona odbywać się w pełnej zgodności z zasadami RODO.

Przestrzeganie kluczowych zasad RODO, takich jak minimalizacja danych, bezpieczeństwo przetwarzania, przejrzystość informowania klientów oraz ograniczenie czasu przechowywania danych, jest fundamentalne. Implementacja adekwatnych procedur wewnętrznych, regularne szkolenia personelu oraz wykorzystanie odpowiednich narzędzi technologicznych wspierają zgodność z przepisami i minimalizację ryzyk.

Integracja wymogów RODO w procesy KYC/AML jest nie tylko obowiązkiem prawnym, wynikającym m.in. z Art. 6 ust. 1 lit. c RODO i przepisów ustawy AML, ale także elementem budowania bezpiecznego środowiska biznesowego opartego na zaufaniu i poszanowaniu praw osób, których dane dotyczą. Samo KYC nie wystarczy do pełnego spełnienia obowiązków AML; konieczne jest wdrożenie szerszego zestawu procedur.

Słownik kluczowych terminów

• RODO (Ogólne Rozporządzenie o Ochronie Danych): Unijne rozporządzenie regulujące przetwarzanie danych osobowych, obowiązujące od 25 maja 2018 r. Nakłada na administratorów danych liczne obowiązki w zakresie przetwarzania danych, w tym wymóg przejrzystości i bezpieczeństwa.
• AML (Przeciwdziałanie Praniu Pieniędzy): Zespół przepisów i procedur mających na celu zapobieganie legalizacji dochodów pochodzących z nielegalnych źródeł.
• CFT (Finansowanie Terroryzmu): Działania mające na celu gromadzenie i przekazywanie środków finansowych na rzecz organizacji terrorystycznych lub na cele związane z terroryzmem. Procedury AML często łączą się z procedurami CFT (AML/CTF).
• KYC (Know Your Customer / Poznaj Swojego Klienta): Procedura należytej staranności, wymagana od prawnie określonych podmiotów, polegająca na identyfikacji klienta, weryfikacji jego tożsamości, zrozumieniu jego profilu transakcyjnego i ocenie ryzyka związanego ze współpracą. Jest kluczowym elementem procedur AML.
• Instytucje obowiązane: Podmioty, na których spoczywa prawny obowiązek stosowania procedur AML/KYC, np. banki, inne instytucje finansowe oraz inne podmioty wskazane w ustawie o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu.
• Minimalizacja danych: Zasada RODO nakazująca, aby przetwarzane były wyłącznie te dane osobowe, które są niezbędne do osiągnięcia określonego celu przetwarzania. W kontekście KYC oznacza zbieranie tylko danych koniecznych do weryfikacji tożsamości i wypełnienia obowiązków AML.
• Przejrzystość (RODO): Zasada RODO wymagająca, aby przetwarzanie danych osobowych było zrozumiałe dla osoby, której dane dotyczą. W kontekście KYC oznacza informowanie klienta o celu, podstawie prawnej i sposobie przetwarzania jego danych.
• Obowiązek informacyjny: Wymóg prawny (wynikający z RODO i ustawy AML) nakładający na administratora danych obowiązek poinformowania osoby, której dane dotyczą, o szczegółach przetwarzania jej danych.
• Ograniczenie przechowywania: Zasada RODO i wymóg ustawy AML nakazujący przechowywanie danych osobowych tylko przez okres niezbędny do realizacji celów przetwarzania. W kontekście KYC/AML dane są przechowywane przez określony czas (np. 5 lat) po zakończeniu stosunków gospodarczych.
• Beneficjent rzeczywisty: Osoba fizyczna lub osoby fizyczne sprawujące bezpośrednią lub pośrednią kontrolę nad klientem (np. spółką) lub czerpiące z niego korzyści. Procedury KYC często obejmują identyfikację i weryfikację beneficjenta rzeczywistego.
• Podstawa prawna przetwarzania danych (RODO): Legalny argument zezwalający na przetwarzanie danych osobowych. W kontekście KYC/AML często jest to obowiązek prawny wynikający z przepisów AML (Art. 6 ust. 1 lit. c RODO).
• Uzależnienie od celu (Purpose Limitation): Zasada RODO (choć termin nie jest wprost użyty w źródle, zasada jest opisana) oznaczająca, że dane osobowe mogą być przetwarzane wyłącznie w konkretnych, jasno określonych i prawnie uzasadnionych celach, dla których zostały zebrane.
• Privacy by Design (Ochrona danych w fazie projektowania): Zasada nakazująca uwzględnianie kwestii prywatności i ochrony danych na wczesnym etapie projektowania systemów i procedur przetwarzania danych.
• Privacy by Default (Prywatność domyślna): Zasada nakazująca, aby domyślne ustawienia systemów i procedur maksymalnie chroniły prywatność osób, których dane dotyczą, np. poprzez domyślne zbieranie minimalnej ilości danych.
• Inspektor Ochrony Danych (IOD): Osoba wyznaczona w organizacji do monitorowania zgodności z przepisami o ochronie danych osobowych i udzielania informacji osobom, których dane dotyczą.
• CRBR (Centralny Rejestr Beneficjentów Rzeczywistych): Publiczny rejestr zawierający informacje o beneficjentach rzeczywistych podmiotów prawnych w Polsce. Systemy AML często integrują się z CRBR w celu weryfikacji beneficjentów rzeczywistych.
• PEP (Politically Exposed Person / Osoba zajmująca eksponowane stanowisko polityczne): Osoba, która pełni lub pełniła znaczące funkcje publiczne, co wiąże się z podwyższonym ryzykiem prania pieniędzy lub finansowania terroryzmu. Procedury KYC obejmują weryfikację, czy klient jest PEP.

Najczęściej zadawane pytania – Know Your Customer a RODO