Informacje dotyczące przetwarzania danych osobowych w ramach europejskiego systemu raportowania w zakresie przeciwdziałania praniu pieniędzy i finansowaniu terroryzmu – EuReCA
Komisja Nadzoru Finansowego, dalej: „KNF”, jest uczestnikiem europejskiego systemu raportowania w zakresie przeciwdziałania praniu pieniędzy oraz finansowaniu terroryzmu, utworzonego na podstawie przepisów art. 9a ust. 1-3 rozporządzenia Parlamentu Europejskiego i Rady (UE) nr 1093/2010 z dnia 24 listopada 2010 r. w sprawie ustanowienia Europejskiego Urzędu Nadzoru (Europejskiego Urzędu Nadzoru Bankowego), zmiany decyzji nr 716/2009/WE oraz uchylenia decyzji Komisji 2009/78/WE1, dalej: „rozporządzenie 1093/2010”.
W ramach uczestnictwa w tym systemie, KNF przekazuje dane osobowe pozyskane podczas prowadzonych czynności nadzorczych w zakresie przeciwdziałania praniu pieniędzy oraz finansowaniu terroryzmu, w tym czynności kontrolnych oraz wykorzystywanych w ramach prowadzonych postępowań administracyjnych, do centralnej bazy danych dotyczących przeciwdziałania praniu pieniędzy oraz finansowaniu terroryzmu, gromadzonych zgodnie z art. 9a ust. 1 lit. a) rozporządzenia 1093/2010, dalej: „centralna baza danych EuReCA”.
Dane przekazywane do centralnej bazy danych EuReCA przekazywane są na zasadach określonych w rozporządzeniu delegowanym Komisji (UE) 2024/595 z dnia 9 listopada 2023 r. uzupełniającym rozporządzenie Parlamentu Europejskiego i Rady (UE) nr 1093/2010 w odniesieniu do regulacyjnych standardów technicznych określających istotność niedociągnięć, rodzaj zbieranych informacji, praktyczne wdrożenie zbierania informacji oraz analizę i rozpowszechnianie informacji zawartych w centralnej bazie danych dotyczących przeciwdziałania praniu pieniędzy i finansowaniu terroryzmu (AML/CFT), o której mowa w art. 9a ust. 2 tego rozporządzenia2, dalej: „rozporządzenie 2024/595”.
Centralna baza danych EuReCA została ustanowiona i jest zarządzana przez Europejski Urząd Nadzoru Bankowego (dalej: „EBA”) zgodnie z art. 9a ust. 2 rozporządzenia 1093/2010.
Ponadto, na podstawie art. 106 ust. 1 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2024/1620 z dnia 31 maja 2024 r. w sprawie ustanowienia Urzędu ds. Przeciwdziałania Praniu Pieniędzy i Finansowaniu Terroryzmu oraz zmiany rozporządzeń (UE) nr 1093/2010, (UE) nr 1094/2010 i (UE) nr 1095/2010 (dalej: „rozporządzenie 2024/1620”), EBA zawarł 7 sierpnia 2025 r. dwustronną umowę z Urzędem ds. Przeciwdziałania Praniu Pieniędzy i Finansowaniu Terroryzmu („AMLA”) w sprawie dostępu do centralnej bazy danych EuReCA, a także finansowania tej bazy i wspólnego zarządzania nią.
EUNB i AMLA zawarły również umowę o przetwarzaniu danych zgodnie z obowiązkami określonymi w art. 29 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych)3 , dalej jako „RODO”.
KNF jako organ zgłaszający określony w art. 9a ust. 1 lit. a) rozporządzenia 1093/2010 jest współadministratorem danych osobowych przetwarzanych na potrzeby europejskiego systemu raportowania w zakresie przeciwdziałania praniu pieniędzy oraz finansowaniu terroryzmu. Dane przekazywane przez KNF są gromadzone i utrzymywane w centralnej bazie danych EuReCA.
W ramach realizacji obowiązku, o którym mowa w art. 26 ust. 2 RODO, przekazujemy zasadniczą treść uzgodnień pomiędzy współadministratorami oraz informacje dotyczące przetwarzania danych osobowych w ramach centralnej bazy danych EuReCA.
Informacje o innych współadministratorach i istocie współadministrowania danymi
Przetwarzanie obejmuje wspólne przetwarzanie z krajowymi i unijnymi organami zgłaszającymi określonymi w art. 9a ust. 1 lit. a) rozporządzenia 1093/2010, tj. Europejskim Urzędem Nadzoru Giełd i Papierów Wartościowych („ESMA”), Europejskim Urzędem Nadzoru Ubezpieczeń i Pracowniczych Planów Emerytalnych („EIOPA”), a także EBA i AMLA, w odniesieniu do danych osobowych określonych w załączniku II do rozporządzenia 2024/595.
Uzgodnienia dotyczące współadministrowania danymi osobowymi określają poszczególne obowiązki stron będących współadministratorami w zakresie przetwarzania danych osobowych w ramach centralnej bazy danych EuReCA. Uzgodnienia te dotyczą wyłącznie przetwarzania danych osobowych przekazywanych przez strony do centralnej bazy danych EuReCA lub pobieranych z tej bazy.
Strony muszą zapewnić sobie wzajemną pomoc w udzielaniu odpowiedzi na zapytania osób, których dane dotyczą, dotyczące danych osobowych przetwarzanych w ramach centralnej bazy danych EuReCA.
W przypadku, gdy strona inna niż AMLA otrzyma takie zapytanie od osoby, której danej dotyczą, ma obowiązek niezwłocznie przekazać je (w całości lub w części dotyczącej danych osobowych przetwarzanych za pomocą centralnej bazy danych EuReCA) na adres poczty elektronicznej AMLA: EuReCa@amla.europa.eu.
W przypadku zapytań kierowanych przez osoby, których dane zgromadzone w centralnie bazie danych EuReCA dotyczą, AMLA odpowiada za rozpatrzenie takich zapytań z pomocą organu zgłaszającego, który przekazał przedmiotowe dane osobowe oraz z każdym innym organem, który otrzymał niektóre lub wszystkie te dane osobowe z centralnej bazy danych EuReCA.
Strony muszą współpracować w przypadku każdego naruszenia ochrony danych osobowych mającego wpływ na centralną bazę danych EuReCA oraz jeżeli zajdzie taka potrzeba powiadomić AMLA, stosowne organy ds. ochrony danych osobowych i osoby, których dane dotyczą.
Pełna treść uzgodnień dotyczących współadministrowania danymi osobowymi, w języku angielskim, znajduje się na stronie internetowej AMLA.
Ponadto oświadczenie AMLA o ochronie prywatności, w języku angielskim, znajdą Państwo tu.
Informacje o podmiotach przetwarzających
Konsorcjum Atos – Cosmote Global Solutions N.V.
Cosmote Global Solutions N.V. – Avenue des Arts 56, Brussels, Belgium; Atos Luxembourg – 12 rue du Château d’Eau, Leudelange, Luxembourg
Jakie dane osobowe w ramach bazy EuReCA są przetwarzane, w jakim celu, kto może mieć do nich dostęp i jak długo są przechowywane?
Centralna baza danych EuReCA gromadzi od organów zgłaszających informacje związane z przeciwdziałaniem praniu pieniędzy oraz finansowaniu terroryzmu. Identyfikacja osób fizycznych nie jest głównym celem centralnej bazy danych EuReCA. Dane osobowe osób fizycznych są przekazywane przez europejskie organy zgłaszające i przetwarzane w celu wykrywania i analizowania istotnych niedociągnięć dotyczących przestrzegania wymogów z zakresu przeciwdziałania praniu pieniędzy oraz finansowaniu terroryzmu, w ramach sprawowanego nadzoru nad działalnością podmiotów finansowych oraz podatności i ryzyk związanych z praniem pieniędzy i finansowaniem terroryzmu w sektorze finansowym w sytuacji podejrzenia, że te osoby fizyczne są powiązane z tymi istotnymi niedociągnięciami.
Dane osobowe mogą być podawane w określonych polach w centralnej bazie danych EuReCA, gdy dana osoba fizyczna jest bezpośrednio powiązana ze stwierdzonym istotnym niedociągnięciem. Dane niezbędne do zidentyfikowania właściwej osoby mogą być gromadzone w uporządkowanych polach (imię, nazwisko, data urodzenia, państwo rezydencji podatkowej, obywatelstwo). Kategorie osób i zakres danych osobowych są szczegółowo określone w załączniku II do rozporządzenia 2024/595.
Zakres przetwarzanych danych osobowych może obejmować:
a) w stosunku do klienta lub beneficjenta rzeczywistego:
- imię, nazwisko, data urodzenia, państwo rezydencji podatkowej, obywatelstwo;
- wskazanie, czy klient lub beneficjent rzeczywisty jest lub był również członkiem organu zarządzającego lub osobą pełniącą najważniejsze funkcje w podmiocie sektora finansowego lub oddziale;
- wskazanie, czy klient lub beneficjent rzeczywisty posiada lub posiadał – bezpośrednio lub pośrednio – akcje lub udziały w podmiocie sektora finansowego lub w oddziale;
-wskazanie czy podmiot sektora finansowego, oddział, agent lub dystrybutor uznają danego klienta za „klienta wysokiego ryzyka”;
b) w stosunku do członka organu zarządzającego lub osoby pełniącej najważniejsze funkcje:
- imię, nazwisko, data urodzenia, państwo rezydencji podatkowej, obywatelstwo;
- funkcja w podmiocie sektora finansowego lub w oddziale;
c) powody, dla których organ zgłaszający uważa, że dana osoba fizyczna wydaje się powiązana z istotnym niedociągnięciem.
Dane osobowe są analizowane i udostępniane zgodnie z zasadą „wiedzy koniecznej” i zasadą poufności organom zgłaszającym oraz wyznaczonym organom wskazanym w art. 1 rozporządzenia 2024/595 na poziomie krajowym i unijnym na potrzeby sprawowanego przez nie nadzoru (art. 9a ust. 2-3 rozporządzenia 1093/2010).
Centralna baza danych EuReCA funkcjonuje w szerszym kontekście ścisłej współpracy między AMLA, EBA i organami zgłaszającymi na poziomie krajowym i unijnym. W tym kontekście, w indywidualnych przypadkach dane osobowe mogą zostać również udostępnione przez AMLA organom zgłaszającym, jak również EIOPA, ESMA, krajowym organom sądowym, Prokuraturze Europejskiej, krajowym jednostkom analityki finansowej, Europejskiemu Bankowi Centralnemu lub Jednolitej Radzie ds. Restrukturyzacji i Uporządkowanej Likwidacji.Dane osobowe są również dostępne dla pracowników AMLA oraz EBA zarządzających centralną bazą danych EuReCA oraz mogą być udostępniane osobom zapewniającym wsparcie informatyczne.
Jak określono w art. 14 rozporządzenia 2024/595, dane osobowe zgromadzone w centralnej bazie danych EuReCA będą przechowywane w sposób umożliwiający identyfikacje osób, których dotyczą przez okres maksymalnie 10 lat od momentu ich zebrania przez AMLA lub EBA, a po upływie tego okresu zostaną usunięte. W indywidualnych przypadkach, na podstawie corocznej oceny ich niezbędności dane osobowe będą mogły zostać usunięte przed końcem tego maksymalnego okresu.
Dlaczego i na jakiej podstawie prawnej przetwarzamy Państwa dane osobowe?
Dane osobowe są przetwarzane przez KNF w oparciu o przesłankę, o której mowa w art. 6 ust. 1 lit. e) RODO, w celu podejmowania działań służących prawidłowemu funkcjonowaniu rynku finansowego na podstawie art. 4 ust. 1 pkt 2 ustawy z dnia 21 lipca 2006 r. o nadzorze nad rynkiem finansowym w związku z art. 9a rozporządzenia 1093/2010. Dane osobowe są przetwarzane przez AMLA i EBA w celu umożliwienia tym organom wypełniania obowiązku prawnego, o którym mowa w art. 9a ust. 1-3 rozporządzenia 1093/2010 oraz art. 106 ust. 1 rozporządzenia 2024/1620. Rozporządzenie 2024/595 zawiera szczegóły dotyczące wykonywania tych obowiązków.
Czy przetwarzanie Państwa danych osobowych obejmuje ich przekazywanie poza terytorium Europejskiego Obszaru Gospodarczego?
Państwa dane osobowe są przetwarzane na terytorium Europejskiego Obszaru Gospodarczego i nie będą przekazywane odbiorcom spoza tego terytorium.
Jakie prawa przysługują Państwu w związku z przetwarzaniem Państwa danych osobowych?
Osobie, której dane osobowe są przetwarzane, przysługują następujące prawa:
a) prawo dostępu do danych osobowych – mają Państwo prawo dostępu do swoich danych osobowych oraz stosownych informacji dotyczących sposobu, w jaki są one wykorzystywane;
b) prawo do sprostowania danych osobowych – mają Państwo prawo do sprostowania swoich danych osobowych, w przypadku ich nieprawidłowości lub niekompletności;
c) prawo do usunięcia danych osobowych – pod pewnymi warunkami mają Państwo prawo do żądania usunięcia Państwa danych osobowych;
d) prawo sprzeciwu wobec przetwarzania danych osobowych – mają Państwo prawo do sprzeciwu wobec przetwarzania Państwa danych osobowych z przyczyn związanych z Państwa szczególną sytuacją; jeśli wniosą Państwo taki sprzeciw, przetwarzanie Państwa danych osobowych może być kontynuowane wyłącznie w przypadku, gdy przetwarzanie danych ma nadrzędny charakter wobec Państwa interesów lub podstawowych praw i wolności lub gdy przetwarzanie jest niezbędne do ustalenia, dochodzenia lub obrony roszczeń;
e) prawo do ograniczenia przetwarzania danych osobowych – pod pewnymi warunkami mają Państwo prawo zażądać od nas ograniczenia wykorzystywania Państwa danych osobowych lub natychmiastowego wstrzymania przetwarzania danych.
W przypadku skorzystania ze swoich praw, mogą Państwo przesłać żądanie drogą pocztową w zabezpieczonej kopercie lub pocztą elektroniczną na dane kontaktowe podane poniżej.
Informacja o prawie do wniesienia skargi
Jeśli mają Państwo uwagi lub wątpliwości dotyczące sposobu, w jaki są przetwarzane Państwa dane osobowe, zachęcamy do kontaktu z Inspektorem Ochrony Danych KNF lub Inspektorem Ochrony Danych AMLA (zob. poniższa sekcja zawierająca dane kontaktowe).
W każdym przypadku mają Państwo prawo do wniesienia skargi do Europejskiego Inspektora Ochrony Danych właściwego dla AMLA lub do Prezesa Urzędu Ochrony Danych Osobowych w związku z przetwarzaniem danych osobowych przez KNF.
Dane kontaktowe na potrzeby zapytań dotyczących Państwa danych osobowych
Punktem kontaktowym w zakresie przetwarzania danych osobowych w ramach centralnej bazy danych EuReCA jest AMLA. Jeśli chcą Państwo skontaktować się z AMLA w kwestiach dotyczących centralnej bazy danych EuReCa, zachęcamy do skorzystania z adresu poczty elektronicznej: EuReCa@amla.europa.eu, z podaniem w temacie wiadomości „Zapytanie dotyczące ochrony danych”.
Jeśli chcą Państwo skontaktować się z Inspektorem Danych Osobowych AMLA mogą Państwo wysłać e-mail na adres: dpo@amla.eu lub pismo drogą pocztową na adres AMLA, z dopiskiem „Do wiadomości Inspektora Ochrony Danych Osobowych AMLA”.
Adres pocztowy AMLA: Authority for Anti-Money Laundering and Countering the Financing of Terrorism, 5 Messeturm, Friedrich-Ebert-Anlage 49, 60308 Frankfurt am Main, Germany.
Więcej informacji na temat zasad ochrony danych osobowych przez AMLA jest dostępnych pod adresem: https://www.amla.europa.eu/data-protection_en.
Jeżeli chcą Państwo skontaktować się z Inspektorem Danych Osobowych KNF mogą Państwo wysłać e-mail na adres iod@knf.gov.pl lub drogą pocztową na adres korespondencyjny KNF.
Z KNF jako współadministratorem danych osobowych można się kontaktować pisemnie, kierując korespondencję na adres: ul. Piękna 20, skr. poczt. 419, kod pocztowy: 00-549 Warszawa lub pocztą elektroniczną na adres: knf@knf.gov.pl.
______________________1 Dz. Urz. UE L 331 z 15.12.2010 r., str.12, z późn. zm.
