Ustawa o przeciwdziałaniu praniu pieniędzy a rozporządzenie RODO

Ustawa o przeciwdziałaniu praniu pieniędzy i finansowaniu terroryzmu z 1 marca 2018 roku (dalej zwana też „ustawą AML”), uwzględniając późniejsze zmiany (m.in. nowelizacja ustawy AML z 30 marca 2021 roku), jest ściśle związana z zagadnieniami związanymi z ochroną danych osobowych (RODO), w tym ujętych w Rozporządzeniu Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 roku w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia Dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych; dalej zwane „rozporządzeniem RODO”).

Instytucje obowiązane muszą wdrażać i stosować obydwie te regulacje łącznie w związku z prowadzoną przez te podmioty działalnością.

Kluczowe zagadnienia na temat AML i RODO omawiane w tym artykule:

• Jak wiążą się ze sobą AML i RODO? Instytucje obowiązane w związku z realizacją zadań z obszaru AML przetwarzają dane osobowe osób fizycznych oraz danych klientów instytucjonalnych zgodnie z rozporządzeniem RODO.
• Co jest podstawą prawną przetwarzania danych osobowych w procesach AML? Zadania z zakresu AML wiążące się z przetwarzaniem danych osobowych muszą być realizowane zgodnie z zarówno ustawą AML, jak i rozporządzeniem RODO. Podstawą prawną jest w szczególności art. 6 ust. 1 lit. c rozporządzenia RODO.
• Na czym polega adekwatność stosowania RODO w procesach AML? Oznacza to, że instytucje obowiązane nie mogą zbierać o klientach oraz ich beneficjentach rzeczywistych informacji innych niż te wymienione w ustawie AML. Zgodnie ze stanowiskiem GIIF i UKNF, instytucje w swoich procedurach powinny określić zakres oraz intensywność zbierania danych osobowych, określając adekwatność na podstawie zidentyfikowanego poziomu ryzyka klienta, co powinno być odzwierciedlone i wykazane w indywidualnej ocenie ryzyka danego klienta.
• Jak długo można przechowywać dane osobowe zgodnie z ustawą AML? Ustawa AML wymaga przechowywania danych przez 5 lat od dnia zakończenia stosunków gospodarczych z klientem lub od dnia przeprowadzenia transakcji okazjonalnej.
• Jakie są obowiązki instytucji obowiązanych w związku z RODO? Są to m.in. zadania związane z wykazaniem konieczności przetwarzania danych i stosowaniem należytej staranności, prowadzeniem odpowiedniej dokumentacji (w tym dodanie właściwych zapisów w ocenie ryzyka AML i procedurze wewnętrznej AML), szkoleniem pracowników, zapewnieniem bezpieczeństwa danych oraz przekazywaniem odpowiedniej klauzuli informacyjnej RODO.

Na czym polega podejście oparte na ryzyku w AML i RODO?

Cechą wspólną obydwóch omawianych w tym artykule zagadnień – ustawy o przeciwdziałaniu praniu pieniędzy i rozporządzenia RODO – jest podejście oparte na ryzyku (ang. risk-based approach). Organy unijne tak zaprojektowały regulacje w tych obszarach, aby każda z instytucji obowiązanych sama identyfikowała ryzyka oraz dostosowywała do nich procedury i środki bezpieczeństwa.

Podejście oparte na ryzyku oznacza, że regulacje RODO i AML nie wskazują gotowych rozwiązań, które są identyczne dla wszystkich podmiotów. Prezentują natomiast potencjalne obszary związane z zagrożeniami oraz wachlarz działań mających na celu przeciwdziałanie praniu pieniędzy, finansowaniu terroryzmu i naruszeniom w obszarze danych osobowych.

Zgodnie z tym podejściem, każda instytucja obowiązana może dostosować procedury i środki bezpieczeństwa do swojej indywidualnej sytuacji, branży, wielkości firmy, zasięgu geograficznego, skali i rodzaju prowadzonej działalności. Rodzi to jednak ryzyko popełnienia błędów w realizacji obowiązków ustawowych ze względu na ograniczoną wiedzę czy niewystarczające zasoby (m.in. czas i pracownicy) danego podmiotu.

Podejście to – zarówno w przypadku organów nadzorujących AML, takich jak GIIF czy UKNF, a także organów nadzorujących RODO, czyli Urzędu Ochrony Danych Osobowych – przechodzi od zgodności z przepisami do rozliczalności, czyli udowodnienia rzeczywistego działania instytucji obowiązanych zgodnie z przepisami. Dostosowanie działania do przepisów powinno być widoczne na poziomie postanowień procedury, jak i podejmowanych działań w ramach danego procesu AML przez konkretnego pracownika.

Dlatego tak bardzo pomocne są zewnętrzne, eksperckie rozwiązania, zapewniające zgodność z prawem, takie jak audyty AML, systemy analityczne AML czy listy sankcyjne AML.

Co łączy ustawę o przeciwdziałaniu praniu pieniędzy i finansowaniu terroryzmu oraz rozporządzenie RODO?

Podstawowymi elementami łączącymi ustawę o przeciwdziałaniu praniu pieniędzy i finansowaniu terroryzmu z rozporządzeniem RODO jest obowiązek zastosowania należytej staranności wobec klienta wymagający zebrania oraz przetwarzania adekwatnego zbioru danych osobowych oraz nośników potwierdzających, czyli działań polegających w szczególności na:

• identyfikacji i weryfikacji tożsamości klientów, osób przez nich upoważnionych oraz ich beneficjentów rzeczywistych,
• identyfikacji i weryfikacji osób zajmujących eksponowane stanowiska polityczne albo pełniących znaczące funkcje publiczne (tzw. PEP), a także członków ich rodzin oraz osób znanych jako bliscy współpracownicy osób o statusie PEP (tzw. RCA),
• monitorowaniu, przeprowadzaniu analiz i rejestrowaniu transakcji oraz stosunków gospodarczych,
• zgłaszaniu do Generalnego Inspektora Informacji Finansowej informacji dotyczących m.in. klientów, transakcji, wartości majątkowych oraz miejsc ich przechowywania,
• przetwarzaniu informacji otrzymanych od sygnalistów w ramach procedury anonimowego zgłaszania przez pracowników lub inne osoby rzeczywistych, lub potencjalnych naruszeń przepisów AML.

Działania te są związane z istotnym celem ustawy AML, jakim jest przeciwdziałanie praniu pieniędzy i finansowaniu terroryzmu. Między urzędami nadzorującymi stosowanie rozporządzenia RODO i stosowanie ustawy AML istnieje rozbieżność w rozumieniu praktycznych aspektów dotyczących tego, jak pogodzić wymagania RODO i AML. Dlatego też należy zapoznać się z ustawą AML, rozporządzeniem RODO oraz komunikatami, wytycznymi i wyjaśnieniami właściwych urzędów.

W jakim zakresie ustawa AML jest podstawą prawną przetwarzania danych osobowych?

Wszelkie działania, które są związane z przetwarzaniem danych osobowych, muszą być wykonywane na podstawie jednej z przesłanek wskazanych w rozporządzeniu RODO.

W wypadku podmiotów umieszczonych przez ustawę AML w katalogu instytucji obowiązanych, przesłanką, o której mowa powyżej jest wypełnienie obowiązku prawnego ciążącego na administratorze, tj. instytucji obowiązanej – art. 6 ust. 1 lit. c rozporządzenia RODO.

Ustawa o przeciwdziałaniu praniu pieniędzy i finansowaniu terroryzmu wprost stanowi o przetwarzaniu danych osobowych, które polega m.in. na ich gromadzeniu, przechowywaniu, opracowywaniu, udostępnianiu i usuwaniu (szczególnie w systemach informatycznych). Ponadto, zgodnie z ustawą AML, przetwarzanie informacji na temat beneficjentów rzeczywistych odbywa się bez wiedzy osób, których te dane dotyczą.

Należy jednak zauważyć w tym miejscu, że zarówno GIIF w komunikacie nr 114, jak i UKNF w stanowisku z 19 marca 2026 roku w zakresie AML/CFT podkreślają, że zakres oraz intensywność zbieranych danych przez instytucję obowiązaną powinien być określony jednoznacznie w procedurze oraz wynikać z rozpoznanego ryzyka danego klienta oraz kanału nawiązanej relacji (bezpośrednio lub na odległość, np. za pomocą środków elektronicznych).

Jak zapewnić adekwatność w stosowaniu RODO w celu wypełnienia obowiązków z ustawy AML?

Powołując się na przesłankę związaną z wypełnieniem obowiązku prawnego przez instytucje obowiązane, jako administratorów danych osobowych, należy jednak pamiętać, że zakres przetwarzanych danych, a także sposób ich wykorzystywania i długość okresu przechowywania powinny być adekwatne do celu.

W praktyce oznacza to, że nie można zbierać zbyt wielu informacji o klientach czy ich beneficjentach rzeczywistych (tj. informacji innych niż te wymienione w ustawie AML, o ile nie są niezbędne do realizacji celu). Jednocześnie należy działać z zachowaniem należytej staranności, aby skutecznie ograniczać ryzyko prania pieniędzy oraz finansowania terroryzmu.

Jeśli zatem instytucja obowiązana przetwarza informacje takie jak dane kontaktowe (np. e-mail, numer telefonu), a dane te nie są niezbędne np. do przeprowadzenia procesu weryfikacji w zakresie nawiązania relacji na odległość, wykracza już poza granicę dozwoloną przez ustawę AML. W takiej sytuacji oczywiście nie trzeba rezygnować ze zbierania tych informacji, ale należy od danego podmiotu uzyskać odpowiednie zgody na gruncie rozporządzenia RODO lub przetwarzać dane w oparciu o inną podstawę prawną.

Czy instytucje obowiązane mogą weryfikować tożsamość klienta za pomocą przesyłanej drogą elektroniczną kopii dowodu osobistego?

Pod koniec czerwca 2026 roku Rzecznik Praw Obywatelskich przekazał do GIIF prośbę o ocenę praktyki instytucji obowiązanych w zakresie “weryfikacji tożsamości klienta za pomocą przesyłanej drogą elektroniczną kopii dowodu osobistego”, która zdaniem zarówno wnioskodawcy do RPO, jak i samego RPO nie jest zgodna z art. 37 ust. 1 ustawy AML.

GIIF w swojej odpowiedzi na pismo RPO odniósł się do faktu, że instytucje obowiązane “na potrzeby stosowania środków bezpieczeństwa finansowego mogą przetwarzać informacje zawarte w dokumentach tożsamości klienta i osoby upoważnionej do działania w jego imieniu oraz sporządzać ich kopie”. W swojej wypowiedzi GIIF również odniósł się do tematu podnoszonego przez RPO, czyli stosowania kopii dokumentów tożsamości przesyłanych w ramach weryfikacji tożsamości klienta. Z jednej strony GIIF wskazał możliwość posłużenia się kopią dokumentu tożsamości do identyfikacji, czyli zebrania danych na temat klienta. Jednakże jak wskazał: “Inną kwestią jest weryfikowanie tożsamości klienta, ukierunkowane na potwierdzenie, że klient jest tym, za kogo się podaje. W tym celu instytucja obowiązana ma obowiązek posłużyć się – zgodnie z art. 37 u.p.p.p.f.t. – dokumentem stwierdzającym tożsamość osoby fizycznej, dokumentem zawierającym aktualne dane z wyciągu z właściwego rejestru (w przypadku osoby prawnej lub jednostki organizacyjnej nieposiadającej osobowości prawnej) lub innymi dokumentami, względnie danymi lub informacjami, które pochodzą z wiarygodnego i niezależnego źródła”.

Co istotne, w swoim komunikacie GIIF oprócz nawiązania do art. 37 wskazuje, że zgodnie z art. 33 instytucje obowiązane powinny stosować środki bezpieczeństwa finansowego “w zakresie i z intensywnością uwzględniając rozpoznane ryzyko prania pieniędzy oraz finansowania terroryzmu związane ze stosunkami gospodarczymi lub z transakcją okazjonalną oraz jego ocenę”. W tym kontekście warto przypomnieć, iż organy nadzoru (tj. GIIF i UKNF) wskazują w swoich wytycznych konieczność zastosowania odpowiednich środków bezpieczeństwa zgodnie z rozpoznanym ryzykiem instytucji oraz ryzykiem danego klienta. Katalog tych środków powinien być ujęty w procedurze, zaś konkretne ich zastosowanie oraz intensywność (w tym częstotliwość monitorowania) powinno odpowiadać poziomowi ryzyka danego klienta lub przyjętego profilu klienta. Organy nadzoru (zwłaszcza UKNF) od przyjętych rozwiązań oraz zidentyfikowanego ryzyka “uzasadniają adekwatność danego środka”, dlatego instytucje w sposób szczególny powinny zwrócić uwagę na ten aspekt w swoich dokumentach.

Jaki okres przechowywania danych osobowych przewiduje ustawa AML?

Gdy w grę wchodzi przesłanka dotycząca wypełnienia obowiązku prawnego przez instytucje obowiązane, kolejnym istotnym zagadnieniem RODO jest okres przechowywania danych osobowych. Mimo iż rozporządzenie RODO dopuszcza przechowywanie danych tylko przez czas niezbędny do realizacji celów, to ustawa AML wskazuje bardziej konkretne wytyczne.

Ustawa AML nakłada na instytucje obowiązane wymóg przechowywania danych przez 5 lat, licząc od dnia zakończenia stosunków gospodarczych z klientem lub od dnia przeprowadzenia transakcji okazjonalnej.

Jakie są obowiązki instytucji obowiązanych w obszarze AML, CFT i RODO?

Instytucje obowiązane w ramach swoich działań AML i CFT muszą realizować szereg obowiązków związanych z RODO. Dodatkowo warto, aby we właściwy sposób wykazały konieczność przetwarzania danych w celu zapewniania należytej staranności i minimalizowania ryzyka AML.

• Jeżeli instytucja obowiązana musi prowadzić Rejestr Czynności Przetwarzania Danych Osobowych, powinna uwzględnić w nim czynność polegającą na przetwarzaniu danych osobowych do celów przeciwdziałania praniu pieniędzy i finansowaniu terroryzmu, w tym uwzględnić m.in. podstawę przetwarzania danych, zakres gromadzonych danych, cel wykorzystywania danych i okres przechowywania danych.
• Instytucja obowiązana musi przygotowywać i przekazywać podmiotom, których dane będą zbierane, szczegółową klauzulę informacyjną RODO obejmującą informacje m.in. na temat administratora danych, podstawy przetwarzania danych, zakresu gromadzonych danych, celu wykorzystywania danych, okresu przechowywania danych, a także możliwości korzystania z praw przysługujących w związku z RODO.
• Instytucja obowiązana musi zadbać o bezpieczeństwo danych – m.in. zapewnić poufność i integralność informacji, umożliwić dostęp do danych tylko upoważnionym i odpowiednio przeszkolonym osobom.
• Instytucja obowiązana musi zadbać o odpowiednią dokumentację i przeszkolenie pracowników oraz współpracowników, co dotyczy zagadnień takich jak upoważnienia do przetwarzania danych czy umowy powierzenia w przypadku outsourcingu AML.
• W dokumencie oceny ryzyka AML , który jest obowiązkowy dla każdej instytucji obowiązanej, warto zamieścić m.in. informacje na temat kryteriów oceny, które wymagają dostępu do gromadzonego zakresu danych, a także informacje o czynnikach ryzyka i sposobach mitygacji ryzyka.
• Szczegółowe informacje dotyczące przetwarzania danych osobowych powinny ponadto znaleźć się w procedurze wewnętrznej AML, w której znajdują się zasady zgłaszania nieprawidłowości z zakresu AML i CFT.

***

Czy wiesz, że wszystkie rozwiązania oferowane przez iAML są w pełni zgodne z rozporządzeniem RODO?
Korzystając z naszych systemów, list restrykcyjnych i dokumentów AML, masz więc pewność zgodności nie tylko z ustawą AML, ale także z rozporządzeniem RODO.

Skontaktuj się z nami – dowiedz się więcej i uzyskaj bezpłatny dostęp testowy do narzędzi iAML!

FAQ na temat RODO w procesach AML:

1. Czy trzeba uzyskać zgodę klienta na przetwarzanie jego danych w procesach AML?

Dane klientów mogą być przetwarzane w zakresie niezbędnym do realizacji obowiązków wynikających z przepisów AML, bez konieczności uzyskiwania ich zgody. W wypadku instytucji obowiązanych przesłanką prawną jest wypełnienie obowiązku wskazanego w art. 6 ust. 1 lit. c rozporządzenia RODO. Zgodnie z ustawą AML, przetwarzanie informacji na temat beneficjentów rzeczywistych odbywa się bez wiedzy osób, których te dane dotyczą.

2. Jakie dane klienta można przetwarzać w ramach procesów AML?

Zgodnie z przepisami ustawy AML i rozporządzenia RODO, można zbierać dane niezbędne do identyfikacji klienta, oceny ryzyka i wykonania wymaganych środków bezpieczeństwa finansowego. Zakres danych powinien być proporcjonalny do celu i ryzyka, a samo powołanie się na obowiązki AML nie uzasadnia gromadzenia wszystkich dostępnych informacji czy kopii dokumentów.

3. Jak realizować prawa osoby, której dane dotyczą, w toku przetwarzania danych na potrzeby AML?

Klient co do zasady zachowuje wszystkie swoje prawa wynikające z RODO, czyli m.in. prawo dostępu do danych, ich sprostowania czy informacji o sposobie przetwarzania. Realizacja tych praw może jednak podlegać ograniczeniom wynikającym z przepisów AML, zwłaszcza gdy ujawnienie informacji mogłoby zagrozić skuteczności działań związanych z przeciwdziałaniem praniu pieniędzy.

4. Co zrobić z danymi uzyskanymi na potrzeby procesów AML po upływie dopuszczalnego okresu ich przechowywania?

Ustawa AML przewiduje 5-letni okres przechowywania dokumentów i informacji, liczony od zakończenia stosunków gospodarczych z klientem lub przeprowadzenia transakcji okazjonalnej. Po upływie tego okresu dane nie powinny być dalej przechowywane, czyli powinny zostać bezpiecznie i skutecznie usunięte, chyba że istnieje odrębna podstawa prawna uzasadniająca ich dalsze przechowywanie.