EDPB отбелязва необходимостта от по-добро уточняване на условията и границите на обработката на специални категории данни и лични данни, свързани с наказателни присъди
„Нужно е задължението за използване на надеждни, точни и актуални източници да се разшири за всяка информация, обработвана от задължени субекти за целите на борбата с изпирането на пари и противодействие на финансирането на тероризма“, препоръчва EDPB.
Председателят на Европейския комитет по защита на данните (EDPB/ЕКЗД) Андреа Йелинек подписа 3 писма до европейски институции по повод законодателните предложения от 20 юли 2021 г., насочени към засилване на действията на ЕС в борбата с изпирането на пари и противодействие на финансирането на тероризма (AML/CFT).
На 20 юли 2021 г. Европейската комисия представи амбициозен пакет от законодателни предложения за засилване на правните норми на ЕС за борба с изпирането на пари и финансирането на тероризма (AML/CFT).
Законодателният пакет включва Предложение за регламент на Европейския парламент и на Съвета за предотвратяване на използването на финансовата система за целите на изпирането на пари и финансирането на тероризма („Предложение за регламент, приложим за частния сектор“)
и Предложение за регламент на Европейския парламент и на Съвета за създаване на Европейски орган за борба с изпирането на пари и финансирането на тероризма („Предложение за регламент установяване AMLA”).
Днес ще разкажа за опасенията на EDPB относно необходимостта от по-добро уточняване на условията и границите на обработката на специални категории данни и лични данни, свързани с наказателни присъди.
По отношение на обработката на специални категории лични данни – член 55, параграф 1 от проекта на регламент, приложим към частния сектор, постановява, че задължените субекти могат да обработват специални категории лични данни, посочени в член 9, параграф 1 от GDPR, доколкото това обработване е „строго необходимо за предотвратяване на изпирането на пари и финансирането на тероризма“.
Член 55 не уточнява значението на „строго необходимо“. Освен това не са определени видовете лични данни, попадащи в специалната категория лични данни, които могат да бъдат обработвани.
EDPB посочва, че член 55 може да не е в съответствие с принципа за минимизиране на данните съгласно член 5, параграф 1, буква в) на GDPR и поражда сериозни опасения относно защитата на данните. Всъщност прилагането на разпоредбите на член 55 може да накара задължените субекти да обработват данни, попадащи в обхвата на член 9, параграф 1 от GDPR, които не са непременно приложими за преследваната цел, като лични данни, разкриващи членство в синдикални организации, данни относно здравето, обработка на генетични данни, биометрични данни с цел уникално идентифициране на физическо лице и данни относно сексуалния живот или сексуалната ориентация на физическо лице.
Ето защо ЕКЗД приканва съзаконодателите да обмислят уместността на обработването на всяка специална категория лични данни и след такава оценка да определят изрично съгласно член 55 специалните категории данни, които биха могли да бъдат строго необходими за целите на AML/CFT.
Освен това, EDPB припомня, че член 9 на GDPR определя специфични правила относно обработката на специални категории лични данни, според които е възможно освобождаване от общата забрана за обработване на специални категории лични данни, когато обработването е необходимо по причини, свързани с важен обществен интерес въз основа на правото на Съюза или на държавата членка. Такъв закон, който позволява обработването на специални категории данни, трябва да бъде „пропорционално на преследваната цел, да зачита същността на правото на защита на данните и да предвижда подходящи и конкретни мерки за защита на основните права и интересите на субекта на данните“.
EDPB счита, че специфичните мерки за защита на основните права и интереси на субектите на данни, предвидени в член 55, не са достатъчни.
Първо, EDPB счита, че член 55 следва да уточнява конкретната цел (предотвратяване на изпирането на пари или финансирането на тероризъм), за която всяка категория лични данни, попадащи в член 9 на GDPR, вероятно ще бъде обработвана. Освен това специфичните мерки (идентификация, надлежна проверка на клиентите, докладване), за които тези категории лични данни могат да бъдат обработвани, също трябва да бъдат идентифицирани от законодателните предложения за БПП.
Освен това за всяка от тези категории лични данни следва да се гарантират допълнителни спецификации в член 55.
За да се избегне вземането на решения въз основа на дискриминационни фактори, следва също така да се уточни, че оценката, направена от задължени субекти, не се основава единствено на обработката на специални категории лични данни.
Освен това член 55 следва да изисква приемането от задължените субекти на най-съвременни мерки за сигурност, като ограничения на достъпа, прикриване, криптиране, псевдонимизиране или разединяване.
Други предпазни мерки биха могли да включват прилагането на специфични техники за минимизиране на данните, обучение на персонала за работа със специални категории лични данни, както и специфични разпоредби за прозрачност и отчетност при обработката на специални категории лични данни.
По отношение на обработката на лични данни, свързани с наказателни присъди и престъпления, член 55, параграф 3, буква б) от предложението за регламент, приложим към частния сектор, определя, че задължените субекти могат да обработват не само данни, свързани с наказателни присъди, но и „твърдения“.
EDPB счита, че обработването на такива данни представлява високо ниво на риск, като се има предвид, че терминът „твърдения“ не е дефиниран и че източниците, от които може да бъде събрана информация за твърдения, не са посочени точно. Освен това EDPB отбелязва, че въздействието върху засегнатото лице може да бъде значително (отказ на банката да влезе в търговски отношения с лице, за което се отнася твърдението), докато в някои случаи твърдението не може да бъде доказано. Поради това EDPB счита, че терминът „твърдение“ трябва да бъде уточнен в член 55 или да бъде заличен.