Wprowadzenie

Przeciwdziałanie praniu pieniędzy i finansowaniu terroryzmu oraz wykonywanie środków ograniczających należą do tych obszarów działalności bankowej, w których skuteczność systemu regulacyjnego pozostaje bezpośrednio zależna od zakresu i jakości informacji dostępnych instytucji finansowej. Bank powinien zidentyfikować klienta i jego beneficjenta rzeczywistego, rozumieć strukturę własności i kontroli, znać cel i zamierzony charakter stosunków gospodarczych, monitorować ich przebieg oraz reagować na zdarzenia odbiegające od informacji posiadanych o kliencie. W określonych sytuacjach zakres analizy obejmuje źródło środków lub majątku, powiązania osobowe i kapitałowe, działalność prowadzoną w określonych jurysdykcjach, przyczyny przeprowadzenia transakcji albo dodatkowe informacje pozwalające wyjaśnić pojawiającą się wątpliwość. Podobną funkcję informacja pełni przy wykonywaniu środków ograniczających, gdy bank musi ustalić między innymi, czy klient, beneficjent rzeczywisty, odbiorca płatności albo podmiot pozostający w określonej relacji własności lub kontroli podlega właściwemu reżimowi sankcyjnemu. Rozwój tych obowiązków powoduje jednocześnie coraz głębszą ingerencję w sferę informacyjną jednostki. Problem nie ogranicza się do technicznych wymogów RODO. Na poziomie prawa pierwotnego Unii Europejskiej funkcjonują obok siebie prawo do poszanowania życia prywatnego, chronione na podstawie art. 7 Karty praw podstawowych Unii Europejskiej, oraz odrębne prawo do ochrony danych osobowych wynikające z art. 8 Karty. RODO rozwija tę ochronę między innymi poprzez zasady zgodności z prawem, rzetelności i przejrzystości, ograniczenia celu, minimalizacji danych, prawidłowości, ograniczenia przechowywania oraz rozliczalności. W szczególności art. 5 ust. 1 lit. c RODO wymaga, aby dane były adekwatne, stosowne i ograniczone do tego, co niezbędne do celów, w których są przetwarzane.

Już zestawienie tych dwóch grup obowiązków pokazuje napięcie regulacyjne, którego nie można prawidłowo opisać jako prostej kolizji pomiędzy potrzebą posiadania przez bank większej ilości danych a nakazem ich ograniczania. Zarówno regulacje AML/CFT, jak i przepisy o ochronie danych wymagają oceny funkcjonalnej. AML/CFT nie nakazuje pozyskiwania każdego rodzaju informacji o kliencie, który potencjalnie mógłby okazać się użyteczny, lecz wiąże zakres i intensywność środków z rozpoznanym ryzykiem oraz charakterem konkretnego obowiązku. RODO z kolei nie ustanawia zasady posiadania najmniejszej możliwej liczby danych w znaczeniu czysto ilościowym. Minimalizacja odnosi zakres informacji do celu przetwarzania i wymaga ustalenia, jaka informacja pozostaje adekwatna i niezbędna dla jego realizacji.

Szczególna trudność pojawia się dlatego, że procesy AML/CFT funkcjonują w warunkach ryzyka i niepewności. Bank nie otrzymuje kompletnego stanu faktycznego, do którego następnie mechanicznie stosuje normę prawną. Ocena jest konstruowana stopniowo na podstawie dostępnych danych, a pojawienie się nowych informacji może zmienić wcześniejszą ocenę ryzyka, spowodować potrzebę uzyskania dalszych wyjaśnień albo uzasadnić zastosowanie bardziej intensywnych środków. Podejście oparte na ryzyku (risk-based approach) zakłada więc nie tylko różnicowanie środków, lecz także podejmowanie decyzji na podstawie niepełnej wiedzy. W wykonywaniu środków ograniczających mechanizm ten ma częściowo odmienny charakter. Obowiązek zamrożenia środków finansowych i zasobów gospodarczych oraz zakaz bezpośredniego lub pośredniego udostępniania środków finansowych lub zasobów gospodarczych na rzecz lub dla korzyści osoby albo podmiotu objętego środkiem ograniczającym nie zależą od poziomu ryzyka ocenionego przez bank. Jeżeli spełnione są przesłanki zastosowania określonego środka ograniczającego, bank powinien wykonać wynikający z niego obowiązek lub zakaz. Podejście oparte na ryzyku wpływa natomiast na organizację systemu zapewniającego zgodność, w tym mechanizmy kontroli, monitorowania i weryfikacji. Niepewność występuje zatem również w tym obszarze, jednak dotyczy częściej ustalenia stanu faktycznego poprzedzającego zastosowanie normy: tożsamości osoby, rzeczywistego trafienia, relacji własności lub kontroli albo ekonomicznego beneficjenta określonej czynności. Ta właściwość obu procesów ma zasadnicze znaczenie dla stosowania zasad ochrony danych. Informacje pozyskiwane przez bank służą często właśnie usunięciu albo ograniczeniu niepewności istniejącej w chwili dokonywania oceny. Bank żądający dodatkowych danych nie musi jeszcze wiedzieć, czy klient przedstawia podwyższone ryzyko, czy nietypowa transakcja ma uzasadnienie gospodarcze ani czy trafienie wygenerowane przez system sankcyjny dotyczy rzeczywiście tej samej osoby. Odpowiedź ma dopiero wynikać z informacji, które zostaną pozyskane i zestawione z danymi już posiadanymi. Powstaje w konsekwencji zależność pomiędzy podstawą decyzji a informacją służącą jej stworzeniu: zakres danych jest oceniany przez pryzmat potrzeby wykonania obowiązku, podczas gdy pełny zakres tej potrzeby może ujawnić się dopiero w toku procesu.

Z perspektywy ochrony danych szczególnego znaczenia nabiera rozróżnienie oceny dokonywanej przed podjęciem decyzji i jej późniejszej oceny z wykorzystaniem wiedzy o wyniku procesu. Jeżeli dodatkowe informacje pozwoliły ustalić, że klient nie przedstawiał podwyższonego ryzyka albo że potencjalne trafienie sankcyjne było fałszywe, łatwo dojść retrospektywnie do wniosku, że ich pozyskanie nie było potrzebne. Taka analiza pomija jednak fakt, że właśnie dzięki ich przetworzeniu bank był w stanie wykluczyć pierwotnie racjonalną wątpliwość. Z drugiej strony zaakceptowanie samej niepewności jako wystarczającego uzasadnienia dla pozyskiwania danych prowadziłoby do przeciwnego rezultatu: praktycznie każdą informację można byłoby uznać za potencjalnie przydatną do przyszłej oceny ryzyka. Problem prawny nie sprowadza się zatem do wyboru pomiędzy szerokim i wąskim zakresem danych. Dotyczy kryteriów, według których należy ocenić ich rzeczywistą funkcję w procesie decyzyjnym. W tym kontekście szczególnego znaczenia nabierają pytania o perspektywę, z której ocenia się niezbędność danych, ich wartość informacyjną, koszt błędu, możliwość zastosowania mniej ingerującej alternatywy oraz moment, w którym dalsze zwiększanie wiedzy przestaje być uzasadnione wykonywanym obowiązkiem.

Nowy unijny reżim AML wzmacnia potrzebę takiego ujęcia. Rozporządzenie (UE) 2024/1624 (AMLR) rozwija zakres informacji wykorzystywanych przy stosowaniu środków należytej staranności wobec klienta, a jednocześnie ustanawia szczególne gwarancje dotyczące ochrony danych. W odniesieniu do szczególnych kategorii danych oraz danych osobowych dotyczących wyroków skazujących i przestępstw, o których mowa w art. 10 RODO, posługuje się kryterium ścisłej niezbędności. Wprowadzenie takiego progu wskazuje, że prawodawca nie traktuje celu AML/CFT jako generalnego upoważnienia do przetwarzania wszelkich informacji mogących mieć jakikolwiek związek z ryzykiem. Konieczne pozostaje wykazanie związku pomiędzy informacją, realizowanym obowiązkiem oraz potrzebą jej wykorzystania. AMLR wszedł już w życie, natomiast w odniesieniu do banków i większości pozostałych podmiotów zobowiązanych będzie co do zasady stosowany od 10 lipca 2027 r. W okresie poprzedzającym tę datę polskie banki pozostają objęte ustawą z 1 marca 2018 r. o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu. Jednocześnie docelowa konstrukcja AMLR jest już znana i wpływa na projektowanie przyszłych procesów, systemów i modeli danych. Analiza relacji pomiędzy ochroną danych a AML/CFT wymaga więc uwzględnienia zarówno obowiązującego modelu krajowego, jak i przyjętego modelu unijnego.

Celem niniejszego artykułu jest ustalenie, w jaki sposób zasady niezbędności, minimalizacji i proporcjonalności przetwarzania danych powinny być stosowane w procesach, w których bank podejmuje decyzje w warunkach niepełnej informacji. Analiza koncentruje się na bankach oraz na dwóch obszarach: AML/CFT i wykonywaniu środków ograniczających. Ich łączne ujęcie pozwala zbadać wspólny problem wykorzystania informacji do ograniczania niepewności, przy jednoczesnym zachowaniu różnicy pomiędzy oceną ryzyka ML/TF a ustalaniem stanu faktycznego potrzebnego do wykonania kategorycznego zakazu sankcyjnego. Poza zakresem artykułu pozostają inne obszary przeciwdziałania przestępczości finansowej, w szczególności przeciwdziałanie oszustwom, chyba że ich przywołanie jest potrzebne dla wyjaśnienia analizowanej konstrukcji.

Ryzyko i niepewność jako cechy procesów AML i sankcyjnych

Punktem wyjścia dla dalszej analizy powinno być rozróżnienie pomiędzy ryzykiem a niepewnością. Pojęcia te są w praktyce regulacyjnej często używane zamiennie, jednak z perspektywy zakresu informacji potrzebnych bankowi pełnią odmienne funkcje. Ryzyko oznacza możliwość wystąpienia określonego zdarzenia lub skutku, którego prawdopodobieństwo i znaczenie bank stara się ocenić. Niepewność odnosi się natomiast do ograniczeń wiedzy, na podstawie której taka ocena albo inna decyzja ma zostać podjęta. Bank może zatem rozpoznawać podwyższone ryzyko prania pieniędzy właśnie dlatego, że określone informacje wskazują na większe prawdopodobieństwo wykorzystania relacji do celów przestępczych, a jednocześnie nie wiedzieć, czy konkretna aktywność klienta rzeczywiście ma taki charakter.

Rozróżnienie to ma szczególne znaczenie w AML/CFT, ponieważ współczesny model przeciwdziałania praniu pieniędzy został zbudowany wokół podejścia opartego na ryzyku. Jego istotą nie jest mechaniczne stosowanie jednakowego zestawu środków wobec wszystkich klientów, ale identyfikacja, ocena i zrozumienie ryzyka oraz dostosowywanie do niego sposobu działania banku. Tak rozumiane podejście oparte na ryzyku nie jest modelem zakładającym brak błędów ani całkowitą eliminację ryzyka. Prawidłowe zastosowanie racjonalnych środków identyfikacji i ograniczania ryzyka nie wyklucza możliwości późniejszego wykorzystania instytucji do prania pieniędzy lub finansowania terroryzmu. Tę logikę kontynuuje AMLR. Środki należytej staranności wobec klienta obejmują identyfikację i weryfikację klienta, identyfikację beneficjenta rzeczywistego oraz podjęcie działań pozwalających upewnić się co do jego tożsamości i zrozumieć strukturę własności i kontroli klienta. Obejmują także ocenę oraz, gdy jest to właściwe, uzyskanie informacji dotyczących celu i zamierzonego charakteru stosunków gospodarczych lub transakcji sporadycznej. Już sama konstrukcja tych obowiązków pokazuje, że ich przedmiotem nie jest wyłącznie formalne zebranie z góry określonego zestawu danych. Część środków ma doprowadzić do osiągnięcia określonego poziomu wiedzy o kliencie, jego beneficjencie rzeczywistym oraz charakterze relacji.

Jeszcze wyraźniej zależność pomiędzy ryzykiem a zakresem informacji ujawnia się przy wzmocnionych środkach należytej staranności wobec klienta. W sytuacjach podwyższonego ryzyka bank może być zobowiązany między innymi do uzyskania dodatkowych informacji o kliencie i beneficjencie rzeczywistym, zamierzonym charakterze stosunków gospodarczych, źródle środków i źródle majątku, a także o przyczynach planowanych lub dokonanych transakcji. Możliwe jest również zwiększenie częstotliwości i zakresu monitorowania. W sytuacjach niższego ryzyka przepisy dopuszczają natomiast ograniczenie intensywności niektórych środków. System nie zakłada więc jednolitego, statycznego zakresu wiedzy o każdym kliencie, lecz pozwala go różnicować odpowiednio do ryzyka i charakteru relacji. Podejście oparte na ryzyku nie oznacza jednak, że bank swobodnie wybiera poziom zgodności z prawem. Ryzyko jest podstawą różnicowania sposobu realizacji obowiązków tam, gdzie przepisy pozostawiają przestrzeń dla oceny, ale nie uchyla obowiązków bezwzględnych. Jeżeli przepis wymaga identyfikacji i weryfikacji klienta, indywidualna ocena ryzyka nie pozwala zrezygnować z samego obowiązku. Może natomiast wpływać na zakres środków potrzebnych do jego prawidłowego wykonania, na intensywność monitorowania lub na konieczność uzyskania dodatkowych informacji. Model oparty na ryzyku jest zatem metodą alokacji środków i dostosowywania intensywności kontroli, a nie konstrukcją pozwalającą bankowi wybierać, które obowiązki prawne zamierza wykonać.

Z punktu widzenia procesu decyzyjnego oznacza to, że ocena klienta ma charakter sekwencyjny. Informacje uzyskane na początku relacji pozwalają przypisać jej określony profil ryzyka. Profil ten wyznacza intensywność dalszych środków. Późniejsze zachowanie klienta, charakter przeprowadzanych transakcji, zmiana struktury właścicielskiej, pojawienie się nowej informacji zewnętrznej albo niespójność pomiędzy deklarowanym a rzeczywistym sposobem korzystania z usług mogą prowadzić do ponownej oceny. Nowa ocena może z kolei uzasadniać uzyskanie kolejnych danych. Przetwarzanie informacji w AML/CFT nie stanowi więc pojedynczej czynności poprzedzającej nawiązanie relacji, lecz element cyklu zarządzania ryzykiem, w którym wiedza o kliencie i ocena ryzyka wzajemnie na siebie oddziałują. Proces ten nie zmierza do osiągnięcia pewności właściwej postępowaniu dowodowemu. Bank nie prowadzi postępowania karnego i nie ma obowiązku udowodnienia, że klient dopuścił się prania pieniędzy. Ma natomiast rozpoznawać i ograniczać ryzyko oraz wykonywać szczególne obowiązki w razie powstania podejrzenia. Oznacza to istnienie kilku różnych poziomów oceny, których nie należy utożsamiać. Uznanie klienta za klienta podwyższonego ryzyka nie oznacza uznania go za osobę uczestniczącą w przestępstwie. Nietypowość transakcji może uzasadniać jej pogłębioną analizę bez przesądzania o jej nielegalności. Ryzyko, nietypowość, podejrzenie i ustalenie określonego faktu stanowią zatem różne kategorie poznawcze i prawne.

Ma to bezpośrednie znaczenie dla informacji wykorzystywanych w takim procesie. Dane potrzebne do ustalenia, czy relacja przedstawia podwyższone ryzyko, mogą różnić się od danych potrzebnych do wyjaśnienia konkretnej transakcji. Jeszcze inny zakres informacji może być potrzebny do oceny pochodzenia środków albo do zweryfikowania złożonej struktury własnościowej. System AML/CFT nie posługuje się jednym uniwersalnym pytaniem, na które bank poszukuje odpowiedzi. Bank podejmuje szereg powiązanych decyzji, a każda z nich może wymagać innego poziomu wiedzy oraz innego stopnia pewności. 

W obszarze sankcji finansowych punkt wyjścia jest odmienny. Obowiązek zamrożenia środków finansowych i zasobów gospodarczych oraz zakaz bezpośredniego lub pośredniego udostępniania środków finansowych lub zasobów gospodarczych na rzecz lub dla korzyści osoby albo podmiotu objętego środkiem ograniczającym nie zależą od własnej oceny ryzyka banku. Jeżeli przesłanki zastosowania określonego środka ograniczającego zostały spełnione, wynikający z niego obowiązek lub zakaz powinien zostać wykonany. Podejście oparte na ryzyku może wpływać na sposób zorganizowania systemu zapewniającego przestrzeganie sankcji, ale nie przekształca samej normy materialnej w obowiązek zależny od poziomu zaakceptowanego ryzyka. Nie oznacza to jednak, że proces sankcyjny jest wolny od niepewności. Jej źródło ma przede wszystkim charakter faktyczny. Samo wystąpienie podobieństwa pomiędzy danymi klienta a danymi osoby umieszczonej w wykazie sankcyjnym nie rozstrzyga jeszcze, czy chodzi o tę samą osobę. System może wygenerować trafienie wymagające dalszej weryfikacji, ponieważ zgodność nazwiska lub jego transliteracji nie pozwala wykluczyć homonimii. Konieczne może być porównanie daty urodzenia, obywatelstwa, adresu, dokumentów identyfikacyjnych lub innych elementów pozwalających potwierdzić albo wykluczyć tożsamość. Informacje te nie zmieniają treści zakazu sankcyjnego. Pozwalają ustalić, czy zakaz znajduje zastosowanie do konkretnego klienta.

Jeszcze większa niepewność może wystąpić w odniesieniu do osób prawnych. Przedmiotem ustaleń nie musi być bezpośrednie umieszczenie klienta w wykazie, lecz relacja własności lub kontroli z osobą objętą sankcjami. W praktyce ustalenie takiej relacji może wymagać analizy kolejnych poziomów struktury właścicielskiej, umów, praw głosu lub innych okoliczności wskazujących na rzeczywistą możliwość wywierania wpływu. Problem prawny pozostaje więc binarny na poziomie zastosowania zakazu, podczas gdy ustalenie przesłanek jego zastosowania może wymagać wieloetapowego procesu poznawczego. W procesie sankcyjnym trzeba zatem rozdzielić co najmniej dwa rodzaje ryzyka. Pierwszym jest ryzyko instytucjonalne, że bank z uwagi na niewłaściwie zaprojektowane systemy, dane, procedury lub kontrole nie rozpozna przypadku objętego środkiem ograniczającym albo dopuści do jego obejścia. To ryzyko może być zarządzane za pomocą podejścia opartego na ryzyku i odpowiednio organizowanych kontroli. Drugim jest niepewność dotycząca konkretnego przypadku: czy określona osoba jest osobą objętą sankcjami, czy zachodzi wymagana relacja własności lub kontroli albo czy określona czynność prowadzi do udostępnienia środków podmiotowi objętemu zakazem. Na tym poziomie informacje służą nie tyle oszacowaniu prawdopodobieństwa naruszenia, ile ustaleniu stanu faktycznego potrzebnego do zastosowania normy.

Różnica ta powoduje, że konstrukcji właściwych dla AML nie można mechanicznie przenosić na wykonywanie sankcji. W AML wynik oceny ryzyka może bezpośrednio wpływać na intensywność środków stosowanych wobec klienta w ramach AML/CFT. W sankcjach wynik analizy ryzyka decyduje przede wszystkim o sposobie organizacji mechanizmów zapewniających zgodność, podczas gdy sama decyzja o zastosowaniu zakazu pozostaje związana z ustaleniem jego przesłanek. Wspólnym elementem obu procesów jest jednak konieczność podejmowania decyzji bez pełnej informacji oraz stopniowego uzupełniania wiedzy w celu ograniczenia istniejącej niepewności. Z tej perspektywy szczególnego znaczenia nabiera wartość informacyjna danych. Dodatkowa informacja jest użyteczna nie dlatego, że zwiększa ogólną wiedzę banku o kliencie, lecz dlatego, że może zmienić określoną ocenę albo pozwolić rozstrzygnąć konkretną wątpliwość. Data urodzenia może mieć niewielkie znaczenie dla oceny ekonomicznego celu transakcji, ale zasadnicze znaczenie przy rozstrzyganiu potencjalnego trafienia sankcyjnego. Informacja o źródle majątku może być zbędna przy typowej relacji o niskim ryzyku, a zarazem istotna przy zastosowaniu bardziej intensywnych środków wobec klienta w sytuacji podwyższonego ryzyka. Funkcja tej samej informacji zależy więc od decyzji, dla której jest wykorzystywana.

Jeżeli obowiązek regulacyjny jest wykonywany w warunkach niepewności, zakres informacji potrzebnych do jego realizacji nie zawsze może zostać w pełni określony przed rozpoczęciem procesu. Pierwsza grupa danych może nie pozwolić na rozstrzygnięcie problemu i dopiero jej analiza może ujawnić potrzebę uzyskania kolejnych informacji. Jednocześnie możliwość hipotetycznego zwiększenia wiedzy nie może stanowić wystarczającego uzasadnienia dla nieograniczonego rozszerzania zakresu przetwarzania. Konieczne jest więc znalezienie kryterium pozwalającego odróżnić informację rzeczywiście potrzebną do ograniczenia istotnej niepewności od informacji jedynie potencjalnie użytecznej. Tak określony problem tworzy punkt styku pomiędzy konstrukcją AML i sankcji a ochroną danych osobowych.

Ochrona danych jako granica przetwarzania w przeciwdziałaniu przestępczości finansowej

Analiza zakresu informacji wykorzystywanych przez bank w procesach AML/CFT i sankcyjnych wymaga odróżnienia dwóch poziomów. Pierwszy dotyczy podstawy prawnej samego przetwarzania. Drugi odnosi się do granic, w jakich dane mogą być pozyskiwane, wykorzystywane, łączone, przechowywane i udostępniane po ustaleniu, że określony cel przetwarzania znajduje oparcie w prawie. Rozróżnienie to ma zasadnicze znaczenie, ponieważ istnienie obowiązku AML/CFT albo obowiązku wynikającego z reżimu sankcyjnego nie powoduje automatycznie, że każdy rodzaj informacji mogący pozostawać z nim w jakimkolwiek związku może być przetwarzany bez dalszej oceny.

W odniesieniu do obowiązków nakładanych bezpośrednio na bank podstawowym punktem odniesienia pozostaje art. 6 ust. 1 lit. c RODO, zgodnie z którym przetwarzanie jest zgodne z prawem, jeżeli jest niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze. Artykuł 6 ust. 3 RODO wymaga, aby podstawa takiego przetwarzania wynikała z prawa Unii lub prawa państwa członkowskiego, któremu podlega administrator, a cel przetwarzania był określony w tej podstawie prawnej. Przepis zakłada również możliwość określenia w prawie szczegółowych warunków dotyczących między innymi rodzaju przetwarzanych danych, kategorii osób, odbiorców, okresów przechowywania i operacji wykonywanych na danych. Sama podstawa prawna powinna realizować cel leżący w interesie publicznym i pozostawać proporcjonalna do celu prawnie uzasadnionego.

W przypadku AML/CFT relacja pomiędzy obowiązkiem prawnym a przetwarzaniem danych jest szczególnie bezpośrednia. Obowiązki identyfikacji klienta i beneficjenta rzeczywistego, zrozumienia struktury własności i kontroli, ustalenia celu i zamierzonego charakteru stosunków gospodarczych, bieżącego monitorowania relacji oraz analizy określonych transakcji nie mogą zostać wykonane bez przetwarzania informacji dotyczących osób fizycznych. Przetwarzanie danych nie jest w tym przypadku działalnością dodatkową wobec właściwego obowiązku regulacyjnego, lecz jednym z podstawowych instrumentów jego realizacji. Nie zmienia to jednak faktu, że art. 6 ust. 1 lit. c RODO odwołuje się do kryterium niezbędności. Obowiązek prawny uzasadnia zatem taki zakres przetwarzania, jaki pozostaje potrzebny do jego wykonania, a nie dowolny zakres danych mogących zwiększyć ogólny poziom wiedzy banku. Znaczenie tego rozróżnienia wzmacnia art. 5 RODO. Zasady ograniczenia celu, minimalizacji danych, prawidłowości oraz ograniczenia przechowywania mają zastosowanie niezależnie od tego, że podstawą przetwarzania jest obowiązek prawny. Dane powinny być zbierane w konkretnych, wyraźnych i prawnie uzasadnionych celach, pozostawać adekwatne i stosowne oraz być ograniczone do tego, co niezbędne do tych celów. Powinny również pozostawać prawidłowe i aktualne, a ich przechowywanie nie może trwać dłużej, niż wymaga tego realizowany cel. Administrator odpowiada ponadto za przestrzeganie tych zasad i powinien być w stanie tę zgodność wykazać. Zasada minimalizacji danych nie może być utożsamiana z prostym postulatem ograniczenia ilości informacji. Artykuł 5 ust. 1 lit. c RODO nie posługuje się kryterium najmniejszej możliwej liczby danych, lecz ich adekwatności, stosowności i niezbędności względem konkretnego celu. Z prawnego punktu widzenia znaczenie ma zatem relacja pomiędzy informacją a funkcją, którą ma ona pełnić w procesie. Dane mogą być liczne, a mimo to pozostawać niezbędne, jeżeli bez ich wykorzystania nie jest możliwe racjonalne rozstrzygnięcie problemu objętego obowiązkiem prawnym. Odwrotnie, nawet pojedyncza dodatkowa kategoria danych może wykraczać poza dopuszczalny zakres, jeżeli nie ma rzeczywistego znaczenia dla realizowanego celu.

Właśnie na tym tle należy odczytywać konstrukcję AMLR. Rozporządzenie nie wyłącza stosowania RODO, lecz w wielu miejscach doprecyzowuje sposób przetwarzania danych dla celów AML/CFT. Prawodawca wiąże dopuszczalność przetwarzania z określonymi funkcjami AML/CFT, takimi jak stosowanie środków należytej staranności wobec klienta, bieżące monitorowanie, analiza i zgłaszanie podejrzanych aktywności, identyfikacja beneficjenta rzeczywistego czy identyfikacja osoby zajmującej eksponowane stanowisko polityczne. Szczególne rozwiązania AMLR należy więc traktować jako doprecyzowanie, a nie zastąpienie ogólnych zasad ochrony danych. Istotne znaczenie ma ograniczenie celu. Dane przetwarzane na podstawie AMLR mogą być wykorzystywane wyłącznie do celów zapobiegania praniu pieniędzy i finansowaniu terroryzmu i nie powinny być dalej przetwarzane w sposób niezgodny z tymi celami. Rozporządzenie zakazuje także ich wykorzystywania do celów komercyjnych. W konsekwencji informacja pozyskana przez bank w ramach procesu AML/CFT nie staje się zasobem, który może być swobodnie wykorzystywany przez pozostałe jednostki organizacji tylko dlatego, że znajduje się już w systemach banku. Dalsze wykorzystanie w granicach celu AML/CFT pozostaje objęte właściwą podstawą tego przetwarzania. Wykorzystanie informacji dla innego celu wymaga natomiast odrębnej oceny podstawy prawnej, zgodności celu i pozostałych wymogów właściwego reżimu.

Takie rozwiązanie ma znaczenie również dla rozumienia pojęcia „wiedzy banku”. Instytucja finansowa może dysponować rozbudowanymi zbiorami informacji o kliencie pochodzącymi z różnych procesów: obsługi rachunku, oceny kredytowej, działalności inwestycyjnej, przeciwdziałania oszustwom, bezpieczeństwa teleinformatycznego czy AML/CFT. Z perspektywy organizacyjnej dane te mogą znajdować się w tej samej osobie prawnej. Nie oznacza to jednak, że każdy zbiór informacji może być automatycznie traktowany jako jednolity zasób służący dowolnemu celowi regulacyjnemu. Zasada ograniczenia celu wymaga odróżnienia faktu posiadania informacji od prawa do wykorzystania jej w konkretnym procesie. W AML problem ten jest szczególnie widoczny przy wykorzystywaniu informacji pochodzących ze źródeł zewnętrznych. Ustalenie ryzyka klienta może wymagać korzystania z rejestrów publicznych, baz komercyjnych, informacji prasowych, danych o beneficjentach rzeczywistych, list sankcyjnych czy innych źródeł służących identyfikacji określonego ryzyka. Sama dostępność informacji publicznej nie przesądza jednak o jej nieograniczonej użyteczności z perspektywy RODO. Dane publicznie dostępne nadal mogą stanowić dane osobowe, a ich dalsze przetwarzanie wymaga oceny celu, podstawy oraz niezbędności. Fakt, że informacja może zostać technicznie pozyskana, nie odpowiada jeszcze na pytanie, czy powinna zostać włączona do procesu AML.

Jeszcze wyraźniej granica ta pojawia się przy danych szczególnych kategorii i danych dotyczących wyroków skazujących oraz czynów zabronionych. Artykuł 9 ust. 1 RODO ustanawia zasadniczy zakaz przetwarzania między innymi danych ujawniających pochodzenie rasowe lub etniczne, poglądy polityczne, przekonania religijne lub filozoficzne, przynależność związkową, a także określonych danych genetycznych, biometrycznych, zdrowotnych oraz dotyczących życia seksualnego lub orientacji seksualnej. Artykuł 10 RODO przewiduje odrębny reżim danych dotyczących wyroków skazujących i czynów zabronionych. AMLR tworzy w tym obszarze szczególną podstawę. Szczególne kategorie danych oraz dane osobowe dotyczące wyroków skazujących i przestępstw, o których mowa w art. 10 RODO, mogą być przetwarzane wyłącznie w zakresie, w jakim pozostaje to ściśle niezbędne dla celów AML/CFT, oraz przy zachowaniu dodatkowych zabezpieczeń. Konstrukcja ta jest ważna z dwóch powodów. Po pierwsze, prawodawca świadomie dopuścił możliwość wykorzystywania kategorii informacji, których znaczenie może być istotne dla oceny ryzyka. Po drugie, nie ograniczył się do zwykłego kryterium niezbędności, lecz zastosował próg ścisłej niezbędności, podnosząc wymagania wobec związku pomiędzy informacją a realizowanym celem. AMLR rozwija tę konstrukcję poprzez dodatkowe wymogi dotyczące jakości i sposobu wykorzystania informacji. Dane szczególnych kategorii powinny pochodzić z wiarygodnych źródeł, pozostawać prawidłowe i aktualne oraz nie prowadzić do wyników stronniczych lub dyskryminacyjnych. Rozporządzenie wymaga również informowania klientów i potencjalnych klientów, że takie szczególne kategorie danych mogą być przetwarzane. W przypadku danych osobowych dotyczących wyroków skazujących i przestępstw, o których mowa w art. 10 RODO, podmiot zobowiązany powinien posiadać procedury pozwalające odróżniać zarzuty, postępowania i skazania, z uwzględnieniem prawa do rzetelnego procesu, prawa do obrony i domniemania niewinności. Prawodawca nie traktuje więc samego powiązania danej informacji z szeroko rozumianą przestępczością jako wystarczającej podstawy do jej jednakowego wykorzystania.

Ma to szczególne znaczenie dla informacji o negatywnym charakterze pochodzących z mediów lub baz komercyjnych. Informacja o prawomocnym skazaniu, informacja o toczącym się postępowaniu, publikacja prasowa opisująca zarzut oraz anonimowa wzmianka internetowa mogą dotyczyć podobnego przedmiotu, ale ich wartość prawna i poznawcza jest zasadniczo różna. Wymóg prawidłowości danych nie może być rozumiany wyłącznie jako zgodność imienia, nazwiska czy daty urodzenia. Obejmuje również właściwe zakwalifikowanie charakteru informacji i jej aktualności. Nieprawidłowe przedstawienie zarzutu jako ustalonego faktu może prowadzić do błędu decyzyjnego nawet wtedy, gdy sam rekord technicznie odnosi się do właściwej osoby. Ochrona danych w procesach AML nie sprowadza się jednak do zasad RODO w ich zwykłym, operacyjnym wymiarze. Przetwarzanie informacji przez bank stanowi ingerencję w prawa chronione na poziomie Karty praw podstawowych. Ograniczenie tych praw musi być przewidziane prawem, respektować ich istotę, realizować uznany przez Unię cel interesu ogólnego oraz pozostawać konieczne i proporcjonalne. W orzecznictwie TSUE proporcjonalność obejmuje między innymi ocenę, czy ten sam rezultat może zostać osiągnięty równie skutecznie za pomocą rozwiązania mniej ingerującego w prawa podstawowe.

Nie można więc przyjąć, że nadrzędny cel przeciwdziałania praniu pieniędzy sam w sobie rozstrzyga proporcjonalność każdej operacji na danych. Cel AML/CFT ma niewątpliwie wysoką wagę publiczną, co prawodawca unijny wyraźnie potwierdza. Nie eliminuje to jednak obowiązku oceny środka używanego do jego osiągnięcia. Ingerencja może być dopuszczalna ze względu na wagę chronionego interesu, ale jej zakres nadal powinien być związany z konkretną funkcją regulacyjną i nie wykraczać poza to, co potrzebne. Z punktu widzenia banku istotne jest również rozróżnienie proporcjonalności normy ustanawiającej obowiązek i proporcjonalności sposobu jej wykonania. Pierwszy poziom dotyczy prawodawcy, który decyduje, jakie dane mogą albo powinny być przetwarzane i jakie ograniczenia praw jednostki są dopuszczalne. Drugi poziom dotyczy administratora, który w granicach przyznanej podstawy prawnej określa faktyczny zakres operacji na danych. Jeżeli przepis pozostawia bankowi swobodę co do intensywności środków albo zakresu informacji potrzebnych do wyjaśnienia określonego ryzyka, odpowiedzialność za proporcjonalne wykorzystanie tej swobody przechodzi na poziom konkretnego procesu.

Różnica ta jest szczególnie istotna w systemach opartych na ryzyku. Prawodawca nie określa w sposób wyczerpujący każdej informacji, którą bank powinien pozyskać w każdej możliwej sytuacji. Pozostawia przestrzeń dla profesjonalnej oceny banku. Elastyczność ta jest potrzebna, ponieważ ryzyka różnią się zależnie od klienta, produktu, geografii, transakcji i sposobu prowadzenia działalności. Jednocześnie właśnie ta elastyczność powoduje, że bank nie może ograniczyć oceny zgodności do stwierdzenia, iż „ustawa AML pozwala żądać dodatkowych informacji”. Konieczne pozostaje uzasadnienie, dlaczego określona informacja była potrzebna w konkretnym przypadku. Analogiczny problem występuje przy realizacji obowiązków sankcyjnych. Sam zakaz sankcyjny może być bezwzględny, ale sposób jego wykonania może wymagać przetwarzania różnej ilości danych. Weryfikacja prostego trafienia nazwiska może zostać zakończona po porównaniu kilku danych identyfikacyjnych, natomiast analiza pośredniej relacji własnościowej może wymagać prześledzenia złożonej struktury kilku podmiotów. Podstawa prawna dla realizacji obowiązku sankcyjnego nie przesądza automatycznie, że bank powinien w obu przypadkach przetwarzać identyczny zakres informacji.

Także ograniczenia praw osoby, której dane dotyczą, wymagają odrębnej podstawy. Artykuł 23 RODO pozwala prawodawcy Unii albo państwa członkowskiego ograniczyć określone prawa i obowiązki wynikające z RODO, jeżeli ograniczenie respektuje istotę praw podstawowych oraz jest środkiem niezbędnym i proporcjonalnym w demokratycznym społeczeństwie, między innymi w celu zapobiegania przestępstwom, ich wykrywania i ścigania albo ochrony innych ważnych interesów publicznych. Nie oznacza to jednak generalnego zawieszenia praw osoby w obszarze AML. Ograniczenia muszą wynikać z właściwych przepisów i pozostawać związane z celem, któremu służą. Konstrukcja retencji potwierdza z kolei, że obowiązek AML nie prowadzi do nieograniczonego przechowywania danych. Obowiązująca polska ustawa AML oraz AMLR przyjmują co do zasady pięcioletni horyzont przechowywania określonych kategorii dokumentacji, przy jednoczesnym przewidzeniu szczególnych przesłanek dla dalszej retencji. Sama możliwość, że dane mogą kiedyś okazać się użyteczne, nie została więc uznana przez prawodawcę za wystarczającą podstawę do przechowywania bez końca.

Na tle całego systemu widać zatem, że ochrona danych nie pełni wobec AML/CFT funkcji zewnętrznego ograniczenia nakładanego na odrębny system regulacyjny. Jest elementem samej konstrukcji prawnej określającej, jak obowiązki AML mają być wykonywane. Największa trudność pojawia się tam, gdzie przepisy nie wskazują konkretnego zamkniętego zestawu informacji, lecz nakazują bankowi uzyskać tyle danych, ile jest potrzebne do właściwego rozpoznania ryzyka lub rozstrzygnięcia określonej wątpliwości. W takim przypadku zasady minimalizacji i proporcjonalności muszą zostać zastosowane do procesu, którego wynik nie jest znany z góry.

Niezbędność i minimalizacja danych w warunkach niepewności

Zasada minimalizacji danych jest stosunkowo prosta wtedy, gdy administrator zna cel przetwarzania, stan faktyczny oraz zestaw informacji koniecznych do wykonania określonej czynności. Jeżeli do realizacji obowiązku wystarczają trzy dane, pozyskanie czwartej wymaga odrębnego uzasadnienia. W procesach AML/CFT i sankcyjnych sytuacja jest jednak bardziej złożona. Bank zna cel regulacyjny, ale nie zawsze zna zakres informacji potrzebnych do jego osiągnięcia, ponieważ jednym z przedmiotów procesu jest właśnie usunięcie niepewności dotyczącej ocenianego klienta, relacji lub transakcji. Zasada minimalizacji musi być więc stosowana do procesu poznawczego, którego wynik nie jest jeszcze znany w chwili podejmowania decyzji o pozyskaniu danych. Artykuł 5 ust. 1 lit. c RODO wymaga, aby dane pozostawały adekwatne, stosowne oraz ograniczone do tego, co niezbędne w stosunku do celów ich przetwarzania. Konstrukcja ta zakłada relację pomiędzy konkretną informacją a konkretnym celem, nie określa natomiast abstrakcyjnej maksymalnej ilości danych, którą administrator może posiadać. W orzecznictwie TSUE kryterium niezbędności pozostaje powiązane z zasadą minimalizacji oraz z pytaniem, czy realizowany cel można osiągnąć równie skutecznie za pomocą środka mniej ingerującego. Nie oznacza to jednak, że każda jednostkowa operacja na danych wymaga przeprowadzania od początku pełnego testu proporcjonalności właściwego dla oceny ograniczenia praw podstawowych. Na poziomie działania administratora zasadnicze znaczenie ma to, czy konkretne dane są adekwatne, stosowne i ograniczone do tego, co niezbędne dla wskazanego celu.

Rozróżnienie to ma istotne znaczenie dla AML/CFT. Część zakresu przetwarzania wynika bezpośrednio z decyzji prawodawcy. Jeżeli przepisy wymagają identyfikacji klienta, weryfikacji jego tożsamości, ustalenia beneficjenta rzeczywistego albo przeprowadzenia określonych czynności monitorujących, bank nie musi każdorazowo wykazywać, dlaczego samo wykonanie ustawowego obowiązku pozostaje proporcjonalne do celu przeciwdziałania praniu pieniędzy. Inaczej wygląda sytuacja, gdy przepisy posługują się normą otwartą i pozostawiają bankowi ocenę, jakie dodatkowe informacje są potrzebne do zrozumienia relacji, wyjaśnienia nietypowej transakcji, zweryfikowania źródła środków lub majątku albo zastosowania środków odpowiadających wyższemu poziomowi ryzyka. Prawidłowa ocena niezbędności wymaga zatem odróżnienia danych, których przetwarzanie jest bezpośrednio przesądzone przez przepis, od danych pozyskiwanych w ramach pozostawionego bankowi marginesu oceny. W pierwszym przypadku zasadnicze pytanie dotyczy prawidłowego wykonania normy ustawowej i sposobu jej technicznej realizacji. W drugim konieczne jest wykazanie, dlaczego konkretna informacja była potrzebna w danym stanie faktycznym. Im bardziej otwarta jest norma regulacyjna i im większą swobodę pozostawia bankowi, tym większego znaczenia nabiera rozliczalność decyzji dotyczącej zakresu informacji.

Nie oznacza to jednak, że bank powinien znać z góry rezultat, który uzyska dzięki dodatkowym danym. Taki standard byłby logicznie niemożliwy do spełnienia. Informacja jest często potrzebna właśnie dlatego, że rezultat analizy pozostaje nieznany. Przy ocenie potencjalnego trafienia sankcyjnego bank może potrzebować dodatkowej daty urodzenia, obywatelstwa lub informacji o miejscu zamieszkania, ponieważ posiadane dane nie pozwalają rozstrzygnąć, czy klient jest osobą wskazaną w wykazie. Jeżeli dodatkowa informacja prowadzi do wykluczenia trafienia, jej użyteczność nie znika tylko dlatego, że ostateczny wynik analizy jest negatywny. Funkcją tej informacji było umożliwienie dokonania takiego wykluczenia. Podobnie w AML brak potwierdzenia podwyższonego ryzyka po uzyskaniu dodatkowych informacji nie oznacza automatycznie, że ich pozyskanie było zbędne. Jeżeli transakcja pozostawała niespójna z profilem klienta, a posiadane informacje nie pozwalały zrozumieć jej celu gospodarczego, uzyskanie dodatkowego wyjaśnienia mogło być konieczne do rozstrzygnięcia wątpliwości. To, że wyjaśnienie okazało się wiarygodne i zakończyło analizę, jest wynikiem procesu, a nie dowodem na brak potrzeby jego przeprowadzenia. Odmienna interpretacja prowadziłaby do paradoksu: zgodne z zasadą minimalizacji byłyby przede wszystkim te pytania, których odpowiedź potwierdziła wcześniejsze podejrzenie, podczas gdy pytania pozwalające je wykluczyć byłyby retrospektywnie uznawane za niepotrzebne.

Z tego powodu ocena niezbędności powinna zasadniczo uwzględniać perspektywę istniejącą w chwili podjęcia decyzji o przetwarzaniu, a nie wyłącznie wiedzę dostępną po zakończeniu procesu. Nie oznacza to, że wynik późniejszej analizy jest prawnie obojętny. Może mieć znaczenie dla oceny prawidłowości metodologii, jakości stosowanych kryteriów, zasadności ponownego stosowania podobnych pytań lub skuteczności systemu. Nie może jednak automatycznie przesądzać o legalności pierwotnej decyzji poprzez odwołanie do informacji, których bank wówczas nie posiadał. Takie podejście odpowiada szerszej konstrukcji decyzji podejmowanych w warunkach ryzyka. Racjonalność decyzji nie jest tożsama z późniejszym wynikiem. Prawidłowo podjęta decyzja może prowadzić do rezultatu niekorzystnego, a decyzja wadliwa może przypadkowo zakończyć się wynikiem prawidłowym. W odniesieniu do ochrony danych oznacza to, że późniejsze stwierdzenie braku ryzyka ML/TF albo brak sankcyjnego dopasowania nie powinny same przez się prowadzić do wniosku, że przetwarzanie prowadzące do tego ustalenia było nadmierne. Ocenie powinno podlegać to, czy w chwili podjęcia decyzji istniała racjonalna i prawnie relewantna niepewność oraz czy pozyskiwane dane miały rzeczywistą zdolność do jej zmniejszenia.

Perspektywa ex ante działa jednak również w przeciwnym kierunku. Późniejsza przydatność informacji nie może legalizować jej wcześniejszego zebrania, jeżeli w chwili pozyskiwania brakowało racjonalnego związku z realizowanym celem. Administrator nie może bronić nadmiernego gromadzenia danych argumentem, że któraś z informacji po pewnym czasie okazała się użyteczna. Taki sposób rozumowania prowadziłby do generalnego usprawiedliwienia zbierania danych „na przyszłość”, skoro niemal każda dodatkowa informacja może potencjalnie uzyskać znaczenie w nieprzewidzianej sytuacji. Zasada minimalizacji wymaga, aby związek pomiędzy informacją a celem istniał w momencie przetwarzania, a nie został skonstruowany dopiero po pojawieniu się nowej potrzeby. Ocena ex ante nie może mieć również charakteru czysto subiektywnego. Nie wystarcza przekonanie pracownika banku, że określona informacja „może się przydać”. Kryterium niezbędności ma charakter normatywny i wymaga obiektywizacji. Powinno być możliwe wskazanie, jaki obowiązek jest wykonywany, jaka okoliczność pozostaje niewyjaśniona, dlaczego jej rozstrzygnięcie ma znaczenie dla decyzji oraz w jaki sposób dodatkowa informacja może rzeczywiście zmniejszyć istniejącą niepewność. Standard ten jest szczególnie istotny w organizacjach działających na dużą skalę, ponieważ pojedyncze praktyki pozyskiwania danych są następnie utrwalane w formularzach, scenariuszach monitoringu, instrukcjach operacyjnych i systemach informatycznych.

W tym miejscu pojawia się granica pomiędzy informacją potrzebną a informacją jedynie potencjalnie użyteczną. W praktyce AML niemal każda dodatkowa wiedza o kliencie może w pewnym stopniu zwiększyć zdolność banku do oceny jego zachowania. Więcej informacji o majątku, działalności zawodowej, historii transakcyjnej, kontrahentach lub powiązaniach zagranicznych może potencjalnie ułatwić przyszłą interpretację niektórych zdarzeń. Gdyby sama możliwość poprawienia jakości przyszłej oceny była wystarczająca, zasada minimalizacji straciłaby praktyczne znaczenie. Konieczne jest więc bardziej wymagające kryterium: informacja powinna pozostawać związana z konkretnym obowiązkiem lub konkretnie rozpoznaną kategorią ryzyka w sposób pozwalający racjonalnie oczekiwać, że jej uzyskanie może wpłynąć na ocenę lub decyzję. Wartość informacyjna danych nie jest przy tym kategorią absolutną. Ta sama informacja może być niezbędna w jednym procesie i zbędna w innym. Data urodzenia może mieć podstawowe znaczenie dla rozstrzygnięcia sankcyjnego dopasowania imienia i nazwiska, lecz niewielką wartość przy ocenie gospodarczego celu konkretnej płatności. Informacja o źródle majątku może być uzasadniona w relacji o podwyższonym ryzyku, ale nie wynika z tego, że powinna być rutynowo pozyskiwana od każdego klienta bez względu na charakter relacji.

Minimalizacja pozostaje zatem ściśle związana z prawidłowym określeniem celu na odpowiednim poziomie szczegółowości. Określenie celu jako „AML” albo „przeciwdziałanie przestępczości finansowej” jest zbyt ogólne, aby samo w sobie pozwalało ocenić niezbędność konkretnego rodzaju danych. Z perspektywy decyzji operacyjnej konieczne jest zejście na niższy poziom: identyfikacja klienta, ustalenie beneficjenta rzeczywistego, wyjaśnienie źródła środków, analiza konkretnej transakcji, rozstrzygnięcie trafienia sankcyjnego, zweryfikowanie relacji własności lub kontroli. Dopiero na tym poziomie można racjonalnie ocenić, czy dana informacja jest adekwatna, stosowna i potrzebna. Nie można przy tym wymagać, aby bank wybierał zawsze absolutnie najmniejszą możliwą liczbę danych w sensie arytmetycznym. Zasada minimalizacji dotyczy wystarczającego, a zarazem nieprzekraczającego potrzeby zakresu informacji. Czasami wykorzystanie większej liczby danych o niskiej ingerencyjności może prowadzić do bardziej precyzyjnego i mniej dolegliwego rozstrzygnięcia niż oparcie się na jednej informacji o wysokiej wadze lub niskiej jakości. Weryfikacja kilku neutralnych danych identyfikacyjnych może pozwolić szybko wykluczyć sankcyjne trafienie i uniknąć dalszej, bardziej ingerującej analizy. Mechaniczne utożsamienie minimalizacji z najmniejszą liczbą pól w systemie mogłoby w takim przypadku prowadzić do skutku przeciwnego do celu ochronnego.

W procesach AML/CFT zastosowanie kryterium mniej ingerującej alternatywy wymaga jednak ostrożności. Alternatywny środek powinien być nie tylko mniej ingerujący, lecz także wystarczająco skuteczny z perspektywy konkretnego obowiązku. Nie można uznać informacji za zbędną tylko dlatego, że bank dysponuje innym źródłem danych, jeżeli źródło to nie pozwala osiągnąć porównywalnego poziomu wiarygodności lub nie odpowiada na tę samą wątpliwość. Jednocześnie brak technicznie łatwiejszej alternatywy nie oznacza automatycznie niezbędności środka bardziej ingerującego. Konieczne pozostaje zbadanie, czy poziom niepewności rzeczywiście uzasadnia dalszą ingerencję oraz czy uzyskanie kolejnej informacji może w sposób istotny zmienić ocenę. Szczególne znaczenie ma tu rozróżnienie pomiędzy niepewnością wynikającą z braku danych a niepewnością, której dodatkowe dane nie są w stanie racjonalnie usunąć. Nie każdy brak wiedzy uzasadnia poszerzanie zbioru informacji. W niektórych przypadkach niepewność jest nieodłączną cechą ocenianego zjawiska i można ją jedynie ograniczyć, nie zaś wyeliminować. Próba osiągnięcia pełnej pewności mogłaby wówczas prowadzić do nieproporcjonalnego rozszerzania zakresu danych bez odpowiadającego mu wzrostu jakości decyzji. System oparty na ryzyku wymaga zdolności działania przy określonym poziomie niepewności, a nie jej całkowitego usunięcia.

To rozróżnienie jest szczególnie ważne w AML. Bank nie ma obowiązku osiągnięcia pewności, że klient nigdy nie wykorzysta jego usług do prania pieniędzy. Taki poziom wiedzy jest nieosiągalny. Powinien natomiast posiadać wystarczającą podstawę do dokonania wymaganej prawem oceny ryzyka i zastosowania odpowiednich środków. Jeżeli kolejne dane nie mogą już racjonalnie zmienić klasyfikacji klienta, sposobu monitorowania, decyzji o zastosowaniu wzmożonych środków albo oceny konkretnej transakcji, ich dalsze pozyskiwanie wymaga coraz silniejszego uzasadnienia. W sankcjach granica może być przesunięta ze względu na odmienny charakter decyzji. Bank musi uzyskać wystarczającą podstawę do rozstrzygnięcia, czy znajduje zastosowanie bezwzględny zakaz. Jeżeli jednak istniejące dane pozwalają z dostateczną pewnością wykluczyć tożsamość osoby albo relację własności i kontroli, dalsze pogłębianie analizy nie może być uzasadniane samą teoretyczną możliwością błędu. Z drugiej strony, jeżeli podstawowe dane pozostają zgodne i nie pozwalają na bezpieczne wykluczenie trafienia, przetwarzanie kolejnych informacji może być niezbędne mimo zwiększenia ingerencji w prywatność.

Na tym tle szczególnej ostrożności wymagają dane objęte przez AMLR podwyższonym standardem ochrony. W odniesieniu do szczególnych kategorii danych oraz danych dotyczących wyroków i czynów zabronionych prawodawca posługuje się kryterium ścisłej niezbędności. Oznacza to, że ogólna możliwość poprawienia oceny ryzyka nie powinna wystarczać. Związek pomiędzy informacją a wykonywanym obowiązkiem musi być szczególnie wyraźny, a wykorzystanie danych powinno pozostawać ograniczone do sytuacji, w których bez nich realizacja celu nie może zostać zapewniona w porównywalny sposób za pomocą informacji mniej ingerujących. Perspektywa czasowa ma również znaczenie dla zasady rozliczalności. Bank powinien być zdolny odtworzyć przesłanki, na podstawie których zdecydował o pozyskaniu określonego zakresu danych. Nie wymaga to tworzenia osobnego uzasadnienia prawnego dla każdego pytania skierowanego do klienta. W procesach masowych racjonalne jest stosowanie modeli, scenariuszy i reguł decyzyjnych, które z góry określają, jakie okoliczności uruchamiają potrzebę uzyskania dodatkowych informacji. Model taki powinien jednak umożliwiać wykazanie związku pomiędzy przesłanką, powstałą niepewnością i zakresem danych. Im bardziej ingerująca informacja, tym bardziej precyzyjny powinien być mechanizm jej uruchomienia.

Można więc przyjąć, że w procesach AML i sankcyjnych zasada minimalizacji wymaga połączenia dwóch perspektyw. Pierwsza ma charakter normatywny i pyta, jakie dane mogą być potrzebne do wykonania konkretnego obowiązku. Druga ma charakter decyzyjny i pyta, jaka informacja była racjonalnie potrzebna przy stanie wiedzy istniejącym w chwili podejmowania działania. Dopiero ich łączne zastosowanie pozwala uniknąć zarówno nadmiernego ograniczenia procesów przeciwdziałania przestępczości finansowej, jak i traktowania ich celu jako generalnego uzasadnienia dla maksymalizacji zakresu wiedzy o kliencie.

Dynamiczny charakter zakresu informacji

Jeżeli potrzeba pozyskania danych zależy od stanu wiedzy istniejącego na danym etapie procesu, zakres informacji nie może być oceniany wyłącznie jednorazowo na początku relacji lub analizy. Każda nowa informacja może zmniejszyć niepewność, ujawnić nową okoliczność albo przeciwnie – zakończyć potrzebę dalszego pogłębiania wiedzy. Zasada minimalizacji musi zatem oddziaływać nie tylko na początkowy zakres informacji, lecz na cały proces ich stopniowego pozyskiwania i wykorzystywania. Taki charakter procesu wynika już z konstrukcji obowiązującej ustawy AML. Instytucje obowiązane stosują środki bezpieczeństwa finansowego w zakresie i z intensywnością uwzględniającymi rozpoznane ryzyko ML/TF oraz jego ocenę. Bieżące monitorowanie stosunków gospodarczych obejmuje analizę transakcji pod kątem ich zgodności z wiedzą instytucji o kliencie, jego działalności i profilu ryzyka, badanie źródła pochodzenia wartości majątkowych w przypadkach uzasadnionych okolicznościami oraz zapewnienie aktualności dokumentów, danych i informacji dotyczących relacji. Regulacja zakłada więc, że zarówno ryzyko, jak i zakres informacji potrzebnych do jego oceny nie są wielkościami ustalanymi raz na początku relacji.

AMLR rozwija tę konstrukcję jeszcze wyraźniej. Bieżące monitorowanie ma służyć ustaleniu, czy stosunki gospodarcze i transakcje pozostają zgodne z wiedzą o kliencie, jego działalności i profilu ryzyka, oraz identyfikowaniu sytuacji wymagających pogłębionej analizy. Dokumenty, dane i informacje dotyczące klienta powinny być aktualizowane w odstępach zależnych od poziomu ryzyka, a niezależnie od okresowych przeglądów aktualizacja powinna nastąpić także wtedy, gdy zmienią się istotne okoliczności dotyczące klienta albo podmiot zobowiązany poweźmie wiedzę o nowym istotnym fakcie. Ustawodawca zakłada zatem zarówno cykliczną, jak i zdarzeniową aktualizację wiedzy.

Istotne jest jednak to, że aktualizacja informacji nie musi zawsze oznaczać zwiększenia ich zakresu. Nowa okoliczność może uzasadniać uzyskanie kolejnych danych, ale może również potwierdzić, że dotychczasowy poziom wiedzy pozostaje wystarczający. Podobnie okresowy przegląd klienta nie powinien być automatycznie utożsamiany z ponownym zebraniem pełnego zestawu informacji. Celem jest zapewnienie aktualności i adekwatności wiedzy potrzebnej do wykonania obowiązku, a nie systematyczne zwiększanie zasobu danych o kliencie. Szczególnie dobrze widać to na tle uproszczonych i wzmocnionych środków należytej staranności wobec klienta. W sytuacjach niższego ryzyka możliwe jest ograniczenie częstotliwości aktualizacji danych, ilości informacji pozyskiwanych dla ustalenia celu i zamierzonego charakteru relacji lub intensywności monitorowania. Jeżeli jednak znikną okoliczności uzasadniające niższy poziom ryzyka, pojawią się niespójności, monitoring wykluczy scenariusz niskiego ryzyka albo powstanie podejrzenie, konieczne może być zwiększenie intensywności środków. Model regulacyjny ma zatem charakter warunkowy: intensywność procesu i zakres wiedzy ulegają zmianie wraz ze zmianą przesłanek, na których opierała się wcześniejsza ocena.

W kierunku przeciwnym działa reżim wzmocnionych środków należytej staranności wobec klienta. Pojawienie się podwyższonego ryzyka może uzasadniać bardziej szczegółowe badanie klienta, źródła środków, źródła majątku, celu transakcji lub innych okoliczności istotnych dla oceny ryzyka. Powstanie określonego sygnału powoduje więc przejście do bardziej intensywnego etapu procesu, ale intensyfikacja ta pozostaje związana z konkretną okolicznością wymagającą wyjaśnienia. Można z tego wyprowadzić model sekwencyjny. Pierwszy etap obejmuje informacje niezbędne do wykonania podstawowych obowiązków oraz dokonania początkowej oceny relacji. Drugi pojawia się, gdy informacja posiadana przez bank ujawnia okoliczność wymagającą dalszego wyjaśnienia. Trzeci polega na pozyskaniu dodatkowych danych odpowiadających tej okoliczności i ponownej ocenie stanu faktycznego lub ryzyka. Wynik tej oceny może prowadzić do zamknięcia wątpliwości, utrzymania dotychczasowego poziomu środków albo dalszej eskalacji. Sekwencja może powtarzać się w trakcie relacji, jeżeli pojawiają się nowe informacje, ale każdy kolejny etap powinien mieć własne uzasadnienie wynikające z wiedzy uzyskanej na etapie poprzednim.

Na potrzeby niniejszego artykułu taki sposób stosowania zasady minimalizacji można określić jako dynamiczną minimalizację danych. Pojęcie to nie oznacza odrębnej zasady prawnej niewynikającej z RODO. Służy opisaniu sposobu stosowania art. 5 ust. 1 lit. c RODO do procesów, w których zakres informacji potrzebnych do osiągnięcia celu nie może być w całości określony przed rozpoczęciem analizy. Minimalizacja ma w takim przypadku charakter dynamiczny dlatego, że przedmiotem oceny pozostaje nie tylko pierwotny zbiór danych, lecz także zasadność przejścia do każdego kolejnego etapu pozyskiwania informacji. Konstrukcja ta pozwala uniknąć dwóch skrajności. Pierwszą byłoby przyjęcie bardzo szerokiego zestawu danych wejściowych wobec wszystkich klientów w celu uniknięcia konieczności późniejszego ich uzupełniania. Organizacyjnie rozwiązanie takie może wydawać się prostsze, ponieważ zapewnia bankowi maksymalną ilość informacji dostępną na wypadek wystąpienia przyszłej wątpliwości. Z punktu widzenia minimalizacji prowadzi jednak do systematycznego przetwarzania danych dotyczących osób, wobec których potrzeba ich wykorzystania może nigdy nie powstać. Drugą skrajnością byłoby zbyt wąskie określenie zakresu informacji i odmowa jego zwiększenia nawet wtedy, gdy pojawiły się nowe okoliczności wskazujące na wyższe ryzyko lub istotną niepewność.

Dynamiczny model minimalizacji oznacza zatem, że podstawowy zakres danych powinien odpowiadać potrzebom typowego procesu i rozpoznanemu poziomowi ryzyka, natomiast dane dodatkowe powinny być pozyskiwane w odpowiedzi na konkretną przesłankę. Przesłanka ta może wynikać zarówno z informacji uzyskanej od klienta, jak i z jego zachowania transakcyjnego, zmiany profilu działalności, informacji pochodzących z rejestru lub wiarygodnego źródła zewnętrznego, zmiany struktury własnościowej albo innych okoliczności istotnych dla wykonywanego obowiązku. O zasadności rozszerzenia zakresu danych nie powinien więc decydować sam fakt, że bank technicznie jest w stanie pozyskać dodatkową informację, lecz to, czy wcześniejszy etap procesu ujawnił problem, którego racjonalne rozwiązanie wymaga uzupełnienia wiedzy. Nie każda zmiana musi jednak prowadzić do zwiększenia zakresu informacji. W praktyce szczególnego znaczenia nabiera materialność nowej okoliczności. Drobna zmiana danych kontaktowych klienta nie musi mieć znaczenia dla oceny ryzyka ML/TF, podczas gdy zmiana beneficjenta rzeczywistego, rodzaju prowadzonej działalności, jurysdykcji, z którą klient pozostaje powiązany, albo modelu przepływów finansowych może istotnie zmienić wcześniejszą ocenę. Wymóg aktualności danych nie powinien więc powodować automatycznej eskalacji wszystkich procesów w jednakowym zakresie.

Dynamiczność procesu ma również szczególne znaczenie w weryfikacji sankcyjnej. Nowe umieszczenie osoby lub podmiotu w wykazie może stworzyć potrzebę analizy klienta, który wcześniej nie przedstawiał żadnego problemu sankcyjnego. Zakres potrzebnych danych będzie zależał od jakości trafienia: oczywista rozbieżność może pozwolić zakończyć proces po porównaniu podstawowych danych, podczas gdy silna zbieżność może uzasadnić dalszą weryfikację. Także tutaj zakres informacji powinien rozwijać się wraz z rzeczywistą potrzebą rozstrzygnięcia konkretnej wątpliwości. W takim modelu szczególnie ważny staje się moment zatrzymania procesu. Regulacje AML/CFT szczegółowo opisują sytuacje, w których należy zastosować dodatkowe środki, natomiast z punktu widzenia ochrony danych równie istotne jest ustalenie, kiedy cel został osiągnięty w stopniu wystarczającym i dalsze pozyskiwanie informacji przestaje być niezbędne. Brak takiego kryterium prowadziłby do procesu potencjalnie nieograniczonego. Każda informacja może ujawnić kolejne pytanie, a każda odpowiedź może teoretycznie zostać zweryfikowana za pomocą dalszych danych.

Prawidłowy punkt zatrzymania powinien być związany z celem konkretnego procesu. W przypadku identyfikacji klienta będzie nim osiągnięcie poziomu weryfikacji wymaganego właściwymi przepisami. Przy ustalaniu beneficjenta rzeczywistego chodzi o uzyskanie wystarczającej podstawy do rozpoznania struktury własności i kontroli oraz tożsamości osoby fizycznej spełniającej właściwe kryteria. Przy analizie nietypowej transakcji chodzi o pozyskanie informacji pozwalających bankowi racjonalnie ocenić jej pochodzenie, przeznaczenie i cel oraz podjąć decyzję co do dalszych obowiązków. Przy trafieniu sankcyjnym celem jest ustalenie, czy stan faktyczny uzasadnia zastosowanie odpowiedniego środka ograniczającego. Nie oznacza to konieczności osiągnięcia identycznego stopnia pewności we wszystkich procesach. Standard wystarczalności informacji zależy od charakteru decyzji. W niektórych przypadkach prawo wymaga ustalenia określonego faktu, w innych nakazuje zastosowanie środków odpowiednich do ocenionego ryzyka, a jeszcze w innych reagowanie na uzasadnione podejrzenie. Można natomiast sformułować zasadę ogólną: dalsze rozszerzanie zakresu informacji traci uzasadnienie, gdy pozostająca niepewność nie ma już istotnego znaczenia dla decyzji, którą bank jest zobowiązany podjąć, albo gdy dodatkowe dane nie mają racjonalnej zdolności do zmiany tej decyzji.

To ostatnie kryterium jest istotne również dlatego, że nie wszystkie informacje mają taką samą wartość krańcową. Pierwsza dodatkowa informacja może całkowicie rozstrzygnąć problem, podczas gdy kolejne jedynie potwierdzają ustalenie już wystarczająco dobrze udokumentowane. Z perspektywy minimalizacji nie wystarczy więc stwierdzenie, że dana informacja pozostaje związana z przedmiotem analizy. Trzeba również ocenić, czy na danym etapie procesu wnosi ona istotną wartość wobec wiedzy już posiadanej. Im pełniejsza jest podstawa decyzyjna, tym słabsze staje się uzasadnienie dla dalszego zwiększania ingerencji w prywatność, chyba że charakter decyzji wymaga szczególnie wysokiego poziomu pewności. Model dynamiczny powinien działać również w kierunku redukcji intensywności procesu. Jeżeli informacje zebrane w toku relacji pozwalają stwierdzić, że wcześniejsze przesłanki podwyższonego ryzyka przestały istnieć, nie ma podstaw do bezterminowego utrzymywania najbardziej intensywnych środków wyłącznie dlatego, że kiedyś zostały uruchomione, o ile przepisy szczególne nie wymagają ich utrzymania przez określony czas lub do ustania szczególnej przesłanki normatywnej. Nie oznacza to automatycznej zmiany klasyfikacji po pojedynczym zdarzeniu. Oznacza natomiast konieczność okresowego sprawdzania, czy przesłanki uzasadniające określony poziom ingerencji nadal istnieją. Podejście oparte na ryzyku zakłada zdolność zarówno do zwiększania, jak i do zmniejszania intensywności środków odpowiednio do aktualnego ryzyka.

W tym sensie dynamiczna minimalizacja pozostaje powiązana z zasadą prawidłowości danych. Jeżeli zakres informacji i sposób ich wykorzystywania zależą od aktualnego profilu ryzyka, bazowanie na historycznej informacji, która utraciła aktualność, może prowadzić nie tylko do błędnej oceny AML, lecz także do nieuzasadnionego utrzymywania bardziej ingerujących środków. Obowiązek aktualizacji może więc ograniczać ingerencję w prywatność, eliminując sytuacje, w których klient jest nadal traktowany według profilu wynikającego z okoliczności, które przestały istnieć. Dynamiczny charakter procesu powinien znaleźć odzwierciedlenie także w jego organizacji. Bank nie musi podejmować indywidualnej decyzji prawnej przy każdym rozszerzeniu zakresu informacji, ale powinien projektować procesy w sposób pozwalający powiązać określone zdarzenia z odpowiednią reakcją informacyjną. System może przewidywać, że konkretna kategoria alertu uruchamia określony zestaw pytań lub weryfikacji, a bardziej ingerujące działania wymagają dodatkowej przesłanki albo eskalacji. Konstrukcja taka jest zgodna z zasadą rozliczalności tylko wtedy, gdy możliwe jest wyjaśnienie, dlaczego właśnie dany sygnał uzasadnia potrzebę określonego zakresu informacji.

Nie powinno to prowadzić do nadmiernej formalizacji. W procesach AML/CFT występują sytuacje niestandardowe, których nie można wyczerpująco przewidzieć w katalogu reguł. W takich przypadkach konieczna pozostaje profesjonalna ocena pracownika lub właściwej jednostki banku. Rozliczalność nie wymaga całkowitego wyeliminowania uznania. Wymaga, aby uznanie pozostawało związane z określonym celem regulacyjnym, było oparte na dostępnych informacjach i pozwalało odtworzyć przyczynę rozszerzenia zakresu przetwarzania. Przedstawiony model prowadzi również do istotnej konsekwencji dla oceny systemów masowych. Zgodność z zasadą minimalizacji nie powinna być badana wyłącznie przez analizę pojedynczego przypadku. Jeżeli określony scenariusz systemowy regularnie generuje potrzebę pozyskiwania szerokiego zakresu dodatkowych informacji, a zdecydowana większość tych przypadków kończy się bez zmiany oceny ryzyka lub decyzji, może to świadczyć o niewłaściwie ustawionym progu eskalacji. Z kolei zbyt wąskie reguły, które nie identyfikują istotnych przypadków, mogą powodować niedostateczne wykonanie obowiązków AML/CFT lub sankcyjnych. Ocena adekwatności zakresu danych powinna więc obejmować zarówno pojedynczą decyzję, jak i jakość mechanizmu, który takie decyzje generuje.

Jakość danych i ryzyko błędu

Dotychczasowa analiza koncentrowała się przede wszystkim na zakresie informacji, które bank może pozyskiwać w celu zmniejszenia niepewności związanej z wykonywaniem obowiązków AML/CFT i sankcyjnych. Sam zakres danych stanowi jednak tylko jeden z elementów oceny. Zwiększenie liczby informacji nie musi prowadzić do poprawy jakości decyzji, jeżeli dane są nieprawidłowe, nieaktualne, niekompletne, pochodzą z niewiarygodnego źródła albo są interpretowane bez uwzględnienia właściwego kontekstu. Z perspektywy ochrony prywatności problem ten jest szczególnie istotny, ponieważ przetwarzanie danych o niskiej wartości poznawczej może prowadzić jednocześnie do zwiększenia ingerencji w sferę informacyjną klienta i do pogorszenia jakości procesu decyzyjnego. Zasada prawidłowości danych stanowi samodzielną zasadę RODO. Zgodnie z art. 5 ust. 1 lit. d dane osobowe powinny być prawidłowe i, w razie potrzeby, uaktualniane, a administrator powinien podejmować wszelkie rozsądne działania, aby dane nieprawidłowe w świetle celów ich przetwarzania zostały niezwłocznie usunięte lub sprostowane. Wymóg ten pozostaje bezpośrednio powiązany z zasadą minimalizacji. Informacja, która jest nieprawidłowa albo straciła aktualność, może nie tylko prowadzić do wadliwego wyniku, lecz także przestać być adekwatna do celu, dla którego jest wykorzystywana.

W procesach AML/CFT prawidłowość nie powinna być rozumiana wyłącznie jako techniczna zgodność pojedynczego rekordu z rzeczywistością. Istotne jest również właściwe przedstawienie znaczenia informacji oraz jej statusu. AMLR wyraźnie wymaga, aby przy przetwarzaniu szczególnych kategorii danych oraz danych osobowych dotyczących wyroków skazujących i przestępstw, o których mowa w art. 10 RODO, podmiot zobowiązany stosował odpowiednie gwarancje jakości i kontekstu. W odniesieniu do informacji dotyczących przestępczości szczególne znaczenie ma rozróżnienie zarzutów, postępowań i skazań. Rozróżnienie to ma podstawowe znaczenie przy wykorzystywaniu informacji o negatywnym charakterze. Publikacja prasowa informująca o wszczęciu postępowania, materiał opisujący publicznie sformułowany zarzut, informacja o przedstawieniu zarzutów, akt oskarżenia i prawomocne skazanie pozostają zdarzeniami jakościowo różnymi. Sprowadzenie ich w systemie do wspólnej kategorii informacji negatywnej może powodować utratę danych o stopniu potwierdzenia określonej okoliczności. W takim przypadku błąd nie musi polegać na tym, że źródło podało fałszywe dane. Może powstać na poziomie przekształcenia prawdziwej informacji w zbyt daleko idący wniosek.

Także wytyczne EBA dotyczące czynników ryzyka ML/TF wymagają oceny jakości informacji pochodzących z mediów i innych źródeł otwartych. Przy występowaniu doniesień o potencjalnej działalności przestępczej klienta lub beneficjenta rzeczywistego instytucja powinna brać pod uwagę wiarygodność źródła, jego niezależność oraz trwałość i powtarzalność doniesień. Sam brak prawomocnego skazania nie musi przesądzać o pominięciu wiarygodnych informacji, ale nie wynika z tego, że każdy zarzut powinien być traktowany jak ustalony fakt. Konieczna jest ocena zarówno źródła, jak i charakteru informacji oraz właściwe przypisanie jej znaczenia dla ryzyka. Wytyczne te zostały wydane przez EBA. Od 1 stycznia 2026 r. unijny mandat AML/CFT wykonuje AMLA, przy czym istniejące wytyczne i standardy EBA pozostają w mocy do czasu ich zastąpienia przez AMLA. Można wyróżnić co najmniej cztery poziomy, na których w procesie przeciwdziałania przestępczości finansowej może powstać błąd. Pierwszy dotyczy samych danych wejściowych: informacja może być nieprawidłowa, nieaktualna albo przypisana do niewłaściwej osoby. Drugi dotyczy ustalenia relacji pomiędzy danymi: prawidłowe informacje mogą zostać błędnie połączone, przykładowo przez uznanie dwóch osób o podobnych danych za tę samą osobę albo przez nieprawidłowe odtworzenie relacji właścicielskiej. Trzeci poziom obejmuje interpretację informacji: nawet prawidłowo zidentyfikowany fakt może otrzymać nadmierne znaczenie dla oceny ryzyka. Czwarty dotyczy decyzji regulacyjnej, w której prawidłowe ustalenia faktyczne i ocena ryzyka mogą zostać niewłaściwie przełożone na określony środek wobec klienta.

Takie rozróżnienie jest istotne, ponieważ zwiększenie liczby danych oddziałuje odmiennie na poszczególne źródła błędu. Dodatkowy identyfikator może znacząco ograniczyć ryzyko pomylenia dwóch osób. Dalsze gromadzenie informacji nie rozwiąże jednak problemu wadliwej metodologii oceny ryzyka, jeżeli system nadaje nadmierną wagę określonej kategorii okoliczności. Podobnie zwiększenie liczby źródeł informacji negatywnych może poprawić szansę wykrycia istotnego zdarzenia, ale może również zwiększyć liczbę powielonych publikacji odnoszących się do tego samego pierwotnego źródła i stworzyć pozorne wrażenie wielokrotnego niezależnego potwierdzenia informacji. Problem ten można dobrze zilustrować poprzez rozróżnienie pomiędzy wynikami fałszywie pozytywnymi i fałszywie negatywnymi. Wynik fałszywie pozytywny oznacza, że system sygnalizuje występowanie cechy lub zdarzenia, które po weryfikacji nie zostaje potwierdzone. Wynik fałszywie negatywny oznacza niewykrycie przypadku, który powinien zostać rozpoznany. W procesach przeciwdziałania przestępczości finansowej oba rodzaje błędów mają znaczenie, chociaż ich konsekwencje regulacyjne i operacyjne nie są symetryczne.

Wynik fałszywie negatywny może prowadzić do niewykrycia ryzyka ML/TF, nieprzeprowadzenia wymaganej pogłębionej analizy, nierozpoznania osoby objętej środkiem ograniczającym albo wykonania transakcji naruszającej sankcje. Z perspektywy podstawowego celu systemu jest to więc błąd szczególnie poważny. Naturalną reakcją organizacji może być zwiększanie czułości systemów oraz poszerzanie zakresu informacji, które mają zmniejszyć prawdopodobieństwo przeoczenia istotnego przypadku. Taka reakcja ma jednak własny koszt. Obniżenie progu generowania alertów zwiększa zazwyczaj liczbę przypadków fałszywie pozytywnych, które wymagają dalszej analizy. W procesie sankcyjnym mogą one prowadzić do konieczności weryfikacji klienta lub transakcji, czasowego opóźnienia czynności, eskalacji do wyspecjalizowanej jednostki oraz pozyskania dodatkowych informacji. W AML oznaczają większą liczbę alertów z monitoringu transakcyjnego, z których znaczna część może po analizie okazać się zgodna z profilem klienta i nie wymagać dalszego działania. Im więcej takich przypadków, tym większa skala przetwarzania danych osób, wobec których pierwotny sygnał nie znajduje potwierdzenia.

W obszarze sankcyjnym napięcie to znajduje odzwierciedlenie w wytycznych EBA adresowanych do dostawców usług płatniczych oraz dostawców usług w zakresie kryptoaktywów. W odniesieniu do banków mają one znaczenie w zakresie, w jakim bank wykonuje transfery środków jako dostawca usług płatniczych. Wytyczne wymagają takiej kalibracji zautomatyzowanych systemów screeningu, aby nie były one ani nadmiernie czułe, co prowadziłoby do dużej liczby wyników fałszywie pozytywnych, ani niedostatecznie czułe, co zwiększałoby ryzyko niewykrycia osoby lub podmiotu objętego środkiem ograniczającym. Wymóg okresowego testowania i dokumentowania kalibracji ma znaczenie nie tylko operacyjne, lecz również z perspektywy ochrony danych. Ograniczenie liczby wyników fałszywie pozytywnych nie jest bowiem wyłącznie kwestią efektywności. Nadmierna liczba alertów może zwiększać zakres ingerencji w prawa klientów, ponieważ prowadzi do analizy i ewentualnego dalszego pozyskiwania danych w przypadkach, w których nie istnieje rzeczywisty związek z osobą objętą sankcjami. Z drugiej strony nadmierne zmniejszenie czułości systemu w celu ograniczenia ingerencji powodowałoby wzrost ryzyka niewykonania bezwzględnego obowiązku sankcyjnego. Ochrona danych nie daje więc podstawy do jednostronnego ograniczania czułości systemu. Wymaga raczej poszukiwania takiego sposobu działania, który pozwala osiągnąć właściwą zdolność wykrywania przy możliwie ograniczonej liczbie błędnych trafień.

Jakość danych wejściowych może zmieniać tę zależność bez konieczności prostego zwiększania albo zmniejszania czułości systemu. Nawet technicznie poprawny system sankcyjny będzie dawał niewłaściwe rezultaty, jeżeli informacje o klientach lub beneficjentach rzeczywistych są błędne lub niekompletne. Poprawa jakości danych może zatem jednocześnie ograniczać ryzyko wyniku fałszywie negatywnego i fałszywie pozytywnego. Prowadzi to do ważnego wniosku dla zasady minimalizacji. Więcej danych może czasami oznaczać mniejszą ingerencję w dalszym przebiegu procesu, jeżeli dodatkowy, precyzyjny identyfikator pozwala szybko wyeliminować błędne trafienie. Weryfikacja wyłącznie na podstawie imienia i nazwiska może generować liczne alerty wobec osób o popularnych nazwiskach. Dostępność dodatkowych danych identyfikacyjnych, takich jak data urodzenia, miejsce urodzenia czy obywatelstwo, może pozwolić wykluczyć część tych przypadków bez prowadzenia szerszej analizy klienta. W takim przypadku większy początkowy zakres prawidłowych i adekwatnych danych może ograniczyć liczbę osób poddawanych bardziej ingerującym czynnościom weryfikacyjnym. Nie jest to argument za rutynowym gromadzeniem wszystkich możliwych identyfikatorów. Pokazuje natomiast ograniczenia czysto ilościowego rozumienia minimalizacji. Jeżeli jedna dodatkowa informacja powoduje znaczący wzrost zdolności rozróżnienia osób i pozwala uniknąć późniejszego przetwarzania znacznie szerszego zakresu danych, jej wykorzystanie może być uzasadnione właśnie z perspektywy proporcjonalności całego procesu. Ocena powinna uwzględniać nie tylko ingerencję związaną z pojedynczym elementem danych, lecz także jego wpływ na zakres dalszych czynności.

Analogiczna zależność występuje w AML. Prawidłowo zbudowany profil klienta może ograniczyć liczbę alertów generowanych przez zachowania, które są nietypowe w oderwaniu od kontekstu, ale normalne dla konkretnego rodzaju działalności. Informacja o spodziewanej skali obrotów, charakterze kontrahentów, geograficznym obszarze działalności albo sezonowości przepływów może umożliwiać dokładniejsze odróżnienie transakcji wymagających analizy od aktywności zgodnej z profilem klienta. Z drugiej strony nadmiernie szeroki profil, budowany przy wykorzystaniu danych o niewielkiej wartości dla oceny ryzyka, może zwiększać ingerencję bez odpowiadającej jej poprawy jakości monitorowania. Z perspektywy banku nie wystarcza zatem ocena jakości pojedynczych rekordów. Konieczna jest także ocena jakości źródła. Informacja pochodząca z oficjalnego rejestru, dokumentu urzędowego, renomowanego medium, anonimowego wpisu w internecie lub komercyjnego agregatora może mieć różny stopień wiarygodności i wymagać odmiennego sposobu weryfikacji. Nie oznacza to stworzenia jednej, niezmiennej hierarchii źródeł. Oficjalny rejestr może być nieaktualny, a rzetelna publikacja dziennikarska może ujawniać informacje, które nie znalazły jeszcze odzwierciedlenia w źródłach urzędowych. Istotne pozostaje jednak zrozumienie pochodzenia danych i stopnia, w jakim można na nich opierać określony wniosek.

Szczególny problem powstaje przy korzystaniu z zewnętrznych dostawców baz AML i sankcyjnych. Zlecenie technicznego pozyskiwania i porządkowania informacji może zwiększać efektywność procesu, ale nie przenosi na dostawcę odpowiedzialności banku za sposób wykorzystania danych. Sama obecność informacji w komercyjnej bazie nie może zastępować oceny jej relewantności, aktualności i znaczenia. W procesach masowych szczególnego znaczenia nabiera także możliwość identyfikowania systematycznych błędów. Jeżeli określone źródło regularnie generuje informacje nieaktualne albo dany scenariusz prowadzi do nadmiernej liczby wyników fałszywie pozytywnych, problem nie powinien być rozwiązywany wyłącznie na poziomie kolejnych indywidualnych spraw. Zasada rozliczalności oraz obowiązek zapewnienia prawidłowości przetwarzania przemawiają za zmianą źródła, sposobu jego ważenia, parametrów modelu albo sposobu weryfikacji. Proces powinien posiadać mechanizm uczenia się z własnych błędów.

Nie oznacza to, że celem systemu powinno być całkowite wyeliminowanie wyników fałszywie pozytywnych lub fałszywie negatywnych. W procesach działających na podstawie niepełnej informacji oraz probabilistycznych kryteriów taki rezultat jest zwykle niemożliwy. Próba sprowadzenia wyników fałszywie negatywnych do zera przez maksymalne zwiększenie czułości może prowadzić do lawinowego wzrostu wyników fałszywie pozytywnych. Dążenie do wyeliminowania wyników fałszywie pozytywnych poprzez zawężenie reguł może natomiast powodować niewykrywanie rzeczywistych przypadków. Właściwym celem pozostaje racjonalnie zaprojektowana równowaga odpowiadająca charakterowi obowiązku, znaczeniu błędów oraz dostępności mechanizmów ich dalszej weryfikacji. Z punktu widzenia ochrony danych istotne jest również to, że koszty obu rodzajów błędu ponoszą różne podmioty. Koszt wyniku fałszywie negatywnego może materializować się przede wszystkim po stronie interesu publicznego i banku: jako niewykryta aktywność przestępcza, naruszenie sankcji, odpowiedzialność regulacyjna lub reputacyjna. Koszt wyniku fałszywie pozytywnego jest w większym stopniu bezpośrednio przenoszony na osobę, której dotyczy analiza: poprzez konieczność przekazywania dodatkowych informacji, dłuższy czas realizacji czynności, zwiększony stopień monitorowania, potencjalne ograniczenie dostępu do produktu albo błędne utrzymywanie podwyższonej klasyfikacji ryzyka. W tym miejscu zasada prawidłowości łączy się z zasadą rzetelności przetwarzania. Dane mogą być formalnie prawidłowe, ale sposób ich wykorzystania może prowadzić do wyniku niesprawiedliwego lub wprowadzającego w błąd, jeżeli nie uwzględnia kontekstu albo stopnia niepewności informacji. Szczególnie istotne jest to przy danych o postępowaniach karnych, zarzutach lub powiązaniach z osobami trzecimi. Zastosowanie prawidłowej informacji bez odpowiedniego kontekstu może prowadzić do podobnego skutku jak wykorzystanie informacji nieprawidłowej.

Dobrym przykładem jest informacja historyczna. Fakt, że określona osoba pełniła kiedyś funkcję, pozostawała w relacji z innym podmiotem albo była przedmiotem określonego postępowania, może być historycznie prawdziwy. Nie wynika z tego jeszcze, że zachowuje taką samą wagę dla aktualnej oceny ryzyka. Zasada prawidłowości wymaga więc również oceny aktualności informacji w świetle celu przetwarzania. W praktyce nie każda informacja historyczna powinna zostać usunięta, jeżeli pozostaje prawnie istotna, ale jej wiek i zmiana okoliczności powinny wpływać na sposób interpretacji. Podobny problem występuje przy powielaniu informacji przez wiele źródeł. Dziesięć artykułów prasowych może w rzeczywistości opierać się na jednej pierwotnej informacji. Mechanizm automatyczny, który traktuje liczbę publikacji jako wskaźnik wiarygodności bez analizy ich zależności, może nadać zbyt dużą wagę pojedynczemu, niezweryfikowanemu zdarzeniu. W tym przypadku zwiększenie ilości danych nie tylko nie zmniejsza niepewności, ale może tworzyć pozorne potwierdzenie, które pogarsza jakość decyzji.

W procesie sankcyjnym analogiczny problem może wystąpić przy transliteracji i dopasowaniu nazw. Zbyt dosłowne dopasowanie może prowadzić do wyników fałszywie negatywnych, gdy różne systemy transliteracji generują odmienne zapisy tej samej nazwy. Zbyt szerokie algorytmy podobieństwa mogą natomiast wytwarzać dużą liczbę wyników fałszywie pozytywnych. Właściwa kalibracja technik dopasowania jest więc elementem zarówno skuteczności systemu, jak i ograniczania niepotrzebnej ingerencji. W konsekwencji jakość danych w AML i sankcjach powinna być rozumiana wielowymiarowo. Obejmuje co najmniej prawidłowość identyfikacyjną, aktualność, kompletność w zakresie potrzebnym do konkretnego celu, wiarygodność i niezależność źródła, prawidłowe przypisanie informacji do osoby, zachowanie kontekstu oraz właściwą interpretację statusu prawnego danego zdarzenia. W procesach zautomatyzowanych dochodzi do tego jakość mechanizmu łączenia i ważenia informacji. Każdy z tych elementów może wpływać zarówno na skuteczność systemu przeciwdziałania przestępczości finansowej, jak i na skalę ingerencji w prawa klientów.

Tak rozumiana jakość danych staje się również elementem oceny niezbędności. Przetwarzanie informacji o niskiej wiarygodności lub niewielkiej wartości dla podejmowanej decyzji trudno uzasadnić samym faktem potencjalnego związku z AML. Im głębsza ingerencja w prywatność, tym większe znaczenie powinny mieć wiarygodność źródła i realna zdolność informacji do wpłynięcia na ocenę. Ochrona danych i skuteczność AML/CFT nie pozostają więc w prostym stosunku odwrotnym. Wymóg prawidłowości danych, weryfikacja ich źródła, rozróżnianie zarzutów od ustalonych faktów, aktualizacja informacji oraz kalibracja systemów ograniczają ingerencję w prawa jednostki, ale równocześnie poprawiają zdolność banku do odróżniania przypadków rzeczywiście wymagających reakcji od szumu informacyjnego.

Retencja i dalsze wykorzystanie informacji

Dotychczasowa analiza dotyczyła przede wszystkim warunków, w których bank może pozyskać określone informacje oraz wykorzystywać je do ograniczania niepewności związanej z wykonaniem obowiązków AML/CFT i sankcyjnych. Problem ochrony danych nie kończy się jednak wraz z podjęciem konkretnej decyzji. Informacja, która była potrzebna do identyfikacji klienta, wyjaśnienia transakcji, ustalenia beneficjenta rzeczywistego albo rozstrzygnięcia potencjalnego trafienia sankcyjnego, może następnie pozostawać w systemach banku przez wiele lat. Z perspektywy prawa ochrony danych trzeba więc odróżnić co najmniej trzy kwestie: legalność pierwotnego pozyskania informacji, dopuszczalność jej dalszego wykorzystywania oraz długość okresu jej przechowywania. Każda z nich wymaga własnego uzasadnienia i żadna nie może automatycznie wynikać z pozostałych. Zasada ograniczenia przechowywania wynika z art. 5 ust. 1 lit. e RODO. Dane osobowe powinny być przechowywane w formie pozwalającej na identyfikację osoby nie dłużej, niż jest to niezbędne do celów, dla których są przetwarzane. Sama konstrukcja tej zasady wskazuje, że upływ czasu może zmieniać ocenę dopuszczalności przetwarzania. Informacja prawidłowo pozyskana i niezbędna w chwili podejmowania decyzji nie staje się przez to informacją, którą administrator może zachować bezterminowo. Utrzymywanie danych wymaga nadal istniejącego celu prawnego albo innej podstawy uzasadniającej ich dalsze przechowywanie.

W AML/CFT zależność ta została jednak w znacznej części rozstrzygnięta przez prawodawcę. Obowiązująca ustawa z 1 marca 2018 r. o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu przewiduje co do zasady pięcioletni okres przechowywania dokumentów i informacji uzyskanych w wyniku stosowania środków bezpieczeństwa finansowego oraz odpowiedniej dokumentacji transakcyjnej. Odrębnie określono okres przechowywania wyników analiz. Ustawa dopuszcza także przedłużenie retencji w warunkach i granicach wynikających z potrzeby prowadzenia właściwych postępowań, przy czym ustawodawca wiąże takie przedłużenie z oceną konieczności i proporcjonalności. Regulacja ta potwierdza, że ustawowa retencja ma służyć określonym funkcjom systemu AML/CFT, a nie tworzyć nieograniczoną w czasie pamięć instytucji obowiązanej. Nowy model unijny jeszcze wyraźniej wiąże retencję z ochroną danych. Artykuł 77 AMLR przewiduje zasadniczo pięcioletni okres przechowywania, liczony od zakończenia stosunków gospodarczych, dokonania transakcji sporadycznej albo odmowy nawiązania relacji lub wykonania takiej transakcji. Zakres retencji obejmuje nie tylko dokumenty i informacje uzyskane w ramach środków należytej staranności wobec klienta oraz dokumentację transakcji, lecz także określone wyniki analiz prowadzonych w związku z podejrzeniem ML/TF, niezależnie od tego, czy ostatecznie doszło do zgłoszenia. W przypadku udziału w partnerstwach wymiany informacji obowiązek obejmuje również dokumentację uzyskaną w ramach partnerstwa i ewidencję przypadków wymiany. Po upływie przewidzianego okresu dane osobowe powinny zostać usunięte, chyba że istnieje szczególna podstawa dalszej retencji.

Z perspektywy analizowanego problemu istotne jest to, że ustawowy obowiązek retencji może zmieniać funkcję informacji. Dane mogą być pierwotnie pozyskiwane w celu podjęcia konkretnej decyzji dotyczącej klienta lub transakcji. Po zakończeniu tej decyzji ich dalsze przechowywanie może już służyć innemu, nadal jednak określonemu prawem celowi: zapewnieniu możliwości odtworzenia procesu, wykonaniu przyszłego żądania organu, wsparciu późniejszego postępowania lub wykazaniu prawidłowości zastosowanych środków. Informacja, która przestała być potrzebna do bieżącej oceny klienta, może więc nadal podlegać obowiązkowi przechowywania wynikającemu z odrębnej normy. Nie oznacza to jednak, że ustawowy obowiązek retencji legalizuje ex post dowolny zakres danych zebranych wcześniej. Należy wyraźnie odróżnić niezbędność pozyskania informacji od obowiązku przechowywania informacji prawidłowo pozyskanej. Jeżeli określona kategoria danych nie była potrzebna do wykonania obowiązku AML/CFT, późniejszy fakt, że przepisy nakazują przechowywać dokumentację uzyskaną w ramach środków należytej staranności wobec klienta, nie może stanowić samoistnego uzasadnienia dla jej pierwotnego zebrania. Retencja jest konsekwencją legalnego przetwarzania, a nie źródłem uprawnienia do rozszerzania jego zakresu.

Praktyczne znaczenie tego rozróżnienia dobrze pokazuje dokument uzyskany w celu wyjaśnienia źródła środków. Jeżeli jego pozyskanie było w chwili decyzji uzasadnione, późniejsze wyjaśnienie sprawy nie musi oznaczać natychmiastowego usunięcia dokumentu, jeżeli przepisy wymagają zachowania dokumentacji procesu. Jeżeli jednak bank rutynowo żądał takiego dokumentu bez związku z konkretnym obowiązkiem albo rozpoznanym ryzykiem, ustawowy okres retencji nie usuwa problemu nadmiernego pozyskania danych. Ocena zgodności powinna więc obejmować oba etapy odrębnie. AMLR przewiduje przy tym możliwość ograniczenia zakresu faktycznie przechowywanej dokumentacji w określonych sytuacjach. Zamiast przechowywać pełną kopię informacji, podmiot zobowiązany może w przewidzianych prawem przypadkach zachować odniesienie pozwalające na jej niezwłoczne odtworzenie, jeżeli zapewniona zostanie integralność i dostępność informacji dla właściwych organów. Rozwiązanie to pokazuje, że realizacja obowiązku retencyjnego nie zawsze wymaga utrzymywania przez bank pełnej lokalnej kopii każdego dokumentu. Nie znosi ono jednak obowiązków wynikających z ochrony danych: odniesienie umożliwiające odtworzenie informacji samo może stanowić dane osobowe, a sposób zapewnienia dostępu nadal pozostaje elementem procesu przetwarzania.

Istotna jest również konstrukcja przedłużenia podstawowego okresu. AMLR wiąże dalsze przechowywanie z potrzebą zapobiegania, wykrywania, prowadzenia postępowania lub ścigania ML/TF i ogranicza jego czas. Rozwiązanie to ma znaczenie z punktu widzenia proporcjonalności. Prawodawca nie przyjmuje, że sama ogólna możliwość przyszłego wykorzystania informacji uzasadnia ich bezterminowe zachowanie. Dłuższa retencja wymaga konkretnej potrzeby powiązanej z wykonywaniem określonej funkcji publicznej. Prowadzi to do szerszego problemu argumentu o potencjalnej przyszłej przydatności danych. W praktyce AML/CFT można niemal zawsze wskazać hipotetyczny scenariusz, w którym informacja zachowana dziś okaże się użyteczna za kilka lat. Nowy alert może wymagać odtworzenia historycznego zachowania klienta, organ może rozpocząć postępowanie dotyczące dawnych transakcji, a dane wcześniej nieuznawane za istotne mogą nabrać znaczenia po zestawieniu z nowymi informacjami. Gdyby jednak sama możliwość takiego przyszłego wykorzystania wystarczała do dalszej retencji, zasada ograniczenia przechowywania byłaby w praktyce pozbawiona znaczenia. Potencjalna użyteczność nie jest tożsama z prawną niezbędnością.

Ustawowe okresy retencji pełnią zatem podwójną funkcję. Z jednej strony gwarantują, że bank nie usunie zbyt wcześnie informacji, których wartość dla przeciwdziałania przestępczości finansowej może ujawnić się później. Z drugiej strony tworzą granicę czasową, po której ogólna potrzeba AML/CFT nie wystarcza już do dalszego przechowywania. Można w tym sensie uznać, że prawodawca dokonuje z góry określonego ważenia pomiędzy potrzebą zachowania możliwości odtworzenia historii relacji a prawem jednostki do ograniczenia czasowego przechowywania jej danych. Szczególnie ważna jest relacja pomiędzy retencją a wcześniej omówioną dynamiczną minimalizacją. W czasie trwania stosunków gospodarczych bank wykorzystuje dane w sposób czynny: aktualizuje je, porównuje z nowymi zdarzeniami, stosuje do monitorowania klienta i może na ich podstawie podejmować kolejne decyzje. Po zakończeniu relacji znaczna część danych przestaje pełnić taką funkcję bieżącą, ale nadal powinna być przechowywana dla celów określonych w przepisach retencyjnych. Z perspektywy organizacyjnej zasadne jest więc rozróżnienie danych aktywnie wykorzystywanych do oceny klienta od danych utrzymywanych przede wszystkim w celu wykonania obowiązku retencyjnego. Sam fakt, że bank jest zobowiązany zachować informację, nie oznacza automatycznie, że powinien nadal wykorzystywać ją w taki sam sposób jak podczas aktywnej relacji.

Rozróżnienie to wynika także z zasady ograniczenia celu. AMLR ogranicza wykorzystywanie danych przetwarzanych na jego podstawie do celów związanych z przeciwdziałaniem praniu pieniędzy i finansowaniu terroryzmu oraz wyłącza ich wykorzystanie do celów komercyjnych. Prawodawca wyraźnie oddziela zatem fakt posiadania danych od zakresu dopuszczalnego ich wykorzystania. Informacja pozyskana w procesie AML/CFT nie staje się przez sam fakt jej pozostawania w systemach banku neutralnym zasobem, który może być wykorzystywany przez każdą funkcję organizacji. Ma to szczególne znaczenie w banku uniwersalnym. Informacje uzyskane w ramach AML/CFT mogą być potencjalnie interesujące z perspektywy działalności kredytowej, marketingowej, zarządzania relacją z klientem, przeciwdziałania oszustwom albo segmentacji handlowej. Techniczna możliwość ich wykorzystania nie przesądza jednak o zgodności takiego działania z prawem. Jeżeli dane zostały pozyskane i są przetwarzane na podstawie szczególnego reżimu AML/CFT, zakres dalszego wykorzystania musi odpowiadać właściwemu celowi i podstawie prawnej. Nie wyklucza to sytuacji, w której ta sama informacja może być przetwarzana równolegle na innej podstawie prawnej i dla innego celu. Bank może posiadać określone dane zarówno dlatego, że są potrzebne do AML/CFT, jak i dlatego, że wynikają z dokumentacji umownej albo innego obowiązku regulacyjnego. W takim przypadku należy jednak odróżnić źródła i cele przetwarzania. Niedopuszczalne byłoby odwrócenie tej logiki i przyjęcie, że sam fakt pozyskania danych w AML/CFT automatycznie tworzy podstawę dla ich dalszego użycia w innym procesie.

Problem jest szczególnie doniosły w przypadku informacji o wysokiej wrażliwości. Dane dotyczące podejrzeń, postępowań, informacji kryminalnych, statusu PEP czy wyników analiz wewnętrznych mogą wywierać znaczący wpływ na sposób postrzegania klienta przez organizację. Jeżeli pozostają w systemach przez ustawowy okres retencji, szczególnego znaczenia nabiera kontrola dostępu i ograniczenie funkcji, dla których mogą być wykorzystywane. Ochrona danych nie może ograniczać się do ustalenia, że bank ma prawo zachować dokument. Konieczne jest także zapobieganie sytuacji, w której historyczna informacja retencyjna nadal nieformalnie wpływa na decyzje podejmowane dla innych celów. Dotyczy to również informacji, które zmieniły swój status. Osoba mogła zostać objęta zarzutem, który następnie został oddalony; informacja o negatywnym charakterze mogła utracić aktualność; klient mógł przestać pełnić funkcję publiczną, a wcześniejsze powiązanie mogło zostać rozwiązane. Ustawowy obowiązek retencyjny może wymagać zachowania dokumentacji wskazującej, jakie informacje bank posiadał w chwili wcześniejszej decyzji. Nie oznacza to jednak, że informacja ta powinna nadal być traktowana jako aktualny opis klienta. Zasada prawidłowości danych wymaga zachowania zdolności odróżnienia informacji historycznej od obecnego stanu faktycznego.

W praktyce istnieje więc różnica pomiędzy obowiązkiem nieusuwania informacji a możliwością aktywnego opierania na niej nowych decyzji. Ma to szczególne znaczenie w systemach, w których historyczne dane są automatycznie wykorzystywane przez modele ryzyka. Jeżeli system bez odpowiedniego rozróżnienia uwzględnia informację, która powinna być przechowywana przede wszystkim jako dokumentacja dawnego procesu, może prowadzić do utrwalania wcześniejszej oceny niezależnie od aktualnego stanu faktycznego. Prawidłowo zaprojektowana retencja wymaga więc nie tylko określenia okresu przechowywania, lecz także ustalenia statusu danych i zasad ich użycia w trakcie tego okresu. Jeszcze bardziej wymagająca jest sytuacja danych uzyskanych w partnerstwach wymiany informacji. AMLR obejmuje je obowiązkiem retencji, a uczestnik partnerstwa powinien zachować określoną dokumentację uzyskaną w ramach wymiany oraz ewidencję jej przeprowadzenia. Jednocześnie wcześniejsze przepisy rozporządzenia ograniczają cel i warunki wymiany. Informacja uzyskana od innego uczestnika nie może więc po zakończeniu konkretnej analizy zostać przekształcona w dowolnie wykorzystywany trwały element profilu klienta. Retencja dokumentacji partnerstwa służy między innymi możliwości odtworzenia procesu i wykazania zgodności, lecz zakres dalszego wykorzystania pozostaje ograniczony celem przewidzianym w AMLR.

W obszarze sankcji sytuacja jest mniej jednolita. Nie istnieje jeden horyzontalny przepis odpowiadający art. 77 AMLR, który regulowałby w sposób kompleksowy okres przechowywania wszystkich danych wykorzystywanych przy wykonywaniu unijnych i krajowych środków ograniczających. Wymogi dotyczące ładu wewnętrznego, procedur, kontroli i możliwości odtworzenia procesu nie zastępują więc analizy właściwej podstawy prawnej retencji. Jej źródło może zależeć od rodzaju działalności, charakteru operacji oraz innych mających zastosowanie przepisów. Różnica ta nie zmienia ogólnej zasady. Informacja potrzebna do rozstrzygnięcia sankcyjnego trafienia może być przechowywana tak długo, jak istnieje właściwa podstawa prawna retencji. Może nią być obowiązek prawny, a w odpowiednim przypadku także prawnie uzasadniony interes administratora spełniający przesłanki art. 6 ust. 1 lit. f RODO, z uwzględnieniem dodatkowych wymogów art. 9 lub 10 RODO, jeżeli mają zastosowanie. Sama potencjalna przyszła użyteczność informacji nie stanowi odrębnej podstawy jej przechowywania.

Na tym tle widoczna staje się szersza relacja pomiędzy pamięcią organizacji a prywatnością jednostki. Skuteczny system przeciwdziałania przestępczości finansowej potrzebuje pamięci. Bez danych historycznych bank nie byłby w stanie rozpoznawać zmian zachowania klienta, odtwarzać sekwencji transakcji, wykazać podstaw wcześniejszych decyzji ani współpracować z organami prowadzącymi późniejsze postępowania. Jednocześnie nieograniczona pamięć instytucjonalna tworzyłaby możliwość budowania coraz pełniejszego profilu osoby na podstawie informacji gromadzonych w różnych momentach i dla różnych powodów. Prawo retencji wyznacza zatem granicę pomiędzy pamięcią konieczną do wykonywania obowiązków regulacyjnych a ryzykiem przekształcenia banku w trwałe repozytorium informacji o historii klienta. Prawidłowy model retencji powinien obejmować więcej elementów niż samo określenie daty usunięcia danych. Konieczne jest wskazanie podstawy prawnej okresu przechowywania, kategorii informacji objętych retencją, zasad dostępu, statusu danych historycznych, warunków ich dalszego wykorzystania, sposobu reagowania na zmianę lub sprostowanie informacji oraz mechanizmu usuwania danych po ustaniu podstawy ich dalszego przechowywania. W przypadku informacji przechowywanych na podstawie kilku reżimów bank powinien także umieć odróżnić sytuację, w której ustaje jedna podstawa retencji, ale pozostaje inna.

Szczególnie ważne jest przełożenie końca okresu retencji na rzeczywiste usunięcie danych albo, jeżeli jest to prawnie i technicznie właściwe, ich skuteczną anonimizację. Sama polityka określająca pięcioletni okres nie wystarczy, jeżeli informacje pozostają następnie w kopiach technicznych, lokalnych zestawieniach, systemach pomocniczych albo historycznych profilach wykorzystywanych przez modele decyzyjne. Z perspektywy zasady rozliczalności bank powinien być w stanie wykazać, że ustanie podstawy retencji prowadzi do rzeczywistego zakończenia przetwarzania w zakresie, w jakim brak jest innej podstawy prawnej. Analiza retencji uzupełnia więc model dynamicznej minimalizacji. Na etapie aktywnej relacji zakres danych może rosnąć lub maleć zależnie od potrzeb procesu i zmieniającej się niepewności. Po zakończeniu konkretnego działania część informacji może pozostać w banku ze względu na ustawowy obowiązek dokumentacyjny, ale zmienia się wówczas funkcja ich przetwarzania. Upływ ustawowego okresu powinien z kolei prowadzić do usunięcia danych, chyba że istnieje konkretna dalsza podstawa. Dynamiczny charakter ochrony danych dotyczy zatem nie tylko tego, ile informacji bank może pozyskać, lecz również jak długo i w jakiej funkcji może je zachować.

Model oceny dopuszczalnego zakresu informacji

Przeprowadzona dotychczas analiza pozwala uporządkować kryteria, które powinny być brane pod uwagę przy określaniu dopuszczalnego zakresu informacji przetwarzanych przez bank w procesach AML/CFT i sankcyjnych. Potrzeba takiego uporządkowania wynika z charakteru analizowanych regulacji. Z jednej strony przepisy nakładają na instytucję konkretne obowiązki dotyczące identyfikacji, oceny ryzyka, monitorowania, pogłębionej analizy lub wykonania środków ograniczających. Z drugiej strony w wielu sytuacjach nie określają wyczerpująco, jakie dokładnie dane powinny zostać wykorzystane w każdym możliwym stanie faktycznym. Zakres informacji jest wówczas ustalany przez bank w ramach profesjonalnej oceny, przy jednoczesnym obowiązku przestrzegania zasad minimalizacji, niezbędności, prawidłowości, ograniczenia celu i rozliczalności. Nie ma potrzeby tworzenia dla tych sytuacji nowej zasady prawnej. RODO, AMLR oraz właściwe przepisy sankcyjne dostarczają podstaw normatywnych pozwalających oceniać legalność przetwarzania. Problem ma przede wszystkim charakter operacjonalizacyjny: ogólne wymaganie przetwarzania danych ograniczonych do tego, co niezbędne, powinno zostać przełożone na proces decyzyjny prowadzony w warunkach niepełnej informacji. Na potrzeby takiej analizy można zaproponować model składający się z następujących elementów:

obowiązek regulacyjny -> decyzja -> niepewność -> potrzebna informacja -> wartość informacyjna -> ingerencja w prywatność -> mniej ingerująca alternatywa -> ocena proporcjonalności

Model nie powinien być traktowany jako autonomiczny test legalności zastępujący wymagania wynikające z prawa. Jest sposobem uporządkowania ich zastosowania w konkretnej sytuacji. Jego zasadniczą funkcją jest wymuszenie przejścia od bardzo ogólnego uzasadnienia przetwarzania, takiego jak realizacja obowiązków AML/CFT, do pytania, dlaczego właśnie określona informacja jest potrzebna do podjęcia określonej decyzji przy stanie wiedzy istniejącym w danym momencie.

Pierwszym elementem modelu jest identyfikacja obowiązku regulacyjnego. Punkt wyjścia powinien znajdować się na poziomie normy, której wykonaniu dane mają służyć, a nie na poziomie dostępnego zbioru danych. Przed pytaniem, czy bank może pozyskać określoną informację, należy więc ustalić, jaki obowiązek wykonuje. Może chodzić o identyfikację klienta, identyfikację beneficjenta rzeczywistego, zrozumienie struktury własności i kontroli, ocenę ryzyka, bieżące monitorowanie stosunków gospodarczych, wyjaśnienie nietypowej transakcji, weryfikację źródła środków lub majątku, ustalenie statusu PEP, rozstrzygnięcie potencjalnego trafienia sankcyjnego albo ocenę relacji własności lub kontroli dla potrzeb zastosowania środka ograniczającego. Poziom precyzji, na którym obowiązek zostanie określony, ma zasadnicze znaczenie. Odwołanie wyłącznie do AML/CFT albo przeciwdziałania przestępczości finansowej jest zbyt ogólne, aby pozwalało ocenić niezbędność konkretnej informacji. Cele takie są na tyle szerokie, że niemal każda informacja o kliencie mogłaby zostać przedstawiona jako potencjalnie użyteczna. Dopiero odtworzenie konkretnego obowiązku pozwala ustalić jego przedmiot, wymagany rezultat oraz granice pozostawionego bankowi marginesu oceny. Znaczenie ma przy tym rozróżnienie obowiązków określających wprost zakres informacji od obowiązków pozostawiających przestrzeń dla oceny profesjonalnej. Jeżeli prawodawca jednoznacznie wymaga pozyskania konkretnej kategorii danych, problem niezbędności został w istotnej części rozstrzygnięty na poziomie normy. Nadal znaczenie mogą mieć sposób pozyskania, zakres przechowywania, bezpieczeństwo i dalsze wykorzystanie informacji, lecz bank nie dokonuje od nowa oceny, czy ustawowo wymagany element jest mu w ogóle potrzebny. Inaczej jest wtedy, gdy przepis nakazuje uzyskać dodatkowe informacje, zbadać określoną okoliczność albo zastosować środki odpowiednie do ryzyka. Im większy jest margines oceny, tym większą rolę odgrywają dalsze elementy modelu.

Drugim etapem jest ustalenie decyzji, którą bank powinien podjąć. Obowiązek prawny i decyzja nie są pojęciami tożsamymi. Ten sam obowiązek może wymagać szeregu decyzji na różnych etapach procesu. W ramach wykonywania obowiązków AML/CFT bank może najpierw zdecydować, czy posiadane informacje pozwalają zweryfikować beneficjenta rzeczywistego, następnie ocenić poziom ryzyka relacji, a później rozstrzygać, czy określone zdarzenie wymaga pogłębionej analizy. Przy weryfikacji sankcyjnej kolejne decyzje mogą dotyczyć uznania alertu za potencjalne trafienie, potrzeby uzyskania dalszych identyfikatorów i wreszcie istnienia przesłanek zastosowania środka ograniczającego. Precyzyjne określenie decyzji pozwala uniknąć sytuacji, w której zakres danych jest uzasadniany potrzebami całego procesu w oderwaniu od tego, do czego informacja ma zostać rzeczywiście wykorzystana. Informacja nie musi być przydatna dla wszystkich elementów AML/CFT, aby jej przetwarzanie było dopuszczalne. Powinna natomiast mieć związek z decyzją, dla której została pozyskana. Ten sam element danych może być zatem niezbędny w jednym etapie procesu, a zbędny w innym.

Trzecim elementem jest identyfikacja niepewności. Bank powinien ustalić, czego jeszcze nie wie i dlaczego brak tej wiedzy ma znaczenie dla podjęcia decyzji. Nie każda niepełność informacji jest prawnie istotna. Instytucja finansowa nigdy nie będzie posiadała pełnej wiedzy o kliencie, jego działalności ani przyszłych zachowaniach. Obowiązek regulacyjny nie wymaga jednak eliminacji całej możliwej niepewności, lecz osiągnięcia poziomu wiedzy wystarczającego do podjęcia wymaganej prawem decyzji. Niepewność powinna zostać zdefiniowana możliwie konkretnie. W przypadku potencjalnego trafienia sankcyjnego może chodzić o brak pewności, czy osoba o zgodnym nazwisku jest tą samą osobą. W analizie struktury korporacyjnej może chodzić o brak wiedzy o rzeczywistym wykonywaniu kontroli. Przy nietypowej transakcji problemem może być brak informacji pozwalającej pogodzić jej gospodarczy sens z dotychczasową wiedzą o działalności klienta. W przypadku źródła majątku niepewność może dotyczyć tego, czy jego skala i pochodzenie pozostają racjonalnie zgodne z informacjami posiadanymi przez bank. Wskazanie konkretnej niepewności spełnia funkcję ograniczającą. Utrudnia wykorzystywanie abstrakcyjnego argumentu, że bank powinien wiedzieć więcej. Jeżeli nie można wskazać, jaka istotna dla decyzji kwestia pozostaje niewyjaśniona, coraz trudniejsze staje się uzasadnienie dalszego rozszerzania zakresu danych.

Czwarty etap polega na określeniu informacji potrzebnej do zmniejszenia tej niepewności. Analiza nie powinna rozpoczynać się od katalogu danych, które bank jest w stanie uzyskać, lecz od pytania, jaka informacja może odpowiedzieć na zidentyfikowany problem. Rozróżnienie między informacją a konkretną daną ma tu znaczenie. Celem banku nie jest samo pozyskanie dokumentu, numeru, oświadczenia lub rekordu. Celem jest uzyskanie określonej wiedzy. Dokument lub konkretny element danych stanowi środek do jej osiągnięcia. Przykładowo wątpliwość dotycząca źródła środków nie oznacza automatycznie potrzeby uzyskania całej dokumentacji majątkowej klienta. Najpierw należy ustalić, jaka okoliczność wymaga potwierdzenia, a następnie dobrać zakres danych pozwalających ją wyjaśnić. Przy sankcyjnym dopasowaniu nazwiska celem nie jest stworzenie możliwie kompletnego profilu biograficznego klienta, lecz znalezienie informacji pozwalających odróżnić albo potwierdzić tożsamość. Logika procesu powinna zatem przebiegać od problemu poznawczego do danych, a nie od dostępności danych do poszukiwania dla nich potencjalnego zastosowania.

Piątym elementem jest wartość informacyjna. Nie jest to termin prawny występujący w RODO lub AMLR, lecz kategoria analityczna pozwalająca ocenić związek pomiędzy dodatkową informacją a decyzją. Przez wartość informacyjną należy rozumieć zdolność określonej informacji do istotnego zmniejszenia niepewności albo zmiany oceny relewantnej z punktu widzenia wykonywanego obowiązku. Im większa jest racjonalna możliwość, że informacja pozwoli rozstrzygnąć rzeczywisty problem, tym silniejsze jest uzasadnienie jej pozyskania. Jeżeli natomiast informacja jedynie marginalnie zwiększa ogólną wiedzę o kliencie, jej znaczenie dla konkretnej decyzji jest odpowiednio mniejsze. Wartość informacyjna powinna być oceniana względem wiedzy już posiadanej. Dana, która na początku procesu ma duże znaczenie, może stać się zbędna po uzyskaniu innych informacji. Prowadzi to do wcześniej analizowanej koncepcji krańcowej wartości kolejnych danych. Pierwsza informacja może radykalnie ograniczyć niepewność, druga potwierdzić wynik, podczas gdy trzecia i czwarta nie wnoszą już istotnej wartości do decyzji. Zasada minimalizacji wymaga uwzględnienia właśnie tej zmiany. Przy potencjalnym trafieniu sankcyjnym zgodność imienia i nazwiska może stworzyć istotną niepewność. Data urodzenia może ją znacząco zmniejszyć. Jeżeli jest całkowicie różna od daty osoby objętej sankcjami i inne informacje również wykluczają dopasowanie, dalsze żądanie danych dotyczących miejsca pracy, historii podróży lub relacji rodzinnych może mieć niewielką wartość informacyjną. Gdy natomiast data urodzenia również się zgadza, informacje takie mogą stać się bardziej relewantne. Dopuszczalny zakres danych jest więc funkcją nie tylko celu, lecz także wyników wcześniejszych etapów analizy. W AML/CFT zjawisko to może być bardziej złożone, ponieważ wiele decyzji ma charakter ocenny, a nie binarny. Dodatkowa informacja może nie rozstrzygać jednoznacznie, czy ryzyko jest wysokie lub niskie, lecz przesuwać ocenę w określonym kierunku. Także w takim przypadku powinna istnieć możliwość wyjaśnienia, w jaki sposób informacja wpływa na ocenę. Samo statystyczne skorelowanie cechy z ryzykiem nie zawsze wystarczy, zwłaszcza jeżeli przetwarzanie dotyczy informacji szczególnie ingerujących w prywatność.

Szóstym etapem jest ocena ingerencji w prywatność i ochronę danych. Dotychczasowe elementy modelu koncentrują się na potrzebach procesu regulacyjnego. Na tym etapie konieczne jest uwzględnienie ciężaru środka po stronie osoby, której dane dotyczą. Ingerencja nie zależy wyłącznie od liczby danych. Istotny jest ich charakter, kontekst, sposób pozyskania, skala przetwarzania, możliwość łączenia z innymi zbiorami, okres przechowywania, liczba podmiotów mających dostęp oraz znaczenie danych dla decyzji dotyczących klienta. Neutralny identyfikator wykorzystywany jednorazowo do weryfikacji tożsamości powoduje inną ingerencję niż systematyczne monitorowanie informacji o aktywności politycznej lub zarzutach kryminalnych. Analiza pojedynczej transakcji różni się od ciągłego profilowania całej relacji. Dane pozostające wyłącznie w jednym banku mają inny wymiar niż informacje przekazywane w ramach partnerstwa kilku instytucji. Automatyczne przypisanie klienta do kategorii ryzyka może mieć większy wpływ niż informacja używana jedynie pomocniczo przez analityka. Nie można więc zbudować prostego rankingu kategorii danych według stopnia ingerencji, który działałby jednakowo w każdej sytuacji. Ocena powinna uwzględniać kontekst przetwarzania. Można jednak przyjąć zasadę ogólną: im większa ingerencja, tym silniejszy powinien być wykazany związek pomiędzy informacją a wykonywanym obowiązkiem oraz tym większa jej wartość informacyjna. Kryterium to znajduje szczególnie wyraźne potwierdzenie tam, gdzie prawodawca sam posługuje się standardem ścisłej niezbędności.

Siódmy etap dotyczy mniej ingerującej alternatywy. Pytanie nie powinno brzmieć wyłącznie, czy dana informacja jest użyteczna, lecz również czy ten sam cel można osiągnąć przy wykorzystaniu danych lub środka powodującego mniejszą ingerencję. Alternatywa musi jednak być realna i odpowiednio skuteczna. Nie wystarczy wskazać hipotetycznie mniej ingerującej metody, jeżeli nie pozwala ona osiągnąć poziomu wiedzy wymaganego do wykonania obowiązku. W praktyce możliwe są różne formy takiego porównania. Zamiast żądać pełnego dokumentu można czasem uzyskać pojedynczą informację albo potwierdzenie konkretnego faktu. Zamiast szerokiego badania całego otoczenia klienta można rozpocząć od neutralnego identyfikatora, który rozstrzyga potencjalne trafienie. Zamiast przekazywania pełnego zestawu danych innemu uczestnikowi partnerstwa można udostępnić wyłącznie informacje potrzebne do weryfikacji konkretnej hipotezy. Zamiast nieograniczonego dostępu do danych historycznych można zastosować dostęp warstwowy albo techniczne ograniczenie do osób wykonujących określoną funkcję. Ocena alternatywy powinna obejmować również jakość danych. Mniej ingerująca informacja o niskiej wiarygodności nie jest automatycznie rozwiązaniem lepszym, jeżeli zwiększa ryzyko błędu i prowadzi następnie do znacznie bardziej ingerującej eskalacji. Minimalizacja powinna być zatem oceniana w perspektywie całego procesu, a nie każdej operacji w izolacji. Niekiedy przetworzenie dodatkowej, precyzyjnej informacji na wcześniejszym etapie pozwala uniknąć szerszej ingerencji na etapie późniejszym.

Ostatnim etapem modelu jest ocena proporcjonalności konkretnego sposobu działania. Nie chodzi tu o ponowne przeprowadzanie przez bank pełnego testu właściwego dla art. 52 Karty dla każdego przypadku. Chodzi o końcową ocenę tego, czy zakres przetwarzania, pozostający w granicach podstawy prawnej, jest uzasadniony względem konkretnej potrzeby procesu i czy nie wykracza poza to, czego wymaga osiągnięcie jego celu. Elementy wcześniejsze tworzą podstawę tej oceny. W uproszczeniu można przyjąć, że uzasadnienie przetwarzania jest tym silniejsze, im bardziej jednoznaczny jest obowiązek, istotniejsza niepewność dla decyzji i większa zdolność informacji do jej ograniczenia. Osłabiają je natomiast wysoka ingerencyjność danych, niska wiarygodność, niewielka wartość krańcowa oraz dostępność rozwiązania mniej ingerującego i równie skutecznego. Model nie jest arytmetycznym równaniem, w którym poszczególnym czynnikom można przypisać stałe wagi. Ma charakter struktury argumentacyjnej umożliwiającej ujawnienie wszystkich istotnych elementów decyzji. Szczególną rolę odgrywa próg wystarczalności informacji. Proces powinien zakończyć się wtedy, gdy bank posiada podstawę wystarczającą do podjęcia decyzji wymaganej przez właściwy reżim prawny. Nie powinien kontynuować zbierania danych wyłącznie w celu osiągnięcia maksymalnej możliwej pewności. Standard wystarczalności będzie różny zależnie od rodzaju decyzji. Ocena ryzyka AML może wymagać profesjonalnego osądu i nie kończy się ustaleniem absolutnej prawdy o kliencie. Rozstrzygnięcie sankcyjne może wymagać większej pewności co do określonego elementu stanu faktycznego, ponieważ skutkiem może być zastosowanie bezwzględnego środka ograniczającego. W każdym przypadku granicę wyznacza jednak decyzja prawna, a nie możliwość dalszego zwiększania wiedzy.

Na tym tle można sformułować dodatkową regułę: im mniejsza krańcowa wartość kolejnej informacji, tym większego znaczenia nabiera nawet stosunkowo niewielka dodatkowa ingerencja w prywatność. Na początku procesu szeroki przyrost wiedzy może uzasadniać przetwarzanie danych, które nie byłyby uzasadnione po osiągnięciu wysokiego poziomu pewności. Granica minimalizacji przesuwa się więc w toku analizy. Jest to kolejny powód, dla którego ocena zakresu danych nie powinna być dokonywana raz dla całej procedury, lecz powinna być wpisana w strukturę kolejnych etapów procesu. Model powinien być stosowany odmiennie w procesach masowych i indywidualnych. W przypadku standardowych procesów nawiązywania relacji, monitoringu transakcyjnego lub weryfikacji sankcyjnej nie jest racjonalne przeprowadzanie pełnej indywidualnej analizy dla każdej pojedynczej operacji. Kryteria powinny zostać uwzględnione w konstrukcji procesu: katalogu danych, regułach uruchamiania dodatkowych pytań, progach alertów, zasadach eskalacji i punktach zatrzymania. Wymogi minimalizacji są wówczas realizowane przede wszystkim na poziomie projektowania systemu. Analiza indywidualna nabiera znaczenia, gdy przypadek przekracza standardowy scenariusz albo wymaga zastosowania danych szczególnie ingerujących w prawa klienta.

Takie podejście pozostaje zgodne z zasadą ochrony danych w fazie projektowania. Prawidłowo zaprojektowany proces powinien sprawić, że pracownik nie musi każdorazowo ustalać od podstaw, jakie informacje może uzyskać. Standardowe ścieżki powinny już uwzględniać niezbędność, zakres danych i stopniowanie środków. Nie eliminuje to profesjonalnego osądu, lecz ogranicza ryzyko przypadkowej albo nadmiernie szerokiej praktyki. W procesach indywidualnych, zwłaszcza o wysokiej materialności, model może mieć bardziej bezpośrednie zastosowanie. Jeżeli bank zamierza pozyskać nietypową kategorię danych, przeprowadzić pogłębioną analizę otoczenia klienta, wykorzystać dane szczególnych kategorii albo wymienić informacje z inną instytucją, możliwość przejścia przez wskazane elementy pozwala wykazać, dlaczego zastosowany środek był uzasadniony. Nie musi to przyjmować formy obszernego memorandum. Wystarczające może być właściwe udokumentowanie przesłanki, celu i wyniku analizy w systemie operacyjnym.

Model pełni bowiem także funkcję rozliczalności. Ocena zgodności prowadzona ex post powinna pozwalać odtworzyć nie tylko to, jakie dane bank posiadał, lecz także dlaczego zdecydował się je pozyskać. Szczególne znaczenie ma odróżnienie oceny jakości decyzji od jej wyniku. Kontrola powinna badać, czy zidentyfikowana niepewność rzeczywiście istniała, czy dodatkowa informacja mogła ją rozsądnie ograniczyć oraz czy skala ingerencji była uzasadniona według wiedzy dostępnej w chwili działania. Nie powinna natomiast sprowadzać się do pytania, czy po zakończeniu analizy okazało się, że klient rzeczywiście przedstawiał określone ryzyko. Jednocześnie ocena ex post ma pełnić funkcję uczenia się systemu. Jeżeli bank obserwuje, że dana kategoria informacji regularnie nie wpływa na decyzję, jej wartość informacyjna może wymagać ponownej oceny. Jeżeli określony scenariusz generuje bardzo dużą liczbę eskalacji zakończonych w identyczny sposób, możliwe jest, że próg został ustawiony niewłaściwie. Jeżeli natomiast proces systematycznie nie identyfikuje przypadków, które powinny być wykrywane, może wymagać poszerzenia zakresu informacji albo zmiany metodologii. Perspektywa ex ante nie wyklucza więc doskonalenia na podstawie danych ex post. Ogranicza jedynie retrospektywne przypisywanie wcześniejszej decyzji wiedzy, która wówczas nie była dostępna.

Istotne jest również oddzielenie modelu oceny danych od apetytu banku na ryzyko regulacyjne. W zakresie, w jakim przepisy ustanawiają bezwzględne obowiązki lub prawa osób, bank nie może ich ograniczać ani rozszerzać wyłącznie przez odwołanie do własnej tolerancji ryzyka. Zarząd może określać sposób organizacji procesów, stopień konserwatyzmu w granicach pozostawionego marginesu i zasady eskalacji, ale większa awersja do ryzyka regulacyjnego sama w sobie nie uzasadnia nieograniczonego pozyskiwania danych. Nadmiernie zachowawcze podejście do jednego reżimu może prowadzić do naruszenia innego. Ma to szczególne znaczenie w praktyce instytucji finansowych. W obszarze AML/CFT i sankcji naturalna jest presja na ograniczenie ryzyka niewykrycia nieprawidłowości. Sankcje administracyjne, ryzyko reputacyjne oraz oczekiwania organów mogą prowadzić do organizacyjnej preferencji dla zbierania jeszcze jednej informacji. Model powinien przeciwdziałać sytuacji, w której decyzja taka nie wynika już z wymagań konkretnego procesu, lecz z abstrakcyjnej potrzeby zwiększania poczucia bezpieczeństwa. Z perspektywy ochrony danych brak zdefiniowanego punktu zatrzymania jest równie istotnym problemem jak zbyt wąski zakres informacji.

Konstrukcja może zostać zastosowana również do decyzji o niepozyskiwaniu dodatkowych danych. Minimalizacja nie oznacza bowiem wyłącznie kontroli rozszerzania zakresu informacji. Jeżeli bank odmawia pogłębienia analizy mimo istotnej i nierozstrzygniętej niepewności, powinien być zdolny wykazać, że posiadane dane są wystarczające do podjęcia wymaganej decyzji. Model działa zatem dwukierunkowo: chroni przed nadmiarem informacji, ale nie może prowadzić do niedostatecznego wykonywania obowiązków regulacyjnych. Tak samo należy traktować rozwiązania technologiczne. Model wykorzystujący szeroki zestaw zmiennych powinien umożliwiać ustalenie ich funkcji i znaczenia dla decyzji. Jeżeli nie jest możliwe wykazanie, dlaczego określona kategoria danych jest potrzebna, sam wzrost statystycznej skuteczności modelu może nie wystarczać do uzasadnienia jej wykorzystania, szczególnie w przypadku informacji silnie ingerujących w prawa podstawowe. Z kolei rezygnacja z dodatkowej informacji wyłącznie dlatego, że stanowi kolejny element zbioru, może obniżyć jakość decyzji i prowadzić do większej liczby bardziej ingerujących analiz manualnych. Także tutaj konieczne jest spojrzenie na cały proces.

Zaproponowany model prowadzi w konsekwencji do bardziej precyzyjnego rozumienia minimalizacji danych w przeciwdziałaniu przestępczości finansowej. Minimalizacja nie polega na dążeniu do najmniejszego możliwego zbioru informacji niezależnie od jakości decyzji. Nie oznacza także dopuszczalności każdego przetwarzania, które może zwiększyć ogólną wiedzę banku o kliencie. Jej istotą jest utrzymanie funkcjonalnego związku pomiędzy zakresem informacji a decyzją, którą bank jest zobowiązany podjąć. W tym ujęciu zasadnicze pytanie nie brzmi więc, jak dużo bank może wiedzieć o kliencie, lecz jaką wiedzę powinien posiadać, aby prawidłowo podjąć konkretną decyzję regulacyjną, i czy sposób jej uzyskania pozostaje adekwatny do skali ingerencji w prawa jednostki. Tak postawione pytanie pozwala uniknąć zarówno statycznego rozumienia minimalizacji, jak i traktowania przeciwdziałania przestępczości finansowej jako generalnej podstawy do maksymalizacji zakresu danych.

Model ten tworzy również podstawę do ostatecznego wniosku artykułu. Prawidłowo rozumiana ochrona danych nie powinna być przeciwstawiana skuteczności AML/CFT i systemu sankcyjnego. Wymusza raczej precyzyjne określenie funkcji informacji, poprawę jakości danych, kalibrację procesów, kontrolę błędów oraz ustalenie momentu, w którym dalsze zwiększanie wiedzy przestaje poprawiać jakość decyzji. W tym sensie granica prywatności może pełnić nie tylko funkcję ochronną wobec klienta, lecz także funkcję dyscyplinującą wobec samego systemu przeciwdziałania przestępczości finansowej.

Wnioski

Przeprowadzona analiza prowadzi do wniosku, że relacji pomiędzy ochroną prywatności a przeciwdziałaniem przestępczości finansowej nie można prawidłowo opisać jako konfliktu pomiędzy potrzebą posiadania przez bank większej ilości informacji a nakazem ich ograniczania. Takie ujęcie pomija zarówno konstrukcję podejścia opartego na ryzyku, jak i rzeczywistą treść zasad ochrony danych. AML/CFT nie wymaga maksymalizacji wiedzy o kliencie, lecz uzyskania informacji potrzebnych do wykonania określonych obowiązków i dostosowania środków do rozpoznanego ryzyka. Z kolei zasada minimalizacji nie nakazuje administratorowi posiadania najmniejszej możliwej liczby danych w sensie ilościowym, lecz ogranicza ich zakres do informacji adekwatnych, stosownych i niezbędnych względem konkretnego celu przetwarzania. Osią problemu staje się zatem funkcja informacji w procesie decyzyjnym. Podstawowa hipoteza przyjęta we wprowadzeniu znajduje w tym zakresie potwierdzenie. Ocena niezbędności danych w AML/CFT i w procesach sankcyjnych powinna uwzględniać perspektywę ex ante, a więc stan wiedzy istniejący w chwili podejmowania decyzji o pozyskaniu lub wykorzystaniu określonej informacji. Wynik późniejszej analizy może służyć weryfikacji jakości zastosowanej metody, nie powinien jednak sam przez się przesądzać o zasadności wcześniejszej decyzji. Informacja, która pozwoliła wykluczyć podwyższone ryzyko, potwierdzić gospodarcze uzasadnienie transakcji albo odrzucić potencjalne trafienie sankcyjne, nie staje się retrospektywnie zbędna tylko dlatego, że wynik procesu okazał się dla klienta korzystny.

Nie oznacza to jednak, że sama niepewność tworzy wystarczającą podstawę do rozszerzania zakresu informacji. Gdyby wystarczało stwierdzenie, że dodatkowe dane mogą kiedyś okazać się użyteczne, granica przetwarzania stałaby się praktycznie niemożliwa do wyznaczenia. Każda wiedza o kliencie mogłaby potencjalnie poprawić przyszłą ocenę jego zachowania. Konieczne jest zatem wskazanie nie tylko niepewności, lecz także jej prawnego znaczenia dla konkretnego obowiązku i decyzji. Bank powinien umieć wykazać, czego nie wie, dlaczego ta niewiedza ma znaczenie regulacyjne i w jaki sposób dodatkowa informacja może wpłynąć na podejmowane rozstrzygnięcie. W tym sensie zasada minimalizacji ma w procesach przeciwdziałania przestępczości finansowej charakter dynamiczny. Zakres informacji nie zawsze może zostać ustalony raz, na początku relacji z klientem. Podstawowy zestaw danych może okazać się wystarczający, dopóki nie pojawi się okoliczność uzasadniająca dalszą analizę. Pojawienie się określonego sygnału może z kolei usprawiedliwiać pozyskanie dodatkowych danych, których żądanie w normalnych warunkach byłoby nieuzasadnione. Po ich uzyskaniu konieczna jest ponowna ocena: informacja może zakończyć wątpliwość, potwierdzić potrzebę dalszej eskalacji albo spowodować zmianę profilu ryzyka.

Dynamiczność działa przy tym w obu kierunkach. Podejście oparte na ryzyku nie powinno być rozumiane wyłącznie jako mechanizm uzasadniający zwiększanie intensywności środków. Jeżeli przesłanki podwyższonego ryzyka przestały istnieć albo nowa informacja pozwala zakończyć wcześniejszą wątpliwość, powinno to znaleźć odzwierciedlenie również w sposobie dalszego przetwarzania danych, o ile przepisy szczególne nie wymagają utrzymania określonego środka przez oznaczony czas lub do ustania szczególnej przesłanki normatywnej. Utrzymywanie bardziej ingerujących środków wyłącznie dlatego, że kiedyś zostały uruchomione, prowadziłoby w pozostałych przypadkach do utrwalenia historycznej oceny niezależnie od aktualnego stanu faktycznego. Minimalizacja pozostaje więc powiązana z prawidłowością i aktualnością danych oraz z okresowym przeglądem zasadności przyjętego poziomu ingerencji. Szczególnie ważnym elementem tej konstrukcji jest punkt zatrzymania procesu. Przeciwdziałanie przestępczości finansowej nie wymaga od banku uzyskania pełnej wiedzy o kliencie ani wyeliminowania całej możliwej niepewności. W AML/CFT byłoby to niemożliwe już z samej natury oceny ryzyka. Także w sankcjach, mimo bardziej kategorycznego charakteru norm materialnych, proces ustalania stanu faktycznego nie może być prowadzony bez końca tylko po to, aby zmniejszać hipotetyczne prawdopodobieństwo błędu. Dalsze pozyskiwanie danych powinno zakończyć się w momencie, w którym bank posiada podstawę wystarczającą do podjęcia decyzji wymaganej przez właściwy reżim prawny albo gdy kolejne informacje nie mają już racjonalnej zdolności do zmiany tej decyzji.

Z tego punktu widzenia szczególnego znaczenia nabiera krańcowa wartość informacyjna danych. Nie każda kolejna informacja wnosi do procesu tyle samo. Pierwsza może przesądzić o rozstrzygnięciu zasadniczej wątpliwości, następne mogą jedynie zwiększać pewność w sposób coraz mniej istotny. Zasada minimalizacji wymaga więc oceny nie tylko tego, czy informacja jest tematycznie związana z analizowanym problemem, lecz także czy na danym etapie rzeczywiście zwiększa jakość podstawy decyzyjnej. Im mniejsza jest jej dodatkowa wartość, tym trudniej uzasadnić dalszą ingerencję w prywatność. Nie można przy tym przyjąć prostego założenia, że mniejsza liczba danych zawsze oznacza lepszą ochronę prywatności. Dodatkowy prawidłowy identyfikator może pozwolić szybko odrzucić błędne trafienie sankcyjne i zapobiec konieczności prowadzenia szerszej analizy klienta. Lepsza informacja o spodziewanym charakterze działalności może ograniczyć liczbę niepotrzebnych alertów monitoringu transakcyjnego. Większy, lecz trafnie dobrany i prawidłowy zestaw danych może więc w niektórych przypadkach zmniejszać łączną skalę ingerencji w procesie. Minimalizacja powinna być oceniana funkcjonalnie, z uwzględnieniem skutków dla całej sekwencji czynności, a nie poprzez prostą redukcję liczby pól informacyjnych.

Prowadzi to do kolejnego istotnego wniosku: jakość danych stanowi element zarówno skuteczności systemu AML/CFT i sankcyjnego, jak i ochrony prywatności. Dane nieprawidłowe, nieaktualne, niewiarygodne albo pozbawione właściwego kontekstu mogą prowadzić do nadmiernej ingerencji w sytuację klienta bez odpowiadającego jej wzrostu zdolności banku do rozpoznawania rzeczywistego ryzyka. Problem jakości nie ogranicza się przy tym do błędów technicznych. Może wynikać z nieprawidłowej kwalifikacji informacji, utożsamienia zarzutu ze skazaniem, braku rozróżnienia źródeł pierwotnych i wtórnych, błędnego przypisania informacji do osoby albo nadania określonej okoliczności większego znaczenia, niż wynika z jej wartości poznawczej. Rozróżnienie pomiędzy wynikami fałszywie pozytywnymi i fałszywie negatywnymi pokazuje, że problem ten nie może być rozwiązywany jednostronnie. System nadmiernie czuły może ograniczać ryzyko przeoczenia rzeczywistego przypadku, ale równocześnie generować dużą liczbę alertów wymagających analizy danych osób, których działalność nie ma związku z przestępczością finansową. Zbyt wąski system może ograniczać liczbę takich ingerencji, lecz kosztem niewykrywania przypadków, wobec których prawo wymaga reakcji. Prawidłowe rozwiązanie wymaga kalibracji uwzględniającej znaczenie obu rodzajów błędów, jakość dostępnych danych oraz możliwość dalszej weryfikacji alertu.

Nie powinno się również abstrahować od tego, że koszty wyników fałszywie pozytywnych i fałszywie negatywnych są rozłożone nierównomiernie. Skutki wyników fałszywie negatywnych obciążają przede wszystkim interes publiczny, skuteczność systemu, a następnie bank jako podmiot odpowiedzialny za niewykonanie obowiązku. Skutki wyników fałszywie pozytywnych są częściej bezpośrednio ponoszone przez klienta: poprzez dodatkowe pytania, opóźnienia, pogłębioną analizę, utrzymywanie nieadekwatnej klasyfikacji ryzyka albo ograniczenie dostępu do określonej usługi. Dlatego projektowanie systemu nie może ograniczać się wyłącznie do maksymalizacji zdolności generowania sygnałów.

Szczególnie istotne pozostaje rozróżnienie pomiędzy AML/CFT a sankcjami. Wspólne ujęcie obu obszarów jest uzasadnione o tyle, o ile w obu przypadkach bank podejmuje decyzje na podstawie niepełnej informacji i wykorzystuje dane do ograniczania niepewności. Nie oznacza to jednak tożsamości ich konstrukcji prawnej. AML/CFT opiera się na systemowym wykorzystaniu podejścia opartego na ryzyku, które wpływa na zakres i intensywność stosowanych środków. W sankcjach materialny zakaz ma charakter kategoryczny, a niepewność dotyczy przede wszystkim ustalenia, czy konkretny stan faktyczny spełnia przesłanki jego zastosowania. Próba mechanicznego przenoszenia pomiędzy tymi obszarami tych samych konstrukcji prowadziłaby do błędów zarówno z perspektywy prawa sankcyjnego, jak i ochrony danych. Różnica ta ma znaczenie także dla odpowiedzi na pytanie o wystarczający poziom wiedzy. W AML/CFT bank podejmuje wiele decyzji o charakterze ocennym, dotyczących poziomu ryzyka, intensywności monitorowania lub potrzeby stosowania określonych środków. W sankcjach końcowa decyzja może być znacznie bardziej binarna, choć prowadzący do niej proces ustalania faktów pozostaje obciążony niepewnością. Standard wystarczalności informacji musi więc być odniesiony do charakteru konkretnej decyzji, a nie wyznaczany jednolicie dla całego obszaru przeciwdziałania przestępczości finansowej.

Przedstawiony w artykule model: obowiązek regulacyjny -> decyzja -> niepewność -> potrzebna informacja -> wartość informacyjna -> ingerencja w prywatność -> mniej ingerująca alternatywa -> ocena proporcjonalności pozwala uporządkować tę ocenę. Nie tworzy on nowej normy prawnej. Jego funkcją jest przełożenie istniejących wymogów na strukturę procesu decyzyjnego. Zmusza przede wszystkim do określenia konkretnego obowiązku i decyzji przed rozpoczęciem analizy zakresu danych oraz do powiązania dodatkowej informacji z konkretną niepewnością, a nie z ogólnym celem AML/CFT lub przeciwdziałania przestępczości finansowej.

Model ma również znaczenie z perspektywy zasady rozliczalności. Bank powinien być w stanie odtworzyć przesłanki decyzji dotyczącej zakresu przetwarzania. Nie oznacza to konieczności sporządzania indywidualnych opinii prawnych przy każdym żądaniu dodatkowego dokumentu. W procesach standardowych ocena powinna zostać przeprowadzona już na etapie ich projektowania, poprzez określenie podstawowego zakresu danych, zdarzeń uruchamiających pogłębienie analizy, dodatkowych informacji odpowiadających określonym scenariuszom, zasad eskalacji oraz warunków zakończenia procesu. W przypadkach niestandardowych konieczne może być bardziej indywidualne udokumentowanie powodów zastosowania środka. Takie podejście pozwala również lepiej rozumieć zasadę ochrony danych w fazie projektowania. Jej znaczenie nie powinno ograniczać się do technicznego ograniczania liczby pól w formularzu, ustawiania okresów retencji czy stosowania kontroli dostępu. Ochrona danych w fazie projektowania procesów AML/CFT powinna obejmować także architekturę podejmowania decyzji: stopniowanie informacji, projektowanie reguł eskalacji, ocenę wartości poszczególnych danych, ograniczanie nadmiernej liczby wyników fałszywie pozytywnych oraz zapewnienie możliwości zakończenia analizy wtedy, gdy osiągnięto wystarczający poziom wiedzy.

Na tym tle nie znajduje uzasadnienia traktowanie ochrony prywatności jako czynnika zewnętrznego osłabiającego skuteczność systemu przeciwdziałania przestępczości finansowej. Część wymagań wynikających z prawa ochrony danych może wprost poprawiać jakość tego systemu. Minimalizacja ogranicza szum informacyjny. Prawidłowość zmniejsza ryzyko decyzji podejmowanych na podstawie błędnych lub historycznych informacji. Ograniczenie celu wymusza precyzyjne określenie funkcji danych. Kontrola retencji zapobiega nadawaniu nieaktualnym informacjom trwałego znaczenia. Zasady dotyczące automatyzacji zwiększają możliwość weryfikowania rezultatów modeli. Wymogi te mogą więc działać nie tylko jako granica ingerencji, lecz także jako mechanizm dyscyplinujący jakość procesu. Nie oznacza to oczywiście, że pomiędzy efektywnością AML/CFT a ochroną danych nigdy nie występuje rzeczywiste napięcie. W określonych przypadkach uzyskanie skuteczniejszej wiedzy będzie wymagało przetwarzania szerszego zakresu informacji, danych bardziej wrażliwych albo wymiany ich z innym podmiotem. Prawo nie usuwa konieczności dokonywania takich wyborów. Wymaga jednak, aby były one powiązane z konkretnym obowiązkiem, racjonalnie uzasadnione i ograniczone do tego, co potrzebne. Istotą proporcjonalności nie jest unikanie ingerencji, lecz kontrolowanie jej zakresu względem celu, któremu służy.

Odpowiedź na postawione w tytule pytanie nie może zatem przybrać formy jednego katalogu informacji, które bank powinien albo może posiadać o swoim kliencie. Taki katalog byłby sprzeczny z dynamicznym charakterem zarówno ryzyka, jak i wiedzy powstającej w toku stosunków gospodarczych. Bank powinien wiedzieć tyle, ile jest potrzebne do prawidłowego wykonania konkretnego obowiązku przy stanie wiedzy i ryzyka istniejącym w danym momencie. Powinien przy tym umieć wykazać, dlaczego dana informacja była potrzebna, jaką niepewność miała zmniejszyć, czy można było osiągnąć ten sam cel za pomocą środka mniej ingerującego oraz dlaczego proces został zakończony w określonym punkcie. W tym znaczeniu granica pomiędzy skutecznym przeciwdziałaniem przestępczości finansowej a ochroną prywatności nie przebiega pomiędzy większą i mniejszą ilością danych. Przebiega pomiędzy informacją pozostającą w rzeczywistym związku z wykonywanym obowiązkiem a informacją gromadzoną dlatego, że może kiedyś okazać się użyteczna. W pierwszym przypadku przetwarzanie danych stanowi konieczny element działania banku w warunkach ryzyka i niepewności. W drugim istnieje ryzyko, że cel regulacyjny przestaje wyznaczać granicę wiedzy instytucji i staje się jedynie uzasadnieniem dla jej ciągłego poszerzania.

Zasadniczy wniosek można więc sformułować następująco: minimalizacja danych w AML/CFT i procesach sankcyjnych nie oznacza posiadania przez bank najmniejszej możliwej ilości informacji. Oznacza obowiązek zapewnienia, aby każda informacja wykorzystywana w procesie pozostawała funkcjonalnie związana z konkretną decyzją, była potrzebna z perspektywy wiedzy dostępnej w chwili jej pozyskania, miała rzeczywistą wartość dla ograniczenia relewantnej niepewności oraz nie powodowała ingerencji większej, niż wymaga tego prawidłowe wykonanie obowiązku. Taka interpretacja pozwala zachować zarówno skuteczność systemu przeciwdziałania przestępczości finansowej, jak i rzeczywistą treść prawa do ochrony danych, bez sprowadzania żadnej z tych wartości do formalnego ograniczenia drugiej.