1. W zakresie, w jakim jest to ściśle niezbędne do celów zapobiegania praniu pieniędzy i finansowaniu terroryzmu, podmioty zobowiązane mogą przetwarzać szczególne kategorie danych osobowych, o których mowa w art. 9 ust. 1 rozporządzenia (UE) 2016/679, oraz dane osobowe dotyczące wyroków skazujących i przestępstw, o których mowa w art. 10 tego rozporządzenia, z zastrzeżeniem zabezpieczeń przewidzianych w ust. 2 i 3 niniejszego artykułu.
2. Podmioty zobowiązane mogą przetwarzać dane osobowe objęte art. 9 rozporządzenia (UE) 2016/679, pod warunkiem że:
a) | informują one swoich klientów lub potencjalnych klientów, że takie kategorie danych mogą być przetwarzane w celu spełnienia wymogów niniejszego rozporządzenia; |
b) | dane pochodzą z wiarygodnych źródeł, są dokładne i aktualne; |
c) | nie podejmują one na podstawie tych danych decyzji, które prowadziłyby do stronniczych i dyskryminujących wyników; |
d) | przyjmują środki o wysokim poziomie bezpieczeństwa zgodnie z art. 32 rozporządzenia (UE) 2016/679, w szczególności w zakresie poufności. |
3. Podmioty zobowiązane mogą przetwarzać dane osobowe objęte art. 10 rozporządzenia (UE) 2016/679, o ile spełniają warunki określone w ust. 2 niniejszego artykułu oraz o ile:
a) | takie dane osobowe mają związek z praniem pieniędzy, jego przestępstwami źródłowymi lub finansowaniem terroryzmu; |
b) | podmioty zobowiązane posiadają procedury umożliwiające – w ramach przetwarzania takich danych – rozróżnienie między zarzutami, postępowaniami przygotowawczymi, postępowaniami i wyrokami skazującymi, z uwzględnieniem podstawowego prawa do rzetelnego procesu sądowego, prawa do obrony i domniemania niewinności. |
4. Dane osobowe przetwarzane są przez podmioty zobowiązane na podstawie niniejszego rozporządzenia wyłącznie do celów zapobiegania praniu pieniędzy i finansowaniu terroryzmu i nie mogą być dalej przetwarzane w sposób niezgodny z tymi celami. Przetwarzanie danych osobowych na podstawie niniejszego rozporządzenia do celów handlowych jest zabronione.
5. Podmioty zobowiązane mogą przyjmować decyzje będące wynikiem procesów zautomatyzowanych, w tym profilowania zdefiniowanego w art. 4 pkt 4 rozporządzenia (UE) 2016/679, lub procesów z udziałem systemów sztucznej inteligencji zdefiniowanych w art. 3 pkt 1 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2024/xxx (), pod warunkiem że:
a) | dane przetwarzane przez takie systemy są ograniczone do danych uzyskanych zgodnie z rozdziałem III niniejszego rozporządzenia; |
b) | wszelkie decyzje o nawiązaniu lub odmowie nawiązania lub o utrzymaniu stosunków gospodarczych z klientem, o przeprowadzeniu lub odmowie przeprowadzenia transakcji sporadycznej na rzecz klienta lub o zwiększeniu lub zmniejszeniu zakresu środków należytej staranności wobec klienta stosowanych zgodnie z art. 20 niniejszego rozporządzenia, podlegają znaczącej ludzkiej interwencji, aby zapewnić prawidłowość i adekwatność takiej decyzji, oraz |
c) | klient może uzyskać wyjaśnienie dotyczące decyzji podjętej przez podmiot zobowiązany i może zaskarżyć tę decyzję, z wyjątkiem w związku ze zgłoszeniem, o którym mowa w art. 69 niniejszego rozporządzenia. |