Protecció de dades en la prevenció del blanqueig de capitals


Manuel Castilleja Toscano     14/01/2025


TRACTAMENT DE DADES PERSONALS A LA PREVENCIÓ DE BLANQUEIG DE CAPITALS

El tractament de dades personals necessari per al compliment de les obligacions establertes a la Llei 10/2010, de 28 d'abril, de Prevenció del Blanqueig de Capitals i del Finançament del Terrorisme (LPBCFT) com qualsevol altre tractament de dades personals, ha de complir amb tots els principis establerts a l'article 5.1 del Reglament (UE) 2016/679 del Parlament Europeu i del Consell, de 27 d'abril del 2016 (RGPD).

1. LICITUD, LLEALTAT I TRANSPARÈNCIA (art. 5.1.a RGPD)

1.1. LEGITIMACIÓ

No cal consentiment de l'interessat, la base jurídica que legitima aquests tractaments és:

  • Art. 6.1.c RGPD, en ser necessaris per al compliment d'una obligació legal imposada al responsable del tractament, en els casos de:
    • Obligacions de diligència deguda (capítol II) i informació (capítol III) (arts. 32 bis.1 y 32.1 LPBCFT).
    • Comunicacions de dades:
    • Previstes per a les obligacions d'informació (Capítol III) i, en particular, per a les previstes a l'art. 24.2 LPBCFT.
    • Als sistemes comuns d'informació, emmagatzematge i, si escau, accés a la informació i documentació recopilada, així com l'accés a les dades incorporades a aquestes (art. 32 ter.2 LPBCFT).
  • Art. 6.1.e RGPD, en ser necessaris per al compliment d'una missió realitzada en interès públic o en l'exercici de poders públics conferits al responsable del tractament, en el cas de:
    • Intercanvi dinformació entre subjectes obligats i fitxers centralitzats de prevenció del frau (art. 33.1,2 i 3 LPBCFT).

1.2. DEURE INFORMACIÓ

1.2.1.Tractaments per complir les obligacions de diligència deguda

Amb caràcter previ a l'establiment de la relació de negocis o la realització d'una transacció ocasional, els subjectes obligats han de facilitar als nous clients la informació requerida als arts. 13 i 14 del RGPD. Aquesta informació contindrà, en particular, un avís general sobre les obligacions legals dels subjectes obligats pel que fa al tractament de dades personals a efectes de prevenció del blanqueig de capitals i el finançament del terrorisme (art. 32 bis.3 LPBCFT).

En tot cas, els interessats hauran de ser informats sobre la comunicació de les dades per part dels òrgans de control interns dels subjectes obligats als sistemes comuns dinformació, emmagatzematge i, si escau, accés a la informació i documentació recopilada, així com de l'accés que pretengués dur-se a terme amb caràcter previ al fet que aquest es produeixi (art. 32 ter.3 LPBCFT).

1.2.2. Tractaments per complir les obligacions dinformació i per a lintercanvi dinformació entre subjectes obligats i fitxers centralitzats de prevenció del frau

Atès que conformi a l'art. 24.1 LPBCFT els subjectes obligats i els seus directius o empleats no poden revelar al client ni a tercers que s'ha comunicat informació al Servei Executiu de la Comissió, o que s'està examinant o es pot examinar alguna operació per si pogués estar relacionada amb el blanqueig de capitals o amb el finançament del terrorisme, de conformitat amb l'art. 14.5 RGPD, no és aplicable l'obligació d'informació prevista a l'art. 14.1 i 2 RGPD (art. 32.2 LPBCFT).

1.3. DRETS DE L'INTERESSAT

1.3.1. Tractaments per complir les obligacions de diligència deguda

D'acord amb l'art. 26.3 RGPD, en els tractaments duts a terme per als sistemes comuns d'informació, emmagatzematge i, si escau, accés a la informació i documentació recopilada, en què els subjectes obligats són coresponsables del tractament, els interessats podran exercir els drets que els reconeix el RGPD davant, i en contra de, cadascun dels responsables. El subjecte obligat que hagi proporcionat dades al sistema ha de complir si s'escau el que estableixen els arts. 17.2 i 19 RGPD (art. 32 ter. 5 LPBCFT).

1.3.2. Tractaments per complir les obligacions dinformació i per a lintercanvi dinformació entre subjectes obligats i fitxers centralitzats de prevenció del frau

D'acord amb l'art. 23 RGPD, no procedirà latenció dels drets conferits pel RGPD als interessats en els seus arts. 15 a 22. En cas d'exercici dels drets esmentats per l'interessat, els subjectes obligats es limitaran a posar-li de manifest el que disposa aquest article.

Tampoc no procedirà l'atenció dels drets esmentats en els tractaments duts a terme pel Servei Executiu de la Comissió per al compliment de les funcions que li atorga la LPBCFT (art. 32.2 LPBCFT).

1.4. RESPONSABILITAT DEL TRACTAMENT

Els subjectes obligats actuaran en els tractaments necessaris per al compliment de les obligacions que estableix la LPBCFT com a responsables del tractament.

Els òrgans centralitzats de prevenció a què fa referència l'article 27 tenen la condició d'encarregats del tractament, llevat dels tractaments que duguin a terme d'incorporació obligatòria en l'àmbit de les funcions que se'ls atribueixin reglamentàriament. que aquests òrgans tinguin la condició de responsables del tractament (art. 32.3 LPBCFT).

Quan es creïn sistemes comuns d'informació, emmagatzematge i, si escau, accés a la informació i documentació recopilada per al compliment de les obligacions de diligència deguda, els subjectes adherits al sistema tenen la condició de coresponsables del tractament.

El manteniment d'aquests sistemes es pot encomanar a un tercer, encara que no tingui la condició de subjecte obligat (art. 32 ter.1 LPBCFT).

2. LIMITACIÓ DE LA FINALITAT (art. 5.1.b RGPD)

Les dades recollides pels subjectes obligats per al compliment de les obligacions de diligència deguda no podran ser utilitzades per a fins diferents de les relacionades amb la prevenció del blanqueig de capitals i el finançament del terrorisme sense el consentiment de l'interessat, llevat que el tractament d'aquests dades sigui necessari per a la gestió ordinària de la relació de negocis. (art. 32 bis.2 LPBCFT)

Les dades obtingudes com a conseqüència de l'accés als sistemes comuns d'informació, emmagatzematge i, si escau, accés a la informació i documentació recopilada, únicament podran ser utilitzades per al compliment pels subjectes obligats de les obligacions de diligència deguda (art.32 ter. 4 LPBCFT)

3. MINIMITZACIÓ DE DADES (art. 5.1.c RGPD)

Els subjectes obligats només podran accedir a la informació facilitada per un altre subjecte obligat en els supòsits en què la persona a què es refereixin les dades sigui el client o l'accés a la informació sigui necessari per al compliment de les obligacions d'identificació prèvies a l'establiment de la relació de negocis previstes a l'article 3. En aquest supòsit, només s'accedirà a les dades necessàries a aquest efecte (art. 32 ter. 2 LPBCFT).

4. EXACTITUD (art. 5.1. d RGPD)

Correspon al subjecte obligat que hagi proporcionat dades a un sistema comú d'informació, emmagatzematge i, si escau, accés a la informació i documentació recopilada, respondre de la seva exactitud i actualització.

Quan el subjecte obligat comprovi, a la vista de la informació que ell mateix hagi demanat en compliment dels seus deures de diligència deguda, que les dades a què hagi accedit són incorrectes o no estan actualitzades, ho comunicarà al sistema per tal que els dades siguin objecte d'actualització o rectificació si escau (art. 32 ter. 5 LPBCFT).

5. CONSERVACIÓ (art. 5.1.e RGPD)

Els subjectes obligats conservaran durant un període de deu anys la documentació en què es formalitzi el compliment de les obligacions establertes a la LPBCFT, procedint després d'aquest a la seva eliminació. Transcorreguts cinc anys des de la terminació de la relació de negocis o l'execució de l'operació ocasional, la documentació conservada únicament serà accessible pels òrgans de control intern del subjecte obligat, amb inclusió de les unitats tècniques de prevenció i, si escau, aquells encarregats de defensar-los legalment. (art. 25 LPBCFT).

6. INTEGRITAT I CONFIDENCIALITAT (art. 5.1.f RGPD)

Les dades han de ser tractades de manera que es garanteixi una seguretat adequada de les dades personals, inclosa la protecció contra el tractament no autoritzat o il·lícit i contra la seva pèrdua, destrucció o dany accidental, mitjançant l'aplicació de mesures tècniques o organitzatives apropiades.

6.1. AVALUACIÓ D'IMPACTE EN LA PROTECCIÓ DE DADES (EIPD)

Els subjectes obligats que duguin a terme tractaments de dades personals per complir les obligacions de diligència deguda i/o obligacions d'informació que exigeixen la LPBCFT o intercanviïn informació amb altres subjectes obligats per a la creació de fitxers centralitzats per a la prevenció del frau, hauran de realitzar una EIPD d'aquests tractaments per tal d'adoptar mesures tècniques i organitzatives reforçades per garantir la integritat, la confidencialitat i la disponibilitat de les dades personals. Aquestes mesures han de garantir en tot cas la traçabilitat dels accessos i comunicacions de les dades (art. 32.4, 32 bis. 4 i 33.5 LPBCFT).

6.2. DELEGAT DE PROTECCIÓ DE DADES (DPO)

L'art. 34.1.j LOPDGDD (Llei orgànica 3/2018, de 5 de desembre, de protecció de dades personals i garantia dels drets digitals) estableix que han de designar un DPO les entitats responsables dels fitxers comuns per a la gestió i prevenció del frau, incloent els responsables dels fitxers regulats per la legislació de prevenció del blanqueig de capitals i del finançament del terrorisme.

El precepte es refereix a entitats responsables de portar fitxers regulats a la LPBCFT, i per tant no inclou totes aquelles entitats subjectes a la Llei, que poden estar sotmeses a aquesta sense necessitat d'estar obligades a portar determinats fitxers regulats.

L'art. 15.2 LPBCFT estableix que serà possible la creació per tercers diferents dels subjectes obligats de fitxers en què s'incloguin les dades identificatives dels qui tinguin la condició de persones amb responsabilitat pública amb l'exclusiva finalitat de col·laborar amb els subjectes obligats al compliment de les mesures reforçades de diligència deguda. Els que procedeixin a la creació daquests fitxers no podran emprar les dades per a cap altra finalitat diferent de la assenyalada al paràgraf anterior.

L'art. 33.2 LPBCFT assenyala que els subjectes obligats podran intercanviar informació relativa a les operacions a què es refereixen els articles 18 i 19 amb l'única finalitat de prevenir o impedir operacions relacionades amb el blanqueig de capitals o el finançament del terrorisme quan característiques o operativa del supòsit concret es desprengui la possibilitat que, un cop rebutjada, es pugui intentar davant d'altres subjectes obligats el desenvolupament d'una operativa total o parcialment similar a aquella.

En relació amb aquest darrer supòsit, el Reial decret 304/2014, pel qual s'aprova el Reglament de la LPBCFT, estableix al seu art. 61 que es poden crear fitxers comuns per al compliment de les obligacions en matèria de prevenció, en determinats supòsits. :

  1. Quan concorrin riscos extraordinaris identificats mitjançant les anàlisis de riscos en matèria de blanqueig de capitals i finançament del terrorisme, la Comissió, amb un dictamen previ d'acord amb l'Agència Espanyola de Protecció de Dades (AEPD), pot autoritzar l'intercanvi d'informació sobre determinades categories d'operacions o clients.
  2. Quan les operacions que hagin estat objecte de comunicació per indici al Servei Executiu de la Comissió i posterior rebuig pel subjecte obligat, per les seves característiques, poguessin ser intentades de forma idèntica o similar davant d'un altre subjecte obligat, la Comissió, previ dictamen conforme a la de l'Agència Espanyola de Protecció de Dades, podrà autoritzar els subjectes obligats l'establiment, bé directament o per mitjà de les associacions a què pertanyessin, de fitxers comuns per a l'intercanvi informació.

En conseqüència i respecte a la designació obligatòria d'un DPO en els termes previstos a l'article 34.1.j LOPDGDD, podem entendre que assolirà les entitats responsables de sistemes que fossin creats pels responsables de fitxers regulats per la LPBCFT (com els de l'art . 15.2 i 33.3 LPBCFT), és a dir del fitxer comú dintercanvi dinformació circumscrit a les entitats que tinguin la consideració de subjectes obligats de conformitat amb el que preveu l'art. 2 LPBCFT.

A la 10a Sessió Anual Oberta de l'AEPD, de 4 de juny de 2018, es va resoldre sobre això que, quant a l'exigibilitat d'un DPO, com a regla general només es considera que estan inclosos en els supòsits del RGPD pels tractaments específics relacionats amb prevenció del blanqueig els gestors dels fitxers comuns previstos a l'art. 33 LPBCFT. Tot i això, molts subjectes obligats haurien de comptar amb un DPD com a conseqüència de l'activitat que desenvolupen en general (https://www.aepd.es/documento/9-preguntas.pdf)

Per tot el que s'ha exposat anteriorment, els subjectes obligats de la LPBCFT només han de designar un DPO d'acord amb l'art. , en els casos que:

  1. Hi concorrin riscos extraordinaris identificats mitjançant les anàlisis de riscos en matèria de blanqueig de capitals i finançament del terrorisme.
  2. Les operacions que hagin estat objecte de comunicació per indici al Servei Executiu de la Comissió i posterior rebuig pel subjecte obligat, per les seves característiques, poguessin ser intentades de forma idèntica o similar davant d'un altre subjecte obligat, bé directament el subjecte o per mitjà de les associacions a què pertanyessin.

MÉS INFORMACIÓ (articles de la normativa de prevenció de blanqueig de capitals referenciats i relacionats amb la protecció de dades)

Llei 10/2010, de 28 d'abril, de Prevenció del Blanqueig de Capitals i del Finançament del Terrorisme:

Reial Decret 304/2014, pel qual s'aprova el Reglament de la Llei 10/2010: