Ar AML prevencijos paslaugų teikėjai privalo teikti informaciją apie tvarkomus asmens duomenis?

Ar klientų patikros paslaugų teikėjai turi pareigą teikti klientams informaciją apie jų tvarkomus duomenis? Ar tai tik paslaugos gavėjo pareiga?

BDAR numato duomenų subjekto teisę iš duomenų valdytojo gauti patvirtinimą, ar su juo susiję asmens duomenys yra tvarkomi, o jei tokie asmens duomenys yra tvarkomi, – teisę susipažinti su asmens duomenimis.

Tačiau kaip šią nuostatą reikėtų interpretuoti, kai duomenų valdytojas (pavyzdžiui, bankas, mokėjimo įstaiga, valdymo įmonė) pasitelkia trečiąsias šalis (duomenų tvarkytojus), pavyzdžiui, apskaitos paslaugų teikėjus, klientų identifikavimo paslaugų teikėjus, skolų išieškojimo paslaugų teikėjus ir pan.?

Reguliavimas itin konkretaus atsakymo nepateikia, tačiau naujausia Valstybinės duomenų apsaugos inspekcijos (VDAI) praktika šią nuostatą aiškina gana plačiai ir griežtai – duomenų tvarkytojui (klientų identifikavimo, sankcijų patikros bei sandorių stebėsenos paslaugų teikėjui), nepateikusiam atsakymo, ar ir kaip tvarko asmens, kuris nėra tiesioginis jo klientas, duomenis, skyrė papeikimą.

Tai reiškia, kad duomenų tvarkytojai, veikiantys duomenų valdytojo pavedimu ir teikiantys klientų identifikavimo, sankcijų patikros ar transakcijų monitoringo paslaugas, privalo įgyvendinti BDAR numatytą duomenų subjekto teisę gauti informaciją apie duomenų tvarkymo faktą ir apimtį.

Tai, kad duomenų subjektų teisės BDAR kontekste aiškinamos plečiamai, nėra nauja, tačiau šiuo atveju labai svarbus kontekstas – pinigų plovimo prevencijos reguliavimas įpareigoja finansų rinkos dalyvius tikrinti savo klientus, o kompetentingų trečiųjų šalių pasitelkimas yra vienas iš labiausiai skatinamų būdų tai atlikti.

Tačiau įstatyminės pareigos įgyvendinimas tiek finansų rinkos dalyviui, tiek ir jo paslaugų teikėjui sukuria papildomas ir gana plačios apimties pareigas, kurių įgyvendinimas praktikoje gali pareikalauti itin didelių resursų – juk klientų identifikavimą ir sankcijų patikras atliekantys paslaugų teikėjai duomenų bazėse turi šimtus tūkstančių įrašų, atitinkamai ir potencialių užklausų apie tvarkomus asmens duomenis.

Taigi, VDAI paskirtas papeikimas klientų identifikavimo bei patikros paslaugų teikėjui iškėlė svarbų klausimą: ar dabartinis reguliavimas tinkamai subalansuoja duomenų subjektų teises ir realias klientų patikros paslaugų teikėjų galimybes jas įgyvendinti?

Įžvalgomis dalinasi Agnė Dačkienė, asocijuota partnerė, atitikties ir rizikų vadovė.