Duomenų kiekio mažinimas: AML patikra turi būti grįsta rizika, o ne maksimali

Vienas sudėtingiausių praktinių klausimų yra AML ir BDAR principų balansas. AML logika skatina „pažinti klientą“, o BDAR reikalauja nerinkti perteklinių duomenų. Šį konfliktą reikia spręsti per rizika grįstą duomenų rinkimo modelį (angl. risk-based approach). Nepaisant to, kad kartais atrodo, jog viskas pakankamai aišku, AML reguliuojantys teisės aktai yra ganėtinai griežti, todėl įpareigotieji subjektai privalo jų laikytis ir švelniai tariant „kištis į klientų gyvenimus“.

Iki šiol galiojusi reguliacija Lietuvos Respublikoje buvo itin griežta finansų rinkos dalyviams, kadangi Lietuvos Bankas taip pat laikosi stiprios pozicijos AML prevencijos klausimais, o būtent iš šios institucijos ir ateina daugiausia nurodymų kaip reikėtų tikrinti klientus, kaip reikėtų atlikti AML visos veiklos rizikos vertinimą ir kt. Tačiau su naujuoju AML Reglamentu iš esmės keičiasi tai, kad dabar visi įpareigotieji subjektai privalės laikytis daugiau mažiau panašių standartų.

Įpareigotiesiems subjektams svarbu suprasti, kad daugeliu atveju AML tikrinimo tikslais renkami asmens duomenys yra ir bus grindžiami teisinės prievolės vykdymu (BDAR 6 straipsnio 1 dalies c) punktas), tačiau teisinė prievolė rinkti konkrečius asmens duomenis turi būti aiškiai nurodyta teisės akte. Tik ta apimtis, kuri yra įvardinta konkrečioje teisės akto normoje, gali būti grindžiama teisine prievole, na, o visos kitos duomenų kategorijos privalės būti tvarkomos vadovaujantis kitais teisiniais pagrindais.

AMLR 20 straipsnyje klientų patikrinimo priemonės apibrėžiamos plačiai. Jos apima kliento identifikavimą ir tapatybės patikrinimą, naudos gavėjų nustatymą ir jų tapatybės patikrinimą, verslo santykių ar atsitiktinio sandorio tikslo ir numatomo pobūdžio supratimą, tikslinių finansinių sankcijų patikrą, kliento veiklos, verslo, profesijos ar užsiėmimo vertinimą, nuolatinę dalykinių santykių stebėseną, PEP statuso nustatymą ir asmenų, veikiančių kliento vardu, įgaliojimų bei tapatybės patikrą.

Šis sąrašas rodo, kad KYC nebėra vien „paimti paso kopiją ir užpildyti anketą“. Įpareigotasis subjektas turi turėti pakankamai informacijos, kad realiai suprastų, kas yra klientas, kas jį kontroliuoja, kokia jo veikla, koks santykių tikslas, ar jo elgesys atitinka rizikos profilį ir ar nėra taikytinų tarptautinių sankcijų, PEP ar kitų padidintos rizikos indikatorių.

BDAR dokumentacijoje tai turi atsispindėti labai tiksliai ir svarbiausia – paaiškinta klientui prieš tokių asmens duomenų surinkimą. Privatumo pranešime nepakanka abstrakčiai nurodyti, kad „asmens duomenys tvarkomi pinigų plovimo prevencijos tikslais“. Reikėtų aiškiai išskirti bent šiuos tvarkymo tikslus:

• kliento tapatybės nustatymas ir patikrinimas;
• kliento atstovų ir įgaliotų asmenų tapatybės bei įgaliojimų patikrinimas;
• galutinių naudos gavėjų nustatymas ir nuosavybės / kontrolės struktūros supratimas;
• verslo santykių tikslo ir pobūdžio vertinimas;
• sankcijų, PEP ir neigiamos informacijos patikros;
• rezidavimo vietos bei mokesčių mokėjimo valstybės nustatymas;
• kliento rizikos profilio nustatymas;
• nuolatinė dalykinių santykių ir sandorių stebėsena;
• AML dokumentų saugojimas ir pateikimas priežiūros institucijoms.

Kiekvienas duomenų tvarkymo tikslas turi būti pagrįstas ir teisiniu pagrindu. Šioje vietoje klientai neretai pasimeta ar net piktinasi, kai iš jų yra reikalaujama dokumentų, jų kopijų, išrašų ir kitos jautrios informacijos. Tačiau taip yra todėl, kad tikrinančios organizacijos tinkamai neinformuoja ir nepaaiškina kodėl to reikia, kokie teisės aktai tai numato ir kiek laiko tokie asmens duomenys bus saugomi.

Labai svarbu, jog AML prevencijos tikslais tikrinamų asmens duomenų kiekis tik augs, todėl BDAR klausimas čia visada išliks kritinis.

Kad būtų paprasčiau suprasti, įpareigotasis subjektas turėtų turėti asmens duomenų kategorijų matricą: kokius duomenis renka standartinei patikrai, kokius – supaprastintai, kokius – sustiprintai, kokius – tik esant konkrečiam rizikos indikatoriui. Pavyzdžiui, lėšų kilmės dokumentai, papildomi turto kilmės įrodymai ar detalios sandorio ekonominio pagrindo analizės neturėtų būti automatiškai reikalaujami iš visų klientų, jeigu tokio intensyvumo nereikalauja rizikos lygis, piniginės operacijos dydis neviršija nustatytos sumos ir pan. Todėl prieš dalykinių santykių sudarymą yra itin svarbu nustatyti kliento AML rizikos lygį ir vėliau palaipsniui tą rizikos lygį stebėti ir esant poreikiui atnaujinti.

AMLR 26 straipsnis įpareigoja vykdyti nuolatinę dalykinių santykių ir kliento sandorių stebėseną. Tai reiškia, kad klientas vertinamas ne tik dalykinių santykių sudarymo metu. Jo dokumentai, informacija, rizikos profilis ir sandoriai turi būti tikrinami visų santykių metu, o klientų informacija turi būti atnaujinama priklausomai nuo rizikos. Taigi asmens duomenų tvarkymas AML prevencijos tikslais yra nesibaigiantis ir tęstinis procesas, kuris turi būti tikslus, skaidrus ir aiškus ne tik organizacijos viduje, tačiau ir klientams (duomenų subjektams). Rekomenduotina procedūras aprašyti atskirai, pavyzdžiui:

• Pirminis kliento patikrinimas – kokie asmens duomenys renkami, kur suvedami, kaip tikrinami ir kt.
• Periodinis kliento tikrinimas – kas kiek laiko klientas yra tikrinamas, kokie asmens duomenys tam naudojami, kas atlieka.
• Piniginių operacijų tikrinimas, kaip vykdomas, kas vykdo, kas atsakingas už sprendimų priėmimą stabdyti operaciją, atlikti vidinį tyrimą arba pranešti priežiūros institucijoms.
• Kokiais atvejais prašoma pateikti dokumentus, jų kopijas ar kitus įrodymus, kaip tokie duomenys saugojami, kur saugojami.

Papildomai, kiekvienas įpareigotasis subjektas privalo įsivertinti savo veiklos modelį, tvarkomų asmens duomenų apimtį, aiškiai nusibrėžti tikslus, identifikuoti teisinius pagrindus, atlikti veiklos įrašų analizę, o jeigu tokių nėra – juos parengti, paruošti išsamius ir aiškius privatumo pranešimus klientams ir atlikti visus kitus paruošiamuosius veiksmus.

Primenu, jog AML Reglamentas įsigalioja jau 2027 m. liepos 10 d., todėl jei nežinote nuo ko pradėti, kokius veiksmus atlikti, kokių dokumentų gali reikėti, susisiekime.