Avocata generală a CJUE: unitățile antispălare pot ține secrete datele unei persoane, dar nu fără garanții

O persoană poate să nu afle dacă o unitate națională de informații financiare deține date despre ea atunci când divulgarea informației ar putea compromite prevenirea spălării banilor sau a finanțării terorismului. Autoritățile nu pot însă transforma această nevoie de secret într-o interdicție absolută, necontrolată și fără garanții, potrivit concluziilor prezentate la 8 octombrie de avocata generală a Curții de Justiție a Uniunii Europene Laila Medina.

Cauza a pornit din Estonia, unde un bărbat a încercat în repetate rânduri să afle ce informații deținea unitatea națională de informații financiare despre el și dacă acestea fuseseră schimbate cu bănci sau autorități străine. Autoritatea a refuzat să confirme chiar existența datelor, invocând obligația de confidențialitate necesară protejării sistemului de combatere a spălării banilor.

Unitățile de informații financiare, FIU, se află într-o poziție diferită de cea a unei administrații obișnuite. Ele primesc și analizează informații despre tranzacții suspecte, pot solicita date de la instituții financiare și schimbă informații cu autorități naționale și unități similare din alte state. În multe situații, simplul fapt că o persoană află că este analizată poate compromite verificările aflate în desfășurare.

Medina propune Curții să stabilească pentru prima dată în mod clar că, atunci când își îndeplinesc misiunea de prevenire, detectare și combatere a spălării banilor și finanțării terorismului, aceste unități trebuie tratate ca autorități competente în sensul Directivei UE privind protecția datelor în materie penală.

Consecința este importantă. Prelucrarea datelor pentru această activitate nu ar fi guvernată în primul rând de regimul general al GDPR, așa cum considerase anterior Curtea Supremă estoniană, ci de Directiva 2016/680, concepută pentru datele utilizate de autorități în prevenirea și combaterea infracțiunilor.

Diferența nu elimină drepturile persoanei. Directiva permite restrângerea accesului la propriile date atunci când acest lucru este necesar pentru protejarea unei investigații, pentru prevenirea unei infracțiuni sau pentru alte interese publice prevăzute de lege. Restricția trebuie însă să rămână necesară și proporțională.

Avocata generală acceptă chiar că, în domeniul spălării banilor, poate fi justificată o restricție completă a accesului direct. Confidențialitatea este esențială într-un sistem în care băncile și alte entități raportează tranzacții suspecte fără ca persoana vizată să fie avertizată.

Problema apare atunci când secretul devine automat și nelimitat. Legislația trebuie să explice în ce situații poate fi refuzat accesul, cât timp poate dura restricția și ce garanții există împotriva utilizării abuzive a datelor. Autoritatea nu poate primi pur și simplu libertatea de a păstra toate informațiile secrete până la distrugerea lor fără criterii care să permită verificarea necesității măsurii.

În dosarul estonian, informațiile prezentate Curții sugerează că accesul putea fi blocat pentru toate persoanele și pentru întreaga perioadă în care datele erau păstrate. Medina consideră că un asemenea sistem ar încălca dreptul UE dacă legislația nu oferă reguli suficient de clare și garanții care să permită autorității de supraveghere și instanțelor să verifice dacă restricția este justificată.

Controlul independent devine astfel elementul central al soluției propuse.

Dacă o persoană nu poate vedea direct datele, autoritatea națională pentru protecția datelor trebuie să poată verifica în locul ei ce informații există, dacă prelucrarea este legală și dacă refuzul accesului este justificat. Autoritatea de supraveghere trebuie să poată discuta confidențial cu unitatea de informații financiare și să aibă acces la informațiile necesare pentru verificare.

Persoana vizată poate apoi utiliza acest mecanism pentru a obține un control efectiv al legalității, inclusiv în fața unei instanțe, fără ca datele sensibile sau existența unei operațiuni să îi fie neapărat dezvăluite.

Concluziile admit și o situație și mai delicată: FIU poate refuza să explice de ce nu oferă acces, atunci când simpla motivare ar dezvălui dacă persoana este sau nu analizată și ar putea pune în pericol interesul public.

Autoritatea nu poate însă închide complet calea de contestare. Chiar dacă nu explică motivul refuzului, trebuie să îi spună persoanei că își poate exercita drepturile prin autoritatea de protecție a datelor.

Cazul are relevanță pentru toate statele UE deoarece fiecare sistem național de combatere a spălării banilor utilizează o unitate de informații financiare, iar schimbul de date dintre aceste unități este una dintre componentele esențiale ale cooperării europene împotriva fluxurilor financiare ilegale.

Miza este amplificată de natura informațiilor care ajung în aceste baze de date. O persoană poate apărea într-o analiză financiară fără să fie inculpată sau chiar fără să existe o investigație penală formală. Datele pot proveni din rapoarte de tranzacții suspecte, informații primite de la bănci sau alte entități obligate să raporteze și schimburi între autorități.

Tocmai din acest motiv, Medina încearcă să combine două obiective care par să intre în conflict. Sistemul antispălare trebuie să funcționeze fără ca persoanele suspectate să fie avertizate înainte ca autoritățile să poată analiza tranzacțiile. În același timp, existența unor baze de date secrete nu poate elimina dreptul fundamental la protecția datelor și controlul asupra modului în care autoritățile folosesc informațiile personale.

Curtea nu este obligată să urmeze concluziile avocatei generale. Rolul avocaților generali este să propună în deplină independență o soluție juridică, iar judecătorii CJUE deliberează separat. Hotărârea va fi pronunțată la o dată ulterioară.

Dacă judecătorii vor urma această interpretare, efectul nu va fi obligarea FIU-urilor să le dezvăluie persoanelor dacă sunt monitorizate. Ar fi însă confirmat principiul potrivit căruia secretul necesar combaterii spălării banilor trebuie însoțit de reguli verificabile și de o cale independentă prin care legalitatea utilizării datelor poate fi controlată.