RODO a blokada konta – czy bank musi podać przyczynę i co daje sprzeciw wobec automatycznego profilowania AML?

Blokada rachunku firmowego często następuje bez uprzedzenia i bez pełnego wyjaśnienia jej przyczyn. Dla przedsiębiorcy oznacza to ryzyko utraty płynności, opóźnień w rozliczeniach z kontrahentami, problemów z wypłatą wynagrodzeń oraz szkody reputacyjnej. Pojawia się więc pytanie, czy bank ma obowiązek ujawnić podstawę swojej decyzji na gruncie RODO.

Odpowiedź zależy od podstawy blokady oraz etapu sprawy. RODO daje osobie fizycznej prawo dostępu do danych, ich sprostowania i – w określonych przypadkach – informacje oraz uprawnienia związane ze zautomatyzowanym podejmowaniem decyzji. Jednocześnie bank jest związany tajemnicą bankową oraz obowiązkami wynikającymi z ustawy o przeciwdziałaniu praniu pieniędzy i finansowaniu terroryzmu. W określonych sytuacjach przepisy AML wręcz zakazują ujawnienia klientowi, że transakcja została zgłoszona do Generalnego Inspektora Informacji Finansowej.

RODO a blokada rachunku firmowego – kogo chronią przepisy o danych osobowych?

RODO chroni dane osób fizycznych. W przypadku spółki kapitałowej nie obejmuje ono danych samej spółki jako osoby prawnej. Może natomiast dotyczyć danych członków zarządu, wspólników będących osobami fizycznymi, beneficjentów rzeczywistych, pełnomocników, pracowników oraz osób prowadzących jednoosobową działalność gospodarczą.

W praktyce zarząd może żądać informacji dotyczących przetwarzania własnych danych, lecz nie uzyska na tej podstawie pełnego dostępu do wewnętrznej dokumentacji banku dotyczącej całej spółki. Wniosek powinien zatem wyraźnie wskazywać, czy jest składany przez osobę fizyczną w zakresie jej danych, czy przez przedsiębiorcę w ramach relacji umownej z bankiem.

Czy bank musi podać przyczynę blokady konta?

Bank co do zasady powinien przekazać klientowi informacje wymagane przez przepisy prawa, umowę rachunku oraz – w zakresie danych osobowych – RODO. Nie oznacza to jednak ogólnego obowiązku szczegółowego ujawnienia każdej przesłanki oceny ryzyka AML ani faktu złożenia zawiadomienia do GIIF.

Ustawa AML nakłada na instytucje obowiązane obowiązek zachowania tajemnicy dotyczącej określonych działań podejmowanych w związku z przeciwdziałaniem praniu pieniędzy. Dotyczy to w szczególności informacji o przekazaniu GIIF zawiadomienia, jego analizie oraz określonych działaniach związanych z takim zawiadomieniem. Naruszenie zakazu ujawniania mogłoby udaremnić czynności organów lub uprzedzić osobę, której dotyczą ustalenia [2].

Granica milczenia banku nie jest jednak nieograniczona. Jeżeli ograniczenie operacji wynika wyłącznie z wewnętrznej decyzji biznesowej, regulaminu lub automatycznego alertu nieobjętego ustawowym zakazem ujawnienia, sam zakaz informowania z ustawy AML nie uzasadnia odmowy podania informacji. RODO nie ustanawia jednak samoistnego prawa do szczegółowego uzasadnienia każdej decyzji banku, która nie stanowi decyzji objętej art. 22 RODO. W takim przypadku znaczenie mają przede wszystkim warunki umowy rachunku, regulamin banku oraz obowiązki informacyjne dotyczące przetwarzania danych.

Przy analizie korespondencji warto odróżnić trzy możliwe sytuacje:

• blokadę rachunku lub wstrzymanie transakcji stosowane na podstawie przepisów AML, w tym w związku z działaniami instytucji obowiązanej lub postanowieniem GIIF;
• zajęcie rachunku w postępowaniu egzekucyjnym, zabezpieczającym albo karnym;
• wewnętrzne ograniczenie operacji przez bank, wynikające z oceny ryzyka, postanowień umowy lub procedur bezpieczeństwa.

Każdy z tych mechanizmów wiąże się z innymi środkami ochrony. Przedsiębiorca powinien przede wszystkim ustalić, czy otrzymał formalne postanowienie oraz jaka norma prawna została wskazana jako podstawa ograniczenia. Pomocne może być opracowanie: jak czytać postanowienie o blokadzie konta.

Prawo dostępu do danych a tajemnica bankowa i AML

Na podstawie art. 15 RODO osoba, której dane dotyczą, może żądać potwierdzenia, czy bank przetwarza jej dane, uzyskać do nich dostęp oraz otrzymać informacje m.in. o celach przetwarzania i odbiorcach danych. Jeżeli dane nie zostały zebrane od tej osoby, może ona także otrzymać dostępne informacje o ich źródle [1]. Prawo to nie ma jednak charakteru absolutnego.

Ograniczenie dostępu może wynikać z art. 23 RODO, jeżeli jest przewidziane w prawie Unii lub prawie państwa członkowskiego, respektuje istotę podstawowych praw i wolności oraz jest środkiem koniecznym i proporcjonalnym. W sektorze bankowym ograniczenia mogą wynikać w szczególności z przepisów AML oraz z konieczności ochrony praw i wolności innych osób. Tajemnica bankowa nie stanowi natomiast sama w sobie podstawy do odmowy osobie dostępu do jej własnych danych. Szerzej relację obowiązku poufności i uprawnień organów wyjaśnia materiał: blokada a tajemnica bankowa.

Faktem jest, że bank może nie ujawnić informacji o zgłoszeniu podejrzanej transakcji lub o analizie prowadzonej przez GIIF. Opinią wymagającą oceny konkretnego przypadku jest natomiast twierdzenie, że każda odmowa banku jest zgodna z prawem. Jeżeli bank nie realizuje żądania osoby, której dane dotyczą, powinien co do zasady wskazać powody oraz poinformować o możliwości wniesienia skargi do organu nadzorczego, chyba że zakres informacji podlega skutecznemu ustawowemu ograniczeniu lub zakazowi ujawnienia.

Sprostowanie danych wykorzystanych w ocenie ryzyka AML

Art. 16 RODO przyznaje prawo żądania sprostowania danych nieprawidłowych oraz uzupełnienia danych niekompletnych [1]. Uprawnienie to ma istotne znaczenie, gdy system AML lub pracownik banku posłużył się błędnymi danymi identyfikacyjnymi, nieaktualnym adresem, nieprawidłowo wskazanym powiązaniem osobowym albo niepełnym opisem źródła środków.

Sprostowaniu podlegają dane, a nie sama ocena ryzyka lub prawna kwalifikacja banku. Przedsiębiorca może jednak przedstawić dokumenty podważające fakty, na których bank oparł ocenę, przykładowo umowy handlowe, faktury, potwierdzenia dostaw, dokumentację transportową albo dokumenty korporacyjne.

Wniosek do banku powinien zawierać następujące elementy:

1. oznaczenie osoby, której dane dotyczą, oraz rachunku lub relacji bankowej;
2. wskazanie żądania dostępu, sprostowania albo uzupełnienia danych;
3. precyzyjny opis danych uznawanych za błędne;
4. dokumenty potwierdzające prawidłowy stan faktyczny;
5. wniosek o potwierdzenie wykonania żądania oraz wskazanie podstawy ewentualnej odmowy.

Automatyczne profilowanie AML i prawo do interwencji człowieka

Systemy monitoringu transakcji automatycznie identyfikują nietypowe przelewy, relacje z kontrahentami z określonych państw, nagłe zmiany obrotów lub rozbieżności z profilem działalności. Sam automatyczny alert nie musi jeszcze oznaczać decyzji objętej art. 22 RODO.

Art. 22 RODO dotyczy sytuacji, w której decyzja jest podejmowana wyłącznie w sposób zautomatyzowany i wywołuje wobec osoby skutki prawne albo w podobny sposób istotnie na nią wpływa. Co do zasady osoba ma prawo nie podlegać takiej decyzji, chyba że zachodzi jeden z wyjątków wskazanych w art. 22 ust. 2 RODO. Jeżeli decyzja jest niezbędna do zawarcia lub wykonania umowy albo opiera się na wyraźnej zgodzie osoby, administrator powinien zapewnić co najmniej prawo do uzyskania interwencji człowieka, wyrażenia własnego stanowiska i zakwestionowania decyzji [1].

W praktyce wniosek może dotyczyć potwierdzenia, czy ograniczenie dostępu do rachunku było poprzedzone rzeczywistą oceną pracownika banku. Nie daje on jednak automatycznie prawa do uchylenia blokady wynikającej z przepisów AML, decyzji GIIF lub postanowienia właściwego organu. Bank nie może też ujawnić informacji objętych zakazem informowania klienta.

Skarga do Prezesa UODO i znaczenie odpowiedzi banku w sporze

Skarga do Prezesa Urzędu Ochrony Danych Osobowych może być zasadna, gdy bank nie odpowiada na żądanie dotyczące danych, nie uzasadnia ograniczenia uprawnień, mimo że ma taki obowiązek, albo narusza zasady dotyczące zautomatyzowanego podejmowania decyzji z art. 22 RODO. Organ może nakazać administratorowi realizację obowiązków wynikających z RODO, lecz postępowanie przed Prezesem UODO nie zastępuje kontroli postanowienia o blokadzie ani nie rozstrzyga roszczenia odszkodowawczego.

Dla późniejszego sporu istotne jest systematyczne dokumentowanie działań. Należy zachować wnioski skierowane do banku, potwierdzenia ich doręczenia, odpowiedzi, historię rachunku, dowody utraconych kontraktów i kosztów finansowania. Materiał ten może mieć znaczenie przy ocenie, czy bank naruszył obowiązki umowne lub przepisy o ochronie danych oraz czy pomiędzy naruszeniem a szkodą istnieje związek przyczynowy.

Roszczenie o odszkodowanie na podstawie art. 82 RODO wymaga wykazania naruszenia RODO, szkody majątkowej lub niemajątkowej oraz związku przyczynowego między naruszeniem a szkodą. Sama blokada rachunku, zwłaszcza wykonana na podstawie obowiązujących przepisów lub decyzji organu, nie przesądza jeszcze o odpowiedzialności banku. W sprawach, w których ograniczenie ma związek z postępowaniem, znaczenie może mieć również dostęp do akt sprawy.

Materiał ma charakter informacyjny i nie stanowi porady prawnej. Gdy blokada rachunku wpływa na bieżącą działalność, właściwa ocena podstawy prawnej i treści odpowiedzi banku może ograniczyć ryzyko dalszych strat, dlatego w celu analizy konkretnej sytuacji warto napisać do nas.

FAQ: RODO a blokada konta firmowego

Czy bank musi ujawnić, że zgłosił transakcję do GIIF?

Co do zasady nie. Ustawa AML przewiduje zakaz ujawniania klientowi lub osobom trzecim informacji o przekazaniu GIIF określonych zawiadomień, o analizie prowadzonej przez GIIF oraz o określonych działaniach związanych z takim zawiadomieniem.

Czy spółka z o.o. może powołać się na RODO?

RODO nie chroni danych spółki jako osoby prawnej. Ochroną mogą być objęte dane osób fizycznych związanych ze spółką, w tym członków zarządu, wspólników będących osobami fizycznymi, beneficjentów rzeczywistych i pełnomocników.

Czy można żądać sprostowania oceny ryzyka AML?

Można żądać sprostowania nieprawidłowych danych, na których oparto ocenę. RODO nie nakazuje jednak bankowi przyjęcia stanowiska klienta co do samej oceny ryzyka.

Czy automatyczny alert AML narusza RODO?

Nie zawsze. Sam alert nie musi być decyzją wywołującą skutki prawne lub podobnie istotnie wpływającą na osobę. Naruszenie może wystąpić, jeżeli taka decyzja została podjęta wyłącznie automatycznie bez spełnienia warunków dopuszczalności z art. 22 RODO albo bez wymaganych gwarancji dla osoby, której dane dotyczą.

Czy żądanie interwencji człowieka spowoduje odblokowanie konta?

Nie automatycznie. Żądanie może prowadzić do weryfikacji decyzji banku w przypadkach, w których RODO przewiduje takie uprawnienie, ale nie uchyla blokady wynikającej z przepisów AML, postanowienia prokuratora, sądu lub innego właściwego organu.

Czy skarga do Prezesa UODO pozwala uzyskać odszkodowanie?

Nie bezpośrednio. Prezes UODO może badać zgodność przetwarzania danych z RODO, natomiast roszczenie odszkodowawcze wymaga odrębnego wykazania naruszenia, szkody i związku przyczynowego.

Bibliografia

[1] Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych, w szczególności art. 12, 15, 16, 22, 23 i 82.

[2] Ustawa z 1 marca 2018 r. o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu, w szczególności art. 54, 55, 74 i 86.

[3] Ustawa z 29 sierpnia 1997 r. – Prawo bankowe, w szczególności art. 104.

[4] Urząd Ochrony Danych Osobowych, materiały informacyjne dotyczące prawa dostępu do danych oraz zautomatyzowanego podejmowania decyzji na gruncie RODO.