Art. 75 Informationsutbyte inom ramen för partnerskap för informationsutbyte | Anti-money laundering regulation (AMLR) | AML

This is a detailed and heavily conditioned article that governs how obliged entities may share information with one another through partnerships for information sharing.

It builds directly on the concept of such partnerships introduced in Article 2's definitions and connects to the suspicious transaction reporting obligations in Article 69.

The article establishes that information sharing within these partnerships is permitted, but only where strictly necessary for AML/CFT compliance purposes, and it surrounds that permission with an extensive set of conditions covering notification to supervisory authorities, limits on the types of information that can be shared, restrictions on how shared information can be used, data protection requirements, and constraints on further transmission of that information.

Crucially, participation does not transfer compliance responsibility away from each individual obliged entity.

Important points:

Notify your supervisory authority before participating in a partnership for information sharing, and have internal policies and procedures governing the partnership in place before it begins.
Do not rely solely on information received from partners, and do not take decisions affecting a customer relationship on the basis of that information without first carrying out your own assessment of it.
Each obliged entity retains full responsibility for compliance with AML/CFT requirements under Union or national law, regardless of participation in a partnership.

1. Medlemmar i partnerskap för informationsutbyte får utbyta information med varandra när det är absolut nödvändigt för att fullgöra skyldigheterna enligt kapitel III och artikel 69 och i enlighet med grundläggande rättigheter och rättssäkerhetsgarantier.
1. Ansvariga enheter som avser att delta i ett partnerskap för informationsutbyte ska underrätta sina respektive tillsynsmyndigheter som, i förekommande fall i samråd med varandra och med de myndigheter som ansvarar för att kontrollera efterlevnaden av förordning (EU) 2016/679, ska kontrollera att partnerskapet för informationsutbyte har inrättat mekanismer för att säkerställa efterlevnad av denna artikel och att den konsekvensbedömning avseende dataskydd som avses i punkt 4 h har genomförts. Kontrollen ska äga rum innan verksamheten inom partnerskapet för informationsutbyte inleds. I förekommande fall ska tillsynsmyndigheterna också samråda med finansunderrättelseenheterna.
2. Ansvaret för att kraven i unionsrätten eller nationell rätt efterlevs ska förbli hos deltagarna i partnerskapet för informationsutbyte.
1. Information som utbyts inom ramen för ett partnerskap för informationsutbyte ska begränsas till följande:
  1. Uppgifter om kunden, inbegripet alla uppgifter som erhållits i samband med identifiering och kontroll av kundens identitet och, i förekommande fall, kundens verkliga huvudman.
  2. Information om affärsförbindelsens eller den enstaka transaktionens syfte och avsedda natur mellan kunden och den ansvariga enheten samt, i tillämpliga fall, källan till kundens förmögenhet och källan till kundens medel.
  3. Information om kundtransaktioner.
  4. Information om högre och lägre riskfaktorer som är förknippade med kunden.
  5. Den ansvariga enhetens analys av de risker som är förknippade med kunden enligt artikel 20.2.
  6. Information som innehas av den ansvariga enheten enligt artikel 77.1.
  7. Information om misstankar enligt artikel 69.
2. Den information som avses i första stycket ska endast utbytas i den utsträckning det är nödvändigt för genomförandet av verksamheten inom partnerskapet för informationsutbyte.
1. Följande villkor ska tillämpas på informationsutbyte inom ramen för ett partnerskap för informationsutbyte:
  1. De ansvariga enheterna ska dokumentera alla fall av informationsutbyte inom partnerskapet.
  2. De ansvariga enheterna ska inte enbart förlita sig på den information som mottagits inom ramen för partnerskapet för att uppfylla kraven i denna förordning.
  3. De ansvariga enheterna får inte dra slutsatser eller fatta beslut som påverkar affärsförbindelsen med kunden eller utförandet av enstaka transaktioner för kundens räkning på grundval av information som mottagits från andra deltagare i partnerskapet för informationsutbyte utan att ha bedömt denna information; all information som mottagits inom ramen för partnerskapet och som används vid en bedömning som leder till ett beslut om att vägra eller avsluta en affärsförbindelse eller att genomföra en enstaka transaktion ska ingå i dokumentationen enligt artikel 21.3, och denna dokumentation ska innehålla en hänvisning till att informationen härrör från ett partnerskap för informationsutbyte.
  4. De ansvariga enheterna ska göra en egen bedömning av transaktioner som involverar kunder för att bedöma vilka transaktioner som kan ha samband med penningtvätt eller finansiering av terrorism eller omfatta vinning av brottslig verksamhet.
  5. De ansvariga enheterna ska genomföra lämpliga tekniska och organisatoriska åtgärder, inbegripet åtgärder för att möjliggöra pseudonymisering, i syfte att säkerställa en säkerhets- och sekretessnivå som står i proportion till arten och omfattningen av den information som utbyts.
  6. Utbyte av information ska endast ske i förhållande till kunder
    vars beteende eller transaktionsverksamhet förknippas med en högre risk för penningtvätt, förbrott till penningtvätt eller finansiering av terrorism, enligt riskbedömningar på unionsnivå och nationella riskbedömningar som gjorts i enlighet med artiklarna 7 och 8 i direktiv (EU) 2024/1640,
    som befinner sig i någon av de situationer som avses i artiklarna 29, 30, 31 och 36–46 i denna förordning, eller
    för vilka de ansvariga enheterna behöver samla in ytterligare information för att avgöra om de är förknippade med en högre risknivå för penningtvätt, förbrott till penningtvätt eller finansiering av terrorism.
  7. Information som genereras genom användning av artificiell intelligens, maskininlärningsteknik eller algoritmer får endast delas om dessa processer varit föremål för tillräcklig mänsklig tillsyn.
  8. En konsekvensbedömning avseende dataskydd som avses i artikel 35 i förordning (EU) 2016/679 ska genomföras före behandlingen av personuppgifter.
  9. De behöriga myndigheter som är medlemmar i ett partnerskap för informationsutbyte ska endast erhålla, tillhandahålla och utbyta information i den utsträckning som krävs för att de ska kunna utföra sina uppgifter enligt relevant unionsrätt eller nationell rätt.
  10. Om de behöriga myndigheter som avses i artikel 2.1.44 c i denna förordning deltar i ett partnerskap för informationsutbyte ska de endast erhålla, tillhandahålla eller utbyta personuppgifter och operativ information i enlighet med nationell rätt som införlivar Europaparlamentets och rådets direktiv (EU) 2016/680(⁴⁴) och med tillämpliga nationella straffprocessrättsliga bestämmelser, inbegripet förhandstillstånd från rättsliga myndigheter eller andra nationella rättssäkerhetsgarantier i enlighet med vad som krävs.
  11. Utbyte av information om misstänkta transaktioner enligt punkt 3 g i denna artikel får endast äga rum om den finansunderrättelseenhet till vilken rapporten om misstänkta transaktioner överlämnades enligt artikel 69 eller 70 har samtyckt till ett sådant utlämnande.
1. Information som tagits emot inom ramen för ett partnerskap för informationsutbyte ska inte vidarebefordras ytterligare om
  1. informationen lämnas till en annan ansvarig enhet enligt artikel 49.1,
  2. uppgifterna ska ingå i en rapport som lämnas in till finansunderrättelseenheten eller lämnas som svar på en begäran från en finansunderrättelseenhet enligt artikel 69.1,
  3. informationen tillhandahålls Amla enligt artikel 93 i förordning (EU) 2024/1620,
  4. informationen begärs av brottsbekämpande eller rättsliga myndigheter, med förbehåll för eventuella förhandstillstånd eller andra förfarandegarantier som krävs enligt nationell rätt.
1. Ansvariga enheter som deltar i partnerskap för informationsutbyte ska fastställa riktlinjer och förfaranden för informationsutbyte i sina interna riktlinjer och förfaranden som fastställts enligt artikel 9. Dessa riktlinjer och förfaranden ska
  1. specificera den bedömning som ska göras för att fastställa omfattningen av den information som ska utbytas och, när det är relevant för informationens art eller tillämpliga rättsliga garantier, föreskriva differentierad eller begränsad tillgång till information för medlemmar i partnerskap,
  2. beskriva roller och ansvarsområden för parterna i partnerskapet för informationsutbyte,
  3. identifiera de riskbedömningar som den ansvariga enheten kommer att beakta för att fastställa situationer med högre risk där information kan delas.
2. De interna riktlinjer och förfaranden som avses i första stycket ska utarbetas före deltagandet i ett partnerskap för informationsutbyte.
1. Om tillsynsmyndigheterna anser det nödvändigt ska ansvariga enheter som deltar i ett partnerskap för informationsutbyte beställa en oberoende revision av hur partnerskapet fungerar och delge tillsynsmyndigheterna resultaten.