Source: OJ L, 2024/1624, 19.6.2024Current language: SV
- Anti-money laundering
Basic legislative acts
- Anti-money laundering regulation (AMLR)
Artikel 76 Behandling av personuppgifter
Summary What does Article 76 of the Anti-money laundering regulation (AMLR) say?
This article sits at the intersection of AML obligations and data protection, setting out the conditions under which obliged entities are permitted to process sensitive personal data — specifically special categories of data under GDPR (such as health or biometric data) and data relating to criminal convictions and offences — in the context of their AML/CFT duties.
It establishes a clear purpose limitation, prohibiting the use of such data for commercial purposes, and notably addresses the use of automated decision-making and AI systems, requiring human oversight and a right for customers to obtain an explanation and challenge decisions made about them.
Important points:
- Process sensitive personal data and criminal conviction data only for AML/CFT purposes, not for commercial use, and only where strict safeguards are in place including customer notification, data accuracy, non-discrimination, and high-level security measures.
- When processing data on criminal matters, maintain procedures that distinguish between allegations, investigations, proceedings, and convictions, in keeping with the presumption of innocence.
- Automated or AI-driven decisions affecting a customer relationship must be limited to data collected under Chapter III, be subject to meaningful human intervention, and allow the customer to obtain an explanation and challenge the outcome.
Springlex's summary of the article, a reading aid, not a substitute for the legal text.
I den mån det är absolut nödvändigt för att förhindra penningtvätt och finansiering av terrorism får ansvariga enheter behandla de särskilda kategorier av personuppgifter som avses i artikel 9.1 i förordning (EU) 2016/679 samt de personuppgifter som rör fällande domar i brottmål och de överträdelser som avses i artikel 10 i den förordningen, med förbehåll för de skyddsåtgärder som föreskrivs i punkterna 2 och 3 i den här artikeln.
De ansvariga enheterna ska kunna behandla de personuppgifter som omfattas av artikel 9 i förordning (EU) 2016/679 under förutsättning att
de informerar sina kunder eller presumtiva kunder om att sådana kategorier av uppgifter får behandlas i syfte att uppfylla kraven i denna förordning,
uppgifterna kommer från tillförlitliga källor, är korrekta och aktuella,
de inte fattar beslut som skulle leda till partiska och diskriminerande resultat på grundval av dessa uppgifter,
de vidtar åtgärder med hög säkerhetsnivå i enlighet med artikel 32 i förordning (EU) 2016/679, särskilt när det gäller konfidentialitet.
Ansvariga enheter ska kunna behandla personuppgifter som omfattas av artikel 10 i förordning (EU) 2016/679 förutsatt att de uppfyller villkoren som fastställs i punkt 2 i den här artikeln och att
sådana personuppgifter rör penningtvätt, förbrott till penningtvätt eller finansiering av terrorism,
de ansvariga enheterna har inrättat förfaranden som gör det möjligt att vid behandlingen av sådana uppgifter skilja mellan påståenden, utredningar, förfaranden och domar, med beaktande av den grundläggande rätten till en rättvis rättegång, rätten till försvar och oskuldspresumtionen.
Personuppgifter ska behandlas av ansvariga enheter på grundval av denna förordning endast i syfte att förebygga penningtvätt och finansiering av terrorism och får inte senare behandlas på ett sätt som är oförenligt med dessa syften. Behandling av personuppgifter på grundval av denna förordning för kommersiella ändamål ska vara förbjuden.
Ansvariga enheter får anta beslut till följd av automatiserade processer, inbegripet profilering enligt definitionen i artikel 4.4 i förordning (EU) 2016/679 eller processer som inbegriper AI-system enligt definitionen i artikel 3.1 i Europaparlamentets och rådets förordning (EU) 2024/xxx(45) förutsatt att
de uppgifter som behandlas av sådana system är begränsade till uppgifter som erhållits enligt kapitel III i den här förordningen,
varje beslut om att inleda eller vägra att inleda eller upprätthålla en affärsförbindelse med en kund eller att utföra eller vägra att utföra en enstaka transaktion för en kund, eller att öka eller minska omfattningen av de åtgärder för kundkännedom som tillämpas enligt artikel 20 i denna förordning, är föremål för meningsfullt mänskligt ingripande för att säkerställa att ett sådant beslut är korrekt och lämpligt, och
kunden kan få en förklaring av det beslut som fattats av den ansvariga enheten och får överklaga det beslutet, förutom när det gäller en rapport som avses i artikel 69 i denna förordning.
Springlex and this text is meant purely as a documentation tool and has no legal effect. No liability is assumed for its content. The authentic version of this act is the one published in the Official Journal of the European Union.
Definition
affärsförbindelse
(En. business relationship)
Definition
penningtvätt
(En. money laundering)
Definition
tredjeland
(En. third country)
Definition
finansiering av terrorism
(En. terrorist financing)
Footnote 45