AML a RODO w FinTech — jak legalnie przetwarzać dane klientów

AML i RODO nie wykluczają się, gdyż ustawa AML jest tą podstawą prawną, która czyni przetwarzanie danych legalnym. Poniżej najważniejsze zasady.

• Podstawą przetwarzania jest art. 6 ust. 1 lit. c RODO (obowiązek prawny), a nie zgoda klienta.
• Obowiązek informacyjny spełniasz przed nawiązaniem relacji z klientem. 
• Retencja danych wynosi 5 lat od zakończenia relacji z klientem, a na żądanie GIIF może zostać przedłużona o kolejne 5 lat.
• Klient nie może skutecznie żądać usunięcia danych w tym okresie, gdyż zabraniają tego przepisy prawa art. 17 ust. 3 lit. b RODO.
• W przypadku żądania prawa dostępu do danych, tajemnica ustawowa wynikająca z art. 54 ustawy AML zakazuje informowania klienta o zgłoszeniu do GIIF. 
• Kopiowanie dokumentu tożsamości dopuszcza art. 34 ust. 4 ustawy AML, ale należy do takiej praktyki podchodzić bardzo ostrożnie z uwagi na decyzję Prezesa UODO z sierpnia 2025 r. w sprawie ING Banku Śląskiego. 

Klient zamyka rachunek w fintechu i po tygodniu wysyła żądanie usunięcia wszystkich swoich danych, powołując się na RODO. Wymogi compliance blokują jednak wykonanie wniosku, gdyż dokumentacja KYC (Know your client) musi być przechowywana jeszcze przez pięć lat.

Jak podejść do tego zagadnienia i co odpowiedzieć klientowi, żeby nie narazić się na naruszenie RODO i złożenie skargi przez klienta do PUODO, a jednocześnie nie naruszyć przepisów AML? 

Sprawdź również artykuł „Procedura AML dla FinTech„ na temat procedury AML i obowiązków wobec organów nadzoru.

Jak AML i RODO łączą się w praktyce

AML i RODO nie są ze sobą sprzeczne, ponieważ RODO samo odsyła do przepisów takich jak ustawa AML. Rozporządzenie nie zakazuje przetwarzania danych, a wymaga jedynie, żeby mieć do tego podstawę. Jedną z nich jest obowiązek ustawowy, którego podstawą są właściwe przepisy prawa. 

Przeciwdziałanie praniu pieniędzy wymaga przetwarzania danych osobowych. Za każdym razem sprowadza się to jednak do tego samego pytania: co wolno zrobić z danymi klienta.

Ochrona danych osobowych w procesach AML opiera się więc na trzech filarach:

• Legalność: art. 6 ust. 1 lit. c RODO w związku z konkretnym przepisem ustawy o AML.
• Minimalizacja: oznacza, że zbierasz tylko te dane, których wymaga ustawa do realizacji jej celów.
• Ograniczenie przechowywania: dane mogą być przechowywane przez określony czas, zasadniczo przez 5 lat. 

W szerszym ujęciu obowiązki związane z AML, ochroną danych i regulacjami wewnętrznymi tworzą compliance prawny organizacji.

Zgoda klienta nie jest podstawą przetwarzania danych w AML

Zgoda klienta nie może być podstawą przetwarzania danych w procedurach AML. Takie założenie opiera się na nieporozumieniu, które w praktyce bywa kosztowne — a pojawia się nawet w klauzulach przygotowanych przez doświadczone zespoły.

Powód jest czysto praktyczny. Zgodę można w każdej chwili wycofać, a w tym przypadku przetwarzanie odbywa się w wyniku realizacji obowiązku ustawowego. Dlatego zgoda nie jest właściwą podstawą przetwarzania. Gdyby fintech oparł KYC na zgodzie, to po jej cofnięciu dane i tak byłyby dalej przetwarzane z uwagi na realizację obowiązków prawnych. Dlatego zgoda w AML na przetwarzanie danych osobowych nie jest właściwą podstawą prawną. 

Stąd przetwarzanie danych powinno opierać się na następujących podstawach:

• Dane zwykłe klienta i beneficjenta rzeczywistego: art. 6 ust. 1 lit. c RODO, w związku z realizacją obowiązków prawnych.
• Dane o osobach zajmujących eksponowane stanowiska polityczne: dodatkowo podstawę stanowi art. 9 ust. 2 lit. g RODO, jako przetwarzanie niezbędne ze względu na ważny interes publiczny.
• Dane zbierane ponad wymóg ustawy (np. marketingowe): dopiero tutaj zgoda może stanowić podstawę, ale w procesie odrębnym od samego AML. 

Klient może odmówić podania danych — wtedy jednak nie da się np. zrealizować umowy. 

Jakie dane osobowe przetwarzasz w ramach procedur AML

W ramach procedur AML przetwarzasz przede wszystkim dane identyfikacyjne wskazane w art. 36 ustawy AML, takie jak: imię i nazwisko, obywatelstwo, PESEL lub datę urodzenia, serię i numer dokumentu tożsamości, adres oraz dane o działalności gospodarczej. Do tego dochodzą informacje o źródle majątku i przebiegu transakcji.

Odrębną kwestią jest kopiowanie dokumentów. Art. 34 ust. 4 ustawy AML dopuszcza sporządzanie kopii dokumentów tożsamości. Jest to jednak czynność wymagająca dużej dozy ostrożności z uwagi na decyzję Prezesa UODO z sierpnia 2025 r. w sprawie ING Banku Śląskiego. Należy pamiętać, że wskazane uprawnienie do kopiowania nie jest jednak bezwarunkowe — kopia dowodu tożsamości musi być niezbędna wobec rozpoznanego ryzyka, a nie pobierana rutynowo przy każdej czynności.

Przetwarzanie danych osobowych w przeciwdziałaniu praniu pieniędzy stanowi istotny aspekt całego procesu. Zbierasz dane nie tylko o kliencie, ale i o beneficjencie rzeczywistym lub reprezentancie, jeśli są to odrębne osoby. 

Obowiązek informacyjny, o czym i kiedy musisz poinformować klienta

Obowiązek informacyjny związany z przetwarzaniem danych spełniasz przed nawiązaniem stosunków gospodarczych lub przeprowadzeniem transakcji okazjonalnej. Klauzulę przekazujesz nie tylko klientowi, lecz także jego reprezentantowi i beneficjentowi rzeczywistemu.

Klauzula informacyjna w części AML powinna wskazywać co najmniej: administratora i dane kontaktowe, cel przetwarzania (wykonanie obowiązków z ustawy AML), podstawę prawną (art. 6 ust. 1 lit. c RODO wraz z przepisem ustawy), okres przechowywania oraz odbiorców danych. 

Prawa klienta a obowiązki AML 

Poniższa tabela porządkuje najczęstsze sytuacje, z którymi mierzy się obsługa klienta:

Retencja danych 

Dane zgromadzone w celach związanych z procedurą AML przechowuje się przez 5 lat, licząc od dnia zakończenia stosunków gospodarczych z klientem lub od dnia przeprowadzenia transakcji okazjonalnej. GIIF może jednak zażądać przedłużenia tego okresu o kolejne 5 lat. 

Dodatkowo należy pamiętać: 

• Po upływie retencji dane należy usunąć, dalsze przechowywanie „na wszelki wypadek” traci podstawę prawną i powoduje naruszenie RODO.
• Anonimizacja danych nie jest rozwiązaniem w trakcie okresu retencji, bo dokumentacja AML musi pozostać przypisana do konkretnej osoby. 

Tajemnica AML wyłącza prawo do informacji o zgłoszeniu

Klient nie ma prawa dowiedzieć się, że zgłosiłeś jego transakcję do GIIF, gdyż zakazują tego przepisy ustawy AML. W konsekwencji ustawa AML ogranicza prawo dostępu z art. 15 RODO. Zakaz ujawniania obejmuje zarówno fakt przekazania zawiadomienia, jak i prowadzenie analizy. 

Sprawdź również: obsluga prawna firmy FinTech.

Case study: klient żąda usunięcia danych po zamknięciu konta

Poniższy przykład ilustruje typowy przebieg sprawy na styku RODO i przepisów AML:

• Klient rozwiązuje umowę z instytucją płatniczą i po 10 dniach składa żądanie usunięcia wszystkich danych na podstawie art. 17 RODO.
• Zespół obsługi kwalifikuje wniosek jako standardowy i przekazuje do realizacji, bez zwrócenia uwagi na procedury AML.
• W przypadku prawidłowej reakcji wniosek jest również identyfikowany jako związany z AML, a dane objęte okresem retencji.
• W terminie miesiąca instytucja odmawia usunięcia, powołując art. 17 ust. 3 lit. b RODO i wskazując datę końca okresu retencji.

Obsługa wniosków RODO i procedura AML muszą być połączone w jedną ścieżkę oceny. Ich rozdzielenie może doprowadzić do działania, które naruszy jeden z dwóch reżimów prawnych.

FAQ – AML a RODO w instytucji obowiązanej

Czy AML i RODO są ze sobą sprzeczne?

Nie, AML i RODO są komplementarne. Ustawa AML dostarcza podstawy prawnej wymaganej przez art. 6 ust. 1 lit. c RODO, a RODO wyznacza granice takie jak: minimalizacja danych, przejrzystość i bezpieczeństwo. 

Czy klient może żądać usunięcia danych zebranych na potrzeby AML?

Nie w okresie retencji wynikającym z art. 49 ustawy AML. Prawo do usunięcia jest wyłączone przez art. 17 ust. 3 lit. b RODO, gdy przetwarzanie jest niezbędne do wypełnienia obowiązku prawnego. Musisz jednak odpowiedzieć na żądanie w terminie miesiąca i wskazać podstawę odmowy oraz datę zakończenia okresu przechowywania.

Jaka jest podstawa prawna przetwarzania danych w procedurach AML?

Podstawą jest art. 6 ust. 1 lit. c RODO, czyli niezbędność przetwarzania do wypełnienia obowiązku prawnego ciążącego na administratorze. W przypadku danych dotyczących osób zajmujących eksponowane stanowiska polityczne dodatkową podstawą jest art. 9 ust. 2 lit. g RODO, czyli ważny interes publiczny. Zgoda klienta nie jest właściwą podstawą.

Czy przekazywanie danych do GIIF narusza przepisy RODO?

Nie, przekazanie danych do GIIF jest legalne i wynika z obowiązku ustawowego. GIIF jest odbiorcą danych, którego należy wskazać w klauzuli informacyjnej. 

Czy obowiązek tajemnicy AML koliduje z prawem dostępu do danych?

Tak i w tym zakresie ważniejsze są przepisy AML. Ustawa AML zakazuje ujawniania klientowi informacji o zawiadomieniu przekazanym do GIIF oraz o prowadzonej analizie, co ogranicza prawo dostępu z art. 15 RODO. Klient otrzyma informację o swoich danych identyfikacyjnych i transakcyjnych, ale nie o samym zgłoszeniu.

Kto jest administratorem danych w procesie weryfikacji AML?

Administratorem jest instytucja obowiązana, to ona decyduje o celach i sposobach przetwarzania w zakresie wyznaczonym ustawą. Dostawca systemu KYC, weryfikacji tożsamości czy screeningu sankcyjnego działa zwykle jako podmiot przetwarzający, co wymaga umowy powierzenia zgodnej z art. 28 ust. 3 RODO.

Czy trzeba informować beneficjenta rzeczywistego o przetwarzaniu jego danych?

Tak, obowiązek informacyjny obejmuje także beneficjenta rzeczywistego i reprezentanta klienta. W praktyce klauzulę przekazuje się przez klienta, który udostępnia dane tych osób. Warto zabezpieczyć to postanowieniem umownym zobowiązującym klienta do przekazania klauzuli.

Podsumowanie

Relacja AML a RODO sprowadza się do jednej zasady: ustawa daje podstawę do przetwarzania, a RODO wyznacza jego granice. Podstawą przetwarzania jest realizacja obowiązków prawnych, a nie zgoda. Retencja zazwyczaj wynosi 5 lat i tyle samo może wynieść jej maksymalne przedłużenie; prawo do usunięcia i sprzeciwu w tym okresie nie działa, a tajemnica z art. 54 ustawy AML ma pierwszeństwo przed prawem dostępu. 

Sprawdź naszą usługę: Prawnik IT Kraków — wsparcie prawne w obszarze AML, RODO i zgodności działalności FinTech.