Avocata generală a Curții de Justiție a Uniunii Europene, Laila Medina, a prezentat concluzii în care susține că unitățile naționale de informații financiare pot refuza divulgarea datelor unei persoane. Această măsură este permisă doar atunci când comunicarea informațiilor ar putea compromite procesele de prevenire a spălării banilor sau a finanțării terorismului. Totuși, autoritățile nu pot utiliza nevoia de confidențialitate pentru a impune interdicții absolute, necontrolate sau lipsite de garanții juridice pentru cetățeni.
Cauza care a ajuns în fața CJUE a fost declanșată în Estonia, unde un cetățean a solicitat în repetate rânduri accesul la informațiile deținute de unitatea națională de informații financiare despre el. Acesta dorea să afle dacă datele sale au fost transmise către bănci sau către autorități străine, însă instituția a refuzat să confirme existența acestor date. Autoritatea a invocat obligația de confidențialitate necesară pentru protejarea sistemului de combatere a spălării banilor și a finanțării terorismului.
Laila Medina propune ca aceste unități să fie tratate ca autorități competente în sensul Directivei UE privind protecția datelor în materie penală, nu sub regimul general GDPR. Această distincție juridică este crucială, deoarece prelucrarea datelor ar fi guvernată de Directiva 2016/680, concepută special pentru autorități. Deși directiva permite restricționarea accesului la date pentru protejarea investigațiilor, orice limitare a drepturilor persoanei trebuie să rămână strict necesară și proporțională față de scopul urmărit.
Un element central al propunerii este introducerea unui control independent prin intermediul unei autorități de protecție a datelor. Dacă o persoană nu poate accesa direct informațiile, autoritatea de supraveghere trebuie să poată verifica în locul ei legalitatea prelucrării și justificarea refuzului. Astfel, cetățeanul poate exercita drepturi indirect, fără ca detaliile sensibile ale unei investigații să fie dezvăluite direct persoanei vizate, păstrând în același timp un mecanism de contestare în fața instanțelor.
Autoritatea poate refuza chiar și explicarea motivului refuzului accesului, dacă o astfel de lămurire ar confirma existența unei investigații sau ar prejudicia interesul public. Totuși, unitatea de informații financiare are obligația de a informa persoana că își poate exercita drepturile prin intermediul autorității independente pentru protecția datelor. Secretul nu trebuie să devină un mecanism automat și nelimitat, iar legislația trebuie să stabilească clar durata restricțiilor și garanțiile împotriva abuzurilor.
Sistemul de combatere a spălării banilor în Uniunea Europeană se bazează pe unitățile de informații financiare care schimbă date între statele membre. Aceste baze de date pot conține informații despre tranzacții suspecte raportate de bănci, chiar și fără o investigație penală formală. Rezultatul deciziei CJUE va stabili dacă acest sistem de cooperare europeană poate funcționa protejând simultan eficiența investigațiilor și dreptul fundamental al cetățenilor la protecția datelor personale.