Prezes Urzędu Ochrony Danych Osobowych Mirosław Wróblewski uważa, że Polska powinna przystąpić do postępowania przed Trybunałem Sprawiedliwości Unii Europejskiej w sprawie C-222/25 Rahapesu Andmebüroo. Rozstrzygnięcie może mieć istotne znaczenie dla interpretacji polskich przepisów dotyczących przeciwdziałania praniu pieniędzy i finansowaniu terroryzmu oraz ochrony danych osobowych.
Estoński spór o dostęp do danych
Sprawa trafiła do TSUE po pytaniach prejudycjalnych sądu estońskiego. Zainicjował ją obywatel Estonii, któremu jednostka analityki finansowej Rahapesu Andmebüroo (RAB) odmówiła ujawnienia, czy przekazywała informacje o nim instytucjom kredytowym lub organom zagranicznym, a także czy prowadziła dokumentację kontrolną i kierowała zapytania do władz USA. Estoński organ nadzorczy Andmekaitse Inspektsioon (AKI) nakazał RAB ponowne rozpatrzenie wniosku i udzielenie informacji, uznając, że chodzi o prawa wynikające z RODO.
RAB ponownie odmówiła, argumentując, że w walce z praniem pieniędzy i finansowaniem terroryzmu kluczowe jest zachowanie w tajemnicy gromadzonych i przekazywanych danych. Spór rozstrzygały sądy administracyjne oraz Sąd Najwyższy Estonii, aż w końcu sprawa trafiła do TSUE. Pytania prejudycjalne dotyczą interpretacji przepisów RODO i dyrektywy policyjnej 2016/680 w kontekście działalności podmiotów analityki finansowej.
Znaczenie dla polskich regulacji
Zdaniem Prezesa UODO wynik postępowania może wpłynąć na stosowanie w Polsce ustawy o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu. Kluczowe jest ustalenie, czy działania podmiotów analityki finansowej w całości podlegają dyrektywie policyjnej, która pozwala na ograniczenie pewnych praw ze względu na bezpieczeństwo, czy też w pełnym zakresie muszą stosować przepisy RODO.
Zgodnie z art. 15 RODO, osoba, której dane dotyczą, ma prawo uzyskać potwierdzenie ich przetwarzania oraz dostęp do nich. Artykuł 23 RODO dopuszcza ograniczenia tego prawa w określonych interesach publicznych, w tym w ważnym interesie gospodarczym lub finansowym państwa. Wątpliwości budzi jednak, czy obecne brzmienie polskiej ustawy jasno wskazuje, na jakiej podstawie osoba fizyczna może domagać się informacji o przetwarzaniu jej danych przez instytucje finansowe – na gruncie RODO czy przepisów wdrażających dyrektywę policyjną.
Potrzeba jasnych rozstrzygnięć
UODO podkreśla, że udział Polski w postępowaniu przed TSUE może pomóc w doprecyzowaniu tych przepisów i usunięciu niepewności prawnej. Wyrok w sprawie C-222/25 może przesądzić, jakie prawa przysługują obywatelom w kontekście działań jednostek analityki finansowej i jak daleko mogą sięgać ograniczenia w dostępie do danych osobowych w imię bezpieczeństwa finansowego.