編集：カロジェロ・コスタ

業界関係者の間では周知の事実だが、個人データ保護法とマネーロンダリング対策法の間には多くの接点が存在する。

両規制は、異なる視点と目的からではあるものの、個人データの処理を規定している。一方ではプライバシーと個人データの保護、他方では経済の公共の利益の保護を目的としている。

前述の規制間の関連性を理解することは容易であるが、それらを調整することは、通訳者だけでなく、あらゆるレベル（国、欧州など）の立法者にとっても、かなり複雑である。

したがって、欧州データ保護委員会（英語では「EDPB」とも呼ばれる）が 欧州のデータ保護委員会）－一般データ保護規則679/2016（GDPR）によって設立された独立した欧州機関であり、GDPRの一貫した適用を確保し、EUのデータ保護当局間の協力を促進することを目的としている－は最近、3つの欧州機関（すなわち 欧州議会、理事会、欧州委員会は、2021年7月20日に公表されたいわゆる「AMLパッケージ」の立法プロセスに関与し、いくつかの「重要な問題」を、プライバシーそして、欧州議会が承認した条文を改善するための方法を提案する。

実施において採用された 柱 「資金洗浄およびテロ資金供与防止に関する統合的な欧州連合政策のための行動計画欧州委員会が2020年5月7日に開始したAMLパッケージは、EU全体で効果的かつ具体的な「欧州コンプライアンス」を実現することを目的として、マネーロンダリング対策規制枠組みの包括的な更新を進めることを目的としており、以下の4つの立法提案から構成されています。

1. （2023年1月1日現在）新たな欧州マネーロンダリング対策機関（マネーロンダリング対策機関 「アムラ」、統一的な規制基準とリスク評価方法の採用、および「高リスク」とみなされる義務対象者に対する監督権限と調査権限（行政、刑事、金銭的制裁を課す権限に加えて）を確保することを目的として、各国の金融情報機関（イタリアの場合はUIF）との調整および支援業務を行う。
2.  顧客デューデリジェンスや実質的所有権に関する事項を含め、民間部門に直接適用される規則を盛り込んだ規制案。
3. 現行の指令（EU）2015/849（AMLD IV、AMLD Vにより改正）に代わる第6次マネーロンダリング防止指令（AMLD VI）の提案。この提案には、加盟国の監督機関や金融情報機関に関する規則など、国内法に移行されるべき規定が含まれている。AMLD VIは、マネーロンダリングの前提となる犯罪のリスト（特定の租税犯罪、環境犯罪、サイバー犯罪を含む）を拡大し、刑事責任を法人や企業／パートナーシップにまで拡大することを規定している。
4. 暗号資産の移転を追跡することを目的とした、2015年EU資金移転規則（EU規則2015/847）の見直し。

EDP​​Bが3つの欧州機関に宛てた書簡で提起した懸念事項は、特に、パッケージに含まれる措置のうち、以下の2点に焦点を当てている。 （ⅰ） 新たな欧州マネーロンダリング対策機関を設立する規則案と （ⅱ） 民間部門向けのマネーロンダリング対策規制案。

EDP​​Bの書簡の目的は二つある。一つは、委員会がすべての事項について「助言者」としての役割を主張することである。 プライバシー 新たな規制から生じる問題に対処し、措置の立法過程全体を通して関与する必要性を強調する。一方で、委員会は、引用した2つの立法提案に含まれる特定の条項について、個人データ保護に関する欧州の法的枠組みに適合させるために不可欠であると考えられるいくつかの修正を提案する。

EDP​​Bにとってこのような取り組みは初めてではない。2020年12月にはすでに委員会は「行動計画 欧州委員会の。 ステートメント 2020年12月15日、委員会は欧州委員会に「マネーロンダリング対策に関する新たな法規定の策定の初期段階から関与し、データ保護に関する重要な点について法的助言を提供する。「確実にするために」互換性新たな措置は、欧州連合基本権憲章第7条および第8条に明記されているプラ​​イバシー権およびデータ保護権、必要性および比例性の原則、ならびに欧州連合司法裁判所の判例法に準拠している。

2021年5月、EDPBは、資金洗浄およびテロ資金供与の防止という利益と、データ保護およびプライバシーに関する基本的人権の利益との間の「公正なバランス」を提案することを目的として、新規則が議会に提出される前に法的助言を提供できるよう改めて要請した。当時、EDPBは、GDPR第6条第3項に従って、義務を負う主体による処理の適法性の一般的な条件と制限を明確にし、潜在的な矛盾を最小限に抑えて2つの規則を整合させるために、立法提案に具体的な規定を含めるよう欧州委員会に勧告した。資金洗浄対策分野における処理の特に重要な点を考慮して、EDPBはまた、上記の立法提案に、適切な技術的措置を採用するという具体的な義務を含めることも提案した。 設計によるプライバシー e 初期設定で処理されるデータのセキュリティリスクを低減することを目的としている。

5月12日に欧州の3つの機関に送付された書簡の中で、委員会は、前述の2つの規制案の内容に関して以前に策定した勧告が、立法過程において部分的にしか実施されなかったことを強調している。

EDP​​Bは、欧州委員会がマネーロンダリング対策に関する立法提案（民間部門向け規則案第55条 – COM(2021) 420 final参照）に、EDPB自身の要請に基づき、犯罪歴や犯罪に関連する特別なカテゴリーのデータおよび個人データの処理に関する具体的な規定を含めたことを指摘した。

しかしながら、委員会は、 追加保証 GDPR（特に第9条および第10条）との互換性を確保するための、このような種類の個人データの処理に関する規定。さらに、委員会は、義務を負う主体が顧客の身元を確認するために使用しなければならない情報の「情報源」に関する具体的な規則の欠如、およびいわゆる「ウォッチリスト"。

EDP​​Bによれば、問題となっている2つの規定には重大なデータ保護上の欠陥が含まれており、対処しなければ、データ主体の権利と自由を著しく侵害する可能性があり（正確性とデータ最小化の原則に違反するデータ処理を正当化することになる）、義務を負う主体にとって法的にも不確実性が生じる可能性がある。これは、義務を負う主体が個人に関する推論を可能にする個人データを処理することを求められており、特に、個人や法人を権利やサービス（例えば、銀行サービス）から排除する可能性があるという事実にも起因する。

この点に関して、EDPBは、前述の欠点を解消するために、上記の2つの規定にいくつかの重要な変更を提案する。委員会の提案は特に以下の4つの側面に焦点を当てている。

（ⅰ） EDP​​Bのより積極的な関与の必要性 （「事前相談」ツールを通じて） EU機関および新たに設立された欧州AML当局による、AML/CFT義務の履行に関する規制技術基準（RTS）、ガイドライン、勧告の策定および採択の文脈において.

まず、委員会は、AMLA（マネーロンダリング防止法）を制定する規則案の第38条に関して懸念を表明する。この条項は、当該機関に対し、以下の事項を定義し、その後欧州委員会に採択を提案する任務を課している。 規制技術基準 （「RTS」とも呼ばれる）ガイドラインおよび勧告は、さまざまな形態の顧客デューデリジェンスの実施、またはビジネス関係／取引の継続的な監視を目的として収集される個人データおよび情報のカテゴリー、または法人の実質的所有者を特定するための特定の基準の発行に関して、詳細な規則を定義することを目的としています。事実上、これらの機関はマネーロンダリング対策規制の「核心」を形成する権限を持っています。

委員会の見解では、義務を負う主体が処理しなければならない個人データのカテゴリーと、その処理に影響を与える可能性のある追加規則は以下のとおりである。 更新不 RTS、ガイドライン、勧告に明記されるべきだが、マネーロンダリング対策に関する立法提案の中で直接特定されるべきである。

第二に、EDPBは、AMLA設立規則案の第77条第2項の現行の文言を批判している。同項は、当局と委員会との間の「協力義務」がガイドラインと勧告の採択にのみ適用されると規定しており、RTSへの言及は一切ない。同様の批判は、前述の規則案の第84条第1項の規定にも向けられている。同項は、AMLAがガイドラインと勧告を作成する際に、各国のデータ保護当局を単なる「オブザーバー」として招聘「することができる」と規定しているが、ここでもRTSへの言及は一切ない。

しかしながら、委員会は、AMLAとの緊密な協力義務は、ガイドラインや勧告の策定だけでなく、RTSにも適用されるべきであると考えている。このような協力は、前述のガイドライン、勧告、RTSが「個人データの保護に重大な影響を与えるさらに、委員会によるRTS採択プロセスへの関与は、技術規則の初期草案作成段階にとどまらず、欧州連合機能条約第290条に基づき欧州委員会が採択する委任措置を通じたその後の実施段階にも及ぶべきである。したがって、委員会は、RTS、ガイドライン、勧告の発行を担当する欧州機関が、これらの規則が個人の権利と自由の保護に重大な影響を与える可能性がある採択前に、正式に委員会を関与させることを期待する。

（ⅱ） 義務を負う機関による、特別な種類のデータおよび犯罪歴に関する個人データの処理条件と制限をより明確に規定する必要性。

特に、委員会は共同立法者に対し、処理されるデータの特別なカテゴリーを明確に定義するよう求めた。厳密に必要 資金洗浄およびテロ資金供与を防止する目的で 民間部門に適用される規則案の第55条(1)に基づき、委員会は、差別的な要素に基づく決定が行われることを防ぐため、義務を負う主体が行う評価は、特別なカテゴリーの個人データの処理のみに基づいて行われるべきではなく、アクセス制限、難読化、暗号化、仮名化、オプトアウトなどの最新のセキュリティ対策を採用すべきであることを第55条で明確化することを勧告した。

刑事有罪判決に関するデータに関して、EDPBは民間部門に適用される規則案の第55条第3項b)に注目している。この条項は、義務を負う主体が刑事有罪判決に関するデータだけでなく、いわゆる「申し立てs”（すなわち、告発）。また、この条項は、特定の保護措置として、義務を負う主体が、そのようなデータを処理する際に、公正な裁判と弁護を受ける基本的権利、および無罪推定の原則を考慮に入れ、告発、調査、訴訟、および有罪判決を区別できる手続きを採用することを要求している。委員会が強調する問題は、この用語が提案された規則の本文で定義されておらず、そのような「申し立て」に関する情報が収集される「情報源」への正確な言及もないことである。これは、処理のリスクが高く、データ主体に重大な影響を与える可能性があること（例えば、銀行が告発の対象者との取引関係を結ぶことを拒否するなど）を考えると、重大な不正確さである。告発が立証されない場合もあるという事実があるにもかかわらずである。

委員会は、第55条第3項に関して、「告発」という用語の意味を明確化すること（または当該用語を完全に削除すること）と、「告発」（進行中の司法手続きなど）が刑事有罪判決と同じ影響を個人のリスク評価に及ぼすべきではないことを明記することを提案する。

（iii） 情報の「情報源」に関して追加的な規定を設ける必要性。

委員会は欧州議会に対し、民間部門に適用される規則案の第55条第2項b）の範囲を明確にするよう求めた。同条項によれば、義務を負う主体は特別な種類のデータを処理することができる。データが信頼できる情報源から得られたものであり、正確かつ最新のものであることを条件とする。"。

特に、GDPR第5条第2項に基づく「正確性」および「最小化」の原則、ならびに「説明責任」の原則を遵守するために、委員会は以下の勧告を行った。 （ⅰ） 義務を負う主体が使用しなければならない情報源に関して、具体的な安全対策を法令の条文に追加する。 （ⅱ） 義務を負う主体が正確かつ信頼できる情報源のみを使用する義務について明示的に言及し、 （iii） 義務を負う主体に対し、使用した各情報源の信頼性および正確性に関する評価を文書化する具体的な義務を追加する。

（iv） いわゆる「監視リスト」の提供者による個人データの処理に関して、具体的な規定を設ける必要性　

最後に、委員会は、義務を負う主体がマネーロンダリング対策義務を履行するために「監視リスト」サービスプロバイダー（「データ管理者」として認定される）に頼る必要性を認識しています。しかしながら、委員会は、GDPRの正確性とデータ最小化の原則（第5条第1項c号）に従い、そのようなプロバイダーが処理できる個人データ（特に特別なカテゴリーのデータおよび犯罪歴に関するデータ）の性質を明記するための具体的な規則を立法提案に含めることを提案します。また、データ主体の基本的権利と利益を保護するために、強力かつ具体的な措置を確立する必要があります。

EDP​​Bは、そのような規定が設けられていない場合、特に特別な種類の個人データや犯罪歴および犯罪行為に関する個人データの処理に関して、プロバイダーや義務を負う主体による違反が発生した場合、各国の監督機関がデータ保護法を執行する責任を負うことになると警告している。

最後に、そのようなプロバイダーに対して具体的な規則が想定される場合、EDPBは共同立法者に対し、マネーロンダリング対策法案に、GDPR第40条で言及されている行動規範およびGDPR第42条で言及されている「監視リスト」プロバイダー向けの認証への言及を含めるよう求めており、これらはこの分野の特殊性を考慮して策定されるべきである。

イタリアのマネーロンダリング対策・コンプライアンス大学院におけるAML/CTF修士課程では、統合的かつ学際的な視点から、AMLパッケージの内容と個人データ保護に関する規制の両方に重点的に取り組みました。これらはAMLの観点から最も関連性の高いものです。この学習を通して、私は欧州データ保護委員会（EDPB）が前述の書簡で提起した懸念事項の範囲を正確に把握し、その制度的な影響を理解することができました。