GDPR a uchovávání dat při sankčním screeningu

Sankční screening vytváří napětí, které compliance tým i pověřenec pro ochranu osobních údajů znají dobře. Na jedné straně GDPR požaduje minimalizaci údajů a jejich uchovávání jen po nezbytnou dobu. Na druhé straně předpisy proti praní špinavých peněz nařizují dokumentaci uchovávat roky. Které pravidlo vyhrává?

Tento článek vysvětluje obě povinnosti a ukazuje, jak je v praxi sladit. Nejde o právní poradenství; konkrétní lhůty a postupy si vždy potvrďte s vlastním právním zástupcem nebo pověřencem pro ochranu osobních údajů.

Co GDPR skutečně vyžaduje

Nařízení GDPR (Nařízení (EU) 2016/679) staví na dvou zásadách, které jsou pro screening klíčové:

• Minimalizace údajů: zpracovávejte jen ty osobní údaje, které jsou pro daný účel nezbytné, nic navíc.
• Omezení uložení: uchovávejte údaje jen po dobu, která je pro účel nezbytná, a poté je vymažte nebo anonymizujte.

Screening ale není zpracování bez právního titulu. Právním základem je zpravidla plnění právní povinnosti podle článku 6 odst. 1 písm. c) GDPR: povinná osoba screenuje proto, že jí to ukládá zákon. Tento právní titul je zároveň klíčem k celému napětí, které řešíme dále.

Povinnost uchovávat AML záznamy

Předpisy proti praní špinavých peněz nepovažují uchovávání dokumentace za volitelné. Povinná osoba musí uchovávat záznamy o identifikaci a kontrole klienta i o provedených opatřeních, aby je mohla později doložit dohledovému orgánu. V rámci EU je obvyklá lhůta pět let od ukončení obchodního vztahu, v některých případech s možností prodloužení. Konkrétní délku v českém prostředí si ověřte v platné AML úpravě a v pokynech FAÚ.

Do této dokumentace typicky patří i výsledek sankčního screeningu: proti čemu se screenovalo, co systém vrátil a jak byla případná shoda vyřešena. Bez tohoto záznamu nedokážete doložit, že jste povinnost vůbec splnili.

Jak obě povinnosti sladit v praxi

Zdánlivý rozpor se rozpadá, jakmile si uvědomíte, že AML povinnost uchovávat data je sama o sobě právním titulem i vymezením účelu. GDPR uchovávání nezakazuje; požaduje, aby bylo účelné a časově ohraničené. Praktický postup:

1. Uchovávejte jen to, co účel vyžaduje. Rozhodnutí screeningu a jeho důkaz, ne celý surový datový tok navíc. Minimalizace se netýká toho, zda uchovávat, ale kolik.
2. Navažte lhůtu na AML účel. Doba uchování by měla odpovídat zákonné retenční lhůtě, ne být neomezená a ne kratší, než zákon žádá.
3. Oddělte účely. Data uchovávaná kvůli AML nepoužívejte k marketingu ani k jiným cílům; to by minimalizaci i omezení účelu porušilo.
4. Po uplynutí lhůty mažte nebo anonymizujte. Retence má konec. Naplánujte výmaz, ať data nezůstávají uložená navždy pro jistotu.
5. Dokumentujte rozhodnutí přezkoumatelně. Strukturovaný, minimální záznam rozhodnutí je současně dobrým důkazem pro auditora i praktickým naplněním minimalizace.

Právě strukturovaný důkazní záznam obě strany usmiřuje. Model, kdy si u každého rozhodnutí uchováte kompaktní, přezkoumatelný záznam, drží data minimální a zároveň auditovatelná. Více o auditní stopě najdete na stránce Audit Trail, o zpracování údajů ve smlouvě o zpracování osobních údajů a o přístupu k GDPR na stránce GDPR.

GDPR a AML si neodporují, jen tlačí z opačných stran. Minimalizace určuje, kolik uchováte; AML určuje, jak dlouho. Když obě propojíte přes jasně vymezený účel a strukturovaný důkaz rozhodnutí, splníte obojí. A protože jde o výklad práva, konkrétní lhůty vždy potvrďte se svým právním zástupcem.