Artykuł 25

1. Do przetwarzania danych osobowych na podstawie niniejszego rozporządzenia stosuje się rozporządzenie (UE) 2016/679. Do przetwarzania przez Komisję lub EUNB danych osobowych na podstawie niniejszego rozporządzenia stosuje się rozporządzenie (UE) 2018/1725.

2. Dane osobowe przetwarzane są przez dostawców usług płatniczych i dostawców usług w zakresie kryptoaktywów na podstawie niniejszego rozporządzenia wyłącznie do celów zapobiegania praniu pieniędzy i finansowaniu terroryzmu i nie mogą być dalej przetwarzane w sposób niezgodny z tymi celami. Przetwarzanie danych osobowych na podstawie niniejszego rozporządzenia do celów handlowych jest zabronione.

3. Przed nawiązaniem stosunków gospodarczych lub przed przeprowadzeniem sporadycznej transakcji dostawcy usług płatniczych i dostawcy usług w zakresie kryptoaktywów dostarczają nowym klientom informacje wymagane zgodnie z art. 13 rozporządzenia (UE) 2016/679. Informacje te przekazywane są w zwięzłej, przejrzystej, zrozumiałej i łatwo dostępnej formie zgodnie z art. 12 rozporządzenia (UE) 2016/679 i obejmują w szczególności ogólne powiadomienie o obowiązkach prawnych spoczywających na dostawcach usług płatniczych i dostawcach usług w zakresie kryptoaktywów na podstawie niniejszego rozporządzenia przy przetwarzaniu danych osobowych do celów zapobiegania praniu pieniędzy i finansowaniu terroryzmu.

4. Dostawcy usług płatniczych i dostawcy usług w zakresie kryptoaktywów zapewniają w każdym momencie, aby przekazywanie wszelkich danych osobowych stron biorących udział w transferze środków pieniężnych lub w transferze kryptoaktywów odbywało się zgodnie z rozporządzeniem (UE) 2016/679.

Europejska Rada Ochrony Danych, po konsultacji z EUNB, wydaje wytyczne dotyczące praktycznego wdrażania wymogów w zakresie ochrony danych w odniesieniu do przekazywania danych osobowych do państw trzecich w kontekście transferów kryptoaktywów. EUNB wydaje wytyczne dotyczące odpowiednich procedur ustalania, czy należy wykonać, odrzucić, zwrócić lub wstrzymać transfer kryptoaktywów w sytuacjach, w których nie można zapewnić zgodności z wymogami ochrony danych w odniesieniu do przekazywania danych osobowych do państw trzecich.