Artykuł 11

1. Urząd ustanawia i aktualizuje centralną bazę danych zawierającą informacje gromadzone zgodnie z niniejszym artykułem.

Urząd udostępnia te informacje organom nadzorczym, organom spoza obszaru przeciwdziałania praniu pieniędzy i finansowaniu terroryzmu, innym organom i podmiotom krajowym odpowiedzialnym za zapewnienie zgodności z dyrektywą Parlamentu Europejskiego i Rady 2008/48/WE (

2

), dyrektywą Parlamentu Europejskiego i Rady 2009/110/WE (

3

), dyrektywą Parlamentu Europejskiego i Rady 2009/138/WE (

4

), dyrektywą Parlamentu Europejskiego i Rady 2014/17/UE (

5

), rozporządzeniem Parlamentu Europejskiego i Rady (UE) nr 537/2014 (

6

), dyrektywą Parlamentu Europejskiego i Rady 2014/56/UE (

7

), dyrektywą Parlamentu Europejskiego i Rady 2014/65/UE (

8

) lub dyrektywą Parlamentu Europejskiego i Rady (UE) 2015/2366 (

9

) oraz europejskim urzędom nadzoru, a mianowicie Europejskiemu Urzędowi Nadzoru Bankowego (EUNB), Europejskiemu Urzędowi Nadzoru Giełd i Papierów Wartościowych (ESMA) i Europejskiemu Urzędowi Nadzoru Ubezpieczeń i Pracowniczych Programów Emerytalnych (EIOPA), na zasadzie ograniczonego dostępu i poufności, jeżeli jest to niezbędne do wykonywania ich zadań.

Urząd analizuje też zgromadzone informacje i może z własnej inicjatywy udostępniać wyniki swoich analiz organom nadzorczym, jeśli ułatwiłoby to im prowadzenie działań nadzorczych, oraz, w stosownych przypadkach, podmiotom zobowiązanym.

2. Organy nadzorcze przekazują Urzędowi co najmniej następujące informacje, w tym dane dotyczące poszczególnych podmiotów zobowiązanych, celem wprowadzenia tych informacji przez Urząd do bazy danych:

a) wykaz wszystkich organów nadzorczych i organów samorządu zawodowego w danym państwie członkowskim, którym powierzono nadzór nad podmiotami zobowiązanymi, wraz z informacjami na temat ich mandatu, zadań i uprawnień oraz, w stosownych przypadkach, ze wskazaniem głównego podmiotu sprawującego nadzór lub mechanizmu koordynacji;

b) informacje statystyczne na temat kategorii i liczby nadzorowanych podmiotów zobowiązanych według każdej kategorii w danym państwie członkowskim oraz podstawowe informacje o profilu ryzyka;

c) zastosowane środki administracyjne i nałożone kary pieniężne w toku nadzoru nad poszczególnymi podmiotami zobowiązanymi w odpowiedzi na naruszenia wymogów w zakresie przeciwdziałania praniu pieniędzy i finansowaniu terroryzmu wraz z podaniem:

(i) powodów zastosowania środka administracyjnego lub nałożenia kary pieniężnej, takich jak charakter naruszenia;

(ii) powiązanych informacji o działaniach i wynikach nadzorczych, które doprowadziły do zastosowania środka administracyjnego lub nałożenia kary pieniężnej;

d) porady lub opinie w sprawie ryzyka prania pieniędzy lub finansowania terroryzmu udzielane innym organom w związku z postępowaniami w sprawie udzielania zezwoleń, cofania zezwoleń oraz oceny kompetencji i reputacji udziałowców lub akcjonariuszy lub członków organu zarządzającego poszczególnych podmiotów zobowiązanych;

e) wyniki swoich ocen profili ryzyka nieodłącznego i ryzyka szczątkowego wszystkich instytucji kredytowych i instytucji finansowych, które spełniają kryteria określone w art. 12 ust. 1;

f) wyniki przeglądów tematycznych i innych horyzontalnych działań nadzorczych w odniesieniu do obszarów lub działań wysokiego ryzyka oraz sprawozdania w tej sprawie;

g) informacje dotyczące działań nadzorczych, które przeprowadziły w ciągu ostatniego roku kalendarzowego, zgromadzone zgodnie z art. 40 ust. 5 dyrektywy (UE) 2024/1640;

h) informacje statystyczne dotyczące personelu i innych zasobów podmiotów sprawujących nadzór i organów nadzorczych.

Informacje udzielane zgodnie z akapitem pierwszym nie obejmują odniesienia do konkretnych podejrzanych transakcji zgłoszonych zgodnie z art. 69 rozporządzenia (UE) 2024/1624.

Urząd wprowadza również do bazy danych informacje wynikające z jego działalności w obszarze nadzoru bezpośredniego, które odpowiadają kategoriom informacji wymienionym w akapicie pierwszym, a także wyniki procesu oceny ryzyka przeprowadzonego przez Urząd zgodnie z art. 12.

3. Urząd może zwrócić się do organów nadzorczych o przekazanie innych informacji oprócz tych, o których mowa w ust. 2. Organy nadzorcze aktualizują wszelkie przekazane informacje, gdy tylko taka aktualizacja jest konieczna lub na wniosek Urzędu.

4. Urząd wprowadza do bazy danych dane lub informacje mające znaczenie dla działań nadzorczych w zakresie przeciwdziałania praniu pieniędzy i finansowaniu terroryzmu, przekazane przez organy spoza obszaru przeciwdziałania praniu pieniędzy i finansowaniu terroryzmu, inne organy i podmioty krajowe odpowiedzialne za zapewnienie zgodności z wymogami dyrektywy 2008/48/WE, dyrektywy 2009/110/WE, dyrektywy 2009/138/WE, dyrektywy 2014/17/UE, rozporządzenia (UE) nr 537/2014, dyrektywy 2014/56/UE, dyrektywy 2014/65/UE lub dyrektywy (UE) 2015/2366 lub Europejskie Urzędy Nadzoru.

Informacje, o których mowa w akapicie pierwszym, obejmują przypadki, w których organy i podmioty, o których mowa w tym akapicie, mają uzasadnione podstawy, by podejrzewać, że w związku z podmiotem zobowiązanym usiłuje się dokonać prania pieniędzy lub finansowania terroryzmu, dokonuje się go lub istnieje zwiększone ryzyko prania pieniędzy lub finansowania terroryzmu oraz gdy takie uzasadnione podstawy pojawiły się w kontekście wykonywania ich odpowiednich zadań. Baza danych zawiera również mające znaczenie informacje, które organy lub podmioty nadzorujące instytucje kredytowe zgodnie z dyrektywą Parlamentu Europejskiego i Rady 2013/36/UE (

10

), w tym EBC, kiedy działa zgodnie z rozporządzeniem (UE) nr 1024/2013, uzyskały w kontekście bieżącego nadzoru, w tym informacje na temat ocen modeli biznesowych, ocen zasad zarządzania, postępowań w sprawie udzielania zezwoleń, ocen nabycia znacznych pakietów akcji, ocen kompetencji i reputacji oraz postępowań związanych z cofnięciem licencji.

5. Organy i podmioty, o których mowa w ust. 1 akapit drugi, mogą zwrócić się do Urzędu z uzasadnionym wnioskiem o udzielenie informacji zgromadzonych na podstawie niniejszego artykułu, jeśli są one niezbędne dla ich działań nadzorczych. Urząd rozpatruje te wnioski i udziela informacji, o które się zwrócono, zgodnie z zasadą ograniczonego dostępu, terminowo i z zachowaniem poufności. Urząd informuje organ lub podmiot, który pierwotnie przekazał żądane informacje, o tożsamości organu lub podmiotu występującego z wnioskiem, o tożsamości podmiotu zobowiązanego, którego to dotyczy, o przyczynie złożenia wniosku o udzielenie informacji oraz o tym, czy informacje przekazano organowi lub podmiotowi występującemu z wnioskiem. Jeżeli Urząd postanowi nie przekazywać informacji, o które się do niego zwrócono, uzasadnia swoją decyzję.

6. Urząd opracowuje projekty regulacyjnych standardów technicznych, w których określa:

a) procedurę, formaty i terminy przekazywania informacji zgodnie z ust. 2 i 3;

b) zakres i poziom szczegółowości informacji, które mają być przekazywane, z uwzględnieniem odpowiednich różnic między podmiotami zobowiązanymi, takich jak profil ryzyka;

c) zakres i poziom szczegółowości informacji, które mają być przekazywane, w odniesieniu do podmiotów zobowiązanych w sektorze niefinansowym;

d) rodzaj informacji, których ujawnienie przez Urząd na uzasadniony wniosek lub z własnej inicjatywy wymaga uprzedniej zgody organu nadzorczego, który je przekazał;

e) stopień istotności naruszenia, jaki zobowiązuje organ nadzorczy do przekazania informacji na temat naruszenia zgodnie z ust. 2 lit. c);

f) warunki, na jakich Urząd może występować z wnioskiem o dodatkowe informacje zgodnie z ust. 3;

g) rodzaje dodatkowych informacji, które mają być przekazywane Urzędowi zgodnie z ust. 3.

Urząd przedstawi Komisji projekty tych regulacyjnych standardów technicznych do dnia 27 grudnia 2025 r.

Komisja jest uprawniona do uzupełniania niniejszego rozporządzenia poprzez przyjmowanie regulacyjnych standardów technicznych, o których mowa w akapicie pierwszym, zgodnie z art. 49 niniejszego rozporządzenia.

7. Dane osobowe zgromadzone zgodnie z niniejszym artykułem można przechowywać w możliwej do zidentyfikowania formie przez maksymalnie 10 lat od daty ich zgromadzenia przez Urząd. Po tym okresie dane te są usuwane. Można je też usunąć przed upływem tego okresu, jeżeli regularna ocena w indywidualnym przypadku wykaże, że ich przechowywanie nie jest konieczne.