Artykuł 76

1. W zakresie, w jakim jest to ściśle niezbędne do celów zapobiegania praniu pieniędzy i finansowaniu terroryzmu, podmioty zobowiązane mogą przetwarzać szczególne kategorie danych osobowych, o których mowa w art. 9 ust. 1 rozporządzenia (UE) 2016/679, oraz dane osobowe dotyczące wyroków skazujących i przestępstw, o których mowa w art. 10 tego rozporządzenia, z zastrzeżeniem zabezpieczeń przewidzianych w ust. 2 i 3 niniejszego artykułu.

2. Podmioty zobowiązane mogą przetwarzać dane osobowe objęte art. 9 rozporządzenia (UE) 2016/679, pod warunkiem że:

a) informują one swoich klientów lub potencjalnych klientów, że takie kategorie danych mogą być przetwarzane w celu spełnienia wymogów niniejszego rozporządzenia;

b) dane pochodzą z wiarygodnych źródeł, są dokładne i aktualne;

c) nie podejmują one na podstawie tych danych decyzji, które prowadziłyby do stronniczych i dyskryminujących wyników;

d) przyjmują środki o wysokim poziomie bezpieczeństwa zgodnie z art. 32 rozporządzenia (UE) 2016/679, w szczególności w zakresie poufności.

3. Podmioty zobowiązane mogą przetwarzać dane osobowe objęte art. 10 rozporządzenia (UE) 2016/679, o ile spełniają warunki określone w ust. 2 niniejszego artykułu oraz o ile:

a) takie dane osobowe mają związek z praniem pieniędzy, jego przestępstwami źródłowymi lub finansowaniem terroryzmu;

b) podmioty zobowiązane posiadają procedury umożliwiające – w ramach przetwarzania takich danych – rozróżnienie między zarzutami, postępowaniami przygotowawczymi, postępowaniami i wyrokami skazującymi, z uwzględnieniem podstawowego prawa do rzetelnego procesu sądowego, prawa do obrony i domniemania niewinności.

4. Dane osobowe przetwarzane są przez podmioty zobowiązane na podstawie niniejszego rozporządzenia wyłącznie do celów zapobiegania praniu pieniędzy i finansowaniu terroryzmu i nie mogą być dalej przetwarzane w sposób niezgodny z tymi celami. Przetwarzanie danych osobowych na podstawie niniejszego rozporządzenia do celów handlowych jest zabronione.

5. Podmioty zobowiązane mogą przyjmować decyzje będące wynikiem procesów zautomatyzowanych, w tym profilowania zdefiniowanego w art. 4 pkt 4 rozporządzenia (UE) 2016/679, lub procesów z udziałem systemów sztucznej inteligencji zdefiniowanych w art. 3 pkt 1 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2024/xxx (45), pod warunkiem że:

a) dane przetwarzane przez takie systemy są ograniczone do danych uzyskanych zgodnie z rozdziałem III niniejszego rozporządzenia;

b) wszelkie decyzje o nawiązaniu lub odmowie nawiązania lub o utrzymaniu stosunków gospodarczych z klientem, o przeprowadzeniu lub odmowie przeprowadzenia transakcji sporadycznej na rzecz klienta lub o zwiększeniu lub zmniejszeniu zakresu środków należytej staranności wobec klienta stosowanych zgodnie z art. 20 niniejszego rozporządzenia, podlegają znaczącej ludzkiej interwencji, aby zapewnić prawidłowość i adekwatność takiej decyzji, oraz

c) klient może uzyskać wyjaśnienie dotyczące decyzji podjętej przez podmiot zobowiązany i może zaskarżyć tę decyzję, z wyjątkiem w związku ze zgłoszeniem, o którym mowa w art. 69 niniejszego rozporządzenia.