Art. 98 Protection des données | Anti-money laundering authority regulation (AMLAR) | AML

This article addresses how the Authority handles personal data protection in the context of its AML/CFT work.

It establishes the legal basis for the Authority's processing of personal data, frames its cooperation obligations with data protection bodies when issuing guidance, and carves out a limited power to restrict data subject rights where necessary for its supervisory tasks.

The article sits at the intersection of this regulation and the EU's data protection framework, explicitly cross-referencing Regulation (EU) 2018/1725 and Regulation (EU) 2016/679 to anchor the Authority's data processing activities within the broader legal order.

Important points:

The Authority's processing of personal data for ML/TF prevention purposes is legally grounded as a public interest task under both Regulation (EU) 2018/1725 and Regulation (EU) 2016/679.
When drafting guidelines and recommendations with a significant impact on personal data protection, the Authority is required to closely cooperate with the European Data Protection Board and, after Commission authorisation, consult the European Data Protection Supervisor.
The Authority is permitted to adopt internal rules restricting data subject rights, but only where such restrictions are necessary for the performance of its AML/CFT supervisory tasks.

1. Le traitement de données à caractère personnel sur la base du présent règlement aux fins de la prévention du BC/FT, tel que prévu par l’article 70 de la directive (UE) 2024/1640 et par l’article 76 du règlement (UE) 2024/1624, est considéré comme nécessaire à l’exécution d’une mission d’intérêt public ou relevant de l’exercice de l’autorité publique dont est investie l’Autorité, au sens de l’article 5 du règlement (UE) 2018/1725 et de l’article 6 du règlement (UE) 2016/679.
2. Lorsqu’elle élabore des orientations et des recommandations, conformément à l’article 54, qui ont une incidence significative sur la protection des données à caractère personnel, l’Autorité coopère étroitement avec le comité européen de la protection des données institué par le règlement (UE) 2016/679 en vue d’éviter les redondances, les incohérences et l’insécurité juridique dans le domaine de la protection des données. Après autorisation de la Commission, l’autorité consulte également le Contrôleur européen de la protection des données institué par le règlement (UE) 2018/1725. L’Autorité peut aussi inviter des autorités nationales chargées de la protection des données à assister en tant qu’observateurs à l’élaboration de ces orientations et recommandations.
1. Conformément à l’article 25 du règlement (UE) 2018/1725, l’Autorité est autorisée à adopter des règles internes qui limitent l’exercice de leurs droits par les personnes concernées si ces limitations sont nécessaires à l’exécution des missions visées à l’article 70 de la directive (UE) 2024/1640 et à l’article 76 du règlement (UE) 2024/1624.