Legea nr. 129/2019 pentru prevenirea si combaterea spalarii banilor si finantarii terorismului, precum si pentru modificarea si completarea unor acte normative

(3) Atunci cand se impune extinderea perioadei de pastrare a documentelor in scopul de a preveni, depista sau investiga activitatile de spalare a banilor sau de finantare a terorismului, entitatile raportoare sunt obligate sa prelungeasca termenele prevazute la alin. (1) si (2) cu perioada indicata de autoritatile competente, fara ca aceasta prelungire sa poata depasi 5 ani.
(4) La expirarea perioadei de pastrare, entitatile raportoare au obligatia de a sterge datele cu caracter personal, cu exceptia situatiilor in care alte dispozitii legale impun pastrarea in continuare a datelor.

Articolul 22
(1) Datele cu caracter personal sunt prelucrate de entitatile raportoare pe baza prezentei legi si cu respectarea legislatiei in vigoare privind prelucrarea datelor cu caracter personal doar in scopul prevenirii spalarii banilor si a finantarii terorismului si nu sunt prelucrate ulterior intr-un mod incompatibil cu acest scop. Este interzisa prelucrarea datelor cu caracter personal in alte scopuri, cum ar fi cele comerciale.
(2) Entitatile raportoare furnizeaza clientilor noi, inainte de a stabili o relatie de afaceri sau de a efectua o tranzactie ocazionala, cel putin informatiile prevazute mai jos, cu exceptia cazului in care persoana este deja informata cu privire la aceste date:
a) identitatea operatorului si, daca este cazul, a reprezentantului;
b) scopul prelucrarii careia ii sunt destinate datele;
c) orice alte informatii suplimentare, cum ar fi:
1. destinatarii sau categoriile de destinatari ai datelor;
2. daca raspunsurile la intrebari sunt obligatorii sau voluntare, precum si consecintele posibile ale evitarii raspunsului;
3. existenta dreptului de acces la datele care o privesc si de rectificare a datelor cu caracter personal, in masura in care, tinand seama de circumstantele specifice in care sunt colectate datele, astfel de informatii suplimentare sunt necesare pentru asigurarea unei prelucrari corecte a datelor cu privire la persoana vizata.
(3) Informatiile prevazute la alin. (2) includ o informare generala cu privire la obligatiile legale care le revin entitatilor raportoare in temeiul prezentei legi atunci cand prelucreaza date cu caracter personal in scopul prevenirii spalarii banilor si a finantarii terorismului.
(4) Prelucrarea datelor cu caracter personal in contextul alin. (1) este considerata ca fiind necesara in vederea ducerii la indeplinire a unor masuri de interes public, in conformitate cu prevederile Regulamentului (UE) 2016/679 al Parlamentului European si al Consiliului din 27 aprilie 2016 privind protectia persoanelor fizice in ceea ce priveste prelucrarea datelor cu caracter personal si privind libera circulatie a acestor date si de abrogare a Directivei 95/46/CE (Regulamentul general privind protectia datelor).

CAPITOLUL V
Persoana desemnata si proceduri interne

Articolul 23
(1) Entitatile raportoare au obligatia de a desemna una sau mai multe persoane care au responsabilitati in aplicarea prezentei legi, cu precizarea naturii si limitelor responsabilitatilor incredintate, ale caror nume vor fi comunicate Oficiului, exclusiv in format electronic, prin canalele puse la dispozitie de catre acesta.
(2) Institutiile de credit si institutiile financiare au obligatia de a desemna un ofiter de conformitate la nivelul conducerii, care coordoneaza implementarea politicilor si procedurilor interne pentru aplicarea prezentei legi. In cazul retelelor cooperatiste, in semnificatia prevazuta in Ordonanta de urgenta a Guvernului nr. 99/2006, aprobata cu modificari si completari prin Legea nr. 227/2007, cu modificarile si completarile ulterioare, ofiterul de conformitate poate fi desemnat la nivelul casei centrale pentru coordonarea implementarii politicilor si procedurilor la nivelul intregii retele.
(3) Persoanele desemnate conform prevederilor alin. (1) si (2) au acces direct si in timp util la datele si informatiile relevante, detinute de entitatile raportoare, necesare indeplinirii obligatiilor prevazute de prezenta lege.
(4) Dispozitiile alin. (1) nu sunt aplicabile persoanelor fizice ce au calitatea de entitate raportoare, precum si entitatilor raportoare prevazute la art. 5 alin. (1) lit. i).
(5) Avand in vedere natura responsabilitatilor incredintate persoanelor prevazute la alin. (1) si (2), autoritatile de supraveghere si control si entitatile raportoare au obligatia de a crea mecanisme de protejare a acestora, inclusiv prin acordarea dreptului de a se adresa in nume propriu pentru a semnala autoritatilor statului incalcari de orice natura ale prezentei legi in cadrul entitatii raportoare, caz in care identitatea acestor persoane va fi protejata corespunzator.
(6) Mecanismele prevazute la alin. (5) includ, dupa caz, cel putin:
a) proceduri specifice pentru primirea rapoartelor privind incalcarile de orice natura ale prezentei legi si luarea de masuri ulterioare;
b) o protectie corespunzatoare a angajatilor sau a persoanelor aflate intr-o pozitie similara in cadrul entitatilor raportoare, care raporteaza incalcari de orice natura ale prezentei legi, comise in cadrul acestora;
c) protectia adecvata a persoanelor prevazute la alin. (1) si (2);
d) protectia datelor cu caracter personal ale persoanei care raporteaza incalcarea de orice natura a prezentei legi, precum si ale persoanei fizice suspectate ca este responsabila de incalcare, in conformitate cu principiile stabilite in Regulamentul (UE) 2016/679;
e) norme clare care sa asigure faptul ca este garantata confidentialitatea in toate cazurile in ceea ce priveste identitatea persoanei care raporteaza incalcarile de orice natura ale prezentei legi, comise in cadrul entitatii raportoare, cu exceptia cazului in care divulgarea este impusa de alte prevederi legale.

Articolul 24
(1) Corespunzator naturii si volumului activitatii desfasurate si avand in vedere reglementarile, cerintele prudentiale si instructiunile sectoriale emise de autoritatile competente in aplicarea prevederilor art. 1 alin. (4), entitatile raportoare stabilesc politici si norme interne, mecanisme de control intern si proceduri de administrare a riscurilor de spalare a banilor si de finantare a terorismului, care includ cel putin urmatoarele elemente:
a) masuri aplicabile in materie de cunoastere a clientelei;
b) masuri aplicabile in materie de raportare, pastrare a evidentelor si a tuturor documentelor conform cerintelor din prezenta lege si de furnizare prompta a datelor la solicitarea autoritatilor competente;
c) masuri aplicabile in materie de control intern, evaluare si gestionare a riscurilor, managementul de conformitate si comunicare;
d) masuri aplicabile in materie de protectie a personalului propriu implicat in procesul de aplicare a acestor politici, impotriva oricaror amenintari ori actiuni ostile sau discriminatorii;
e) instruirea si evaluarea periodica a angajatilor.
(2) In functie de dimensiunea si natura activitatii, entitatile raportoare au obligatia de a asigura o functie de audit independent in scopul testarii politicilor, normelor interne, mecanismelor si procedurilor prevazute la alin. (1).
(3) Entitatile raportoare aproba si monitorizeaza politicile, normele interne, mecanismele si procedurile prevazute la alin. (1), la nivelul conducerii de rang superior.
(4) Entitatile raportoare au obligatia de a asigura periodic instruirea corespunzatoare a angajatilor cu privire la dispozitiile prezentei legi, precum si cu privire la cerintele relevante privind protectia datelor cu caracter personal si de a realiza procesul de verificare a angajatilor, conform reglementarilor sau instructiunilor sectoriale emise de autoritatile competente in aplicarea prevederilor art. 1 alin. (4). Documentele intocmite in acest scop se pun la dispozitia autoritatilor cu atributii de control si a organismelor de autoreglementare, la cererea acestora.
(5) In functie de riscurile la care sunt expuse, dimensiunea si natura activitatii, entitatile raportoare includ, in procesul de instruire a angajatilor, participarea la programe speciale de formare permanenta avand ca scop recunoasterea de catre angajati a operatiunilor care pot avea legatura cu spalarea banilor sau cu finantarea terorismului.
(6) In cazul institutiilor de credit si al institutiilor financiare sunt obligatorii stabilirea unor standarde adecvate in procesul de recrutare a personalului cu responsabilitati in aplicarea prezentei legi si participarea acestuia la programe de instruire ori de cate ori este nevoie, insa nu mai tarziu de un interval de 2 ani, cu respectarea reglementarilor sau instructiunilor sectoriale.
(7) Entitatile raportoare care fac parte dintr-un grup au obligatia sa puna in aplicare politici, proceduri si instruiri la nivel de grup, inclusiv politici de protectie a datelor si politici si proceduri privind schimbul de informatii in cadrul grupului in scopul combaterii spalarii banilor si a finantarii terorismului, pe care le aplica si la nivelul sucursalelor si al filialelor detinute in proportie majoritara din statele membre si din tarile terte.
(8) Autoritatile de supraveghere se informeaza reciproc si informeaza autoritatile europene de supraveghere cu privire la cazurile in care dreptul tarii terte nu permite punerea in aplicare a politicilor si procedurilor cerute de prevederile alin. (7), sens in care pot fi intreprinse actiuni coordonate in vederea identificarii unei solutii.
(9) In cazul in care dreptul tarii terte nu permite punerea in aplicare a politicilor si procedurilor prevazute la alin. (1), entitatile raportoare se asigura ca sucursalele si filialele detinute in proportie majoritara din tara terta respectiva aplica masuri suplimentare pentru a face fata in mod eficace riscului de spalare a banilor sau de finantare a terorismului si informeaza autoritatile competente din statul membru de origine. Daca masurile suplimentare nu sunt suficiente, autoritatile competente prevazute la art. 26 aplica masuri suplimentare de supraveghere, inclusiv masuri prin care impun grupului sa nu stabileasca relatii de afaceri sau sa inceteze relatiile de afaceri respective, sa nu efectueze tranzactii si, daca este necesar, sa isi inchida operatiunile in tara terta.
(10) In cazul in care o persoana fizica ce se incadreaza in oricare dintre categoriile enumerate la art. 5 alin. (1) lit. d) -i) desfasoara activitati profesionale ca angajat al unei persoane juridice, obligatiile prevazute in prezentul capitol se aplica persoanei juridice respective, si nu persoanei fizice.

CAPITOLUL VI
Obligatia de evaluare a riscurilor

Articolul 25
(1) Entitatile raportoare au obligatia de a identifica si evalua riscurile activitatii desfasurate referitoare la expunerea la spalarea banilor si la finantarea terorismului, luand in considerare factorii de risc, inclusiv cei referitori la clienti, tari sau zone geografice, produse, servicii, tranzactii sau canale de distributie .
(2) Evaluarile intocmite in acest scop sunt documentate, actualizate inclusiv pe baza evaluarii nationale si sectoriale si a reglementarilor sau instructiunilor emise de autoritati in aplicarea prevederilor art. 1 alin. (4), si se pun la dispozitia autoritatilor cu atributii de supraveghere si control si a organismelor de autoreglementare, la cererea acestora.
(3) Evaluarile efectuate stau la baza politicilor si procedurilor proprii de management al riscului, precum si la determinarea setului de masuri de cunoastere a clientelei ce sunt aplicabile fiecarui client.
(4) Entitatile raportoare care isi desfasoara activitatea prin sucursale, agenti sau distribuitori intr-un alt stat membru sunt obligate sa se asigure ca acestia respecta dispozitiile de drept intern ale statului membru respectiv referitoare la prevenirea utilizarii sistemului financiar in scopul spalarii banilor sau al finantarii terorismului. In situatia in care dispozitiile prezentei legi sunt mai stricte, entitatile raportoare asigura respectarea de catre sucursalele, agentii sau distribuitorii acestora din alt stat membru si a acestor dispozitii.