Schimbul de informații KYC nu echivalează cu partajarea responsabilităților în materie de combatere a spălării banilor: o distincție juridică importantă pentru orice tranzacție imobiliară

În tranzacțiile imobiliare cu mai multe părți — în care agenții, dezvoltatorii, avocații și notarii au fiecare obligații independente în materie de combatere a spălării banilor — o chestiune de urgență practică tot mai mare se referă la admisibilitatea partajării informațiilor KYC între entitățile obligate. Poziția juridică prevăzută de Regulamentul (UE) 2024/1624 (AMLR) este adesea înțeleasă greșit în practică, iar consecințele acestei neînțelegeri au efecte în ambele sensuri: unii profesioniști refuză să partajeze date pe care regulamentul permite — și chiar încurajează — să fie partajate; alții presupun că primirea datelor KYC de la o terță parte îi scutește de propriile obligații de conformitate, ceea ce nu este adevărat.

Poziția juridică corectă este atât clară, cât și cu implicații importante. Acest articol o prezintă.

Cadrul juridic: Ce prevede de fapt AMLR

AMLR stabilește trei principii fundamentale relevante pentru partajarea datelor KYC în sectorul imobiliar:

1. Fiecare entitate obligată poartă o responsabilitate independentă în ceea ce privește CDD. Indiferent de ceea ce a făcut orice altă parte la o tranzacție, fiecare entitate obligată — agentul, dezvoltatorul, notarul și avocatul — rămâne răspunzătoare în mod independent pentru propria sa verificare prealabilă a clienților. Responsabilitatea nu este transferabilă.

2. Bazarea pe o altă entitate obligată este permisă, în anumite condiții. Dispozițiile AMLR privind bazarea pe terți permit unei entități obligate să se bazeze pe CDD efectuată de o altă entitate, dar entitatea care se bazează pe aceasta își păstrează întreaga responsabilitate legală pentru conformitatea cu propriul supraveghetor. Bazarea pe terți este o facilitare procedurală, nu o scutire.

3. Schimbul de informații este permis în cadrul unor cadre juridice definite. Considerentul 147 din AMLR prevede în mod explicit: „Entitățile obligate și autoritățile competente ar trebui să poată face schimb de informații în cadrul unui parteneriat de schimb de informații.” Același considerent precizează în mod clar că entitățile obligate „nu ar trebui să se bazeze exclusiv pe informațiile primite prin schimbul de informații pentru a trage concluzii cu privire la riscul de spălare de bani și de finanțare a terorismului prezentat de client”.

Aceste trei principii definesc cu precizie limitele legale: documentele și datele factuale verificate pot fi partajate; evaluările de risc, determinările EDD, deciziile de raportare și obligațiile de monitorizare continuă nu pot fi partajate.

Unde apare neînțelegerea în practică

Într-o tranzacție imobiliară tipică care implică un agent, un dezvoltator, un avocat și un notar, fiecare parte poate schimba în mod legal date de identificare a clientului, informații despre UBO, documentație privind proprietatea corporativă, dovezi privind sursa fondurilor și rezultate ale verificării — sub rezerva GDPR aplicabil, a confidențialității și a măsurilor de protecție AML.

Ceea ce niciuna dintre aceste părți nu poate face este să trateze primirea acestor informații ca un substitut pentru propriile obligații independente. Un notar care acceptă dosarul KYC al unui agent imobiliar fără a efectua propria evaluare a riscurilor nu a respectat AMLR — s-a bazat, fără o verificare independentă, pe judecata unei alte părți. Un dezvoltator care se bazează pe verificările anterioare ale clientului efectuate de un avocat fără a aplica propria clasificare a riscurilor nu și-a îndeplinit propria obligație de supraveghere.

Așa cum confirmă analiza DLA Piper privind dispozițiile AMLR referitoare la schimbul de informații: „În calitate de membri ai parteneriatelor pentru schimbul de informații, entitățile obligate pot partaja informații în scopul diligenței necesare față de clienți și al raportării suspiciunilor către FIU.” Noul pachet AML vizează o cooperare mai strânsă între entitățile obligate — nu un singur punct de responsabilitate în materie de conformitate.

Legea nu interzice schimbul de informații. Ea interzice transferul responsabilității.

Distincția structurală: o arhitectură pe două niveluri

Poziția juridică descrisă mai sus se transpune în mod natural într-o arhitectură pe două niveluri pentru orice model de partajare KYC conform:

Nivelul central permis — care poate fi partajat între entitățile obligate:

• Verificarea identității și a adresei

• Identificarea și verificarea beneficiarului efectiv final (UBO)

• Structuri de proprietate corporativă

• Documentația privind sursa fondurilor

• Istoric al tranzacțiilor imobiliare

• Rezultatele verificării privind sancțiunile, persoanele expuse politic (PEP) și informațiile negative din mass-media

Nivel specific entității — nu poate fi partajat, determinat independent de fiecare entitate obligată:

• Evaluarea și clasificarea riscurilor

• Cerințe și rezultate privind diligența sporită

• Evaluarea suspiciunilor și deciziile privind depunerea de rapoarte SAR/STR

• Parametri și rezultate ale monitorizării continue

• Raportarea către Unitatea Națională de Informații Financiare

Aceasta este arhitectura către care se îndreaptă AMLR: colectarea datelor clienților o singură dată, evaluarea riscului de mai multe ori — în mod independent, de către fiecare entitate obligată, în raport cu obligațiile de reglementare proprii ale fiecărei entități.

Cerința tehnologică: de ce platformele KYC standard nu pot oferi acest lucru

Distincția juridică de mai sus creează o cerință tehnologică precisă pe care majoritatea platformelor KYC de pe piață sunt structural incapabile să o îndeplinească. Soluțiile standard de verificare a identității și KYC sunt concepute pentru a colecta și partaja date. Acestea nu sunt concepute pentru a impune separarea juridică între datele factuale partajate ale clienților și obligațiile independente de evaluare a riscurilor, care nu pot fi partajate, pe care fiecare entitate obligată trebuie să le îndeplinească pentru sine.

O platformă KYC generică care colectează documente și le partajează între părți se ocupă doar de primul nivel. Aceasta nu oferă un mecanism structurat pentru ca fiecare parte să efectueze și să înregistreze în mod independent propria clasificare a riscurilor, determinarea EDD sau evaluarea suspiciunilor în același mediu. Datele și obligația de conformitate sunt decuplate — iar înregistrarea reglementară necesară pentru a demonstra conformitatea independentă a fiecărei entități obligate nu există.

Aceasta nu este o lacună operațională minoră. În conformitate cu AMLR, incapacitatea de a demonstra evaluarea independentă a riscurilor de către fiecare entitate obligată reprezintă o încălcare a conformității pentru fiecare parte care a primit date partajate fără a produce propria evaluare documentată.

Immosurance: singura platformă care oferă ambele niveluri într-un singur mediu conform cu GDPR

Immosurance este singura platformă de conformitate AML din Europa special concepută pentru sectorul imobiliar, care oferă ambele niveluri ale arhitecturii de partajare KYC conforme într-un singur mediu integrat, conform cu GDPR.

Nivelul de bază — verificarea identității, cartografierea UBO, documentația privind proprietatea corporativă, dovezile privind sursa fondurilor și screeningul continuu privind sancțiunile, PEP și mass-media adversă — poate fi colectat o singură dată și pus la dispoziția mai multor entități obligate în cadrul legal și de protecție a datelor permis. Acest lucru elimină duplicarea care a caracterizat conformitatea imobiliară cu mai multe părți și reduce povara asupra clienților cărora li s-a cerut, în trecut, să repete același proces de verificare cu fiecare parte implicată în tranzacția lor.

Nivelul specific entității este aplicat ca fiind separat din punct de vedere structural în cadrul platformei. Fiecare entitate obligată care utilizează Immosurance își menține propriul dosar de conformitate independent, propria evaluare documentată a riscurilor, propriul flux de lucru EDD și propriul registru de raportare — niciunul dintre acestea nefiind accesibil sau partajat cu alte părți. Arhitectura de acces bazată pe roluri asigură că ceea ce fiecare entitate obligată este obligată prin lege să determine în mod independent este, prin design, determinat independent.

Niciun furnizor generic de KYC, serviciu de verificare a identității sau platformă de partajare a documentelor de pe piață nu oferă această combinație. Separarea datelor despre clienți care pot fi partajate de obligația de evaluare a riscurilor care nu poate fi partajată — ambele aplicate în cadrul aceleiași platforme, ambele conforme cu GDPR, ambele pregătite pentru audit — este o caracteristică unică a Immosurance.

Aceasta nu este o capacitate viitoare. Immosurance este operațional astăzi, disponibil pentru agenții imobiliari, dezvoltatori, avocați și notari din toată Europa, în 14 limbi, cu arhitectura de partajare KYC aliniată legal la direcția confirmată de AMLR.

Distincția juridică este clară. Cerințele tehnologice pe care le impune sunt exigente. Immosurance este răspunsul.