Obowiązki i kary

W dzisiejszym złożonym świecie regulacji, instytucje zobowiązane muszą spełniać szereg wymogów, w tym w zakresie  ochrony danych osobowych, przeciwdziałania praniu pieniędzy oraz przepisów dotyczących sygnalistów. Nowe regulacje obejmują szerszy zakres zgłoszeń oraz większą liczbę podmiotów uprawnionych do ich dokonywania.

Kluczowe elementy do wdrożenia w podmiotach obowiązanych.

Ustawa o ochronie sygnalistów

• Wdrożenie procedury przyjmowania zgłaszania naruszeń prawa i podejmowania działań następczych.
• Stworzenie poufnego kanału zgłoszeń wewnętrznych w organizacji.
• Prowadzenie rejestru zgłoszeń.
• Wykonywanie działań następczych po otrzymaniu zgłoszenia.
• Przekazywanie sygnaliście informacji w terminach zgodnych z ustawą.
• Zapewnienie poufności danych sygnalisów.

AML

• Identyfikacja i ocena ryzyka związanego z praniem pieniędzy oraz finansowaniem terroryzmu - należy pamiętać, że ocena ryzyka musi być aktualizowana w razie wystąpienia takiej potrzeby, przynajmniej raz na dwa lata.
• Wdrożenie i stosowanie środków bezpieczeństwa finansowego odpowiednich do ryzyka zidentyfikowanego podczas analizy klienta - zakres działań obejmuje identyfikację klienta oraz beneficjenta rzeczywistego, ocenę i monitorowanie jego stosunków gospodarczych.
• Gromadzenie i przekazywanie odpowiednim instytucjom informacji wymaganych przez ustawę.
• Współpraca z GIIF w przypadku podejrzenia prania pieniędzy lub finansowania terroryzmu.
• Wdrożenie działań organizacyjnych w celu zapewnienia właściwego wykonania podstawowych zadań instytucji obowiązanych.

RODO

• Określenie celów przetwarzania danych osobowych oraz poinformowanie klientów o tym, które dane osobowe są przetwarzane przez firmę i w jakim celu - obowiązek musi zostać spełniony w rozsądnym terminie od pozyskania danych, jednak nie później niż w ciągu miesiąca.
• Zgłaszanie naruszeń - naruszenie to np. przypadkowe ujawnienie danych osobowych klientów lub zagubienie niezaszyfrowanego nośnika zawierającego bazę klientów. Wystąpienie takiej sytuacji wymaga zgłoszenia do Urzędu Ochrony Danych Osobowych w ciągu 72 godzin.
• Ochrona danych osobowych pracowników i kontrahentów przed ujawnieniem.
• Prowadzenie rejestru czynności przetwarzania - aby rejestr był kompletny i spełniał wymogi ustawy musi zawierać elementy art. 30 ust. 1 RODO.
• Realizacja prawa klienta do usunięcia danych - potocznie nazywane “prawo do bycia zapomnianym” musi zostać zrealizowane bez zbędnej zwłoki.
• Wyznaczenie Inspektora Danych Osobowych - obowiązkowe dla podmiotów wskazanych w art. 37 RODO.