Avocata generală a Curții de Justiție a Uniunii Europene, Laila Medina, a prezentat concluzii în care afirmă că unitățile naționale de informații financiare pot refuza divulgarea datelor unei persoane dacă acest lucru protejează investigațiile privind spălarea banilor. Totuși, ea subliniază că nevoia de confidențialitate nu poate justifica o interdicție absolută și necontrolată a accesului la informații. Autoritățile trebuie să opereze în limitele unor reguli clare, precise și proporționale, oferind garanții împotriva abuzurilor de putere.
Conflictul juridic a luat naștere în Estonia, unde un cetățean a încercat repetat să afle ce informații deținea unitatea națională de informații financiare despre el. Aceasta a refuzat să confirme existența datelor, invocând obligația de confidențialitate necesară sistemului de combatere a spălării banilor și a finanțării terorismului. În acest caz, accesul ar fi putut fi blocat pentru toate persoanele și pe toată durata păstrării datelor, o situație pe care Medina consideră că ar încălca dreptul UE.
Medina propune ca aceste unități să fie tratate ca autorități competente în sensul Directivei 2016/680, nu sub regimul general GDPR. Această schimbare de statut ar însemna că prelucrarea datelor pentru prevenirea infracțiunilor ar fi guvernată de o normă specifică, concepută pentru autorități. Deși Directiva permite restricționarea accesului pentru protejarea investigațiilor sau a interesului public, aceasta impune ca orice limitare a drepturilor individuale să rămână strict necesară și justificată prin lege.
Pentru a evita un secret nelimitat, avocata generală propune ca controlul independent să devină elementul central al soluției. Dacă o persoană nu poate vedea direct datele, autoritatea națională pentru protecția datelor trebuie să poată verifica în locul ei legalitatea prelucrării. Această instituție trebuie să aibă acces la informații și să poată discuta confidențial cu unitatea de informații financiare pentru a verifica dacă refuzul accesului este într-adevăr justificat.
Chiar și în situațiile delicate în care unitatea de informații financiare nu poate explica motivul refuzului pentru a nu compromite o investigație, dreptul la contestare trebuie păstrat. Persoana vizată trebuie informată obligatoriu că își poate exercita drepturile indirect, prin intermediul autorității independente pentru protecția datelor. Astfel, se încearcă echilibrarea necesității de a monitoriza tranzacțiile suspecte fără a avertiza persoanele vizate, cu respectarea dreptului fundamental la protecția datelor personale.
Unitățile de informații financiare (FIU) sunt esențiale în cooperarea europeană, schimbând date despre tranzacții suspecte între statele membre pentru a opri fluxurile financiare ilegale. Aceste baze de date pot conține informații despre persoane care nu sunt inculpate sau care nu fac obiectul unei investigații penale formale. Concluziile avocatei generale nu sunt o hotărâre finală, deoarece judecătorii CJUE vor decide cauza ulterior, având libertatea de a nu urma această interpretare.