Conservación de documentos conforme al AMLR: cinco años, después supresión, y el equilibrio con la protección de datos
El AMLR fija un plazo de conservación de cinco años para los registros de diligencia debida con respecto al cliente y de operaciones, y exige su supresión posterior. Cómo conciliarlo con el RGPD, las retenciones por litigio y la plantilla de comunicación.
La conservación de documentos es el punto donde la normativa contra el blanqueo de capitales y la normativa de protección de datos se encuentran de forma más directa. El AMLR exige a las entidades obligadas conservar los documentos y la información obtenidos en la diligencia debida con respecto al cliente y los registros de las operaciones durante cinco años a partir del fin de la relación de negocios o de la operación ocasional, y suprimirlos cuando termine el plazo, salvo que un plazo más largo esté justificado y permitido por el Derecho nacional.
Qué debe conservarse
- El expediente de diligencia debida con respecto al cliente: documentos de identidad o referencias a ellos, información sobre la titularidad real, la finalidad y la naturaleza de la relación, la evaluación del riesgo y sus actualizaciones, los resultados del cribado.
- Registros de operaciones suficientes para reconstruir operaciones individuales.
- El análisis interno que sustenta las comunicaciones a la FIU, y las propias comunicaciones.
- Pruebas de las medidas adoptadas: aprobaciones, revisiones, formación.
Cinco años, después supresión
El plazo de cinco años es, por defecto, un máximo, no un mínimo que pueda superarse a voluntad. Los Estados miembros pueden permitir un plazo adicional de hasta cinco años cuando sea necesario para la prevención, detección o investigación del blanqueo de capitales, caso por caso. Más allá de eso, los datos personales deben suprimirse. Las entidades que conservan todo de forma indefinida infringirán el AMLR y el RGPD al mismo tiempo.
El equilibrio con la protección de datos
El AMLR proporciona la base jurídica para el tratamiento de datos personales con fines de lucha contra el blanqueo de capitales y restringe su uso para otros fines. También limita el derecho de acceso del interesado cuando la divulgación pudiera perjudicar una investigación, con garantías. Las evaluaciones de impacto relativas a la protección de datos siguen siendo obligatorias para los tratamientos de alto riesgo, como el seguimiento de operaciones y el cribado.
Tensiones prácticas
Retenciones por litigio e investigaciones regulatorias que requieren una conservación más prolongada; sistemas de grupo que no pueden suprimir datos cliente por cliente; y la nueva plantilla de comunicación, que necesita datos estructurados que los expedientes más antiguos no contienen.
Qué hacer ahora
- Definir el cómputo del plazo de conservación por tipo de registro y el hecho desencadenante (fin de la relación, fecha de la operación).
- Construir o verificar la capacidad de supresión en los sistemas centrales y los archivos.
- Documentar el proceso de excepciones para una conservación más prolongada, con su base jurídica.
El panel de control hace seguimiento de la conservación de documentos en Datos, tecnología y detección; el rastreador de preparación cuenta con un bloque de Conservación de documentos.