1. Dans la mesure où cela est strictement nécessaire aux fins de la prévention du blanchiment de capitaux et du financement du terrorisme, les entités assujetties peuvent traiter les catégories particulières de données à caractère personnel visées à l’article 9, paragraphe 1, du règlement (UE) 2016/679, ainsi que les données à caractère personnel relatives aux condamnations pénales et aux infractions visées à l’article 10 dudit règlement, sous réserve des garanties prévues aux paragraphes 2 et 3 du présent article.
2. Les entités assujetties peuvent traiter les données à caractère personnel visées à l’article 9 du règlement (UE) 2016/679 pour autant que:
a) elles informent leurs clients ou clients potentiels que ces catégories de données peuvent être traitées aux fins du respect des exigences prévues dans le présent règlement;
b) les données proviennent de sources fiables, sont exactes et à jour;
c) elles ne prennent pas de décisions susceptibles de conduire à des résultats biaisés et discriminatoires sur la base de ces données;
d) elles adoptent des mesures pour garantir un niveau élevé de sécurité conformément à l’article 32 du règlement (UE) 2016/679, en particulier en ce qui concerne la confidentialité.
3. Les entités assujetties peuvent traiter les données à caractère personnel visées à l’article 10 du règlement (UE) 2016/679, pour autant qu’elles respectent les conditions énoncées au paragraphe 2 du présent article, et que:
a) ces données à caractère personnel concernent le blanchiment de capitaux, les infractions sous-jacentes associées ou le financement du terrorisme;
b) les entités assujetties aient mis en place des procédures permettant de distinguer, dans le traitement de ces données, les allégations, les enquêtes, les procédures et les condamnations, en tenant compte du droit fondamental à accéder à un tribunal impartial, des droits de la défense et de la présomption d’innocence.
4. Les données à caractère personnel ne sont traitées sur la base du présent règlement par des entités assujetties qu’aux fins de la prévention du blanchiment de capitaux et du financement du terrorisme, et ne font pas l’objet d’un traitement ultérieur d’une manière incompatible avec lesdites finalités. Le traitement des données à caractère personnel sur la base du présent règlement à des fins commerciales est interdit.
5. Les entités assujetties peuvent adopter des décisions résultant de processus automatisés, y compris le profilage au sens de l’article 4, point 4), du règlement (UE) 2016/679, ou de processus recourant à des systèmes d’IA au sens de l’article 3, point 1), du règlement (UE) 2024/xxx du Parlement européen et du Conseil, pour autant que:
a) les données traitées par ces systèmes soient limitées aux données obtenues en vertu du chapitre III du présent règlement;
b) toute décision de nouer ou de refuser de nouer ou de maintenir une relation d’affaires avec un client ou d’exécuter ou de refuser d’exécuter une transaction à titre occasionnel pour un client, ou d’augmenter ou de diminuer l’étendue des mesures de vigilance à l’égard de la clientèle appliquées conformément à l’article 20 du présent règlement, fasse l’objet d’une intervention humaine significative afin d’assurer l’exactitude et le caractère approprié d’une telle décision; et
c) le client puisse obtenir des explications sur la décision prise par l’entité assujettie et puisse contester cette décision, excepté en ce qui concerne la déclaration visée à l’article 69 du présent règlement.