—

Safe Interenvíos SA ved abogados A. Selas Colorado og D. Solana Giménez

—

Banco Bilbao Vizcaya Argentaria SA ved abogados J.M. Rodríguez Cárcamo og B. García Gómez

—

den spanske regering ved A. Rubio González og A. Gavela Llopis, som befuldmægtigede

—

den portugisiske regering ved L. Inez Fernandes, M. Rebelo og G. Miranda, som befuldmægtigede

—

Europa-Kommissionen ved J. Rius og I.V. Rogalski, som befuldmægtigede,

1

Anmodningen om præjudiciel afgørelse vedrører fortolkningen af artikel 11, stk. 1, i Europa-Parlamentets og Rådets direktiv 2005/60/EF af 26. oktober 2005 om forebyggende foranstaltninger mod anvendelse af det finansielle system til hvidvaskning af penge og finansiering af terrorisme (EUT L 309, s. 15), som ændret ved Europa-Parlamentets og Rådets direktiv 2010/78/EU af 24. november 2010 (EUT L 331, s. 120, herefter »hvidvaskningsdirektivet«), sammenholdt med dette direktivs artikel 5, 7 og 13.

2

Anmodningen er indgivet i forbindelse med en sag anlagt af Safe Interenvíos SA (herefter »Safe«), et betalingsinstitut, mod Liberbank SA (herefter »Liberbank«), Banco de Sabadell SA (herefter »Sabadell«) og Banco Bilbao Vizcaya Argentaria SA (herefter »BBVA«), tre kreditinstitutter (herefter under ét »bankerne«), vedrørende bankernes lukning af Safes konti hos dem, fordi de havde mistanke om hvidvaskning af penge.

3

Som det fremgår af femte betragtning til hvidvaskningsdirektivet, »bør« foranstaltninger, der træffes mod hvidvaskning af penge og finansiering af terrorisme, »være i overensstemmelse med forholdsregler, som træffes i andre internationale fora« og »tage særligt hensyn til de anbefalinger, der er udarbejdet af Financial Action Task Force (i det følgende benævnt »FATF«), som er det førende internationale organ for bekæmpelse af hvidvaskning af penge og finansiering af terrorisme. Da FATF-anbefalingerne blev gennemgribende revideret og udvidet i 2003, bør dette direktiv være i overensstemmelse med denne nye internationale standard«.

4

Tiende betragtning til nævnte direktiv har følgende ordlyd:

»De institutioner og personer, der er omfattet af dette direktiv, bør […] identificere den reelle ejer og kontrollere dennes identitet. Det står disse institutioner og personer frit, om de vil opfylde dette krav ved at anvende offentlige registre over egentlige ejere, anmode deres kunder om relevante oplysninger eller indhente oplysningerne på anden måde, under hensyntagen til at omfanget af disse kundelegitimationsprocedurer er knyttet til risikoen for hvidvaskning af penge og finansiering af terrorisme og dermed afhængigt af kundekategorien, forretningsforbindelsen, produktet eller transaktionen.«

5

22. og 24. betragtning til samme direktiv har følgende ordlyd:

[...]

6

Det fremgår af 33. betragtning til hvidvaskningsdirektivet, at meddelelse af oplysninger som omhandlet i dets artikel 28 skal finde sted i overensstemmelse med de bestemmelser om overførsel af personoplysninger til tredjelande, der er fastsat i Europa-Parlamentets og Rådets direktiv 95/46/EF af 24. oktober 1995 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger (EUT L 281, s. 31, herefter »direktivet om personoplysninger«), og at bestemmelserne i denne artikel 28 endvidere ikke har forrang for national lovgivning om databeskyttelse og tavshedspligt.

7

I 48. betragtning til hvidvaskningsdirektivet anføres det, at i dette direktiv overholdes de grundlæggende rettigheder og de principper, som anerkendes i bl.a. Den Europæiske Unions charter om grundlæggende rettigheder (herefter »chartret«), og at dette direktiv ikke må fortolkes eller gennemføres på en måde, der ikke er i overensstemmelse med den europæiske konvention til beskyttelse af menneskerettigheder og grundlæggende frihedsrettigheder, undertegnet i Rom den 4. november 1950.

8

Hvidvaskningsdirektivets artikel 1, stk. 1 og 2, bestemmer:

»1.   Medlemsstaterne sikrer, at hvidvaskning af penge og finansiering af terrorisme forbydes.

2.   Følgende handlinger betragtes i forbindelse med dette direktiv som hvidvaskning af penge, hvis de begås forsætligt:

9

I henhold til dets artikel 2, stk. 1, finder hvidvaskningsdirektivet anvendelse på kreditinstitutter, finansieringsinstitutter og diverse juridiske eller fysiske personer under udøvelsen af deres erhverv.

10

Nævnte direktivs artikel 3, nr. 1), definerer et »kreditinstitut« med henvisning til definitionen af det samme udtryk i artikel 1, nr. 1), første afsnit, i Europa-Parlamentets og Rådets direktiv 2000/12/EF af 20. marts 2000 om adgang til at optage og udøve virksomhed som kreditinstitut (EFT L 126, s. 1), dvs. som »et foretagende, hvis virksomhed består i fra offentligheden at modtage indlån eller andre midler, der skal tilbagebetales, samt i at yde lån for egen regning«.

11

I henhold til hvidvaskningsdirektivets artikel 3, nr. 2), litra a), omfatter definitionen af et »finansieringsinstitut«»et foretagende, som ikke er et kreditinstitut, og som udøver en eller flere af aktiviteterne i punkt 2-12, 14 og 15 i bilag I til [Europa-Parlamentets og Rådets] direktiv 2006/48/EF« af 14. juni 2006 om adgang til at optage og udøve virksomhed som kreditinstitut (EUT L 177, s. 1), som ændret ved Europa-Parlamentets og Rådets direktiv 2009/111/EF af 16. september 2009 (EUT L 302, s. 97). Denne liste over aktiviteter omfatter, jf. dette bilags punkt 4, »[b]etalingstjenester som defineret i artikel 4, nr. 3), i Europa-Parlamentets og Rådets direktiv 2007/64/EF« af 13. november 2007 om betalingstjenester i det indre marked og om ændring af direktiv 97/7/EF, 2002/65/EF, 2005/60/EF og 2006/48/EF og om ophævelse af direktiv 97/5/EF (EUT L 319, s. 1), som ændret ved direktiv 2009/111 (herefter »betalingstjenestedirektivet«), og, jf. nævnte bilags punkt 5, »[u]dstedelse og administration af andre betalingsmidler […], i det omfang denne aktivitet ikke er dækket af punkt 4«.

12

Hvidvaskningsdirektivets artikel 5 bestemmer, at »[m]edlemsstaterne [...] på det område, der er omfattet af dette direktiv, [kan] vedtage eller opretholde strengere bestemmelser for at forhindre hvidvaskning af penge og finansiering af terrorisme«.

13

Hvidvaskningsdirektivets kapitel II med overskriften »Kundelegitimationskrav« indeholder i dette direktivs artikel 6-10 generelle bestemmelser om almindelige kundelegitimationskrav, i nævnte direktivs artikel 11 og 12 specifikke bestemmelser om lempede kundelegitimationskrav og i samme direktivs artikel 13 specifikke bestemmelser om skærpede kundelegitimationskrav.

14

I medfør af hvidvaskningsdirektivets artikel 7 gennemfører de institutter og personer, der er omfattet af dette direktiv, kundelegitimationsprocedurer, når de etablerer forretningsforbindelser, når de udfører lejlighedsvise transaktioner på mindst 15000 EUR, når der er mistanke om hvidvaskning af penge eller finansiering af terrorisme uden hensyn til eventuelle afvigelser, fritagelser eller tærskler, og når der er tvivl om, at tidligere indhentede oplysninger om kundens identitet er korrekte eller tilstrækkelige.

15

Hvidvaskningsdirektivets artikel 8 bestemmer:

»1.   Kundelegitimationsprocedurer omfatter følgende:

2.   De institutter og personer, der er omfattet af dette direktiv, anvender hvert af de enkelte kriterier i stk. 1, men kan vedtage disse foranstaltningers omfang på grundlag af risikoen i forbindelse med kundekategorien, forretningsforbindelsen, produktet eller transaktionen. De institutter og personer, der er omfattet af dette direktiv, skal kunne godtgøre over for de kompetente myndigheder […], at foranstaltningernes omfang må anses for at være passende i betragtning af risikoen for hvidvaskning af penge og finansiering af terrorisme.«

16

Nævnte direktivs artikel 9, stk. 1, 5 og 6, bestemmer:

»1.   Medlemsstaterne kræver, at kontrollen af kundens og den egentlige ejers identitet skal ske før etableringen af en forretningsforbindelse eller udførelse af en transaktion.

[...]

5.   Medlemsstaterne kræver, at det pågældende institut eller den pågældende person i tilfælde, hvor artikel 8, stk. 1, litra a)-c), ikke kan opfyldes, ikke må udføre transaktioner via en bankkonto, etablere forretningsforbindelsen eller udføre transaktionen eller skal bringe forretningsforbindelsen til ophør og overveje at underrette den finansielle efterretningsenhed i overensstemmelse med artikel 22.

[...]

6.   Medlemsstaterne pålægger de institutter og personer, der er omfattet af dette direktiv, at gennemføre kundelegitimationsprocedurer, ikke blot over for alle nye kunder, men også over for eksisterende kunder på passende tidspunkt på grundlag af en risikovurdering.«

17

Hvidvaskningsdirektivets artikel 11, stk. 1, bestemmer:

»Uanset artikel 7, litra a), b) og d), artikel 8 og artikel 9, stk. 1, stilles de deri nævnte krav ikke til de af dette direktiv omfattede institutter og personer, når kunden er et i direktivet omhandlet kredit- eller finansieringsinstitut eller et kredit- eller finansieringsinstitut i et tredjeland, som i dette land skal opfylde krav svarende til de i direktivet fastsatte og er genstand for tilsyn med opfyldelsen heraf.«

18

Hvidvaskningsdirektivets artikel 11, stk. 2, angiver andre omstændigheder, under hvilke medlemsstaterne uanset dette direktivs artikel 7, litra a), b) og d), artikel 8 og artikel 9, stk. 1, kan tillade de institutter og personer, der er omfattet af nævnte direktiv, ikke at gennemføre de almindelige kundelegitimationsprocedurer. I medfør af samme direktivs artikel 11, stk. 3, indsamler institutter og personer, der er omfattet af dette direktiv, under alle omstændigheder tilstrækkelige oplysninger til at kunne fastslå, om en kunde kan komme i betragtning til at blive undtaget i henhold til denne artikels stk. 1 og 2.

19

Hvidvaskningsdirektivets artikel 13, stk. 1, bestemmer:

»Medlemsstaterne pålægger de institutter og personer, der er omfattet af dette direktiv, at skærpe kundelegitimationsforanstaltningerne på grundlag af en vurdering af risikoen, ud over de foranstaltninger, der er omhandlet i artikel 7 og 8 og artikel 9, stk. 6, i situationer, som i sig selv indebærer en øget risiko for hvidvaskning af penge eller finansiering af terrorisme, og i hvert fald i de situationer, der er beskrevet i stk. 2, 3 og 4, og med hensyn til andre situationer, der frembyder en høj risiko for hvidvaskning af penge eller finansiering af terrorisme, og som opfylder de tekniske kriterier der er fastsat, jf. artikel 40, stk. 1, litra c).«

20

Hvidvaskningsdirektivets artikel 13, stk. 2-4, omhandler tilfælde, hvor kunden ikke er fysisk til stede for at legitimere sig, tilfælde af grænseoverskridende korrespondentbankforbindelser med korrespondentinstitutter fra tredjelande og transaktioner eller forretningsforbindelser med politisk udsatte personer med bopæl i en anden medlemsstat end den berørte medlemsstat eller et tredjeland. For sådanne tilfælde er der anført specifikke skærpede kundelegitimationsprocedurer eller eksempler på egnede foranstaltninger.

21

I henhold til hvidvaskningsdirektivets artikel 20 skal medlemsstaterne kræve, at de institutter og personer, der er omfattet af dette direktiv, er særlig opmærksomme på enhver aktivitet, som de på grund af dens karakter særligt finder kan have tilknytning til hvidvaskning af penge eller finansiering af terrorisme.

22

Hvidvaskningsdirektivets artikel 22, som sammen med dets artikel 23 indeholder bestemmelser om underretningspligt, kræver, at de institutter og personer, der er omfattet af dette direktiv, og i givet fald deres ledelse og ansatte pålægges at samarbejde fuldt ud, bl.a. ved omgående at underrette den finansielle efterretningsenhed på eget initiativ, når de ved, har mistanke om eller har rimelig grund til at mene, at der gennemføres eller er gennemført eller gjort forsøg på at gennemføre hvidvaskning af penge eller finansiering af terrorisme.

23

I henhold til hvidvaskningsdirektivets artikel 28 må de institutter og personer, der er omfattet af dette direktiv, samt deres ledelse og ansatte ikke oplyse den pågældende kunde eller tredjemand om, at der er sendt oplysninger i henhold til nævnte direktivs artikel 22 og 23, eller at der er eller eventuelt vil blive iværksat en efterforskning vedrørende hvidvaskning af penge eller finansiering af terrorisme.

24

I henhold til hvidvaskningsdirektivets artikel 34, stk. 1, skal medlemsstaterne pålægge de institutter og personer, der er omfattet af dette direktiv, at indføre passende og egnede politikker og procedurer for kundelegitimation, underretning, opbevaring af registreringer, intern kontrol, risikovurdering, risikostyring, kontrol med overholdelsen af de relevante forskrifter og kommunikation for at forebygge og forhindre hvidvasknings- eller terrorismefinansieringstransaktioner.

25

Hvidvaskningsdirektivets artikel 37, som sammen med dets artikel 36 omhandler tilsyn, bestemmer i stk. 1, at medlemsstaterne pålægger de kompetente myndigheder som et minimum effektivt at overvåge og træffe de nødvendige foranstaltninger for at sikre, at kravene i dette direktiv overholdes af de institutter og personer, der er omfattet af dette.

26

Betalingstjenestedirektivet fastsætter bl.a. regler, hvorved der sondres mellem seks kategorier af udbydere af betalingstjenester, herunder kreditinstitutter som omhandlet i artikel 4, stk. 1, litra a), i direktiv 2006/48, som ændret ved direktiv 2009/111, og betalingsinstitutter i betalingstjenestedirektivets forstand.

27

Nævnte direktivs artikel 4 med overskriften »Definitioner« har følgende ordlyd:

»I dette direktiv forstås ved:

[...]

[...]

[...]«

28

I henhold til betalingstjenestedirektivets artikel 5, stk. 1, litra f), skal en ansøgning om at få meddelt tilladelse som betalingsinstitut være ledsaget af en række dokumenter, herunder »en beskrivelse af de interne kontrolforanstaltninger, som ansøgeren har indført for at opfylde forpligtelserne vedrørende hvidvaskning af penge og finansiering af terrorisme i henhold til [hvidvaskningsdirektivet]«. Betalingstjenestedirektivets artikel 10, stk. 2, bestemmer, at der meddeles tilladelse, »hvis de oplysninger og det materiale, der er vedlagt ansøgningen, opfylder alle kravene i henhold til artikel 5, og hvis de kompetente myndigheder, der nøje har gennemgået ansøgningen, når frem til en overordnet positiv vurdering«. I henhold til sidstnævnte direktivs artikel 12, stk. 1, kan en tilladelse kun inddrages under bestemte omstændigheder, herunder, i medfør af denne bestemmelses litra c), såfremt betalingsinstituttet ikke længere opfylder betingelserne for meddelelse af tilladelse.

29

I henhold til betalingstjenestedirektivets artikel 17, stk. 1, skal et betalingsinstitut, der har til hensigt at udbyde betalingstjenester gennem en agent, meddele visse oplysninger til de kompetente myndigheder i hjemlandet, således at agenten kan optages i et offentligt register over betalingsinstitutter, der er meddelt tilladelse, og deres agenter og filialer som omhandlet i dette direktivs artikel 13. Disse oplysninger omfatter navn og adresse på den pågældende agent og en beskrivelse af de interne kontrolmekanismer, som agenterne vil anvende for at opfylde forpligtelserne vedrørende bekæmpelse af hvidvaskning af penge og finansiering af terrorisme i henhold til hvidvaskningsdirektivet.

30

I henhold til betalingstjenestedirektivets artikel 20, stk. 1, første afsnit, udpeger medlemsstaterne som kompetente myndigheder med ansvar for bl.a. meddelelse af tilladelse til og tilsyn med betalingsinstitutter »enten offentlige myndigheder eller organer, der er anerkendt i den nationale lovgivning eller af de offentlige myndigheder, som udtrykkeligt har beføjelse hertil efter den nationale lovgivning, herunder nationale centralbanker«. I henhold til andet afsnit i samme artikel 20, stk. 1, skal disse »kompetente myndigheder være uafhængige af økonomiske organer, og interessekonflikter skal undgås. Uden at anfægte første afsnit må betalingsinstitutter, kreditinstitutter, udstedere af elektroniske penge eller postgirokontorer ikke udpeges som kompetente myndigheder«.

31

Betalingstjenestedirektivets artikel 21 med overskriften »Tilsyn« bestemmer:

»1.   Medlemsstaterne sikrer, at de kompetente myndigheders tilsyn med overholdelsen af bestemmelserne i dette afsnit [med overskriften »Udbydere af betalingstjenester«] er proportionalt, hensigtsmæssigt og afpasset efter de risici, betalingsinstitutterne er udsat for.

For at kontrollere overholdelsen af bestemmelserne i dette afsnit, er de kompetente myndigheder berettiget til at tage følgende skridt og navnlig:

2.   […] medlemsstaterne sørger for, at deres respektive kompetente myndigheder i tilfælde af, at et betalingsinstitut eller dets ansvarlige ledelse har overtrådt love eller administrative bestemmelser om tilsyn med betalingsinstitutter eller om disses betalingstjenestevirksomhed, kan pålægge disse sanktioner eller påbyde foranstaltninger med det klare formål at bringe de konstaterede overtrædelser eller årsagerne hertil til ophør.

[...]«

32

Nævnte direktivs artikel 79 med overskriften »Beskyttelse af personoplysninger« bestemmer, at »[m]edlemsstaterne tillader, at betalingssystemer og udbydere af betalingstjenester behandler personoplysninger, når det er nødvendigt af hensyn til forebyggelse, undersøgelse og afsløring af betalingssvig. Behandling af sådanne personoplysninger skal udføres i overensstemmelse med [direktivet om personoplysninger]«.

33

Lov nr. 10/2010 om forebyggelse af hvidvaskning af penge og finansiering af terrorisme (Ley 10/2010 de prevención del blanqueo de capitales y de la financiación del terrorismo) af 28. april 2010 (BOE nr. 103 af 29.4.2010, s. 37458), der gennemfører hvidvaskningsdirektivet i spansk ret, sondrer mellem tre typer af kundelegitimationsprocedurer, nemlig i denne lovs artikel 3-6 almindelige kundelegitimationsprocedurer, i nævnte lovs artikel 9 lempede kundelegitimationsprocedurer og i samme lovs artikel 11 skærpede kundelegitimationsprocedurer.

34

Almindelige kundelegitimationsprocedurer omfatter, således som det fremgår af artikel 3-6, formel identifikation af de berørte personer, identifikation af den reelle ejer, indhentning af oplysninger om forretningsforbindelsens formål og tilsigtede omfang og løbende tilsyn med forretningsforbindelsen.

35

Artikel 7, stk. 1, i lov nr. 10/2010 bestemmer følgende:

»Personer, der er omfattet af denne lov, anvender hver af de enkelte legitimationsprocedurer, som er omhandlet i de foregående artikler, men kan vedtage omfanget af de foranstaltninger, som er fastsat i artikel 4, 5 og 6, på grundlag af risikoen i forbindelse med kundekategorien, forretningsforbindelsen, produktet eller transaktionen, idet disse oplysninger er indeholdt i den udtrykkelige kundegodkendelsespolitik […]

Personer, der er omfattet af denne lov, skal kunne godtgøre over for de kompetente myndigheder, at foranstaltningernes omfang må anses for at være passende i betragtning af risikoen for hvidvaskning af penge og finansiering af terrorisme, ved hjælp af en forudgående risikovurdering, som under alle omstændigheder skal være skriftlig.

Personer, der er omfattet af denne lov, anvender under alle omstændigheder legitimationsprocedurer, når der foreligger indicier for hvidvaskning af penge eller finansiering af terrorisme, uden hensyn til eventuelle afvigelser, fritagelser eller tærskler, eller når der er tvivl om, at tidligere indhentede oplysninger er korrekte eller tilstrækkelige.«

36

I henhold til artikel 7, stk. 3, i lov nr. 10/2010 må personer, der er omfattet af denne lov, ikke indlede en forretningsforbindelse eller gennemføre en transaktion, hvis de ikke kan gennemføre de kundelegitimationsprocedurer, der er fastsat ved denne lov. Hvis en sådan situation opstår under en forretningsforbindelse, skal de bringe forbindelsen til ophør.

37

Artikel 9 i lov nr. 10/2010 fastsætter:

»1.   Uanset bestemmelserne i artikel 7, stk. 1, tredje afsnit, er personer, der er omfattet af denne lov, beføjede til ikke at gennemføre de kundelegitimationsprocedurer, som er fastsat i artikel 3, stk. 2, og i artikel 4, 5 og 6, for så vidt angår følgende kunder:

[...]

[...]

Økonomi- og finansministeren kan ved anordning udelukke, at der over for bestemte kunder anvendes lempede legitimationsprocedurer.

2.   Det kan ved bekendtgørelse tillades, at der anvendes lempede legitimationsprocedurer over for andre kunder, hvor der kun er begrænset risiko for hvidvaskning af penge eller finansiering af terrorisme.

3.   Personer, der er omfattet af denne lov, indsamler under alle omstændigheder tilstrækkelige oplysninger til at kunne fastslå, om en kunde kan komme i betragtning til at blive undtaget i henhold til denne artikel.«

38

Artikel 11 i lov nr. 10/2010 fastsætter:

»Personer, der er omfattet af denne lov, anvender, ud over de almindelige kundelegitimationsprocedurer, skærpede kundelegitimationsprocedurer, i de tilfælde, som er angivet i dette afsnit, og i alle andre tilfælde, som er fastsat ved bekendtgørelse på grund af en høj risiko for hvidvaskning af penge eller finansiering af terrorisme.

Personer, der er omfattet af denne lov, anvender ligeledes, på grundlag af en vurdering af risikoen, skærpede kundelegitimationsprocedurer i situationer, som i sig selv indebærer en øget risiko for hvidvaskning af penge eller finansiering af terrorisme. Privat bankvirksomhed, pengeoverførselstjenester og veksling af udenlandsk valuta anses under alle omstændigheder for at indebære en sådan risiko.

Der kan ved bekendtgørelse fastsættes nærmere bestemmelser om påkrævede skærpede legitimationsprocedurer inden for sektorer og forretningsområder, som indebærer en øget risiko for hvidvaskning af penge eller finansiering af terrorisme.«

39

Safe er et selskab, der varetager pengeoverførsel til andre medlemsstater end den, hvor det har hjemsted, eller til tredjelande via selskabets konti i kreditinstitutter.

40

Efter at have opdaget uregelmæssigheder vedrørende de agenter, som gennemførte pengeoverførsler via Safes konti i bankerne, anmodede disse Safe om oplysninger i medfør af lov nr. 10/2010. Da Safe afslog at give dem disse oplysninger, lukkede bankerne de konti, som Safe var indehaver af hos dem.

41

Det fremgår af de sagsakter, som er fremlagt for Domstolen, at BBVA den 11. maj 2011 meddelte disse uregelmæssigheder til det udøvende organ for den spanske centralbanks kommission for forebyggelse af hvidvaskning af penge og økonomisk kriminalitet (Servicio Ejecutivo de la Comisión de Prevención del Blanqueo de Capitales e Infracciones Monetarias del Banco de España, herefter »Sepblac«) og tilkendegav, at den mistænkte Safe for hvidvaskning af penge. Den 22. juli 2011 meddelte BBVA Safe, at selskabets konto hos denne bank uigenkaldeligt var blevet lukket.

42

Safe rejste indsigelse mod BBVA’s beslutning om at lukke selskabets konto og mod tilsvarende beslutninger truffet af de to andre banker for Juzgado de lo Mercantil no 5 de Barcelona (handelsret nr. 5 i Barcelona) med henvisning til, at lukningen af kontiene udgjorde illoyal konkurrence, som forhindrede selskabet i på sædvanlig måde at udøve sin virksomhed, der bestod i at overføre midler til andre stater end den, hvor det har hjemsted. Safe gjorde således gældende, at selskabet i henhold til lovgivningen var forpligtet til at have en bankkonto for at kunne gennemføre sådanne pengeoverførsler, hvilket det havde gjort via bankerne, og at det konkurrerede på markedet med bankerne. Safe anførte endvidere, at bankerne havde brugt bestemmelserne i lov nr. 10/2010 som påskud for at anmode selskabet om at udlevere oplysninger om dets kunder og om pengenes oprindelse og anvendelsesformål, hvilket bestrides af bankerne, og at udlevering af disse oplysninger til bankerne var i strid med den nationale lovgivning om beskyttelse af personoplysninger.

43

Bankerne svarede hertil, at de trufne foranstaltninger var i overensstemmelse med lov nr. 10/2010, at de var begrundede, navnlig på grund af risikoen i forbindelse med et instituts pengeoverførsel til andre stater end den, hvor det har hjemsted, og at de ikke var i strid med konkurrencelovgivningen.

44

Den 25. september 2012 frifandt Juzgado de lo Mercantil no 5 de Barcelona (handelsret nr. 5 i Barcelona) bankerne. Den fastslog, at disse havde ret til at anmode Safe om at anvende skærpede kundelegitimationsprocedurer og udlevere oplysninger vedrørende selskabets kunder på betingelse af, at de havde konstateret, at der forelå indicier for en tilsidesættelse af bestemmelserne i lov nr. 10/2010 i Safes handlemåde.

45

Nævnte ret undersøgte i hvert enkelt konkret tilfælde, om bankernes handlemåde var begrundet. Den fastslog derved, at ingen af bankerne havde overtrådt et specifikt forbud mod illoyal konkurrence, men at Sabadell og Liberbank til forskel fra BBVA havde handlet illoyalt ved ikke at give en begrundelse for de trufne foranstaltninger. Den fastslog derimod, at BBVA’s handlemåde var begrundet, fordi den var baseret på kontroller, der viste, at 22% af de overførsler, der blev gennemført via Safes konto i perioden fra den 1. september til den 30. november 2010, ikke blev gennemført af agenter, der var bemyndiget hertil af Safe og registreret hos den spanske centralbank. Hertil kom, at der i den pågældende periode blev foretaget overførsler af 1291 personer, hvilket langt oversteg antallet af Safes agenter. En sagkyndig erklæring havde desuden klarlagt de risici, som er forbundet med overførsler, der ikke gennemføres af identificerede agenter.

46

Safe, Sabadell og Liberbank har iværksat appel af denne dom for Audiencia Provincial de Barcelona (regional domstol i Barcelona), som behandler de tre appelsager samlet.

47

Ifølge den forelæggende ret er alle de implicerede parter omfattet af lov nr. 10/2010, da de hører ind under de kategorier, der er anført i denne lovs artikel 2, som indbefatter kreditinstitutter og betalingsinstitutter. Hertil kommer, at alle parterne konkurrerer på markedet og udøver samme virksomhed, nemlig pengeoverførsel til andre stater end den, hvor de har hjemsted. Betalingsinstitutter som Safe må dog udføre denne virksomhed via konti i kreditinstitutter som bankerne.

48

Safe har for den forelæggende ret for det første gjort gældende, at BBVA ikke var forpligtet til at anvende legitimationsprocedurer over for kunder, som er finansieringsinstitutter, fordi disse er undergivet direkte statsligt tilsyn, i det foreliggende tilfælde udøvet af den spanske centralbank. Safe har for det andet gjort gældende, at det i Spanien kun er Sepblac, som kan få adgang til oplysninger vedrørende betalingsinstitutters kunder. Selv hvis det lagdes til grund, at BBVA var forpligtet til at anvende sådanne legitimationsprocedurer, var denne bank for det tredje forpligtet til at foretage en detaljeret og udførlig undersøgelse af den politik, Safe fulgte med henblik på at overholde den relevante lovgivning, inden den iværksatte sådanne procedurer. I det foreliggende tilfælde havde BBVA begrænset sig til at indhente en sagkyndig erklæring, der var blevet udarbejdet på grundlag af denne banks oplysninger. For det fjerde finder lov nr. 10/2010 ikke anvendelse på personer, såsom agenter, der yder finansieringsinstitutter bistand i forbindelse med pengeoverførsler.

49

Sabadell har for den forelæggende ret påberåbt sig den omstændighed, at Juzgado de lo Mercantil no 5 de Barcelona (handelsret nr. 5 i Barcelona) i sin dom anerkendte, at Sabadell i princippet kunne anvende skærpede kundelegitimationsprocedurer, men fandt, at denne bank ikke kunne gøre det i det foreliggende tilfælde. Liberbank har gjort gældende, at lukningen af Safes konto var begrundet, fordi Safe ikke havde udleveret de oplysninger, som denne bank havde anmodet om.

50

Den forelæggende ret er af den opfattelse, at sagen rejser tre hovedspørgsmål vedrørende fortolkningen af hvidvaskningsdirektivets artikel 11, stk. 1.

51

For det første opstår spørgsmålet, om dette direktivs artikel 5, hvorefter medlemsstaterne på det område, der er omfattet af dette direktiv, kan vedtage eller opretholde strengere bestemmelser for at forhindre hvidvaskning af penge og finansiering af terrorisme, indebærer, at den nationale lovgiver kan anses for beføjet til at gennemføre den i samme direktivs artikel 11, stk. 1, fastsatte fravigelse eller undtagelse med en affattelse, der afviger fra indholdet heraf. I henhold til artikel 9, stk. 1, litra b), i lov nr. 10/2010 har personer, der er omfattet af denne lov, »beføjelse til ikke at anvende [almindelige] kundelegitimationsprocedurer« over for finansieringsinstitutter med hjemsted i Unionen eller i ækvivalente tredjelande, som er genstand for tilsyn med opfyldelsen af kundelegitimationskravene.

52

For det andet rejser fortolkningen af hvidvaskningsdirektivets artikel 11, stk. 1, sammenholdt med dets artikel 7, spørgsmålet, om det har været EU-lovgivers hensigt at fastsætte en egentlig ubetinget undtagelse fra kreditinstitutternes forpligtelse til at anvende kundelegitimationsprocedurer, når kunderne selv er omfattet af dette direktiv på grund af deres stilling som finansieringsinstitutter, der tillige er undergivet deres egen tilsynsordning.

53

For det tredje opstår spørgsmålet, om undtagelsen i den nævnte bestemmelse udelukkende omfatter legitimationsprocedurer, eller om den også omfatter skærpede legitimationsprocedurer.

54

I tilfælde af at hvidvaskningsdirektivets artikel 11, stk. 1, skal fortolkes således, at finansieringsinstitutter har ret til at anvende kundelegitimationsprocedurer eller skærpede kundelegitimationsprocedurer eller endog er forpligtede hertil, det være sig på grundlag af EU-lovgivningen eller national lovgivning, opstår der subsidiært andre spørgsmål.

55

Disse andre spørgsmål vedrører dels forholdet mellem hvidvaskningsdirektivets artikel 11, stk. 1, og betalingstjenestedirektivets artikel 21 og tager sigte på en fastlæggelse af grænserne for de legitimationsprocedurer og skærpede legitimationsprocedurer, som banker i givet fald kan anvende over for betalingsinstitutter. Dels vedrører de spørgsmålet, om betalingsinstitutters udlevering af kundeoplysninger til kreditinstitutter er i overensstemmelse med EU-retten, særlig direktivet om personoplysninger.

56

På denne baggrund har Audiencia Provincial de Barcelona (regional domstol i Barcelona) besluttet at udsætte sagen og forelægge Domstolen følgende præjudicielle spørgsmål:

57

Indledningsvis bemærkes, at det fremgår af de for Domstolen fremlagte sagsakter, at BBVA fik mistanke om hvidvaskning af penge eller finansiering af terrorisme efter at have opdaget nogle uregelmæssigheder med hensyn til oplysningerne om de agenter, som overførte midler via Safes konto i denne bank. BBVA anmodede Safe om oplysninger i medfør af lov nr. 10/2010, og da Safe afslog at udlevere disse oplysninger, lukkede BBVA selskabets konto. Mens denne lovs artikel 9 tillader anvendelse af lempede kundelegitimationsprocedurer over for finansieringsinstitutter, som er genstand for tilsyn med opfyldelsen af kundelegitimationskravene, skal der således i henhold til samme lovs artikel 11 på grundlag af en risikovurdering anvendes skærpede kundelegitimationsprocedurer i situationer, som indebærer en øget risiko for hvidvaskning af penge og finansiering af terrorisme. Blandt de situationer, som i sig selv indebærer en sådan risiko, er særlig pengeoverførselstjenester anført.

58

Med det første spørgsmål ønsker den forelæggende ret nærmere bestemt oplyst, om hvidvaskningsdirektivets artikel 5, artikel 7, artikel 11, stk. 1, og artikel 13 skal fortolkes således, at de ikke er til hinder for en national lovgivning som den i hovedsagen omhandlede, som dels tillader anvendelsen af almindelige legitimationsprocedurer over for kunder, som er finansieringsinstitutter, der er genstand for tilsyn med opfyldelsen af kundelegitimationskravene, dels pålægger institutter og personer, som er omfattet af nævnte direktiv, på grundlag af en risikovurdering at skærpe kundelegitimationsforanstaltningerne i situationer, som i sig selv indebærer en øget risiko for hvidvaskning af penge eller finansiering af terrorisme, såsom ved pengeoverførsler.

59

Hvidvaskningsdirektivet fastsætter i afdeling 1-3 i dets kapitel II med overskriften »Kundelegitimationskrav« tre typer af kundelegitimationsprocedurer, nemlig almindelige, lempede og skærpede procedurer.

60

I dette kapitels afdeling 1 med overskriften »Generelle bestemmelser« opregner hvidvaskningsdirektivets artikel 7, litra a)-d), de situationer, hvor institutter og personer, der er omfattet af dette direktiv, er forpligtede til at gennemføre almindelige kundelegitimationsprocedurer, fordi de anses for at indebære en risiko for hvidvaskning af penge eller finansiering af terrorisme, som kan forebygges ved at anvende de procedurer, som er fastsat i nævnte direktivs artikel 8 og 9. Der foreligger sådanne situationer, når der etableres forretningsforbindelser, når der udføres lejlighedsvise transaktioner på mindst 15000 EUR, når der er mistanke om hvidvaskning af penge eller finansiering af terrorisme, og når der er tvivl om, at tidligere indhentede oplysninger om kundens identitet er korrekte eller tilstrækkelige.

61

I de i den nævnte artikel 7 omhandlede situationer skal institutter og personer, som er omfattet af dette direktiv, gennemføre almindelige kundelegitimationsprocedurer, som i henhold til nævnte direktivs artikel 8, stk. 1, omfatter identifikation af kunden og kontrol af kundens identitet, eventuel identifikation af den reelle ejer, indhentning af oplysninger om forretningsforbindelsens formål og tilsigtede omfang og vedvarende kontrol med den eksisterende forretningsforbindelse og allerede gennemførte transaktioner. Som det fremgår af denne artikels stk. 2, kan omfanget af disse legitimationsprocedurer vedtages på grundlag af risikoen i forbindelse med kundekategorien, forretningsforbindelsen, produktet eller transaktionen.

62

I henhold til hvidvaskningsdirektivets artikel 9, stk. 6, skal medlemsstaterne kræve, at institutter og personer, der er omfattet af direktivet, gennemfører kundelegitimationsprocedurer over for ikke blot alle nye kunder, men også over for eksisterende kunder på passende tidspunkt på grundlag af en risikovurdering. I medfør af nævnte direktivs artikel 9, stk. 1, skal medlemsstaterne dog kræve, at kontrollen af kundens og den egentlige ejers identitet sker før etableringen af en forretningsforbindelse eller udførelse af en transaktion.

63

Hvidvaskningsdirektivets artikel 7-9 fastlægger dermed de omstændigheder, under hvilke EU-lovgiver har fundet det nødvendigt, at der i national lovgivning fastsættes almindelige legitimationsprocedurer med henblik på at undgå en risiko for hvidvaskning af penge eller finansiering af terrorisme.

64

I andre situationer, som bl.a. afhænger af kundekategorien, forretningsforbindelsen, produktet eller transaktionen, kan risikoen være lavere eller højere, som det fremgår af 10., 22. og 24. betragtning til hvidvaskningsdirektivet. Dette direktivs artikel 11 og 13 omhandler disse situationer og pålægger medlemsstaterne at sikre, at der anvendes forskellige niveauer for så vidt angår kundelegitimationsprocedurer.

65

Under visse betingelser, som er fastsat i hvidvaskningsdirektivets artikel 11, er det ikke nødvendigt at anvende de kundelegitimationsprocedurer, som er fastsat i dette direktivs artikel 8 og artikel 9, stk. 1, i situationer, hvor de i henhold til nævnte direktivs artikel 7, litra a), b) og d), i princippet ville skulle anvendes. Disse betingelser vedrører situationer, hvor EU-lovgiver har fundet, at der er en lavere risiko for hvidvaskning af penge eller finansiering af terrorisme på grund af navnlig kundens identitet eller værdien og indholdet af transaktionen eller produktet.

66

Dette er ifølge hvidvaskningsdirektivets artikel 11, stk. 1, særlig tilfældet, når en kunde hos et institut eller en person, der er omfattet af dette direktiv, selv er et i nævnte direktiv omhandlet kredit- eller finansieringsinstitut.

67

Det bemærkes dog, at hvidvaskningsdirektivets artikel 11, stk. 1, ikke fraviger dette direktivs artikel 7, litra c).

68

I medfør af denne bestemmelse, sammenholdt med nævnte direktivs artikel 11, stk. 1, skal der altid gennemføres kundelegitimationsprocedurer, når der er mistanke om hvidvaskning af penge eller finansiering af terrorisme, et begreb, der i øvrigt ikke er defineret i dette direktiv. Når der opstår en sådan mistanke, kan en medlemsstat dermed ikke tillade eller kræve, at der anvendes lempede kundelegitimationsprocedurer.

69

Det bemærkes endvidere, at den undtagelse, som er fastsat i hvidvaskningsdirektivets artikel 11, stk. 1, ikke er til hinder for en national lovgivning, hvorefter de pågældende institutter og personer skal skærpe legitimationsforanstaltningerne i medfør af dette direktivs artikel 13.

70

Nævnte direktivs artikel 11, stk. 1, tager således udelukkende sigte på at fravige de almindelige kundelegitimationsprocedurer, som er fastsat i afdeling 1 i dets kapitel II. Eftersom denne bestemmelse ikke henviser til hvidvaskningsdirektivets artikel 13, som indgår i dette kapitels afdeling 3, har den, som anført af generaladvokaten i punkt 94 i forslaget til afgørelse, ingen betydning for de kundelegitimationskrav, som gælder i tilfælde af en øget risiko. Institutter og personer, der er omfattet af dette direktiv, er endvidere kun bemyndigede til at anvende lempede legitimationsprocedurer »i overensstemmelse med en risikobaseret fremgangsmåde«, hvor det er formålstjenligt, som anført i 22. betragtning til nævnte direktiv. Det fremgår af 24. betragtning til samme direktiv, at der er tilfælde, hvor der, selv om alle kunders identitet og forretningsprofil bør fastlægges, er behov for særlig strenge kundelegitimations- og kontrolprocedurer på grund af større risiko for hvidvaskning af penge eller finansiering af terrorisme.

71

Hvis der foreligger en øget risiko for hvidvaskning af penge eller finansiering af terrorisme som omhandlet i hvidvaskningsdirektivets artikel 13, er den omstændighed, at kunden selv er et institut eller en person, der er omfattet af dette direktiv, ikke til hinder for, at en medlemsstat kan kræve, at der anvendes skærpede legitimationsprocedurer over for denne kunde som omhandlet i nævnte direktivs artikel 13.

72

I medfør af hvidvaskningsdirektivets artikel 13 skal medlemsstaterne pålægge de institutter og personer, der er omfattet af dette direktiv, at skærpe kundelegitimationsforanstaltningerne på grundlag af en vurdering af risikoen, ud over de foranstaltninger, der er omhandlet i nævnte direktivs artikel 7 og 8 og artikel 9, stk. 6, bl.a. i situationer, som i sig selv indebærer en øget risiko for hvidvaskning af penge eller finansiering af terrorisme, og i hvert fald i de situationer, der er beskrevet i denne artikels stk. 2-4.

73

Det følger af udtrykket »i hvert fald«, at selv om hvidvaskningsdirektivets artikel 13 opregner bestemte situationer, hvor medlemsstaterne skal foreskrive anvendelsen af skærpede legitimationsprocedurer, er denne opregning imidlertid ikke udtømmende. Medlemsstaterne råder over en betydelig skønsmargen ved gennemførelsen af dette direktiv med hensyn til, hvordan forpligtelsen til at fastsætte skærpede legitimationsprocedurer gennemføres på en formålstjenlig måde, og at fastlægge såvel de situationer, hvor der foreligger en sådan øget risiko, som legitimationsprocedurerne.

74

Selv om et instituts gennemførelse af pengeoverførsler til andre stater end den, hvor det har hjemsted, ikke er anført i hvidvaskningsdirektivets artikel 13, stk. 2-4, er denne artikel, som generaladvokaten har anført i punkt 95 i forslaget til afgørelse, ikke til hinder for, at medlemsstaterne i deres nationale lovgivning på grundlag af en risikobaseret tilgang identificerer andre situationer, som i sig selv indebærer en øget risiko og dermed begrunder eller endog kræver, at der, ud over almindelige legitimationsprocedurer, anvendes skærpede legitimationsprocedurer.

75

Uanset undtagelsen i hvidvaskningsdirektivets artikel 11, stk. 1, skal medlemsstaterne i henhold til dette direktivs artikel 7 og 13 sikre, at institutter og personer, der er omfattet af nævnte direktiv, i situationer, der vedrører kunder, som selv er institutter eller personer, der er omfattet af hvidvaskningsdirektivet, gennemfører almindelige kundelegitimationsprocedurer i medfør af dette direktivs artikel 7, litra c), og skærpede kundelegitimationsprocedurer i medfør af nævnte direktivs artikel 13 i situationer, som i sig selv indebærer en øget risiko for hvidvaskning af penge eller finansiering af terrorisme.

76

Hvad endelig angår artikel 9 i lov nr. 10/2010, som tillader anvendelse af almindelige kundelegitimationsprocedurer over for finansieringsinstitutter, selv uden at der foreligger en mistanke om eller en øget risiko for hvidvaskning af penge og finansiering af terrorisme som omhandlet i hvidvaskningsdirektivets artikel 7, litra c) og artikel 13, skal der henvises til, at hvidvaskningsdirektivet kun foretager en minimumsharmonisering, og at medlemsstaterne, selv når de har gennemført dette direktivs artikel 7, 11 og 13 korrekt i national ret, i henhold til nævnte direktivs artikel 5 har mulighed for at vedtage eller opretholde strengere bestemmelser, når disse bestemmelser har til formål at styrke bekæmpelsen af hvidvaskning af penge og finansiering af terrorisme (jf. i denne retning dom Jyske Bank Gibraltar, C-212/11, EU:C:2013:270, præmis 61).

77

Det bemærkes endvidere, at de i hvidvaskningsdirektivets artikel 5 omhandlede »strengere bestemmelser« kan vedrøre situationer, for hvilke dette direktiv fastsætter en bestemt type kundelegitimationsprocedurer, og tillige andre situationer, som efter medlemsstaternes opfattelse indebærer en risiko.

78

Hvidvaskningsdirektivets artikel 5 indgår i dets kapitel I med overskriften »Emne, anvendelsesområde og definitioner« og finder anvendelse på alle bestemmelser på det område, som er omfattet af dette direktiv med henblik på at forebygge hvidvaskning af penge og finansiering af terrorisme. Heraf følger, at anvendelsesområdet for denne artikel ikke er begrænset til bestemmelserne i nævnte direktivs kapitel II med overskriften »Kundelegitimationskrav«. En medlemsstat kan således fastsætte, at et kreditinstitut skal gennemføre kundelegitimationsprocedurer over for et betalingsinstitut, selv om betingelserne i hvidvaskningsdirektivets artikel 11, stk. 1, er opfyldt, og dermed selv når der ikke foreligger nogen mistanke som omhandlet i dette direktivs artikel 7, litra c), og i andre situationer end dem, der er anført i nævnte direktivs artikel 7 og 13.

79

Idet hvidvaskningsdirektivets artikel 5 bestemmer, at medlemsstaterne på det område, der er omfattet af dette direktiv, kan vedtage eller opretholde strengere bestemmelser for at forhindre hvidvaskning af penge og finansiering af terrorisme, giver denne artikel ikke medlemsstaterne en mulighed for eller en forpligtelse til at lovgive i medfør af EU-retten, men begrænser sig til – til forskel fra de bestemmelser, som er fastsat i nævnte direktivs kapitel II – at anerkende medlemsstaternes beføjelse til i medfør af national ret at fastlægge sådanne strengere bestemmelser uden for rammerne af den ved dette direktiv indførte ordning (jf. analogt dom Julián Hernández m.fl., C-198/13, EU:C:2014:2055, præmis 44).

80

Henset til ovenstående betragtninger skal det første spørgsmål besvares således:

81

Med det andet spørgsmål, litra a), ønsker den forelæggende ret nærmere bestemt oplyst, hvordan hvidvaskningsdirektivet skal fortolkes for så vidt angår grænserne for kreditinstitutters beføjelser i medfør af dette direktiv over for betalingsinstitutter, som er deres kunder, og som i øvrigt er omfattet af nævnte direktiv og af betalingstjenestedirektivet. Med det andet spørgsmål, litra c), nr. ii), ønsker retten nærmere bestemt oplyst, om hvidvaskningsdirektivet skal fortolkes således, at et kreditinstitut kan foretage en vurdering af de kundelegitimationsprocedurer, som anvendes af et betalingsinstitut.

82

Det bemærkes, at det fremgår af forelæggelsesafgørelsen, at disse spørgsmål vedrører en samlet fortolkning af hvidvaskningsdirektivet og betalingstjenestedirektivet, særlig sidstnævntes artikel 21, som fastlægger nationale myndigheders tilsynsbeføjelser over for betalingsinstitutter. Den forelæggende ret rejser spørgsmålet om rækkevidden af den beføjelse, som kan tildeles kreditinstitutter med hensyn til tilsyn med betalingsinstitutters transaktioner. Det er dens opfattelse, at betalingstjenestedirektivet kun tildeler den kompetente nationale myndighed, i det foreliggende tilfælde Sepblac, denne tilsynsbeføjelse, men den rejser spørgsmålet, om hvidvaskningsdirektivet ikke indirekte tillægger banker en vis tilsynsbeføjelse over for betalingsinstitutter gennem muligheden for at anvende skærpede kundelegitimationsprocedurer.

83

I denne henseende skal det fremhæves, at hvidvaskningsdirektivet omhandler de krav vedrørende kundelegitimation, som påhviler institutter og personer, der er omfattet af dette direktiv. Nævnte direktivs artikel 8, stk. 1, fastlægger således de aspekter af en forretningsforbindelse, som institutter og personer, der er omfattet af samme direktiv, skal indhente oplysninger om.

84

I henhold til hvidvaskningsdirektivets artikel 9, stk. 5, første afsnit, kræver medlemsstaterne, at det pågældende institut eller den pågældende person i tilfælde, hvor dette direktivs artikel 8, stk. 1, litra a)-c), ikke kan opfyldes, ikke må udføre transaktioner via en bankkonto, etablere forretningsforbindelsen eller udføre transaktionen eller skal bringe forretningsforbindelsen til ophør. Som følge heraf er anvendelsen af en foranstaltning såsom at bringe en forretningsforbindelse til ophør som omhandlet i hvidvaskningsdirektivets artikel 9, stk. 5, første afsnit, en konsekvens af, at et institut eller en person, der er omfattet af dette direktiv, ikke er i stand til at opfylde de legitimationskrav, som påhviler det pågældende institut eller den pågældende person i medfør af nævnte direktivs artikel 8, stk. 1, litra a)-c), som gennemført af medlemsstaterne.

85

Anvendelsen af hvidvaskningsdirektivets artikel 9, stk. 5, afhænger ikke af, hvad der er årsagen til, at et institut eller en person, der er omfattet af dette direktiv, ikke kan opfylde de legitimationskrav, som er fastsat i nævnte direktivs artikel 8, stk. 1, litra a)-c). Det er derfor ikke nødvendigt for at udløse de konsekvenser, der er fastsat i nævnte direktivs artikel 9, stk. 5, at en kunde hos et institut eller en person, der er omfattet af hvidvaskningsdirektivet, ikke samarbejder ved at udlevere oplysninger, der sætter det pågældende institut eller den pågældende person i stand til at overholde de nationale bestemmelser, som gennemfører dette direktivs artikel 8.

86

Ikke desto mindre skal institutter og personer, der er omfattet af hvidvaskningsdirektivet, i henhold til dette direktivs artikel 8, stk. 2, kunne godtgøre over for de i nævnte direktivs artikel 37 omhandlede kompetente myndigheder, at omfanget af de foranstaltninger, der træffes med henblik på at opfylde kundelegitimationskravene, hvis omfang kan vedtages på grundlag af risikoen i forbindelse med kundekategorien, forretningsforbindelsen, produktet eller transaktionen, må anses for at være passende i betragtning af risikoen for hvidvaskning af penge og finansiering af terrorisme.

87

I denne henseende skal sådanne foranstaltninger have en konkret sammenhæng med risikoen for hvidvaskning af penge og finansiering af terrorisme og stå i et rimeligt forhold til denne risiko. Heraf følger, at anvendelsen af en foranstaltning som at bringe en forretningsforbindelse til ophør som omhandlet i hvidvaskningsdirektivets artikel 9, stk. 5, første afsnit, ikke bør finde sted, henset til nævnte direktivs artikel 8, stk. 2, når der ikke foreligger tilstrækkelige oplysninger vedrørende risikoen for hvidvaskning af penge og finansiering af terrorisme.

88

I øvrigt skal de kompetente nationale myndigheder i henhold til hvidvaskningsdirektivets artikel 37 effektivt overvåge og træffe de nødvendige foranstaltninger for at sikre, at kravene i dette direktiv overholdes af institutter og personer, der er omfattet af dette direktiv, herunder kreditinstitutter og betalingsinstitutter, som anvender legitimationsprocedurer over for en af deres kunder.

89

Heraf følger, at de kundelegitimationskrav og den underretningspligt, som påhviler kreditinstitutter, på den ene side og de tilsyns- og overvågningsforanstaltninger, som henhører under de kompetente nationale myndigheder, på den anden side udgør en samlet helhed af forebyggende og afskrækkende foranstaltninger med henblik på effektivt at bekæmpe hvidvaskning af penge og finansiering af terrorisme samt at bevare det finansielle systems soliditet og integritet.

90

I modsætning til, hvad Safe har gjort gældende, indebærer dette imidlertid ikke, at institutter og personer, der er omfattet af hvidvaskningsdirektivet, når de handler i medfør af de nationale love, som gennemfører dette direktivs artikel 8 og 9, overtager den tilsynsrolle, som er forbeholdt de kompetente myndigheder.

91

Det betyder heller ikke, at institutter og personer, der er omfattet af hvidvaskningsdirektivet, må underminere de tilsynsopgaver, som de kompetente myndigheder i henhold til betalingstjenestedirektivets artikel 21 skal varetage over for betalingsinstitutter med henblik på at kontrollere overholdelsen af bestemmelserne i dette direktivs afsnit II med overskriften »Udbydere af betalingstjenester«, og sætte sig i de nævnte tilsynsmyndigheders sted.

92

Selv om institutter og personer, der er omfattet af hvidvaskningsdirektivet, skal anvende de kundelegitimationsprocedurer, som er omhandlet i dette direktivs artikel 8, sammenholdt med samme direktivs artikel 11 og i givet fald dets artikel 13, og for så vidt kan være foranlediget til at tage de legitimationsforanstaltninger, som deres kunder anvender i deres procedurer, i betragtning, er tilsyns- og kontrolforanstaltninger ikke desto mindre i henhold til betalingstjenestedirektivets artikel 17 og 21 og hvidvaskningsdirektivets artikel 36 og 37 forbeholdt de kompetente myndigheder.

93

Det andet spørgsmål, litra a) og litra c), nr. ii), skal derfor besvares med, at hvidvaskningsdirektivet skal fortolkes således, at institutter og personer, der er omfattet af dette direktiv, ikke må underminere den opgave med at føre tilsyn med betalingsinstitutter, som i henhold til betalingstjenestedirektivets artikel 21 påhviler de kompetente myndigheder, og ikke må sætte sig i disse myndigheders sted. Hvidvaskningsdirektivet skal fortolkes således, at selv om et finansieringsinstitut inden for rammerne af den forpligtelse til at føre tilsyn med kunderne, som påhviler det, kan tage de legitimationsprocedurer i betragtning, som anvendes af et betalingsinstitut over for dettes egne kunder, skal alle legitimationsprocedurer, som det anvender, afpasses efter risikoen for hvidvaskning af penge og finansiering af terrorisme.

94

Med det andet spørgsmål, litra b) og litra c), nr. i) og iii), ønsker den forelæggende ret, for det tilfælde, at hvidvaskningsdirektivets artikel 11, stk. 1, ikke er til hinder for, at en medlemsstat kan tillade, at et kreditinstitut anvender andre end lempede legitimationsprocedurer over for et betalingsinstitut, som er dets kunde, nærmere bestemt oplyst, om nævnte direktivs artikel 5 og 13 skal fortolkes således, at når en medlemsstat anvender enten den skønsbeføjelse, som tilkommer den i medfør af denne artikel 13, eller den i denne artikel 5 omhandlede beføjelse, da kan et kreditinstituts anvendelse af skærpede kundelegitimationsprocedurer over for et betalingsinstitut, som er dets kunde, ske på grundlag af typen af den almindelige virksomhed, som udøves af dette betalingsinstitut, i det foreliggende tilfælde pengeoverførsel, eller om det er nødvendigt at konstatere en særlig adfærd med hensyn til nævnte instituts transaktioner, der giver anledning til mistanke om deltagelse i hvidvaskning af penge eller finansiering af terrorisme.

95

Dette spørgsmål er opstået inden for rammerne af en sag, der angår institutter, som er omfattet af hvidvaskningsdirektivet, og som har anvendt legitimationsprocedurer over for en kunde, et betalingsinstitut, på grundlag af national lovgivning, som finder anvendelse på situationer, der af den nationale lovgiver er identificeret som situationer, der indebærer en høj risiko, i det foreliggende tilfælde ydelse af pengeoverførselstjenester, og som ikke er anført i dette direktivs artikel 13. Nævnte spørgsmål vedrører omstændigheder, under hvilke en medlemsstat har anvendt enten den skønsbeføjelse, som tilkommer den i medfør af denne artikel med hensyn til anvendelsen af skærpede kundelegitimationsprocedurer over for et betalingsinstitut, eller den i nævnte direktivs artikel 5 omhandlede beføjelse til i national lovgivning at tillade kreditinstitutter at anvende eller ikke at anvende lempede legitimationsprocedurer over for kunder, som er betalingsinstitutter, og at anvende de legitimationsprocedurer over for disse, som de finder mest egnede.

96

I denne henseende bemærkes, at den pågældende medlemsstat herved ikke desto mindre skal udøve denne beføjelse under overholdelse af EU-retten, herunder de grundlæggende friheder, som er sikret ved traktaten (jf. analogt dom Jyske Bank Gibraltar, C-212/11, EU:C:2013:270, præmis 49).

97

Med henblik på at efterprøve, om EU-retten er overholdt, skal det undersøges, om artikel 56 TEUF ikke er til hinder for en national lovgivning som den i hovedsagen omhandlede, der fastsætter anvendelse af andre end lempede legitimationsprocedurer over for et betalingsinstitut som Safe, der varetager pengeoverførsler til andre medlemsstater end den, hvor det har hjemsted, via dets konti i kreditinstitutter.

98

Det fremgår af Domstolens faste praksis, at artikel 56 TEUF ikke blot kræver afskaffelse af enhver form for forskelsbehandling til skade for en tjenesteyder på grundlag af dennes nationalitet eller på grundlag af den omstændighed, at den pågældende har hjemsted i en anden medlemsstat end den, hvor ydelsen skal udføres, men også ophævelse af enhver restriktion, selv hvis den gælder uden forskel for såvel indenlandske tjenesteydere som tjenesteydere fra andre medlemsstater, der kan være til hinder for eller indebære ulemper for den virksomhed, som udøves af en tjenesteyder med hjemsted i en anden medlemsstat, hvor den pågældende lovligt leverer tilsvarende tjenesteydelser, eller kan gøre denne virksomhed mindre tiltrækkende (dom Jyske Bank Gibraltar, C-212/11, EU:C:2013:270, præmis 58 og den deri nævnte retspraksis). Desuden er artikel 56 TEUF til hinder for anvendelsen af nationale bestemmelser, som bevirker, at udveksling af tjenesteydelser som omhandlet i artikel 57 TEUF mellem medlemsstater bliver vanskeligere end levering af tjenesteydelser internt i en medlemsstat (domme Cipolla m.fl., C-94/04 og C-202/04, EU:C:2006:758, præmis 57, og Kommissionen mod Belgien, C-296/12, EU:C:2014:24, præmis 29).

99

En national lovgivning som den i hovedsagen omhandlede, der fastsætter anvendelse af andre end lempede legitimationsprocedurer over for et betalingsinstitut, medfører yderligere omkostninger og vanskeligheder i forbindelse med ydelse af tjenester i form af varetagelse af pengeoverførsler, ud over de legitimationskrav, som dette betalingsinstitut selv skal opfylde i medfør af hvidvaskningsdirektivet. Navnlig på grund af udgifterne til oversættelse af data med en grænseoverskridende dimension vil byrden som følge af anvendelsen af disse yderligere legitimationsprocedurer kunne være større, når der foreligger en grænseoverskridende pengeoverførsel, og derfor kunne afholde nævnte betalingsinstitut fra at yde nævnte tjenester i en sådan sammenhæng.

100

Ifølge Domstolens faste praksis kan en national lovgivning, der vedrører et område, som ikke er genstand for en fuldstændig harmonisering på EU-plan, og som gælder uden forskel for enhver person eller ethvert selskab, der driver virksomhed på den pågældende medlemsstats område, til trods for dens restriktive virkning på den frie udveksling af tjenesteydelser imidlertid begrundes, for så vidt som den tilgodeser et tvingende alment hensyn, der ikke allerede tilgodeses i kraft af de bestemmelser, tjenesteyderen er undergivet i den medlemsstat, hvor denne er etableret, forudsat at lovgivningen er egnet til at sikre virkeliggørelsen af det mål, den forfølger, og ikke går ud over, hvad der er nødvendigt for at opfylde dette mål (jf. domme Kommissionen mod Østrig, C-168/04, EU:C:2006:595, præmis 37, og Jyske Bank Gibraltar, C-212/11, EU:C:2013:270, præmis 60).

101

Det skal derfor undersøges, under hvilke betingelser en lovgivning som den i hovedsagen omhandlede opfylder disse krav.

102

I denne henseende skal der for det første henvises til, at bekæmpelse af hvidvaskning af penge og finansiering af terrorisme udgør et legitimt mål, som vil kunne begrunde en hindring for den frie udveksling af tjenesteydelser (dom Jyske Bank Gibraltar, C-212/11, EU:C:2013:270, præmis 62-64 og 85 og den deri nævnte retspraksis).

103

Domstolen har allerede fastslået, at målet om at bekæmpe anvendelsen af det finansielle system til hvidvaskning af penge eller finansiering af terrorisme, der er grundlaget for hvidvaskningsdirektivet, skal afvejes i forhold til beskyttelsen af andre interesser, herunder den frie udveksling af tjenesteydelser. I dom Jyske Bank Gibraltar (C-212/11, EU:C:2013:270, præmis 49, 59 og 60) fandt Domstolen således i det væsentlige, at begrænsninger af den frie udveksling af tjenesteydelser som følge af en oplysningspligt kan tillades, for så vidt som en sådan forpligtelse har til formål – under overholdelse af EU-retten – at styrke effektiviteten af bekæmpelsen af hvidvaskning af penge og finansiering af terrorisme.

104

For det andet er en national lovgivning som den i hovedsagen omhandlede egnet til at sikre virkeliggørelsen af det forfulgte mål, hvis den bidrager til at mindske risikoen og tilgodeser hensynet til at nå dette mål på en sammenhængende og systematisk måde. En sådan national lovgivning opfylder disse krav, når den gennem en passende risikovurdering, herunder vedrørende kunder, der er betalingsinstitutter, identificerer en øget risiko knyttet til eksempelvis en bestemt kategori af kunder, lande, produkter eller transaktioner og på dette grundlag tillader eller endog pålægger institutter og personer, der er omfattet af hvidvaskningsdirektivet, på grundlag af deres egen individualiserede risikovurdering at anvende passende kundelegitimationsprocedurer.

105

For det tredje er det nødvendigt for at afgøre, om en sådan national lovgivning er forholdsmæssig, at fastslå, hvilket beskyttelsesniveau den pågældende medlemsstat ønsker i forhold til det risikoniveau, som er identificeret med hensyn til hvidvaskning af penge eller finansiering af terrorisme.

106

Det fremgår af hvidvaskningsdirektivet, særlig dets artikel 5 og artikel 13, stk. 1, samt 24. betragtning hertil, at medlemsstaterne kan fastlægge et beskyttelsesniveau, der er højere end det, EU-lovgiver har valgt, og tillade eller kræve andre kundelegitimationsprocedurer end dem, der er fastsat i dette direktiv i medfør af den i denne artikel 5 omhandlede beføjelse, eller identificere andre situationer, der indebærer en øget risiko, inden for rammerne af den skønsbeføjelse, som tilkommer dem i henhold til nævnte artikel 13. Medlemsstaterne kan herved navnlig identificere de særlige foranstaltninger, der skal anvendes i visse specifikke situationer, eller give institutter og personer, der er omfattet af nævnte direktiv, en skønsmæssig beføjelse til på grundlag af en passende risikovurdering at anvende de foranstaltninger, der vurderes at stå i et rimeligt forhold til den risiko, som en bestemt situation indebærer.

107

Under alle omstændigheder skal medlemsstaterne sikre, at de skærpede kundelegitimationsprocedurer, som vil kunne anvendes, beror på en vurdering af, om og i hvilken grad der foreligger en risiko for hvidvaskning af penge eller finansiering af terrorisme med hensyn til, efter omstændighederne, en kunde, en forretningsforbindelse, en konto, et produkt eller en transaktion. Uden en sådan vurdering er det ikke muligt for hverken den pågældende medlemsstat eller i givet fald et institut eller en person, der er omfattet af hvidvaskningsdirektivet, at afgøre, hvilke foranstaltninger der skal anvendes i det enkelte konkrete tilfælde. Hvis der ikke foreligger en risiko for hvidvaskning af penge eller finansiering af terrorisme, er det endelig ikke muligt at iværksætte forebyggende foranstaltninger af disse grunde.

108

Denne risikovurdering skal i det mindste tage alle relevante faktiske omstændigheder i betragtning, der vil kunne godtgøre risikoen for en af de typer af adfærd, der anses for at udgøre hvidvaskning af penge eller finansiering af terrorisme.

109

Om en national lovgivning er forholdsmæssig, afhænger desuden af, i hvilken grad de kundelegitimationsprocedurer, som den fastsætter, griber ind i andre rettigheder og interesser, der er beskyttet i medfør af EU-retten, såsom beskyttelsen af personoplysninger som omhandlet i chartrets artikel 8 og princippet om fri konkurrence mellem personer, der opererer på det samme marked. Når en medlemsstat påberåber sig tvingende almene hensyn for at begrunde retsforskrifter, som kan begrænse den frie udveksling af tjenesteydelser, skal denne begrundelse, som er hjemlet i EU-retten, således fortolkes i lyset af de almindelige EU-retlige principper, herunder de grundlæggende rettigheder, der nu er sikret ved chartret. De omhandlede nationale retsforskrifter kan derfor kun omfattes af de fastsatte undtagelser, såfremt de er i overensstemmelse med de grundlæggende rettigheder, hvis overholdelse Domstolen skal sikre (jf. domme ERT, C-260/89, EU:C:1991:254, præmis 43, og Pfleger m.fl., C-390/12, EU:C:2014:281, præmis 35). Der skal foretages en afvejning af målene med denne lovgivning over for disse andre legitime interesser.

110

Endelig afhænger spørgsmålet, om en national bestemmelse er forholdsmæssig, af, om der findes mindre restriktive midler til at opnå det samme beskyttelsesniveau. I denne henseende bemærkes, at den i hovedsagen omhandlede nationale lovgivning generelt forudsætter, at pengeoverførsler altid indebærer en øget risiko, uden at fastsætte en mulighed for at afkræfte denne risikoformodning for så vidt angår pengeoverførsler, der objektivt ikke indebærer en sådan risiko. Således forekommer navnlig en lovgivning, som fastsætter en sådan mulighed, mindre restriktiv, samtidig med at den gør det muligt at opnå det beskyttelsesniveau, som den pågældende medlemsstat ønsker.

111

Det andet spørgsmål, litra b) og litra c), nr. i) og iii), skal herefter besvares med, at hvidvaskningsdirektivets artikel 5 og 13 skal fortolkes således, at en national lovgivning som den i hovedsagen omhandlede, som er vedtaget under anvendelse af enten den skønsbeføjelse, som i medfør af dette direktivs artikel 13 tilkommer medlemsstaterne, eller den i nævnte direktivs artikel 5 omhandlede beføjelse, skal være forenelig med EU-retten, herunder med de grundlæggende friheder, som sikres ved traktaterne. Selv om en sådan national lovgivning med henblik på at bekæmpe hvidvaskning af penge eller finansiering af terrorisme forfølger et legitimt mål, som kan begrunde en begrænsning af de grundlæggende friheder, og selv om den omstændighed, at det forudsættes, at pengeoverførsler, som foretages af et institut, der er omfattet af nævnte direktiv, til andre stater end den, hvor det har hjemsted, altid indebærer en øget risiko for hvidvaskning af penge eller finansiering af terrorisme, er egnet til at sikre virkeliggørelsen af nævnte mål, går denne lovgivning imidlertid ud over, hvad der nødvendigt for at opnå det mål, som den forfølger, for så vidt som den formodning, som den opstiller, finder anvendelse på enhver pengeoverførsel uden at fastsætte en mulighed for at afkræfte den for så vidt angår pengeoverførsler, som objektivt ikke indebærer en sådan risiko.

112

Med det tredje spørgsmål, litra b), ønsker den forelæggende ret nærmere bestemt oplyst, om direktivet om personoplysninger skal fortolkes således, at det er til hinder for, at medlemsstaterne forpligter betalingsinstitutter til at udlevere oplysninger vedrørende deres kunders identitet til kreditinstitutter, som konkurrerer direkte med dem, inden for rammerne af de skærpede kundelegitimationsprocedurer, som de anvender. Med det tredje spørgsmål, litra a), ønskes oplyst, om skærpede kundelegitimationsprocedurer kan bestå i at kræve udlevering af oplysninger vedrørende identiteten af samtlige kunder i betalingsinstituttet, fra hvem de overførte midler hidrører, og vedrørende identiteten af modtagerne af disse midler.

113

Det fremgår af forelæggelsesafgørelsen, at det med disse spørgsmål ønskes oplyst, om kundelegitimationsprocedurer og skærpede kundelegitimationsprocedurer henset til direktivet om personoplysninger kan udgøre et undtagelsestilfælde, som gør det muligt at videregive personoplysninger. Den forelæggende ret ønsker navnlig oplyst, hvilke oplysninger der i givet fald kan videregives af betalingsinstitutter efter anmodning fra kreditinstitutter på grundlag af hvidvaskningsdirektivets bestemmelser, og i hvilke situationer en sådan videregivelse kan finde sted.

114

Som det fremgår af fast retspraksis og afspejles i artikel 94 i Domstolens procesreglement, er det inden for rammerne af det samarbejde mellem Domstolen og de nationale retter, som er indført ved artikel 267 TEUF, påkrævet for at opnå en fortolkning af EU-retten, som den nationale ret kan bruge, at denne giver en beskrivelse af de faktiske omstændigheder og de regler, som de forelagte spørgsmål hænger sammen med, eller i hvert fald forklarer de faktiske forhold, der er baggrunden for dens spørgsmål (jf. i denne retning dom Azienda sanitaria locale n. 5 »Spezzino« m.fl., C-113/13, EU:C:2014:2440, præmis 47). Domstolen har således alene kompetence til at træffe afgørelse vedrørende fortolkningen af en EU-retlig forskrift på grundlag af de faktiske omstændigheder, således som de er beskrevet af den nationale ret (kendelse Argenta Spaarbank, C-578/14, EU:C:2015:372, præmis 14).

115

Den forelæggende ret skal ligeledes angive de præcise grunde til, at den finder, at der er tvivl om fortolkningen af visse EU-retlige bestemmelser, og finder det nødvendigt at forelægge Domstolen præjudicielle spørgsmål. Domstolen har allerede fastslået, at det er nødvendigt, at den nationale ret i det mindste i et vist omfang angiver begrundelsen for valget af de EU-retlige bestemmelser, som den ønsker fortolket, og angiver den forbindelse, som efter dens opfattelse består mellem disse bestemmelser og den nationale lovgivning, der finder anvendelse i sagen (kendelser Equitalia Nord, C-68/14, EU:C:2015:57, præmis 14 og den deri nævnte retspraksis, og Argenta Spaarbank, C-578/14, EU:C:2015:372, præmis 15).

116

De i forelæggelsesafgørelserne givne oplysninger tjener således ikke blot til at sætte Domstolen i stand til at give hensigtsmæssige svar, men også til at give medlemsstaternes regeringer samt øvrige berørte mulighed for at afgive indlæg i henhold til artikel 23 i statutten for Den Europæiske Unions Domstol. Domstolen skal drage omsorg for, at denne mulighed sikres, når henses til, at det i henhold til den nævnte bestemmelse kun er forelæggelsesafgørelserne, der meddeles de pågældende (kendelse Argenta Spaarbank, C-578/14, EU:C:2015:372, præmis 16).

117

Det bemærkes imidlertid, at den forelæggende ret med det tredje spørgsmål generelt henviser til direktivet om personoplysninger uden tilstrækkelig præcist at angive, hvilke bestemmelser i dette direktiv der vil kunne være relevante for et hensigtsmæssigt svar fra Domstolen.

118

I øvrigt er spørgsmålet om indholdet af de oplysninger, som Safe anmodes om at udlevere inden for rammerne af de legitimationsprocedurer, som bankerne anvender på dette selskab, omstridt. Under retsforhandlingerne for Domstolen gjorde BBVA gældende, at denne bank aldrig har anmodet om personoplysninger vedrørende Safes kunder eller modtagerne af de overførte penge, men at den kun har anmodet om oplysninger vedrørende de agenter, der handler på vegne af Safe og derved anvender selskabets konti.

119

Det fremgår af fast retspraksis, at det inden for rammerne af samarbejdet i henhold til artikel 267 TEUF ikke tilkommer Domstolen, men den nationale ret at fastslå de faktiske omstændigheder, der har givet anledning til sagen, og hvilke konsekvenser disse har for den afgørelse, som retten skal træffe (jf. dom Accor, C-310/09, EU:C:2011:581, præmis 37 og den deri nævnte retspraksis).

120

På ovenstående baggrund kan det tredje spørgsmål ikke antages til realitetsbehandling.

121

Da sagens behandling i forhold til hovedsagens parter udgør et led i den sag, der verserer for den nationale ret, tilkommer det denne at træffe afgørelse om sagens omkostninger. Bortset fra nævnte parters udgifter kan de udgifter, som er afholdt i forbindelse med afgivelse af indlæg for Domstolen, ikke erstattes.

På grundlag af disse præmisser kender Domstolen (Femte Afdeling) for ret: