(1)

Enligt artikel 9a.2 i förordning (EU) nr 1093/2010 ska Europeiska bankmyndigheten (EBA) upprätta en central databas med information som samlas in i enlighet med artikel 9a.1 a i den förordningen, och hålla denna databas uppdaterad. Till följd av detta kommer de närmare bestämmelserna om hur informationen ska analyseras och i enlighet med artikel 9a.3 i den förordningen göras tillgänglig för de rapporterande myndigheterna på grundval av behovsenlig behörighet och konfidentialitet oundvikligen att hänga samman med de närmare bestämmelserna om upprättandet av denna centrala databas.

(2)

Det är nödvändigt att specificera de situationer där svagheter kan uppstå. Tillsyn är något som utan att påverka medlemsstaternas behörighet omfattar all relevant verksamhet som alla rapporterande myndigheter ska utföra i enlighet med de sektorsspecifika lagstiftningsakterna, och den är därför mångskiftande. Därför bör situationer där svagheter kan uppstå specificeras med beaktande av den tillsynsverksamhet som de olika rapporterande myndigheterna utför.

(3)

För att avgöra väsentlighetsgränsen för svagheter är det nödvändigt att fastställa en allmän definition och en icke uttömmande förteckning över kriterier för att närmare specificera denna definition. Det är nödvändigt att fastställa definitionen och förteckna kriterierna för att säkerställa, dels att den allmänna definitionen tillämpas på ett harmoniserat sätt, dels att alla väsentliga svagheter, i den mening som avses i den allmänna definitionen, fångas upp med beaktande av det specifika sammanhanget.

(4)

För att säkerställa att de rapporterande myndigheterna rapporterar svagheter till databasen i ett tidigt skede bör definitionen av väsentliga svagheter inte bara omfatta svagheter som avslöjar en betydande underlåtenhet att uppfylla tillämpliga krav i samband med bekämpning av penningtvätt och av terrorismfinansiering, utan även de svagheter som skulle kunna leda till en sådan underlåtenhet, även om underlåtenheten ännu inte föreligger. Detta motiveras också av det faktum att de myndigheter som efter bästa förmåga bör sända rapporter till databasen inte har samma tillgång till information och sakkunskap om bekämpning av penningtvätt och av terrorismfinansiering som de tillsynsmyndigheter som utsetts till behöriga enligt Europaparlamentets och rådets direktiv (EU) 2015/849 (2).

(5)

Vid fastställandet av vilken typ av uppgifter som ska lämnas måste man skilja mellan allmänna uppgifter, uppgifter om väsentliga svagheter och uppgifter om de åtgärder som vidtagits.

(6)

Vid fastställandet av vilken typ av uppgifter som ska ingå i de allmänna uppgifter som ska lämnas bör man ägna särskild uppmärksamhet åt finanssektorsaktörer som bedriver gränsöverskridande verksamhet, inbegripet sådana som ingår i en grupp för vilken ett kollegium har inrättats. För att säkerställa att de uppgifter som lämnas till EBA är jämförbara bör myndigheterna för bekämpning av penningtvätt och av terrorismfinansiering som en del av de allmänna uppgifterna också lämna in finanssektorsaktörens riskprofil med avseende på penningtvätt och terrorismfinansiering, utformad med hjälp av gemensamma kategorier.

(7)

Tillsynsmyndigheterna bör, som en del av de allmänna uppgifter som de ska sända in i sina rapporter, informera om resultatet av den relevanta riskbedömningen inom ramen för en tillsynsprocess eller annat liknande förfarande som påverkas av risken att finanssektorsaktören utför penningtvätt och finansierar terrorism, tillsammans med uppgifter om eventuella avslag på eller negativa slutliga bedömningar av ansökningar om tillstånd, om en sådan bedömning eller ett sådant beslut också grundar sig på risken för penningtvätt och terrorismfinansiering.

(8)

Då myndigheterna för bekämpning av penningtvätt och av terrorismfinansiering enligt direktiv (EU) 2015/849 har olika befogenheter i hem- respektive värdmedlemsstaten är det nödvändigt att klargöra att både hem- och värdmedlemsstatens myndigheter för bekämpning av penningtvätt och av terrorismfinansiering bör sända en rapport till EBA om de väsentliga svagheter som de har identifierat i utövandet av sina respektive befogenheter. Det är också nödvändigt att klargöra att de åtgärder som vidtas av värdmedlemsstatens myndighet för bekämpning av penningtvätt och av terrorismfinansiering bör lämnas in till databasen oberoende av eventuella anmälningar till motsvarande myndighet i hemmedlemsstaten.

(9)

Det är nödvändigt att säkerställa att EBA i praktiken kan utöva sin roll att leda, samordna och övervaka arbetet med att främja integritet, transparens och säkerhet i det finansiella systemet genom att fullt ut utnyttja alla sina befogenheter och verktyg enligt förordning (EU) nr 1093/2010 för att förhindra att systemet används för penningtvätt eller terrorismfinansiering, samtidigt som proportionalitetsprincipen respekteras. För att kunna analysera de uppgifter som lämnats in till databasen bör EBA därför kunna samköra dem med uppgifter från andra källor. EBA bör sträva efter att använda dessa uppgifter för att fullgöra alla sina uppgifter enligt förordning (EU) nr 1093/2010.

(10)

Denna förordning bör säkerställa att analysen av de uppgifter som lämnats in till databasen och gjorts tillgängliga för de rapporterande myndigheterna sker i samarbete med Europeiska försäkrings- och tjänstepensionsmyndigheten (Eiopa) och Europeiska värdepappers- och marknadsmyndigheten (Esma) i enlighet med principen om lojalt samarbete enligt artikel 4.3 i fördraget om Europeiska unionen, som specificeras närmare i artikel 2.4 i förordning (EU) nr 1093/2010, artikel 2.4 i Europaparlamentets och rådets förordning (EU) nr 1094/2010 (3) och artikel 2.4 i Europaparlamentets och rådets förordning (EU) nr 1095/2010 (4). Det bör särskilt anges att de uppgifter som EBA begär av dessa myndigheter, eller på annat sätt erhåller från dem, när så är lämpligt kan användas för analysen och att EBA bör förse Eiopa och Esma med dessa uppgifter, antingen på eget initiativ eller på deras begäran.

(11)

Det är nödvändigt att specificera hur uppgifterna bör göras tillgängliga för rapporterande myndigheter. I artikel 9a.2 i förordning (EU) nr 1093/2010 hänvisas allmänt till det faktum att EBA ska säkerställa att information görs tillgänglig för rapporterande myndigheter på grundval av behovsenlig behörighet och konfidentialitet, medan artikel 9a.3 i den förordningen specifikt hänvisar till motiverade begäranden. Båda bestämmelserna ingår i förfarandet för att göra information tillgänglig för rapporterande myndigheter. Därför bör de olika delarna av den motiverade begäran som EBA ska ta emot från de rapporterande myndigheterna också anges.

(12)

För att säkerställa respekt för proportionalitetsprincipen och undvika att samma uppgifter skickas flera gånger bör myndigheter för bekämpning av penningtvätt och av terrorismfinansiering som lämnar information om en åtgärd anses också lämna in de uppgifter som avses i artikel 62 i direktiv (EU) 2015/849, vad den åtgärden anbelangar. Det är dessutom nödvändigt att kräva att en myndighet för bekämpning av penningtvätt och av terrorismfinansiering eller en tillsynsmyndighet som lämnar uppgifter till den centrala databasen anger, som en del av sin inlämning, huruvida myndigheten redan har lämnat in en underrättelse enligt artikel 97.6 i Europaparlamentets och rådets direktiv 2013/36/EU (5).

(13)

För att den centrala databasen för bekämpning av penningtvätt och av terrorismfinansiering ska bli ett effektivt verktyg i kampen mot penningtvätt och terrorismfinansiering är det nödvändigt att säkerställa att de rapporterande myndigheterna lämnar sina uppgifter dit i rätt tid, och att dessa uppgifter är av god kvalitet. I detta syfte bör uppgifter om väsentliga svagheter och vidtagna åtgärder lämnas in utan onödigt dröjsmål, och så snart en kvalitetskontrollanalys har utförts bör de rapporterande myndigheterna utan onödigt dröjsmål svara på alla begäranden från EBA. Av samma skäl bör de rapporterande myndigheterna fortlöpande säkerställa att sådana uppgifter förblir korrekta, fullständiga, adekvata och aktuella, och att uppgifterna om väsentliga svagheter lämnas in oberoende av eventuella åtgärder som vidtagits som svar på dem.

(14)

För att säkerställa tidseffektiviteten och främja en konsekvent, systematisk och effektiv övervakning och riskbedömning i samband med penningtvätt och terrorismfinansiering i unionens finansiella system, bör den som sänder in eller begär information göra detta på engelska. Dock bör de styrkande handlingarna, om de inte finns tillgängliga på engelska, lämnas in på originalspråket och återföljas av en sammanfattning på engelska; detta för att säkerställa att proportionalitetsprincipen respekteras och för att de rapporterande myndigheterna inte ska belastas med orimliga kostnader.

(15)

Om driften av ett insättningsgarantisystem sköts av en privat enhet bör den utsedda myndighet som utövar tillsyn över systemet se till att systemet rapporterar till den utsedda myndigheten om de väsentliga svagheter som upptäcks under verksamhetens lopp.

(16)

Med tanke på det stora antalet rapporterande myndigheter som deltar och för att ta höjd för de betydande skillnaderna i rapporteringsfrekvens, eftersom vissa av dessa rapporterande myndigheter på grund av sitt tillsynsansvar sannolikt kommer att rapportera väsentliga svagheter och åtgärder för bekämpning av penningtvätt och av terrorismfinansiering mindre ofta än andra, och för att uppnå operativ effektivitet och kostnadseffektivitet både för EBA och de rapporterande myndigheterna, bör databasen vara sekventiellt utformad. På grundval av denna sekventiella utformning bör vissa rapporterande myndigheter ha direkt, och andra indirekt, tillgång till databasen.

(17)

Alla parter som deltar i informationsutbytet bör vara bundna av tystnadsplikt och sekretesskrav. Därför bör vidaredelning av uppgifter regleras genom särskilda bestämmelser, så att sekretessen bevaras.

(18)

Proportionalitetsprincipen bör respekteras vid behandling av uppgifter som rör fysiska personer när uppgifterna lämnas in, begärs, delas eller görs tillgängliga. I detta syfte är det nödvändigt att ange vilka av de behandlade uppgifterna som rör fysiska personer.

(19)

För att garantera effektiv drift av databasen och analys av de lagrade uppgifterna och säkerställa att databasen blir ett verkningsfullt verktyg i kampen mot penningtvätt och terrorismfinansiering bör EBA som en del av sin analys kunna samköra uppgifter som den tar emot i enlighet med denna förordning med andra uppgifter, som den får tillgång till när den utför andra uppgifter inom ramen för sitt mandat, som gäller enskilda finanssektorsaktörer vars väsentliga svagheter gör dem sårbara för penningtvätt eller terrorismfinansiering. För att säkerställa att uppgifterna är relevanta bör uppgifter som ska samköras och som innehåller personuppgifter omfattas av de uppgiftskategorier som förtecknas i bilaga II. Samkörning av personuppgifter bör endast ske i undantagsfall, och sådan databehandling får endast ske i syfte att nå målen med denna förordning. Uppgifterna kan behöva samköras för att man ska i) säkerställa att de uppgifter som erhållits från behöriga myndigheter är korrekta och fullständiga eller ii) göra det möjligt för EBA att i sin databas lägga in relevanta uppgifter av samma slag som de som överförs av de behöriga myndigheterna men som erhållits genom en annan kanal, t.ex. genom utredningar av potentiella överträdelser av unionsrätten i enlighet med artikel 17 i förordning (EU) nr 1093/2010.

Uppgifter om brottsmisstankar eller fällande domar mot kunder, verkliga huvudmän, medlemmar av ledningsorgan eller personer som innehar nyckelfunktioner kan vara en indikator på bristande ärlighet och integritet eller på risker för penningtvätt och terrorismfinansiering. Detta kan vara en betydande anledning eller en bidragande orsak till väsentliga svagheter i en finanssektorsaktörs styrformer, duglighet och lämplighet, ägare av kvalificerade innehav, affärsmodell eller verksamhet. De personuppgifter som anges i bilaga II får därför innehålla uppgifter om brottsmisstanke eller fällande domar i brottmål.

Endast de uppgifter som gäller väsentliga svagheter får ingå i databasen. Med tanke på att de väsentliga svagheterna enligt denna förordning endast avser betydande brister i efterlevnaden av krav avseende bekämpning av penningtvätt och av terrorismfinansiering säkerställer detta att behandlingen av uppgifterna enligt förordningen förblir begränsad till allvarliga överträdelser av just dessa krav, och därmed begränsas till vad som är nödvändigt och proportionerligt.

Alla personuppgifter som behandlas i samband med genomförandet av denna förordning bör hanteras i enlighet med unionens ram för dataskydd, inbegripet de principer som rör behandlingen, såsom laglighet, korrekthet och öppenhet, ändamålsbegränsning, uppgiftsminimering, riktighet, lagringsminimering, integritet och konfidentialitet samt ansvarsskyldighet.

(20)

Dataskyddslagstiftningen, särskilt Europaparlamentets och rådets förordning (EU) 2016/679 (6) och Europaparlamentets och rådets förordning (EU) 2018/1725 (7), är tillämplig på behandlingen av personuppgifter.

(21)

EBA, Esma, Eiopa och de rapporterande myndigheterna bör fastställa sina respektive ansvarsområden som gemensamt personuppgiftsansvariga för personuppgifter genom ett arrangemang dem emellan i enlighet med artikel 26 i förordning (EU) 2016/679 och artikel 86 i förordning (EU) 2018/1725, i den mån dessa ansvarsområden inte fastställs i den unionslagstiftning eller nationella lagstiftning som de omfattas av.

(22)

Europeiska datatillsynsmannen har hörts i enlighet med artikel 42.1 i förordning (EU) 2018/1725 och avgav formella kommentarer den 24 januari 2023.

(23)

Med tanke på att det mandat som anges i artikel 9a.1 i förordning (EU) nr 1093/2010, som gäller definitionen av svagheter och av väsentlighetsgränsen, specificeringen av situationer där svagheter kan uppstå och typen och det praktiska genomförandet av insamlingen av uppgifter, kompletterar det mandat som anges i punkt 3 i den artikeln, som gäller analysen av de insamlade uppgifterna och tillgängliggörandet på grundval av behovsenlig behörighet och konfidentialitet, bör de relevanta specifikationerna fastställas i en enda förordning.

(24)

Enligt artikel 9a i förordning (EU) nr 1093/2010 ska EBA samla in information om de åtgärder som vidtagits av de rapporterande myndigheterna som svar på väsentliga svagheter som identifierats. Med sådana åtgärder avses alla tillsynsåtgärder och administrativa åtgärder, sanktioner och påföljder, inbegripet förebyggande eller tillfälliga åtgärder, som vidtas av rapporterande myndigheter i samband med tillsynsverksamhet i enlighet med artikel 2.5 andra stycket i förordning (EU) nr 1093/2010, artikel 2.5 andra stycket i förordning (EU) nr 1094/2010 och artikel 2.5 andra stycket i förordning (EU) nr 1095/2010.

(25)

Denna förordning grundar sig på det förslag till tekniska tillsynsstandarder som EBA har överlämnat till kommissionen.

(26)

EBA har anordnat öppna offentliga samråd om det förslag till tekniska tillsynsstandarder som den här förordningen grundas på, analyserat de möjliga kostnaderna och fördelarna samt begärt råd från den intressentgrupp som inrättats i enlighet med artikel 37 i förordning (EU) nr 1093/2010.

1.

rapporterande myndigheter: de myndigheter som avses i punkterna 2–7 i denna artikel samt den gemensamma resolutionsnämnden.

2.

myndighet för bekämpning av penningtvätt och av terrorismfinansiering: den myndighet som anförtrotts uppdraget att säkerställa att finanssektorsaktörerna följer direktiv (EU) 2015/849.

3.

tillsynsmyndighet: den myndighet som anförtrotts uppdraget att säkerställa att en finanssektorsaktör följer det tillsynsregelverk som anges i någon av de lagstiftningsakter som avses i artikel 1.2 i förordning (EU) nr 1093/2010, artikel 1.2 i förordning (EU) nr 1094/2010 och artikel 1.2 i förordning (EU) nr 1095/2010 samt i nationell lagstiftning som införlivar de direktiv som avses i dessa bestämmelser, inbegripet Europeiska centralbanken i frågor som rör de uppgifter som den tilldelas genom rådets förordning (EU) nr 1024/2013 (8).

4.

myndighet med ansvar för betalningsinstitut: den myndighet som avses i artikel 22 i Europaparlamentets och rådets direktiv (EU) 2015/2366 (9).

5.

myndighet med ansvar för uppföranderegler: den myndighet som anförtrotts uppdraget att säkerställa att en finanssektorsaktör följer de uppföranderegler eller den konsumentskyddsram som anges i någon av de lagstiftningsakter som avses i artikel 1.2 i förordning (EU) nr 1093/2010, artikel 1.2 i förordning (EU) nr 1094/2010 och artikel 1.2 i förordning (EU) nr 1095/2010 samt i nationell lagstiftning som införlivar de direktiv som avses i de artiklarna.

6.

resolutionsmyndighet: resolutionsmyndighet enligt definitionen i artikel 2.1.18 i Europaparlamentets och rådets direktiv 2014/59/EU (10).

7.

utsedd myndighet: en utsedd myndighet enligt definitionen i artikel 2.1.18 i Europaparlamentets och rådets direktiv 2014/49/EU (11).

8.

krav avseende bekämpning av penningtvätt och av terrorismfinansiering: alla krav för att förebygga och förhindra att det finansiella systemet används för penningtvätt eller terrorismfinansiering, vilka åläggs en finanssektorsaktör i enlighet med de lagstiftningsakter som avses i artikel 1.2 i förordning (EU) nr 1093/2010, artikel 1.2 i förordning (EU) nr 1094/2010 och artikel 1.2 i förordning (EU) nr 1095/2010 samt i enlighet med nationell lagstiftning som införlivar de direktiv som avses i de artiklarna.

9.

åtgärd: varje tillsynsåtgärd och administrativa åtgärd, sanktion och påföljd, inbegripet förebyggande eller tillfälliga åtgärder, som en rapporterande myndighet vidtar som svar på en svaghet som anses väsentlig i enlighet med artikel 3.

10.

filial: ett driftsställe som utgör en rättsligt beroende del av en finanssektorsaktör och som självständigt utför alla eller vissa av de transaktioner som är hänförliga till verksamheten för finanssektorsaktören, oavsett om dess säte eller huvudkontor är beläget i en medlemsstat eller i ett tredjeland.

11.

moderfinanssektorsaktör: en finanssektorsaktör i en medlemsstat som har en annan finanssektorsaktör som dotterbolag eller som har ett ägarintresse i en sådan finanssektorsaktör och som inte själv är ett dotterbolag till en annan finanssektorsaktör som är auktoriserad i samma medlemsstat.

12.

moderfinanssektorsaktör inom unionen: en moderfinanssektorsaktör som är etablerad i en medlemsstat och som inte är ett dotterbolag till en annan finanssektorsaktör som är etablerad i någon medlemsstat.

13.

kollegium: ett tillsynskollegium som det som avses i artikel 116 i direktiv 2013/36/EU, ett resolutionskollegium eller ett europeiskt resolutionskollegium som de som avses i artiklarna 88 och 89 i direktiv 2014/59/EU, eller ett kollegium för bekämpning av penningtvätt och av terrorismfinansiering.

a)

De allmänna uppgifter som anges i artikel 5 i denna förordning.

b)

De uppgifter om väsentliga svagheter som anges i artikel 6 i denna förordning.

c)

De uppgifter om eventuella åtgärder som vidtagits som anges i artikel 7 i denna förordning.

a)

Typ av väsentlig svaghet enligt artikel 2.1.

b)

Skälet till att den rapporterande myndigheten anser att svagheten är väsentlig.

c)

En beskrivning av den väsentliga svagheten.

d)

Den situation där den väsentliga svagheten har uppstått, enligt vad som anges i bilaga I.

e)

En tidslinje över den väsentliga svagheten.

f)

Ursprunget till uppgifterna om den väsentliga svagheten.

g)

Det krav avseende bekämpning av penningtvätt och av terrorismfinansiering som den väsentliga svagheten avser.

h)

Den typ av produkter, tjänster eller verksamheter som ingår i finanssektorsaktörens tillstånd och som påverkas av den väsentliga svagheten.

i)

Huruvida den väsentliga svagheten rör finanssektorsaktören ensam eller endast dess filial eller ombud eller distributör, samt den väsentliga svaghetens eventuella gränsöverskridande effekter.

j)

Huruvida uppgifterna om den väsentliga svagheten har förmedlats till ett kollegium som har inrättats för den grupp som finanssektorsaktören tillhör, och, om dessa ännu inte förmedlats, skälet till detta.

k)

För värdlandets myndigheter för bekämpning av penningtvätt och av terrorismfinansiering, huruvida uppgifterna om den väsentliga svagheten har förmedlats till motsvarande myndigheter i hemmedlemsstaten eller i tillämpliga fall den centrala kontaktpunkt som avses i artikel 45.9 i direktiv (EU) 2015/849 och, om dessa ännu inte förmedlats, skälet till detta.

l)

Om den väsentliga svagheten förefaller vara inneboende i utformningen av den berörda produkten, tjänsten eller verksamheten.

m)

Om den väsentliga svagheten förefaller vara kopplad till specifika fysiska personer, oavsett om det rör sig om en kund, en verklig huvudman, en medlem av ledningsorganet eller en person i en nyckelfunktion, inbegripet anledningen till att den rapporterande myndigheten ser en möjlig koppling mellan den fysiska personen och den väsentliga svagheten.

n)

Alla kontextuella uppgifter och all bakgrundsinformation om den väsentliga svagheten som den rapporterande myndigheten känner till, inbegripet

a)

En hänvisning till den väsentliga svaghet i förhållande till vilken åtgärden har vidtagits och vid behov eventuella uppdateringar av de uppgifter som lämnats i enlighet med artikel 6.

b)

Datum för införandet av åtgärden.

c)

Typ av åtgärd, dess interna referensnummer och länk till den, om den har offentliggjorts.

d)

Fullständiga uppgifter om de juridiska och fysiska personer som åtgärden gällde.

e)

En beskrivning av åtgärden, inklusive dess rättsliga grund.

f)

Åtgärdens status, inbegripet huruvida åtgärden har överklagats.

g)

Om och hur åtgärden har offentliggjorts, inklusive skälen till eventuell anonymiserad publicering, fördröjning av offentliggörandet eller icke-publicering.

h)

Alla uppgifter som är relevanta för att avhjälpa den väsentliga svaghet som åtgärden avser, inbegripet eventuella åtgärder som planeras eller har vidtagits för att avhjälpa den, och eventuella ytterligare förklaringar som krävs avseende förfarandet för att avhjälpa den och den relevanta tidsplanen för avhjälpandet av svagheten.

i)

Huruvida uppgifterna om åtgärden har förmedlats till ett kollegium som har inrättats för den grupp som finanssektorsaktören tillhör, och, om dessa ännu inte förmedlats, skälet till detta.

j)

För värdlandets myndigheter för bekämpning av penningtvätt och av terrorismfinansiering, huruvida uppgifter om åtgärden har förmedlats till hemmedlemsstatens behöriga myndighet för bekämpning av penningtvätt och av terrorismfinansiering, och, om dessa ännu inte förmedlats, skälet till detta.