Två tillsynsmyndigheter, ett regelverk

For första gangen skriver Europeiska dataskyddsstyrelsen och den nyligen operativa Myndigheten for bekämpning av penningtvätt en enda uppsättning regler tillsammans. Deras tillkännagivande den 1 juli 2026 binder båda organen till gemensamma riktlinjer för hur företag kan samla underrättelser för att bekämpa penningtvätt och finansiering av terrorism och samtidigt respektera dataskyddsforordningen. Ett redaktionsteam sammansatt av båda myndigheterna leder arbetet, och de två tillsynsorganen sager att de bidrar som jämlikar.

Betydelsen for ägare och operatörer är strukturell. Hittills stod en bank som ville dela signaler om misstankt aktivitet med en konkurrent inför två tillsynsmyndigheter som kunde dra olika slutsatser om samma överföring. En samordnad text tar bort den vägskälningen. Det är den tydligaste signalen hittills om att Bryssel avser att föra tillsyn över finansiell brottslighet och dataskydd som ett sammanflätat regelverk, inte som två myndigheter som talar forbi varandra.

Vad artikel 75 faktiskt tillater

Den juridiska motorn är artikel 75 i penningtvattsforordningen. Den bemyndigar ansvariga enheter - banker, betalningsföretag, leverantörer av kryptotillgångar och andra reglerade yrken - att utbyta information med varandra och med offentliga myndigheter där det tjänar kampen mot finansiell brottslighet. Det är en betydande breddning av de kanaler genom vilka kunddata lagligt kan flöda mellan konkurrenter.

Haken är att varje sådant utbyte ocksa är en behandling av personuppgifter och därmed omfattas av GDPR. De gemensamma riktlinjerna finns för att lösa denna spanning: att beskriva hur ett delningspartnerskap kan byggas sa att det är försvarbart under båda regelverken samtidigt. Agare bör läsa detta som den efterlevnadsritning som kommer att definiera hur ett juridiskt rent delningspartnerskap ser ut i hela unionen.

Klockan mot 10 juli 2027

Forordningens mekanism för informationsdelning trader i kraft den 10 juli 2027. Det är inget mjukt mål. Banker och finansinstitut som avser att anvanda de nya delningsbefogenheterna - eller som partner ber att få ta emot delade data - behöver styrning, avtal och konsekvensbedomningar avseende dataskydd före det datumet.

Följden är tajt. Tillsynsmyndigheterna planerar ett intressentevenemang senare 2026 för att lyfta fram de punkter som mest behöver klargöras, och sedan öppna ett offentligt samrad om utkastet under första halvåret 2027. Det lamnar ett smalt fönster mellan den slutliga texten och ikraftträdandedatumet, sa företag kan inte vanta på de färdiga riktlinjerna innan de börjar utformningen.

Agarens drag

Den praktiska instruktionen till styrelser är att behandla detta som ett gemensamt AML- och integritetsprogram, inte som en enskild avdelnings efterlevnadssyssla. Juridiska, finansiell-brottslighets- och dataskyddsfunktioner som historiskt kort var for sig måste nu svara mot en enda samordnad standard, vilket betyder att de bör planera tillsammans nu i stallet för att jämka positioner efter att riktlinjerna landar.

Det finns ocksa en strategisk fordel. Företag som deltar i evenemanget och samradet 2027 får vara med och forma det regelverk de ska leva under, och de som rör sig forst kan forvandla ett rent delningsramverk till en konkurrensfordel i förtroende och snabbhet. Priset för att vanta är en förjagad upphinnandekapplöpning under andra halvåret 2027 mot en tidsfrist som inte kommer att flyttas.

Läs vidare: En första begäran om data kan vara missbruk  |  Olagligt inhämtad data kan ändå vinna i domstol