- Regulation (EU) 2016/679 — GDPR, Articles 10, 14 and 27
- Directive (EU) 2015/849 — anti-money laundering
- Regulation (EU) 2024/1689 — AI Act
- Regulation (EU) 2022/2065 — DSA where reports are hosted
谁必须指定
在联盟外成立的提供者，构建关于欧盟内人员的尽职调查报告、筛查结果或调查档案：OSINT平台、不利媒体和制裁筛查供应商、背景调查服务以及向银行、律师事务所和企业销售的调查公司。无论主题是您客户的客户还是从未与任何人接触的第三方，义务都适用：测试是您是否处理欧盟内人员的个人数据，而不是他们是否要求您这样做。
门槛与豁免
没有门槛。改变分析的是角色：仅根据客户指示执行客户搜索的供应商可以是处理者，但一旦您在客户之间构建实体图、保留收集的材料超出交付，或使用报告来训练或改善您的模型，您就是出于这些目的的控制者，并需要以您自己的名义有一个代表。
标签上必须载明的内容
不是物理标签。必须发布的是代表的身份和联系信息，在隐私通知中，以及根据第14条要求的信息，适用于您从其他来源获得数据的人——在这个行业几乎是所有人。
平台字段
银行、律师事务所和受监管机构在入驻前进行供应商尽职调查，数据保护的答案决定合同。几个国家监督机构已调查筛查和不利媒体供应商，发现的问题涉及保留、准确性和缺乏第14条通知，而不是筛查本身。
必须保存的文件
第30条记录映射每个来源、每个丰富步骤和每个输出。第27条的指定范围明确涵盖第10条数据，如果您处理它。数据保护影响评估，在这里是强制性的：剖析、系统监控和大规模特殊类别或刑事犯罪数据均在第35(3)条清单上。您依赖的第14(5)条豁免的文档及其背后的推理。准确性和更正程序，包括如何在交付报告中纠正错误匹配。每个数据类别的保留计划。转移文档。如果使用AI系统，技术文档和根据AI法案的分类。
标准与检测
不是产品测试，而是两个基于证据的检查决定执法结果。准确性：筛查中的假阳性会造成实际伤害，因此匹配逻辑、错误率和人工审核步骤必须记录。以及偏见评估，当系统剖析或评分人员时，AI法案要求高风险系统进行此评估，而歧视法则无论如何都要求。
语言要求
隐私通知、第14条信息以及与数据主体的任何沟通必须使用相关人员的语言。报告本身是商业文件，遵循客户的语言。
何时开始适用
在处理开始之前的代表。第14条信息在合理期限内提供，最迟在获得数据后的一个月内，除非适用豁免。AI法案高风险义务自2026年8月2日起适用，前提是系统属于附录III。
文件保存期限
这是该类别中最尖锐的点。报告和基础收集的材料只能保留必要的时间，客户的AML保留义务是客户的，而不是您的：无限期保留档案因为它们可能在以后有用是没有合法依据的。当您作为处理者时，必须真实且可证明地根据客户的指示删除。
不合规的后果
最高可达2000万欧元或全球年营业额的4%。该行业的风险加大，因为发现报告的主体会积极行使访问权，访问请求会揭示整个处理过程：来源、推论、保留和接收者。诽谤和更正索赔在国家法院并行进行，时间表比监督调查短。
由谁执法
任何成员国的数据保护机构，因没有欧盟机构的控制者没有主导权。客户是受监管机构时的金融监管机构。自2026年起的AI法案市场监督机构。国家法院处理准确性和声誉索赔。
界限在哪里
第10条是壁垒。处理与刑事定罪和犯罪相关的个人数据只能在官方权威的控制下进行，或在提供适当保障的联盟或成员国法律授权下进行。私人公司筛查刑事记录需要国家授权，且各成员国的规定不同：一些允许AML义务实体进行，其他则完全不允许商业供应商进行。制裁和PEP名单是另一回事，通常是合法的，但不利媒体通常包含刑事行为的指控，这通过侧门将第10条带回。没有明确涵盖此内容的代表授权在调查中毫无价值。
常见问题
- 我们只搜索公共来源——这仍然算处理吗？
- 是的。收集、结构化和分析关于可识别人员的公开信息属于处理，来源是公开的事实并不构成合法依据或免除第14条的义务。
- 我们是否必须告知主体我们对他们进行了剖析？
- 第14条要求这样做，豁免在第14(5)条中，包括在通知不可能或涉及不成比例的努力，或在通知会使处理的目标不可能或严重受损的情况下。这些豁免必须逐案记录和评估，而不能假定适用于整个业务。
- 我们是控制者还是处理者？
- 如果客户定义主题和目的，而您仅执行，则处理者的身份是有争议的。如果您在客户之间进行丰富、保留材料或用其改善模型，则无论合同如何规定，您都是出于这些目的的控制者。
- 我们的系统在AI法案下是否属于高风险？
- 这取决于用途。评估信用worthiness或获取基本服务的系统属于附录III。执法用于风险评估的系统也是如此。仅销售给私人合规团队的工具可能不在其内，但分类必须记录，而不能假定。