Artikel 25 Databeskyttelse

1.   Behandling af personoplysninger efter denne forordning er underlagt forordning (EU) 2016/679. Personoplysninger, der behandles i henhold til nærværende forordning af Kommissionen eller EBA, er underlagt forordning (EU) 2018/1725.

2.   Personoplysninger må kun behandles af betalingstjenesteudbydere og udbydere af kryptoaktivtjenester på grundlag af denne forordning med henblik på forebygge hvidvask af penge eller finansiering af terrorisme og må ikke senere gøres til genstand for behandling, som er uforenelig med disse formål. Det er forbudt at behandle personoplysninger på grundlag af denne forordning til kommercielle formål.

3.   Betalingstjenesteudbydere og udbydere af kryptoaktivtjenester giver nye kunder de oplysninger, der kræves i henhold til artikel 13 i forordning (EU) 2016/679, inden der etableres forretningsforbindelser, eller der udføres en lejlighedsvis transaktion. Disse oplysninger forelægges i en kortfattet, gennemsigtig, letforståelig og lettilgængelig form i overensstemmelse med artikel 12 i forordning (EU) 2016/679 og skal navnlig omfatte en generel meddelelse om betalingstjenesteudbydernes og udbyderne af kryptoaktivtjenesters juridiske forpligtelser i henhold til nærværende forordning, når de behandler personoplysninger med henblik på at forebygge hvidvask af penge og finansiering af terrorisme.

4.   Betalingstjenesteudbydere og udbydere af kryptoaktivtjenester sikrer til enhver tid, at personoplysninger om de parter, der er involveret i en pengeoverførelse eller en overførsel af kryptoaktiver, videresendes i overensstemmelse med forordning (EU) 2016/679.

Det Europæiske Databeskyttelsesråd udsteder efter høring af EBA retningslinjer for den praktiske gennemførelse af databeskyttelseskravene til overførsel af personoplysninger til tredjelande i forbindelse med overførsler af kryptoaktiver. EBA udsteder retningslinjer for passende procedurer til bestemmelse af, hvorvidt en overførsel af kryptoaktiver skal gennemføres, afvises, sendes tilbage eller suspenderes i situationer, hvor det ikke kan sikres, at databeskyttelseskravene for overførsel af personoplysninger til tredjelande overholdes.