ב-8 בינואר 2026 קבע בית המשפט העליון של אסטוניה, בתיק מס’ 3-23-125, כי הנחיה גורפת שהוציאה יחידת המודיעין הפיננסי של אסטוניה (FIU או Rahapesu Andmebüroo) אינה חוקית. במסגרת ההנחיה, שפורסמה בסוף שנת 2022, התבקש מכל ספקי שירותי הנאמנות והחברות המורשים (TCSPs), המציעים באסטוניה שירותי רישום חברות ומשרד וירטואלי, למסור כמות ניכרת של מידע.
החלטה זו הפכה לאבן דרך חשובה עבור מערכת הפיקוח כולה בתחום ה-AML (מניעת הלבנת הון), והתוותה את גבולות ההתערבות המותרת של המדינה בפעילותן של חברות לגיטימיות. עמדתו של בית המשפט העליון של אסטוניה זכתה גם לסיקור נרחב בתקשורת האסטונית, בין היתר ב-Postimees וב-ERR, דבר שהדגיש את חשיבותה לא רק עבור הקהילה המקצועית, אלא גם עבור הדיון המשפטי הציבורי הרחב.
אחת מיוזמות ההליך המשפטי שהוביל לפסיקה תקדימית זו של בית המשפט העליון של אסטוניה בינואר 2026 הייתה Ühinenud Õigusbürood OÜ, חברת האם של Eesti Firma OÜ. מטרת הפנייה לבית המשפט הייתה להשיג ודאות משפטית בנוגע לגבולות המותרים של סמכויות הפיקוח בתחום ה-AML/KYC (מניעת הלבנת הון / הכר את הלקוח), וכן לשמור על עקרון המידתיות ביחסים שבין הרגולטור לבין עסקים מורשים.
פיקוח בתחום ה-AML והדרישה הגורפת לקבלת נתונים
בדצמבר 2022 שלחה ה-FIU הנחיה אחידה ל-322 ספקי TCSP מורשים, שחייבה אותם להשיב על שאלון הכולל 44 שאלות. הדרישה עסקה במגוון רחב של נושאים: החל מנהלי AML/KYC פנימיים ועד למבנה הלקוחות, להיקף הגאוגרפי של הפעילות, למדדים פיננסיים ולהחלת אמצעי סנקציות.
הרגולטור נימק את פעולותיו בצורך לקבל תמונה מקיפה של הסיכונים בענף ולבנות פיקוח AML מוכוון סיכונים. עם זאת, הדרישה לא הייתה קשורה לחשדות, להפרות או לביקורות פרטניות כלשהם. היא הייתה בעלת אופי מניעתי וחלה באופן שווה על כל המשתתפים בשוק — ללא קשר לגודלם, למודל העסקי שלהם או לפרופיל הסיכון שלהם.
גישה זו בדיוק עמדה במוקד המחלוקת. מספר חברות שכבר מילאו אחר ההנחיה העלו את השאלה היכן עובר הגבול בין פיקוח AML חוקי לבין נטל מנהלי מופרז, והאם הרגולטור רשאי, כחלק מהערכת סיכונים מופשטת, לדרוש מעסקים מידע כה נרחב ומורכב מבחינה אנליטית.
עמדתו המשפטית המרכזית של בית המשפט העליון
בבואו לדון בתיק מס’ 3-23-125, בית המשפט העליון לא הטיל ספק בחשיבותם של אמצעי AML/KYC (מניעת הלבנת הון / הכר את הלקוח) ככלים להגנה על המערכת הפיננסית. במקום זאת, הוא התמקד בתקינות ההליך ובבסיס המשפטי לפעולותיה של רשות הפיקוח.
ההבחנה בין תפקידי ה-FIU
בית המשפט ציין כי ה-FIU באסטוניה ממלאת שני תפקידים שונים. מצד אחד, היא יחידת מודיעין פיננסי (FIU) המנתחת עסקאות חשודות. מצד שני, היא רשות פיקוח המפקחת על עמידתם של הגופים המחויבים בדרישות AML/KYC.
לתפקידים אלה אופי משפטי שונה, והם מבוססים על הוראות חוק שונות. לא ניתן להשתמש באופן אוטומטי בסמכויות שהוענקו ל-FIU לצורך ביצוע משימות מודיעין פיננסי כדי לקיים פיקוח מטעם המדינה. בעת ביצוע פעילות פיקוח, על הרגולטור לפעול אך ורק במסגרת הכלים שנקבעו במפורש למטרה זו.
בסיס משפטי שגוי כטעות המרכזית
בית המשפט קבע כי ה-FIU הסתמכה על הוראת חוק שלא נועדה לדרישות המוניות לקבלת מידע מחברות פרטיות במסגרת פיקוח מניעתי. השימוש בבסיס משפטי שגוי נחשב להפרה מהותית, שהפכה את ההנחיה לבלתי חוקית ללא קשר למטרה המוצהרת שלה.
חשוב לציין כי בית המשפט לא קבע שאיסוף מידע אסור מעצם טבעו. הוא הבהיר כי גם בתחום ה-AML/KYC, אמצעי הפיקוח חייבים להישען על הצדקה משפטית ברורה, ספציפית וראויה.
העיקרון „תחילה מרשמים — אחר כך עסקים”
בית המשפט הקדיש תשומת לב מיוחדת למקורות המידע. בהקשר של פיקוח AML מניעתי, הרגולטור מחויב להשתמש תחילה בנתונים שכבר מצויים בידי המדינה או זמינים באמצעות מרשמים רשמיים.
אין לדרוש מחברות מידע שניתן להשיג ללא מעורבותן. גישה כזו אינה עולה בקנה אחד עם עקרון המידתיות, ומעבירה ללא הצדקה את עבודתו האנליטית של הרגולטור אל העסקים.
הגבול בין נתונים לבין „דוחות חדשים”
אחת המסקנות המעשיות החשובות ביותר מן ההחלטה הייתה כי אין להפוך דרישה לקבלת מידע לחובה המוטלת על חברות ליצור מסמכים חדשים או סיכומים אנליטיים, אם רמת פירוט כזו לא נדרשה מראש על פי חוק.
לחברות יש, כמובן, נתונים ראשוניים על פעילותן. אולם עצם קיומם של נתונים אינו שקול לחובה להחזיק דוחות מוכנים מראש בכל פילוח שעשוי לעניין את רשות הפיקוח. בית המשפט הדגיש כי פיקוח AML אינו יכול לחייב עסקים להפיק בדיעבד ניתוחים מורכבים אך ורק לנוחותו של הרגולטור.
מידתיות כמרכיב מחייב בפיקוח AML
גם לאחר שהכיר בלגיטימיות של המטרה — הערכת הסיכונים בענף — ציין בית המשפט כי האמצעי שנבחר אינו מידתי. דרישה זהה הכוללת 44 שאלות, שנשלחה לכל המשתתפים בשוק ללא התחשבות במאפייניהם הפרטניים, נחשבה למופרזת בהיקפה ובמידת חדירתה. לשיטת בית המשפט, פיקוח AML צריך להיות ממוקד ומצומצם למידה ההכרחית, ולא גורף ומופרז.
המשמעות המעשית של ההחלטה עבור TCSPs וחברות FinTech
עבור TCSPs, וכן עבור חברות FinTech הכפופות לרגולציית AML/KYC, להחלטה זו השלכות מעשיות משמעותיות. **ראשית**, היא מגבירה את יכולת החיזוי של נוהלי הפיקוח. חברות רשאיות לצפות כי דרישות לקבלת מידע יהיו מוצדקות, מידתיות ומבוססות מבחינה משפטית.
שנית, ההחלטה מעודדת ארגון פנימי טוב יותר של תהליכי הציות. ההבנה אילו נתונים החברה מחויבת לשמור על פי חוק ואילו נתונים מופקים אך ורק לצורכי ניהול פנימיים הופכת לחיונית ביותר בהתנהלות מול רגולטורים.
שלישית, עבור רשויות הפיקוח עצמן, ההחלטה קובעת מסגרת שבה הפיקוח בתחום ה-AML נותר יעיל באותה מידה, אך נעשה בר-קיימא יותר מבחינה משפטית. ביקורות ממוקדות, הנמקה ברורה של הדרישות ושימוש במקורות מידע ממשלתיים זמינים מפחיתים את הסיכון למחלוקות עתידיות ומגבירים את האמון הכולל במערכת.
סיכום
החלטת בית המשפט העליון של אסטוניה מ-8 בינואר 2026 אינה מחלישה את מערכת ה-AML/KYC. להפך, היא הופכת אותה לבשלה יותר. בית המשפט הבהיר כי יש לנהל את המאבק בהלבנת הון במסגרת החוק, תוך כיבוד עקרון המידתיות והערובות הדיוניות המוקנות לעסקים.
עבור TCSPs מורשים, פסיקה זו אישרה כי ודאות משפטית ופיקוח יעיל אינם עומדים בסתירה זה לזה. עבור הרגולטור, היא שימשה תזכורת לכך שגם בתחומים רגישים הנוגעים לאינטרס הציבורי, לסמכויות הרגולטוריות יש גבולות. איזון זה הוא שיוצר באסטוניה סביבה יציבה, צפויה ומבוססת אמון לפיתוח עסקים.
