Firmy inwestycyjne będące administratorami przetwarzającymi dane osobowe w rozumieniu art. 4 definicje pkt 1 rozporządzenia 2016/679 nie są obowiązane do wykonywania obowiązków, o których mowa w art. 15 prawo dostępu przysługujące osobie, której dane dotyczą rozporządzenia 2016/679, w zakresie, w jakim jest to niezbędne dla prawidłowej realizacji zadań dotyczących przeciwdziałania praniu pieniędzy i finansowaniu terroryzmu oraz zapobiegania przestępstwom.