KYC i AML na giełdach kryptowalut: obowiązki wobec klienta

Każdy, kto zakładał konto na giełdzie kryptowalut, przeszedł tę samą procedurę: zdjęcie dowodu, selfie z dokumentem, czasem pytanie o zawód, źródło pieniędzy czy planowaną skalę transakcji. Bywa to odbierane jako nadgorliwość platformy albo naruszenie prywatności. W rzeczywistości giełda nie ma tu wyboru — realizuje obowiązki nałożone przez prawo. Ich źródłem jest ustawa z dnia 1 marca 2018 r. o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu (Dz.U. 2018 poz. 723, z późniejszymi zmianami), zwana potocznie ustawą AML.

Zanim przejdziemy dalej, jedno zastrzeżenie. Obowiązki AML i KYC to coś zupełnie innego niż licencja przewidziana w rozporządzeniu MiCA. Ta pierwsza warstwa działa w Polsce już dziś i nie zależy od losów krajowej ustawy o rynku kryptoaktywów ani od wdrożenia systemu licencji CASP. Innymi słowy: giełda może jeszcze nie mieć licencji MiCA, ale musi stosować środki AML od dawna. To dwa odrębne reżimy prawne, które łatwo pomylić.

Dlaczego giełda kryptowalut jest instytucją obowiązaną

Ustawa AML posługuje się pojęciem “instytucji obowiązanej”. To zamknięty katalog podmiotów — banków, notariuszy, biur rachunkowych, pośredników nieruchomości i wielu innych — na które prawo nakłada obowiązek aktywnego przeciwdziałania praniu pieniędzy. Wśród nich art. 2 ustawy wymienia podmioty prowadzące działalność w zakresie walut wirtualnych: zarówno wymianę waluty wirtualnej na środki płatnicze i odwrotnie, wymianę jednej waluty wirtualnej na inną, jak i pośrednictwo w takiej wymianie oraz prowadzenie rachunków (portfeli) waluty wirtualnej. W praktyce obejmuje to giełdy, kantory internetowe i dostawców portfeli powierniczych.

Od listopada 2021 r. działalność w zakresie walut wirtualnych jest w Polsce działalnością regulowaną. Nie wystarczy zwykły wpis do rejestru przedsiębiorców — konieczny jest wpis do odrębnego “rejestru działalności w zakresie walut wirtualnych”. Rejestr ten prowadzi organ Krajowej Administracji Skarbowej, konkretnie Dyrektor Izby Administracji Skarbowej w Katowicach, a nie — co bywa mylące — Komisja Nadzoru Finansowego. Wpis wymaga m.in. niekaralności osób zarządzających oraz odpowiedniej wiedzy lub doświadczenia związanego z działalnością w zakresie walut wirtualnych. Prowadzenie takiej działalności bez wpisu jest zagrożone karą pieniężną.

To rozróżnienie kompetencji ma znaczenie. Rejestr walut wirtualnych i obowiązki AML należą do administracji skarbowej oraz Generalnego Inspektora Informacji Finansowej. Nadzór ostrożnościowy nad rynkiem kryptoaktywów w reżimie MiCA ma z kolei sprawować KNF. To dwa różne organy i dwie różne funkcje.

Środki bezpieczeństwa finansowego: na czym polega KYC

Kluczowym obowiązkiem każdej instytucji obowiązanej jest stosowanie “środków bezpieczeństwa finansowego” — po angielsku customer due diligence, w skrócie CDD. To właśnie ten mechanizm użytkownik odczuwa jako procedurę KYC (know your customer). Ustawa AML nakazuje stosować te środki między innymi przy nawiązywaniu stosunków gospodarczych, przy przeprowadzaniu transakcji okazjonalnych powyżej określonych progów, a także zawsze wtedy, gdy zachodzi podejrzenie prania pieniędzy lub finansowania terroryzmu albo gdy instytucja ma wątpliwości co do prawdziwości wcześniej uzyskanych danych.

Na środki bezpieczeństwa finansowego składa się kilka elementów:

• Identyfikacja klienta i weryfikacja jego tożsamości na podstawie dokumentu lub innych wiarygodnych, niezależnych źródeł. Stąd biorą się skany dowodu, selfie oraz coraz częstsza weryfikacja wideo — instytucja musi mieć realną pewność, że osoba jest tym, za kogo się podaje.
• Ustalenie beneficjenta rzeczywistego (UBO, ultimate beneficial owner) i podjęcie uzasadnionych czynności w celu weryfikacji jego tożsamości. Chodzi o osobę fizyczną, która faktycznie kontroluje klienta lub czerpie korzyści z transakcji — istotne zwłaszcza, gdy klientem jest spółka, a nie osoba prywatna.
• Ocena stosunków gospodarczych i uzyskanie informacji o ich celu oraz zamierzonym charakterze. To powód, dla którego platforma pyta o cel transakcji, przewidywaną skalę obrotów czy planowany sposób korzystania z konta.
• Bieżące monitorowanie stosunków gospodarczych, w tym analiza transakcji pod kątem ich zgodności z wiedzą instytucji o kliencie i profilu jego działalności, a także badanie źródła pochodzenia wartości majątkowych.

Istotne jest, że stosowanie tych środków nie kończy się w chwili rejestracji. Monitorowanie jest ciągłe — dlatego giełda może po miesiącach poprosić o aktualizację danych lub o wyjaśnienie nietypowej transakcji, nawet jeśli konto działało bez zakłóceń. Zakres środków instytucja dobiera na podstawie własnej oceny ryzyka danego klienta i relacji, kierując się tzw. podejściem opartym na ryzyku (risk-based approach): im wyższe ryzyko, tym bardziej pogłębione czynności.

Wzmożone środki: PEP i kraje wysokiego ryzyka

W sytuacjach podwyższonego ryzyka standardowe KYC nie wystarcza — ustawa nakazuje stosować wzmożone środki bezpieczeństwa finansowego (enhanced due diligence, EDD). Dwa najczęstsze przypadki to:

Osoby zajmujące eksponowane stanowiska polityczne — w skrócie PEP (politically exposed persons). To między innymi szefowie państw i rządów, ministrowie, parlamentarzyści, sędziowie sądów najwyższych, członkowie organów banków centralnych czy władz partii politycznych, a także członkowie ich rodzin i bliscy współpracownicy. Klienci z tej grupy są traktowani jako obarczeni wyższym ryzykiem korupcyjnym, dlatego instytucja musi m.in. uzyskać akceptację kadry kierowniczej wyższego szczebla na nawiązanie relacji oraz ustalić źródło majątku i źródło pochodzenia środków. Stąd bierze się pytanie w formularzu rejestracyjnym, czy klient pełni funkcję publiczną.

Powiązania z państwami trzecimi wysokiego ryzyka — gdy transakcja lub klient mają związek z krajem zidentyfikowanym jako obarczony strategicznymi brakami w systemie przeciwdziałania praniu pieniędzy, instytucja stosuje dodatkowe, zaostrzone czynności. Podobnie traktowane bywają nietypowe, szczególnie złożone lub podejrzanie duże transakcje bez wyraźnego uzasadnienia gospodarczego.

Obowiązki organizacyjne po stronie platformy

Skuteczne KYC wymaga zaplecza, którego użytkownik nie widzi. Ustawa AML zobowiązuje instytucję do zbudowania wewnętrznego systemu zgodności. Najważniejsze elementy to:

• Wewnętrzna procedura AML — pisemny dokument opisujący zasady rozpoznawania i oceny ryzyka, stosowania środków bezpieczeństwa finansowego, wykrywania i zgłaszania transakcji podejrzanych oraz przechowywania dokumentacji.
• Ocena ryzyka instytucji — sporządzana i aktualizowana identyfikacja ryzyka związanego z działalnością, uwzględniająca m.in. rodzaj klientów, oferowane produkty i kanały ich dystrybucji.
• Wyznaczenie osób odpowiedzialnych — kadra kierownicza wyższego szczebla odpowiada za wdrożenie obowiązków AML, a instytucja wskazuje pracownika zajmującego się realizacją tych zadań (w praktyce oficera compliance / AML).
• Szkolenia pracowników — dotyczące realizacji obowiązków ustawowych, prowadzone z uwzględnieniem charakteru wykonywanych zadań.
• Przechowywanie dokumentacji — instytucja archiwizuje dane uzyskane w ramach KYC oraz dowody przeprowadzonych transakcji przez okres wskazany w ustawie (co do zasady pięć lat), aby umożliwić późniejsze odtworzenie przebiegu transakcji.

Za niedopełnienie tych obowiązków grożą kary administracyjne — od upomnienia po dotkliwe kary pieniężne, a w skrajnych przypadkach cofnięcie możliwości prowadzenia działalności. To realna motywacja, dla której platformy traktują procedury KYC poważnie i nie idą klientowi na rękę, gdy ten odmawia podania danych.

Co z tego wynika dla użytkownika

Perspektywa klienta staje się teraz jasna. Kiedy giełda żąda dokumentu tożsamości, selfie, potwierdzenia adresu czy wyjaśnienia, skąd pochodzą środki i po co realizowana jest dana transakcja, nie realizuje własnego kaprysu ani nie zbiera danych “na zapas”. Wykonuje konkretne obowiązki ustawowe: identyfikuje i weryfikuje klienta, ustala beneficjenta rzeczywistego, ocenia ryzyko i monitoruje relację. Odmowa przekazania tych informacji ma określony skutek prawny — instytucja obowiązana, która nie może zastosować środków bezpieczeństwa finansowego, nie powinna nawiązać relacji ani przeprowadzić transakcji, a istniejącą relację ma obowiązek zakończyć. Dlatego brak weryfikacji zwykle oznacza blokadę wypłaty lub zamknięcie konta.

Dla użytkownika płynie stąd praktyczny wniosek: dane podawane przy rejestracji powinny być prawdziwe i aktualne, a prośby o ich uzupełnienie warto traktować jako standardowy element korzystania z legalnej platformy, a nie sygnał ostrzegawczy. Paradoksalnie to właśnie platforma, która o nic nie pyta i nie prowadzi żadnej weryfikacji, powinna budzić większą ostrożność.

Zgłoszenia do GIIF w tle

Środki KYC to jedna strona medalu. Druga to obowiązki sprawozdawcze wobec Generalnego Inspektora Informacji Finansowej (GIIF) — organu, który pełni w Polsce funkcję jednostki analityki finansowej. Instytucje obowiązane przekazują mu informacje o określonych transakcjach ponadprogowych oraz — niezależnie od kwoty — zawiadamiają o transakcjach i okolicznościach mogących wskazywać na pranie pieniędzy lub finansowanie terroryzmu. To właśnie dzięki danym gromadzonym w ramach KYC instytucja jest w stanie takie sytuacje rozpoznać. Mechanizm zgłoszeń, progi i tryb przekazywania informacji omawiamy szczegółowo w osobnym tekście o zgłoszeniach do GIIF.

Nadchodzi unijny pakiet AML

Opisane reguły wynikają dziś przede wszystkim z polskiej ustawy, będącej efektem wdrożenia kolejnych dyrektyw unijnych. To wkrótce się zmieni. Unia Europejska przyjęła obszerny pakiet legislacyjny, którego trzon stanowi rozporządzenie AMLR (UE) 2024/1624 w sprawie przeciwdziałania wykorzystywaniu systemu finansowego do prania pieniędzy lub finansowania terroryzmu. Towarzyszą mu dyrektywa AMLD6 oraz rozporządzenie powołujące nowy unijny Urząd ds. Przeciwdziałania Praniu Pieniędzy (AMLA, Anti-Money Laundering Authority).

Dla rynku kryptoaktywów kluczowe jest to, że AMLR wprost zalicza dostawców usług w zakresie kryptoaktywów do podmiotów zobowiązanych — jak stanowi motyw 14 rozporządzenia, dostawcy ci również powinni zostać objęci jego zakresem. Rozporządzenie, w odróżnieniu od dyrektywy, obowiązuje bezpośrednio i jednolicie we wszystkich państwach członkowskich, co ma ograniczyć rozbieżności między krajowymi porządkami i zaostrzyć wymogi. Zasadnicze przepisy pakietu mają być stosowane od lipca 2027 r. — dokładne daty warto zweryfikować w tekście urzędowym, ponieważ część rozwiązań wchodzi w życie etapami. Dla klientów giełd oznacza to na razie ciągłość: obowiązki KYC nie znikną, lecz zostaną ujednolicone i najprawdopodobniej zaostrzone.

Dlaczego weryfikacja działa na korzyść klienta

KYC bywa postrzegane jako biurokratyczna bariera między użytkownikiem a jego środkami. Z perspektywy prawa jest odwrotnie: to warunek, na jakim giełda w ogóle może legalnie działać i przechowywać cudze pieniądze. Procedury identyfikacji, ustalania beneficjenta rzeczywistego i monitorowania transakcji nie są wymierzone w uczciwego klienta — służą temu, by rynek kryptoaktywów nie stał się wygodnym kanałem prania pieniędzy. Świadomość, że pytanie o dokument czy źródło środków wynika z konkretnego przepisu, a nie z widzimisię platformy, pozwala przejść przez ten proces bez niepotrzebnych obaw i odróżnić rzetelnego pośrednika od podmiotu, który świadomie omija prawo.