Raportowanie do KAS: wdrożenie DAC8 w Polsce

Dyrektywa sama w sobie nie nakłada obowiązków na giełdę w Warszawie ani nie każe polskiemu inwestorowi podawać numeru identyfikacji podatkowej. Akt unijny wyznacza cel i ramy, ale to od transpozycji do prawa krajowego zależy, jak przepisy zadziałają na co dzień: który organ zbiera dane, w jakim terminie i pod groźbą jakich sankcji. Dlatego przy DAC8 warto oddzielić warstwę unijną od tego, co realnie obowiązuje w Polsce. Ta strona dotyczy właśnie warstwy krajowej — mechanizmu, w którym dostawca usług krypto przekazuje informacje polskiej administracji skarbowej.

Polska ustawa wdrażająca DAC8

DAC8, czyli dyrektywa Rady (UE) 2023/2226, wymagała transpozycji do porządków krajowych tak, aby przepisy zaczęły obowiązywać od 1 stycznia 2026 r. Polska nie tworzyła w tym celu nowego, odrębnego aktu, lecz rozbudowała istniejącą ustawę z 9 marca 2017 r. o wymianie informacji podatkowych z innymi państwami. To ta sama ustawa, która wcześniej wdrażała standard CRS oraz kolejne wersje dyrektywy o współpracy administracyjnej — dodanie kryptoaktywów jest jej naturalnym rozszerzeniem, a nie rewolucją systemową.

Nowelizacja przeszła pełną ścieżkę legislacyjną: rząd przyjął projekt, a następnie ustawa została uchwalona i podpisana przez Prezydenta RP. O podpisaniu nowelizacji wdrażającej DAC8 informowało w 2026 r. Ministerstwo Finansów. Ustawa wchodzi w życie po ogłoszeniu w Dzienniku Ustaw, a jej przepisy sięgają wstecz o tyle, że raportujący dostawcy muszą uwzględnić także transakcje dokonane od początku 2026 r., a więc jeszcze przed formalnym wejściem regulacji w życie. Aktualne brzmienie przepisów i dokładne oznaczenie aktu w Dzienniku Ustaw można sprawdzić w ISAP, prowadzonym przez Kancelarię Sejmu.

Warto zachować tu ostrożność interpretacyjną. Ustawa jest podpisana i przesądza kierunek, ale część szczegółów operacyjnych — wzory formularzy, struktury logiczne przekazywanych plików, techniczne warunki rejestracji — doprecyzowują akty wykonawcze i komunikaty resortu, które pojawiają się etapami. Praktyczny kształt obowiązków po stronie dostawców będzie się więc jeszcze porządkował, choć rama ustawowa jest już przesądzona.

Szef KAS jako organ przyjmujący dane

W polskim modelu centralnym punktem systemu jest Szef Krajowej Administracji Skarbowej. To on pełni funkcję właściwego organu w rozumieniu dyrektywy: przyjmuje informacje od raportujących dostawców, a następnie przekazuje je administracjom skarbowym innych państw, w których rezydują użytkownicy objęci raportowaniem. KAS działa w strukturze Ministerstwa Finansów, a informacje o zadaniach i komunikaty dotyczące wymiany informacji publikuje na stronie gov.pl/web/kas.

Kierunek przepływu danych jest dwustronny. Z jednej strony polskie giełdy i platformy raportują do Szefa KAS dane o swoich użytkownikach, w tym o rezydentach innych państw członkowskich — te informacje KAS wysyła następnie do właściwych zagranicznych organów. Z drugiej strony polska administracja otrzymuje z zagranicy dane o polskich rezydentach, którzy korzystali z platform obsługiwanych w innych krajach Unii lub w jurysdykcjach stosujących standard CARF wypracowany przez OECD. Dla polskiego podatnika oznacza to, że informacja o jego transakcjach trafi do KAS niezależnie od tego, czy giełda ma siedzibę w Polsce, w Estonii, czy poza Unią — decyduje rezydencja użytkownika, a nie lokalizacja dostawcy.

Cała komunikacja odbywa się drogą elektroniczną, w ustandaryzowanych formatach. Dostawca nie wysyła do urzędu papierowych zestawień ani pojedynczych zgłoszeń o każdej transakcji — przekazuje zbiorczy, ustrukturyzowany raport za cały rok kalendarzowy. Standaryzacja jest tu celowa: dane muszą być porównywalne między państwami, bo tylko wtedy automatyczna wymiana ma sens. Format, w jakim polski dostawca raportuje do KAS, odpowiada więc temu, czego administracje oczekują w całej Unii, co pozwala przekazać otrzymane informacje dalej bez ręcznego przetwarzania.

Obowiązki raportującego dostawcy wobec KAS

Ciężar wykonania dyrektywy spoczywa na podmiotach, które przepisy nazywają raportującymi dostawcami usług w zakresie kryptoaktywów. Ich obowiązki wobec KAS układają się w kilka warstw, które warto rozróżnić.

Pierwsza to identyfikacja i rejestracja. Dostawca musi być rozpoznawalny dla administracji jako podmiot raportujący — w praktyce łączy się to z reżimem licencyjnym MiCA, ale obejmuje również operatorów spoza tego reżimu, jeżeli obsługują unijnych użytkowników. Chodzi o to, by żaden istotny fragment rynku nie pozostał poza ewidencją organów podatkowych. Podmiot, który świadczy usługi na rzecz rezydentów Unii, ale nie ma w niej siedziby ani licencji MiCA, co do zasady musi zarejestrować się w jednym z państw członkowskich na potrzeby raportowania — inaczej trafi poza system, czego dyrektywa właśnie chce uniknąć. Rejestracja w jednym kraju obejmuje wówczas obowiązki wobec wszystkich unijnych użytkowników danego dostawcy.

Druga warstwa to procedury należytej staranności. Zanim dostawca cokolwiek zaraportuje, musi ustalić rezydencję podatkową każdego użytkownika. Służą temu oświadczenia zbierane od klienta oraz numer identyfikacji podatkowej (TIN), a w przypadku osób fizycznych także data i miejsce urodzenia. Gdy użytkownikiem jest podmiot, weryfikacja sięga osób sprawujących nad nim kontrolę — struktura spółki nie zasłania rzeczywistego beneficjenta. To właśnie na tym etapie użytkownik giełdy realnie odczuwa DAC8: pojawia się prośba o potwierdzenie rezydencji i podanie TIN.

Trzecia warstwa to samo raportowanie. Raz w roku dostawca przekazuje Szefowi KAS zbiorczy komplet danych: informacje identyfikujące użytkownika oraz zagregowane dane o jego aktywności — nabyciach, sprzedażach, wymianach jednego kryptoaktywa na inne oraz transferach. Raport ma charakter sumaryczny, obejmuje wartości i liczby operacji w danym roku, a nie zapis każdego pojedynczego zlecenia. Zakres tych danych i logikę raportu opisujemy szerzej w tekście o tym, co i jak raportują dostawcy usług krypto.

Czwarta warstwa to dokumentacja i sankcje. Dostawca ma obowiązek przechowywać dowody wykonania procedur należytej staranności oraz dane stanowiące podstawę raportów przez okres wskazany w przepisach, tak by administracja mogła zweryfikować rzetelność zgłoszeń. Niedopełnienie obowiązków — brak rejestracji, zaniechanie procedur weryfikacyjnych, nieprzekazanie raportu lub przekazanie danych niekompletnych — jest zagrożone sankcjami przewidzianymi w ustawie. To sankcje adresowane do dostawcy jako instytucji raportującej, a nie do indywidualnego użytkownika giełdy.

Terminy: od kiedy dane trafiają do KAS

Harmonogram warto czytać w dwóch krokach. Pierwszym rokiem raportowanym jest rok kalendarzowy 2026 — to znaczy, że już od początku 2026 r. dostawcy powinni gromadzić dane o użytkownikach i ich transakcjach. Zbieranie informacji wyprzedza więc moment, w którym cokolwiek zostanie przekazane fiskusowi.

Drugim krokiem jest przekazanie i wymiana. Pierwsze raporty za 2026 rok trafią do Szefa KAS w 2027 r., a wymiana informacji między administracjami państw członkowskich nastąpi w ciągu dziewięciu miesięcy od zakończenia roku kalendarzowego — czyli w przypadku danych za 2026 rok do końca września 2027 r. Rok 2027 jest zatem pierwszym, w którym system zacznie realnie wymieniać dane, mimo że obowiązek ich zbierania sięga początku 2026 r.

Ten rozdział w czasie ma znaczenie praktyczne. Transakcja zawarta na początku 2026 r. jest objęta raportowaniem, nawet jeżeli dostawca zdążył wdrożyć pełne procedury dopiero w trakcie roku. Dlatego założenie, że przepisy dotyczą wyłącznie przyszłości i nie sięgają wcześniejszej aktywności z 2026 r., jest błędne.

Cykl jest przy tym roczny i powtarzalny. Za każdy kolejny rok kalendarzowy dostawca składa odrębny raport, a KAS wymienia dane z zagranicą w tym samym dziewięciomiesięcznym oknie. Oznacza to, że po pierwszym pełnym cyklu obraz aktywności użytkowników na platformach staje się dla administracji danymi rutynowymi, a nie jednorazowym zdarzeniem — porównywalnymi z corocznymi informacjami, które fiskus od lat otrzymuje z banków i domów maklerskich.

Co to zmienia dla polskiego użytkownika

Z perspektywy osoby korzystającej z giełdy DAC8 w polskim wydaniu oznacza przede wszystkim koniec faktycznej anonimowości wobec fiskusa. Przy zakładaniu konta lub aktualizacji danych platforma poprosi o potwierdzenie rezydencji podatkowej i podanie numeru identyfikacji podatkowej. Zebrane w ten sposób informacje, wraz z zagregowanym obrazem transakcji, trafią do Szefa KAS — a jeśli użytkownik jest polskim rezydentem korzystającym z zagranicznej platformy, dane wrócą do Polski w ramach wymiany między administracjami.

Jedno rozróżnienie łatwo tu przeoczyć. DAC8 zajmuje się raportowaniem i wymianą informacji, a wysokości daniny nie dotyka — stawka podatku pozostaje nietknięta. Dochód z odpłatnego zbycia walut wirtualnych nadal rozlicza się w Polsce według stawki 19% i wykazuje w zeznaniu PIT-38; ani dyrektywa, ani jej krajowe wdrożenie tego nie ruszają. Rośnie za to poziom przejrzystości: administracja skarbowa uzyskuje niezależne źródło danych, z którym może zestawić to, co podatnik sam zadeklarował.

Dla osoby, która rzetelnie rozlicza swoje transakcje, praktyczna zmiana jest niewielka — poza dodatkowymi formalnościami przy weryfikacji tożsamości. Dla tych, którzy traktowali korzystanie z zagranicznych platform jako sposób na pozostanie poza zasięgiem krajowego fiskusa, DAC8 zamyka tę drogę. KAS przestaje być zależna wyłącznie od dobrowolnych deklaracji i zyskuje narzędzie, które pozwala porównać zgłoszony dochód z rzeczywistą aktywnością na giełdach.

Więcej przejrzystości, te same stawki

Wdrożenie DAC8 w Polsce najlepiej rozumieć jako domknięcie luki informacyjnej, a nie jako zaostrzenie samego opodatkowania. Stawki i zasady rozliczenia pozostają te same — nowa jest droga, którą dane o transakcjach docierają do Szefa KAS, oraz automatyzm, z jakim krążą między państwami. Dla dostawców oznacza to konkretne obowiązki: rejestrację, należytą staranność, coroczny raport i dokumentację pod rygorem sankcji. Dla użytkownika giełdy oznacza to jedno praktyczne przesłanie: rozliczenie krypto w PIT-38 przestaje być kwestią zaufania i staje się kwestią danych, które administracja i tak otrzyma.