Travel Rule: obowiązek przekazywania danych przy transferach krypto

Wypłacając kryptowaluty z jednej giełdy na drugą, użytkownik od pewnego czasu bywa proszony o podanie nie tylko adresu portfela, ale i danych osoby, do której wysyła środki. Nie jest to kaprys pojedynczej platformy — to skutek unijnej regulacji, która nakazała dostawcom usług dołączać do transferów kryptoaktywów zestaw informacji o obu stronach transakcji. Rozwiązanie to, wzorowane na standardach obowiązujących od dawna w przelewach bankowych, w świecie krypto przyjęło się pod angielską nazwą Travel Rule — bo dane mają “podróżować” razem z transferem.

Podstawą prawną jest rozporządzenie (UE) 2023/1113, czyli przekształcona wersja unijnego rozporządzenia o informacjach towarzyszących transferom środków pieniężnych (w skrócie TFR — Transfer of Funds Regulation). Nowelizacja rozszerzyła te wymogi na transfery kryptoaktywów, a przepisy zaczęły obowiązywać 30 grudnia 2024 r. — dokładnie w tym samym dniu, w którym ruszył reżim licencjonowania dostawców usług w rozporządzeniu MiCA. Oba akty tworzą razem spójny system: MiCA określa, kto może świadczyć usługi krypto w Unii, a Travel Rule mówi, jakie dane musi przekazywać przy każdym przesyłanym transferze.

Na czym polega Travel Rule

Mechanizm sprowadza się do jednej zasady: informacja o stronach transakcji ma towarzyszyć samemu transferowi. Gdy klient zleca wysłanie kryptoaktywów, dostawca obsługujący nadawcę (w rozporządzeniu nazywanego originatorem, czyli osobą inicjującą transfer) musi zapewnić, że wraz z transakcją przekazane zostaną dane identyfikujące tego nadawcę. Po drugiej stronie dostawca obsługujący odbiorcę (beneficjenta) odbiera te dane, sprawdza ich kompletność i uzupełnia informacje o samym odbiorcy.

Zgodnie z art. 14 rozporządzenia dane o nadawcy muszą zostać przekazane przed wykonaniem transferu kryptoaktywów, wraz z nim lub jednocześnie z nim. Nie wystarczy zatem udostępnić ich na żądanie — mają być dostarczone w powiązaniu z transakcją. Ważne zastrzeżenie: przepis nie wymaga, aby wszystkie te informacje zapisywać bezpośrednio w łańcuchu bloków. Dane mogą podróżować odrębnym, bezpiecznym kanałem między dostawcami, byle były powiązane z konkretnym transferem.

Adresatem obowiązków jest dostawca usług w zakresie kryptoaktywów (CASP — Crypto-Asset Service Provider), a więc licencjonowana giełda, kantor internetowy czy podmiot prowadzący portfel powierniczy. Regulacja nie nakłada obowiązków na osobę prywatną przesyłającą własne środki między swoimi portfelami — dotyczy pośredników, przez których transfer przechodzi.

Jakie dane są przekazywane

Zakres wymaganych informacji jest szczegółowy i różni się nieco dla obu stron. W przypadku nadawcy (art. 14) transfer musi być opatrzony następującymi danymi:

• imię i nazwisko lub nazwa (w przypadku podmiotu);
• adres w rozproszonym rejestrze (adres portfela), o ile transfer jest z nim powiązany;
• numer rachunku kryptoaktywów, jeśli taki rachunek istnieje;
• adres zamieszkania wraz z nazwą państwa, numer urzędowego dokumentu tożsamości oraz numer identyfikacyjny klienta lub — alternatywnie — data i miejsce urodzenia;
• aktualny identyfikator podmiotu prawnego (LEI) lub inny równoważny identyfikator, jeżeli jest dostępny.

Po stronie odbiorcy zestaw danych (art. 14) jest węższy: imię i nazwisko lub nazwa, adres w rozproszonym rejestrze, numer rachunku kryptoaktywów, jeśli istnieje, oraz identyfikator LEI, o ile ma zastosowanie. Zanim środki zostaną udostępnione beneficjentowi, jego dostawca — zgodnie z art. 16 — ma obowiązek zweryfikować dokładność informacji o odbiorcy — a przy braku wymaganych danych o nadawcy wdrożyć procedury pozwalające ocenić, czy transfer wykonać, odrzucić, zawiesić czy zwrócić.

To rozróżnienie bywa mylone z ogólnym obowiązkiem poznania klienta. Oba mechanizmy trzeba od siebie oddzielić: Travel Rule reguluje przekazywanie danych o konkretnym transferze między dostawcami, natomiast identyfikacja i weryfikacja klienta przy zakładaniu konta to szerszy zestaw obowiązków z zakresu przeciwdziałania praniu pieniędzy, opisany osobno w tekście o obowiązkach KYC i AML na giełdach. W praktyce jedno opiera się na drugim — dane, które “podróżują” z transferem, pochodzą właśnie z wcześniejszej weryfikacji tożsamości klienta.

Gdy transfer odbywa się między dwoma różnymi dostawcami, informacje trafiają od jednego do drugiego. Bardziej złożona jest sytuacja, w której po drugiej stronie stoi dostawca spoza Unii — wtedy unijny CASP musi ocenić, czy jego zagraniczny odpowiednik jest w stanie przyjąć i przechować wymagane dane zgodnie z równoważnymi standardami. Rozporządzenie przewiduje na te przypadki procedury oparte na ocenie ryzyka, tak aby transfery do jurysdykcji o słabszym nadzorze nie stały się luką w systemie.

Brak progu: dlaczego liczy się każda kwota

Najwięcej pytań budzi kwestia wartości transakcji. W tradycyjnych przelewach część obowiązków informacyjnych uruchamia się dopiero po przekroczeniu progu 1000 EUR — poniżej tej kwoty wymogi są ograniczone. Wiele osób odruchowo przenosi tę zasadę na kryptoaktywa i zakłada, że drobne transfery są zwolnione. Tymczasem tu jest inaczej.

Dla transferów kryptoaktywów nie ma progu de minimis. Rozporządzenie w motywie 30 wprost stwierdza, że wymogi obejmują “wszystkie transfery kryptoaktywów” niezależnie od ich wartości. Powód jest praktyczny: kryptoaktywa można przesyłać w dowolnie dużej liczbie mikrotransakcji, a każdy próg kwotowy tworzyłby prostą drogę do obejścia przepisów przez dzielenie transferu na mniejsze części (tzw. smurfing). Dlatego prawodawca unijny objął obowiązkiem każdą transakcję — od równowartości kilku złotych po wielomilionowe transfery. Tym Travel Rule dla krypto różni się fundamentalnie od reguł znanych z bankowości.

W rezultacie giełda dołącza komplet danych zarówno do wypłaty wartej tysiące euro, jak i do przelewu na kilka centów. Z punktu widzenia zwykłego użytkownika oznacza to, że nie istnieje “bezpieczna” kwota, przy której formalności odpadają.

Portfele prywatne i wyjątek związany z progiem 1000 EUR

Osobną kategorię stanowią transfery z lub do tzw. portfeli niepowierniczych (self-hosted lub unhosted wallets) — czyli takich, którymi użytkownik zarządza samodzielnie, bez pośrednictwa dostawcy. Klasycznym przykładem jest wypłata z giełdy na własny portfel sprzętowy albo aplikację, w której to sam użytkownik kontroluje klucze prywatne.

Tu pojawia się jedyny w tej regulacji próg 1000 EUR — ale w zupełnie innym znaczeniu, niż sugeruje mit o kwocie wolnej. Zgodnie z art. 14 ust. 5 rozporządzenia, gdy transfer do lub z adresu niepowierniczego przekracza 1000 EUR, dostawca ma dodatkowy obowiązek: musi ustalić, czy dany adres rzeczywiście należy do jego klienta lub jest przez niego kontrolowany. W praktyce sprowadza się to do potwierdzenia własności adresu — na przykład poprzez podpisanie komunikatu kluczem prywatnym, wykonanie mikroprzelewu weryfikacyjnego albo złożenie stosownego oświadczenia w połączeniu z dodatkowymi środkami kontroli.

Poniżej 1000 EUR taka weryfikacja własności adresu prywatnego co do zasady nie jest wymagana. Nie znika jednak obowiązek zachowania czujności — jeśli okoliczności transakcji budzą podejrzenia (na przykład powtarzalne wzorce sugerujące obchodzenie progu), dostawca musi zastosować wzmożone środki należytej staranności. Granica tego wyjątku jest tu istotna: próg 1000 EUR dotyczy wyłącznie dodatkowej weryfikacji własności portfela niepowierniczego, a nie samego obowiązku gromadzenia i przekazywania danych, który — jak wyżej — obejmuje każdą kwotę.

Z tym progiem wiąże się jeszcze jedno błędne przekonanie. Przepis nie zakazuje wypłacania krypto na portfel prywatny ani nie wymaga, by portfel niepowierniczy był w jakikolwiek sposób “rejestrowany”. Dostawca ma jedynie upewnić się, że przy transferze powyżej progu adres należy do jego klienta — cel jest taki, aby giełda nie stała się narzędziem do przerzucania środków na adresy kontrolowane przez osoby trzecie w sposób ukrywający rzeczywistego beneficjenta. Suwerenność użytkownika nad własnymi kluczami pozostaje nienaruszona.

Po co to wszystko: identyfikowalność transferów

Celem regulacji jest przeciwdziałanie praniu pieniędzy i finansowaniu terroryzmu. Anonimowość transferów krypto przez lata utrudniała organom ściganie nadużyć: środki mogły przechodzić przez kolejne adresy bez śladu wiążącego je z konkretną osobą. Travel Rule ma tę lukę zamknąć, wprowadzając identyfikowalność (traceability) — możliwość odtworzenia, kto wysłał środki i do kogo trafiły, na każdym etapie ich przepływu między dostawcami.

Nie oznacza to jawności transakcji dla postronnych. Dane nie są publikowane ani zapisywane w łańcuchu bloków do wglądu każdego — pozostają w rękach dostawców i podlegają przepisom o ochronie danych osobowych. Dostawca może je przetwarzać wyłącznie w celach przeciwdziałania praniu pieniędzy i finansowaniu terroryzmu; wykorzystanie ich do innych celów, na przykład marketingowych, jest zakazane. Dostęp do informacji mają natomiast organy właściwe w sprawach AML.

W Polsce jednostką analityki finansowej odpowiedzialną za ten obszar jest Generalny Inspektor Informacji Finansowej (GIIF), działający w strukturze Ministerstwa Finansów. To do niego trafiają zgłoszenia o transakcjach podejrzanych i to on nadzoruje wykonywanie obowiązków AML przez instytucje obowiązane, w tym dostawców usług krypto. Rozporządzenie 2023/1113 obowiązuje bezpośrednio we wszystkich państwach członkowskich, więc krajowy ustawodawca nie musi przepisywać jego treści do polskiej ustawy — samodzielnie wiąże ono dostawców działających na naszym rynku, a rolą przepisów krajowych pozostaje głównie określenie sankcji i wskazanie organów nadzoru.

Co Travel Rule zmienia dla użytkownika

Dla przeciętnego posiadacza kryptowalut skutki są konkretne i odczuwalne przy każdym większym ruchu środków. Przy przesyłaniu krypto między giełdami platforma może poprosić o wskazanie, kim jest odbiorca — imię, nazwisko, a niekiedy nazwę docelowego dostawcy. Przy wypłacie na własny portfel prywatny o wartości powyżej 1000 EUR należy liczyć się z koniecznością potwierdzenia, że adres docelowy faktycznie należy do nas. Transfer, do którego nie da się dołączyć wymaganych danych albo w którym dane są niekompletne, może zostać wstrzymany, cofnięty lub odrzucony.

Ta dodatkowa formalność bywa odbierana jako utrudnienie, ale jej logika jest ta sama, co przy przelewach bankowych, w których nikogo nie dziwi, że przelew zawiera dane nadawcy i odbiorcy. Efektem ubocznym, korzystnym dla użytkownika, jest podniesienie standardu bezpieczeństwa całego rynku: legalnie działający dostawca musi wiedzieć, z kim i dokąd przepływają środki, co utrudnia wykorzystanie giełd do nielegalnych przepływów.

Travel Rule obowiązuje przy tym pośredników działających legalnie w Unii. Transakcje realizowane w pełni poza regulowanym systemem — między dwoma portfelami prywatnymi, bez udziału jakiegokolwiek dostawcy — pozostają poza jej bezpośrednim zasięgiem. Regulacja nie znosi więc technicznej możliwości anonimowego przesyłania krypto, lecz obejmuje ramami prawnymi ten punkt, w którym świat kryptoaktywów styka się z licencjonowanymi usługami: giełdą, kantorem czy portfelem powierniczym. I właśnie tam, gdzie przeciętny użytkownik najczęściej się porusza, dane o transferze będą odtąd podróżować razem z nim.