AML a RODO: jakie dane klientów zbierać i jak długo je przechowywać?

Instytucja obowiązana musi poznać swojego klienta i zachować dowody wykonanej weryfikacji. Jednocześnie odpowiada za to, aby nie zbierać danych nadmiarowych ani nie przechowywać ich bez końca. Jak pogodzić te wymagania? Kluczem jest przypisanie każdej kategorii informacji do konkretnego obowiązku, celu i terminu przechowywania.

Powołanie się na AML nie usprawiedliwia dowolnego kopiowania dokumentów. Z kolei RODO nie pozwala klientowi skutecznie zażądać usunięcia dokumentacji, którą instytucja nadal musi przechowywać na podstawie ustawy. Prawidłowo zaprojektowany proces łączy oba porządki: zbiera potrzebne dane, dokumentuje czynności i pozwala ustalić, kiedy kończy się podstawa dalszego przechowywania.

Stan prawny: 2 listopada 2026 r. Artykuł dotyczy polskich instytucji obowiązanych. Przyszłe zasady wynikające z rozporządzenia AMLR zostały omówione oddzielnie.

Czy AML ma pierwszeństwo przed RODO?

Ustawa AML określa obowiązki identyfikacji i weryfikacji klienta, ustalania beneficjenta rzeczywistego, oceny ryzyka, monitorowania relacji oraz przechowywania dokumentacji. RODO wyznacza zasady przetwarzania danych osobowych podczas realizacji tych obowiązków.¹²

Podstawą przetwarzania zwykłych danych osobowych niezbędnych do wykonania obowiązków AML jest co do zasady art. 6 ust. 1 lit. c RODO, czyli obowiązek prawny ciążący na administratorze, w związku z właściwymi przepisami ustawy AML. Instytucja nie potrzebuje do tego zgody klienta. Cofnięcie zgody marketingowej nie znosi obowiązku zachowania dokumentacji AML.

Pozostają jednak aktualne zasady z art. 5 RODO, w szczególności:

• ograniczenie celu: dane zebrane na potrzeby AML mają służyć określonemu celowi; wykorzystanie ich w innym celu wymaga odrębnej oceny prawnej;
• minimalizacja: zakres informacji powinien odpowiadać obowiązkowi i okolicznościom sprawy;
• prawidłowość: błędne dane należy korygować, a informacje o aktywnej relacji aktualizować;
• ograniczenie przechowywania: każda kategoria danych powinna mieć uzasadniony okres retencji;
• bezpieczeństwo i rozliczalność: instytucja ma chronić dane i umieć wykazać, dlaczego oraz jak je przetwarza.

Minimalizacja nie oznacza pomijania informacji wymaganych ustawą. Oznacza możliwość uzasadnienia, po co zbieramy każdą z nich.

Najpierw trzeba też ustalić, czy konkretny podmiot, usługa i sytuacja rzeczywiście podlegają obowiązkom AML. Samo sprawdzanie kontrahentów lub korzystanie z programu do weryfikacji nie nadaje przedsiębiorcy uprawnień instytucji obowiązanej. Podstawy przetwarzania w procesach sankcyjnych, przeciwdziałania oszustwom czy zwykłej weryfikacji B2B trzeba oceniać zgodnie z ich rzeczywistym celem.

Jakie dane klientów, reprezentantów i beneficjentów zbierać?

Identyfikacja polega na ustaleniu wymaganych danych osoby lub firmy. Ich zakres określa art. 36 ustawy AML i zależy od tego, czy identyfikujemy klienta, osobę działającą w jego imieniu, czy beneficjenta rzeczywistego. Poniższa tabela pokazuje, jakie dane należy ustalić w każdej z tych sytuacji.¹

W przypadku spółki zakres danych reprezentanta zależy także od jego udziału w obsługiwanej sprawie. Przy identyfikacji samej spółki ustalamy imię i nazwisko osoby ją reprezentującej, PESEL albo datę urodzenia, jeśli nie nadano PESEL, oraz państwo urodzenia. Jeśli ta osoba działa w imieniu spółki, np. zawiera z nami umowę, ustalamy dodatkowo jej obywatelstwo oraz serię i numer dokumentu tożsamości. Tę różnicę w zakresie danych określa art. 36 ust. 1 pkt 2 lit. e oraz ust. 3 ustawy AML.¹

Zebrane dane trzeba również potwierdzić — temu służy weryfikacja. Nie oznacza to jednak, że od każdego klienta, reprezentanta i beneficjenta trzeba uzyskać skan dowodu. Art. 37 dopuszcza potwierdzanie danych także na podstawie innych dokumentów lub informacji z wiarygodnego i niezależnego źródła. Przy beneficjencie nie wolno polegać wyłącznie na CRBR. Zakres pozyskiwanych materiałów powinien odpowiadać rozpoznanemu ryzyku i potrzebie potwierdzenia danych; sam obowiązek weryfikacji nie uzasadnia gromadzenia dokumentów na zapas.¹

Kiedy wolno pytać o źródło pieniędzy, majątek i cel współpracy?

Lista z art. 36 nie wyczerpuje wszystkich informacji potrzebnych w AML. Art. 34 obejmuje również ocenę celu i zamierzonego charakteru relacji, monitorowanie transakcji oraz badanie źródła pochodzenia wartości majątkowych w przypadkach uzasadnionych okolicznościami. Dodatkowe obowiązki mogą wynikać ze stosowania wzmożonych środków bezpieczeństwa finansowego, w tym wobec osób zajmujących eksponowane stanowiska polityczne, czyli PEP.¹

Zakres pytań powinien wynikać z ryzyka i konkretnego obowiązku. Przykładowo:

• przy ocenie nietypowej wpłaty potrzebne mogą być informacje o jej celu oraz dokument potwierdzający źródło środków;
• przy złożonej strukturze właścicielskiej uzasadnione może być pozyskanie dokumentów pokazujących kolejne poziomy własności i kontroli;
• w przypadku PEP ustawa przewiduje odpowiednie środki służące ustaleniu źródła majątku klienta oraz źródła wartości majątkowych związanych z relacją lub transakcją.

Praktyczna rekomendacja: zamiast żądać od każdego klienta pełnej historii rachunku, określ, jaką okoliczność musisz potwierdzić i jaki zakres dokumentu pozwoli to zrobić. Jeżeli wystarcza potwierdzenie jednej transakcji, wielomiesięczny wyciąg ze wszystkimi wydatkami wymaga dodatkowego uzasadnienia. Ewentualne ograniczenie zakresu dokumentu nie może jednak uniemożliwiać wymaganej analizy ani podważać wiarygodności dowodu.

GIIF podkreśla, że instytucja powinna oceniać uzyskane informacje, a nie ograniczać się do ich zebrania. Oświadczenie klienta nie zwalnia z analizy jego wiarygodności i spójności z pozostałą wiedzą o relacji.³

Czy trzeba robić kopię dowodu osobistego?

Ustawa AML pozwala sporządzać kopie dokumentów tożsamości, ale nie nakazuje kopiować dowodu każdego klienta. Dotyczy to zarówno ksero, jak i skanu czy zdjęcia dowodu osobistego. Art. 34 ust. 4 przewiduje takie uprawnienie na potrzeby stosowania środków bezpieczeństwa finansowego w odniesieniu do dokumentów klienta i osoby upoważnionej do działania w jego imieniu.¹

Rekomendujemy wybieranie metod weryfikacji, które pozwalają potwierdzić tożsamość i udokumentować wynik bez przechowywania skanu dokumentu. Warto ocenić to już przy projektowaniu procesu lub wyborze dostawcy usługi. Jeśli dana metoda wymaga zachowywania obrazów dokumentów, porównaj ją z innymi rozwiązaniami, które pozwolą równie skutecznie wykonać obowiązki AML przy mniejszym zakresie przechowywanych danych.

Sprawdź, jakie potwierdzenie wykonanej weryfikacji otrzymasz, jakie dane będzie ono zawierać i czy pozwoli wykazać, kogo, kiedy i w jaki sposób zweryfikowano oraz z jakim wynikiem. Sam komunikat „weryfikacja zakończona” może być niewystarczający. Celem jest zachowanie dowodu wykonanych czynności przy ograniczeniu zbędnych danych, a przez to również skutków ich ewentualnego wycieku.

Nie rekomendujemy sporządzania ani przechowywania kopii dokumentu tożsamości, jeśli nie jest to absolutnie niezbędne do wykonania konkretnego obowiązku AML. Samo to, że wybrany program umożliwia lub wymaga zachowania skanu, nie zastępuje oceny, czy takie przetwarzanie jest niezbędne. Techniczne wykorzystanie obrazu dokumentu podczas zdalnego sprawdzenia również nie uzasadnia automatycznie jego dalszego przechowywania.

UODO wskazuje, że decyzja o kopiowaniu powinna być poprzedzona oceną niezbędności. W komunikacie z 26 sierpnia 2025 r. urząd opisał nałożenie na ING Bank Śląski kary przekraczającej 18,4 mln zł za bezpodstawne przetwarzanie danych poprzez skanowanie dokumentów także w sytuacjach niepowiązanych z obowiązkami AML.⁴

Jeśli mimo to zachowanie kopii jest konieczne, udokumentuj, dlaczego inne sposoby wykonania i udokumentowania weryfikacji są niewystarczające. Określ też zakres utrwalanych danych, dostęp do kopii i właściwy okres jej przechowywania.

Sam zapis w procedurze „zawsze kopiujemy dowód” nie zastępuje uzasadnienia. Także uzyskanie zgody klienta nie usuwa problemu zbierania danych nadmiarowych.

Selfie, biometria i informacje o karalności: dodatkowe warunki

Nie wszystkie dane w procesie weryfikacji mają ten sam status prawny. PESEL jest daną osobową o dużym znaczeniu dla bezpieczeństwa tożsamości, lecz sam w sobie nie należy do szczególnych kategorii danych z art. 9 RODO. Podobnie informacja o pełnieniu funkcji publicznej nie jest automatycznie informacją o poglądach politycznych.²

Zdjęcie twarzy nie jest automatycznie daną biometryczną szczególnej kategorii. Jeżeli jednak podlega specjalnemu przetwarzaniu technicznemu w celu jednoznacznej identyfikacji osoby, może podlegać art. 9 RODO. Dotyczy to oceny konkretnych rozwiązań porównujących twarz, a nie samej nazwy funkcji „selfie” lub „liveness”. Przegląd dostępnych rozwiązań zawiera artykuł o metodach weryfikacji tożsamości online.

Dlatego przy projektowaniu takiej ścieżki trzeba ocenić nie tylko podstawę z art. 6 RODO, lecz także odpowiednią przesłankę z art. 9 ust. 2, zakres przetwarzania, okres zachowania materiałów oraz potrzebę oceny skutków dla ochrony danych. Podobnie dane o wyrokach skazujących i naruszeniach prawa wymagają uwzględnienia art. 10 RODO. Ogólne powołanie się na AML nie zastępuje tej analizy.

Warto również oddzielić wynik weryfikacji od materiałów technicznych, z których powstał. Potrzeba zachowania dowodu zastosowania środka bezpieczeństwa finansowego nie oznacza automatycznie identycznego okresu przechowywania każdego nagrania, zdjęcia, wzorca biometrycznego i pliku diagnostycznego. Dokumenty i informacje rzeczywiście objęte art. 49 muszą jednak pozostać dostępne przez wymagany okres.

Jak długo przechowywać dokumentację AML?

Podstawowe terminy określa art. 49 ustawy AML. Najczęstszy błąd polega na sprowadzeniu ich do hasła „pięć lat od zebrania danych”. Dla dokumentacji klienta będącego w stałej relacji termin zasadniczo zaczyna biec dopiero po zakończeniu stosunków gospodarczych.¹

Termin liczymy od dnia, a nie od początku kolejnego roku

Obecne brzmienie art. 49 wskazuje dzień zakończenia stosunków gospodarczych lub przeprowadzenia transakcji okazjonalnej. Spotykana w starszych materiałach reguła liczenia od pierwszego dnia kolejnego roku pochodzi z wcześniejszego brzmienia ustawy. Nie należy stosować jej do bieżących zdarzeń według aktualnych przepisów.

Przykład: zakończenie współpracy. Biuro rachunkowe kończy stosunki gospodarcze z klientem 30 kwietnia 2026 r. Podstawowy pięcioletni okres dla dokumentacji z art. 49 ust. 1 kończy się 30 kwietnia 2031 r. Po jego upływie dokumentacja powinna zostać objęta usunięciem, jeżeli brak innej podstawy jej dalszego przechowywania. Nie przesuwamy automatycznie końca tego okresu na 31 grudnia 2031 r.

Przykład: wieloletnia relacja. Dane identyfikacyjne zebrano w 2022 r., a relacja trwa do 2030 r. Nie można usunąć dokumentacji klienta w 2027 r. tylko dlatego, że minęło pięć lat od jej pozyskania. Podstawowy okres przechowywania po zakończeniu relacji upłynie dopiero w 2035 r.

Przykład: wyniki analizy. Dla wyniku bieżącej analizy transakcji przeprowadzonej 12 lutego 2026 r. art. 49 ust. 2 wskazuje pięć lat od jej przeprowadzenia. Nie upoważnia to jednak do usunięcia powiązanych dowodów transakcji lub informacji, które nadal podlegają art. 49 ust. 1. Jeśli materiał pełni kilka funkcji, trzeba uwzględnić wszystkie właściwe podstawy i terminy.

Przy porządkowaniu starszych archiwów należy dodatkowo sprawdzić właściwe brzmienie przepisów oraz regulacje przejściowe. Zmiana reguły w aktualnej procedurze nie powinna prowadzić do mechanicznego przeliczenia całego historycznego zbioru.

Brak aktywności nie zawsze oznacza zakończenie relacji

Nie należy utożsamiać ostatniego logowania, ostatniej faktury lub pojedynczej transakcji z datą zakończenia stosunków gospodarczych. Trzeba ustalić, czy relacja faktycznie ustała, oraz zachować dowód przyjętej daty, np. wypowiedzenie lub potwierdzenie zamknięcia usługi.

Jednocześnie samo pozostawienie nieaktywnego rekordu w bazie nie uzasadnia bezterminowego uznawania relacji za trwającą. Procedura powinna określać sposób identyfikacji i zamykania zakończonych stosunków gospodarczych.

Czy można przyjąć dziesięć lat dla wszystkich klientów?

Art. 49 ust. 3 pozwala GIIF, po ocenie konieczności i proporcjonalności, zażądać dalszego przechowywania dokumentacji przez okres nie dłuższy niż kolejne pięć lat. GIIF może wystąpić z takim żądaniem przed upływem podstawowego okresu przechowywania, a dodatkowy okres liczy się od dnia jego upływu. Nie jest to ogólne uprawnienie instytucji do ustalenia dziesięcioletniej retencji „na wszelki wypadek”. Dodatkowo art. 49 ust. 4 wyłącza ten mechanizm wobec kategorii instytucji wskazanych w art. 2 ust. 1 pkt 13–18 i 21–23.¹

Inny przepis lub konkretna potrzeba ustalenia, dochodzenia albo obrony roszczeń mogą uzasadniać dalsze zachowanie określonych danych. Trzeba jednak odrębnie udokumentować podstawę, zakres i termin. Obowiązek przechowywania faktury nie oznacza automatycznie obowiązku zachowania całej teczki KYC, wszystkich skanów i korespondencji.

Co zrobić, gdy klient żąda usunięcia danych?

Prawo do usunięcia danych nie jest bezwzględne. Art. 17 ust. 3 lit. b RODO przewiduje wyjątek, gdy przetwarzanie jest niezbędne do wykonania obowiązku prawnego. Jeśli nadal biegnie okres przechowywania dokumentacji AML, instytucja co do zasady musi ją zachować.²

Nie uzasadnia to jednak odpowiedzi „AML wyłącza wszystkie prawa klienta”. Należy:

1. Sprawdzić tożsamość wnioskodawcy w proporcjonalny sposób i ustalić zakres żądania. Nie oznacza to automatycznego żądania dokumentu tożsamości lub jego skanu. Zgodnie z art. 12 ust. 6 RODO dodatkowych informacji niezbędnych do potwierdzenia tożsamości można żądać, gdy istnieją uzasadnione wątpliwości co do tego, kto składa wniosek.
2. Rozdzielić dane wymagane w AML od danych marketingowych, zbędnych duplikatów i informacji przetwarzanych w innych celach.
3. Ustalić, które informacje nadal podlegają obowiązkowi przechowywania.
4. Usunąć dane, dla których nie ma dalszej podstawy, a w pozostałym zakresie wyjaśnić przyczynę odmowy i właściwy okres lub kryteria retencji. Przy odmowie poinformować również o możliwości wniesienia skargi do Prezesa UODO oraz skorzystania ze środków ochrony prawnej przed sądem, zgodnie z art. 12 ust. 4 RODO.
5. Odpowiedzieć w terminie wynikającym z art. 12 RODO, zasadniczo w ciągu miesiąca; ewentualne przedłużenie wymaga spełnienia warunków wskazanych w tym przepisie.

Prawo do sprzeciwu z art. 21 ust. 1 RODO dotyczy przetwarzania opartego na art. 6 ust. 1 lit. e lub f, czyli zadaniu realizowanym w interesie publicznym lub sprawowaniu władzy publicznej albo prawnie uzasadnionym interesie. Nie przysługuje wobec przetwarzania niezbędnego do wykonania obowiązku prawnego na podstawie art. 6 ust. 1 lit. c. Nadal trzeba jednak poprawiać błędy i rozpatrywać wnioski o dostęp do danych.²

Przy realizowaniu praw należy uwzględnić również tajemnicę z art. 54 ustawy AML, obejmującą m.in. fakt przekazania informacji właściwym organom i informacje o określonych analizach. Odpowiedź na wniosek RODO nie może prowadzić do zakazanego ujawnienia tych informacji. Każde ograniczenie wymaga konkretnej podstawy i oceny zakresu; nie jest uzasadnione automatyczne wyłączanie wszystkich praw.

Jak poinformować klienta o przetwarzaniu danych?

Art. 34 ust. 5 ustawy AML nakazuje poinformować klienta o przetwarzaniu danych przed nawiązaniem stosunków gospodarczych lub przeprowadzeniem transakcji okazjonalnej. Obowiązek ten trzeba połączyć z art. 13 lub 14 RODO, odpowiednio do źródła danych.¹²

Jeżeli dane zbierane są bezpośrednio od osoby, której dotyczą, art. 13 RODO wymaga przekazania informacji podczas pozyskiwania danych, z uwzględnieniem wyjątku z ust. 4, gdy osoba już nimi dysponuje. Jeśli klient wypełnia formularz przed zawarciem umowy, nie należy odkładać przekazania informacji do chwili jej podpisania.²

Informacja powinna jasno wyjaśniać m.in.:

• kto jest administratorem i jak się z nim skontaktować;
• w jakich celach i na jakich podstawach przetwarzane są dane;
• komu mogą być ujawniane, w tym właściwym organom oraz dostawcom działającym w odpowiedniej roli;
• przez jaki okres będą przechowywane albo jak ustala się ten okres;
• jakie prawa przysługują osobie i jak złożyć skargę do Prezesa UODO;
• czy podanie danych jest obowiązkiem ustawowym i jakie są konsekwencje ich niepodania;
• czy występują transfery poza EOG lub zautomatyzowane decyzje wymagające dodatkowych informacji.

Ogólne zdanie „dane przechowujemy zgodnie z prawem” nie wyjaśnia mechanizmu retencji. Lepiej wskazać kategorie dokumentacji, właściwe zdarzenia rozpoczynające terminy i możliwość ich przedłużenia w przypadkach przewidzianych prawem.

Nie należy pomijać beneficjentów rzeczywistych i reprezentantów tylko dlatego, że dane przekazała spółka lub pobrano je z rejestru. Dla danych pozyskanych pośrednio trzeba ocenić art. 14 RODO, jego terminy oraz ewentualne wyjątki, w tym art. 14 ust. 5 lit. c. Korzystanie z wyjątku należy uzasadnić; sama publiczna dostępność informacji nie rozstrzyga sprawy.

Brak możliwości zastosowania wymaganego środka bezpieczeństwa finansowego może wywołać skutki z art. 41 ustawy AML, np. odmowę nawiązania relacji. Nie należy jednak powoływać się na ten przepis w celu wymuszenia danych, których instytucja nie potrzebuje do realizacji obowiązków.

Chmura i dostawca systemu: kto odpowiada za dane?

Instytucja obowiązana pozostaje co do zasady administratorem danych osobowych przetwarzanych przez nią w celu realizacji jej obowiązków AML. Dostawca aplikacji, który przetwarza dokumentację w jej imieniu, działa w tym zakresie jako podmiot przetwarzający. Role należy ustalać dla konkretnych operacji, ponieważ dostawca może być odrębnym administratorem np. danych rozliczeniowych swoich użytkowników.²

Przy wyborze rozwiązania należy ustalić warunki powierzenia zgodnie z art. 28 RODO, dalszego powierzenia, zabezpieczenia danych, obsługi incydentów, ewentualnych transferów poza EOG oraz zwrotu lub usunięcia danych po zakończeniu usługi.

Rezygnacja z abonamentu na program nie kończy obowiązku przechowywania dokumentacji klientów. Przed zamknięciem konta trzeba zapewnić dalszy dostęp do wymaganych dokumentów i informacji, np. przez uzgodniony eksport i przeniesienie do innego zabezpieczonego środowiska. Obowiązek retencji spoczywający na instytucji nie oznacza, że każdy jej dawny dostawca ma samodzielnie przechowywać te same dane przez pięć lat.

Jak przełożyć przepisy na codzienną pracę?

Art. 50 ust. 2 pkt 5 ustawy AML wymaga określenia w procedurze zasad przechowywania dokumentów i informacji. W praktyce procedura powinna obejmować cały obieg danych, również kopie w poczcie, eksporty i dokumentację papierową.¹

Dobrym punktem wyjścia jest mapa danych z pięcioma elementami: kategoria informacji, cel i podstawa, miejsce przechowywania, zdarzenie rozpoczynające termin oraz sposób zakończenia przechowywania.

To rekomendacje dotyczące organizacji procesu. Dobór zabezpieczeń powinien odpowiadać ryzyku zgodnie z art. 32 RODO. Dla kopii dokumentów tożsamości znaczenie mają m.in. kontrola dostępu, bezpieczne przekazywanie, szyfrowanie odpowiednie do ryzyka oraz ograniczenie liczby miejsc przechowywania.

Jak SystemAML pomaga uporządkować dane i dokumentację?

Zgodność z AML i RODO jest trudniejsza, gdy formularz klienta znajduje się w jednej skrzynce, skan dokumentu w drugiej, a wynik sprawdzenia na liście sankcyjnej na komputerze pracownika. Porządek w dokumentacji ułatwia zarówno wykazanie wykonanych czynności, jak i kontrolowanie zakresu przetwarzanych informacji.

SystemAML łączy rejestr podmiotów, ocenę ryzyka z uzasadnieniem i historią zmian, sprawdzenia sankcyjne oraz raporty. Pozwala powiązać informacje o kliencie z dokumentacją wykonanej weryfikacji, zamiast odtwarzać ją z rozproszonych plików.⁵

Moduł KYC SystemAML umożliwia przekazanie klientowi linku do formularza oraz wykorzystanie integracji z rejestrami publicznymi. Ogranicza to ręczne przepisywanie danych i ułatwia prowadzenie spójnego procesu ich pozyskiwania.⁶

Takie uporządkowanie pomaga wdrożyć własne zasady dostępu, aktualizacji i retencji. Administrator nadal ustala wymagany zakres danych, podstawy przetwarzania oraz terminy, a sposób archiwizacji, eksportu i usuwania powinien dopasować do używanej usługi i procedury. Samo korzystanie z aplikacji nie zastępuje tych decyzji.

Chcesz uporządkować weryfikację klientów i dokumentację AML? Poznaj SystemAML i sprawdź, jak połączyć zbieranie danych, ocenę ryzyka oraz dokumentowanie wyników w jednym procesie.

Co zmieni się od 10 lipca 2027 r.?

Rozporządzenie (UE) 2024/1624, czyli AMLR, będzie co do zasady stosowane od 10 lipca 2027 r. Dla określonych w nim podmiotów sektora piłkarskiego przewidziano późniejszy termin. Nie należy przedstawiać nowych reguł jako już obowiązujących zasad polskiej ustawy AML.⁷

Z perspektywy danych szczególne znaczenie mają:

• art. 76: warunki przetwarzania szczególnych kategorii danych oraz danych dotyczących wyroków skazujących i naruszeń prawa, zakaz przetwarzania danych na podstawie AMLR do celów handlowych oraz warunki podejmowania decyzji w procesach zautomatyzowanych, w tym z wykorzystaniem profilowania i systemów sztucznej inteligencji;
• art. 77: zakres dokumentacji i pięcioletnia retencja liczona od zakończenia relacji, przeprowadzenia transakcji okazjonalnej, a także odmowy nawiązania relacji lub wykonania transakcji; przewidziano również usuwanie po upływie tego okresu z uwzględnieniem innych zgodnych z RODO podstaw przechowywania oraz możliwości dalszej retencji wymaganej przez właściwy organ;
• art. 78: zdolność szybkiego i poufnego odpowiadania organom na pytania o relacje z określonymi osobami.

W przypadku decyzji będących wynikiem procesów zautomatyzowanych, w tym profilowania, lub procesów z udziałem systemów sztucznej inteligencji art. 76 ust. 5 wymaga m.in., aby decyzje o nawiązaniu, odmowie nawiązania lub utrzymaniu relacji, wykonaniu lub odmowie wykonania transakcji okazjonalnej oraz zwiększeniu lub zmniejszeniu zakresu środków należytej staranności podlegały znaczącej interwencji człowieka. Przewiduje też możliwość uzyskania przez klienta wyjaśnienia i zaskarżenia decyzji, z wyjątkiem dotyczącym zgłoszenia podejrzanych transakcji na podstawie art. 69. To warunki, które trzeba uwzględnić przy przygotowywaniu automatyzacji do stosowania AMLR.⁷

Wyraźne wskazanie daty odmowy jest istotne dla nieukończonych procesów przyjmowania klientów. Na gruncie obecnego art. 49 polskiej ustawy nie należy automatycznie zakładać, że dane każdej osoby, która rozpoczęła formularz i nie zawarła umowy, muszą być przechowywane przez pięć lat. Trzeba ocenić wykonane czynności, powstałą dokumentację i właściwą podstawę prawną. Reguła AMLR nie jest podstawą do jej wcześniejszego stosowania.

Przygotowania do 2027 r. warto zacząć od uporządkowania kategorii dokumentów i zdarzeń rozpoczynających retencję. Przechowywanie całego zbioru bez zdefiniowanych terminów utrudni późniejsze dostosowanie procesu.

Najczęstsze pytania

Czy klient musi wyrazić zgodę na przetwarzanie danych w AML?

Co do zasady nie. Dla zwykłych danych niezbędnych do wykonania obowiązków AML podstawą jest obowiązek prawny, a nie zgoda. Szczególne kategorie danych wymagają dodatkowej oceny art. 9 RODO. Obowiązek informacyjny pozostaje aktualny.

Czy pięć lat liczy się od wykonania skanu dowodu?

Nie, jeżeli skan stanowi dokumentację środków bezpieczeństwa finansowego w ramach stosunków gospodarczych. Dla tej kategorii art. 49 ust. 1 wiąże początek terminu z zakończeniem relacji. Odrębna reguła dotyczy wyników analiz z art. 49 ust. 2.

Czy wystarczy zachować dzisiejsze dane z rejestru zamiast historycznego wyniku weryfikacji?

Dzisiejszy wpis nie zawsze pokaże stan istniejący w dniu weryfikacji. Dokumentacja powinna pozwalać wykazać wykonane czynności i podstawę rozstrzygnięcia w odpowiednim momencie. Sam link do zmiennej treści rejestru może być niewystarczający.

Czy zamknięcie firmy zwalnia z przechowywania dokumentacji AML?

Nie należy tego zakładać. Art. 49 ust. 5 zawiera regułę dotyczącą przechowywania dokumentacji w przypadku likwidacji, połączenia, podziału lub przekształcenia instytucji. Sposób dalszego przechowywania trzeba ustalić z uwzględnieniem formy i sytuacji podmiotu.

Czy po pięciu latach trzeba usunąć wszystkie informacje o kliencie?

Należy zakończyć przechowywanie w zakresie, w którym ustały wszystkie właściwe cele i podstawy. Inne obowiązki lub uzasadniona potrzeba związana z roszczeniami mogą obejmować część informacji. Nie oznacza to prawa do zachowania całego zbioru KYC.

Czy wystarczy zmienić nazwisko klienta na numer, żeby uznać dane za anonimowe?

Nie. Jeśli osobę można nadal zidentyfikować, również przy użyciu dodatkowych informacji, dane pozostają osobowe. Pseudonimizacja nie jest równoznaczna z anonimizacją i nie znosi obowiązku określenia retencji.

Źródła i podstawy prawne

Footnotes

1. Ustawa z 1 marca 2018 r. o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu, tekst jednolity: Dz.U. z 2025 r. poz. 644, w szczególności art. 2, 33–37, 41, 43–46, 49, 50 i 54. Sprawdzono również zakres późniejszych zmian: Dz.U. z 2025 r. poz. 1669, art. 6, Dz.U. z 2026 r. poz. 875, art. 15 oraz Dz.U. z 2026 r. poz. 1206, art. 33. Nie zmieniają one omówionych zasad zakresu danych i retencji z art. 34–37 oraz 49. ↩ ↩² ↩³ ↩⁴ ↩⁵ ↩⁶ ↩⁷ ↩⁸ ↩⁹ ↩¹⁰

2. Rozporządzenie (UE) 2016/679, RODO, tekst udostępniony przez UODO, w szczególności art. 4–6, 9–10, 12–17, 21–22, 25, 28, 32, 35 i rozdział V; strona aktu w EUR-Lex. ↩ ↩² ↩³ ↩⁴ ↩⁵ ↩⁶ ↩⁷

3. GIIF, komunikat nr 45 w sprawie oceniania informacji uzyskiwanych o klientach przez instytucje obowiązane i działań w przypadku braku możliwości zastosowania środków bezpieczeństwa finansowego. ↩

4. UODO, „Bank nie może skanować dowodów osobistych klientów bez stosownej analizy celowości”, 26 sierpnia 2025 r. Materiał przywołano jako stanowisko i opis decyzji organu nadzorczego. ↩

5. SystemAML: opis funkcji systemu, weryfikacja 2 listopada 2026 r. ↩

6. SystemAML: moduł weryfikacji klienta KYC, weryfikacja 2 listopada 2026 r. ↩

7. Rozporządzenie (UE) 2024/1624, AMLR, w szczególności art. 76–78 i 90. Przepisy przyszłe odróżniono w artykule od zasad stosowanych 2 listopada 2026 r. ↩ ↩²