AML i sankcje w branży kryptowalut - obowiązki giełd, kantorów i dostawców CASP

Giełda lub kantor kryptowalut musi znać klienta, monitorować jego transakcje i - gdy uzasadniają to okoliczności - zbadać pochodzenie aktywów. Instytucja powinna także umieć wykazać, dlaczego dana transakcja została dopuszczona do realizacji. Potrzebuje też procesu, który pozwoli wykryć zmianę ryzyka, uzupełnić brakujące informacje i zareagować, zanim środki zostaną przekazane dalej.

Przy obsłudze klienta trzeba ustalić zakres weryfikacji i ocenić ryzyko. Przed wypłatą dochodzą analiza transakcji, wymagania Travel Rule oraz kontrola sankcyjna. Wyniki tych czynności powinny pozwalać podjąć i udokumentować decyzję, zanim aktywa opuszczą giełdę lub kantor.

Stan prawny: 19 października 2026 r. Artykuł omawia obowiązki giełd, kantorów i dostawców usług w zakresie kryptoaktywów wynikające z ustawy AML, rozporządzeń MiCA i TFR oraz przepisów sankcyjnych.

Kogo dotyczą obowiązki AML i co zmienia MiCA?

Polska ustawa o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu wskazuje w art. 2 ust. 1 pkt 12 podmioty prowadzące działalność gospodarczą polegającą na świadczeniu usług:

• wymiany walut wirtualnych na środki płatnicze i odwrotnie;
• wymiany pomiędzy walutami wirtualnymi;
• pośrednictwa w takich wymianach;
• prowadzenia rachunków pozwalających korzystać z jednostek walut wirtualnych, w tym przeprowadzać ich wymianę.¹

W praktyce chodzi przede wszystkim o giełdy, kantory internetowe i stacjonarne, operatorów bitomatów oraz określone usługi przechowywania i obsługi aktywów klientów. O kwalifikacji decyduje rzeczywiście wykonywana usługa. Mała skala działalności, obsługa wyłącznie online albo wymiana jednej kryptowaluty na inną nie wyłączają same w sobie obowiązków.

Samo posiadanie kryptowalut lub inwestowanie na własny rachunek nie oznacza natomiast automatycznie uzyskania statusu instytucji obowiązanej z tego przepisu. Oddzielnej analizy wymagają także dostawcy oprogramowania oraz rozwiązania, w których użytkownik samodzielnie kontroluje klucze. Trzeba ustalić, kto faktycznie świadczy usługę na rzecz klienta i jaki jest jej zakres.

Równolegle rozporządzenie MiCA posługuje się pojęciem dostawcy usług w zakresie kryptoaktywów, określanego skrótem CASP. Katalog usług obejmuje m.in. przechowywanie kryptoaktywów, prowadzenie platformy obrotu, wymianę, wykonywanie i przekazywanie zleceń, doradztwo, zarządzanie portfelem oraz transfer kryptoaktywów na rzecz klientów. Pojęcia używane w MiCA i polskiej ustawie AML wymagają osobnej kwalifikacji; nie należy traktować ich jako identycznych.² Szczegółowo relację obu reżimów omawiamy w artykule MiCA a AML - obowiązki VASP i CASP.

MiCA, AML, Travel Rule i sankcje - zakres obowiązków

Firma z branży kryptowalut musi rozpatrywać kilka uzupełniających się obszarów regulacyjnych.

Wpis do polskiego rejestru działalności w zakresie walut wirtualnych nie zastępuje uprawnienia wymaganego przez MiCA. Maksymalny okres przejściowy przewidziany w art. 143 ust. 3 MiCA zakończył się 1 lipca 2026 r. Dalsze świadczenie usług objętych MiCA wymaga właściwej podstawy zgodnej z rozporządzeniem: zezwolenia albo, w przypadku uprawnionych instytucji finansowych, spełnienia warunków szczególnego trybu przewidzianego w art. 60. Złożenie wniosku nie przedłuża samoistnie okresu przejściowego.²³

GIIF zwraca również uwagę, że działalność bez wymaganego zezwolenia MiCA zwiększa ryzyko, które muszą uwzględniać instytucje finansowe obsługujące taki podmiot. Jednocześnie oczekuje indywidualnej oceny zamiast automatycznego wykluczania całej kategorii klientów. Udokumentowany i rzeczywiście stosowany proces AML ma więc znaczenie także w relacji z bankiem.⁴

Kiedy i jak weryfikować klienta?

Kiedy trzeba stosować środki bezpieczeństwa finansowego?

W branży kryptowalut szczególnie łatwo pomylić progi dotyczące różnych obowiązków.

Podstawy tych obowiązków wynikają odpowiednio z art. 35 ustawy AML oraz art. 14 i 16 rozporządzenia 2023/1113.¹⁵ Więcej o tym, kiedy powstaje obowiązek, piszemy w artykule o środkach bezpieczeństwa finansowego przy transakcji okazjonalnej.

Próg 1000 euro dla transakcji okazjonalnej nie daje zatem podstawy do zbudowania usługi „bez AML poniżej limitu”. Jeżeli sposób współpracy oznacza nawiązanie stosunków gospodarczych, obowiązek istnieje już z tego powodu. Należy także identyfikować próby obchodzenia progów przez rozbijanie aktywności na mniejsze operacje.

Poznanie klienta i ustalenie beneficjenta rzeczywistego

Środki bezpieczeństwa finansowego obejmują identyfikację klienta i weryfikację jego tożsamości, identyfikację beneficjenta rzeczywistego oraz uzasadnione czynności w celu potwierdzenia jego tożsamości. Przy klientach będących spółkami lub innymi strukturami należy również ustalić strukturę własności i kontroli. Trzeba zweryfikować osobę działającą w imieniu klienta oraz jej umocowanie (art. 34 i 37 ustawy AML).¹

Samo zebranie formularza nie kończy weryfikacji. Dane muszą zostać sprawdzone na podstawie dokumentów lub informacji pochodzących z wiarygodnych i niezależnych źródeł. Ustawa dopuszcza korzystanie z odpowiednich środków identyfikacji elektronicznej i usług zaufania. Dobór metody powinien uwzględniać rozpoznane ryzyko.

Przy spółce należy ustalić, jakie osoby fizyczne ostatecznie sprawują nad nią kontrolę. Informacje z Centralnego Rejestru Beneficjentów Rzeczywistych pomagają w tej analizie, ale art. 37 ust. 3 ustawy zabrania polegania wyłącznie na tym rejestrze. Rozbieżności trzeba odnotować i wyjaśnić, a po potwierdzeniu przekazać organowi właściwemu w sprawach rejestru wraz z uzasadnieniem i dokumentacją (art. 61a ustawy AML).¹

Instytucja powinna też poznać cel współpracy i przewidywany sposób korzystania z usług. Dla giełdy lub kantoru użyteczne będzie ustalenie, czy klient planuje inwestowanie, regularną wymianę przychodów z działalności, obsługę płatności czy inne operacje. Pozwala to później porównać deklarowany profil z rzeczywistymi transakcjami.

Ocena ryzyka klienta i wzmożona weryfikacja

Każda relacja lub transakcja okazjonalna wymagają rozpoznania i udokumentowania ryzyka. Intensywność stosowanych środków powinna odpowiadać tej ocenie. Wyższe ryzyko wymaga zastosowania wzmożonych środków bezpieczeństwa finansowego (art. 33 i 43–46 ustawy AML).¹

W branży kryptowalut znaczenie mogą mieć m.in. nieprzejrzysta struktura własnościowa, powiązania geograficzne, korzystanie z rozwiązań utrudniających ustalenie pochodzenia aktywów oraz aktywność niezgodna z deklarowanym profilem. Podwyższone ryzyko nie oznacza automatycznie, że klient popełnia przestępstwo. Oznacza konieczność dobrania odpowiednich działań i wyjaśnienia istotnych wątpliwości.

Trzeba też odróżnić źródło konkretnej transakcji od źródła majątku klienta. Informacja „kryptowaluty pochodzą z innej giełdy” wskazuje poprzednie miejsce ich przechowywania. W zależności od ryzyka konieczne może być ustalenie, w jaki sposób klient je nabył i skąd miał środki na zakup. Dokumentami pomocnymi w takiej analizie mogą być historia transakcji, dokumenty dotyczące działalności, umowy lub potwierdzenia wcześniejszych zakupów. Zakres powinien wynikać z okoliczności sprawy.

Osobnej uwagi wymaga status osoby zajmującej eksponowane stanowisko polityczne, czyli PEP, a także członków jej rodziny i osób znanych jako bliscy współpracownicy. Ustawa przewiduje m.in. akceptację kadry kierowniczej wyższego szczebla, ustalanie źródła majątku i środków oraz intensywniejszy monitoring. Status PEP sam w sobie nie oznacza zakazu obsługi i nie jest równoznaczny z objęciem sankcjami (art. 46 ustawy AML).¹

Jak kontrolować transakcje kryptowalutowe?

Proces techniczny powinien umożliwiać wykonanie wymaganej kontroli przed nieodwracalnym wysłaniem aktywów. Alert przeanalizowany dopiero po wypłacie może pozwolić odtworzyć zdarzenie, ale nie umożliwi już zatrzymania tego transferu.

Monitoring transakcji i sygnały ostrzegawcze

Ustawa wymaga bieżącej analizy transakcji i sprawdzania, czy są zgodne z wiedzą o kliencie, jego działalności oraz rozpoznanym ryzyku. W uzasadnionych przypadkach obejmuje to badanie źródła pochodzenia wartości majątkowych. Dokumenty i dane dotyczące relacji muszą być aktualizowane (art. 34 i 43 ustawy AML).¹

W kryptowalutach analiza powinna łączyć wiedzę o kliencie z informacjami o przepływie aktywów. Sam adres blockchain nie wyjaśnia celu transakcji ani tego, czy odpowiada ona profilowi klienta. Z kolei poprawnie przeprowadzone KYC nie rozstrzyga, czy później przekazane aktywa mają wiarygodne pochodzenie.

Do sygnałów wymagających uwagi należą przykładowo:

• powtarzające się operacje sugerujące obchodzenie progów weryfikacji;
• szybkie przyjmowanie i przekazywanie aktywów bez zrozumiałego uzasadnienia;
• przepływy z wielu pozornie niepowiązanych źródeł do jednego odbiorcy;
• korzystanie z usług mieszania aktywów lub innych rozwiązań utrudniających analizę ich pochodzenia;
• gwałtowny wzrost obrotów niezgodny z wiedzą o kliencie;
• niespójne wyjaśnienia dotyczące źródła aktywów, odbiorcy albo celu transakcji.⁶

Sygnały te wymagają oceny w kontekście całej relacji. Wynik analizy powinien wskazywać, co wzbudziło wątpliwości, jakie informacje zebrano i dlaczego przyjęto określony sposób postępowania. Każdy alert powinien mieć udokumentowany wynik analizy i dalszy sposób postępowania.

Monitoring powinien uwzględniać również finansowanie terroryzmu. W takim przypadku aktywa mogą pochodzić z legalnego źródła, a pojedyncze transfery mieć niewielką wartość. Znaczenie mają więc także odbiorcy, powiązania i przeznaczenie środków. System oparty wyłącznie na wykrywaniu wysokich kwot pozostawia istotną lukę.

Travel Rule - informacje o stronach transferu

Rozporządzenie 2023/1113, stosowane od 30 grudnia 2024 r., wymaga, aby objętym nim transferom towarzyszyły określone informacje o inicjatorze i beneficjencie. GIIF potwierdził w komunikacie nr 87, że obowiązki obejmują również przedsiębiorców wpisanych do polskiego rejestru działalności w zakresie walut wirtualnych.⁵⁷

W praktyce dostawca musi pozyskać wymagane dane, przeprowadzić właściwą weryfikację, zapewnić ich bezpieczne przekazanie oraz wykrywać braki i reagować na nie zgodnie z przepisami. W przypadku transferów między dostawcami informacje przekazuje się przed transferem lub równocześnie z nim. Nie muszą być zapisywane bezpośrednio w publicznym blockchainie (art. 14–17 TFR).⁵

Zakres danych obejmuje m.in. imię i nazwisko albo nazwę inicjatora i odbiorcy, właściwe adresy blockchain lub identyfikatory rachunków oraz dodatkowe dane identyfikacyjne inicjatora. W określonych przypadkach uwzględnia się również identyfikator podmiotu prawnego LEI lub równoważny identyfikator. Dokładny zestaw pól zależy od sposobu realizacji transferu i warunków określonych w art. 14 TFR. Praktyczne wdrożenie opisujemy w poradniku Travel Rule dla giełd i kantorów krypto.

Beneficjent transferu oznacza jego odbiorcę. Beneficjent rzeczywisty klienta to osoba fizyczna sprawująca nad nim ostateczną kontrolę. Są to różne pojęcia i mogą dotyczyć różnych osób.

Transfery do i z adresów niehostowanych

Szczególny proces jest potrzebny przy adresach niehostowanych, czyli takich, które nie są powiązane ani z dostawcą usług w zakresie kryptoaktywów, ani z podmiotem spoza Unii świadczącym podobne usługi. Transfery do własnych portfeli nie są objęte ogólnym zakazem. Dostawca obsługujący klienta nadal ma jednak obowiązki informacyjne, a przy kwocie przekraczającej 1000 euro musi podjąć odpowiednie środki w celu oceny, czy adres należy do jego klienta lub jest przez niego kontrolowany. Wyłączenie transferów między osobami bez udziału dostawcy nie obejmuje automatycznie transferu pomiędzy klientem giełdy a zewnętrznym portfelem (art. 2, 3, 14 i 16 TFR).⁵

Adres niehostowany może należeć także do osoby trzeciej. Ustalenie, że klient nie kontroluje adresu, nie oznacza samo w sobie zakazu transferu. Trzeba zweryfikować informacje o inicjatorze lub odbiorcy oraz dobrać działania do rozpoznanego ryzyka. Pkt 89 wytycznych EBA przewiduje w tym celu m.in. dodatkowe dane z wiarygodnych i niezależnych źródeł, w tym analiz blockchain, lub inne odpowiednie sposoby pozwalające ustalić tożsamość danej strony transferu (pkt 87–90 wytycznych EBA).⁸

W komunikacie nr 113 GIIF wskazał, że samo oświadczenie klienta lub zrzut ekranu z aplikacji portfela nie są akceptowalnym technicznym potwierdzeniem kontroli nad adresem. Wymienia m.in. podpisanie wiadomości kluczem prywatnym i metodę mikropłatności. Dokumentacja powinna pozwalać ustalić, jaką metodę zastosowano i z jakim wynikiem. Potwierdzenie kontroli nie wymaga ujawniania dostawcy klucza prywatnego ani frazy odzyskiwania portfela.⁹⁸

Przykład: wypłata 3000 euro w bitcoinach na portfel niehostowany

Klient indywidualny, który ma już konto na giełdzie, zleca wypłatę bitcoinów o równowartości 3000 euro na nowy adres. Wyjaśnia, że jest to jego portfel sprzętowy i chce przechowywać aktywa samodzielnie. W tym przykładowym przypadku obsługa wypłaty przebiega następująco:

1. Sprawdzenie danych i profilu klienta. Giełda ustala, czy posiadane dane są aktualne, a wypłata odpowiada dotychczasowej aktywności. Jeśli pojawią się niespójności, zbiera wyjaśnienia i - gdy uzasadniają to okoliczności - bada pochodzenie aktywów.
2. Zebranie informacji o transferze. Giełda ustala, że adres jest niehostowany, pozyskuje i zachowuje wymagane dane inicjatora i beneficjenta oraz zapisuje adres, sieć, kwotę i jej wartość w euro. W tym przypadku inicjator i beneficjent to ta sama osoba; nadal trzeba udokumentować obie role (art. 14 TFR).⁵
3. Ocena kontroli nad adresem. Wypłata przekracza 1000 euro, więc giełda stosuje odpowiednią metodę techniczną, np. prosi klienta o podpisanie wskazanej wiadomości kluczem odpowiadającym adresowi. Zapisuje metodę i wynik weryfikacji. Sam zrzut ekranu portfela nie wystarcza.⁹⁸
4. Kontrola sankcyjna i analiza ryzyka adresu. Przed wysłaniem aktywów giełda sprawdza strony transferu i właściwe zakazy oraz ocenia dostępne informacje o adresie docelowym. Ewentualny alert wymaga wyjaśnienia przed podjęciem decyzji o wypłacie.
5. Decyzja i jej udokumentowanie. Jeśli wymagane kontrole zostały zakończone i nie ma przeszkód prawnych, giełda realizuje transfer, zachowując wyniki sprawdzeń, uzasadnienie decyzji i identyfikator transakcji. Przy brakujących danych, podejrzeniu prania pieniędzy lub zakazie sankcyjnym stosuje właściwą procedurę opisaną w dalszych częściach artykułu.

Potwierdzenie kontroli nad portfelem wyjaśnia, kto nim dysponuje. Pozostałe kontrole pozwalają ocenić, czy giełda może wykonać konkretną wypłatę.

Obsługujesz giełdę lub kantor kryptowalut? W SystemAML dla kantorów i giełd kryptowalut prowadzisz kartoteki klientów i beneficjentów, sprawdzasz status PEP i listy sankcyjne oraz zapisujesz ocenę ryzyka, decyzje i ich uzasadnienia.

Kiedy sankcje zabraniają obsługi lub transakcji?

Obowiązki sankcyjne trzeba oceniać niezależnie od ryzyka prania pieniędzy. Jeżeli określone aktywa podlegają zamrożeniu lub ich udostępnienie jest zabronione, niska ocena ryzyka klienta nie pozwala pominąć tego zakazu.

Komisja Europejska potwierdza, że kryptoaktywa, w tym kryptowaluty, mogą być objęte zamrożeniem środków oraz zakazem udostępniania ich podmiotom sankcjonowanym. Zmiana środka rozliczenia na kryptowalutę nie pozwala wykonać transakcji zakazanej przez sankcje.¹⁰

Firma działająca w Polsce musi uwzględnić właściwe rozporządzenia Unii Europejskiej, polską listę sankcyjną oraz szczególne środki ograniczające związane z przeciwdziałaniem terroryzmowi. Zakres dodatkowych reżimów, np. amerykańskiego lub brytyjskiego, zależy od ich zastosowania do konkretnego podmiotu lub transakcji. Nie należy utożsamiać wpisu na każdą zagraniczną listę z automatycznym obowiązkiem zamrożenia wynikającym z prawa polskiego.¹¹¹¹²

Weryfikacja osób i struktury własności

Sprawdzenie wyłącznie nazwy klienta może być niewystarczające. Sankcje mogą obejmować także aktywa podmiotów należących do osoby sankcjonowanej lub przez nią kontrolowanych, nawet jeżeli sama spółka nie została wymieniona na liście. Analiza wymaga więc uwzględnienia struktury własności i kontroli, a nie tylko wyniku wyszukiwania nazwy. Kryteria sankcyjne należy badać odrębnie od kryteriów identyfikacji beneficjenta rzeczywistego w AML.¹¹

Weryfikacja powinna obejmować podmioty i osoby istotne dla danej relacji lub transferu oraz uwzględniać posiadane identyfikatory i informacje o powiązaniach. Podobieństwo nazwiska wymaga wyjaśnienia przy użyciu dalszych danych. Potencjalne trafienie i potwierdzone objęcie sankcjami prowadzą do różnych decyzji, które należy udokumentować. Więcej o tym, dlaczego weryfikacja sankcyjna dotyczy każdej firmy, piszemy w artykule o listach sankcyjnych.

Ograniczenia usług i transakcji

Sankcje wykraczają poza wykazy osób objętych zamrożeniem aktywów. Brak trafienia na liście sankcyjnej nie przesądza, że wolno świadczyć usługę lub wykonać transakcję.

Art. 5b ust. 2 rozporządzenia 833/2014 zakazuje bezpośredniego lub pośredniego świadczenia usług w zakresie kryptoaktywów w rozumieniu MiCA na rzecz obywateli Rosji, osób fizycznych mieszkających w Rosji oraz osób prawnych, podmiotów i organów z siedzibą w Rosji. Zakaz obejmuje obecnie szerszy katalog usług niż samo prowadzenie portfeli, rachunków i przechowywanie aktywów. Nie zależy od indywidualnego wpisu klienta na listę sankcyjną.¹³

Należy przy tym uwzględnić wyjątki. Zgodnie z art. 5b ust. 3 zakaz ten nie dotyczy obywateli państw UE, EOG lub Szwajcarii ani osób fizycznych posiadających zezwolenie na pobyt czasowy lub stały w jednym z tych państw. Przepisy przewidują również określone możliwości uzyskania zezwolenia właściwego organu. Spełnienie warunków wyjątku trzeba ustalić i udokumentować; nie uchyla ono innych sankcji, które mogą mieć zastosowanie do klienta lub transakcji.¹⁰¹³

Odrębnie art. 5bb zakazuje co do zasady bezpośrednich i pośrednich transakcji z podmiotami świadczącymi usługi krypto oraz platformami wymiany lub transferu kryptoaktywów z siedzibą w Rosji. Także ten zakaz nie wymaga wymienienia danego dostawcy z nazwy na liście. Ma własne, wąsko określone wyjątki i możliwość uzyskania zezwolenia na niektóre działania związane z wycofaniem działalności z Rosji.¹³

W pakiecie przyjętym 23 lipca 2026 r. Unia Europejska rozszerzyła ponadto zakazy transakcyjne na kolejne platformy związane z kryptoaktywami działające w państwach trzecich. Weryfikacja musi zatem uwzględniać również drugiego dostawcę, jego siedzibę i charakter wykonywanej usługi.¹⁴

Wytyczne EBA dotyczące środków ograniczających, w tym EBA/GL/2024/15 odnoszące się do dostawców usług płatniczych i usług w zakresie kryptoaktywów, są stosowane od 30 grudnia 2025 r. Określają oczekiwania dotyczące polityk, procedur i mechanizmów kontroli służących wykonywaniu obowiązków sankcyjnych.¹⁵

Reakcja na potwierdzone sankcje

Jeżeli właściwy przepis wymaga zamrożenia, należy uniemożliwić rozporządzanie aktywami oraz wykonać obowiązki informacyjne wobec właściwego organu. W przypadku szczególnych środków ograniczających z ustawy AML informacje przekazuje się GIIF niezwłocznie, nie później niż w ciągu dwóch dni roboczych. W pozostałych reżimach właściwość organu i zakres zgłoszenia trzeba ustalić na podstawie przepisów mających zastosowanie do danej sankcji (art. 119 ustawy AML).¹¹²

Zamrożenie sankcyjne i wstrzymanie transakcji w związku z podejrzeniem prania pieniędzy mają różne podstawy prawne. Nie można przyjąć, że upływ terminu przewidzianego w procedurze AML automatycznie pozwala uwolnić aktywa objęte sankcjami. Nie każdy zakaz świadczenia usług oznacza też obowiązek zamrożenia - decyduje treść konkretnego przepisu.

Jeżeli aktywa podlegają zamrożeniu, odesłanie ich klientowi lub na wskazany przez niego adres także może naruszać sankcje. Zwrot środków wymaga więc osobnej oceny prawnej.

Co robić w przypadku podejrzeń i brakujących danych?

Brak możliwości weryfikacji klienta lub niekompletne dane transferu

Jeżeli instytucja nie może zastosować wymaganych środków bezpieczeństwa finansowego, art. 41 przewiduje odpowiednio odmowę nawiązania relacji, niewykonanie transakcji lub zakończenie współpracy. Należy również ocenić, czy sytuacja uzasadnia zawiadomienie GIIF.¹

Brak wymaganych informacji uruchamia procedurę określoną w TFR, obejmującą odpowiednio uzupełnienie danych, zawieszenie lub odrzucenie transferu. Trzeba również rozpoznawać dostawców powtarzająco naruszających obowiązki. GIIF podkreśla, że sam brak danych nie powinien automatycznie prowadzić do zawiadomienia o podejrzeniu prania pieniędzy. Konieczna jest całościowa ocena sytuacji. Zgłoszenia dotyczące naruszeń obowiązków informacyjnych TFR stanowią odrębny element postępowania.⁵⁹

Kiedy i jak zawiadomić GIIF?

Rozpoznanie nietypowej aktywności wymaga analizy i wyboru właściwego trybu postępowania. Ustawa rozróżnia m.in.:

• Zawiadomienie o podejrzanych okolicznościach z art. 74. Przekazuje się je niezwłocznie, najpóźniej w ciągu dwóch dni roboczych od potwierdzenia podejrzenia.
• Zawiadomienie dotyczące określonej transakcji lub wartości majątkowych z art. 86. Wymaga niezwłocznej reakcji i wiąże się z ustawowym mechanizmem nieprzeprowadzania transakcji, a następnie ewentualnego wstrzymania lub blokady na żądanie GIIF.
• Postępowanie po wykonaniu transakcji z art. 90, jeżeli wystąpiły wskazane w tym przepisie przesłanki.¹

Zawiadomienie powinno opisywać powody podejrzenia, podmioty, przepływy, ustalone okoliczności i zgromadzone informacje. Przy kryptoaktywach praktyczne znaczenie mają również identyfikatory transferów, adresy, sieć i chronologia operacji. Instytucję obowiązuje zachowanie w tajemnicy faktu przekazania zawiadomienia, z uwzględnieniem ustawowych wyjątków. Krok po kroku opisujemy to w artykule o raportowaniu transakcji podejrzanych do GIIF.

Raportowanie ponadprogowe a zawiadomienie o podejrzeniu

Oddzielną kategorią jest raportowanie ponadprogowe z art. 72 ustawy. Nie każda transakcja kryptowalutowa przekraczająca 15 000 euro podlega automatycznie takiemu raportowaniu. Trzeba ustalić, czy miała miejsce czynność wymieniona w tym przepisie, np. odpowiednia wpłata, wypłata lub transfer środków pieniężnych. Sam transfer kryptowaluty nie staje się z tego powodu transferem środków pieniężnych w rozumieniu tego obowiązku. Podejrzenia prania pieniędzy lub finansowania terroryzmu ocenia się niezależnie od progu (art. 72, 74 i 86 ustawy AML).¹

Jak udokumentować decyzję?

Art. 34 ust. 3 wymaga dokumentowania zastosowanych środków bezpieczeństwa finansowego i wyników bieżącej analizy transakcji. Instytucja musi wykazać, że dobrała działania odpowiednie do rozpoznanego ryzyka.¹

Dlatego dokumentacja powinna pozwalać ustalić, jak zweryfikowano klienta, jakie dane o własności i kontroli zebrano, co wykazały sprawdzenia, dlaczego przypisano określony poziom ryzyka oraz jak rozstrzygnięto alerty. Znaczenie ma także możliwość powiązania decyzji z osobą, datą i materiałami, na których się opierała.

Jak zorganizować AML w firmie?

Opisane czynności wymagają przygotowania organizacji jeszcze przed rozpoczęciem obsługi klientów. Instytucja obowiązana musi wyznaczyć osoby odpowiedzialne za wykonywanie obowiązków, wdrożenie przepisów i zgodność działania. W podmiocie posiadającym zarząd ustawa wymaga wskazania odpowiedzialnego członka tego organu. Przy działalności jednoosobowej odpowiednie zadania wykonuje przedsiębiorca (art. 6–9 ustawy AML).¹

Ocena ryzyka całej działalności

Konieczne jest również przygotowanie oceny ryzyka odnoszącej się do całej działalności. Powinna ona uwzględniać klientów, obszary geograficzne, produkty, usługi, transakcje i kanały ich dostarczania. W branży kryptowalut analiza musi odpowiadać konkretnemu modelowi biznesowemu: inne zagrożenia wystąpią przy stacjonarnej wymianie gotówki, inne przy zdalnej obsłudze klientów biznesowych i transferach do zewnętrznych portfeli.

Ocenę tę aktualizuje się w razie potrzeby, nie rzadziej niż co dwa lata. Uruchomienie nowej usługi, wejście na kolejny rynek lub istotna zmiana profilu klientów mogą uzasadniać wcześniejszą aktualizację. Dwuletni termin dotyczy oceny ryzyka działalności i nie jest uniwersalnym terminem przeglądu każdego klienta (art. 27 i 35 ustawy AML).¹

Procedury, szkolenia i postępowanie pracowników

Wewnętrzna procedura AML powinna przekładać rozpoznane ryzyko na konkretne działania: zakres zbieranych danych, sposób weryfikacji, zasady monitorowania, eskalacji, raportowania i kontroli wewnętrznej. Musi też określać postępowanie z rozbieżnościami w danych beneficjentów rzeczywistych. Uzupełniają ją szkolenia osób wykonujących obowiązki AML oraz procedura anonimowego zgłaszania naruszeń (art. 50, 52 i 53 ustawy AML).¹

Praktyczny sprawdzian skuteczności jest prosty: pracownik powinien wiedzieć, jak postąpić, gdy klient nie potrafi wyjaśnić pochodzenia aktywów, pojawi się trafienie sankcyjne albo drugi dostawca nie przekaże wymaganych danych.

Jak długo przechowywać dokumentację?

Ustawa przewiduje różne początki biegu okresów przechowywania. Dokumenty i informacje z weryfikacji oraz dowody i ewidencje transakcji przechowuje się zasadniczo przez pięć lat od zakończenia relacji lub wykonania transakcji okazjonalnej. Wyniki analiz z art. 34 ust. 3 - przez pięć lat od ich przeprowadzenia. GIIF może w określonych warunkach zażądać dalszego przechowywania. Należy przy tym zapewnić ochronę danych, odpowiednie uprawnienia i dostępność dokumentacji (art. 49 i 51a ustawy AML).¹

Odrębny obowiązek pięcioletniego przechowywania informacji o stronach transferu wynika z art. 26 TFR. Przy ustalaniu zasad retencji trzeba uwzględnić obie podstawy prawne.⁵

Kary za naruszenie obowiązków AML i sankcji

Za naruszenia obowiązków AML przewidziano m.in. kary pieniężne, publikację informacji o naruszeniu i nakaz zaprzestania określonych czynności. Dla podmiotów kwalifikowanych na podstawie art. 2 ust. 1 pkt 12 zastosowanie ma co do zasady art. 150 ust. 2: kara może sięgać dwukrotności osiągniętej korzyści lub unikniętej straty, a gdy nie można ich ustalić - równowartości 1 mln euro. Wyższych limitów przewidzianych dla innych kategorii instytucji nie należy automatycznie przypisywać każdemu kantorowi kryptowalutowemu.¹ Limity dla poszczególnych kategorii instytucji zestawiamy w analizie kar AML.

Odrębna odpowiedzialność wynika z przepisów sankcyjnych. Przykładowo za naruszenia określone w art. 6 polskiej ustawy sankcyjnej dotyczące podmiotów z krajowej listy przewidziano karę do 20 mln zł. W określonych przypadkach naruszenia mogą prowadzić również do odpowiedzialności karnej.¹²

Co zmieni się od 10 lipca 2027 roku?

Unijne rozporządzenie AMLR 2024/1624 będzie stosowane zasadniczo od 10 lipca 2027 r. Dla dostawców usług w zakresie kryptoaktywów istotny jest art. 19 ust. 3: przy transakcjach okazjonalnych o wartości co najmniej 1000 euro przewiduje stosowanie środków bezpieczeństwa finansowego, a poniżej tej kwoty - co najmniej identyfikację klienta i weryfikację jego tożsamości zgodnie z art. 20 ust. 1 lit. a. Dotyczy to zarówno pojedynczej operacji, jak i transakcji powiązanych.¹⁶

Oznacza to konieczność przygotowania weryfikacji tożsamości również dla okazjonalnych transakcji krypto poniżej 1000 euro oraz przeglądu procedur, danych i konfiguracji procesów. Data stosowania AMLR nie przesuwa obowiązków, które już wynikają z ustawy AML, TFR i sankcji.

Jak wykorzystać SystemAML w firmie kryptowalutowej?

Codzienna obsługa AML łączy wiele powtarzalnych czynności. Dla każdego klienta trzeba zebrać dane, przeprowadzić właściwe sprawdzenia, ocenić ryzyko, zachować dokumenty i wrócić do sprawy, gdy pojawi się nowa informacja. Wraz ze wzrostem liczby klientów rośnie znaczenie automatyzacji oraz wspólnego miejsca pracy.

SystemAML wspiera ten proces przez:

• kartoteki klientów, reprezentantów i beneficjentów rzeczywistych;
• formularze oraz linki KYC i korzystanie z rejestrów publicznych;
• sprawdzanie statusu PEP i odrębną weryfikację sankcyjną;
• zapisywanie oceny ryzyka, dokumentów, decyzji i uzasadnień;
• monitoring zapisanych podmiotów, alerty, zadania i przypomnienia;
• raporty oraz API służące integracji z procesem firmy.¹⁷¹⁸

Wdrożenie w giełdzie lub kantorze powinno połączyć te funkcje z danymi transakcyjnymi, analizą blockchain, obsługą Travel Rule oraz analizą szczególnych zakazów usługowych odpowiednimi dla danej działalności. Zakres automatycznej wymiany informacji oraz reakcje przed wykonaniem transferu należy określić przy projektowaniu integracji. Decyzje i odpowiedzialność za wykonywanie obowiązków pozostają po stronie instytucji.

Praktycznym punktem wyjścia jest przeprowadzenie w SystemAML całej ścieżki obsługi klienta: od weryfikacji, przez ocenę ryzyka, po obsługę alertu i raport z wykonanych czynności. Pozwala to ocenić, gdzie firma może ograniczyć ręczne działania i szybciej uzyskać informacje potrzebne do decyzji.

Sprawdź SystemAML dla kantorów i giełd kryptowalut lub umów prezentację.

Najczęściej zadawane pytania o AML i sankcje w branży kryptowalut

Od jakiej kwoty kantor lub giełda kryptowalut musi stosować środki bezpieczeństwa finansowego?

Przy nawiązaniu stosunków gospodarczych - niezależnie od kwoty pierwszej transakcji. Przy transakcji okazjonalnej z wykorzystaniem waluty wirtualnej obowiązek powstaje od równowartości 1000 euro (art. 35 ustawy AML). Przy podejrzeniu prania pieniędzy lub finansowania terroryzmu środki stosuje się niezależnie od wartości. Próg 1000 euro nie pozwala więc zbudować usługi „bez AML poniżej limitu”.

Czy giełda może wypłacić kryptowaluty na portfel niehostowany?

Tak, transfery do własnych portfeli nie są objęte ogólnym zakazem. Przy kwocie powyżej 1000 euro dostawca musi jednak ocenić, czy adres należy do klienta lub jest przez niego kontrolowany (art. 16 rozporządzenia 2023/1113). GIIF w komunikacie nr 113 wskazał, że samo oświadczenie klienta albo zrzut ekranu z portfela nie wystarczą - akceptowalne są m.in. podpisanie wiadomości kluczem prywatnym albo mikropłatność.

Czy brak trafienia na liście sankcyjnej oznacza, że można obsłużyć klienta?

Nie zawsze. Sankcje obejmują też zakazy usługowe i transakcyjne niezależne od wpisu na listę. Na przykład art. 5b ust. 2 rozporządzenia 833/2014 zakazuje świadczenia usług w zakresie kryptoaktywów obywatelom Rosji, osobom mieszkającym w Rosji i podmiotom z siedzibą w Rosji, z wyjątkami z art. 5b ust. 3. Sankcje mogą też obejmować podmioty kontrolowane przez osobę sankcjonowaną, nawet jeśli same nie są na liście.

Czy wpis do polskiego rejestru walut wirtualnych wystarcza do świadczenia usług krypto?

Nie. Okres przejściowy z art. 143 ust. 3 MiCA zakończył się 1 lipca 2026 r. Dalsze świadczenie usług objętych MiCA wymaga zezwolenia albo - w przypadku uprawnionych instytucji finansowych - spełnienia warunków z art. 60 MiCA. Samo złożenie wniosku nie przedłuża okresu przejściowego.

Czy każdą transakcję kryptowalutową powyżej 15 000 euro trzeba zgłosić do GIIF jako ponadprogową?

Nie. Raportowanie ponadprogowe z art. 72 ustawy AML dotyczy czynności wymienionych w tym przepisie, np. odpowiednich wpłat, wypłat lub transferów środków pieniężnych. Sam transfer kryptowaluty nie staje się transferem środków pieniężnych. Podejrzenia prania pieniędzy lub finansowania terroryzmu ocenia się i zgłasza niezależnie od progu (art. 74 i 86).

Źródła i podstawa prawna

Stan prawny: 19 października 2026 r.

Nota: Artykuł ma charakter informacyjny i nie stanowi indywidualnej opinii prawnej. Kwalifikacja konkretnej działalności oraz zakres obowiązków AML i sankcyjnych zależą od rzeczywiście świadczonych usług, modelu biznesowego i przepisów mających zastosowanie do danego podmiotu lub transakcji.

Footnotes

1. Ustawa z 1 marca 2018 r. o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu - tekst ujednolicony, opracowanie z 8 października 2026 r., w szczególności art. 2, 6–9, 27, 33–37, 41, 43–46, 49–54, 61a, 72, 74, 86, 90, 117–119 i 150. ↩ ↩² ↩³ ↩⁴ ↩⁵ ↩⁶ ↩⁷ ↩⁸ ↩⁹ ↩¹⁰ ↩¹¹ ↩¹² ↩¹³ ↩¹⁴ ↩¹⁵ ↩¹⁶ ↩¹⁷ ↩¹⁸

2. Rozporządzenie 2023/1114 w sprawie rynków kryptoaktywów - MiCA, w szczególności art. 3, 59, 60 i 143. ↩ ↩²

3. Izba Administracji Skarbowej w Katowicach - komunikat o zakończeniu okresu przejściowego MiCA, z odesłaniem do stanowisk ESMA. ↩

4. GIIF - komunikat nr 116 dotyczący końca okresu przejściowego MiCA i ryzyka działalności bez wymaganego zezwolenia. ↩

5. Rozporządzenie 2023/1113 w sprawie informacji towarzyszących transferom środków pieniężnych i niektórych kryptoaktywów - TFR, w szczególności art. 2, 14–17, 23 i 26. ↩ ↩² ↩³ ↩⁴ ↩⁵ ↩⁶ ↩⁷

6. FATF - Virtual Assets Red Flag Indicators of Money Laundering and Terrorist Financing. ↩

7. GIIF - komunikat nr 87 dla przedsiębiorców prowadzących działalność w zakresie walut wirtualnych. ↩

8. EBA - wytyczne EBA/GL/2024/11 dotyczące Travel Rule, w szczególności pkt 81–90. ↩ ↩² ↩³

9. GIIF - komunikat nr 113 dotyczący Travel Rule, kontroli adresów niehostowanych i raportowania. ↩ ↩² ↩³

10. Komisja Europejska - zbiorcze FAQ dotyczące stosowania sankcji wobec Rosji, w szczególności części dotyczące kryptoaktywów i świadczenia usług płatniczych, w tym wyjaśnienia art. 5b ust. 2–3 zaktualizowane 13 marca 2026 r. ↩ ↩²

11. EU Sanctions Helpdesk - znaczenie własności i kontroli dla stosowania sankcji oraz zasady należytej staranności sankcyjnej. ↩ ↩²

12. Ustawa z 13 kwietnia 2022 r. o szczególnych rozwiązaniach w zakresie przeciwdziałania wspieraniu agresji na Ukrainę oraz służących ochronie bezpieczeństwa narodowego - tekst jednolity. ↩ ↩² ↩³

13. Rozporządzenie Rady (UE) nr 833/2014 - sankcje wobec Rosji, w szczególności art. 5b ust. 2–3, art. 5bb i art. 5c–5d, z uwzględnieniem zmian wprowadzonych rozporządzeniem 2025/2033 oraz rozporządzeniem 2026/506. ↩ ↩² ↩³

14. Rozporządzenie Rady (UE) 2026/1848 z 23 lipca 2026 r. zmieniające rozporządzenie 833/2014 oraz komunikat Rady UE o pakiecie sankcyjnym z 23 lipca 2026 r. ↩

15. EBA - wytyczne dotyczące polityk, procedur i kontroli służących wdrażaniu unijnych i krajowych środków ograniczających, EBA/GL/2024/14 i EBA/GL/2024/15. ↩

16. Rozporządzenie 2024/1624 - AMLR, w szczególności art. 19 ust. 3, art. 20 ust. 1 lit. a i art. 90; omówienie dat stosowania w EUR-Lex. ↩

17. SystemAML - funkcje systemu. ↩

18. SystemAML dla kantorów i giełd kryptowalut. ↩