Travel Rule dla giełd i kantorów krypto w Polsce - poradnik 2026

Travel Rule (Rozporządzenie (UE) 2023/1113) obowiązuje w UE od 30.12.2024 i wymaga, by transferom kryptoaktywów między CASP zawsze towarzyszyły określone dane inicjatora i beneficjenta (bez progu kwotowego). Wytyczne EBA/GL/2024/11 stosuje się od 30.12.2024 i doprecyzowują technikalia, w tym zasady dla adresów niehostowanych (>1000 EUR wymagają adekwatnych środków oceny własności/kontroli). W Polsce GIIF pełni rolę FIU. MiCA obowiązuje etapami (zasady dla CASP od 30.12.2024). Okres przejściowy z art. 143 ust. 3 MiCA zakończył się w Polsce 1 lipca 2026 r. Wpis do rejestru działalności w zakresie walut wirtualnych nie jest zezwoleniem MiCA – świadczenie usług objętych MiCA wymaga zezwolenia CASP, które na 9 października 2026 r. w praktyce można uzyskać tylko w innym państwie członkowskim, bo polska ustawa o rynku kryptoaktywów nie weszła w życie i nie wyznaczono krajowego organu właściwego dla CASP. Stan prawny: 9 października 2026 r.

W skrócie: między CASP nie ma progu kwotowego dla Travel Rule. Próg 1000 EUR ma znaczenie wyłącznie przy transferach na lub z adresów niehostowanych i dotyczy dodatkowych środków weryfikacyjnych.

Co to jest Travel Rule? Wyjaśnienie dla polskich firm krypto

Travel Rule to regulacja unijna (Rozporządzenie (UE) 2023/1113), która nakłada na dostawców usług kryptowalutowych obowiązek przekazywania szczegółowych informacji o nadawcy i odbiorcy podczas transferów kryptowalut. Celem jest zwiększenie przejrzystości i przeciwdziałanie praniu pieniędzy (AML) oraz finansowaniu terroryzmu (CFT).

📘 Terminologia: W UE stosujemy termin CASP (Crypto-Asset Service Provider) zgodnie z MiCA. VASP (Virtual Asset Service Provider) to termin FATF/branżowy używany pomocniczo. W artykule odnosimy się głównie do CASP, ale oba terminy oznaczają podmioty świadczące usługi kryptowalutowe, takie jak giełdy i kantory kryptowalut.

Najważniejsze pojęcia w tym obszarze to:

W Polsce GIIF pełni funkcję FIU (jednostka analityki finansowej – przyjmuje zgłoszenia podejrzanych transakcji i współpracuje w zakresie AML/CFT). Ponieważ polska ustawa o rynku kryptoaktywów nie weszła w życie, na 9 października 2026 r. nie wyznaczono krajowego organu właściwego dla CASP na gruncie MiCA, z wyjątkiem nadzoru nad emitentami tokenów będących e-pieniądzem (komunikat UKNF z 23 czerwca 2026 r.). Obowiązki AML (w tym Travel Rule) pozostają pod nadzorem właściwych organów wskazanych w ustawie AML. Firmy muszą stosować się do wytycznych Europejskiego Urzędu Nadzoru Bankowego (EBA - European Banking Authority) i lokalnych przepisów. Regulacje MiCA dotyczące kryptowalut stanowią ramy prawne, które polskie CASP muszą uwzględnić przy wdrażaniu Travel Rule.

Obowiązki giełd i kantorów kryptowalut wynikające z Travel Rule

Zgodnie z Rozporządzeniem (UE) 2023/1113 i Wytycznymi EBA (EBA/GL/2024/11), giełdy i kantory kryptowalut muszą:

Dane nadawcy i odbiorcy

• Przekazywać dane inicjatora (nadawcy): imię i nazwisko lub nazwę; adres na DLT (jeśli transakcja jest rejestrowana na DLT) i/lub numer rachunku krypto; adres inicjatora wraz z nazwą państwa, numer urzędowego dokumentu osobistego i numer identyfikacyjny klienta albo – alternatywnie – datę i miejsce urodzenia; aktualny LEI (Legal Entity Identifier), jeżeli format komunikatu przewiduje takie pole, a inicjator go przekazał, a w jego braku inny dostępny równoważny oficjalny identyfikator (art. 14 ust. 1).
• Przekazywać dane beneficjenta (odbiorcy): imię i nazwisko lub nazwę; adres na DLT (jeśli dotyczy) i/lub numer rachunku krypto; aktualny LEI beneficjenta na tych samych zasadach albo inny dostępny równoważny oficjalny identyfikator (art. 14 ust. 2).

Weryfikacja i kontrola

• Weryfikować tożsamość nadawcy: Przed zleceniem transferu potwierdzić dokładność danych nadawcy na podstawie niezależnego źródła (zazwyczaj na etapie rejestracji klienta).
• Weryfikować informacje: Sprawdzić kompletność otrzymanych danych przy transferze i mieć procedury wykrywania brakujących informacji (art. 16).
• Obsługiwać portfele niehostowane: Dla transferów powyżej 1000 EUR na/z adresu niehostowanego CASP stosuje adekwatne środki oceny własności/kontroli adresu (np. mikro-przelew, podpis kryptograficzny, zdalna weryfikacja). Dobór metody zależy od oceny ryzyka; EBA podaje akceptowane techniki i możliwość prowadzenia „białych list” zweryfikowanych adresów.
• Stosować podejście oparte na ryzyku: Oceniać ryzyko ML/TF i dostosowywać procedury zgodnie ze wzmożonymi środkami bezpieczeństwa finansowego.

Ważne: Travel Rule stosuje się do każdego transferu kryptoaktywów między CASP. Próg 1000 EUR działa wyłącznie przy transferach na lub z adresów niehostowanych i dotyczy dodatkowych środków oceny własności lub kontroli adresu.

Od 30 grudnia 2024 r. główną podstawą prawną jest Rozporządzenie (UE) 2023/1113, które ma pierwszeństwo nad przepisami krajowymi. Ponadto GIIF przypomina o konieczności spełniania standardowych obowiązków z ustawy AML - identyfikacja i weryfikacja tożsamości klientów, monitorowanie transakcji i zgłaszanie podejrzanych działań, które pozostają w mocy obok wymogów Travel Rule.

Daty stosowania Travel Rule i status okresu przejściowego MiCA

Od 30 grudnia 2024 r. obowiązuje Rozporządzenie (UE) 2023/1113 (TFR) oraz Wytyczne EBA/GL/2024/11. Nie przewidziano osobnego „okresu przejściowego” dla Travel Rule. MiCA (Rozporządzenie (UE) 2023/1114) dopuszczało krajowy okres przejściowy dla CASP najpóźniej do 1.07.2026 (art. 143 ust. 3) – ten termin już upłynął.

⚖️ Status w Polsce (stan na 9 października 2026 r.)

Polska ustawa o rynku kryptoaktywów nie weszła w życie – kolejne uchwalone przez Sejm ustawy zostały zawetowane, ostatnio ustawa z 15 maja 2026 r. (weto 11 czerwca 2026 r.; 4 września 2026 r. Sejm nie uchwalił jej ponownie). W Sejmie są nowe projekty: projekt prezydencki z 8 września 2026 r. (skierowany do zaopiniowania 17 września 2026 r.) oraz poselski projekt z 18 czerwca 2026 r. (druk nr 3173). Projekt poselski przewiduje nadzór Komisji Nadzoru Finansowego nad CASP, ale do czasu wejścia ustawy w życie żaden krajowy organ nie jest wyznaczony jako właściwy dla CASP.

Okres przejściowy z art. 143 ust. 3 MiCA zakończył się 1 lipca 2026 r. Według komunikatu Dyrektora Izby Administracji Skarbowej w Katowicach z 19 czerwca 2026 r., przywołanego w komunikacie UKNF z 23 czerwca 2026 r., wpis do polskiego rejestru działalności w zakresie walut wirtualnych nie stanowi zezwolenia MiCA i po 1 lipca 2026 r. nie uprawnia do wykonywania działalności w zakresie walut wirtualnych. Przed świadczeniem usług trzeba sprawdzić aktualny stan przepisów i podstawę uprawnienia do świadczenia konkretnych usług.

Kluczowe: niezależnie od stanu prac nad polską ustawą Travel Rule (TFR) stosuje się w pełnym zakresie od 30.12.2024.

Kluczowe zasady Travel Rule - przypomnienie

• Brak progu dla transferów CASP → CASP – dane wymagane przy każdym transferze
• Próg 1000 EUR działa tylko przy transferach na/z portfeli niehostowanych (dodatkowe środki oceny własności/kontroli adresu w podejściu ryzykowym)
• Wymagane dane: inicjator i beneficjent (imię/nazwa, adres DLT, dane identyfikacyjne)
• Metody weryfikacji adresów niehostowanych: mikro-przelew, podpis kryptograficzny, zdalna weryfikacja, białe listy

MiCA - jak regulacje kryptowalut wpływają na Travel Rule w Polsce

Rozporządzenie MiCA (Markets in Crypto-Assets) stanowi kompleksowe ramy prawne dla kryptowalut w Unii Europejskiej, które bezpośrednio wpływają na wdrożenie Travel Rule w Polsce. MiCA definiuje kluczowe aspekty dla polskich platform krypto, takie jak:

Kluczowe aspekty MiCA dla polskich platform krypto

• Licencjonowanie: CASP (Crypto-Asset Service Providers) muszą uzyskać licencje do prowadzenia działalności na terenie UE.
• Obowiązki operacyjne: Zgodność z wymogami kapitałowymi, organizacyjnymi i operacyjnymi.
• Ochrona konsumentów: Standardy informowania klientów i zarządzania aktywami.
• Powiązanie z Travel Rule: obowiązki Travel Rule wynikają z rozporządzenia 2023/1113 (TFR); przy ubieganiu się o zezwolenie MiCA CASP opisuje swoje mechanizmy AML/CFT (art. 62 ust. 2 lit. i MiCA, art. 6 rozporządzenia delegowanego 2025/305).

📅 Okres przejściowy: zakończył się 1 lipca 2026 r. (art. 143 ust. 3 MiCA). Zobacz szczegóły w sekcji “Status w Polsce” powyżej. Wymogi Travel Rule obowiązują od 30 grudnia 2024 r.

Jak polskie giełdy kryptowalut wdrażają Travel Rule - praktyczny przewodnik

Wymogi techniczne dla CASP w Polsce

Aby sprostać wymaganiom wdrożenia Travel Rule, giełdy i kantory kryptowalut w Polsce powinny:

1. Zaktualizować systemy technologiczne

Wdrożyć rozwiązania umożliwiające przekazywanie danych, np. Travel Rule Protocol, oraz zapewnić interoperacyjność z blockchainami.

2. Uporządkować procedury wewnętrzne

Procedury powinny obejmować wykrywanie brakujących danych, zarządzanie niezgodnymi transferami oraz metody weryfikacji portfeli niehostowanych. Skuteczne techniki mogą obejmować podpisy kryptograficzne, mikropłatności weryfikacyjne lub inne uzgodnione metody potwierdzające kontrolę nad adresem. EBA pozwala na łączenie metod i utrzymywanie „białych list” adresów niehostowanych po udokumentowaniu własności lub kontroli.

3. Przeszkolić personel

Szkolenia powinny obejmować Travel Rule, obsługę brakujących danych, adresy niehostowane oraz podejście oparte na ryzyku.

4. Zapewnić współpracę z innymi CASP

Chodzi o bezpieczną i praktyczną wymianę danych, szczególnie przy transferach transgranicznych.

5. Monitorować zmiany regulacyjne

Należy śledzić aktualizacje Wytycznych EBA, komunikaty GIIF i rozwój polskich przepisów wdrożeniowych.

Najczęstsze błędy przy wdrożeniu Travel Rule - jak ich unikać

1. Brak interoperacyjności: warto dołączyć do inicjatyw branżowych, np. OpenVASP, aby ułatwić wymianę danych.
2. Odkładanie wdrożenia przez koszty lub niepewność legislacyjną: wymagania Travel Rule obowiązują od 30 grudnia 2024 r., niezależnie od krajowego okresu przejściowego MiCA.
3. Niedopracowana obsługa portfeli niehostowanych: trzeba stosować skuteczne metody weryfikacji własności adresu zależnie od poziomu ryzyka.
4. Brak procedur dla transferów spoza UE: przed wysłaniem kryptoaktywów do podmiotu spoza UE należy ocenić, czy odbiorca może przyjąć i właściwie chronić wymagane dane zgodnie z GDPR.
5. Niewystarczająca ochrona danych osobowych: dane należy szyfrować, przekazywać bezpiecznym kanałem i minimalizować ich zakres zgodnie z GDPR.

Ochrona danych osobowych w Travel Rule

Travel Rule wymaga przekazywania danych osobowych, co wiąże się z obowiązkiem ich zabezpieczenia zgodnie z RODO:

• Szyfrowanie danych: Wszystkie dane osobowe muszą być przekazywane bezpiecznym, szyfrowanym kanałem (np. mTLS, end-to-end encryption).
• Minimalizacja danych: Przetwarzaj tylko niezbędne informacje wymagane przez rozporządzenie (art. 5 GDPR).
• Zabezpieczenie systemów: Wdrożenie odpowiednich środków technicznych i organizacyjnych ochrony danych.
• Protokoły bezpieczeństwa: Wykorzystanie standardów modelu danych takich jak IVMS101 wraz z bezpiecznymi protokołami transportu.
• Transfery poza EOG: Transfer danych Travel Rule poza Europejski Obszar Gospodarczy wymaga zgodności z rozdz. V GDPR – zastosuj odpowiednie narzędzia, takie jak standardowe klauzule umowne (SCC) lub decyzje adekwatności.
• Blockchain a RODO: Dane osobowe nie powinny być utrwalane wprost w łańcuchu bloków – EDPB wskazuje na ryzyka naruszenia zasad art. 5 GDPR (niemożność usunięcia/modyfikacji). Przetwarzaj dane off-chain, przez szyfrowane kanały komunikacji między CASP.

Wskazówka: dane Travel Rule nie muszą być zapisywane na blockchainie. Wystarczy, że towarzyszą transferowi w systemach komunikacyjnych między CASP, czyli off-chain.

Kary za brak zgodności z Travel Rule w Polsce

Brak wdrożenia wymogów Travel Rule niesie poważne ryzyka:

• Sankcje administracyjne: Kary administracyjne przewidziane w ustawie AML dotyczą naruszeń obowiązków z tej ustawy (np. środków bezpieczeństwa finansowego, dokumentacji, zawiadomień). Ustawa nie zawiera przepisu, który wprost sankcjonowałby obowiązki Travel Rule dla kryptoaktywów (art. 14–17 rozporządzenia 2023/1113) – art. 148 odsyła tylko do rozporządzenia 2015/847 o transferach środków pieniężnych. Dla podmiotów świadczących usługi w zakresie walut wirtualnych (art. 2 ust. 1 pkt 12 ustawy AML) kara pieniężna wynosi do dwukrotności osiągniętej korzyści lub unikniętej straty, a gdy nie można ich ustalić – do równowartości 1 000 000 EUR (art. 150 ust. 2). Wyższe limity – do 5 000 000 EUR albo 10% obrotu – ustawa przewiduje dla instytucji z art. 150 ust. 3 (m.in. banków, instytucji płatniczych i kantorów walutowych), a nie dla giełd i kantorów kryptowalut. Możliwe są też m.in. publikacja informacji o naruszeniu i nakaz zaprzestania określonych czynności.
• Wykreślenie z rejestru: kara administracyjna w postaci cofnięcia zezwolenia albo wykreślenia z rejestru działalności regulowanej (art. 150 ust. 1 pkt 3 ustawy AML); podmiot działający w zakresie walut wirtualnych może zostać wykreślony z rejestru tej działalności na wniosek Generalnego Inspektora po nałożeniu nakazu zaprzestania określonych czynności (art. 129w pkt 4). Wobec CASP z zezwoleniem MiCA wydanym w innym państwie członkowskim środki stosuje organ tego państwa.
• Ograniczenia operacyjne: Inne instytucje finansowe mogą odmówić współpracy z CASP, które nie zapewniają wymaganych informacji.
• Reputacja: Utrata zaufania klientów i partnerów biznesowych.

Podsumowanie

Travel Rule pozostaje kluczowym wymogiem dla podmiotów świadczących usługi w zakresie kryptoaktywów. Dostosowanie do wymogów Rozporządzenia (UE) 2023/1113 i Wytycznych EBA/GL/2024/11 wymaga inwestycji w technologię, procedury i szkolenia. Od 30 grudnia 2024 r. wszystkie wymagania dotyczące przekazywania danych przy transferach kryptoaktywów są w pełni egzekwowane – wytyczne EBA nie przewidują dodatkowego okresu przejściowego. CASP muszą przekazywać wymagane dane przy każdym transferze między CASP (bez progu wartości), a dla transferów powyżej 1000 EUR na/z adresów niehostowanych stosować adekwatne środki oceny własności/kontroli.

Okres przejściowy MiCA zakończył się 1 lipca 2026 r., a polska ustawa o rynku kryptoaktywów nie weszła w życie (stan na 9.10.2026). Zgodność z Travel Rule nie tylko zapewni legalność, ale także wzmocni pozycję na regulowanym rynku kryptowalut oraz ochroni przed sankcjami regulacyjnymi (dla podmiotów z rynku walut wirtualnych – do dwukrotności osiągniętej korzyści lub unikniętej straty, a jeżeli nie można ustalić ich kwoty – do równowartości 1 mln EUR).

Wniosek praktyczny: w Travel Rule największym błędem nie jest brak wiedzy o przepisie, tylko wdrożenie go połowicznie, bez gotowych procedur dla brakujących danych, adresów niehostowanych i transferów spoza UE.

Najczęściej zadawane pytania - MiCA kryptowaluty i Travel Rule

Czy regulacje MiCA zastępują Travel Rule?
Nie. MiCA i Travel Rule to uzupełniające się regulacje. MiCA definiuje ogólne ramy dla działalności CASP, podczas gdy Travel Rule określa konkretne obowiązki dotyczące przekazywania danych przy transferach.

Kiedy wchodzi w życie MiCA w Polsce?
MiCA jest stosowane bezpośrednio, w zakresie CASP od 30.12.2024. Okres przejściowy z art. 143 ust. 3 zakończył się 1 lipca 2026 r. Na 9 października 2026 r. polska ustawa o rynku kryptoaktywów nie weszła w życie i nie wyznaczono krajowego organu właściwego dla CASP (komunikat UKNF z 23.06.2026). Wpis do rejestru działalności w zakresie walut wirtualnych nie jest zezwoleniem MiCA.

Czy MiCA obejmuje wszystkie aktywa cyfrowe?
MiCA obejmuje większość kryptoaktywów. Nie stosuje się m.in. do kryptoaktywów unikalnych i niezamiennych z innymi kryptoaktywami (NFT – art. 2 ust. 3) ani do instrumentów objętych innymi przepisami finansowymi; usługi świadczone w sposób w pełni zdecentralizowany, bez pośrednika, pozostają poza zakresem (motyw 22).

Jakie kary grożą za brak zgodności z regulacjami kryptowalut w Polsce?
Za naruszenie obowiązków z ustawy AML dla podmiotów świadczących usługi w zakresie walut wirtualnych (art. 2 ust. 1 pkt 12 ustawy AML) kara pieniężna wynosi do dwukrotności osiągniętej korzyści lub unikniętej straty, a gdy nie można ich ustalić – do równowartości 1 000 000 EUR (art. 150 ust. 2). Wyższe limity – do 5 000 000 EUR albo 10% obrotu – ustawa przewiduje dla instytucji z art. 150 ust. 3 (m.in. banków, instytucji płatniczych i kantorów walutowych), a nie dla giełd i kantorów kryptowalut.

Wytyczne Travel Rule

• TRISA – Travel Rule Information Sharing Architecture
• OpenVASP