Do niedawna każdy mógł sprawdzić w CRBR, kto stoi za dowolną polską spółką – bezpłatnie, anonimowo, bez podawania powodu. Ten czas się jednak kończy. Trybunał Sprawiedliwości UE uznał taki powszechny dostęp za sprzeczny z Kartą Praw Podstawowych i RODO, a nowe unijne prawo (Dyrektywa AMLD6 oraz Rozporządzenie AMLR) wprowadza inne zasady.
Co orzekł TSUE i dlaczego to ważne?
Wyrok Trybunału podważył fundament, na którym stał dotychczasowy model rejestrów beneficjentów rzeczywistych w całej UE: nieograniczoną, anonimową jawność danych osobowych. TSUE uznał, że taki dostęp narusza prawo do prywatności i ochrony danych osobowych osób fizycznych wpisanych do rejestru – nawet jeśli celem rejestru jest walka z praniem pieniędzy.
Nowy podział dostępu do CRBR
Dyrektywa AMLD6 (2024/1640) wprowadza dwutorowy system dostępu zamiast dotychczasowej pełnej jawności:
- dostęp bezpośredni i natychmiastowy: dla organów państwowych, jednostek analityki finansowej (FIU) oraz instytucji obowiązanych realizujących obowiązki CDD,
- dostęp warunkowy: dla pozostałych podmiotów, wyłącznie po wykazaniu przed organem prowadzącym rejestr tzw. „uzasadnionego interesu” związanego z przeciwdziałaniem praniu pieniędzy.
W praktyce oznacza to koniec modelu „wpisz NIP i zobacz od razu”. Podmioty spoza pierwszej grupy będą musiały wykazywać powód każdego zapytania.
Co to oznacza dla dostawców technologii KYC/KYB?
Tu robi się interesująco dla firm takich jak Vercly, które same nie są instytucją obowiązaną, ale dostarczają oprogramowanie pośredniczące w pobieraniu danych z CRBR w imieniu swoich klientów. Teoretycznie nowe zasady mogłyby oznaczać zablokowanie automatycznego dostępu przez API – co dla każdej firmy polegającej na szybkiej weryfikacji UBO byłoby poważnym problemem operacyjnym.
Projekt polskiej ustawy nowelizującej (dostosowującej krajowe przepisy do AMLD6) częściowo rozwiązuje ten problem. Projektowany art. 68d ust. 2 wprowadza domniemanie uzasadnionego interesu dla dostawców narzędzi AML, co znacząco ułatwia uzyskanie formalnego, 3-letniego potwierdzenia dostępu do rejestru. Innymi słowy – jeśli dostawca ma formalną umowę z klientem, nie musi za każdym razem osobno wykazywać powodu zapytania. Ale nie działa to automatycznie dla pozostałych podmiotów.
→ Dostęp bezpośredni na podstawie art. 68a przysługuje wąskiemu katalogowi podmiotów, w tym organom państwowym, jednostkom analityki finansowej (FIU), prokuraturze, służbom oraz instytucjom obowiązanym (wymienionym w art. 2 ust. 1 ustawy AML) wyłącznie w celu stosowania środków bezpieczeństwa finansowego. Dostęp warunkowy na podstawie art. 68d dotyczy wszystkich pozostałych wnioskodawców. Wprawdzie art. 68d ust. 2 pkt 14 przyznaje dostawcom produktów AML prawne domniemanie istnienia uzasadnionego interesu, jednak podmioty te nie stają się instytucjami obowiązanymi i nie uzyskują automatycznie statusu z art. 68a. Korzystają one jedynie z ułatwienia dowodowego w ramach procedury administracyjnej składania wniosku.
Co się zmienia operacyjnie?
- Okres retencji danych ulega skróceniu z 10 do 5 lat
- Systemy pobierające dane muszą rejestrować tożsamość osoby wykonującej zapytanie w imieniu klienta oraz cel każdego zapytania
- Rozpatrzenie wniosku o weryfikację uzasadnionego interesu trwa standardowo 12 dni roboczych (w pierwszym roku 30 dni), a w trybie przyspieszonym – do 7 dni roboczych
Jak Vercly zapewnia ciągłość dostępu?
Vercly zapewnia instytucjom zobowiązanym automatyczną weryfikację API poprzez integrację oprogramowania bezpośrednio z certyfikatem i poświadczeniami dostępowymi klienta.
Dla klientów Vercly będąchy instytucjami obowiązanymi praktyczny efekt jest taki: dane o beneficjentach rzeczywistych kontrahentów nadal pojawiają się w kilka sekund, nie w kilkanaście dni – mimo że sam dostęp do CRBR jako takiego staje się bardziej restrykcyjny dla reszty rynku.
FAQ
Czy CRBR przestaje być dostępny publicznie?
Tak, w dotychczasowej, w pełni anonimowej i powszechnej formie. Dostęp bezpośredni zachowują organy państwowe, FIU i instytucje obowiązane. Pozostałe podmioty muszą wykazać „uzasadniony interes”.
Czym jest „uzasadniony interes” w kontekście CRBR?
To przesłanka, którą podmiot spoza grona uprzywilejowanego musi wykazać przed organem prowadzącym rejestr, żeby uzyskać dostęp do danych – musi być związana z celami przeciwdziałania praniu pieniędzy i finansowaniu terroryzmu.
Czy zmiana wpłynie na szybkość weryfikacji kontrahentów przez firmy korzystające z Vercly?
Nie – Vercly działa na podstawie formalnych umów z klientami, co zgodnie z projektowanymi przepisami mieści się w domniemaniu uzasadnionego interesu i pozwala zachować automatyczny dostęp przez API.
Jak długo dane z CRBR będą przechowywane po zmianie przepisów?
Okres retencji ulega skróceniu z dotychczasowych 10 do 5 lat.
