Po co giełdy kryptowalut dokonują weryfikacji użytkowników?

W tym artykule wyjaśnimy, dlaczego każda legalna i wiarygodna giełda kryptowalut, która chce działać zgodnie z obowiązującymi przepisami, musi dokonać pełnej weryfikacji swoich użytkowników.

Na początku warto zaznaczyć, że kwestie prawne dla podmiotów świadczących tego typu usługi są złożone. Wynika to stąd, że giełdy kryptowalut powinny stosować się nie tylko do prawa krajowego, w którym jest zarejestrowana firma będąca operatorem platformy. Przepisy prawne obowiązujące w kraju operatora płatności czy banku, z którego korzystają jego klienci, również muszą być w pełni respektowane, by giełda mogła działać prawidłowo.

Częściowe “regulacje” rynku kryptowalut

9 lipca 2018 r. zaczęła obowiązywać Dyrektywa Parlamentu Europejskiego i Rady (UE) 2018/843 (dalej: „Dyrektywa V AML”) zmieniająca dyrektywę (UE) 2015/849 w sprawie zapobiegania wykorzystywaniu systemu finansowego do prania pieniędzy lub finansowania terroryzmu (dalej: „Dyrektywa IV AML”) oraz zmieniająca dyrektywy 2009/138/WE i 2013/36/UE.

W konsekwencji, można powiedzieć, że rynek kryptowalut został częściowo uregulowany przepisami z zakresu przeciwdziałania prania brudnych pieniędzy i finansowania terroryzmu, co zostało określone w IV i V Dyrektywie Unii Europejskiej

Odzwierciedlenie tych dyrektyw unijnych możemy znaleźć w ustawach krajowych:

Przepisy prawa polskiego:

• Ustawa z dnia 1 marca 2018 r. o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu (tekst jedn. Dz. U. 2018 poz. 723)

Przepisy prawa maltańskiego :

• Ustawa z dnia 23 sierpnia 1994r. o Przeciwdziałaniu Praniu Pieniędzy;
• Rozporządzenie z dnia 1 stycznia 2018r. w Sprawie Przeciwdziałania Praniu Pieniędzy i Finansowania Terroryzmu.

Zarówno z V i IV Dyrektywy oraz odzwierciedlających je praw krajowych, wynika że podmioty świadczące usługi w zakresie kryptowalut stały się “podmiotami obowiązanymi”, co z kolei nakłada na nie szereg obowiązków i wymogów, które muszą zostać spełnione. Wykonywanie tych obowiązków kontrolują krajowe jednostki analityki finansowej. W przypadku Polski jest to GIIF. W kwestii jurysdykcji maltańskiej jest to FIAU. Wszystkie instytucje obowiązane, mają nakaz identyfikacji i weryfikacji swoich klientów oraz stosowania wobec nich środków bezpieczeństwa finansowego. Wskazania te, zostały określone w przepisach o AML. Stąd konieczność prowadzenia wobec każdego klienta procesu „poznaj swojego klienta” (ang.: KYC, czyli know your customer).

Przykład z życia wzięty

Posłużymy się tu przykładem znanej polskiej giełdy kryptowalut BitBay, którą od ponad roku obsługuje operator podlegający jurysdykcji maltańskiej. Od przeniesienia działalności na Maltę, giełda kryptowalut BitBay podlega prawodawstwu Republiki Malty. Jednakże, większość klientów BitBay to wciąż obywatele Polski. W dodatku aby sprawnie realizować wpłaty i wypłaty dla swoich polskich klientów, BitBay musi współpracować z polskimi operatorami płatności oraz polskimi bankami. Z tego względu, platforma BitBay, ma obowiązek prawny, uwzględnienia i respektowania polskich przepisów z zakresu przeciwdziałania praniu pieniędzy i finansowania terroryzmu. Jak opisywaliśmy wcześniej, zarówno prawo Republiki Malty jak i prawo Polski implementowało w tym zakresie IV i V Dyrektywę parlamentu Europejskiego.

KYC i przetwarzanie danych 

KYC, czyli “poznaj swojego klienta”, to wymóg identyfikacji i weryfikacja użytkowników, aby móc stosować wobec nich środki bezpieczeństwa finansowego określone w przepisach o AML.

Zakres przetwarzania danych osobowych klientów pozyskiwanych w procesie KYC, jest ściśle określony w przepisach AML. Dane klientów są chronione w sposób szczególny i każda instytucja obowiązana ma obowiązek przechowywania ich przez okres pięciu lat po ustaniu relacji z danym klientem.

Udostępnienie danych, może być konieczne do realizacji konkretnych usług dla klienta – wszelkie możliwości tego typu, są zawsze wyszczególnione w Polityce Prywatności. Dane osobowe, mogą zostać również udostępnione w wyniku postępowań prawnych, ale wyłącznie na zasadach zgodnych z obowiązującym prawem, i tylko upoważnionym do tego organom państwa.

Co ze skanem dowodu osobistego przy weryfikacji na giełdach? 

Proces KYC składa się z identyfikacji klienta i jego weryfikacji. Identyfikacja polega na wprowadzeniu przez klienta giełdy swoich danych osobowych w formularz rejestracyjny (zakres danych odpowiada dyspozycji art. 46 ustawy o przeciwdziałaniu praniu pieniędzy i finansowaniu terroryzmu). Następnie w celach weryfikacji, klient musi przesłać czytelny skan dokumentu tożsamości i tzw. selfie (zdjęcie twarzy z widocznym i czytelnym dokumentem tożsamości). Niektóre giełdy, żądają również weryfikacji wideo. Wymagane jest też przesłanie dokumentu potwierdzającego adres – jest to najczęściej wyciąg z rachunku bankowego, urzędowe pismo lub rachunek za media. Każdy “podmiot obowiązany” musi weryfikować klienta w oparciu o niezależne źródła. Stąd konieczność uzyskania zdjęć dokumentów wydanych przez organy państwa, na podstawie których można zweryfikować czyjąś tożsamość.

Ustawa z dnia 22 listopada 2018 r. o dokumentach publicznych w art. 2 pkt. 6 określa, że wyłączone spod działania ustawy jest wykonywanie kserokopii lub wydruków komputerowych dokumentu publicznego wykonywanych do celów urzędowych, służbowych lub zawodowych określonych na podstawie odrębnych przepisów lub na użytek osoby, dla której dokument publiczny został wydany. 

Dlaczego giełdy czasem kilkukrotnie proszą o weryfikację? 

W związku z wejściem w życie “Dyrektywa V AML”, instytucje obowiązane, w tym giełdy kryptowalut, miały czas na dostosowanie swoich procedur oraz systemów do nowych wymogów. Jak nie trudno się domyślić, taki proces może być bardzo czasochłonny – nawet z dużym personelem odpowiedzialnym za dodatkową weryfikację. Już samo ponowne poproszenie użytkowników o weryfikację jest czasochłonne. W związku z tym, proces ten rozciąga się w czasie. 

Większość giełd, już przed wejściem w życie przepisów AML rozumiało konieczność walki z oszustwami w internecie oraz przeciwdziałaniu praniu pieniędzy i finansowaniu terroryzmu. Doprowadziło to do  wprowadzenia weryfikacji klientów (w tamtym czasie pozwoliło to skutecznie wyeliminować część oszustw i nadużyć). Z perspektywy czasu należy uznać, że prowadzone ówcześnie weryfikacje klientów, chociaż wtedy spełniły swoją funkcję, dziś, na potrzeby nowych przepisów AML okazały się niewystarczające. Przepisy o przeciwdziałaniu praniu pieniędzy i finansowaniu terroryzmu szczegółowo opisały na podstawie jakich danych dokonywana jest prawidłowa weryfikacja i jest to katalog zamknięty. W polskich przepisach  AML definiuje to art. 46 Ustawy.

Zmusiło to giełdy do uzupełnienia brakujących danych – z powodów technologicznych jak i merytorycznych (konfiguracja panelu KYC, aktualizacja dokumentów, odmienna struktura pozyskiwanych danych w różnych interwałach czasowych). Niektóre giełdy, zdecydowały się na przeprowadzenie powtórnej weryfikacji, co w konsekwencji jest rozwiązaniem prostszym i mniej pracochłonnym, dającym się zautomatyzować. Jednakże, trzeba liczyć się z tym, że przy dużych ilościach klientów podlegających tym działaniom, cały proces musi ulec rozłożeniu w czasie. 

Oprócz danych osobowych, wszystkie podmioty obowiązane (w tym przypadku giełdy kryptowalut) muszą ustalać profil prowadzonej działalności klienta, źródło pochodzenia środków oraz poddawać transakcje bieżącej analizie. 

Muszą rozpoznawać ryzyko prania pieniędzy i finansowania terroryzmu w oparciu o takie czynniki jak:

• rodzaj klienta; obszar geograficzny;
• przeznaczenia rachunku;
• rodzaju produktów;
• usług i sposobów ich dystrybucji;
• poziom wartości majątkowych deponowanych przez klienta;
• wartości przeprowadzonych transakcji oraz ich celu;
• regularność lub czas trwania stosunków gospodarczych.

Klienci giełd kryptowalut bardzo często nie zdają sobie sprawy jakie obowiązki nałożyły państwa na “podmioty obowiązane” i jakim rygorom w chwili obecnej takie podmioty podlegają. Przestrzeganie zasad określonych w przepisach AML związane jest też z bezpieczeństwem prawnym zarówno “podmiotów obowiązanych” jak i ich klientów. Biorąc pod uwagę polskie realia, gdzie nie możemy na razie mówić o regulacjach rynku kryptowalut, jedyną normą prawną wspominającą wprost o kryptowalutach są przepisy AML. Każdy klient musi mieć świadomość, że w przypadku nierealizowania obowiązków zapisanych w przepisach AML (a w skrajnych przypadkach oskarżenia o pranie pieniędzy), organy powołane do ścigania mogą doprowadzić do zablokowania działalności giełdy czy kont konkretnego użytkownika. W konsekwencji może to rodzić przykre i daleko idące konsekwencje dla wszystkich użytkowników danej platformy.