E-sklepy z towarami luksusowymi

Podsumowanie w punktach

Czeska ustawa o niektórych środkach przeciwko legalizacji dochodów z działalności przestępczej i finansowaniu terroryzmu (ustawa nr 253/2008 Sb., dalej „ustawa AML”) obejmuje e-sklepy z towarami luksusowymi w chwili, gdy z prawnego punktu widzenia stają się one „instytucją obowiązaną”, typowo jako handlowiec przyjmujący płatności gotówkowe od 10 000 EUR wzwyż albo jako handlowiec metalami szlachetnymi lub kamieniami szlachetnymi.

Ten moment nie oznacza jedynie jednego formalnego wpisu na listę, lecz otwiera cały pakiet obowiązków: identyfikację i weryfikację klientów, opracowanie systemu zasad wewnętrznych i oceny ryzyka, bieżące monitorowanie transakcji oraz zgłaszanie podejrzanych transakcji do czeskiego Urzędu Analiz Finansowych (Finanční analytický úřad, FAÚ).

W ostatnich miesiącach w dziedzinie AML w Czechach i w UE doszło do istotnych zmian – na przykład rozszerzenia kręgu instytucji obowiązanych, zaostrzenia zasad dotyczących osób zajmujących eksponowane stanowiska polityczne (PEP) oraz przyjęcia nowego europejskiego pakietu AML stosowanego w latach 2025–2027, który dotknie także sprzedaży online towarów luksusowych.

Ustawa AML a e-sklepy z towarami luksusowymi: gdzie e-commerce spotyka się z regulacją

Regulacja AML została pierwotnie zaprojektowana przede wszystkim dla banków i innych instytucji finansowych, ale w ostatnich latach bardzo wyraźnie przesunęła się także do świata zwykłej działalności gospodarczej, w tym e-commerce. Podstawowym czeskim aktem prawnym jest ustawa AML, której celem jest zapobieganie wykorzystywaniu systemu finansowego do legalizacji dochodów z działalności przestępczej i finansowania terroryzmu, a jednocześnie stworzenie warunków do skutecznego wykrywania tych zjawisk. Jeżeli w e-sklepie pojawi się podejrzenie prania pieniędzy lub powiązanych ryzyk karnych, wskazana może być konsultacja w zakresie prawa karnego.

E-sklep z towarami luksusowymi występuje tu jako potencjalny kanał, którym „brudne” pieniądze można zamienić na luksusowe towary, łatwe do odsprzedaży lub przemieszczenia do innego kraju, często przy minimalnym śladzie. Handel elektroniczny sam w sobie nie uruchamia obowiązków AML, niezależnie od tego, czy chodzi o model B2C, B2B czy inne rodzaje e-commerce. Decydujący jest charakter sprzedawanego towaru, sposób zapłaty i wysokość transakcji. W praktyce warto mieć jasność także co do tego, jak w ocenie AML uwzględnia się strukturę właścicielską i ewidencję beneficjentów rzeczywistych – skutki podsumowujemy w artykule Dlaczego niezgodność w ewidencji beneficjentów rzeczywistych może Cię kosztować udział w zamówieniu publicznym lub przetargu. Ustawa AML definiuje krąg tzw. instytucji obowiązanych – czyli podmiotów, które muszą stosować środki zapobiegawcze, w szczególności identyfikację i weryfikację klienta, prowadzić wewnętrzny system zasad i zgłaszać podejrzane transakcje.

Do tych podmiotów należą oprócz banków na przykład handlowcy metalami szlachetnymi i kamieniami szlachetnymi, a także handlowcy towarami przy transakcjach gotówkowych od 10 000 EUR wzwyż. Dla e-sklepów z towarami luksusowymi kluczowym punktem na granicy między „zwykłym” handlowcem a instytucją obowiązaną jest właśnie moment, w którym przyjmują lub zamierzają przyjąć płatności gotówkowe (typowo przy odbiorze osobistym) w wysokości co najmniej 10 000 EUR albo spełniają inne przesłanki zaliczenia do instytucji obowiązanych.

Nie chodzi przy tym wyłącznie o wysokość jednej płatności – przepisy zakładają, że transakcje można również sztucznie dzielić, na przykład serią mniejszych płatności lub rozproszeniem zakupów między kilka osób, i również to może być oznaką podejrzanej transakcji. Z perspektywy AML decydujący jest więc nie tylko sam e-sklep, ale także sposób ustawienia płatności, doręczenia i procesu zawierania umowy. Wiąże się z tym zwykle także prawidłowe przygotowanie dokumentacji umownej (np. regulaminu, zasad płatności i anulowania) w ramach umów i negocjacji.

Szczególną rolę odgrywa także zbieg ustawy AML z czeską ustawą o ograniczeniu płatności gotówkowych (dalej „ZOPH”), która nakłada na wszystkie osoby – przedsiębiorców i nieprzedsiębiorców – obowiązek dokonywania płatności powyżej 270 000 CZK (ok. 11 100 EUR) w formie bezgotówkowej. ZOPH obejmuje więc szerszy krąg podmiotów i sytuacji niż AML, ale realizuje inny cel; regulacja AML natomiast operuje węższym kręgiem instytucji obowiązanych, lecz ustanawia znacznie głębsze obowiązki w zakresie prewencji, kontroli i zgłaszania. 

Dla e-sklepu z towarami luksusowymi ważne jest zatem rozumienie obu reżimów jednocześnie i niepostrzeganie AML jako jedynie „kolejnej wersji” limitów gotówkowych. Od 2024 roku wchodzą przy tym w życie szeroko zakrojone zmiany na poziomie Unii Europejskiej: nowy pakiet AML obejmujący rozporządzenie AMLR oraz utworzenie Urzędu UE ds. Przeciwdziałania Praniu Pieniędzy (AMLA).

Te europejskie przepisy zaczną być w pełni stosowane około 2027 roku, ale czeska ustawa AML już teraz stopniowo się do nich dostosowuje, na przykład poprzez rozszerzanie kręgu instytucji obowiązanych i doprecyzowywanie wymogów dotyczących oceny ryzyka, PEP czy screeningu sankcyjnego. E-sklepy z towarami luksusowymi działają więc w otoczeniu, w którym regulacja wyraźnie się zaostrza i w którym oczekuje się coraz bardziej profesjonalnego compliance, także w średnich i mniejszych przedsiębiorstwach.

Kiedy e-sklep z towarami luksusowymi staje się „instytucją obowiązaną”

Handlowiec towarami i limit 10 000 EUR w gotówce

Ustawa AML zalicza do instytucji obowiązanych m.in. tzw. handlowców towarami, jeżeli w ramach swojej działalności przyjmują lub dokonują płatności gotówkowych o wartości co najmniej 10 000 EUR, niezależnie od tego, czy chodzi o jedną płatność, czy o kilka wzajemnie powiązanych płatności. Taka konstrukcja reaguje na typowy schemat prania pieniędzy, w którym sprawcy dzielą transakcje na kilka mniejszych płatności, aby uniknąć widocznych limitów – z perspektywy instytucji obowiązanej nie powinno to jednak prowadzić do wyłączenia obowiązku, lecz przeciwnie, do zwiększonej czujności. Jeżeli wstecznie zostaną wykryte błędy w ewidencji lub dokumentach księgowych związanych z transakcjami, istotna może być także procedura opisana w tekście Korekta zeznania podatkowego: jak postępować po wykryciu błędu w księgowości i wyeliminować ryzyko wysokich sankcji.

Szczególną podkategorią są handlowcy metalami szlachetnymi i kamieniami szlachetnymi, którzy są instytucjami obowiązanymi z mocy ustawy, gdy tylko dokonują transakcji o wartości równej lub przekraczającej 10 000 EUR, bez względu na to, czy płatność jest gotówkowa, czy bezgotówkowa. Nie chodzi tu wyłącznie o złoto inwestycyjne, ale o szerszy krąg metali szlachetnych (na przykład srebro, platyna, pallad) i kamieni szlachetnych (diamenty, rubiny, szafiry, szmaragdy), a często także o biżuterię z tych materiałów.

Jeżeli e-sklep oferuje połączenie luksusowej biżuterii, sztabek inwestycyjnych i drogich zegarków, w które oprawione są kamienie szlachetne, praktycznie zawsze zbliży się do reżimu handlowca metalami i kamieniami szlachetnymi, gdy tylko zacznie realizować transakcje powyżej wskazanego limitu.

Istotne jest, że limit 10 000 EUR odnosi się u ogólnych handlowców towarami przede wszystkim do płatności gotówkowych. Jeżeli e-sklep przyjmuje wyłącznie płatności bezgotówkowe (kartą, przelewem, przez bramkę płatniczą online) i jednocześnie nie należy do innej kategorii instytucji obowiązanych (na przykład dostawcy usług w zakresie aktywów wirtualnych), obowiązki AML handlowca towarami nie muszą go dotyczyć z tytułu tego limitu gotówkowego.

Jednak u handlowców metalami szlachetnymi i kamieniami szlachetnymi limit ten uruchamia obowiązki niezależnie od sposobu płatności. W praktyce wiele e-sklepów z towarami luksusowymi oferuje również odbiór osobisty z możliwością zapłaty na miejscu albo łączy zamówienie online z zapłatą w sklepie stacjonarnym. Gdy tylko przyjmiesz tam gotówkę powyżej wskazanego limitu, spełniasz przesłanki zaliczenia do instytucji obowiązanych.

Ważne jest rozróżnianie różnych reżimów prawnych limitów finansowych. ZOPH ustanawia bezwzględny zakaz dokonywania płatności powyżej 270 000 CZK w gotówce (z pewnymi wyjątkami), ale nie nakłada na Ciebie żadnych obowiązków w rodzaju identyfikacji klienta czy zgłaszania podejrzanych transakcji. Ustawa AML natomiast nie ogranicza płatności jako takich, ale jeżeli jesteś instytucją obowiązaną, wymaga od Ciebie kompleksowego systemu prewencji obejmującego KYC, podejście oparte na ryzyku (RBA), zasady wewnętrzne i obowiązek zgłaszania do FAÚ.

Identyfikacja klienta: kiedy i w jakim zakresie

Gdy tylko e-sklep stanie się instytucją obowiązaną, jego podstawowym obowiązkiem jest przeprowadzanie identyfikacji klienta w sytuacjach określonych w ustawie. Identyfikacja w rozumieniu AML oznacza ustalenie i weryfikację tożsamości osoby fizycznej lub prawnej na podstawie dokumentu tożsamości lub innego wiarygodnego źródła oraz utrwalenie tych danych, w tym ich archiwizację przez co najmniej 10 lat od zakończenia stosunków gospodarczych lub dokonania transakcji.

Ustawa AML stanowi, że instytucja obowiązana musi co do zasady zawsze przeprowadzić identyfikację klienta, gdy jest oczywiste, że wartość jednorazowej transakcji przekroczy kwotę 1 000 EUR, a ponadto zawsze przy nawiązaniu stosunków gospodarczych lub gdy chodzi o podejrzaną transakcję, bez względu na kwotę. Dla e-sklepu oznacza to w praktyce, że jeżeli sprzedaje na przykład luksusowe zegarki za 5 000 EUR i umożliwia zapłatę za nie gotówką lub nawet bezgotówkowo, ale już w reżimie instytucji obowiązanej, musi zidentyfikować klienta jeszcze przed dokonaniem transakcji.

W przypadku osób fizycznych standardowo ustala się imię, nazwisko, numer identyfikacyjny (rodné číslo, jeżeli został nadany) lub datę urodzenia, adres pobytu stałego lub innego dozwolonego pobytu, obywatelstwo oraz dane dokumentu tożsamości.

W przypadku osób prawnych ustala się w szczególności nazwę, siedzibę, numer identyfikacyjny, formę prawną i osobę uprawnioną do reprezentacji, przy czym ustawa AML odrębnie reguluje obowiązek ustalenia beneficjenta rzeczywistego (ultimate beneficial owner – UBO). W e-sklepie oznacza to w praktyce, że u zwykłego konsumenta kupującego biżuterię za wyższą kwotę wystarczy zweryfikować jego tożsamość na podstawie dowodu osobistego lub paszportu, natomiast przy zakupie na firmę trzeba zweryfikować także, kto faktycznie kontroluje firmę i czy ta osoba nie jest na przykład osobą zajmującą eksponowane stanowisko polityczne.

Elektroniczny charakter e-sklepu rodzi szczególne pytanie, jak przeprowadzić identyfikację klienta „na odległość”. Czeskie przepisy dopuszczają kilka metod identyfikacji bez fizycznej obecności, w tym wykorzystanie tożsamości bankowej lub innych narzędzi identyfikacji elektronicznej, jeśli spełniają wymogi dotyczące poziomu zaufania, ewentualnie procedur zgodnych z ustawą AML i powiązanym rozporządzeniem.

W praktyce można skorzystać na przykład z usług typu Bank iD, w których klient weryfikuje się za pośrednictwem swojego banku, a przedsiębiorca otrzymuje zweryfikowane dane identyfikacyjne i może je wykorzystać do spełnienia obowiązku AML. Dla e-sklepu z towarami luksusowymi jest to często najbardziej praktyczne rozwiązanie, ponieważ nie wymaga fizycznego spotkania z klientem, a jednocześnie zapewnia wysoki stopień pewności co do tożsamości kupującego.

Zaniedbanie identyfikacji klienta, czy to całkowite, czy co do jej prawidłowego zakresu, należy do najczęstszych uchybień, które FAÚ i inne organy nadzoru karzą. Nie chodzi przy tym jedynie o błąd formalny; jeżeli klient nie zostanie zidentyfikowany, nie może nastąpić także kolejny krok, czyli weryfikacja klienta, a instytucja obowiązana traci możliwość rozsądnej oceny ryzyka prania pieniędzy lub finansowania terroryzmu.

Ustawa AML wyraźnie zakazuje więc dokonania transakcji lub nawiązania stosunków gospodarczych, jeżeli instytucja obowiązana nie ma możliwości zidentyfikowania klienta w wymaganym zakresie.

Środki należytej staranności wobec klienta (CDD) i wzmożona weryfikacja

Ponad samą identyfikację klienta ustawa AML nakłada na instytucje obowiązane obowiązek przeprowadzania tzw. weryfikacji klienta (customer due diligence, CDD). Podczas gdy identyfikacja koncentruje się na pytaniu „kim jest klient”, weryfikacja klienta ma odpowiedzieć na szerszy zestaw pytań: jaki jest cel i charakter transakcji lub stosunków gospodarczych, jaka jest struktura właścicielska i zarządcza klienta, skąd pochodzą środki finansowe i czy klient lub jego beneficjent rzeczywisty nie jest osobą zajmującą eksponowane stanowisko polityczne lub osobą, wobec której Republika Czeska lub UE stosują sankcje międzynarodowe.

Ustawa określa sytuacje, w których weryfikacja klienta jest obowiązkowa. Należą do nich w szczególności nawiązanie stosunków gospodarczych, jednorazowe transakcje poza stosunkami gospodarczymi o wartości co najmniej 15 000 EUR oraz inne wymienione sytuacje, na przykład transakcje z PEP, klientami z krajów wysokiego ryzyka lub podejrzane transakcje bez względu na kwotę. U operatorów gier hazardowych próg jest niższy (2 000 EUR), co odzwierciedla ryzykowność tej branży.

Dla e-sklepu z towarami luksusowymi oznacza to w praktyce, że przy „większych” zakupach lub u klientów o wyższym profilu ryzyka musi wyjść poza samą identyfikację i systematycznie żądać oraz oceniać informacje o źródłach pieniędzy, charakterze działalności klienta czy docelowym wykorzystaniu towaru.

Weryfikacja klienta musi być zawsze adekwatna do ryzyka – zgodnie z zasadą tzw. risk-based approach (RBA). U klienta niskiego ryzyka, który kupuje jednorazowo w kraju o niskim ryzyku AML, może wystarczyć podstawowa weryfikacja tożsamości i kilka pytań uzupełniających, natomiast u klienta z państwa wysokiego ryzyka, który wielokrotnie kupuje drogie złoto za wysokie kwoty, konieczne jest znacznie głębsze sprawdzenie, w tym udokumentowanie źródła majątku i bieżący monitoring transakcji.

Ustawa AML operuje więc trzema poziomami: uproszczoną, standardową i wzmożoną weryfikacją klienta. Wzmożona weryfikacja klienta ma zastosowanie w szczególności do osób zajmujących eksponowane stanowiska polityczne, klientów z krajów wysokiego ryzyka oraz w innych sytuacjach o wysokim ryzyku prania pieniędzy. W praktyce obejmuje obowiązek uzyskania zgody członka organu statutowego instytucji obowiązanej na nawiązanie stosunków gospodarczych, ustalania szczegółowych informacji o pochodzeniu majątku klienta i regularnej rewizji profilu ryzyka.

W e-sklepie z towarami luksusowymi może to oznaczać, że jeżeli luksusowy zegarek za 30 000 EUR chce od Ciebie kupić minister spraw zagranicznych, musisz nie tylko zweryfikować jego tożsamość, ale także źródło jego całego majątku i ustanowić bieżący monitoring, jeżeli nawiąże z Tobą trwalsze stosunki gospodarcze. Ustawa AML wprowadza jednocześnie instytucję „odstąpienia od weryfikacji klienta”, gdy instytucja obowiązana w określonych sytuacjach nie przeprowadza weryfikacji, aby nie zagrozić postępowaniu wyjaśniającemu w sprawie podejrzanej transakcji, lub na polecenie FAÚ, przy czym musi o tym fakcie zawiadomić FAÚ. Także to ma dla e-sklepu znaczenie praktyczne, ponieważ czasem lepiej jest transakcję wstrzymać lub zablokować i od razu zawiadomić FAÚ, niż ryzykować, że klient otrzyma sygnał, iż jest przedmiotem postępowania.

Wewnętrzna organizacja e-sklepu jako instytucji obowiązanej: od dokumentów do praktyki

Gdy tylko e-sklep z towarami luksusowymi spełni definicję instytucji obowiązanej, nie wystarczy jedynie „jakoś” identyfikować klientów i od czasu do czasu zauważyć podejrzaną transakcję. Ustawa AML wymaga podejścia systemowego: pisemnego systemu zasad wewnętrznych, oceny ryzyka, wyznaczenia osób odpowiedzialnych, szkolenia pracowników i bieżącej oceny skuteczności przyjętych środków.

Ocena ryzyka i system zasad wewnętrznych (SVZ)

Kamieniem węgielnym compliance AML jest ocena ryzyka legalizacji dochodów z działalności przestępczej i finansowania terroryzmu, na które narażona jest konkretna instytucja obowiązana. Ustawa AML wyraźnie wymaga, aby instytucje obowiązane identyfikowały i oceniały ryzyka w odniesieniu do swojej działalności, klientów, produktów, kanałów dystrybucji i obszarów geograficznych.

Na podstawie tej oceny muszą następnie wprowadzić tzw. system zasad wewnętrznych (SVZ) – zbiór strategii i procedur kontroli wewnętrznej i komunikacji służących zarządzaniu zidentyfikowanymi ryzykami i zapewnieniu należytego wykonywania obowiązków wynikających z ustawy AML. Wytyczne metodyczne FAÚ dotyczące oceny ryzyka wskazują, że w analizie należy uwzględnić co najmniej cztery obszary: klientów i związane z nimi transakcje, usługi i produkty oferowane przez instytucję obowiązaną, geografię oraz kanały dystrybucji.

W e-sklepie z towarami luksusowymi oznacza to na przykład rozróżnienie ryzykowności różnych rodzajów towarów (złoto inwestycyjne vs. biżuteria designerska niższej wartości), segmentów klientów (klienci VIP, klientela zagraniczna, B2B vs. B2C), krajów, z których pochodzą klienci (w tym państw trzecich wysokiego ryzyka według UE), oraz sposobu sprzedaży (online bez kontaktu osobistego, odbiór osobisty, współpraca z dystrybutorami).

Wynikiem oceny jest dokument, który musi być pisemny, regularnie aktualizowany i faktycznie stosowany, a nie jedynie formalnym załącznikiem na potrzeby kontroli. Nawiązuje do niego SVZ, który szczegółowo opisuje, jak e-sklep identyfikuje i weryfikuje klientów, jak ocenia podejrzane transakcje, jakie ma wewnętrzne procedury zatwierdzania, kto odpowiada za komunikację z FAÚ, jak szkoleni są pracownicy i jak archiwizowane są dokumenty. FAÚ i inne organy oceniają w praktyce, czy SVZ odpowiada charakterowi i zakresowi działalności instytucji obowiązanej, i nie obronisz się, przedstawiając ogólny wzór pobrany z internetu, który nie odzwierciedla rzeczywistego funkcjonowania Twojego e-sklepu.

Osoba odpowiedzialna, osoba kontaktowa i szkolenia pracowników

Ustawa AML nakłada na instytucje obowiązane obowiązek wyznaczenia członka organu statutowego, który będzie odpowiedzialny za wykonywanie obowiązków wynikających z ustawy AML. Niewyznaczenie takiej osoby samo w sobie stanowi wykroczenie administracyjne, za które można nałożyć karę sięgającą milionów koron czeskich.

W przypadku wybranych instytucji obowiązanych konieczne jest jednocześnie wyznaczenie i zgłoszenie FAÚ osoby kontaktowej, która zapewnia bieżący kontakt z FAÚ, w szczególności zgłaszanie podejrzanych transakcji; osoba kontaktowa musi być dostępna w godzinach pracy instytucji obowiązanej oraz w czasie, gdy dokonuje ona transakcji. U handlowców metalami i kamieniami szlachetnymi obowiązek wyznaczenia osoby kontaktowej wyraźnie nie ma zastosowania, co jednak nie oznacza, że e-sklep nie powinien wewnętrznie jasno określić, kto komunikuje się z FAÚ.

Kolejnym kluczowym obowiązkiem jest szkolenie pracowników, którzy w ramach swojej pracy mogą zetknąć się z podejrzaną transakcją lub uczestniczą w identyfikacji i weryfikacji klientów. Ustawa AML wymaga, aby pracownicy ci byli regularnie szkoleni i aby ze szkolenia sporządzano pisemny zapis. W e-sklepie z towarami luksusowymi dotyczy to nie tylko osób w „dziale compliance”, ale także pracowników obsługi klienta, sprzedawców przy odbiorze osobistym, kierowników sklepów czy specjalistów IT konfigurujących filtry i systemy monitorujące.

W praktyce to często właśnie te osoby jako pierwsze wychwytują anomalię w zachowaniu klienta – na przykład nietypowo dużą liczbę zamówień tuż poniżej limitu, chęć zapłaty gotówką mimo standardu płatności bezgotówkowych czy niechęć do udokumentowania źródła pieniędzy.

Adwokaci z kancelarii adwokackiej ARROWS na tym etapie zazwyczaj pomagają klientom nie tylko przygotować formalnie poprawny SVZ i ocenę ryzyka, ale przede wszystkim określić role poszczególnych osób, stworzyć zrozumiałe szkolenie wewnętrzne i zapewnić, aby procedury AML rzeczywiście funkcjonowały zgodnie z modelem biznesowym e-sklepu.

Dzięki temu znacząco zmniejsza się ryzyko, że podczas ewentualnej kontroli FAÚ lub Czeskiego Banku Narodowego (ČNB) firmie zostanie zarzucone, że wprawdzie ma „dokumenty w porządku”, ale w rzeczywistości procedur nie przestrzega.

Archiwizacja danych i współpraca z FAÚ

Ustawa AML kładzie duży nacisk na przechowywanie danych o identyfikacji klientów i dokonanych transakcjach. Instytucje obowiązane muszą przechowywać kopie dokumentów i inne dane identyfikacyjne przez co najmniej 10 lat od zakończenia stosunków gospodarczych lub od dokonania jednorazowej transakcji.

Ten sam dziesięcioletni okres dotyczy także zapisów z weryfikacji klientów, przyczyn, dla których transakcja została uznana za podejrzaną lub przeciwnie – nie została za taką uznana, oraz dokumentacji zawiadomień złożonych do FAÚ. Dla e-sklepu oznacza to konieczność pogodzenia wymogów AML z zasadami ochrony danych osobowych (RODO) i z wewnętrznymi systemami IT tak, aby dane były przechowywane bezpiecznie, a jednocześnie dostępne na wypadek kontroli. Współpraca z FAÚ ma dwa wymiary. Pierwszym jest obowiązek zawiadamiania: instytucja obowiązana musi bez zbędnej zwłoki, najpóźniej w ciągu 7 dni kalendarzowych od wykrycia, zawiadomić FAÚ o każdej podejrzanej transakcji, w tym o próbach jej dokonania.

Drugim wymiarem jest obowiązek udzielenia FAÚ na żądanie dodatkowych informacji i współdziałania, w tym umożliwienia dostępu do dokumentacji i procedur wewnętrznych. FAÚ w praktyce wspiera elektroniczne składanie zawiadomień za pośrednictwem aplikacji MoneyWeb i MoneyWeb Lite, które umożliwiają bezpieczne złożenie zawiadomienia o podejrzanej transakcji, a jednocześnie służą jako narzędzie edukacji pracowników compliance.

Przy zgłaszaniu podejrzanej transakcji obowiązuje ścisły zakaz tzw. tipping-off, czyli informowania klienta lub osób trzecich o tym, że jego transakcja została zgłoszona FAÚ lub że może być przedmiotem postępowania. Naruszenie tego obowiązku może mieć nie tylko skutki administracyjnoprawne, ale także karne.

W kontekście e-sklepu konieczne jest więc staranne ustawienie komunikacji wewnętrznej – na przykład tego, jak pracownicy obsługi klienta odpowiadają na pytania klienta, dlaczego jego zamówienie zostało wstrzymane lub anulowane, nie zdradzając przy tym, że przyczyną jest postępowanie AML.

Podejrzana transakcja w e-sklepie z towarami luksusowymi

Ustawa AML definiuje podejrzaną transakcję jako transakcję dokonaną w okolicznościach wywołujących podejrzenie próby legalizacji dochodów z działalności przestępczej lub finansowania terroryzmu, ewentualnie gdy użyte środki mogą pochodzić z działalności przestępczej lub służyć finansowaniu terroryzmu. Jednocześnie zawiera przykładowe wyliczenie cech podejrzanej transakcji oraz zamknięty katalog tzw. obligatoryjnych podejrzanych transakcji, w przypadku których instytucja obowiązana musi zawsze złożyć zawiadomienie do FAÚ.

Typowe „red flags” w e-sklepach z towarami luksusowymi

W e-sklepach z towarami luksusowymi można spotkać szereg typowych sytuacji wskazujących na podwyższone ryzyko AML. FAÚ i literatura fachowa wskazują na przykład przypadki, gdy klient dokonuje wypłat lub przelewów na inne rachunki bezpośrednio po wpłatach gotówkowych lub przeprowadza uderzająco częste transakcje w krótkim okresie, przy czym transakcje te w nieproporcjonalny sposób przekraczają jego zwykłą sytuację majątkową lub charakter działalności.

W kontekście e-sklepu takie zachowanie może przejawiać się na przykład serią zamówień luksusowych zegarków i biżuterii w ciągu kilku dni, opłacanych z różnych rachunków i doręczanych na różne adresy, przy czym nazwisko zamawiającego jest zawsze podobne albo chodzi o osoby wyraźnie ze sobą powiązane. Kolejnym sygnałem może być dążenie klienta do podzielenia jednego dużego zamówienia na kilka mniejszych tak, aby poszczególne płatności nie przekroczyły określonego progu – na przykład 10 000 EUR lub 1 000 EUR – co w przeciwnym razie uruchomiłoby obowiązek identyfikacji lub weryfikacji klienta.

Takie „dzielenie” płatności jest klasycznym sposobem, w jaki sprawcy prania pieniędzy próbują uniknąć wykrycia, a system AML e-sklepu powinien być skonfigurowany tak, aby wykrywał te powiązania, na przykład poprzez agregację zamówień według adresu IP, identyfikacji urządzenia, adresów dostawy lub danych płatniczych.

Uwagę zwracają także transakcje, w których środki, którymi dysponuje klient, wyraźnie nie odpowiadają charakterowi jego działalności lub sytuacji majątkowej. Typową sytuacją jest młody klient bez widocznej historii dochodów, który nagle zamawia kilka sztuk złota inwestycyjnego lub bardzo drogich zegarków, odmawia udzielenia informacji o pochodzeniu pieniędzy lub przedstawia ewidentnie niewiarygodne dokumenty.

W przypadku osób prawnych sygnałem ryzyka może być złożona struktura właścicielska z powiązaniami z rajami podatkowymi, częste zmiany w organach statutowych, niedawne przeniesienia udziałów czy powiązania z jurysdykcjami wysokiego ryzyka.

Szczególną kategorią są transakcje powiązane z sankcjami międzynarodowymi. Ustawa AML stanowi, że podejrzaną transakcją jest zawsze transakcja, w której występuje element związany z wykonywaniem sankcji międzynarodowych – na przykład gdy klientem, beneficjentem rzeczywistym lub osobą w inny sposób uczestniczącą w transakcji jest osoba wpisana na listę sankcyjną albo gdy przedmiotem transakcji jest towar objęty sankcjami.

Dla e-sklepu z towarami luksusowymi może to oznaczać na przykład klienta z Federacji Rosyjskiej lub innej jurysdykcji objętej sankcjami, który próbuje kupić luksusowe towary za wysokie kwoty, często za pośrednictwem pośredników lub firm o ukrytej strukturze właścicielskiej.

Obowiązek zgłoszenia podejrzanej transakcji i „bez zbędnej zwłoki”

Gdy tylko e-sklep jako instytucja obowiązana uzna określoną transakcję za podejrzaną, powstaje po jego stronie bezpośredni obowiązek zawiadomienia o tym FAÚ, i to bez zbędnej zwłoki, najpóźniej w ciągu 7 dni kalendarzowych od dnia wykrycia podejrzanej transakcji.

Obowiązek dotyczy wszystkich podejrzanych transakcji, w tym prób ich dokonania, także w przypadku, gdy ostatecznie do sfinalizowania transakcji nie dojdzie. W praktyce oznacza to, że jeżeli e-sklep zablokuje zamówienie, ponieważ klient odmówił udokumentowania pochodzenia pieniędzy lub okazało się, że znajduje się na liście sankcyjnej, musi mimo to zawiadomić o tym FAÚ, nawet jeśli do sprzedaży w ogóle nie doszło.

Sformułowanie „bez zbędnej zwłoki” zostało wprowadzone do ustawy AML w celu odzwierciedlenia, że niektóre przypadki wymagają bardzo szybkiej reakcji, zwłaszcza gdy zwłoka grozi niebezpieczeństwem, na przykład ryzykiem przelania lub wyprowadzenia środków. Jeżeli okoliczności wskazują na bezpośrednie zagrożenie, instytucja obowiązana musi złożyć zawiadomienie „niezwłocznie”.

FAÚ w swoich wytycznych metodycznych podkreśla, że instytucja obowiązana musi mieć procedury wewnętrzne ustawione tak, aby była w stanie złożyć zawiadomienie naprawdę operatywnie – czyli nie tylko w ciągu dni, ale w razie potrzeby w ciągu godzin. Zawiadomienie powinno zawierać szczegółowy opis okoliczności podejrzanej transakcji, dane identyfikacyjne klienta i innych zaangażowanych osób, informacje o przedmiocie transakcji, użytych środkach płatniczych, przyczynach podejrzenia i przyjętych środkach (na przykład wstrzymaniu lub niedokonaniu transakcji).

Dla e-sklepu oznacza to, że od początku musi mieć ustawione procesy gromadzenia i archiwizacji istotnych danych – anonimowa sprzedaż „bez zbędnych pytań” jest z reżimem AML praktycznie nie do pogodzenia.

Sankcje i odpowiedzialność: co grozi e-sklepowi, który zlekceważy AML

Regulacja AML nie jest „miękką rekomendacją”, lecz twardo egzekwowanymi ramami prawnymi, którym towarzyszą wysokie sankcje. Czeska ustawa AML zawiera szeroki katalog wykroczeń administracyjnych i pozwala nakładać kary do wysokości 130 milionów CZK (ok. 5,3 mln EUR) w przypadku instytucji finansowych i nawet dziesiątek milionów CZK w przypadku innych instytucji obowiązanych.

Sankcje mogą przy tym dotyczyć nie tylko osoby prawnej, ale w niektórych przypadkach także osób fizycznych – członków organu statutowego lub pracowników, którzy swoim działaniem spowodowali, że instytucja obowiązana dopuściła się wykroczenia.

Typowe karane uchybienia

W praktyce do najczęstszych uchybień należą nieopracowanie lub nieaktualizowanie oceny ryzyka i systemu zasad wewnętrznych, niewystarczająca identyfikacja i weryfikacja klientów, niezgłoszenie podejrzanej transakcji oraz nieprzechowywanie zapisów w wymaganej formie. Karane jest również niewyznaczenie osoby odpowiedzialnej, nieprzeprowadzanie szkoleń pracowników lub nieprzestrzeganie obowiązku zachowania tajemnicy.

W e-sklepach z towarami luksusowymi często lekceważy się ponadto fakt, że sklep internetowy w pewnym momencie faktycznie staje się „bramą finansową”, w związku z czym dotyczą go podobne wymogi jak banków czy instytucji płatniczych. Nowsze zmiany legislacyjne zaostrzyły przepisy o sankcjach i wprowadziły obowiązek stosowania grupowych strategii AML przez instytucje obowiązane należące do grupy.

Jeżeli na przykład e-sklep z towarami luksusowymi należy do międzynarodowej grupy z innymi podmiotami regulowanymi, oczekiwać się będzie, że stosuje grupowe strategie i procedury kontroli wewnętrznej oraz że w ramach grupy wymienia istotne informacje o ryzykach i podejrzanych transakcjach.

Powtarzające się naruszanie tych obowiązków może prowadzić do wyższych sankcji i poważnej szkody wizerunkowej całej grupy. Obok kar administracyjnych istnieje również ryzyko odpowiedzialności karnej osoby prawnej i odpowiedzialnych osób fizycznych, gdyby instytucja obowiązana świadomie umożliwiła pranie pieniędzy lub finansowanie terroryzmu. Reżim AML jest w tym względzie „pierwszą linią” obrony – jeżeli jest prawidłowo ustawiony, a instytucja obowiązana w dobrej wierze wykonuje swoje obowiązki, znacząco zmniejsza się ryzyko, że zostałaby uznana za współsprawcę przestępstwa.

Przeciwnie, ignorowanie AML lub formalne podejście bez rzeczywistego wykonywania obowiązków może być w ewentualnym postępowaniu karnym istotną okolicznością obciążającą.

Tabela praktycznych ryzyk i rola kancelarii adwokackiej ARROWS

Jak wdrożyć AML w codziennym funkcjonowaniu e-sklepu z towarami luksusowymi

Teoretyczne zrozumienie obowiązków AML to dopiero pierwszy krok. Decydujące jest, jak te zasady przełożą się na codzienne funkcjonowanie e-sklepu – na proces zamówień, obsługę klienta, ustawienia płatności, logistykę i systemy IT.

Proces zamówienia, UX i AML

Dla e-sklepu kluczowe jest znalezienie równowagi między przyjaznym dla użytkownika procesem zakupowym a obowiązkami AML. Jeżeli na przykład wiesz, że przy określonych rodzajach towarów i wysokości ceny będziesz musiał przeprowadzić identyfikację i weryfikację klienta, warto dostosować do tego strukturę zamówienia: odpowiednio wcześnie poprosić o niezbędne dane i dokumenty, jasno wyjaśnić, dlaczego ich wymagasz, i zminimalizować ryzyko, że klient porzuci zamówienie.

Praktycznym rozwiązaniem jest stworzenie dynamicznego formularza zamówienia, który reaguje na wartość koszyka i rodzaj towaru. Przy zwykłych zamówieniach niższej wartości klient widzi standardowe pola, natomiast przy drogich produktach formularz rozszerza się o dane niezbędne do identyfikacji AML lub oferuje możliwość weryfikacji za pomocą tożsamości bankowej. Klient nie musi więc zawsze przechodzić skomplikowanego procesu, lecz tylko w sytuacjach, gdy wymaga tego ustawa lub wewnętrzna ocena ryzyka.

Ważne jest również ustawienie systemu ostrzeżeń dla pracowników realizujących zamówienia. Jeżeli na przykład ten sam klient w krótkim czasie spróbuje złożyć kilka zamówień drogich towarów tuż poniżej limitu, system powinien oznaczyć ten fakt jako potencjalny red flag i przekazać zamówienie do ręcznej oceny.

W dużych e-sklepach opłaca się inwestować w zautomatyzowane mechanizmy wykrywania, które analizują wzorce zachowań i sygnalizują anomalie, nie ingerując znacząco w zwykłą sprzedaż.

Metody płatności, gotówka i odbiór osobisty

Z perspektywy AML szczególnie wrażliwe są płatności gotówkowe, zwłaszcza przy odbiorze osobistym. Gdy tylko e-sklep z towarami luksusowymi umożliwi klientom zapłatę gotówką kwot równych lub przekraczających 10 000 EUR, wchodzi do kategorii handlowców towarami – instytucji obowiązanych podlegających reżimowi AML.

Wielu przedsiębiorców próbuje uniknąć obowiązków AML, ograniczając lub całkowicie wyłączając płatności gotówkowe i przyjmując wyłącznie płatności bezgotówkowe na rachunek bankowy lub przez bramki płatnicze. Może to być praktycznie skuteczne, trzeba jednak pamiętać, że obowiązki AML mogą wynikać także z innych przyczyn, na przykład w przypadku handlowców metalami szlachetnymi lub przy świadczeniu niektórych rodzajów usług.

Jeżeli zdecydujesz się zachować płatności gotówkowe, konieczne jest systematyczne monitorowanie ich wartości i zapobieganie celowemu dzieleniu płatności przez klientów. System e-sklepu powinien umieć rozpoznać, gdy ten sam klient lub osoby powiązane próbują dokonać kilku płatności gotówkowych, które łącznie przekraczają limit, i w takim przypadku automatycznie uruchomić reżim AML – identyfikację klienta, weryfikację i ewentualne zawiadomienie FAÚ.

Ważna jest także współpraca z pracownikami w punkcie odbioru osobistego, którzy muszą umieć rozpoznać sytuację i wstrzymać transakcję, jeżeli klient odmówi współpracy. Jednocześnie warto uregulować w umowach relacje z dostawcami usług płatniczych – bankami i bramkami płatniczymi. Mają one własne obowiązki AML i jeżeli uznają, że e-sklep nie spełnia w wystarczającym stopniu wymogów AML lub jest narażony na podwyższone ryzyko, mogą jednostronnie ograniczyć lub zakończyć współpracę.

Dla e-sklepu może to oznaczać natychmiastowy paraliż sprzedaży. Dobrze ustawiony program AML nie jest więc tylko obowiązkiem wobec państwa, ale także warunkiem długoterminowego utrzymania usług bankowych i płatniczych.

Sankcje międzynarodowe, PEP i „wrażliwi” klienci

Reżim AML dotyczy nie tylko kwot i rodzajów towarów, ale także konkretnych osób, z którymi prowadzisz interesy. Dwiema kluczowymi kategoriami z punktu widzenia podwyższonego ryzyka są osoby zajmujące eksponowane stanowiska polityczne (PEP) oraz osoby objęte sankcjami krajowymi lub międzynarodowymi.

Osoby zajmujące eksponowane stanowiska polityczne (PEP)

Osobą zajmującą eksponowane stanowisko polityczne jest zgodnie z ustawą AML osoba fizyczna, która pełni lub pełniła znaczącą funkcję publiczną o znaczeniu ogólnokrajowym lub regionalnym, a także osoby jej bliskie i osoby pozostające z nią w stosunkach gospodarczych. Należą do nich na przykład głowa państwa, członkowie rządu, posłowie, senatorowie, kierownicy centralnych organów administracji państwowej, wysokiej rangi sędziowie lub członkowie organów przedsiębiorstw państwowych.

PEP są z perspektywy AML uważane za bardziej ryzykowne, ponieważ mają potencjalny dostęp do środków publicznych i możliwość nadużycia swojej pozycji do działań korupcyjnych lub innych przestępczych. Instytucje obowiązane muszą więc przed dokonaniem transakcji lub nawiązaniem stosunków gospodarczych ustalać, czy klient lub jego beneficjent rzeczywisty jest PEP, i na bieżąco aktualizować tę informację przez cały czas trwania relacji.

Sam status PEP nie jest powodem do automatycznego odrzucenia transakcji, ale uruchamia obowiązek wzmożonej identyfikacji i weryfikacji, w tym ustalenia pochodzenia całego majątku PEP i uzyskania zgody wyższej kadry kierowniczej. W e-sklepie z towarami luksusowymi może to oznaczać, że jeżeli znany polityk lub członek zarządu przedsiębiorstwa państwowego wielokrotnie kupuje bardzo drogą biżuterię, musisz szczegółowo interesować się tym, z jakich źródeł finansuje te zakupy.

Nie istnieje żadna jednolita, publicznie dostępna lista PEP, dlatego instytucje obowiązane muszą łączyć kilka metod – własne ustalenia, specjalistyczne bazy danych, oświadczenia klienta i inne źródła informacji. Z przeprowadzonych ustaleń zawsze należy sporządzić zapis.

Prawnicy z kancelarii adwokackiej ARROWS często pomagają klientom ustawić proces screeningu PEP tak, aby był skuteczny, a jednocześnie nie ingerował nadmiernie w bieżącą działalność.

Screening sankcyjny i transakcje z osobami „objętymi sankcjami”

Instytucje obowiązane muszą ponadto sprawdzać, czy Republika Czeska lub Unia Europejska nie stosują sankcji międzynarodowych wobec klienta, jego beneficjenta rzeczywistego lub innych osób zaangażowanych w transakcję. Sankcje mogą przybierać formę zamrożenia majątku, zakazu świadczenia usług finansowych, embarga na wywóz określonych towarów lub zakazu wjazdu do kraju.

W ostatnich latach reżimy sankcyjne znacznie się rozszerzyły, zwłaszcza w związku z rosyjską agresją na Ukrainę, sytuacją na Białorusi, w Iranie, Korei Północnej i innych krajach. Dla ułatwienia screeningu sankcyjnego istnieją różne narzędzia, w tym oficjalne bazy danych UE i Republiki Czeskiej oraz rozwiązania komercyjne, które umożliwiają wyszukiwanie osób i podmiotów na listach sankcyjnych i generowanie zapisu o wyniku.

Obowiązek sprawdzania sankcji dotyczy wszystkich instytucji obowiązanych i musi być wykonywany w sposób możliwy do udowodnienia – czyli nie tylko przeprowadzić kontrolę, ale także zachować dowód, że do weryfikacji doszło. W e-sklepie z towarami luksusowymi oznacza to w praktyce, że przy wyższych zamówieniach lub u klientów z krajów wysokiego ryzyka system musi automatycznie przeprowadzić screening sankcyjny, a w razie pozytywnego wyniku zablokować transakcję i zgłosić ją FAÚ jako podejrzaną.

Szczególnym obszarem są sankcje na określone rodzaje towarów – na przykład wyrobów luksusowych – wobec niektórych krajów lub osób. W takich przypadkach sama sprzedaż towaru osobie objętej sankcjami może być zakazana bez względu na to, w jaki sposób dokonano płatności. E-sklep, który dostarczy taki towar, ryzykuje nie tylko sankcję na podstawie ustawy AML, ale także naruszenie przepisów sankcyjnych z możliwymi skutkami karnymi.

W sytuacjach, w których zasady sankcyjne dynamicznie się zmieniają, warto więc mieć ustawiony system powiadomień o zmianach list sankcyjnych i w razie wątpliwości skonsultować konkretną transakcję z prawnikami z kancelarii adwokackiej ARROWS.

Przyszłość AML dla e-sklepów: europejski pakiet AML i cyfryzacja

Regulacja AML nie jest statyczna; w ostatnich latach jest znacząco wzmacniana zarówno na poziomie UE, jak i krajowym. W czerwcu 2024 r. w Dzienniku Urzędowym UE opublikowano tzw. nowy pakiet AML, który obejmuje przede wszystkim rozporządzenie AMLR, nową dyrektywę AML oraz utworzenie europejskiego organu nadzoru AMLA.

Celem jest ujednolicenie zasad w całej UE i wzmocnienie nadzoru transgranicznego, co dotknie także e-sklepy z towarami luksusowymi, zwłaszcza te, które działają w kilku państwach lub sprzedają za granicę. Rozporządzenie AMLR będzie stosowane bezpośrednio i zastąpi część przepisów krajowych w zakresie CDD, podejścia opartego na ryzyku i kontroli wewnętrznych. Przyniesie bardziej szczegółowe i jednolite zasady dotyczące KYC, identyfikacji beneficjentów rzeczywistych, postępowania z PEP i screeningu sankcyjnego.

E-sklepy, które już dziś dostosują swoje procedury AML do standardów europejskich, będą w momencie pełnego stosowania AMLR w lepszej sytuacji, ponieważ nie czeka ich zasadnicza restrukturyzacja systemu compliance.

Cyfryzacja przynosi jednocześnie nowe możliwości i wyzwania w zakresie identyfikacji klientów i monitorowania transakcji. Zdalna identyfikacja elektroniczna, wykorzystanie tożsamości bankowej, zautomatyzowane systemy monitorowania transakcji i analiza danych w czasie rzeczywistym stają się standardem nie tylko w sektorze finansowym, ale także w e-commerce. E-sklepy z towarami luksusowymi mogą wykorzystać te technologie, aby procedury AML w jak najmniejszym stopniu obciążały klienta i zespół wewnętrzny, a jednocześnie były skuteczne i możliwe do audytu.

Dla zarządu i inwestorów ważne jest postrzeganie AML nie tylko jako obciążenia regulacyjnego, ale jako elementu szerszego zarządzania ryzykiem i corporate governance. Prawidłowo ustawiony program AML chroni nie tylko przed karami, ale także przed szkodami wizerunkowymi, utratą finansowania bankowego i ryzykiem odpowiedzialności karnej.

W warunkach rosnącej presji ze strony regulatorów, banków, partnerów handlowych i opinii publicznej solidny compliance AML jest jednym z czynników zwiększających wartość firmy i jej atrakcyjność dla inwestorów. Prawnicy z kancelarii adwokackiej ARROWS od dawna działają w tej dziedzinie, śledzą rozwój czeskiego i europejskiego ustawodawstwa i pomagają klientom w porę reagować na nadchodzące zmiany.

Podsumowanie końcowe

E-sklepy z towarami luksusowymi znajdują się dziś w centrum zainteresowania regulacji AML. Gdy tylko spełnią przesłanki zaliczenia do instytucji obowiązanych – typowo jako handlowcy metalami i kamieniami szlachetnymi lub handlowcy towarami przyjmujący płatności gotówkowe od 10 000 EUR wzwyż – obejmuje je kompleksowy zestaw obowiązków: identyfikacja i weryfikacja klientów, ocena ryzyka, opracowanie i stosowanie systemu zasad wewnętrznych, szkolenie pracowników i zgłaszanie podejrzanych transakcji do Urzędu Analiz Finansowych.

Zaniedbanie tych obowiązków może prowadzić do znacznych sankcji administracyjnych, szkody wizerunkowej, ograniczenia usług bankowych, a w skrajnym przypadku nawet do odpowiedzialności karnej.

Jednocześnie rzeczywistość prawna jest bardziej złożona niż same limity kwotowe. Obowiązek identyfikacji i weryfikacji klienta może powstać także przy niższych kwotach, jeżeli transakcja jest podejrzana lub chodzi o osobę zajmującą eksponowane stanowisko polityczne bądź klienta z kraju wysokiego ryzyka. E-sklep musi ponadto pogodzić wymogi AML z UX, RODO, sprzedażą transgraniczną, wymaganiami banków i dostawców płatności oraz procesami wewnętrznymi.

Bez profesjonalnego wdrożenia compliance AML w praktyce często zamienia się albo w nieefektywny formalizm, albo w niebezpieczną lukę w zarządzaniu ryzykiem. Jeżeli nie chcesz ryzykować błędów, szkód, opóźnień ani kar i potrzebujesz pewności, że Twój e-sklep z towarami luksusowymi wykonuje obowiązki AML skutecznie i zgodnie z aktualnymi przepisami, rozsądnie jest zwrócić się do specjalistów.

Prawnicy z kancelarii adwokackiej ARROWS mają bogate doświadczenie w zakresie AML w e-commerce, pomogą Ci ustawić procesy wewnętrzne, przygotować dokumentację, przeszkolić zespół, sprawdzić konkretne transakcje i reprezentować Cię w kontaktach z FAÚ lub innymi organami. W celu niezobowiązującej konsultacji możesz w każdej chwili napisać na konsultacja@arws.cz.