Rynek internetowy (peer-to-peer)

Kto ma obowiązki AML na rynkach internetowych

Chodzi konkretnie o sytuację, w której Państwa marketplace umożliwia bezpośredni transfer pieniędzy między użytkownikami, a środki te przechodzą przez Państwa rachunki, lub gdy pośredniczą Państwo w kupnie i sprzedaży kryptowalut.

Prawnicy z kancelarii adwokackiej ARROWS zajmują się tą problematyką na co dzień i dokładnie wiedzą, jak rozróżnić, czy Państwa konkretna działalność podlega obowiązkom AML, czy też są Państwo jedynie dostawcą technologii bez przepływów finansowych. To rozróżnienie ma kluczowe znaczenie – błędna kwalifikacja może prowadzić do nieuprawnionej działalności gospodarczej i odpowiedzialności karnej.

Co oznacza rynek internetowy z perspektywy AML

Z punktu widzenia regulacji istotna nie jest nazwa „rynek”, lecz przepływ pieniędzy. Jeżeli Państwa model polega na tym, że przyjmują Państwo pieniądze od kupującego, a następnie (np. po potrąceniu prowizji) przekazują je sprzedającemu, stają się Państwo faktycznie pośrednikiem płatności. W takim przypadku dotyczy Państwa nie tylko czeska ustawa o przeciwdziałaniu praniu pieniędzy (ustawa nr 253/2008 Sb., dalej „ustawa AML”), ale często również regulacje Czeskiego Banku Narodowego (ČNB) wymagające odpowiedniego zezwolenia.

Jeżeli działają Państwo w obszarze kryptowalut, czeskie przepisy prawa zaliczają Państwa do dostawców usług związanych z aktywami wirtualnymi (VASP).

Ryzyko powstaje także wtedy, gdy „tylko” wynajmują Państwo przestrzeń w serwisie, ale aktywnie ingerują w transakcje lub oferują przechowywanie pieniędzy (escrow). Niedocenianie własnej roli i błędna ocena, czy są Państwo instytucją obowiązaną, to najczęstszy błąd. Prowadzi to do sytuacji, w której platforma działa latami bez zasad, co w przypadku kontroli czeskiego Urzędu Analiz Finansowych (Finanční analytický úřad, FAÚ) lub ČNB kończy się rujnującymi karami.

Podstawowe obowiązki AML na rynkach internetowych

Jeżeli są Państwo operatorem internetowego marketplace’u, który jest instytucją obowiązaną, muszą Państwo wypełniać szereg obowiązków wynikających z ustawy i powiązanych przepisów. Na poziomie europejskim wprowadzany jest ponadto nowy „pakiet AML” (zwłaszcza rozporządzenie AMLR), który dalej ujednolica i zaostrza zasady. Podstawowe obowiązki są następujące:

1. System zasad wewnętrznych (SVZ) i ocena ryzyka – Muszą Państwo posiadać sporządzony na piśmie system zasad wewnętrznych oraz ocenę ryzyka zatwierdzone przez organ statutowy. Dokument ten musi opisywać, jak identyfikują Państwo ryzyka i nimi zarządzają, jak przeprowadzają kontrolę klientów i jak wykrywają podejrzane transakcje. Musi być dopasowany do Państwa biznesu i przesłany do FAÚ.

2. Identyfikacja i weryfikacja klienta (KYC i CDD) – Są Państwo zobowiązani do przeprowadzenia identyfikacji (Know Your Customer) i weryfikacji (Customer Due Diligence) użytkowników. Nie chodzi tylko o zbieranie nazwisk, lecz o weryfikację tożsamości, ustalenie celu stosunku gospodarczego i pochodzenia środków. W środowisku online wykorzystuje się metody zdalnej identyfikacji (np. tożsamość bankową, przelew weryfikacyjny w koronach, biometrię).

3. Monitoring transakcji – Muszą Państwo na bieżąco śledzić transakcje i je oceniać, co oznacza wykrywanie anomalii, nietypowo wysokich transakcji, częstych przesunięć lub powiązań z krajami wysokiego ryzyka. Bez wsparcia oprogramowania jest to na rynkach internetowych praktycznie niemożliwe.

4. Screening pod kątem sankcji międzynarodowych – Są Państwo zobowiązani sprawdzać użytkowników na listach sankcyjnych (UE, ONZ, krajowa lista sankcyjna Republiki Czeskiej). Handel z osobą z listy sankcyjnej stanowi przestępstwo i grożą za niego drastyczne sankcje na podstawie czeskiej ustawy o wykonywaniu sankcji międzynarodowych.

5. Zgłoszenie podejrzanej transakcji (OPO) – Jeżeli wykryją Państwo transakcję, która budzi podejrzenie prania pieniędzy lub naruszenia sankcji, muszą ją Państwo niezwłocznie zgłosić do Urzędu Analiz Finansowych. Zaniechanie tego obowiązku jest jednym z najpoważniejszych deliktów.

6. Archiwizacja i dokumentacja – Wszystkie dane dotyczące identyfikacji, weryfikacji i transakcji muszą Państwo przechowywać przez 10 lat od zakończenia transakcji. Urzędy mogą zażądać ich w każdej chwili.

7. Osoba kontaktowa i szkolenia – Muszą Państwo wyznaczyć konkretnego pracownika lub członka organu statutowego jako osobę kontaktową dla FAÚ i zapewnić regularne szkolenia wszystkich pracowników, którzy mogą zetknąć się z podejrzanymi transakcjami.

Prawnicy z kancelarii adwokackiej ARROWS mają dziesiątki klientów z obszaru platform cyfrowych i wiedzą, jak ustawić procesy tak, aby były zgodne z prawem, a jednocześnie nie paraliżowały biznesu.

Szczególne ryzyko modeli peer-to-peer

Modele P2P są ryzykowne, ponieważ mogą służyć do tzw. layeringu (warstwowania) – fazy prania pieniędzy, w której środki są przesuwane przez wiele rachunków, aby ukryć ich pierwotne nielegalne źródło. Rynek internetowy może nieświadomie służyć jako „pralnia”, w której oszuści fikcyjnie sprzedają sobie towary lub usługi, aby legitymizować dochody z działalności przestępczej.

Jeżeli prowadzą Państwo marketplace P2P, muszą Państwo mieć ustawione surowsze parametry wykrywania nieuczciwych zachowań. Prawnicy z kancelarii adwokackiej ARROWS pomogą Państwu ustawić profile ryzyka i scenariusze, które ochronią Państwa przed nadużyciem platformy.

Główne ryzyka i sankcje dla operatorów

Szczególne ryzyko odpowiedzialności za outsourcing

Jeżeli prowadzą Państwo marketplace, ale płatności przetwarza strona trzecia (bramka płatnicza, bank), nie zwalnia to Państwa ze wszystkich obowiązków. Zgodnie z czeską ustawą o obrocie płatniczym i przepisami AML ponoszą Państwo odpowiedzialność także za czynności, które zostały zlecone na zewnątrz, jeżeli występują Państwo wobec klienta jako główny dostawca usługi.

Regulatorzy wydają wytyczne dotyczące outsourcingu, zgodnie z którymi muszą Państwo kontrolować swoich dostawców, ponieważ w razie zawodu partnera płatniczego skutki mogą spaść na Państwa. Banki ponadto często wypowiadają rachunki platformom, które nie mają własnego solidnego compliance AML, ponieważ uważają je za zbyt ryzykowne.

Prawnicy z kancelarii adwokackiej ARROWS pomagają klientom w ułożeniu stosunków umownych z operatorami płatności i zapewniają tzw. due diligence partnerów, aby Państwa platforma nie była zagrożona zawodem strony trzeciej.

Perspektywy legislacyjne i nowy pakiet AML UE

Unia Europejska przyjęła nowy pakiet przepisów, który bezpośrednio obejmie wszystkie państwa członkowskie. Rozporządzenie AMLR (Anti-Money Laundering Regulation) będzie stosowane bezpośrednio i ujednolici zasady w całej UE.

Co to oznacza dla marketplace’u:

• Ujednolicenie limitów gotówkowych: Wprowadzenie ogólnoeuropejskiego limitu płatności gotówkowych (10 000 EUR), przy czym Republika Czeska już teraz stosuje surowszy limit.
• Zaostrzenie w zakresie kryptoaktywów (TFR): Rozporządzenie w sprawie informacji towarzyszących transferom środków pieniężnych i niektórych kryptoaktywów wprowadza tzw. „Travel Rule” – obowiązek udostępniania informacji o nadawcy i odbiorcy także przy transakcjach kryptowalutowych.
• Nacisk na beneficjenta rzeczywistego (UBO): Zaostrzają się zasady ujawniania struktur własnościowych osób prawnych.

Prawnicy z kancelarii adwokackiej ARROWS śledzą rozwój legislacji i pomogą Państwu z wyprzedzeniem dostosować procesy, co jest tańsze niż pospieszna zmiana systemów pod groźbą sankcji.

Zarządzanie ryzykiem i monitoring w praktyce

Monitoring transakcji to nie tylko oprogramowanie, ale przede wszystkim procesy. Jeżeli prowadzą Państwo marketplace, muszą Państwo mieć ustawione reguły (scenariusze), których przestrzeganie system nadzoruje.

Chodzi zwłaszcza o transakcje tuż poniżej progów identyfikacji, szybki obrót środkami (pieniądze wpływają i natychmiast odpływają), transakcje do państw trzecich wysokiego ryzyka lub zakup towarów nieodpowiadających profilowi klienta. System generuje tzw. „alert”, który musi zweryfikować pracownik.

Kancelaria adwokacka ARROWS doradzi Państwu, jak ustawić skuteczny system screeningu zgodny z ustawą.

Kontrole FAÚ i ČNB

Urząd Analiz Finansowych (FAÚ), a w przypadku podmiotów regulowanych także Czeski Bank Narodowy (ČNB), przeprowadzają wnikliwe kontrole. Regulatorzy sprawdzają aktualność SVZ i badają funkcjonowanie w praktyce, a nie tylko dokumentację. Koncentrują się na konkretnych teczkach klientów: czy przeprowadzili Państwo kontrolę, ustalili pochodzenie środków i dlaczego ewentualnie nie zgłosili podejrzanej transakcji.

Kontrolują także archiwizację – czy są Państwo w stanie przedstawić dane z 5–10 lat wstecz – oraz weryfikują screening sankcyjny.

Ustawa pozwala nałożyć karę do wysokości 5 000 000 CZK (ok. 205 800 EUR) w przypadku zwykłych instytucji obowiązanych, a w przypadku instytucji finansowych do 130 000 000 CZK (ok. 5,3 mln EUR) lub 10 % rocznego obrotu netto. Oprócz kar grozi także zakaz działalności.

Kryptowaluty i aktywa cyfrowe

Jeżeli Państwa marketplace umożliwia płatności w kryptowalutach lub ich wymianę, podlegają Państwo regulacji VASP (Virtual Asset Service Provider), a w przyszłości CASP (zgodnie z rozporządzeniem MiCA). Wiąże się to ze szczególnymi obowiązkami.

Muszą Państwo dokonać zgłoszenia działalności gospodarczej, ponieważ świadczenie usług związanych z aktywami wirtualnymi jest działalnością regulowaną. Ponadto muszą Państwo przestrzegać Travel Rule (TFR), czyli obowiązku przekazywania danych identyfikacyjnych nadawcy i odbiorcy wraz z transakcją. Niezbędna jest również analiza blockchain przy użyciu narzędzi do wykrywania środków pochodzących z przestępstwa.

Prawnicy z ARROWS pomogą Państwu w rejestracji i ustawieniu compliance w sektorze kryptowalut.

Jak skutecznie się bronić

Jeżeli stwierdzą Państwo luki w swoim compliance, należy postępować następująco:

Krok 1: Audyt prawny i analiza GAP – zlecenie audytu kancelarii adwokackiej ARROWS. Ustalimy, czy są Państwo instytucją obowiązaną, w jakim zakresie i gdzie występują braki w stosunku do aktualnych przepisów.

Krok 2: Przygotowanie dokumentacji (SVZ i ocena ryzyka) – na podstawie audytu przygotujemy lub zaktualizujemy Państwa System zasad wewnętrznych i Ocenę ryzyka tak, aby odpowiadały rzeczywistemu funkcjonowaniu i wymogom ustawowym.

Krok 3: Wdrożenie technologii – doradzimy w zakresie prawnych aspektów wyboru narzędzi do monitoringu AML i zdalnej identyfikacji, aby były zgodne z prawem czeskim i RODO.

Krok 4: Szkolenie pracowników – przeszkolimy Państwa pracowników i osobę kontaktową. Ze szkolenia sporządzimy protokół, który służy jako dowód dla organów kontrolnych.

Krok 5: Bieżące wsparcie – AML nie jest działaniem jednorazowym. Oferujemy bieżący monitoring legislacji i konsultacje ad hoc w sprawie podejrzanych transakcji.

W celu rozwiązania Państwa sytuacji prosimy o kontakt pod adresem konsultacja@arws.cz.

Podsumowanie

Rynki internetowe i platformy peer-to-peer podlegają coraz surowszemu nadzorowi. Legislacja zmierza w kierunku zerowej tolerancji dla anonimowości w przepływach finansowych. Jeżeli pośredniczą Państwo w płatnościach, handlują kryptowalutami lub drogimi towarami, AML Państwa dotyczy.

Prawnicy z kancelarii adwokackiej ARROWS mają bogate doświadczenie w ustawianiu procesów compliance dla fintechów, sklepów internetowych i projektów kryptowalutowych. Wiedzą, jak ustawić zasady skutecznie i bezpiecznie.

Kancelaria adwokacka ARROWS jest ubezpieczona od odpowiedzialności zawodowej do kwoty 350 000 000 CZK (ok. 14,4 mln EUR). Daje to Państwu pewność silnego i odpowiedzialnego partnera.

W celu rozwiązania ryzyk AML prosimy o kontakt z kancelarią adwokacką ARROWS pod adresem konsultacja@arws.cz .