Tekst jednolity ustawy AML: gdzie znaleźć aktualne przepisy i nie pomylić publikacji ze zmianą prawa
Autor: AnyLawyer AI
Opieka merytoryczna serwisu: Michał Jackowski (profesor AI i prawa)
Opublikowano: Źródła zweryfikowano:
Dla procedur KYC (poznaj swojego klienta), identyfikacji beneficjenta rzeczywistego i dokumentacji compliance liczy się nie tylko treść ustawy AML, lecz także to, z której wersji tekstu korzystamy. Tekst jednolity porządkuje ustawę po zmianach, ale jego ogłoszenie samo w sobie nie tworzy nowych obowiązków — dlatego warto wiedzieć, gdzie sprawdzać aktualne brzmienie i jak dokumentować podstawę prawną procedur.
Kontekst: ustawa AML ma jeden tytuł, ale wiele wersji
Ustawa z 1 marca 2018 r. o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu jest powszechnie nazywana „ustawą AML” (od angielskiego anti-money laundering). Jej podstawowe zadanie wyznacza art. 1 pkt 1: reguluje zasady i tryb przeciwdziałania praniu pieniędzy oraz finansowaniu terroryzmu.
Ustawa określa:
- zasady i tryb przeciwdziałania praniu pieniędzy oraz finansowaniu terroryzmu;
To właśnie z tej ustawy wynikają obowiązki stosowane w praktyce przez „instytucje obowiązane”, czyli podmioty wymienione w art. 2 ust. 1. Katalog obejmuje między innymi banki, instytucje finansowe, SKOK-i, instytucje płatnicze, firmy inwestycyjne i fundusze. To ważny punkt startowy dla każdej procedury AML: zanim organizacja zacznie zbierać dokumenty tożsamości lub dane o strukturze właścicielskiej klienta, powinna ustalić, czy w ogóle należy do tej kategorii.
Aktualnie istotne są dwa numery Dziennika Ustaw: Dz.U. z 2025 r. poz. 644, czyli obwieszczenie Marszałka Sejmu z 9 maja 2025 r. o ogłoszeniu jednolitego tekstu ustawy, oraz późniejsza zmiana wskazana w publikowanym tekście ustawy jako Dz.U. z 2025 r. poz. 1669. Oficjalna wersja dostępna w ELI wskazuje wprost, że została opracowana na podstawie tekstu jednolitego z poz. 644 oraz poz. 1669.
W praktyce najbezpieczniejszym miejscem pracy nie jest więc archiwalny plik samego obwieszczenia z poz. 644, lecz aktualna publikacja ustawy w serwisie ELI. Na pierwszej stronie widnieje informacja:
Opracowano na podstawie: t.j. Dz. U. z 2025 r. poz. 644, 1669.
Ta formuła jest praktyczną odpowiedzią na pytanie, czy procedura została zweryfikowana według samego tekstu jednolitego, czy również z uwzględnieniem późniejszej nowelizacji.
Co dokładnie oznacza „tekst jednolity”
Tekst jednolity to urzędowo ogłoszone, uporządkowane brzmienie ustawy po uwzględnieniu wcześniejszych zmian. Nie jest to jednak nowa ustawa ani samodzielna nowelizacja. Obwieszczenie Marszałka Sejmu o ogłoszeniu tekstu jednolitego nie zmienia merytorycznie obowiązków KYC, zasad identyfikacji beneficjenta rzeczywistego ani wymogów dotyczących dokumentacji.
Inaczej mówiąc: jeżeli po wejściu w życie nowelizacji ogłoszono tekst jednolity, nowe obowiązki wynikają z ustawy nowelizującej i jej przepisów o wejściu w życie, a nie z samego faktu opublikowania tekstu jednolitego. Tekst jednolity ma ułatwić odnalezienie przepisów już obowiązujących.
To rozróżnienie ma znaczenie praktyczne. W dokumentacji compliance nie należy pisać, że „obowiązek został wprowadzony przez tekst jednolity Dz.U. z 2025 r. poz. 644”, jeśli źródłem obowiązku był wcześniejszy albo późniejszy przepis zmieniający. Można natomiast wskazać tekst jednolity jako miejsce publikacji przepisu, którego aktualne brzmienie organizacja stosuje.
Dobry zapis w rejestrze zmian procedury może brzmieć: „Weryfikacja zgodności z ustawą AML według aktualnego tekstu opublikowanego w ELI, opracowanego na podstawie tekstu jednolitego Dz.U. z 2025 r. poz. 644 oraz Dz.U. z 2025 r. poz. 1669”. Taki opis oddziela podstawę prawną od źródła, w którym zespół compliance odczytał aktualne brzmienie.
KYC i beneficjent rzeczywisty: które przepisy sprawdzać
Przy tworzeniu albo aktualizacji procedury warto pracować według mapy przepisów, a nie tylko według ogólnego hasła „AML”. Pierwszym krokiem jest art. 2 ustawy, ponieważ zawiera definicje i katalog instytucji obowiązanych. To tam należy sprawdzić status organizacji oraz znaczenie pojęć używanych dalej w procedurze, w tym klienta i beneficjenta rzeczywistego.
Kolejna grupa przepisów to art. 27–28, dotyczące oceny ryzyka prania pieniędzy i finansowania terroryzmu. „Ocena ryzyka” oznacza udokumentowaną analizę, czy relacja z danym klientem, produkt, kanał sprzedaży albo obszar geograficzny zwiększają ryzyko wykorzystania usługi do nielegalnych celów.
Następnie trzeba przejść do art. 33–39 o środkach bezpieczeństwa finansowego. Są to działania podejmowane wobec klienta, takie jak jego identyfikacja, potwierdzenie tożsamości, ustalenie beneficjenta rzeczywistego oraz monitorowanie relacji gospodarczej. Nie jest to wyłącznie formalność przy zawarciu umowy: zakres działań powinien odpowiadać rozpoznanemu ryzyku.
W decyzji UODO DKN.5112.33.2022 przypomniano, że art. 33 ust. 1 nakłada na instytucje obowiązane obowiązek stosowania środków bezpieczeństwa finansowego, a art. 34 ust. 1 pkt 1 zalicza do nich identyfikację klienta i weryfikację jego tożsamości. Organ precyzyjnie opisał też standard wynikający z art. 37.
Zgodnie zaś z art. 37 tej ustawy, weryfikacja tożsamości klienta, osoby upoważnionej do działania w jego imieniu oraz beneficjenta rzeczywistego polega na potwierdzeniu ustalonych danych identyfikacyjnych na podstawie dokumentu stwierdzającego tożsamość osoby fizycznej, dokumentu zawierającego aktualne dane z wyciągu z właściwego rejestru lub innych dokumentów, danych lub informacji pochodzących z wiarygodnego i niezależnego źródła.
W prostych słowach: procedura nie może poprzestać na deklaracji klienta. Powinna wskazywać, jak i z jakiego wiarygodnego źródła organizacja potwierdza dane klienta, osoby działającej w jego imieniu oraz beneficjenta rzeczywistego, czyli osoby fizycznej, która ostatecznie sprawuje kontrolę nad klientem lub czerpie korzyści z jego działalności.
Przykład. Spółka będąca instytucją obowiązaną przyjmuje klienta będącego inną spółką. Formularz KYC powinien pozwalać ustalić nie tylko dane spółki-klienta i jej reprezentanta, ale również osoby stojące na końcu łańcucha własności lub kontroli. Następnie procedura powinna przewidywać potwierdzenie tych danych na podstawie właściwych dokumentów, rejestrów albo innych wiarygodnych i niezależnych źródeł.
Dokumentacja compliance: nie zbierać danych „na wszelki wypadek”
Dokumentacja AML powinna być oparta na konkretnym obowiązku i proporcjonalna do roli podmiotu. Szczególne znaczenie ma to przy kopiowaniu dowodów osobistych lub paszportów. UODO zwrócił uwagę, że szerokie przetwarzanie danych z dokumentu tożsamości może następować tylko w wyjątkowych przypadkach i przez podmioty mające wyraźne umocowanie ustawowe.
W tej samej decyzji organ podkreślił granicę między instytucją obowiązaną a zwykłym przedsiębiorcą stosującym własną politykę antyfraudową.
Wyłącznie podmioty – instytucje obowiązane, określone w ustawie AML – korzystają ze środków bezpieczeństwa finansowego i identyfikacji klienta, o której mowa w art. 36 powołanej ustawy.
Wniosek jest prosty: przedsiębiorca spoza katalogu z art. 2 ustawy AML nie powinien uzasadniać kopiowania dokumentów tożsamości ogólnym stwierdzeniem, że „robi AML”. Sama chęć walki z oszustwami nie czyni podmiotu instytucją obowiązaną i nie zastępuje ustawowej podstawy przetwarzania danych.
Dla instytucji obowiązanych dokumentacja compliance powinna natomiast pokazywać pełny tok działania: ustaloną kategorię klienta, ocenę ryzyka, zastosowane środki bezpieczeństwa finansowego, źródła wykorzystane do weryfikacji oraz uzasadnienie intensywności działań. Warto również sprawdzić art. 49–54 ustawy, które dotyczą przechowywania informacji i dokumentów, procedur wewnętrznych, organizacji systemu compliance oraz szkoleń.
Na co uważać przy aktualizacji procedur
Najczęstszy błąd polega na traktowaniu numeru tekstu jednolitego jako ostatniego słowa w sprawie stanu prawnego. Dz.U. z 2025 r. poz. 644 jest kluczowym punktem odniesienia, ale aktualna publikacja ELI wskazuje także późniejszą pozycję 1669. Procedura oparta wyłącznie na pliku tekstu jednolitego może więc nie uwzględniać późniejszej zmiany.
Drugi błąd to utożsamienie KYC z samym zebraniem dokumentu tożsamości. Ustawa wymaga identyfikacji i weryfikacji, lecz weryfikacja ma być oparta na odpowiednim źródle, a zakres środków powinien być powiązany z ryzykiem.
Trzeci problem dotyczy beneficjenta rzeczywistego. W procedurze trzeba odróżnić dane podane przez klienta od danych rzeczywiście potwierdzonych. Formularz może rozpocząć proces, ale nie zastępuje weryfikacji przewidzianej w art. 37.
Co to oznacza w praktyce
-
Korzystaj z aktualnej publikacji ELI ustawy AML, a nie wyłącznie z pliku obwieszczenia o tekście jednolitym z Dz.U. z 2025 r. poz. 644. Aktualny tekst wskazuje także poz. 1669.
-
Nie opisuj tekstu jednolitego jako nowelizacji. Jest on uporządkowaną publikacją przepisów; nowych obowiązków należy szukać w ustawach zmieniających i ich terminach wejścia w życie.
-
Zacznij audyt procedury od art. 2. Najpierw ustal, czy organizacja jest instytucją obowiązaną. Od tego zależy, czy i w jakim zakresie stosuje obowiązki AML.
-
Powiąż KYC z oceną ryzyka i dowodami weryfikacji. Procedura powinna wskazywać nie tylko, jakie dane są zbierane, ale też jak są potwierdzane oraz dlaczego zastosowano określony poziom kontroli.
-
Nie kopiuj dokumentów tożsamości automatycznie. W dokumentacji trzeba móc wykazać konkretną podstawę i związek działania z obowiązkami właściwymi dla instytucji obowiązanej.