System przypominania o zapięciu pasów bezpieczeństwa, inteligentny asystent kontroli prędkości czy systemy wspomagające parkowanie to tylko kilka z wielu rozwiązań wprowadzanych w ostatnim czasie w branży motoryzacyjnej. Z uwagi na utrzymującą się liczbę ofiar śmiertelnych w wypadkach samochodowych unijny ustawodawca uznał za konieczne uregulowanie kwestii bezpieczeństwa w ruchu drogowym, czego konsekwencją jest stopniowe wprowadzanie obowiązkowych systemów wspomagających kierowców. Jednym z najważniejszych aktów prawnych w tym zakresie jest rozporządzenie GSR2 (General Safety Regulation).

Co zmienia rozporządzenie 2019/2144 (GSR2)?

Akt prawny ustanawia wymagania dotyczące homologacji pojazdów silnikowych oraz ich wyposażenia w systemy poprawiające bezpieczeństwo kierowców, pasażerów i niechronionych uczestników ruchu drogowego, czyli pieszych oraz osób poruszających się za pomocą pojazdów dwukołowych. Jest ono elementem strategii Vision Zero, której celem jest znaczne ograniczenie liczby ofiar śmiertelnych w wypadkach drogowych. Regulacja obejmuje zarówno samochody osobowe, ciężarowe dostawcze, jak i autobusy.

Przepisy wymagają stosowania szeregu systemów wspomagających kierowcę, takich jak inteligentny asystent prędkości, system wykrywania zmęczenia kierowcy, system monitorowania rozproszenia uwagi kierowcy, rejestrator danych na temat zdarzeń, system wykrywania przeszkód podczas cofania, sygnał awaryjnego hamowania, przygotowanie montażu do blokady alkoholowej, zaawansowane systemy awaryjnego hamowania oraz utrzymania pasa ruchu.

Niektóre z tych systemów powinny umożliwiać kierowcy ich wyłączenie w przypadku przekazywania przez system błędnych danych, inne nie mogą zostać wyłączone w żadnym wypadku. Ustawodawca podkreśla, że elementy bezpieczeństwa i ostrzeżenia powinny być wyraźnie widoczne dla każdego kierowcy, w tym dla osób starszych i osób z niepełnosprawnościami.

Choć rozporządzenie to obowiązuje od kilku lat, jego wdrażanie zostało rozłożone na etapy, a rok 2026 stanowi trzeci etap wdrażania nowych obowiązków. Od 7 lipca bieżącego roku część wymagań, takich jak obowiązek zainstalowania przez producenta zaawansowanego systemu ostrzegania o rozproszeniu uwagi kierowcy czy konieczność zainstalowania zaawansowanego systemu hamowania awaryjnego, które wcześniej dotyczyły wyłącznie nowych typów pojazdów, obejmuje wszystkie nowo rejestrowane pojazdy w UE, objęte zakresem regulacji. Oznacza to nowe obowiązki nie tylko dla producentów, którzy są bezpośrednio wymienieni w rozporządzeniu, ale również dla importerów, dealerów, przedsiębiorstw zarządzających flotami oraz dostawców technologii motoryzacyjnych, o których rozporządzenie co prawda nie wspomina, jednak z uwagi na zakaz wprowadzania do obrotu pojazdów nieposiadających konkretnych systemów, także te grupy przedsiębiorców pośrednio są objęte regulacjami.

Bezpieczeństwo a prywatność

Do rozwiązań, które w ostatnim czasie są szeroko komentowane, należą systemy monitorujące uwagę kierowcy. Systemy te mają analizować m.in. kierunek patrzenia, częstotliwość odwracania wzroku czy oznaki zmęczenia. Przepisy wymagają, aby systemy te były zaprojektowane w sposób ograniczający przetwarzanie danych do niezbędnego minimum oraz aby nie przechowywały danych dłużej, niż jest to konieczne do ich działania. Dane mają być przetwarzane w zamkniętym systemie i odpowiednio zabezpieczone, a sam system nie może umożliwiać identyfikacji pojazdu ani użytkownika, jak również zbierać jego danych biometrycznych, w tym rozpoznawać twarzy.

Dla przedsiębiorców oznacza to konieczność każdorazowej weryfikacji, czy w konkretnym przypadku nie dochodzi do przetwarzania danych osobowych w rozumieniu RODO.

Co to oznacza dla biznesu?

Rozporządzenie nie dotyczy wyłącznie producentów. W praktyce wpływa na cały łańcuch dostaw w branży motoryzacyjnej. Oprócz producentów pojazdów i części szczególną uwagę na regulację powinni zwrócić także:

• importerzy, 
• dealerzy samochodowi, 
• firmy leasingowe, 
• przedsiębiorstwa zarządzające flotami, 
• dostawcy oprogramowania dla motoryzacji. 

Istotnymi tematami stają się kwestie odpowiedzialności za aktualizację oprogramowania, cyberbezpieczeństwo oraz sposób przechowywania, przetwarzania i udostępniania danych generowanych przez pojazdy.

Producenci oraz dostawcy technologii powinni patrzeć na zgodność regulacyjną kompleksowo. Spełnienie wymagań wynikających z rozporządzenia GSR2 nie zwalnia z obowiązków wynikających z innych aktów prawnych, takich jak RODO, AI Act czy regulacje dotyczące cyberbezpieczeństwa. Zgodność z przepisami przestaje być wyłącznie zagadnieniem czysto formalnym, a coraz częściej staje się elementem strategii zarządzania ryzykiem, odpowiedzialności kontraktowej oraz budowania przewagi konkurencyjnej.

Autor: Weronika Rajczak, aplikantka radcowska, Junior Associate w Lawspective.

E-mail: weronika.rajczak@lawspective.pl

Środki należytej staranności wobec klienta, określane dotychczas na gruncie polskiej ustawy mianem środków bezpieczeństwa finansowego, stanowią rdzeń codziennej praktyki AML/CFT. W ramach cyklu poświęconego pakietowi AML 2026 przyjrzymy się najważniejszym zmianom w tym obszarze, wynikającym z rozporządzenia 2024/1624.

To właśnie w procesie stosowania tych środków podmioty zobowiązane identyfikują klientów i weryfikują ich tożsamość oraz decydują o nawiązaniu lub rozwiązaniu stosunków gospodarczych. Rozporządzenie 2024/1624 reguluje tę materię w rozbudowanym rozdziale III (art. 19–50), zastępując tym samym odpowiednie przepisy ustawy z 2018 r. Poniżej wskazujemy kilka zmian, które – naszym zdaniem – zasługują na szczególną uwagę już na etapie planowania wdrożenia.

Jeden katalog obowiązków zamiast krajowej regulacji

Rozdział III wprowadza zamknięty, jednolity dla całej Unii katalog środków należytej staranności – od identyfikacji klienta i beneficjenta rzeczywistego, przez ustalenie celu i charakteru relacji, po bieżące monitorowanie transakcji i weryfikację statusu PEP. Sama konstrukcja katalogu przypomina rozwiązania znane z ustawy, jednak istotna zmiana dotyczy jego umiejscowienia: weryfikacja, czy klient lub beneficjent rzeczywisty podlega sankcjom finansowym, została włączona wprost do tego katalogu, a nie – jak dotychczas – traktowana jako odrębny, równoległy obowiązek mający podstawę w innych aktach prawnych. To zmiana o znaczeniu praktycznym: w nowym modelu screening sankcyjny staje się formalnie integralnym elementem procesu CDD, co powinno znaleźć odzwierciedlenie w dokumentacji wewnętrznej i konfiguracji systemów.

Nowe progi kwotowe – konieczna rekalibracja systemów

Rozporządzenie zmienia również kilka progów kwotowych, od których zależy obowiązek zastosowania środków należytej staranności wobec transakcji okazjonalnych (według terminologii przyjętej w rozporządzeniu: transakcji sporadycznych). Podstawowy próg zostaje obniżony z równowartości 15 000 EUR do 10 000 EUR. Niezależnie od tego progu, przy transakcjach gotówkowych o wartości co najmniej 3 000 EUR podmiot zobowiązany musi przeprowadzić co najmniej identyfikację klienta, nawet jeśli sama transakcja nie osiąga progu podstawowego. Instytucje kredytowe i instytucje finansowe, z wyłączeniem dostawców usług w zakresie kryptoaktywów, zostały zobowiązane do stosowania środków należytej staranności wobec klienta przy transferach środków o wartości co najmniej 1 000 EUR. Taki sam próg przewidziano dla dostawców usług w zakresie kryptoaktywów, przy czym w przypadku transakcji o wartości niższej niż 1 000 EUR są oni zobowiązani do zastosowania co najmniej środka określonego w art. 20 ust. 1 lit. a), obejmującego identyfikację i weryfikację tożsamości klienta. Natomiast wobec podmiotów świadczących usługi hazardowe obowiązek stosowania środków należytej staranności powstaje przy transakcjach o wartości co najmniej 2 000 EUR – przy czym w stosunku do wszystkich tych podmiotów obowiązują również ogólne zasady wskazujące na okoliczności, w których ww. środki należy stosować (niezależne od kwot transakcji).

Z perspektywy banków oznacza to konieczność przeglądu nie tylko procedur, ale i samej konfiguracji systemów transakcyjnych oraz reguł alertowych – progi kwotowe wpisane dziś w logikę tych systemów będą wymagały aktualizacji zgodnie z nowymi wartościami wynikającymi wprost z rozporządzenia.

Bardziej szczegółowy katalog informacji o celu i charakterze relacji

Rozporządzenie precyzuje również, jakie informacje – w zakresie, w jakim jest to niezbędne – powinny zostać uzyskane dla właściwego zrozumienia celu i zamierzonego charakteru stosunku gospodarczego lub transakcji sporadycznej. Katalog obejmuje pięć elementów: cel i ekonomiczne uzasadnienie relacji lub transakcji, szacowaną skalę planowanej aktywności, źródło środków, przeznaczenie środków oraz rodzaj działalności gospodarczej lub zawód klienta. O ile obowiązek ustalenia celu i charakteru relacji funkcjonuje już dziś, o tyle tak skonkretyzowany, pięcioelementowy katalog jest rozwiązaniem nowym – i powinien ułatwić ujednolicenie formularzy oraz kwestionariuszy KYC stosowanych w praktyce, aczkolwiek niewykluczone, że niektóre podmioty już teraz stosują analogiczne rozwiązania.

Nowy obowiązek dla banków: identyfikacja użytkowników wirtualnych numerów IBAN

Wśród przepisów rozdziału III znalazł się obowiązek adresowany wprost do instytucji kredytowych i instytucji finansowych, a więc w praktyce przede wszystkim do banków komercyjnych: instytucja wydająca wirtualny numer IBAN musi uzyskać informacje pozwalające zidentyfikować i zweryfikować tożsamość osoby, która się nim posługuje, w powiązaniu z rachunkiem, na który kierowane są płatności. Jeżeli płatność skierowana na wirtualny numer IBAN trafia ostatecznie na rachunek prowadzony przez inną instytucję, ta druga instytucja musi mieć zapewnioną możliwość uzyskania od instytucji wydającej danych identyfikujących użytkownika – i to w sztywnym, ustawowym terminie: nie później niż w ciągu pięciu dni roboczych od zgłoszenia takiego żądania.

Dla banków korzystających z wirtualnych numerów IBAN oznacza to konieczność ustalenia jeszcze przed wejściem rozporządzenia w życie, w jaki sposób i w jakim kanale będą wymieniać takie dane z innymi instytucjami wydającymi wirtualne numery IBAN, tak aby dotrzymać pięciodniowego terminu w praktyce, a nie tylko na papierze.

Wytyczne i standardy techniczne AMLA jako element wciąż otwarty

Warto pamiętać, że treść regulacji dotyczącej środków należytej staranności nie jest dziś w pełni domknięta. Rozporządzenie przewiduje, że AMLA wyda wytyczne dotyczące zmiennych i czynników ryzyka, które podmioty zobowiązane powinny uwzględniać przy nawiązywaniu relacji lub przeprowadzaniu transakcji sporadycznych, a także opracuje regulacyjne standardy techniczne doprecyzowujące zakres informacji niezbędnych do przeprowadzenia należytej staranności. Część z tych dokumentów została już opublikowana, natomiast prace nad kolejnymi nadal trwają.

Oznacza to, że lipiec 2027 r. – data rozpoczęcia stosowania rozporządzenia – nie powinien być traktowany jako sztywny punkt odniesienia dla zakończenia prac wdrożeniowych. Praktyczny sposób stosowania obowiązków w zakresie środków należytej staranności będzie nadal doprecyzowywany wraz z publikacją kolejnych regulacyjnych standardów technicznych, wytycznych oraz innych aktów wykonawczych.

Wnioski i rekomendacje

Zmiany w zakresie środków należytej staranności nie sprowadzają się do formalnego zastąpienia ustawy rozporządzeniem – obejmują także m.in. konkretne progi kwotowe, zakres gromadzonych danych oraz sposób, w jaki poszczególne obowiązki (w tym screening sankcyjny) są ze sobą powiązane w ramach jednego katalogu. Z tego względu audyt dotychczasowych rozwiązań powinien objąć nie tylko warstwę proceduralną, lecz także konfigurację systemów informatycznych wspierających procesy KYC oraz monitoring transakcji.

Autor: Michalina Tomicka-Hesse, aplikantka adwokacka, Junior Associate w Lawspective.

E-mail: michalina.tomicka-hesse@lawspective.pl

AI Omnibus przesuwa terminy stosowania części obowiązków wynikających z AI Act. Dla instytucji finansowych oznacza to dodatkowe miesiące na przygotowanie do nowych wymogów. Czy to powód, by odłożyć działania? Zdecydowanie nie.

W najnowszej publikacji na portalu Prawo.pl adwokat Marta Adranowska analizuje skutki przyjęcia pakietu AI Omnibus dla sektora finansowego i wyjaśnia, dlaczego wydłużony harmonogram wdrożenia należy traktować jako dodatkowy czas na przygotowanie, a nie jako uzasadnienie do wstrzymania prac.

Więcej czasu nie oznacza mniej obowiązków

Choć AI Omnibus przesuwa terminy stosowania części wymogów AI Act – m.in. wobec systemów AI wysokiego ryzyka – zakres obowiązków pozostaje bez zmian. Jak podkreśla Marta Adranowska, największym zagrożeniem jest błędne przekonanie, że wdrożenie można odłożyć na później.

W praktyce organizacje powinny już dziś wykorzystywać dodatkowy czas na budowę zgodności z AI Act, ponieważ przygotowanie do nowych wymagań wymaga odpowiedniego planowania i zaangażowania wielu obszarów biznesowych.

Co powinny zrobić instytucje finansowe?

Publikacja wskazuje najważniejsze działania, które warto rozpocząć już teraz, w szczególności:

• przeprowadzenie kompleksowej inwentaryzacji wykorzystywanych systemów AI,
• prawidłową kwalifikację rozwiązań pod kątem AI Act,
• identyfikację zjawiska tzw. shadow AI,
• przygotowanie i wdrożenie modelu AI Governance,
• weryfikację obowiązków wynikających z relacji z dostawcami systemów AI.

Jak wskazuje autorka, szczególnie sektor finansowy – ze względu na skalę procesów, liczbę wykorzystywanych narzędzi oraz złożoność modeli zarządzania – potrzebuje czasu na skuteczne przygotowanie organizacji do nowych regulacji.

Publikacja dla sektora finansowego

Artykuł będzie szczególnie wartościowy dla:

• banków,
• zakładów ubezpieczeń,
• firm inwestycyjnych,
• instytucji pożyczkowych,
• oraz wszystkich organizacji wykorzystujących systemy AI w działalności biznesowej.

Publikacja zawiera praktyczne omówienie zmian wprowadzonych przez AI Omnibus oraz wskazuje, jakie działania warto podjąć już dziś, aby osiągnąć zgodność z AI Act w nowych terminach.

Zachęcamy do lektury pełnego artykułu Marty Adranowskiej opublikowanego na portalu Prawo.pl

Gdy mówi się o ryzykach związanych z przeciwdziałaniem praniu pieniędzy i finansowaniu terroryzmu (AML/CFT), uwaga koncentruje się zazwyczaj na obowiązkach regulacyjnych, kontrolach oraz potencjalnych karach administracyjnych. Znacznie rzadziej analizuje się natomiast ryzyka procesowe związane z podejmowaniem przez banki działań w obszarze przeciwdziałania praniu pieniędzy i finansowaniu terroryzmu.

Tymczasem nasze doświadczenia z ostatniego czasu pokazują, że roszczenia kierowane przez klientów potrafią osiągać wartości porównywalne z wysokością kar administracyjnych nakładanych przez organy nadzoru. Z perspektywy banków oznacza to, że odpowiednie zarządzanie ryzykiem AML powinno obejmować nie tylko aspekt regulacyjny, lecz również potencjalne konsekwencje sporów sądowych.

Warto więc przyjrzeć się rodzajom spraw, które w ostatnim czasie obserwujemy w praktyce. Jeszcze kilka lat temu postępowania sądowe związane z tematyką AML należały do rzadkości. W ostatnich miesiącach można jednak zauważyć wyraźny wzrost ich liczby. Dotyczą przede wszystkim dwóch obszarów: wykonywania transakcji płatniczych oraz wypowiadania umów z klientami.

Spory dotyczące wykonywania transakcji

Pierwszą grupę stanowią postępowania dotyczące wykonania transakcji płatniczych. Najczęściej są to sytuacje, w których doszło do wykonania przelewu będącego efektem fraudu, a następnie osoba, z rachunku której wyprowadzono środki (niekoniecznie klient pozwanego banku), podnosi argument, że transakcja powinna zostać zatrzymana z uwagi na okoliczności związane z AML.

Jako przykłady wskazywane są zwykle nietypowo wysoka wartość przelewu, nietypowy charakter transakcji lub niezgodność danych odbiorcy przelewu z rzeczywistymi danymi podmiotu, który ostatecznie otrzymał środki.

W tego rodzaju sprawach pojawiają się co najmniej dwa istotne wyzwania.

Po pierwsze, w zależności od konfiguracji procesowej oraz zarzutów formułowanych przez powoda, bank może napotkać poważne trudności związane z przedstawieniem sądowi informacji niezbędnych do skutecznej obrony swojego stanowiska. Ograniczenia wynikające z tajemnicy bankowej oraz tajemnicy przewidzianej w art. 54 ustawy AML mogą istotnie wpływać na sposób prowadzenia postępowania i prezentowania materiału dowodowego.

Po drugie, choć argumentacja oparta na regulacjach AML coraz częściej pojawia się w sporach sądowych, nadal stosunkowo rzadko spotyka się sprawy łączące jednocześnie zagadnienia związane z fraudami oraz AML. Tego rodzaju spory wymagają uwzględnienia dwóch odrębnych obszarów wiedzy, które nie zawsze są analizowane łącznie. W praktyce może to mieć istotne znaczenie dla właściwego zabezpieczenia interesów banku.

Spory związane z wypowiadaniem umów

Drugą kategorię stanowią sprawy dotyczące wypowiadania umów klientom z przyczyn związanych z AML. Najczęściej chodzi o umowy rachunku bankowego oraz powiązane z nimi umowy bankowości elektronicznej.

Stosunkowo proste są przypadki, w których przyczyną rozwiązania relacji jest brak możliwości zastosowania środków bezpieczeństwa finansowego wynikający na przykład z nieaktualności dokumentu tożsamości lub nieprzekazania przez klienta informacji niezbędnych do zastosowania tych środków.

W praktyce spotykamy się jednak również ze znacznie bardziej złożonymi stanami faktycznymi.

Przykładem mogą być sytuacje, w których bank decyduje się zakończyć współpracę z podmiotem prowadzącym kantor kryptowalutowy, uzasadniając swoją decyzję prowadzeniem działalności w branży uznanej za obszar nieakceptowalnego ryzyka prania pieniędzy.

Tego rodzaju przypadki rodzą szereg dodatkowych pytań prawnych. Sama przesłanka prowadzenia działalności w branży o nieakceptowalnym poziomie ryzyka nie wynika bowiem wprost z przepisów prawa. Jednocześnie może ona być kwestionowana przez klientów, którzy argumentują między innymi, że uznanie określonej branży za nieakceptowalną prowadzi do nieuzasadnionego ograniczenia dostępu do usług bankowych lub stanowi przejaw nadużywania pozycji rynkowej przez bank.

Komunikacja z klientem a ryzyko procesowe

Pomimo różnic pomiędzy opisanymi kategoriami spraw można wskazać jeden problem, który występuje wyjątkowo często.

W wielu przypadkach sposób komunikacji z klientem nie jest projektowany z uwzględnieniem potencjalnego ryzyka procesowego. Dotyczy to zarówno treści przekazywanych informacji, jak i kanałów komunikacji wykorzystywanych przez bank. Nierzadko zdarza się, że klient otrzymuje komunikaty, które z jego perspektywy są zbyt ogólne, nieprecyzyjne lub sprawiają wrażenie automatycznych. Powoduje to przekonanie, że jego sytuacja nie została odpowiednio przeanalizowana, co z kolei może stanowić jeden z czynników skłaniających do skierowania sprawy na drogę sądową.

Jeżeli do sporu już dojdzie, często jest za późno na ograniczenie części ryzyk wynikających z wcześniejszych decyzji dotyczących organizacji procesu lub komunikacji. Z tego względu istotne znaczenie ma odpowiednie projektowanie procedur, polityk i regulaminów AML z uwzględnieniem nie tylko wymogów regulacyjnych, lecz również potencjalnych konsekwencji procesowych. Doświadczenia płynące z prowadzonych sporów pokazują, że wiele problemów można zidentyfikować i ograniczyć już na etapie tworzenia lub aktualizacji wewnętrznych rozwiązań organizacyjnych.

Wnioski

Rosnąca liczba sporów sądowych związanych z AML pokazuje, że obowiązki w zakresie przeciwdziałania praniu pieniędzy przestały być wyłącznie zagadnieniem regulacyjnym i compliance’owym. Coraz częściej stają się również źródłem istotnych ryzyk procesowych, które mogą generować znaczące konsekwencje finansowe i reputacyjne.

Dlatego przy ocenie rozwiązań funkcjonujących w obszarze AML warto patrzeć szerzej niż wyłącznie przez pryzmat zgodności z przepisami. Równie istotne jest pytanie o to, w jaki sposób procedury, decyzje operacyjne oraz komunikacja z klientami będą oceniane w przypadku późniejszego sporu sądowego.

Nasze doświadczenia pokazują, że właśnie ten aspekt pozostaje jednym z najbardziej niedocenianych elementów zarządzania ryzykiem AML.

Autor: Daniel Bednarczyk, adwokat, Lider, Senior Associate w Lawspective. 

E-mail: daniel.bednarczyk@lawspective.pl