Zmiany w Centralnym Rejestrze Beneficjentów Rzeczywistych dopiero od lipca 2027 r.

Wprowadzenie

Projekt z 1.7.2026 r. stanowi kolejną iterację nowelizacji ustawy z 1.3.2018 r. o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu (t.j. Dz.U. z 2025 r. poz. 644; dalej: TerroryzmU), wpisanej do wykazu prac legislacyjnych Rady Ministrów pod numerem UC75. Projekt implementuje wybrane przepisy tzw. unijnego Pakietu AML lub dostosowuje obecne do standardu unijnego.

Nowa wersja projektu została opublikowana zaledwie sześć tygodni po poprzedniej (z 21.5.2026 r.), co świadczy o dynamicznym tempie prac legislacyjnych. Na ostateczną wersję projektu przyjdzie nam jeszcze poczekać. Nie zmienia to faktu, iż instytucje obowiązane powinny już teraz przygotowywać się do wdrożenia projektowanych rozwiązań.

Co zmieniło się między 21.5 a 1.7.2026 r.?

Analiza porównawcza obu wersji projektu ujawnia szereg zmian – od fundamentalnych modyfikacji merytorycznych po korekty legislacyjno-techniczne. Niestety, obrazuje także, jak wiele drobnych kwestii przez cały czas wymaga doprecyzowania i wysiłku po stronie legislatora.

W projekcie majowym art. 1 pkt 2 przewidywał dodanie do art. 1 TerroryzmU nowego pkt 3 wskazującego, iż ustawa wdraża zasady i tryb stosowania szczególnych środków ograniczających w celu przeciwdziałania terroryzmowi, finansowaniu terroryzmu, rozprzestrzenianiu broni masowego rażenia oraz finansowaniu jej rozprzestrzeniania. W projekcie lipcowym przepis ten został całkowicie usunięty. Samo pojęcie szczególnych środków ograniczających przez cały czas pojawia się jednak w wielu innych przepisach projektu.

Projekt lipcowy w art. 61 ust. 4 wprowadza wymóg opatrzenia zgłoszenia do CRBR podpisem elektronicznym. W wersji majowej wystarczyło samo oświadczenie o prawdziwości informacji. Przypomnijmy, iż projekt z maja 2026 r. znosił wymóg kwalifikowanego podpisu elektronicznego lub podpisu zaufanego. Lipcowa wersja przywraca więc istniejące w tej chwili zasady, choć nie jest jasne, czy chodzi o podpis kwalifikowany, zaufany, czy też osobisty – rodzaje podpisów mają być określone w rozporządzeniu wykonawczym. Co więcej, dziwi brak konsekwencji ustawodawcy – skoro przewidziano możliwość złożenia wniosku o uzyskanie danych z CRBR w postaci papierowej, jak również udostępnienia tych danych w tej samej formie, dlaczego nie zdecydowano się na dopuszczenie zgłoszeń do CRBR w formie papierowej, opatrzonej podpisem własnoręcznym? Wynika to prawdopodobnie z planów połączenia CRBR z SIGIIF (Systemem Informatycznym Generalnego Inspektora Informacji Finansowej) – nie znamy jednak na ten moment proponowanego kształtu tych systemów.

W projekcie lipcowym usunięto kompetencję organu do pozbawienia dostępu do CRBR podmiotów, co do których powziął informację o utracie statusu instytucji obowiązanej. Pozostała jedynie kompetencja do sprostowania danych zawierających oczywiste błędy. Analogiczną zmianę wprowadzono w przepisach dotyczących SIGIIF – usunięto regulacje uprawniające do podjęcia decyzji o odmowie dostępu i pozbawienia dostępu, pozostawiając jedynie kompetencję do sprostowania danych z oczywistymi błędami.

Projekt lipcowy rozszerza katalog podmiotów uprawnionych do dostępu do danych z CRBR o nowy podmiot – krajowego administratora z rozporządzenia delegowanego Komisji (UE) 2019/1122 – na potrzeby realizacji zadań wynikających z ustawy z 12.6.2015 r. o systemie handlu uprawnieniami do emisji gazów cieplarnianych (t.j. Dz.U. z 2025 r. poz. 1685; dalej: SysHandEmGazCiepłU).

Art. 71 projektowanej ustawy uzupełniono o pkt 3, przewidujący określenie w rozporządzeniu rodzajów podpisów elektronicznych wymaganych przy zgłoszeniu do CRBR, wnioskach o dostęp do CRBR i udostępnienie danych oraz dokumentach wskazanych w art. 68b ust. 3 i art. 68e ust. 3. Projektodawca przeniósł więc określenie szczegółów technicznych podpisów na poziom rozporządzenia – co daje elastyczność, ale jednocześnie utrudnia pełną ocenę obciążeń regulacyjnych na etapie legislacyjnym.

Oprócz opisanych wyżej zmian merytorycznych, projekt lipcowy zawiera liczne korekty o charakterze legislacyjno-technicznym: aktualizacje oznaczeń publikacyjnych w Dzienniku Ustaw, poprawki gramatyczne w odwołaniach do rozporządzeń UE czy uzupełnienie odesłań do Dziennika Urzędowego UE. Są to zmiany, które nie wpływają na treść merytoryczną regulacji, ale poprawiają jej jakość redakcyjną.

Uwagi do projektu – co przez cały czas wymaga poprawy?

Kwestia terminu wejścia w życie

Już na wstępie Komisja Prawnicza Rządowego Centrum Legislacji zwróciła uwagę na wątpliwości co do realności daty wejścia ustawy w życie – 1.10.2026 r.

Największe ryzyko praktyczne dotyczy harmonogramu

Komisja wielokrotnie wskazywała na niespójność dat wejścia w życie. Zmiany dotyczące zgłoszeń do CRBR miały obowiązywać od 1.10.2026 r., podczas gdy wzory wymaganych dokumentów elektronicznych oraz rozporządzenie dotyczące podpisów elektronicznych dopiero od 1.7.2027 r. Powstało więc zasadnicze pytanie, jak zgłoszenia mają działać w praktyce. Ministerstwo Finansów potwierdziło konieczność skorygowania dat i przyjęcia, iż zmiany dotyczące CRBR miałyby wejść w życie 1.7.2027 r. – jest to kolejne już przesunięcie, pomimo iż polskie regulacje dotyczące CRBR nie są jeszcze w pełni dostosowane do wymagań prawa unijnego i orzecznictwa TSUE. Podobna kolizja dotyczyła przepisów o uwierzytelnianiu w SIGIIF. W praktyce oznacza to konieczność równoległego zsynchronizowania ustawy i aktów wykonawczych.

Krajowy administrator i KOBiZE

Wątpliwości Ministerstwa Klimatu i Środowiska oraz KOBiZE (Krajowego Ośrodka Bilansowania i Zarządzania Emisjami) dotyczyły także podstawy dostępu do CRBR dla krajowego administratora. Odesłanie do SysHandEmGazCiepłU uznano za niefunkcjonalne, ponieważ dynamika zmian tej ustawy nie odpowiada specyfice rozporządzeń delegowanych UE. Ministerstwo Finansów wskazało, iż uzależnienie dostępu tej kategorii podmiotów od wykazania uzasadnionego interesu wynika z dyrektywy (UE) 2024/1640.

Dane osobowe

Stanowisko UODO zakładało, iż zakres przetwarzanych danych osobowych powinien wynikać bezpośrednio z TerroryzmU, a nie dopiero z aktów wykonawczych. Wątpliwości dotyczyły m.in. katalogu danych wymaganych w przepisach o CRBR i SIGIIF, w tym obowiązku podawania numeru PESEL przez radców prawnych, adwokatów i doradców podatkowych, choćby o ile wiarygodna identyfikacja byłaby możliwa na podstawie innych danych. Ministerstwo Finansów uzasadniało ten wymóg potrzebą wiarygodnej identyfikacji w systemie. Komisja zaleciła uzupełnienie uzasadnienia o wyjaśnienie, z czego wynikają poszczególne kategorie danych i dlaczego są niezbędne.

Zakres przedmiotowy i technika legislacyjna

Komisja odnotowała, iż w związku z rezygnacją z dodania pkt 3 do art. 1 wnioskodawca uznaje, iż rozszerzenie celu stosowania szczególnych środków ograniczających mieści się w dotychczasowym zakresie przedmiotowym ustawy.

Przepisy przejściowe dla instytucji obowiązanych

W przepisach przejściowych doprecyzowano, iż przez „pierwsze nawiązanie stosunków gospodarczych” i „pierwszą transakcję okazjonalną” rozumie się czynności dokonane po 30.9.2026 r. W praktyce oznacza to, iż nowe obowiązki nie będą uruchamiane przez czynności dokonane przed wejściem ustawy w życie. Równocześnie zmieniono termin przekazania formularza identyfikującego z 31.3.2026 r. na 30.9.2026 r. Korekta dostosowuje harmonogram składania wniosków o dostęp do SIGIIF do realnej daty wejścia w życie i usuwa konieczność spełnienia tego warunku przed rozpoczęciem funkcjonowania nowego modelu.

Uzasadnienie i Ocena Skutków Regulacji

Komisja zobowiązała Ministerstwo Finansów do zredagowania tekstu projektu zgodnie z ustaleniami, a także do zaktualizowania, uściślenia i uzupełnienia uzasadnienia oraz OSR. Uzupełnienia mają objąć m.in. regulacje przejściowe, zakres i podstawę prawną przetwarzania danych osobowych, kanały udostępniania informacji z CRBR oraz wyjaśnienie, iż rozszerzeniu ulega cel stosowania szczególnych środków ograniczających. Konieczne jest także dostosowanie tabel zgodności, odwróconej tabeli zgodności i projektów aktów wykonawczych, w tym rozporządzenia dotyczącego art. 180c. Co istotne, dopiero wykonanie tych prac pozwoli ocenić projekt jako spójny nie tylko normatywnie, ale także organizacyjnie i technicznie.

Biorąc pod uwagę powyższe, wniosek jest jeden – na końcowy projekt przyjdzie nam jeszcze trochę poczekać. Jednocześnie dalszy tok prac legislacyjnych oraz konieczność przygotowania rozwiązań wykonawczych sprawiają, iż termin 1.7.2027 r. pozostaje napięty.

Bartłomiej Gudek – adwokat w kancelarii DLA Piper Giziński Kycia sp.k.