Wymiana danych KYC nie jest równoznaczna z podziałem obowiązków w zakresie przeciwdziałania praniu pieniędzy: rozróżnienie prawne o kluczowym znaczeniu dla każdej transakcji na rynku nieruchomości

W wielostronnych transakcjach dotyczących nieruchomości — w których agenci, deweloperzy, prawnicy i notariusze ponoszą niezależne obowiązki w zakresie przeciwdziałania praniu pieniędzy — coraz pilniejsze staje się praktyczne pytanie o dopuszczalność udostępniania informacji KYC między podmiotami zobowiązanymi. Stan prawny wynikający z rozporządzenia (UE) 2024/1624 (AMLR) jest w praktyce często błędnie rozumiane, a konsekwencje tego nieporozumienia są dwojakie: niektórzy specjaliści odmawiają udostępniania danych, których udostępnianie rozporządzenie zezwala — a nawet do tego zachęca; inni zakładają, że otrzymanie danych KYC od strony trzeciej zwalnia ich z własnych obowiązków w zakresie zgodności z przepisami, co jednak nie ma miejsca.

Prawidłowe stanowisko prawne jest zarówno jasne, jak i istotne. Niniejszy artykuł je przedstawia.

Ramy prawne: co faktycznie mówi rozporządzenie AMLR

AMLR ustanawia trzy podstawowe zasady dotyczące udostępniania danych KYC w sektorze nieruchomości:

1. Każdy podmiot zobowiązany ponosi niezależną odpowiedzialność za przeprowadzenie należytej staranności wobec klienta (CDD). Niezależnie od tego, co uczyniła jakakolwiek inna strona transakcji, każdy podmiot zobowiązany – pośrednik, deweloper, notariusz i prawnik – pozostaje niezależnie odpowiedzialny za przeprowadzenie własnej należytej staranności wobec klienta. Odpowiedzialności tej nie można przenieść na inne podmioty.

2. Poleganie na innym podmiocie zobowiązanym jest dozwolone pod pewnymi warunkami. Przepisy AMLR dotyczące polegania na podmiotach trzecich pozwalają jednemu podmiotowi zobowiązanemu polegać na weryfikacji klienta przeprowadzonej przez inny podmiot, ale podmiot polegający zachowuje pełną odpowiedzialność prawną przed własnym organem nadzorczym. Poleganie to ułatwienie proceduralne, a nie zwolnienie.

3. Wymiana informacji jest dozwolona w określonych ramach prawnych. Motyw 147 AMLR stanowi wyraźnie: „Podmioty zobowiązane i właściwe organy powinny mieć możliwość wymiany informacji w ramach partnerstwa na rzecz wymiany informacji”. W tym samym motywie jasno stwierdzono również, że podmioty zobowiązane „nie powinny opierać się wyłącznie na informacjach otrzymanych w ramach wymiany informacji przy wyciąganiu wniosków dotyczących ryzyka prania pieniędzy i finansowania terroryzmu ze strony klienta”.

Te trzy zasady precyzyjnie wyznaczają granice prawne: można udostępniać dokumenty i zweryfikowane dane faktyczne; nie można natomiast udostępniać ocen ryzyka, ustaleń dotyczących wzmożonej należytej staranności (EDD), decyzji dotyczących zgłaszania oraz obowiązków w zakresie bieżącego monitorowania.

Skąd bierze się nieporozumienie w praktyce

W typowej transakcji dotyczącej nieruchomości, w której uczestniczą pośrednik, deweloper, prawnik i notariusz, każda ze stron może zgodnie z prawem wymieniać dane identyfikacyjne klienta, informacje o rzeczywistym właścicielu (UBO), dokumentację dotyczącą struktury własnościowej spółki, dowody pochodzenia środków oraz wyniki weryfikacji — z zastrzeżeniem obowiązujących przepisów RODO, zasad poufności oraz zabezpieczeń w zakresie przeciwdziałania praniu pieniędzy (AML).

Żadna z tych stron nie może jednak traktować otrzymania tych informacji jako substytutu swoich własnych, niezależnych obowiązków. Notariusz, który przyjmuje dokumentację KYC od agenta nieruchomości bez przeprowadzenia własnej oceny ryzyka, nie przestrzega przepisów AMLR — opiera się on, bez niezależnej weryfikacji, na ocenie innej strony. Deweloper, który polega na wcześniejszych weryfikacjach klienta przeprowadzonych przez prawnika, nie stosując własnej klasyfikacji ryzyka, nie wywiązuje się ze swojego obowiązku nadzorczego.

Jak potwierdza analiza przepisów AMLR dotyczących wymiany informacji przeprowadzona przez kancelarię DLA Piper: „Jako członkowie partnerstw na rzecz wymiany informacji podmioty zobowiązane mogą udostępniać informacje w celu przeprowadzenia należytej staranności wobec klientów oraz zgłaszania podejrzeń do jednostek analityki finansowej (FIU)”. Nowy pakiet przepisów dotyczących przeciwdziałania praniu pieniędzy zmierza w kierunku ściślejszej współpracy między podmiotami zobowiązanymi — a nie w kierunku przypisania odpowiedzialności za zgodność z przepisami jednemu podmiotowi.

Prawo nie zabrania wymiany informacji. Zabrania natomiast przenoszenia odpowiedzialności.

Różnica strukturalna: architektura dwuwarstwowa

Opisana powyżej sytuacja prawna w naturalny sposób przekłada się na dwupoziomową architekturę każdego zgodnego z przepisami modelu wymiany danych w ramach procedury KYC:

Dopuszczalna warstwa podstawowa — informacje, które mogą być udostępniane między podmiotami zobowiązanymi:

• Weryfikacja tożsamości i adresu

• Identyfikacja i weryfikacja ostatecznego beneficjenta rzeczywistego (UBO)

• Struktury własnościowe przedsiębiorstw

• Dokumentacja dotycząca źródła pochodzenia środków

• Historia transakcji dotyczących nieruchomości

• Wyniki kontroli pod kątem sankcji, osób zajmujących eksponowane stanowiska polityczne (PEP) oraz negatywnych informacji w mediach

Poziom specyficzny dla podmiotu — niepodlegający udostępnianiu, ustalany niezależnie przez każdy podmiot zobowiązany:

• Ocena ryzyka i klasyfikacja ryzyka

• Wymogi dotyczące wzmocnionej należytej staranności oraz ich wyniki

• Ocena podejrzeń oraz decyzje dotyczące składania raportów SAR/STR

• Parametry i wyniki bieżącego monitoringu

• Zgłaszanie do krajowej jednostki analityki finansowej

Oto architektura, do której dąży AMLR: jednorazowe gromadzenie danych o klientach, wielokrotna ocena ryzyka — niezależnie, przez każdy podmiot zobowiązany, w oparciu o własne obowiązki regulacyjne każdego podmiotu.

Wymagania technologiczne: dlaczego standardowe platformy KYC nie są w stanie tego zapewnić

Powyższe rozróżnienie prawne stwarza precyzyjne wymagania technologiczne, których większość platform KYC dostępnych na rynku nie jest w stanie spełnić ze względu na swoją strukturę. Standardowe rozwiązania do weryfikacji tożsamości i KYC są tworzone w celu gromadzenia i udostępniania danych. Nie są one jednak zaprojektowane tak, aby egzekwować prawny rozdział między udostępnianymi faktycznymi danymi klientów a niezależnymi, niepodlegającymi udostępnianiu obowiązkami w zakresie oceny ryzyka, które każdy podmiot zobowiązany musi wypełniać samodzielnie.

Ogólna platforma KYC, która gromadzi dokumenty i udostępnia je różnym stronom, obsługuje jedynie pierwszy poziom. Nie zapewnia ona żadnego ustrukturyzowanego mechanizmu, który umożliwiałby każdej ze stron niezależne przeprowadzanie i rejestrowanie własnej klasyfikacji ryzyka, ustalania zakresu EDD lub oceny podejrzeń w ramach tego samego środowiska. Dane i obowiązek zgodności są od siebie oddzielone — a dokumentacja regulacyjna wymagana do wykazania niezależnej zgodności przez każdy podmiot zobowiązany nie istnieje.

Nie jest to drobna luka operacyjna. Zgodnie z AMLR niemożność wykazania niezależnej oceny ryzyka przez każdy podmiot zobowiązany stanowi naruszenie zgodności dla każdej strony, która otrzymała udostępnione dane, nie sporządzając własnej udokumentowanej oceny.

Immosurance: jedyna platforma zapewniająca obie warstwy w jednym środowisku zgodnym z RODO

Immosurance to jedyna w Europie platforma zapewniająca zgodność z przepisami AML, stworzona specjalnie dla sektora nieruchomości, która zapewnia obie warstwy zgodnej z przepisami architektury wymiany danych KYC w ramach jednego, zintegrowanego środowiska zgodnego z RODO.

Warstwa podstawowa — weryfikacja tożsamości, mapowanie rzeczywistych właścicieli (UBO), dokumentacja dotycząca struktury własnościowej przedsiębiorstwa, dowody pochodzenia środków oraz ciągłe monitorowanie sankcji, osób zajmujących eksponowane stanowiska polityczne (PEP) i negatywnych informacji w mediach — może zostać zebrana jednorazowo i udostępniona wielu podmiotom zobowiązanym w ramach dopuszczalnych przepisów prawnych i zasad ochrony danych. Eliminuje to powielanie czynności, które dotychczas charakteryzowało proces zapewniania zgodności z przepisami w transakcjach nieruchomościowych z udziałem wielu stron, oraz zmniejsza obciążenie klientów, od których dotychczas wymagano powtarzania tego samego procesu weryfikacji w stosunku do każdej ze stron transakcji.

Warstwa specyficzna dla podmiotu jest realizowana jako strukturalnie oddzielna w ramach platformy. Każdy podmiot zobowiązany korzystający z Immosurance prowadzi własną, niezależną dokumentację zgodności, własną udokumentowaną ocenę ryzyka, własny proces EDD oraz własną historię raportowania — żadna z tych informacji nie jest dostępna dla innych stron ani z nimi udostępniana. Architektura dostępu oparta na rolach gwarantuje, że to, co każdy podmiot zobowiązany musi zgodnie z prawem ustalić samodzielnie, jest z założenia ustalane niezależnie.

Żaden ogólny dostawca usług KYC, usługa weryfikacji tożsamości ani platforma do udostępniania dokumentów na rynku nie oferuje takiego połączenia. Oddzielenie danych klientów, które można udostępniać, od obowiązku oceny ryzyka, którego nie można udostępniać — przy czym oba elementy są realizowane w ramach tej samej platformy, zgodne z RODO i gotowe do audytu — jest cechą unikalną dla Immosurance.

Nie jest to funkcja przyszłościowa. Immosurance działa już dziś, jest dostępne dla agentów nieruchomości, deweloperów, prawników i notariuszy w całej Europie, w 14 językach, a architektura udostępniania danych KYC jest prawnie dostosowana do wytycznych potwierdzonych przez AMLR.

Różnica prawna jest jasna. Wymagania technologiczne, które z tego wynikają, są wysokie. Immosurance jest odpowiedzią na te wyzwania.