registerAPI po nowelizacji

Opis dotyczy ustawy o zmianie ustawy o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu, uchwalonej przez Sejm 6 listopada 2026 r. (projekt rządowy – druk nr 3163, sprawozdanie komisji – druk nr 3285). Ustawa wdraża dyrektywę (UE) 2024/1640. Teraz zajmie się nią Senat, a potem trafi do podpisu Prezydenta – jeśli treść lub terminy się zmienią, zaktualizujemy tę stronę. Ustawa wchodzi w życie 1 stycznia 2027 r., a przepisy o CRBR – 1 października 2027 r.

1. Koniec jawności CRBR

Ustawa uchyla przepis, zgodnie z którym CRBR jest jawny (art. 67), i wprowadza nowe zasady udostępniania (art. 68a–68i). Od 1 października 2027 r. informacje o beneficjentach rzeczywistych będą udostępniane tylko:

• wskazanym organom (m.in. GIIF, prokuratura, Policja, CBA, KAS, KNF),
• instytucjom obowiązanym – w celu stosowania środków bezpieczeństwa finansowego,
• na wniosek – osobom, które wykażą uzasadniony interes związany z przeciwdziałaniem praniu pieniędzy i finansowaniu terroryzmu.

2. Instytucje obowiązane: dostęp przez SIGIIF 2.0

Instytucja obowiązana dostanie informacje z CRBR po uzyskaniu dostępu do nowego systemu GIIF – SIGIIF 2.0. Konto w SIGIIF i uprawnienia użytkowników przenoszą się automatycznie do CRBR. Odebranie dostępu do SIGIIF zamyka też dostęp do CRBR.

Instytucje działające 31 grudnia 2026 r. mają złożyć wniosek o dostęp do SIGIIF w terminach z art. 7 ustawy nowelizującej. Termin zależy od rodzaju instytucji (art. 2 ust. 1 ustawy AML) i od tego, czy instytucja złożyła wcześniej do GIIF formularz identyfikujący (art. 77 ustawy AML).

Za niezłożenie wniosku w terminie ustawa przewiduje karę administracyjną.

3. Uzasadniony interes – węższy zakres danych

Osoby z uzasadnionym interesem (w tym dostawcy produktów AML pracujący dla instytucji obowiązanych) dostaną informacje na wniosek, osobno dla każdego podmiotu, w terminie 12 dni, który przy dużej liczbie wniosków może się wydłużyć o kolejne 12 i 12 dni (art. 68f). Kto dostał już dane, otrzymuje potwierdzenie ważne 3 lata – kolejne wnioski rozpatrywane są wtedy w 7 dni. W pierwszym roku (1 października 2027 – 30 września 2028 r.) termin wynosi 30 dni (art. 180b). Zakres jest węższy: bez numeru PESEL, a z datą urodzenia ograniczoną do miesiąca i roku (art. 68d ust. 1).

Co to oznacza dla registerAPI

• Sprawdzanie beneficjentów w czasie rzeczywistym będzie możliwe na dostępie Twojej instytucji (art. 68c): registerAPI ma łączyć się z CRBR w Twoim imieniu, na Twoich uprawnieniach z SIGIIF. Przygotowujemy to połączenie – szczegóły techniczne zależą od specyfikacji, której Ministerstwo Finansów i GIIF jeszcze nie opublikowały. Wniosek o dostęp do SIGIIF składa sama instytucja.
• Do 30 września 2027 r. registerAPI działa jak dziś – dane z CRBR pobieramy z oficjalnego API Ministerstwa Finansów.
• Po zmianie CRBR będzie odnotowywał, kto przeglądał dane – przy dostępie instytucji obowiązanej będzie to Twoja instytucja.
• Listy sankcyjne, baza PEP/RCA, biała lista VAT i KRS nie są objęte tą zmianą.

Jak się przygotować już dziś

1. Skontaktuj się z nami, a przygotujemy formalności. BeUsable jako dostawca produktów AML dla instytucji obowiązanych może na podstawie umowy z Twoją instytucją uzyskiwać informacje z CRBR na Twoje potrzeby (art. 68d ust. 2 pkt 14). Z naszego dostępu skorzystasz, zanim uzyskasz własny, i jako uzupełnienie. To dostęp na wniosek, osobno dla każdego podmiotu, w terminie do 12 dni i bez numerów PESEL – dlatego jednocześnie pomożemy Ci uzyskać własny dostęp przez SIGIIF i połączymy z nim registerAPI.
2. Sprawdź, czy Twoja instytucja złożyła formularz identyfikujący GIIF (art. 77 ustawy AML), i odczytaj swój termin wniosku o SIGIIF z tabeli powyżej.
3. Wyznacz osoby, które będą obsługiwać SIGIIF i CRBR, i przygotuj upoważnienie podpisane przez osoby reprezentujące instytucję.