5 kluczowych wniosków
- Jeżeli właśnie otrzymałeś pismo od GIIF dotyczące działalności w zakresie walut wirtualnych (powołujące się na art. 76 ustawy AML) i zastanawiasz się, co dalej – nie jesteś sam. Generalny Inspektor Informacji Finansowej (GIIF) rozpoczął formalną korespondencję z podmiotami wpisanymi do polskiego rejestru działalności w zakresie walut wirtualnych (VASP), pytając, czy nadal prowadzą tę działalność i kiedy planują ją zakończyć.
- Podstawą żądania jest art. 76 ustawy o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu – dostawcy usług w zakresie walut wirtualnych pozostają instytucjami obowiązanymi na gruncie ustawy AML, niezależnie od braku polskiej ustawy wdrażającej MiCA i nadzorcy nad CASP.
- Termin na odpowiedź wynosi zazwyczaj 5 dni, a GIIF wprost powołuje się na upływ ponad trzech miesięcy od końca okresu przejściowego MiCA (1 lipca 2026 r.) jako czas wystarczający na wdrożenie planu wygaszenia działalności.
- Według danych rejestru RDWW pozostaje 1 000 wpisów VASP – obowiązki sprawozdawcze wobec GIIF powstają z dniem rejestracji i nie są zawieszane przez brak faktycznej działalności.
- Treść odpowiedzi przekazywanej GIIF powinna być przygotowana z rozwagą – jej sformułowanie ma znaczenie dla dalszych planów podmiotu, w tym ewentualnego ubiegania się o licencję CASP w Polsce lub innym państwie UE.
Ten wpis to praktyczny przewodnik: wyjaśnia, dlaczego GIIF pisze do VASP-ów, co grozi za brak lub niewłaściwą odpowiedź, oraz jakie opcje faktycznie mają dziś podmioty wpisane do polskiego rejestru działalności w zakresie walut wirtualnych.
Co dokładnie robi GIIF
GIIF rozpoczął wysyłanie do polskich VASP-ów pism opartych na art. 76 ustawy z dnia 1 marca 2018 r. o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu, w których żąda – w terminie 5 dni od otrzymania pisma – odpowiedzi na dwa pytania:
- czy podmiot nadal prowadzi działalność w zakresie walut wirtualnych, o której mowa w art. 2 ust. 1 pkt 12 ustawy; oraz
- jeżeli tak – kiedy w 2026 r. planuje zakończenie tej działalności (z podaniem konkretnej daty), a jeżeli nie – z jaką datą działalność została zakończona.
Odpowiedzi należy przekazać wypełniając załączony do pisma formularz Excel „Formularz_VASP” i przesłać go elektronicznie do Departamentu Informacji Finansowej Ministerstwa Finansów za pośrednictwem systemu e-Doręczeń, ze wskazaniem znaku sprawy.
GIIF wprost uzasadnia czasowy rygor swojego żądania: przypomina, że z dniem 1 lipca 2026 r. upłynął okres przejściowy przewidziany w art. 143 ust. 3 rozporządzenia MiCA, a od tego momentu minęły ponad trzy miesiące – czas, który GIIF ocenia jako wystarczający do wdrożenia planu wygaszenia działalności (ang. wind-down arrangements), opisanego między innymi w komunikatach ESMA. GIIF powołuje się przy tym na komunikaty Izby Administracji Skarbowej w Katowicach oraz własne komunikaty dotyczące podmiotów wpisanych do rejestru działalności w zakresie walut wirtualnych, a także na komunikat ESMA z 23 czerwca 2026 r. dotyczący oczekiwań wobec podmiotów nieautoryzowanych jako CASP.
Ile podmiotów to dotyczy i dlaczego „nieaktywność” nie jest obroną
Według danych polskiego rejestru działalności w zakresie walut wirtualnych (RDWW) z 17 marca 2026 r., w rejestrze utworzono łącznie 1 841 wpisów VASP, z czego 602 zostało wykreślonych, a 1 239 pozostawało aktywnych – w tym 1 076 spółek posiadających numer KRS oraz 163 osoby fizyczne zarejestrowane jako VASP.
To oznacza, że pismo opisane w tym wpisie może trafić do ponad tysiąca podmiotów – z których znacząca część, zwłaszcza te zarejestrowane „na wszelki wypadek” i nigdy faktycznie nie prowadzące działalności, może błędnie zakładać, że brak realnej aktywności chroni je przed odpowiedzialnością. Tak nie jest: obowiązki sprawozdawcze wobec GIIF, w tym kwartalne raportowanie, obowiązek prowadzenia wewnętrznej procedury AML/CFT, wyznaczenia osoby odpowiedzialnej za zgodność AML oraz utrzymywania systemu monitorowania transakcji, powstają z dniem rejestracji jako VASP – niezależnie od tego, czy podmiot kiedykolwiek przeprowadził jakąkolwiek transakcję. Brak aktywności biznesowej nie zawiesza tych obowiązków – oznacza jedynie niezgłoszone naruszenie, które narasta z każdym kwartałem.
To nie tylko ryzyko AML: odpowiedzialność na gruncie KSH i ryzyko podatkowe
Pismo GIIF często skłania podmioty do przyjrzenia się wyłącznie obowiązkom AML. To błąd – rejestracja jako VASP generuje równolegle ryzyka na gruncie Kodeksu spółek handlowych i prawa podatkowego, które nie znikają wraz z wykreśleniem z rejestru VASP:
- odpowiedzialność członków zarządu za zobowiązania spółki (art. 299 KSH) – jeżeli spółka ma niezaspokojone zobowiązania (ZUS, podatki, wierzyciele), a członek zarządu nie złożył wniosku o ogłoszenie upadłości w terminie 30 dni od powstania stanu niewypłacalności, odpowiada on całym swoim majątkiem osobistym, bez żadnego limitu kwotowego;
- odpowiedzialność karna za niezłożenie wniosku o upadłość (art. 586 KSH w związku z art. 77 KK) – dotyczy również osób, które „nieformalnie” przestały pełnić funkcję członka zarządu, lecz nigdy nie zostały formalnie wykreślone z KRS;
- niemożność realizacji celu spółki (art. 21 § 2 KSH) – po 1 lipca 2026 r. spółka, która bez licencji CASP nie może dalej prowadzić działalności będącej jej celem, może stać przed sytuacją prawnej niemożności realizacji tego celu, co powinno skłonić zarząd do zwołania zgromadzenia wspólników w sprawie dalszych losów spółki; oraz
- wykreślenie z rejestru VASP nie oznacza likwidacji spółki – wykreślenie z RDWW usuwa jedynie status VASP; spółka z o.o. nadal istnieje wraz z pełnią swoich zobowiązań, odpowiedzialności i obowiązków zarządu. Pełna likwidacja wymaga odrębnego postępowania na podstawie KSH.
Równolegle otwarte pozostaje ryzyko podatkowe, obejmujące między innymi CIT od ewentualnych zysków z obrotu kryptoaktywami, obowiązek składania deklaracji VAT/JPK (w tym deklaracji zerowych przy braku przychodów – każde niezłożenie to odrębne naruszenie), ryzyko cen transferowych przy nieudokumentowanych transferach wewnątrzgrupowych oraz odpowiedzialność karną skarbową członków zarządu. Termin przedawnienia zobowiązań podatkowych wynosi 5 lat, a brak działalności operacyjnej nie zawiesza tego terminu ani obowiązków sprawozdawczych – oznacza jedynie brak dokumentacji, która mogłaby posłużyć do obrony w ewentualnej kontroli.
Dlaczego GIIF w ogóle może to robić
Odpowiedź leży w samej konstrukcji polskiego rejestru VASP. Wpis do rejestru działalności w zakresie walut wirtualnych nie jest i nigdy nie był licencją nadzorowaną przez organ nadzoru finansowego – to rejestracja w rozumieniu ustawy AML, a podmioty świadczące usługi w zakresie walut wirtualnych są instytucjami obowiązanymi w rozumieniu tej ustawy. Obowiązki AML – w tym obowiązek odpowiadania na żądania GIIF o przekazanie informacji – istnieją niezależnie od tego, czy dany podmiot posiada, czy nie posiada zezwolenia CASP na podstawie MiCA.
Innymi słowy: brak polskiej ustawy wdrażającej MiCA i brak wyznaczonego nadzorcy CASP nie tworzy próżni regulacyjnej, w której polskie VASP-y mogłyby działać bez żadnej kontroli. GIIF wypełnia tę przestrzeń, korzystając z kompetencji, które ma już dziś na podstawie ustawy AML – w tym z uprawnienia do żądania informacji i dokumentów na podstawie art. 76 tej ustawy oraz z szerszych uprawnień kontrolnych opisanych w rozdziale 12 ustawy.
Stawka: pełny katalog sankcji administracyjnych GIIF
Ustawa AML przewiduje rozbudowany katalog kar administracyjnych nakładanych na instytucje obowiązane, które nie dopełniają swoich obowiązków – w tym obowiązku przekazania informacji lub dokumentów żądanych przez GIIF oraz obowiązku wykonania zaleceń pokontrolnych. Karami administracyjnymi są:
- publikacja informacji o instytucji obowiązanej oraz zakresie naruszenia przepisów ustawy w Biuletynie Informacji Publicznej na stronie ministra właściwego do spraw finansów publicznych;
- nakaz zaprzestania podejmowania przez instytucję obowiązaną określonych czynności;
- cofnięcie koncesji lub zezwolenia albo wykreślenie z rejestru działalności regulowanej;
- zakaz pełnienia obowiązków na stanowisku kierowniczym przez osobę odpowiedzialną za naruszenie, na okres nie dłuższy niż rok; oraz
- kara pieniężna – co do zasady do wysokości dwukrotności kwoty korzyści osiągniętej lub straty unikniętej w wyniku naruszenia, a gdy nie można ustalić tej kwoty – do wysokości równowartości 1 000 000 euro.
Ustalając rodzaj i wysokość kary, GIIF bierze pod uwagę m.in. wagę i czas trwania naruszenia, zakres odpowiedzialności instytucji obowiązanej, jej możliwości finansowe, skalę osiągniętych korzyści lub unikniętych strat, straty osób trzecich, stopień współpracy z organem oraz wcześniejsze naruszenia. Co istotne, odpowiedzialność może dotyczyć także osoby fizycznej wyznaczonej jako odpowiedzialna za wykonanie obowiązków AML w podmiocie – niezależnie od kary nałożonej na samą instytucję.
Trzy ścieżki postępowania – i dlaczego nie są równoważne
Zanim wypełnisz formularz dla GIIF, warto wiedzieć, dokąd prowadzi każda z odpowiedzi. W praktyce istnieją trzy ścieżki postępowania wobec dotychczasowej rejestracji VASP, które różnią się kosztem, czasem trwania i poziomem ryzyka:
- Wniosek o licencję CASP (samodzielnie lub w modelu CASP as a Service) – dla podmiotów, które planują kontynuować świadczenie usług w zakresie kryptoaktywów. Wymaga przygotowania pełnego zgodnego z MiCA programu compliance, złożenia wniosku do właściwego organu nadzoru i spełnienia wymogów kapitałowych. Koszt: wysoki. Czas: realistycznie ponad 12 miesięcy. Ryzyko: niskie, jeżeli przeprowadzone prawidłowo.
- Wykreślenie z rejestru i prawidłowa likwidacja – dla podmiotów nieaktywnych lub bez planów dalszej działalności. Wymaga audytu luk w zgodności AML/GIIF, uzupełnienia zaległych raportów, wykreślenia z RDWW, a następnie formalnej likwidacji spółki na podstawie KSH. Koszt: średni. Czas: zazwyczaj kilka miesięcy, a sama likwidacja zajmuje zwykle ponad pół roku. Ryzyko: niskie, jeżeli podjęte odpowiednio wcześnie.
- Brak działania – czekanie i liczenie, że temat sam się rozwiąże. Oznacza rosnące ryzyko odpowiedzialności karnej za świadczenie usług w zakresie kryptoaktywów bez wymaganej licencji, otwarte ryzyko postępowania ze strony GIIF, narastającą osobistą odpowiedzialność członków zarządu oraz utrzymujące się przez 5 lat ryzyko kontroli podatkowej. Koszt: potencjalnie nieograniczony. Czas: ryzyko materializuje się natychmiast. Ryzyko: bardzo wysokie.
Im dłużej podmiot zwleka z wyborem jednej z pierwszych dwóch ścieżek, tym mniej realnych opcji pozostaje i tym wyższy jest koszt każdej z nich – zarówno finansowy, jak i czasowy.
Która ścieżka pasuje do Twojej sytuacji
| Twoja sytuacja | Rekomendowana ścieżka |
|---|---|
| Masz aktywnych użytkowników lub klientów i planujesz kontynuować usługi związane z kryptoaktywami | Niezwłocznie złóż wniosek o licencję CASP lub rozważ model CASP as a Service |
| Zarejestrowałeś się „na wszelki wypadek” i nigdy nie prowadziłeś faktycznej działalności | Wykreśl się z rejestru i przeprowadź likwidację – nie zwlekaj |
| Jesteś zagranicznym podmiotem z polską spółką celową (SPV) | Najpierw wykonaj pełny przegląd prawny i oceń całkowitą ekspozycję przed podjęciem decyzji |
| Twoja spółka ma nieuregulowane zobowiązania (ZUS, podatki, wierzyciele) | Przed jakąkolwiek czynnością wykreślenia przeprowadź ocenę odpowiedzialności członków zarządu |
| Jesteś osobą fizyczną wpisaną do rejestru VASP | Powiadom organ prowadzący rejestr i sprawdź stan swoich zgłoszeń AML |
Dlaczego treść odpowiedzi wymaga przemyślanej strategii, a nie automatycznego wypełnienia formularza
Termin na odpowiedź – zazwyczaj 5 dni – jest bardzo krótki, a formularz z pozoru wygląda na prostą formalność: zaznaczyć, czy działalność trwa, i podać datę jej zakończenia. W praktyce to, co i jak zostanie zadeklarowane, ma konsekwencje wykraczające daleko poza samo postępowanie przed GIIF.
Deklarowana data zakończenia działalności w zakresie walut wirtualnych może wpływać na ocenę, czy podmiot faktycznie realizował realny plan wygaszenia działalności (wind-down), czy traktował okres po 1 lipca 2026 r. jako przedłużenie działalności operacyjnej bez podstawy prawnej – co otwiera drogę do zarzutu świadczenia usług w zakresie kryptoaktywów bez wymaganego zezwolenia CASP.
Dla podmiotów, które rozważają uzyskanie licencji CASP w innym państwie członkowskim UE i transgraniczne świadczenie usług do Polski, albo docelowo ubieganie się o polską licencję CASP, gdy tylko powstanie do tego podstawa prawna, sposób opisania dotychczasowej i planowanej działalności w odpowiedzi do GIIF powinien być spójny z tą strategią. Dla podmiotów nieaktywnych, które zamierzają się wykreślić z rejestru, odpowiedź do GIIF to dobry moment, by równolegle rozpocząć audyt zaległych raportów AML, przegląd zaległości podatkowych i ocenę odpowiedzialności członków zarządu – zanim złożony zostanie wniosek o wykreślenie z RDWW.
Odpowiedź przekazywana GIIF jest też dokumentem, do którego organ może wrócić przy ewentualnej kontroli na podstawie rozdziału 12 ustawy AML – niespójność między tym, co zadeklarowano w formularzu, a faktycznym stanem rzeczy, może sama w sobie stanowić podstawę do zarzutu przekazania nieprawdziwych danych.
Co dalej
Sytuacja prawna polskich VASP-ów pozostaje niestabilna: nie ma ustawy wdrażającej MiCA, nie ma krajowego nadzorcy nad CASP, a mimo to GIIF aktywnie egzekwuje obowiązki AML wobec podmiotów, które formalnie nie mają już podstawy do świadczenia usług w zakresie kryptoaktywów po 1 lipca 2026 r. Ryzyko nie ogranicza się do AML – obejmuje również osobistą odpowiedzialność członków zarządu na gruncie KSH oraz otwarte przez 5 lat ryzyko kontroli podatkowej. To połączenie – brak ścieżki licencyjnej CASP w Polsce przy jednoczesnym aktywnym nadzorze AML, KSH i podatkowym – jest nietypowe na tle innych państw UE i wymaga indywidualnego podejścia do każdego podmiotu, w zależności od jego planów biznesowych i dotychczasowej historii działalności.
Będę na bieżąco informować o kolejnych krokach GIIF i o rozwoju sytuacji legislacyjnej wokół polskiej ustawy o rynku kryptoaktywów – ta historia jeszcze się nie skończyła.
Jeżeli otrzymali Państwo pismo od GIIF dotyczące działalności w zakresie walut wirtualnych albo zastanawiają się Państwo nad strategią wygaszenia działalności VASP lub przejścia na licencję CASP, zapraszam do kontaktu. Więcej o regulacji fintech i rynku kryptoaktywów w Polsce na stronie praktyki FinTech, Banking & Financial Regulation.
Powiązane wpisy:
- Poland CASP Licence After the Presidential Veto: Where Polish Crypto Businesses Stand Now
- CASP as a Service Under MiCA in Poland
- AML Compliance for Fintechs in Poland: What KNF and GIIF Expect
Niniejszy wpis odzwierciedla treść pisma Generalnego Inspektora Informacji Finansowej z dnia 1 października 2026 r. (znak sprawy IF17.716.2.3.2026) oraz przepisy ustawy z dnia 1 marca 2018 r. o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu (Dz.U. z 2025 r. poz. 644, z późn. zm.). Ma charakter ogólnoinformacyjny i nie stanowi porady prawnej w indywidualnej sprawie.
