KYC

KYC to nazwa branżowa, a nie pojęcie prawne. Prawo mówi o należytej staranności wobec klienta: w Polsce są to środki bezpieczeństwa finansowego z ustawy z 1 marca 2018 r. o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu, a w UE od 10 lipca 2027 r. środki należytej staranności z rozporządzenia AML (AMLR), czyli rozporządzenia (UE) 2024/1624. KYC to ta ich część, którą widzi klient: kim jest i skąd firma to wie.

Pożyczkodawcy są objęci tymi przepisami. Polska ustawa wymienia wśród instytucji obowiązanych instytucje pożyczkowe w rozumieniu ustawy o kredycie konsumenckim (art. 2 ust. 1 pkt 25). AMLR uznaje za instytucję finansową kredytodawcę w rozumieniu dyrektywy o kredycie konsumenckim 2008/48/WE (art. 2 ust. 1 pkt 6 lit. g), a instytucje finansowe są podmiotami zobowiązanymi (art. 3). Należytą staranność stosuje się między innymi przy nawiązywaniu stosunków gospodarczych (art. 35 ust. 1 polskiej ustawy; art. 19 ust. 1 AMLR).

Należyta staranność to więcej niż sprawdzenie tożsamości. Polska ustawa wymienia identyfikację klienta i weryfikację jego tożsamości, identyfikację beneficjenta rzeczywistego, ocenę stosunków gospodarczych i bieżące monitorowanie (art. 34 ust. 1). AMLR wymienia wśród środków należytej staranności także sprawdzanie ukierunkowanych sankcji finansowych i osób zajmujących eksponowane stanowiska polityczne (art. 20 ust. 1). W przypadku osoby fizycznej polska ustawa wymaga między innymi imienia i nazwiska, obywatelstwa, numeru PESEL (a gdy go nie nadano, daty urodzenia i państwa urodzenia) oraz serii i numeru dokumentu tożsamości (art. 36 ust. 1).

Weryfikacja potwierdza te dane. Według polskiej ustawy opiera się na dokumencie tożsamości albo innych dokumentach, danych lub informacjach z wiarygodnego i niezależnego źródła, w tym, o ile są dostępne, na środkach identyfikacji elektronicznej albo usługach zaufania z rozporządzenia eIDAS (art. 37 ust. 1). AMLR zawęża to do dwóch dróg (art. 22 ust. 6): dokumentu tożsamości, paszportu lub jego odpowiednika, w stosownych przypadkach z informacjami z wiarygodnych i niezależnych źródeł, albo środków identyfikacji elektronicznej o średnim lub wysokim poziomie bezpieczeństwa według eIDAS razem z odpowiednimi kwalifikowanymi usługami zaufania. Dokumentację przechowuje się przez pięć lat: według polskiej ustawy od zakończenia stosunków gospodarczych (art. 49 ust. 1), a według AMLR także od odmowy ich nawiązania (art. 77 ust. 3).

eKYC to zdalna wersja tego samego procesu: skan dokumentu tożsamości, często porównany ze zdjęciem twarzy, albo tożsamość elektroniczna. To sposób przeprowadzenia KYC, a nie osobny obowiązek prawny.

W aplikacji pożyczkowej KYC to seria stanów wniosku, pomiędzy którymi działają usługi zewnętrzne. Wymagania dla systemu:

• Metody to konfiguracja. Kolejność metod weryfikacji (tożsamość elektroniczna, skan dokumentu, weryfikacja ręczna) trzymaj w backendzie, żeby zmiana po nowych standardach technicznych nie wymagała nowej wersji aplikacji.
• Każda próba jest zapisana. Zapisuj, która metoda i który dostawca co sprawdził, kiedy i z jakim wynikiem. Zapis musi przetrwać relację z klientem o pięć lat.
• Weryfikacja ma własny status. Wniosek czekający na KYC, nieudana próba i weryfikacja ręczna to osobne stany z komunikatami zrozumiałymi dla klienta, a nie jedno ogólne w toku.
• Ponowienia to reguły. Ustal, ile prób dostaje klient, co dzieje się po przekroczeniu limitu i czy odrzucony wniosek blokuje nowy. Trzymaj te reguły tam, gdzie da się je zmienić.
• Przerwy są normalne. Zerwane połączenie albo przekroczony czas odpowiedzi dostawcy powinny zostawić wniosek do wznowienia, a aplikacja powinna ponownie zapytać o wynik, zamiast go zakładać.
• Sprawdzenie rachunku to nie weryfikacja tożsamości. Przelew weryfikacyjny albo logowanie do banku przez open banking potwierdza rachunek i pomaga w walce z oszustwami, ale żadne z nich nie należy do środków weryfikacji tożsamości, które od 10 lipca 2027 r. wymienia art. 22 ust. 6 AMLR.
• Obok KYC działają inne sprawdzenia. W Polsce kredytodawca przed zawarciem umowy o kredyt konsumencki sprawdza też zastrzeżenie PESEL, a może dodać fingerprinting urządzenia przeciw oszustwom. To osobne kroki z osobnymi zapisami.

AMLR stosuje się od 10 lipca 2027 r. i obowiązuje bezpośrednio we wszystkich państwach członkowskich (art. 90); późniejszą datę, 10 lipca 2029 r., mają tylko agenci piłkarscy i profesjonalne kluby piłkarskie. Zgodnie z art. 28 ust. 1 Urząd ds. Przeciwdziałania Praniu Pieniędzy i Finansowaniu Terroryzmu (AMLA) miał do 10 lipca 2026 r. opracować projekty regulacyjnych standardów technicznych dotyczących należytej staranności wobec klienta i przedłożyć je Komisji Europejskiej do przyjęcia. Określają one między innymi informacje zbierane przy standardowej, uproszczonej i wzmożonej należytej staranności. Do czasu stosowania AMLR polscy pożyczkodawcy stosują ustawę o przeciwdziałaniu praniu pieniędzy z 2018 r. To hasło nie jest poradą prawną; to, które obowiązki dotyczą firmy, zależy od jej statusu.

W Aasa24, aplikacji pożyczkowej, którą od maja 2023 r. budujemy i rozwijamy dla Aasa Polska, KYC działa we wniosku o kartę. Klient składa wniosek o kartę kredytową Visa z weryfikacją tożsamości online, która obejmuje skan dokumentu tożsamości. W kwietniu 2025 r. aplikacja dostała obsługę statusu wniosku 49, "Credit Card - KYC". W maju 2025 r. dodaliśmy ponawianie procesu po negatywnym wyniku, a od sierpnia 2025 r. pozytywna weryfikacja rachunku bankowego przenosi wniosek o kartę do statusu KYC. W październiku 2025 r. aplikacja zaczęła odpytywać o wynik KYC, gdy klient klika Dalej na oczekującym wniosku o kartę.

W marcu 2026 r. zmieniliśmy regułę ponowień: wniosek odrzucony po trzech nieudanych próbach KYC nie blokuje już przejścia KYC na nowym wniosku. W czerwcu 2026 r. dodaliśmy ponawianie zadań KYC. Nie budowaliśmy usługi weryfikacji tożsamości; to zewnętrzna usługa.