Zmiany w Centralnym Rejestrze Beneficjentów Rzeczywistych (CRBR) od lipca 2025 – co musisz wiedzieć i zrobić

Od 1 lipca 2025 r. obowiązuje nowelizacja ustawy AML, która ogranicza jawność CRBR, zaostrza sankcje za brak aktualizacji danych i wprowadza nowy tryb dostępu do rejestru. Jeśli prowadzisz spółkę lub korzystasz z danych CRBR w procesach compliance, due diligence albo onboardingu klientów – sprawdź, co się zmieniło i co musisz wdrożyć.

Ograniczenie jawności dostępu – kto stracił dostęp do danych?

Dotychczas dane w CRBR były w pełni jawne. Po nowelizacji – dostęp do rejestru mają tylko określone podmioty i tylko po spełnieniu dodatkowych warunków. To konsekwencja wyroku Trybunału Sprawiedliwości UE z 2022 r., który uznał nieograniczony dostęp za nieproporcjonalną ingerencję w prawo do prywatności.

Kto zachowuje bezpośredni dostęp do CRBR?

• Organy publiczne – urzędy skarbowe, prokuratura, sądy
• Instytucje obowiązane:
  • banki,
  • instytucje płatnicze,
  • firmy ubezpieczeniowe,
  • biura rachunkowe

Co muszą zrobić pozostałe podmioty?

Przedsiębiorcy, dziennikarze i organizacje społeczne nie mają już swobodnego dostępu. Żeby uzyskać dane, musisz:

1. Złożyć wniosek o dostęp do danych CRBR.
2. Wykazać uzasadniony interes – np. przeciwdziałanie przestępczości gospodarczej, ochrona interesów ekonomicznych lub weryfikacja transparentności kontrahenta.
3. Poczekać na rozpatrzenie – organ ma do 12 dni roboczych, z możliwością przedłużenia.

W praktyce oznacza to, że dane, które wcześniej sprawdzałeś w kilka minut, teraz wymagają formalnego wniosku i oczekiwania. Dostosuj swoje procedury onboardingu, audytów kontrahentów i oceny ryzyka AML do nowych terminów.

Jak uzyskać dostęp do danych w CRBR na podstawie uzasadnionego interesu?

Jeśli nie jesteś instytucją obowiązaną, musisz przejść procedurę wnioskową. Oto co trzeba zrobić krok po kroku:

Procedura złożenia wniosku

1. Złóż wniosek elektroniczny do organu prowadzącego rejestr.
2. Wykaż uzasadniony interes – wskaż związek z przeciwdziałaniem praniu pieniędzy, finansowaniu terroryzmu lub innym czynem zabronionym.
3. Spełnij wymogi formalne – wniosek musi zawierać:
   • funkcję lub zawód wnioskodawcy,
   • związek z podmiotem, którego dane mają być udostępnione.

Terminy i zasady rozpatrywania

• 12 dni roboczych – tyle ma organ na rozpatrzenie wniosku. Termin może być dwukrotnie przedłużony o kolejne 12 dni.
• Potwierdzenie na 3 lata – po pierwszym pozytywnym rozpatrzeniu otrzymujesz potwierdzenie funkcji/zawodu, które przyspiesza kolejne wnioski (do 7 dni) i zwalnia z ponownego uzasadniania interesu.
• Uproszczony tryb dla dziennikarzy, NGO i środowiska akademickiego – mogą korzystać z dostępu bez każdorazowego uzasadniania interesu, o ile ich działalność jest powiązana z przeciwdziałaniem praniu pieniędzy.
• Podmiot, którego dane dotyczą, nie jest informowany o udostępnieniu. Organ prowadzi ewidencję udostępnień zgodnie z RODO.

Harmonogram wdrożenia

• 10 lipca 2025 r. – przepisy o nowym trybie dostępu weszły w życie.
• Lipiec 2026 r. – planowana druga faza reformy: zawężenie zakresu udostępnianych danych oraz możliwość wyłączenia dostępu w przypadkach nadużyć lub zagrożenia bezpieczeństwa beneficjenta.

Jakie obowiązki ciążą na przedsiębiorcach?

Zgłoszenie beneficjenta rzeczywistego to nie jednorazowa formalność. Nowelizacja wzmocniła obowiązki w zakresie bieżącej aktualizacji danych. Jeśli prowadzisz spółkę – masz obowiązek:

1. Monitorować na bieżąco sytuację prawną i organizacyjną spółki pod kątem zmian wpływających na status beneficjenta rzeczywistego.
2. Zgłaszać niezwłocznie do CRBR każdą zmianę, w tym:
   • zmiany w strukturze właścicielskiej,
   • zmiany w składzie zarządu lub innych organów uprawnionych do reprezentacji,
   • zmiany w relacjach kontrolnych między podmiotami lub osobami fizycznymi.
3. **Wdróż **procedury wewnętrzne**** , które zapewnią systematyczną kontrolę nad danymi przekazywanymi do CRBR.

Brak aktualizacji danych lub zgłoszenie informacji niepełnych bądź nieprawdziwych to naruszenie przepisów ustawy AML – ze wszystkimi konsekwencjami opisanymi niżej.

Sankcje za nieprawidłowe dane w CRBR

Nowelizacja zaostrzyła sankcje. Ustawodawca traktuje obowiązki związane z CRBR jako ciągłe – ich niedopełnienie wiąże się z dotkliwymi konsekwencjami.

Kara administracyjna

• Do 1 000 000 zł – za niedopełnienie obowiązku zgłoszenia beneficjenta rzeczywistego, brak aktualizacji danych lub podanie informacji niezgodnych ze stanem faktycznym.
• Sankcje nakłada Krajowa Administracja Skarbowa.
• Przy wymierzaniu kary brane są pod uwagę okoliczności sprawy – rodzaj i waga naruszenia (np. opóźnienie w zgłoszeniu vs. dane całkowicie niezgodne z rzeczywistością).

Odpowiedzialność osobista

Odpowiedzialność nie kończy się na poziomie spółki. Osoba dokonująca zgłoszenia do rejestru może ponosić:

• odpowiedzialność karną – za podanie nieprawdziwych danych,
• odpowiedzialność cywilną – za szkody wyrządzone przez przekazanie błędnych informacji.

To oznacza, że zarządzanie CRBR wymaga nie tylko znajomości przepisów, ale i staranności organizacyjnej po stronie firmy – wyznacz osobę odpowiedzialną i ustal procedurę weryfikacji przed każdym zgłoszeniem.

Obowiązek weryfikacji danych przez instytucje obowiązane

Już od 31 października 2021 r. instytucje obowiązane (banki, biura rachunkowe, zakłady ubezpieczeń i inne podmioty stosujące środki bezpieczeństwa finansowego) muszą weryfikować dane w CRBR.

Co to oznacza w praktyce?

• Instytucje obowiązane porównują dane z CRBR z informacjami uzyskanymi w toku współpracy z klientem.
• Jeśli wykryją niezgodność – np. rozbieżność w strukturze właścicielskiej lub brak aktualizacji – muszą poinformować Ministerstwo Finansów.
• Instytucje obowiązane pełnią funkcję „organu kontrolnego pierwszego stopnia" – weryfikują, czy dane w CRBR odpowiadają rzeczywistej strukturze własnościowej i kontrolnej spółki.

Dla Ciebie to kolejny powód, żeby dane w CRBR były zawsze zgodne z faktycznym stanem. Rozbieżność wykryta przez bank czy biuro rachunkowe może uruchomić procedurę kontrolną – zanim sam ją zauważysz.

Podsumowanie – co zrobić teraz?

Nowelizacja CRBR to nie zmiana formalna. Ograniczenie jawności, nowy tryb dostępu, zaostrzenie sankcji i obowiązek ciągłego monitorowania danych wymagają konkretnych działań po Twojej stronie.

Checklist – minimum do wdrożenia

1. Sprawdź aktualność danych w CRBR – porównaj wpis z rzeczywistą strukturą właścicielską i składem organów spółki.
2. Wyznacz osobę odpowiedzialną za monitorowanie zmian i terminowe zgłaszanie aktualizacji.
3. Wdróż procedurę wewnętrzną – ustal, kto weryfikuje dane, w jakim trybie i z jaką częstotliwością.
4. Dostosuj procesy compliance i onboardingu do nowych terminów dostępu (do 12 dni roboczych na rozpatrzenie wniosku).
5. Zaplanuj przygotowanie do drugiej fazy reformy (lipiec 2026 r.) – kolejne zawężenie zakresu udostępnianych danych.

Nie traktuj tych zmian jako formalności. Niedopilnowanie obowiązków może prowadzić do sankcji finansowych do 1 000 000 zł i odpowiedzialności osobistej – karnej i cywilnej.

Potrzebujesz wsparcia w dostosowaniu firmy do obowiązujących wymogów?

W naszej kancelarii wypracowaliśmy praktyczne narzędzie – system SiP AML, który pomaga wdrożyć i utrzymać zgodność z obowiązkami AML w przedsiębiorstwie. System obejmuje procedury weryfikacji, bieżącego monitoringu i reagowania na nieprawidłowości, a także wspiera poprawne raportowanie do CRBR. Działa zarówno jako wsparcie dla instytucji obowiązanych, jak i firm spoza tego kręgu, które chcą zadbać o bezpieczeństwo swojej działalności.

Więcej o SiP AML przeczytasz tutaj.

Masz pytania lub potrzebujesz indywidualnego doradztwa? Skontaktuj się z nami – pomożemy Ci wdrożyć odpowiednie rozwiązania i przygotować się na kolejne etapy reformy.

Najczęściej zadawane pytania

Kto ma dostęp do danych z CRBR po zmianach od lipca 2025 roku? Bezpośredni dostęp do CRBR zachowują organy publiczne (urzędy skarbowe, prokuratura, sądy) oraz instytucje obowiązane – banki, instytucje płatnicze, firmy ubezpieczeniowe i biura rachunkowe. Pozostałe podmioty, w tym przedsiębiorcy, dziennikarze i organizacje społeczne, muszą złożyć wniosek i wykazać uzasadniony interes, aby uzyskać dostęp do danych. To skutek wyroku Trybunału Sprawiedliwości UE z 2022 r., który uznał nieograniczony dostęp za nieproporcjonalną ingerencję w prawo do prywatności.

Jak uzyskać dostęp do CRBR, jeśli moja firma nie jest instytucją obowiązaną? Złóż wniosek elektroniczny do organu prowadzącego rejestr, wykaż uzasadniony interes (np. przeciwdziałanie przestępczości gospodarczej lub weryfikacja transparentności kontrahenta) i podaj swoją funkcję lub zawód oraz związek z podmiotem, którego dane chcesz uzyskać. Organ ma 12 dni roboczych na rozpatrzenie wniosku, z możliwością dwukrotnego przedłużenia o kolejne 12 dni. Po pierwszym pozytywnym rozpatrzeniu otrzymujesz potwierdzenie ważne 3 lata, które skraca czas rozpatrywania kolejnych wniosków do 7 dni i zwalnia z ponownego uzasadniania interesu.

Jakie dane trzeba aktualizować w CRBR na bieżąco po nowelizacji AML? Masz obowiązek niezwłocznie zgłaszać do CRBR każdą zmianę w strukturze właścicielskiej, w składzie zarządu lub innych organów uprawnionych do reprezentacji oraz w relacjach kontrolnych między podmiotami lub osobami fizycznymi. Oprócz samego zgłaszania zmian musisz na bieżąco monitorować sytuację prawną i organizacyjną spółki pod kątem wpływu na status beneficjenta rzeczywistego. Wdróż procedurę wewnętrzną, która określa, kto weryfikuje dane, w jakim trybie i z jaką częstotliwością.

Jakie kary grożą za brak aktualizacji albo błędne dane w CRBR? Spółce grozi kara administracyjna do 1 000 000 zł, nakładana przez Krajową Administrację Skarbową – za brak zgłoszenia beneficjenta rzeczywistego, brak aktualizacji danych lub podanie informacji niezgodnych ze stanem faktycznym. Osoba dokonująca zgłoszenia ponosi dodatkowo odpowiedzialność osobistą – karną za podanie nieprawdziwych danych i cywilną za szkody wyrządzone przekazaniem błędnych informacji. Wyznacz osobę odpowiedzialną za CRBR i ustal procedurę weryfikacji przed każdym zgłoszeniem, bo konsekwencje dotykają zarówno firmę, jak i konkretne osoby fizyczne.

Co w praktyce oznacza obowiązek weryfikacji danych w CRBR przez banki i inne instytucje obowiązane? Banki, biura rachunkowe i inne instytucje obowiązane porównują dane z CRBR z informacjami uzyskanymi w toku współpracy z Twoją firmą – jeśli wykryją rozbieżność, np. nieaktualną strukturę właścicielską, muszą zgłosić to do Ministerstwa Finansów. Dla Twojej spółki oznacza to, że problem z danymi w CRBR może zostać wykryty przez bank lub biuro rachunkowe i uruchomić procedurę kontrolną, zanim sam zauważysz nieprawidłowość. Traktuj zgodność danych w CRBR ze stanem faktycznym jako warunek bezproblemowej współpracy z instytucjami finansowymi i obsługą księgową.