KYC w kryptowalutach: co to jest, weryfikacja i dane

KYC w kryptowalutach oznacza „know your customer”, czyli „poznaj swojego klienta”: weryfikację tożsamości, którą giełda kryptowalut, broker lub portfel powierniczy musi przeprowadzić, zanim pozwoli handlować, wpłacać lub wypłacać środki. W praktyce przesyła się dokument tożsamości, wykonuje selfie na żywo i podaje adres, a coraz częściej także numer podatkowy, a platforma sprawdza użytkownika na listach sankcyjnych i listach osób zajmujących eksponowane stanowiska polityczne. Giełdy robią to, ponieważ wymagają tego przepisy o przeciwdziałaniu praniu pieniędzy, a nie z własnego wyboru.

To przystępne wyjaśnienie, czym jest KYC i jak działa: dlaczego platformy o nie proszą, czego wymagają, jak kontrole przebiegają za kulisami, co dzieje się później z Państwa danymi oraz gdzie w tym wszystkim mieszczą się DeFi, KYB i giełdy bez KYC. Osobom prowadzącym platformę i porównującym dostawców weryfikacji polecamy osobny przewodnik po najlepszych dostawcach oprogramowania KYC dla kryptowalut w 2026 roku.

Co oznacza KYC

KYC to widoczna dla klienta część szerszego obowiązku prawnego zwanego należytą starannością wobec klienta (CDD). Banki stosują go od dziesięcioleci. Regulowana firma musi ustalić, kim jest klient, zweryfikować jego tożsamość na podstawie wiarygodnych źródeł, zrozumieć cel relacji i monitorować ją w kolejnych okresach. W kryptowalutach „klientem” jest każdy, kto zakłada konto w scentralizowanej usłudze: na giełdzie, w aplikacji brokerskiej, w portfelu powierniczym, u wydawcy karty kryptowalutowej lub w bramce fiat (on-ramp).

Nowe unijne rozporządzenie w sprawie przeciwdziałania praniu pieniędzy, rozporządzenie (UE) 2024/1624, stosowane od 10 lipca 2027 roku, jasno określa minimum. W przypadku osoby fizycznej art. 22 wymaga co najmniej:

• wszystkich imion i nazwisk;
• miejsca i pełnej daty urodzenia;
• obywatelstw oraz, w stosownych przypadkach, krajowego numeru identyfikacyjnego;
• zwykłego miejsca zamieszkania oraz, jeśli jest dostępny, numeru identyfikacji podatkowej.

Firma musi też zweryfikować te informacje, zwykle na podstawie dokumentu tożsamości, i zrozumieć cel relacji. Właśnie dlatego giełdy pytają o zawód, przewidywane obroty i źródło środków.

Dlaczego giełdy kryptowalut wymagają KYC

Trzy warstwy przepisów sprawiają, że regulowane firmy kryptowalutowe nie mogą uniknąć KYC.

Standardy globalne. Grupa Specjalna ds. Przeciwdziałania Praniu Pieniędzy (FATF) wyznacza standardy AML, którymi kieruje się większość państw. W październiku 2018 roku zaktualizowała Rekomendację 15, aby objąć nią aktywa wirtualne, a w czerwcu 2019 roku wydała wytyczne, które objęły dostawców usług w zakresie aktywów wirtualnych (VASP) tą samą logiką należytej staranności wobec klienta co banki i rozszerzyły na nich Rekomendację 16, tzw. regułę podróży (Wikipedia, za FATF). Wdrażanie jest nierówne, ale postępuje: ukierunkowana aktualizacja FATF z 15 lipca 2026 roku wykazała, że 83% jurysdykcji, które odpowiedziały na to pytanie, ma obowiązujące przepisy wdrażające regułę podróży (podsumowanie Notabene, 17 lipca 2026).

Reguła podróży (Travel Rule). Gdy wysyłają Państwo kryptowaluty z jednej giełdy na drugą, platforma wysyłająca musi przekazać Państwa dane identyfikacyjne platformie odbierającej. W UE jest to rozporządzenie w sprawie przekazów pieniężnych, stosowane od 30 grudnia 2024 roku, które obejmuje transfery kryptoaktywów niezależnie od kwoty. Platforma może wysłać zweryfikowane dane tylko wtedy, gdy najpierw zweryfikowała użytkownika. Zobacz reguła podróży w kryptowalutach.

Licencje. W UE firmy kryptowalutowe potrzebują zezwolenia na podstawie MiCA, a autoryzowani dostawcy usług w zakresie kryptoaktywów są podmiotami zobowiązanymi w rozumieniu przepisów AML. Od zakończenia okresu przejściowego MiCA 1 lipca 2026 roku firma obsługująca klientów z UE potrzebuje takiego zezwolenia. Od 10 lipca 2027 roku AMLR wymaga od dostawców usług w zakresie kryptoaktywów stosowania pełnej należytej staranności nawet przy okazjonalnych transakcjach o wartości 1000 EUR lub wyższej (art. 19 ust. 3) i zakazuje anonimowych rachunków kryptowalutowych (art. 79). Stronę licencyjną wyjaśnia nasz przewodnik czym jest MiCA.

O co zostaną Państwo poproszeni

Wymagania różnią się w zależności od platformy i kraju, ale standardowa rejestracja osoby fizycznej w 2026 roku zwykle obejmuje:

• Dane osobowe: imię i nazwisko, datę urodzenia, obywatelstwo, adres zamieszkania.
• Dokument tożsamości: paszport, dowód osobisty lub w niektórych krajach prawo jazdy, sfotografowany z obu stron.
• Selfie lub krótkie nagranie wideo na żywo do biometrycznego porównania ze zdjęciem w dokumencie.
• Potwierdzenie adresu, na przykład aktualny rachunek za media lub wyciąg bankowy, na niektórych platformach lub na wyższych poziomach weryfikacji.
• Oświadczenie o rezydencji podatkowej i numer identyfikacji podatkowej (TIN). W UE to obecnie standard ze względu na dyrektywę o sprawozdawczości podatkowej DAC8, stosowaną od 1 stycznia 2026 roku. Zobacz DAC8: raportowanie kryptowalut.
• Pytania o cel rachunku, zawód, przewidywaną aktywność, a czasem o źródło środków lub źródło majątku.

Nasz praktyczny poradnik z wskazówkami dotyczącymi weryfikacji tożsamości na giełdach kryptowalut omawia typowe przyczyny nieudanej weryfikacji, takie jak odblaski na dokumencie, przycięte zdjęcie czy niezgodność nazwiska.

Jak kontrole przebiegają za kulisami

Większość giełd nie buduje weryfikacji samodzielnie. Korzysta z wyspecjalizowanego dostawcy weryfikacji tożsamości, takiego jak iDenfy, którego oprogramowanie w kilka minut przeprowadza serię kontroli. Szczegóły różnią się w zależności od dostawcy, ale kroki są zasadniczo takie same:

1. Weryfikacja dokumentu. Oprogramowanie odczytuje dokument, w tym strefę odczytu maszynowego i, jeśli jest, chip, oraz sprawdza zabezpieczenia, czcionki, wzory i spójność danych pod kątem śladów manipulacji lub fałszerstwa.
2. Wykrywanie żywotności (liveness). Sprawdza, czy selfie pochodzi od żywej osoby przed kamerą, a nie z wydrukowanego zdjęcia, odtworzenia z ekranu, maski czy deepfake'a wstrzykniętego do strumienia wideo.
3. Porównanie twarzy. Porównuje twarz na żywo ze zdjęciem w dokumencie i wylicza wskaźnik podobieństwa.
4. Screening. Imię, nazwisko i data urodzenia są sprawdzane na listach sankcyjnych, listach osób zajmujących eksponowane stanowiska polityczne (PEP) i w negatywnych informacjach medialnych. Zobacz screening list obserwacyjnych i PEP w kryptowalutach.
5. Ocena ryzyka i przegląd. Wyniki składają się na ocenę ryzyka. Jednoznacznie pozytywne przypadki są zatwierdzane automatycznie; graniczne lub wysokiego ryzyka trafiają do analityka ds. zgodności.

KYC nie kończy się po zatwierdzeniu. Zgodnie z AMLR od lipca 2027 roku informacje o klientach muszą być aktualizowane w odstępach zależnych od ryzyka, nie rzadziej niż co rok w przypadku klientów wyższego ryzyka i co pięć lat w przypadku pozostałych (art. 26). Giełdy monitorują też transakcje i sprawdzają portfele, z których Państwo wpłacają i na które wypłacają środki. Zgodnie z rozporządzeniem w sprawie przekazów pieniężnych przy transferze powyżej 1000 EUR na własny portfel samodzielnie hostowany lub z niego giełda powinna zweryfikować, że adres należy do Państwa lub jest przez Państwa kontrolowany, dlatego niektóre platformy proszą o podpisanie wiadomości lub wykonanie niewielkiego przelewu testowego.

Poziomy KYC i limity

Wiele platform dzieli weryfikację na poziomy. Prawo nakłada obowiązek weryfikacji klientów; sposób rozłożenia tego procesu na etapy to decyzja biznesowa platformy, dlatego nazwy poziomów i limity różnią się między giełdami. Typowa struktura wygląda tak:

• Podstawowy: e-mail, telefon i dane osobowe. Często wystarcza do przeglądania oferty lub, na niektórych platformach, do drobnych zakupów. W UE ta przestrzeń się kurczy: od 10 lipca 2027 roku AMLR wymaga od CASP identyfikacji i weryfikacji klienta nawet przy okazjonalnych transakcjach poniżej 1000 EUR (art. 19 ust. 3).
• Standardowy: dokument tożsamości, selfie i kontrola żywotności. Odblokowuje handel, wpłaty i wypłaty do limitów platformy.
• Rozszerzony: potwierdzenie adresu, dokumenty dotyczące źródła środków lub źródła majątku, czasem rozmowa wideo. Wymagany przy wyższych limitach, większych wypłatach, transakcjach OTC lub gdy system ryzyka platformy coś oznaczy.

Wzmocnioną należytą staranność mogą też uruchomić zdarzenia niezależne od Państwa wyboru: duża wpłata, transfer z portfela wysokiego ryzyka, trafienie na liście PEP lub zmiana aktywności. Jeśli platforma prosi później o dodatkowe dokumenty, zwykle właśnie z tego powodu.

Co dzieje się z Państwa danymi KYC

O tej części większość użytkowników nigdy nie myśli. Dokumenty i selfie są zwykle przetwarzane przez dostawcę weryfikacji i przechowywane przez giełdę, a przepisy AML wymagają, by giełda je zachowała. Zgodnie z AMLR, stosowanym od 10 lipca 2027 roku, dokumentację należytej staranności trzeba przechowywać przez pięć lat od zakończenia relacji biznesowej, a w określonych przypadkach organy nadzoru mogą wymagać przechowywania jej przez kolejne pięć lat (art. 77). Zamknięcie konta nie oznacza, że skan paszportu zostanie usunięty następnego dnia.

Takie przechowywanie rodzi ryzyko. Dane tożsamości wyciekały już z giełd i od ich dostawców, a gdy giełda kończy działalność, Państwa dane nie znikają razem z nią. Szczegółowo omawiamy to w tekstach co dzieje się z Państwa danymi KYC, co dzieje się z Państwa paszportem, gdy giełda kończy działalność oraz wyciek danych z Revolut a samodzielne przechowywanie. Na podstawie RODO mogą Państwo zapytać każdą platformę z UE, jakie dane o Państwu przechowuje i na jakiej podstawie prawnej; nie można jednak wymusić usunięcia dokumentacji, której przechowywania wymagają przepisy AML.

KYC w DeFi

Zdecentralizowane finanse działają inaczej. Korzystając z niepowierniczego protokołu, wchodzą Państwo w interakcję ze smart kontraktami z własnego portfela. Żadna firma nie przejmuje środków na przechowanie ani nie zakłada konta na Państwa nazwisko, więc zwykle nie ma etapu rejestracji, na którym odbywałoby się KYC. To różnica strukturalna, a nie luka: przepisy dotyczą pośredników świadczących usługi klientom.

Obraz nie jest czarno-biały. Niektóre front-endy sprawdzają podłączane portfele na listach sankcyjnych i blokują oznaczone adresy. Niektóre protokoły, zwłaszcza obsługujące tokenizowane papiery wartościowe lub aktywa ze świata rzeczywistego, korzystają z pul z ograniczonym dostępem, w których mogą uczestniczyć tylko zweryfikowane portfele. Jeśli usługę świadczy lub kontroluje możliwa do zidentyfikowania firma, organy nadzoru mogą traktować ją jako pośrednika. A gdy tylko przenoszą Państwo środki między DeFi a regulowaną giełdą, do tego transferu mają zastosowanie obowiązki giełdy w zakresie KYC i reguły podróży. Nasz tekst o KYC w DeFi omawia tę debatę szerzej.

JewelSwap to niepowiernicze oprogramowanie DeFi działające w MultiversX, Sui i Radix. Nie jest dostawcą usług w zakresie kryptoaktywów i nie podlega regulacji, nie przechowuje środków użytkowników, a jego rynki pieniężne są obecnie wstrzymane.

KYC a KYB

KYC weryfikuje osoby fizyczne. KYB, czyli „know your business” („poznaj swojego kontrahenta biznesowego”), weryfikuje firmy: spółkę zakładającą konto na giełdzie, animatora rynku, kontrahenta OTC lub partnera płatniczego. KYB sprawdza, czy firma istnieje i ma prawidłowy status w rejestrze, kto zasiada w zarządzie, a przede wszystkim kto jest jej beneficjentem rzeczywistym, czyli osobą fizyczną, która ją posiada lub kontroluje. Beneficjenci rzeczywiści przechodzą następnie własną weryfikację KYC.

KYB trwa dłużej i wymaga więcej dokumentów, ponieważ struktury korporacyjne mogą ukrywać własność za kolejnymi warstwami spółek holdingowych. Nasza lista kontrolna zgodności KYB wyjaśnia proces krok po kroku, a tekst KYB w kryptowalutach omawia narzędzia.

Giełdy bez KYC i ich ryzyka

Niektóre scentralizowane platformy reklamują handel bez weryfikacji tożsamości. Przed skorzystaniem z takiej platformy warto zrozumieć, co to naprawdę oznacza:

• Zwykle nie mają licencji w Państwa kraju. Scentralizowana giełda pomijająca KYC nie może mieć unijnego zezwolenia na podstawie MiCA, ponieważ autoryzowanych CASP obowiązują przepisy AML. ESMA prowadzi publiczną listę podmiotów wskazanych przez krajowe organy nadzoru jako świadczące usługi w zakresie kryptoaktywów bez zezwolenia; w wersji pobranej 5 października 2026 roku liczyła ona 173 wpisy (tymczasowy rejestr MiCA prowadzony przez ESMA, ostatnia aktualizacja 30 września 2026).
• „Bez KYC” często znaczy „KYC później”. Wiele takich platform zastrzega sobie prawo do żądania weryfikacji przy wypłacie lub gdy transakcja uruchomi regułę ryzyka. Środki mogą zostać zamrożone do czasu jej przeprowadzenia.
• Brak ochrony inwestora. Nielicencjonowany podmiot przechowujący nie podlega zasadom oddzielenia aktywów, wymogom kapitałowym ani zasadom postępowania, które nakłada MiCA, i nie ma organu nadzoru, do którego można złożyć skargę, jeśli upadnie lub zniknie. Zobacz dlaczego giełdy kryptowalut są zamykane.
• Większa styczność z nielegalnymi środkami. Platformy bez screeningu przyciągają przepływy, które regulowane giełdy odrzucają, więc wypłata z takiej platformy na regulowaną giełdę może skutkować dodatkowymi kontrolami lub zamrożeniem wpłaty.
• Obowiązki podatkowe się nie zmieniają. Zyski podlegają opodatkowaniu niezależnie od tego, czy platforma je raportuje.

Nic z powyższego nie jest rekomendacją za ani przeciw jakiejkolwiek platformie i nie należy próbować obchodzić wymogów weryfikacyjnych platformy. Jeśli chodzi o prywatność, legalnymi drogami są samodzielne przechowywanie własnych aktywów oraz staranny wybór regulowanych platform, którym udostępnia się dane. Pierwszą z nich omawia nasz przewodnik po samodzielnym przechowywaniu.

Najczęściej zadawane pytania

Co oznacza KYC w kryptowalutach?

KYC oznacza „know your customer”, czyli „poznaj swojego klienta”. To weryfikacja tożsamości, którą regulowana firma kryptowalutowa, na przykład giełda lub portfel powierniczy, musi przeprowadzić przed rozpoczęciem obsługi: zebranie danych osobowych, sprawdzenie dokumentu tożsamości i selfie na żywo oraz screening na listach sankcyjnych i listach PEP.

Dlaczego giełdy kryptowalut wymagają KYC?

Ponieważ wymagają tego przepisy o przeciwdziałaniu praniu pieniędzy. Standardy FATF obejmują dostawców usług w zakresie aktywów wirtualnych od 2018 i 2019 roku, unijne rozporządzenie w sprawie przekazów pieniężnych wymaga, by dane identyfikacyjne towarzyszyły transferom kryptoaktywów, a licencjonowane firmy kryptowalutowe w UE są podmiotami zobowiązanymi w rozumieniu przepisów AML.

Jakie dokumenty są potrzebne do KYC na giełdzie kryptowalut?

Zwykle paszport, dowód osobisty lub prawo jazdy oraz selfie na żywo. Niektóre platformy lub wyższe poziomy weryfikacji wymagają też potwierdzenia adresu i dokumentów dotyczących źródła środków, a platformy w UE pytają obecnie o rezydencję podatkową i numer identyfikacji podatkowej.

Jak długo giełdy przechowują dane KYC?

Zgodnie z unijnym rozporządzeniem w sprawie przeciwdziałania praniu pieniędzy, stosowanym od 10 lipca 2027 roku, dokumentację należytej staranności trzeba przechowywać przez pięć lat od zakończenia relacji biznesowej, a w określonych przypadkach organy nadzoru mogą wymagać przechowywania jej przez kolejne pięć lat.

Czy protokoły DeFi wymagają KYC?

Większość niepowierniczych protokołów DeFi nie wymaga, ponieważ nie ma pośrednika zakładającego dla Państwa konto. Niektóre front-endy sprawdzają portfele na listach sankcyjnych, niektóre pule mają ograniczony dostęp, a przeniesienie środków na regulowaną giełdę lub z niej uruchamia jej zasady KYC.

Jaka jest różnica między KYC a KYB?

KYC weryfikuje klientów indywidualnych. KYB weryfikuje firmy: czy spółka istnieje, kto nią kieruje i kto jest jej beneficjentem rzeczywistym. Beneficjenci rzeczywiści są następnie weryfikowani w ramach KYC.

Czytaj dalej

• Najlepsi dostawcy oprogramowania KYC dla kryptowalut w 2026 roku
• Co dzieje się z Państwa danymi KYC
• KYC w DeFi
• Czym jest MiCA?
• DAC8: raportowanie kryptowalut

Ten artykuł ma charakter edukacyjny i nie stanowi porady prawnej ani finansowej. Odwołania prawne dotyczą rozporządzenia (UE) 2024/1624 i rozporządzenia (UE) 2023/1113 w brzmieniu opublikowanym w Dzienniku Urzędowym, sprawdzonym 5 października 2026 roku. Liczby z rejestru pochodzą z tymczasowego rejestru MiCA prowadzonego przez ESMA, pobranego 5 października 2026 roku. Pozostałe źródła, w tym EUR-Lex i Notabene, są podlinkowane w tekście.