Art. 34. 1. Środki bezpieczeństwa finansowego obejmują:

1) identyfikację klienta oraz weryfikację jego tożsamości;

2) identyfikację beneficjenta rzeczywistego oraz podejmowanie uzasadnionych czynności w celu:

a) weryfikacji jego tożsamości,

b) ustalenia struktury własności i kontroli - w przypadku klienta będącego osobą prawną albo jednostką organizacyjną nieposiadającą osobowości prawnej;

3) ocenę stosunków gospodarczych i, stosownie do sytuacji, uzyskanie informacji na temat ich celu i zamierzonego charakteru;

4) bieżące monitorowanie stosunków gospodarczych klienta, w tym:

a) analizę transakcji przeprowadzanych w ramach stosunków gospodarczych w celu zapewnienia, że transakcje te są zgodne z wiedzą instytucji obowiązanej o kliencie, rodzaju i zakresie prowadzonej przez niego działalności oraz zgodne z ryzykiem prania pieniędzy oraz finansowania terroryzmu związanym z tym klientem,

b) badanie źródła pochodzenia wartości majątkowych będących w dyspozycji klienta - w przypadkach uzasadnionych okolicznościami,

c) zapewnienie, że posiadane dokumenty, dane lub informacje dotyczące stosunków gospodarczych są na bieżąco aktualizowane.

2. Instytucje obowiązane, stosując środki bezpieczeństwa finansowego, o których mowa w ust. 1 pkt 1 i 2, identyfikują osobę upoważnioną do działania w imieniu klienta oraz weryfikują jej tożsamość i umocowanie do działania w imieniu klienta.

3. Instytucje obowiązane dokumentują zastosowane środki bezpieczeństwa finansowego oraz wyniki bieżącej analizy przeprowadzanych transakcji. Na żądanie organów, o których mowa w art. 130, instytucje obowiązane wykazują, że przy uwzględnieniu poziomu rozpoznanego ryzyka prania pieniędzy oraz finansowania terroryzmu związanego z danymi stosunkami gospodarczymi lub transakcją okazjonalną zastosowały odpowiednie środki bezpieczeństwa finansowego.

4. Instytucje obowiązane na potrzeby stosowania środków bezpieczeństwa finansowego mogą przetwarzać informacje zawarte w dokumentach tożsamości klienta i osoby upoważnionej do działania w jego imieniu oraz sporządzać ich kopie.

5. Przed nawiązaniem stosunków gospodarczych lub przeprowadzeniem transakcji okazjonalnej instytucje obowiązane informują klienta o przetwarzaniu jego danych osobowych, w szczególności o obowiązkach instytucji obowiązanej wynikających z ustawy w zakresie przetwarzania tych danych.

6. Przetwarzanie informacji o beneficjentach rzeczywistych przez instytucje obowiązane odbywa się bez wiedzy osób, których informacje te dotyczą.

Art. 35. 1. Instytucje obowiązane stosują środki bezpieczeństwa finansowego w przypadku:

1) nawiązywania stosunków gospodarczych;

2) przeprowadzania transakcji okazjonalnej:

a) o równowartości 15.000 euro lub większej, bez względu na to, czy transakcja jest przeprowadzana jako pojedyncza operacja, czy kilka operacji, które wydają się ze sobą powiązane, lub

b) która stanowi transfer środków pieniężnych na kwotę przekraczającą równowartość 1.000 euro;

3) przeprowadzania gotówkowej transakcji okazjonalnej o równowartości 10.000 euro lub większej, bez względu na to, czy transakcja jest przeprowadzana jako pojedyncza operacja, czy kilka operacji, które wydają się ze sobą powiązane - w przypadku instytucji obowiązanych, o których mowa w art. 2 ust. 1 pkt 23;

4) obstawiania stawek oraz odbioru wygranych o równowartości 2.000 euro lub większej, bez względu na to, czy transakcja jest przeprowadzana jako pojedyncza operacja, czy kilka operacji, które wydają się ze sobą powiązane - w przypadku instytucji obowiązanych, o których mowa w art. 2 ust. 1 pkt 20;

5) podejrzenia prania pieniędzy lub finansowania terroryzmu;

6) wątpliwości co do prawdziwości lub kompletności dotychczas uzyskanych danych identyfikacyjnych klienta.

2. Instytucje obowiązane stosują środki bezpieczeństwa finansowego również w odniesieniu do klientów, z którymi utrzymują stosunki gospodarcze, z uwzględnieniem rozpoznanego ryzyka prania pieniędzy oraz finansowania terroryzmu, w szczególności gdy doszło do zmiany uprzednio ustalonego charakteru lub okoliczności stosunków gospodarczych.

Art. 36. 1. Identyfikacja klienta polega na ustaleniu w przypadku:

1) osoby fizycznej:

a) imienia i nazwiska,

b) obywatelstwa,

c) numeru Powszechnego Elektronicznego Systemu Ewidencji Ludności (PESEL) lub daty urodzenia - w przypadku gdy nie nadano numeru PESEL, oraz państwa urodzenia,

d) serii i numeru dokumentu stwierdzającego tożsamość osoby,

e) adresu zamieszkania - w przypadku posiadania tej informacji przez instytucję obowiązaną,

f) nazwy (firmy), numeru identyfikacji podatkowej (NIP) oraz adresu głównego miejsca wykonywania działalności gospodarczej - w przypadku osoby fizycznej prowadzącej działalność gospodarczą;

2) osoby prawnej lub jednostki organizacyjnej nieposiadającej osobowości prawnej:

a) nazwy (firmy),

b) formy organizacyjnej,

c) adresu siedziby lub adresu prowadzenia działalności,

d) NIP, a w przypadku braku takiego numeru - państwa rejestracji, rejestru handlowego oraz numeru i daty rejestracji,

e) danych identyfikacyjnych, o których mowa w pkt 1 lit. a i c, osoby reprezentującej tę osobę prawną lub jednostkę organizacyjną nieposiadającą osobowości prawnej.

2. Identyfikacja beneficjenta rzeczywistego obejmuje ustalenie danych, o których mowa w ust. 1 pkt 1 lit. a i b, w przypadku posiadania informacji przez instytucję obowiązaną - również danych, o których mowa w ust. 1 pkt 1 lit. c-e.

3. Identyfikacja osoby upoważnionej do działania w imieniu klienta obejmuje ustalenie danych, o których mowa w ust. 1 pkt 1 lit. a-d.

Art. 37. Weryfikacja tożsamości klienta, osoby upoważnionej do działania w jego imieniu oraz beneficjenta rzeczywistego polega na potwierdzeniu ustalonych danych identyfikacyjnych na podstawie dokumentu stwierdzającego tożsamość osoby fizycznej, dokumentu zawierającego aktualne dane z wyciągu z właściwego rejestru lub innych dokumentów, danych lub informacji pochodzących z wiarygodnego i niezależnego źródła.

Art. 38. 1. Instytucje obowiązane przy uwzględnieniu rozpoznanego ryzyka prania pieniędzy oraz finansowania terroryzmu mogą odstąpić od stosowania środków bezpieczeństwa finansowego, o których mowa w art. 34 ust. 1 pkt 1-3, w odniesieniu do pieniądza elektronicznego w rozumieniu ustawy z dnia 19 sierpnia 2011 r. o usługach płatniczych, pod warunkiem że spełnione są następujące warunki ograniczające ryzyko prania pieniędzy oraz finansowania terroryzmu:

1) instrument płatniczy nie może być zasilony lub instrument ten ma maksymalny miesięczny limit transakcji płatniczych w wysokości równowartości 50 euro, która to kwota może być wykorzystana wyłącznie na terytorium Rzeczypospolitej Polskiej;

2) maksymalna kwota przechowywana elektronicznie nie przekracza równowartości 50 euro;

3) instrument płatniczy może być wykorzystywany wyłącznie do zakupu towarów lub usług;

4) instrument płatniczy nie może być zasilony pieniądzem elektronicznym wydanym bez zastosowania środków bezpieczeństwa finansowego;

5) wydawca pieniądza elektronicznego prowadzi bieżącą analizę przeprowadzanych transakcji lub monitoruje stosunki gospodarcze w sposób umożliwiający identyfikację transakcji nietypowych lub transakcji, których okoliczności wskazują, że mogą mieć one związek z praniem pieniędzy lub finansowaniem terroryzmu.

2. Przepisu ust. 1 nie stosuje się w przypadku wykupu pieniądza elektronicznego lub podjęcia w gotówce wartości pieniądza elektronicznego, gdy kwota podlegająca wykupowi przekracza równowartość 50 euro.

Art. 39. 1. Weryfikacja tożsamości klienta i beneficjenta rzeczywistego następuje przed nawiązaniem stosunków gospodarczych lub przeprowadzeniem transakcji okazjonalnej.

2. Weryfikacja tożsamości klienta i beneficjenta rzeczywistego może być zakończona podczas nawiązywania stosunków gospodarczych, jeżeli jest to konieczne dla zapewnienia ciągłości prowadzenia działalności gospodarczej i gdy występuje niskie ryzyko prania pieniędzy oraz finansowania terroryzmu. W takich przypadkach weryfikacja jest dokonywana w możliwie krótkim terminie od momentu rozpoczęcia nawiązywania stosunków gospodarczych.

3. Instytucje obowiązane, o których mowa w art. 2 ust. 1 pkt 1-5, 7-11, 24 i 25, mogą zawrzeć umowę o prowadzenie rachunku bankowego, rachunku papierów wartościowych lub rachunku zbiorczego pod warunkiem, że środki bezpieczeństwa finansowego, o których mowa w art. 34 ust. 1 pkt 1 i 2, zostaną zastosowane przed przeprowadzeniem transakcji z wykorzystaniem tych rachunków.

4. W przypadku trustów, w których beneficjenci są określani na podstawie szczególnych cech, instytucje obowiązane uzyskują informacje dotyczące rodzaju tych beneficjentów, pozwalające im na identyfikację beneficjenta w momencie dokonywania wypłaty wartości majątkowych lub wykonywania przez beneficjenta przysługujących mu praw.

Art. 42. 1. Instytucje obowiązane mogą stosować uproszczone środki bezpieczeństwa finansowego w przypadkach, w których ocena ryzyka, o której mowa w art. 33 ust. 2, potwierdziła niższe ryzyko prania pieniędzy oraz finansowania terroryzmu.

2. O niższym ryzyku prania pieniędzy oraz finansowania terroryzmu może świadczyć w szczególności:

1) to, że klient jest:

a) jednostką sektora finansów publicznych, o której mowa w art. 9 ustawy z dnia 27 sierpnia 2009 r. o finansach publicznych (Dz. U. z 2017 r. poz. 2077 oraz z 2018 r. poz. 62),

b) przedsiębiorstwem państwowym albo spółką z większościowym udziałem Skarbu Państwa, jednostek samorządu terytorialnego lub ich związków,

c) spółką, której papiery wartościowe są dopuszczone do obrotu na rynku regulowanym podlegającym wymogom ujawniania informacji o jej beneficjencie rzeczywistym wynikającym z przepisów prawa Unii Europejskiej lub odpowiadającym im przepisom prawa państwa trzeciego, albo spółką z większościowym udziałem takiej spółki,

d) rezydentem państwa członkowskiego Unii Europejskiej, państwa członkowskiego Europejskiego Porozumienia o Wolnym Handlu (EFTA) - strony umowy o Europejskim Obszarze Gospodarczym,

e) rezydentem państwa trzeciego określanego przez wiarygodne źródła jako państwo o niskim poziomie korupcji lub innej działalności przestępczej,

f) rezydentem państwa trzeciego, w którym według danych pochodzących z wiarygodnych źródeł obowiązują przepisy dotyczące przeciwdziałania praniu pieniędzy oraz finansowaniu terroryzmu odpowiadające wymogom wynikającym z przepisów Unii Europejskiej z zakresu przeciwdziałania praniu pieniędzy oraz finansowaniu terroryzmu;

2) zawarcie umowy ubezpieczenia, gdy składka roczna nie przekracza równowartości 1.500 euro lub składka jednorazowa nie przekracza 3.500 euro; w przypadku grupowych umów ubezpieczenia wskazana wartość składek liczona jest w odniesieniu do każdego ubezpieczonego;

3) przystąpienie i uczestnictwo w pracowniczym programie emerytalnym, zawarcie umowy i gromadzenie oszczędności na indywidualnym koncie emerytalnym lub indywidualnym koncie zabezpieczenia emerytalnego;

4) oferowanie produktów lub usług w celu zapewnienia odpowiednio zdefiniowanego i ograniczonego dostępu do systemu finansowego klientom mającym ograniczony dostęp do produktów lub usług oferowanych w ramach tego systemu;

5) oferowanie produktów lub usług powiązanych z klientem, w przypadku których ryzyko prania pieniędzy oraz finansowania terroryzmu jest ograniczane za pomocą innych czynników, w tym jednostek uczestnictwa funduszy inwestycyjnych otwartych lub specjalistycznych funduszy inwestycyjnych otwartych lub określonych rodzajów pieniądza elektronicznego;

6) powiązanie stosunków gospodarczych lub transakcji okazjonalnej z:

a) państwem członkowskim Unii Europejskiej, państwem członkowskim Europejskiego Porozumienia o Wolnym Handlu (EFTA) - stroną umowy o Europejskim Obszarze Gospodarczym,

b) państwem trzecim określanym przez wiarygodne źródła jako państwo o niskim poziomie korupcji lub innej działalności przestępczej,

c) państwem trzecim, w którym według danych pochodzących z wiarygodnych źródeł obowiązują przepisy dotyczące przeciwdziałania praniu pieniędzy oraz finansowaniu terroryzmu odpowiadające wymogom wynikającym z przepisów Unii Europejskiej z zakresu przeciwdziałania praniu pieniędzy oraz finansowaniu terroryzmu.

3. Uproszczonych środków bezpieczeństwa finansowego nie stosuje się w przypadkach, o których mowa w art. 35 ust. 1 pkt 5 i 6.

Art. 43. 1. Instytucje obowiązane stosują wzmożone środki bezpieczeństwa finansowego w przypadkach wyższego ryzyka prania pieniędzy lub finansowania terroryzmu, a także w przypadkach, o których mowa w art. 44-46.

2. O wyższym ryzyku prania pieniędzy oraz finansowania terroryzmu może świadczyć w szczególności:

1) nawiązywanie stosunków gospodarczych w nietypowych okolicznościach;

2) to, że klient jest:

a) osobą prawną lub jednostką organizacyjną nieposiadającą osobowości prawnej, których działalność służy do przechowywania aktywów osobistych,

b) spółką, w której wydano akcje na okaziciela, której papiery wartościowe nie są dopuszczone do obrotu zorganizowanego, lub spółką, w której prawa z akcji lub udziałów są wykonywane przez podmioty inne niż akcjonariusze lub udziałowcy;

3) przedmiot prowadzonej przez klienta działalności gospodarczej obejmujący przeprowadzanie znacznej liczby lub opiewających na wysokie kwoty transakcji gotówkowych;

4) nietypowa lub nadmiernie złożona struktura własnościowa klienta, biorąc pod uwagę rodzaj i zakres prowadzonej przez niego działalności gospodarczej;

5) korzystanie przez klienta z usług lub produktów oferowanych w ramach bankowości prywatnej;

6) korzystanie przez klienta z usług lub produktów sprzyjających anonimowości lub utrudniających jego identyfikację, w tym z usługi polegającej na tworzeniu dodatkowych numerów rachunków oznaczanych zgodnie z przepisami wydanymi na podstawie art. 68 pkt 3 i 4 ustawy z dnia 29 sierpnia 1997 r. - Prawo bankowe oraz art. 4a ust. 5 ustawy z dnia 19 sierpnia 2011 r. o usługach płatniczych, powiązanych z posiadanym rachunkiem, w celu ich udostępniania innym podmiotom do identyfikacji płatności lub zleceniodawców tych płatności;

7) nawiązywanie albo utrzymywanie stosunków gospodarczych lub przeprowadzanie transakcji okazjonalnej bez fizycznej obecności klienta - w przypadku gdy związane z tym wyższe ryzyko prania pieniędzy lub finansowania terroryzmu nie zostało ograniczone w inny sposób, w tym przez użycie notyfikowanego środka identyfikacji elektronicznej adekwatnie do średniego poziomu bezpieczeństwa, o którym mowa w rozporządzeniu Parlamentu Europejskiego i Rady (UE) nr 910/2014 z dnia 23 lipca 2014 r. w sprawie identyfikacji elektronicznej i usług zaufania w odniesieniu do transakcji elektronicznych na rynku wewnętrznym oraz uchylającym dyrektywę 1999/93/WE (Dz. Urz. UE L 257 z 28.08.2014, str. 73), lub wymóg stosowania kwalifikowanego podpisu elektronicznego lub podpisu potwierdzonego profilem zaufanym ePUAP;

8) zlecanie przez nieznane lub niepowiązane z klientem podmioty trzecie transakcji, których beneficjentem jest klient;

9) objęcie stosunkami gospodarczymi lub transakcjami nowych produktów lub usług albo oferowanie produktów lub usług przy wykorzystaniu nowych kanałów dystrybucji;

10) powiązanie stosunków gospodarczych lub transakcji okazjonalnej z:

a) państwem trzecim wysokiego ryzyka,

b) państwem określanym przez wiarygodne źródła jako państwo o wysokim poziomie korupcji lub innego rodzaju działalności przestępczej, państwo finansujące lub wspierające popełnianie czynów o charakterze terrorystycznym, lub z którym łączona jest działalność organizacji o charakterze terrorystycznym,

c) państwem, w stosunku do którego Organizacja Narodów Zjednoczonych lub Unia Europejska podjęły decyzję o nałożeniu sankcji lub szczególnych środków ograniczających.

3. Instytucje obowiązane prowadzą bieżącą analizę przeprowadzanych transakcji.

4. W przypadku ujawnienia transakcji nietypowych, nienaturalnie złożonych oraz opiewających na wysokie kwoty, które wydają się nie mieć uzasadnienia prawnego lub gospodarczego, instytucje obowiązane:

1) podejmują działania w celu wyjaśnienia okoliczności, w jakich przeprowadzono te transakcje;

2) intensyfikują stosowanie środka bezpieczeństwa finansowego, o którym mowa w art. 34 ust. 1 pkt 4, w odniesieniu do stosunków gospodarczych, w ramach których te transakcje zostały przeprowadzone.

Art. 44. 1. Instytucje obowiązane stosują wzmożone środki bezpieczeństwa finansowego wobec klientów pochodzących z państwa trzeciego wysokiego ryzyka lub mających w nim siedzibę.

2. Obowiązek stosowania wzmożonych środków bezpieczeństwa finansowego wyłącznie ze względu na siedzibę w państwie trzecim wysokiego ryzyka nie dotyczy:

1) oddziałów instytucji obowiązanych,

2) jednostek zależnych z większościowym udziałem instytucji obowiązanych,

3) oddziałów i jednostek zależnych z większościowym udziałem podmiotów mających siedzibę na terytorium państwa członkowskiego Unii Europejskiej podlegających obowiązkom wynikającym z przepisów o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu, wydanych na podstawie dyrektywy 2015/849

- stosujących procedury z zakresu przeciwdziałania praniu pieniędzy oraz finansowaniu terroryzmu obowiązujące w grupie, w skład której wchodzą.

3. W przypadku, o którym mowa w ust. 2, zakres stosowanych środków bezpieczeństwa finansowego jest określany z uwzględnieniem oceny ryzyka, o której mowa w art. 33 ust. 2.

Art. 44a

Art. 44b

Art. 44c

Art. 44d

Art. 44e

Art. 45. 1. W przypadku transgranicznych relacji korespondenckich z instytucją-respondentem z państwa trzeciego instytucje obowiązane, o których mowa w art. 2 ust. 1 pkt 1-5, 7-11, 24 i 25, będące instytucją-korespondentem, stosują środki bezpieczeństwa finansowego oraz podejmują następujące działania:

1) pozyskują informacje o instytucji-respondencie w celu zrozumienia charakteru działalności prowadzonej przez tę instytucję;

2) ustalają na podstawie powszechnie dostępnych informacji wiarygodność instytucji-respondenta oraz jakość sprawowanego nad nią nadzoru;

3) oceniają procedury w zakresie przeciwdziałania praniu pieniędzy oraz finansowaniu terroryzmu stosowane przez instytucję-respondenta;

4) uzyskują przed nawiązaniem relacji korespondenckiej akceptację kadry kierowniczej wyższego szczebla;

5) określają oraz dokumentują zakres odpowiedzialności instytucji obowiązanej oraz instytucji-respondenta za wykonanie obowiązków związanych z przeciwdziałaniem praniu pieniędzy oraz finansowaniu terroryzmu;

6) w odniesieniu do rachunków upewniają się, że instytucja-respondent zastosowała wobec klientów mających bezpośredni dostęp do tych rachunków prowadzonych w instytucji obowiązanej środki bezpieczeństwa finansowego, w tym środki bezpieczeństwa finansowego, o których mowa w art. 34 ust. 1 pkt 1, oraz zapewniają, iż instytucja-respondent udostępnia na ich żądanie informacje dotyczące zastosowanych środków bezpieczeństwa finansowego.

2. Instytucje obowiązane, o których mowa w art. 2 ust. 1 pkt 1-5, 7-11, 24 i 25, nie nawiązują lub nie utrzymują relacji korespondenckich z:

1) instytucją kredytową, finansową oraz podmiotem prowadzącym równoważną działalność, niebędącymi częścią grupy, które nie posiadają siedziby na terytorium państwa, według prawa którego zostały utworzone, oraz nie są faktycznie zarządzane i kierowane według prawa tego państwa (bank fikcyjny);

2) instytucjami kredytowymi i finansowymi, o których wiadomo, że zawierają umowy o prowadzenie rachunków z bankiem fikcyjnym.

Art. 46a

Art. 46b

Art. 46c

Art. 47. 1. Instytucje obowiązane mogą korzystać z usług podmiotu trzeciego przy stosowaniu środków bezpieczeństwa finansowego, o których mowa w art. 34 ust. 1 pkt 1-3, pod warunkiem niezwłocznego przekazywania przez ten podmiot, na żądanie instytucji obowiązanej, niezbędnych informacji oraz dokumentów dotyczących zastosowanych środków bezpieczeństwa finansowego, w tym kopii dokumentów uzyskanych podczas stosowania środków bezpieczeństwa finansowego polegających na identyfikacji klienta i beneficjenta rzeczywistego oraz weryfikacji ich tożsamości.

2. Korzystanie z usług podmiotu trzeciego nie zwalnia instytucji obowiązanej z odpowiedzialności za zastosowanie środków bezpieczeństwa finansowego.

3. Podmiotem trzecim, o którym mowa w ust. 1, może być:

1) instytucja obowiązana;

2) podmiot z siedzibą w innym państwie lub organizacja członkowska lub federacja zrzeszająca taki podmiot, który na podstawie właściwych przepisów tego państwa z zakresu przeciwdziałania praniu pieniędzy i finansowaniu terroryzmu jest obowiązany do stosowania środków bezpieczeństwa finansowego i przechowywania dokumentów i informacji oraz podlega nadzorowi właściwych organów tego państwa w sposób odpowiadający wymogom wynikającym z przepisów Unii Europejskiej z zakresu przeciwdziałania praniu pieniędzy i finansowaniu terroryzmu.

4. Instytucje obowiązane nie korzystają z usług, o których mowa w ust. 1, jeżeli podmiot trzeci ma siedzibę w państwie trzecim wysokiego ryzyka. Zakaz ten nie dotyczy przypadków korzystania z usług:

1) oddziałów instytucji obowiązanych lub jednostek zależnych z większościowym udziałem instytucji obowiązanych,

2) oddziałów lub jednostek zależnych z większościowym udziałem podmiotów mających siedzibę na terytorium państwa członkowskiego Unii Europejskiej oraz podlegających obowiązkom wynikającym z przepisów o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu, wydanych na podstawie dyrektywy 2015/849

- jeżeli stosują procedury grupowe, o których mowa w art. 51 ust. 1.

5. Instytucja obowiązana wchodząca w skład grupy, która stosuje środki bezpieczeństwa finansowego, zasady przechowywania dokumentów i informacji i która wdrożyła wewnętrzną procedurę na poziomie grupy oraz podlega nadzorowi właściwych organów państwa członkowskiego lub państwa trzeciego na zasadach i w sposób odpowiadający wymogom wynikającym z przepisów Unii Europejskiej z zakresu przeciwdziałania praniu pieniędzy i finansowaniu terroryzmu, może uznać, że obowiązek stosowania środków bezpieczeństwa finansowego, o których mowa w art. 34 ust. 1 pkt 1-3, został wykonany, jeżeli środki bezpieczeństwa finansowego zostały zastosowane przez podmiot wchodzący w skład tej samej grupy. Przepis ust. 1 w zakresie przekazywania informacji i dokumentów oraz przepis ust. 2 w zakresie zasad odpowiedzialności za zastosowanie środków bezpieczeństwa finansowego stosuje się.

Art. 49. 1. Instytucje obowiązane przechowują przez okres 5 lat, licząc od pierwszego dnia roku następującego po roku, w którym zakończono stosunki gospodarcze z klientem lub w którym przeprowadzono transakcje okazjonalne:

1) kopie dokumentów i informacje uzyskane w wyniku stosowania środków bezpieczeństwa finansowego;

2) dowody potwierdzające przeprowadzone transakcje i ewidencje transakcji, obejmujące oryginalne dokumenty lub kopie dokumentów konieczne do identyfikacji transakcji.

2. Instytucje obowiązane przechowują wyniki analiz, o których mowa w art. 34 ust. 3, przez okres 5 lat, licząc od pierwszego dnia roku następującego po roku ich przeprowadzenia.

3. Przed upływem okresu, o którym mowa w ust. 1 i 2, Generalny Inspektor może zażądać przechowywania dokumentacji, o której mowa w ust. 1 i 2, przez kolejny okres nie dłuższy niż 5 lat, licząc od dnia, w którym upływa okres, o którym mowa w ust. 1 i 2, jeżeli jest to konieczne w celu przeciwdziałania praniu pieniędzy lub finansowaniu terroryzmu.

4. Przepisu ust. 3 nie stosuje się do instytucji obowiązanych, o których mowa w art. 2 ust. 1 pkt 13-18 i 21-23.

5. W przypadku likwidacji, połączenia, podziału lub przekształcenia instytucji obowiązanej do przechowywania dokumentacji stosuje się przepisy art. 76 ust. 1 ustawy z dnia 29 września 1994 r. o rachunkowości.

Art. 50. 1. Instytucje obowiązane wprowadzają wewnętrzną procedurę w zakresie przeciwdziałania praniu pieniędzy oraz finansowaniu terroryzmu, zwaną dalej "wewnętrzną procedurą instytucji obowiązanej".

2. Wewnętrzna procedura instytucji obowiązanej określa, z uwzględnieniem charakteru, rodzaju i rozmiaru prowadzonej działalności, zasady postępowania stosowane w instytucji obowiązanej i obejmuje w szczególności określenie:

1) czynności lub działań podejmowanych w celu ograniczenia ryzyka prania pieniędzy oraz finansowania terroryzmu i właściwego zarządzania zidentyfikowanym ryzykiem prania pieniędzy lub finansowania terroryzmu;

2) zasad rozpoznawania i oceny ryzyka prania pieniędzy oraz finansowania terroryzmu związanego z danymi stosunkami gospodarczymi lub transakcją okazjonalną, w tym zasad weryfikacji i aktualizacji uprzednio dokonanej oceny ryzyka prania pieniędzy oraz finansowania terroryzmu;

3) środków stosowanych w celu właściwego zarządzania rozpoznanym ryzykiem prania pieniędzy lub finansowania terroryzmu związanym z danymi stosunkami gospodarczymi lub transakcją okazjonalną;

4) zasad stosowania środków bezpieczeństwa finansowego;

5) zasad przechowywania dokumentów oraz informacji;

6) zasad wykonywania obowiązków obejmujących przekazywanie Generalnemu Inspektorowi informacji o transakcjach oraz zawiadomieniach;

7) zasad upowszechniania wśród pracowników instytucji obowiązanej wiedzy z zakresu przepisów o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu;

8) zasad zgłaszania przez pracowników rzeczywistych lub potencjalnych naruszeń przepisów z zakresu przeciwdziałania praniu pieniędzy oraz finansowaniu terroryzmu;

9) zasad kontroli wewnętrznej lub nadzoru zgodności działalności instytucji obowiązanej z przepisami o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu oraz zasadami postępowania określonymi w wewnętrznej procedurze.

3. Wewnętrzna procedura instytucji obowiązanej, przed jej wprowadzeniem do stosowania, podlega akceptacji przez kadrę kierowniczą wyższego szczebla.

Art. 51. 1. Instytucje obowiązane wchodzące w skład grupy oraz ich oddziały i jednostki zależne z większościowym udziałem tych instytucji mające siedzibę w państwie trzecim wprowadzają grupową procedurę w zakresie przeciwdziałania praniu pieniędzy oraz finansowaniu terroryzmu, zwaną dalej "procedurą grupową", w celu wykonania ciążących na grupie oraz wchodzących w jej skład podmiotach obowiązków określonych w przepisach o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu.

2. Procedura grupowa określa zasady wymiany i ochrony informacji przekazywanych na potrzeby wykonywania obowiązków z zakresu przeciwdziałania praniu pieniędzy oraz finansowaniu terroryzmu pomiędzy poszczególnymi podmiotami wchodzącymi w skład grupy.

3. W przypadku gdy wymogi obowiązujące w państwie trzecim w zakresie przeciwdziałania praniu pieniędzy lub finansowaniu terroryzmu są mniej rygorystyczne niż wynikające z ustawy, instytucje obowiązane wymagają stosowania przepisów ustawy, również dotyczących ochrony danych osobowych, przez ich oddziały i jednostki zależne z większościowym udziałem tych instytucji mające siedzibę w państwie trzecim w zakresie, w jakim pozwalają na to przepisy tego państwa.

4. W przypadku gdy przepisy państwa trzeciego nie pozwalają na wdrożenie procedury grupowej w oddziałach instytucji obowiązanych i jednostkach zależnych z większościowym udziałem tych instytucji mających siedzibę w tym państwie, instytucje obowiązane zapewniają stosowanie przez te oddziały i jednostki zależne dodatkowych środków w celu skutecznego przeciwdziałania praniu pieniędzy oraz finansowaniu terroryzmu i informują o tym Generalnego Inspektora oraz organy, o których mowa w art. 130 ust. 2, właściwe dla instytucji obowiązanej w zakresie kontroli lub nadzoru. Jeżeli organy, o których mowa w art. 130, stwierdzą, w tym w wyniku kontroli, że zastosowane dodatkowe środki są niewystarczające do skutecznego przeciwdziałania praniu pieniędzy lub finansowaniu terroryzmu, podejmują odpowiednie działania, w tym zakazują nawiązywania stosunków gospodarczych lub nakazują ich zakończenie, zakazują przeprowadzania transakcji, a w razie potrzeby nakazują zakończenie działalności w państwie trzecim.

5. Generalny Inspektor informuje europejskie organy nadzoru o przypadkach, gdy przepisy państwa trzeciego nie pozwalają na wdrożenie procedury grupowej.

Art. 52. 1. Instytucje obowiązane zapewniają udział osób wykonujących obowiązki związane z przeciwdziałaniem praniu pieniędzy oraz finansowaniu terroryzmu w programach szkoleniowych dotyczących realizacji tych obowiązków.

2. Programy szkoleniowe, o których mowa w ust. 1, powinny uwzględniać charakter, rodzaj i rozmiar działalności prowadzonej przez instytucję obowiązaną oraz zapewniać aktualną wiedzę w zakresie realizacji obowiązków instytucji obowiązanej, w szczególności obowiązków, o których mowa w art. 74 ust. 1, art. 86 ust. 1 i art. 89 ust. 1.

3. Do instytucji obowiązanych będących osobami fizycznymi prowadzącymi działalność gospodarczą przepis ust. 1 stosuje się odpowiednio.

Art. 53. 1. Instytucje obowiązane opracowują i wdrażają wewnętrzną procedurę anonimowego zgłaszania przez pracowników lub inne osoby wykonujące czynności na rzecz instytucji obowiązanej rzeczywistych lub potencjalnych naruszeń przepisów z zakresu przeciwdziałania praniu pieniędzy oraz finansowaniu terroryzmu.

2. Procedura anonimowego zgłaszania naruszeń, o której mowa w ust. 1, określa w szczególności:

1) osobę odpowiedzialną za odbieranie zgłoszeń;

2) sposób odbierania zgłoszeń;

3) sposób ochrony pracownika dokonującego zgłoszenia, zapewniający co najmniej ochronę przed działaniami o charakterze represyjnym, dyskryminacją lub innymi rodzajami niesprawiedliwego traktowania;

4) sposób ochrony danych osobowych pracownika dokonującego zgłoszenia oraz osoby, której zarzuca się dokonanie naruszenia, zgodnie z przepisami o ochronie danych osobowych;

5) zasady zachowania poufności w przypadku ujawnienia tożsamości osób, o których mowa w pkt 4, lub gdy ich tożsamość jest możliwa do ustalenia;

6) rodzaj i charakter działań następczych podejmowanych po odebraniu zgłoszenia;

7) termin usunięcia przez instytucje obowiązane danych osobowych zawartych w zgłoszeniach.

Art. 53a

Art. 54. 1. Instytucje obowiązane, ich pracownicy oraz inne osoby działające w imieniu i na rzecz instytucji obowiązanych zachowują w tajemnicy fakt przekazania Generalnemu Inspektorowi lub innym właściwym organom informacji określonych w rozdziałach 7 i 8 oraz informacji o prowadzonych analizach dotyczących prania pieniędzy lub finansowania terroryzmu.

2. Obowiązek zachowania w tajemnicy informacji, o których mowa w ust. 1, nie dotyczy przekazywania informacji pomiędzy:

1) instytucjami obowiązanymi, o których mowa w art. 2 ust. 1 pkt 1-5, 7-11, 24 i 25, oraz ich oddziałami i jednostkami zależnymi wchodzącymi w skład grupy i stosującymi zasady postępowania określone w procedurze grupowej, w tym oddziałami i jednostkami zależnymi mającymi siedzibę w państwie trzecim;

2) instytucjami obowiązanymi, o których mowa w art. 2 ust. 1 pkt 13-15, oraz osobami z państw trzecich, które podlegają wymogom określonym w dyrektywie 2015/849 lub równoważnym i wykonują swoje czynności zawodowe w ramach tej samej osoby prawnej lub w ramach struktury mającej wspólnego właściciela, wspólny zarząd lub wspólną kontrolę zgodności z przepisami z zakresu przeciwdziałania praniu pieniędzy oraz finansowaniu terroryzmu, w skład której wchodzi osoba prawna, w ramach której ta instytucja obowiązana wykonuje swoje czynności zawodowe;

3) instytucjami obowiązanymi, o których mowa w art. 2 ust. 1 pkt 13-15, a ich klientami w zakresie informacji przekazywanych w celu zaprzestania przez klienta prowadzenia działalności sprzecznej z prawem lub powstrzymania klienta od podjęcia takiej działalności;

4) instytucjami obowiązanymi, o których mowa w art. 2 ust. 1 pkt 1-5, 7-11, 13-15, 24 i 25, oraz pomiędzy tymi instytucjami obowiązanymi i ich odpowiednikami mającymi siedzibę w państwie członkowskim lub w państwie trzecim, które podlegają wymogom określonym w dyrektywie 2015/849 lub równoważnym oraz stosują właściwe przepisy dotyczące tajemnicy zawodowej i ochrony danych osobowych, w przypadkach dotyczących tego samego klienta i tej samej transakcji.

3. Generalny Inspektor w uzasadnionych przypadkach może zażądać od instytucji obowiązanych, o których mowa w ust. 2 pkt 1, zachowania w tajemnicy faktu przekazania Generalnemu Inspektorowi lub innym właściwym organom informacji, na zasadach określonych w rozdziale 9.