Raportowanie transakcji krypto od 2026 r. – co powinien wiedzieć dostawca usług związanych z kryptoaktywami o DAC8?

Z początkiem 2026 roku w Unii Europejskiej zaczną obowiązywać nowe regulacje dotyczące automatycznej wymiany informacji o transakcjach z udziałem kryptoaktywów.

Regulacje te narzucą obowiązki raportowe na szerokie grono podmiotów działających w branży krypto, m.in. operatorów platform, emitentów tokenów, dostawców portfeli, kantorów, a także inne firmy, które umożliwiają klientom nabywanie, zbywanie lub transfery kryptoaktywów.

Co to jest DAC8?

DAC8 to potoczna nazwa ósmej odsłony zmian do unijnej dyrektywy 2011/16/UE
w sprawie współpracy administracyjnej w dziedzinie opodatkowania (ang. Directive on Administrative Cooperation)[1]. Zmieniana dyrektywa, obowiązująca od 2011 roku, określa zasady wymiany informacji między administracjami podatkowymi państw członkowskich. W jej ramach wprowadzano wcześniej m.in.

1. automatyczne przekazywanie informacji o rachunkach finansowych (DAC2),
2. raportowanie schematów podatkowych (DAC6) oraz

• obowiązki sprawozdawcze dla platform cyfrowych (DAC7).

Celem tych regulacji jest ograniczenie zjawisk takich jak unikanie opodatkowania czy ukrywanie dochodów poza jurysdykcją podatkową rezydencji. Tym samym wskazane regulacje stanowią wyraz dążenia do ułatwienia administracjom dostępu do informacji, które są niezbędne do prawidłowego ustalenia zobowiązań podatkowych bez konieczności opierania się wyłącznie na danych deklarowanych przez podatników.

I tak DAC8 ma rozszerzyć dotychczasowy system zbierania informacji o podmioty działające na rynku kryptoaktywów.

Kogo obejmą nowe obowiązki?

Regulacje DAC7 obejmą firmy i osoby, które świadczą usługi związane z kryptoaktywami czyli takie, które umożliwiają klientom kupno, sprzedaż, wymianę, transfer lub przechowywanie kryptoaktywów. Obowiązki sprawozdawcze nie będą więc ograniczone wyłącznie do największych giełd krypto, a dotkną też kantory, operatorów portfeli, platformy do wymiany tokenów, emitentów i inne podmioty, które pośredniczą w obrocie krypto w jakiejkolwiek formie.

DAC8 wprowadza pojęcie „raportującego dostawcy usług w zakresie kryptoaktywów” (RCASP). To pojęcie bazuje na definicji CASP z unijnego rozporządzenia regulującego rynek kryptoaktywów (MiCA), ale ma szerszy zakres. O ile MiCA obejmuje podmioty prowadzące działalność regulowaną na terytorium UE (np. posiadające zezwolenie wydane w jednym z państw członkowskich), o tyle DAC8 sięga dalej. Obowiązki sprawozdawcze mają objąć także firmy spoza UE, które świadczą usługi na rzecz użytkowników będących rezydentami podatkowymi w UE. Taki operator, nawet jeśli nie ma żadnej formalnej obecności w UE, będzie miał obowiązek zarejestrować się w jednym z UE i raportować zgodnie z unijnymi przepisami.

Co więcej, DAC8 obejmuje nie tylko działalność stricte regulowaną. Nawet jeśli firma nie przechowuje środków klientów, ale umożliwia im wykonywanie transakcji, np. poprzez transfery między portfelami czy zamianę tokenów, również może zostać objęta obowiązkiem sprawozdawczym.

W praktyce raportowaniu będą podlegały m.in.:

• nabycie i sprzedaż kryptoaktywów w zamian za waluty fiat (np. EUR, USD),
• wymiana jednych kryptoaktywów na inne (np. ETH na USDT),
• transfery kryptoaktywów między portfelami użytkowników,
• każda inna czynność, w której RCASP występuje jako pośrednik, agent lub dostawca narzędzi do wykonania operacji.

Co istotne, raportowaniu będą podlegać nie tylko transakcje transgraniczne, ale także krajowe – czyli sytuacje, w których zarówno usługodawca, jak i użytkownik są rezydentami tego samego państwa UE.

Jakie dane trzeba będzie zbierać i raportować?

Podmioty objęte obowiązkami z DAC8 będą zobowiązane do corocznego raportowania informacji o swoich użytkownikach oraz ich transakcjach z udziałem kryptoaktywów. W przypadku danych identyfikujących użytkownika, raportujący dostawca usług będzie zobowiązany przekazać takie informacje jak:

• imię i nazwisko (lub nazwę podmiotu),
• adres,
• kraj rezydencji podatkowej oraz
• numer identyfikacji podatkowej.

W odniesieniu do osób fizycznych konieczne będzie również podanie daty i miejsca urodzenia. Natomiast jeżeli użytkownik posiada przypisany identyfikator rachunku kryptoaktywa w ramach systemu danego usługodawcy (np. adres portfela hosted), taka informacja również powinna zostać uwzględniona w raporcie.

W zakresie informacji o transakcjach należało będzie zaraportować:

• nazwę i typ kryptoaktywa,
• liczbę jednostek objętych daną operacją,
• datę transakcji,
• rodzaj operacji (np. wymiana, wpłata, wypłata),
• a także rzeczywistą wartość brutto transakcji, wyrażoną w walucie fiat.

Ww. dane będą musiały być przekazywane odrębnie dla każdego rodzaju kryptoaktywa i każdego użytkownika.

Pierwszym raportowanym rokiem będzie 2026, a przekazanie danych do administracji podatkowej ma nastąpić do 31 stycznia 2027 r. W praktyce oznacza to, że dane powinny być gromadzone już od stycznia 2026 r. i to niezależnie od tego, kiedy Polska wdroży lokalne przepisy.

Choć sama dyrektywa nie zawiera bezpośredniego odniesienia do standardu CARF (Crypto-Asset Reporting Framework) opracowanego przez OECD, rozwiązania przyjęte w DAC8 są z nim w dużej mierze spójne. W praktyce oznacza to, że dostawcy usług działający również poza UE mogą spodziewać się bardzo podobnych obowiązków raportowych w innych jurysdykcjach, które wdrożą CARF (np. Wielka Brytania czy Szwajcaria). Dostosowanie architektury danych i kategorii transakcji do tego międzynarodowego standardu ma ułatwić globalnym podmiotom wypełnianie obowiązków sprawozdawczych.

DAC8 a polskie przepisy

Dyrektywy unijne, w tym również DAC8, nie działają bezpośrednio. Oznacza to, że aby zaczęły obowiązywać w praktyce, muszą zostać wdrożone do krajowego porządku prawnego. Zgodnie z treścią DAC8, państwa członkowskie, w tym Polska, mają na jej wdrożenie do 31 grudnia 2025 r.

Na moment publikacji tego wpisu Polska nie opublikowała jeszcze nawet projektu ustawy implementującej nowe przepisy. Nie jest też przesądzone, kiedy dokładnie to nastąpi, ale biorąc pod uwagę, że zostało już mniej niż pół roku do końca 2025 r., Polska prawdopodobnie uchybi temu obowiązkowi.

Podobna sytuacja miała miejsce przy DAC7, czyli regulacjach dotyczących raportowania przez platformy cyfrowe. Polska wdrożyła te przepisy niemal rok po wymaganym terminie, ale mimo to raportowanie objęło transakcje z okresu sprzed wejścia w życie krajowych przepisów. To pokazuje, że brak krajowej ustawy w terminie nie zwolni RCASP z obowiązków, a jedynie je opóźni w czasie. Dlatego też mimo braku przygotowanych przepisów krajowych opisany temat nie powinien być odkładany na później. Dla wielu firm kluczowym będzie już teraz zapewnienie technicznej możliwość zebrania wymaganych danych, wprowadzenie stosownych zmian w procedurach KYC czy dokumentacji AML.

Jak się przygotować?

Dla firm działających w branży krypto DAC8 powyższe oznacza konieczność gruntownego przemyślenia procesów związanych z gromadzeniem i weryfikacją danych. Dotyczy to nie tylko kwestii technicznych, jak dostosowanie systemów do nowych obowiązków sprawozdawczych, ale też formalnych np. aktualizacji procedur AML / KYC czy zakresu obowiązków informacyjnych wobec użytkowników.

Dyrektywa wymaga bowiem od raportujących dostawców usług w zakresie kryptoaktywów wdrożenia określonych procedur należytej staranności obejmujących m.in. ustalanie rezydencji podatkowej użytkowników.

Choć dyrektywa nie narzuca jednolitego katalogu kar, zobowiązuje państwa członkowskie do wprowadzenia skutecznych i odstraszających sankcji za niewywiązywanie się z obowiązków raportowych.

 ***

[1] Dyrektywa Rady (UE) 2023/2226 z dnia 17 października 2023 r. zmieniająca dyrektywę 2011/16/UE w sprawie współpracy administracyjnej w dziedzinie opodatkowania.