Mopsus Tech Sp. z o.o. | Za co nie powinno się karać instytucji po wyroku NSA z 29 stycznia 2026 r.

W wyroku z dnia 29 stycznia 2026 r. (II GSK 2764/24) NSA stwierdził, że wadliwość treściowa (materialna) dokumentu sporządzonego przez instytucję obowiązaną, nawet o charakterze rażącym, nie może być kwalifikowana jako naruszenie obowiązku sporządzenia takiego dokumentu. Sąd oparł to stanowisko na zasadach nullum crimen sine lege stricta oraz nullum crimen sine lege certa, wskazując, że nie jest dopuszczalne stosowanie takiej wykładni regulacji sankcjonującej, która w istocie prowadzi albo do rozszerzenia zakresu sankcjonowania poza granicami językowego brzmienia przepisu, albo do nadania treści tej regulacji znaczenia rozstrzygającego wątpliwości związane z jej nieokreślonością, niejasnością lub nieprecyzyjnością na niekorzyść podmiotu pociąganego do odpowiedzialności.

Na tle dominującego podejścia organów nadzoru oraz sądów administracyjnych, zgodnie z którym wykonanie obowiązków określonych w ustawie AML jest niewystarczające o ile nie mieści się w szeroko rozumianym ratio legis tej ustawy - stanowisko NSA zasługuje na uwagę. Jego rdzeń stanowi rozróżnienie dwóch zachowań instytucji obowiązanej: zaniechania polegającego na niesporządzeniu dokumentu (w ogóle) oraz zachowania polegającego na sporządzeniu dokumentu, który istnieje, lecz jest wadliwy treściowo. Zdaniem Sądu, skoro norma sankcjonująca posługuje się formułą „niedopełnienie obowiązku sporządzenia (dokumentu)", co językowo opisuje pierwsze z tych zachowań, to zrównanie obu sytuacji w drodze wykładni stanowiłoby rozszerzenie znamion deliktu administracyjnego ponad tekst ustawy.

Należy w tym miejscu przypomnieć, że zasadniczo zakres obowiązków określonych w przepisach AML mieści się w trzech kategoriach: 1) zakres określony precyzyjnie (np. zakres danych niezbędnych do identyfikacji klienta), 2) zakres uzależniony od oceny ryzyka (np. intensywność stosowania środków bezpieczeństwa finansowego) oraz 3) zakres niedookreślony (np. obowiązek szkoleniowy czy obowiązek wyznaczenia określonych osób). Wyrok NSA ma szczególne znaczenie w tej trzeciej kwestii, gdyż przeciwstawia się takiemu rozumieniu przepisów niedookreślonych, zgodnie z którym "dookreślanie" zakresu tego typu przepisów jest rolą organu nadzoru, który wypełnia go treścią dążąc do maksymalnej skuteczności w walce z praniem pieniędzy czy finansowaniem terroryzmu. Istnieje jednak alternatywna (do restrykcyjnego stanowiska organów nadzoru) interpretacja oczekiwań ustawodawcy w tej kwestii - w tym trzecim przypadku, gdzie zakres lub sposób wykonania obowiązku jest zaledwie naszkicowany, decyzja co do wypełnienia go treścią należy wyłącznie do instytucji obowiązanej. W tej interpretacji racjonalny ustawodawca rozumie, że zapewnienie 100% skuteczności zwalczania przestępstw prania pieniędzy lub finansowania terroryzmu przez podmioty niebędące przecież organami ścigania jest nierealne, i jej nie oczekuje. Zakłada dobrą wolę adresata obowiązku (dodajmy - w niewielkim w sumie zakresie), co oznacza, że w takich przypadkach zgodne z prawem jest zarówno niezwykle staranne, jaki ograniczone, a nawet niestaranne wykonanie danego obowiązku. Stanowisko NSA można uznać za potwierdzenie, że nie jest rolą organu kontroli czy nadzoru wypełnianie wg swojego uznania treścią określonego "sygnalizacyjnie" zakresu obowiązku ("tak, jak my ten obowiązek rozumiemy"), co należy ze wszech miar docenić.

Jednak mimo trafności orzeczenia Sądu co do zasady, wydaje się, że wymaga ono doprecyzowania. Najlepiej to wyjaśnić na przykładzie obowiązku sporządzenia określonego dokumentu poprzez rozróżnienie między dwoma rodzajami "wadliwości" dokumentu.

Po pierwsze, możliwa jest wadliwość polegająca na braku elementów konstytutywnych dokumentu, wymaganych wprost w ustawie. Ilustracją jest np. art. 50 ust. 2 ustawy AML, który expressis verbis wymienia minimalny zakres obligatoryjnych elementów procedury wewnętrznej. Jeśli dokument nazwany „procedurą wewnętrzną" pomija którykolwiek z tych elementów, ocena, że obowiązek wprowadzenia procedury w rozumieniu art. 50 ust. 1 nie został wykonany, nie jest wykładnią rozszerzającą — jest zastosowaniem normy ustawowej, która sama definiuje minimum treściowe. (Wyjątkiem jest sytuacja, gdy obligatoryjny element dokumentu nie ma zastosowania w działalności danej instytucji obowiązanej i jego wprowadzenie nie tylko nie miałoby żadnego uzasadnienia, ale wręcz mogłoby osłabić skuteczność procedur wewnętrznych. Jako przykład należy wskazać wymóg z art. 50 ust. 2 pkt 10 dotyczący zasad odnotowywania rozbieżności między informacjami zgromadzonymi w CRBR a informacjami o beneficjentach rzeczywistych klienta ustalonymi w związku ze stosowaniem ustawy - w przypadku np. instytucji pożyczkowych w rozumieniu ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, których klientem nie może być przecież żaden z podmiotów zobowiązanych do zgłaszania informacji do CRBR). NSA słusznie odrzucił koncepcję „iluzoryczności” dokumentu jako podstawy odpowiedzialności administracyjnej, jednak nie zaproponował kryteriów odróżniających dokument wadliwy od dokumentu czysto fasadowego, który jedynie "symuluje" wykonanie obowiązku ustawowego. Brak takiego rozróżnienia może w praktyce prowadzić do dalszych sporów interpretacyjnych. Zasadne byłoby zatem wskazanie, że tylko dokument całkowicie pozbawiony elementów identyfikacyjnych, uniemożliwiających przypisanie mu cech przedmiotowych, mógłby zostać uznany za równoważny z niewykonaniem obowiązku formalnego.
Po drugie, możliwa jest "wadliwość treściowa", polegająca na merytorycznej nietrafności rozwiązań przyjętych w dokumencie, ocenianej według kryteriów uznanych przez kontrolujących lub organ nadzoru za odpowiednie — np. „zbyt niskiej" oceny prawdopodobieństwa wystąpienia ryzyka, „nieefektywności" przyjętych środków kontroli czy braku „spójności" wewnętrznej dokumentu. W tym zakresie zasada nullum crimen sine lege stricta wyklucza sankcjonowanie, ponieważ ustawodawca nie określił kryteriów oceny „prawidłowości" takiego dokumentu, pozostawiając tę kwestię instytucji obowiązanej.

Mimo tych zastrzeżeń bezsprzeczną konsekwencją wyroku NSA II GSK 2764/24 jest nakreślenie granic stosowania soft law w polskim systemie sankcjonowania instytucji obowiązanych. Choć NSA ani o wytycznych Europejskiego Urzędu Nadzoru Bankowego, ani o komunikatach krajowych organów nadzoru wprost się nie wypowiedział, sformułowane przez Sąd tezy znajdują w tej sferze bezpośrednie zastosowanie. Polski reżim sankcyjny ustanowiony w art. 147 ustawy AML ma charakter zamknięty: każdy z punktów tego przepisu odsyła do konkretnego, indywidualnie wskazanego obowiązku ustawowego. To oznacza, że ani wytyczne EBA wydawane na podstawie art. 16 rozporządzenia 1093/2010, ani komunikaty wydawane przez GIIF na podstawie art. 14 ust. 2 ustawy AML, ani nawet wspólne stanowiska organów nadzoru, nie mogą stanowić samodzielnej podstawy zastosowania sankcji administracyjnej z ustawy AML. Mogą pełnić rolę interpretacyjną i stanowić wzorzec dobrych praktyk, ale ich treść jest wiążąca prawnie tylko w zakresie, który da się wywieść z brzmienia samej ustawy. W tym sensie wyrok NSA w sprawie STS stanowi swoistą tamę dla zjawiska, które w polskiej praktyce nadzorczej staje się coraz bardziej widoczne — traktowania soft law jako quasi-źródła prawa powszechnie obowiązującego.

Komunikat nr 92 jako studium przypadku

Doskonałą ilustracją tego zjawiska jest Komunikat nr 92 z dnia 13 lutego 2025 r. w sprawie obowiązku szkoleniowego określonego w ustawie AML, wydany wspólnie przez GIIF, UKNF i NBP. Komunikat ten formalnie określa „dobre praktyki oraz oczekiwania" organów kontroli, lecz w rzeczywistości pełni funkcję quasi-prawodawczą, definiując treściową zawartość obowiązku z art. 52 ustawy AML. Art. 52 ustawy AML nakłada na instytucję obowiązaną obowiązek „zapewnienia udziału" osób wykonujących obowiązki AML/CFT w „programach szkoleniowych dotyczących realizacji tych obowiązków", uwzględniających ochronę danych osobowych. Ustawa nie zawiera definicji programu szkoleniowego, nie określa formy szkolenia, nie wymaga konkretnej dokumentacji ani nie zakazuje samokształcenia. Jednocześnie sankcja z art. 147 pkt 9 ustawy AML wiąże karę pieniężną z naruszeniem tego obowiązku w jego ustawowym, a więc bardzo ogólnym brzmieniu (niezapewnienie udziału osób wykonujących obowiązki związane z przeciwdziałaniem praniu pieniędzy oraz finansowaniu terroryzmu w programach szkoleniowych). Komunikat nr 92 dodaje natomiast cały szereg konkretnych wymogów — wykluczenie samokształcenia jako formy realizacji obowiązku, wymóg odpowiednich kwalifikacji posiadanych przez prowadzących szkolenia, testy sprawdzające wiedzę, wymóg dokumentowania uczestnictwa w określony sposób, wymóg ujmowania szkoleń w sprawozdawczości zarządu, wymóg zawierania w umowach z podmiotami zewnętrznymi klauzul o obowiązku szkoleniowym, wymóg organizowania szkoleń uzupełniających po każdej istotnej nowelizacji. W świetle głównej tezy NSA z wyroku II GSK 2764/24 wymogi te można ocenić w dwóch warstwach:

warstwa obowiązkowa. Należą do niej te elementy komunikatu, które mieszczą się w językowym brzmieniu art. 52. Przykładem jest stwierdzenie, że obowiązek szkoleniowy obejmuje nie tylko pracowników w stosunku pracy, ale wszystkie osoby wykonujące zadania AML/CFT, niezależnie od podstawy prawnej współpracy z instytucją. Podobnie dopuszczalne jest stwierdzenie, że szkolenia odbyte pod rządami uchylonej ustawy z 16 listopada 2000 r. nie realizują obowiązku z art. 52 obecnie obowiązującej ustawy. Jest to oczywisty wniosek wynikający z istoty zmiany stanu prawnego: ustawa z 2018 r. wprowadziła nowe podejście do kwestii AML, zmieniając praktycznie wszystkie kluczowe obowiązki, których powinno dotyczyć szkolenie. Skoro art. 52 wymaga szkolenia „z zakresu realizacji obowiązków określonych w ustawie", a ustawa AML wprowadziła nowe obowiązki, to szkolenie z poprzedniej ustawy nie może być uznane za szkolenie z tej ustawy. Można powiedzieć, że Komunikat nr 92 ten skutek jedynie werbalizuje, nie tworzy go normatywnie;
warstwa dobrych praktyk. Należą tu wymogi, które mogą być uznane za rozsądne z perspektywy efektywności realizacji obowiązku ustawowego, ale których brak nie może być kwalifikowany jako naruszenie art. 52. Obejmuje to np. wymóg testów sprawdzających wiedzę po szkoleniu, wymóg ujmowania szkoleń w sprawozdawczości zarządu czy wymóg organizowania szkoleń z określoną częstotliwością.

Komunikat nr 92 nie dokonuje dystynkcji między tymi warstwami. Posługuje się jednolitą frazeologią „oczekiwań organów kontroli", co sugeruje, że wszystkie sformułowane w nim wymagania mają taką samą istotność i jednakowo mogą stanowić podstawę zarzutu naruszenia obowiązku ustawowego. To niedoprecyzowanie należy uznać za błędne, ponieważ uwypukla funkcję quasi-prawodawczą komunikatu, podkreślając "oczekiwany" sposób realizacji obowiązku z art. 52 ustawy AML.

Konkluzje

Wyrok NSA II GSK 2764/24 wnosi do orzecznictwa ważną tezę, której znaczenie wykracza poza rozstrzygnięcie konkretnego sporu o karę pieniężną w sektorze zakładów wzajemnych. Sąd przypomniał, że administracyjne kary pieniężne — jako sankcje o charakterze represyjnym — podlegają standardom ścisłej wykładni i określoności, oraz że organy nadzoru nie mogą rozszerzać znamion deliktu administracyjnego poza granice językowego brzmienia przepisu ustawy.

Mimo pewnych zastrzeżeń dotyczących niedokonania dystynkcji między wadliwością dokumentu polegającą na całkowitym braku elementów konstytutywnych określonych ustawą a ocenną wadliwością merytoryczną według kryteriów pozaustawowych, praktycznie znaczenie wyroku NSA tkwi w stworzeniu podstawy do oceny granic stosowania soft law w polskim systemie sankcjonowania instytucji obowiązanych. W reżimie ustawy AML, w którym katalog deliktów ma charakter zamknięty i odsyła do konkretnych obowiązków ustawowych, ani wytyczne EBA, ani komunikaty GIIF, UKNF i NBP nie mogą samodzielnie stanowić podstawy nałożenia kary pieniężnej. Mogą pełnić rolę interpretacyjną i wzorca dobrych praktyk, ale ich treść jest wiążąca prawnie tylko o tyle, o ile da się ją wywieść wprost z brzmienia samej ustawy.