AML zákon 253/2008: archivace KYC dokumentu 10 let

Kdo je povinnou osobou podle paragraf 2 zákona 253/2008

Zákon 253/2008 Sb., o některých opatřeních proti legalizaci vynosu z trestne cinnosti a financovani terorismu (zkracene "AML zákon"), je v Cesku základním regulačním rámcem boje proti prani špinavých peněz. Po novelizacích v letech 2021, 2023 a 2024 (v zavislosti na evropských smernicich 5AMLD a 6AMLD a pripravne fazi AMLR) je okruh povinných osob mnohem širší nez si bezna ceska mala firma uvědomuje. Paragraf 2 zařazuje mezi povinne osoby:

• Uverove a finanční instituce, včetně plateb a směnu
• Účetní, danove poradce, auditory
• Advokáty a notáře pri vybraných operacich (především převody nemovitosti, zalozeni spolecnosti, správa majetku klienta, náročnější transakce)
• Zprostredkovatele realitních obchodu (realitky včetně pronajmu nad 10 000 EUR mesicne)
• Obchodníky s použitými motorovými vozidly (autobazary) pri transakcích nad 10 000 EUR
• Klenotníky a obchodníky s drahými kovy nad limitem 10 000 EUR
• Hracovni a sazkove spolecnosti
• Poskytovatele služeb spojených s virtuálními aktivy (kryptoburzy, směnárny kryptomen, custodianske peněženky)
• Pri určitých operacich i obchodnici s umelimi díly a uchovavateli pamatok

Kruh povinných osob je tedy mnohem širší nez bankovní svet. Velka část malych českých firem, které o sobe nemysli jako o "AML subjekt", se v paragrafu 2 najde, jakmile překročí hodnotový nebo četnostní limit.

Co konkrétně se musi archivovat

Paragraf 16 zákona 253/2008 vymáhá uchovavani konkrétní dokumentace po dobu 10 let. Soubor zahrnuje:

1. Identifikační údaje klienta (jméno, datum narozeni, rodne číslo nebo identifikátor, adresa, statni příslušnost, druh a číslo prukazu totoznosti)
2. Kopie předložených prukazu totoznosti, včetně fotografie nebo skenu obou stran
3. Dokumenty dolozene v rámci hloubkove kontroly klienta (CDD): pruzkum zdroje prijmu, vlastnická struktura právnických osob, identifikace skutečného majitele, declaration PEP
4. Záznamy o provedeni a vysledku CDD, včetně odovodneni klasifikace klienta do rizikove kategorie
5. Dokumentaci o transakcích u jednotlivých obchodu nad limit 1 000 EUR
6. Vše, co povinna osoba použila ke kontrole a vyhodnoceni podezření z legalizace vynosu
7. Hlaseni podezřelých obchodu na FAU (oznameni podle paragraf 18) a komunikaci s FAU

Pri elektronické archivaci se vyžaduje, aby dokumenty bylo mozne v aktuálním okamziku dohledat, uložit ve formatu, který zachovává jejich neporušenost a aby bylo zarucene, ze nebyly zpetne modifikovany. To staveni nad běžný intranetový souborový systémy.

10let lhůta: odkdy presne počítá

Pravidlo z paragrafu 16 zakládá, ze 10 let počítá od ukonceni obchodního vztahu nebo od provedeni obchodu. V praxi se objevuje několik interpretačních problemu:

Pri průběžných obchodních vztazích (napr. účetní firma slouží klientovi prubezne 12 let) lhůta nezačíná za žádnou z provedených transakci, ale az po formálním ukonceni smluvního vztahu. Složka klienta proto rosta po celou dobu spolupracu plus dalších 10 let po jejím skonceni. Pro klienta, který byl 12 let aktivní a vztah se ukončil v roce 2026, znamená to, ze dokumenty musi byt udrzeny do roku 2036.

Pro jednorazove obchody (napr. realitní kancelář uskutecni jednu transakci pro klienta) lhůta začíná posledním dokumentem ke konkrétní transakci. Pripadne dodatecne zjisteni (napr. pozdější nárok stranky na vraceni provize) muze prodloužit období.

Pokuty FAU a osobní odpovědnost statutara

Hlava VI zákona 253/2008 stanovi sankční rezim. Pro správní delikty povinne osoby plati:

• Pri vaznem porusovani povinnosti CDD a archivace: pokuta az 130 000 000 Kč (paragraf 44)
• Pri opakovaném porusovani: pokuta v horním pasmu spolu se zákazem cinnosti az do odejmutí opravneni
• Osobní postih statutarnich organu nebo kontrolních osob: pokuta az 5 000 000 Kč
• Pri zjisteni soustavného jednani s účelem zatajeni podezření z legalizace: trestní odpovědnost dle Trestního zakoniku, paragraf 216 (legalizace vynosu z trestne cinnosti) a paragraf 217 (legalizace z nedbalosti)

FAU v letech 2024 a 2025 vyrazne posílil kapacitu kontrolních tymu. Cilove kontroly se zaměřily nejprve na realitní kanceláře (kvůli rostoucím cenám nemovitostí a podezřelým transakcím ze zahraniční), pote na obchodníky s krypto. V Q1 2026 byly publikovany výroční statistiky FAU za rok 2025: počet provedených kontrol vzrostl meziroclny o 38%, přičemž 71% kontrol konstatovalo nějaké porusovani povinnosti, nejčastěji nedostatečnou archivaci CDD dokumentace.

Realitky pod drobnohledem

Pro realitní kanceláře se 10leta lhůta stala specifickým problémem ze dvou duvodu. Za prve, průměrný životní cyklus realitky je kratší nez 10 let: pri prodejích agentur, fúzích nebo ukonceni cinnosti se dokumenty casto ztratí. Za druhé, realitky pracuji s velkym objemem transakci a mnohem chudšími systémy nez například banky.

FAU pri kontrolách v roce 2025 vydal stovky nalezu specifických pro realitní sektor: chybějící doklady totoznosti u nakupcich z roku 2017, ztracene záznamy o overeni zdroje prijmu, nezdokumentovana podezření z PEP statusu. Tyto nálezy řídká činnost v rámci Asociace realitních kancelari České republiky požadovat změnu povinného minimálního standardu archivace.

Co dela rozdíl mezi pokutovými a úspěšným auditem

Povinne osoby, které v poslední vlně kontrol prosly bez pokut, sdílejí některá základní rozhodnuti. Především oddeleni operačního CRM (kde se zaznamenávají obchody) od archivu (kde se uchovávají KYC podklady). Operační CRM se mění denně, dokumenty se preanalyzouji, klienti se ridí, kategorie se preraduji. Archiv je niemodifikovatelny: kazdy soubor, který vstoupí, dostane hash a casove razítko, a po dobu retencie nelze byt zmenenen.

Druhé rozhodnuti je nastaveni retenčního politiky podle kategorii klientu. Klient s aktivním vztahem prubez sleduje pravidla aktivní evidence; po ukonceni vztahu se záznamy automaticky překlasifikujou na 10 letou retenci pasivni s nemoznosti smazani.

Třetí rozhodnuti je integrace s aktualizovanými sankční mi seznamy (OSN, EU, OFAC). FAU požaduje, aby povinna osoba dokládala pravidelnost kontroly klientu proti aktuálním sankčním seznamům. Integrace s API těchto seznamu a uchovavani potvrzeni kontroly v archivovani je důkaz, který rychle uzavře kontrolu.