Szwajcarski Rejestr Przejrzystości ma zostać uruchomiony 1 października 2026 r. i skatalogować beneficjentów rzeczywistych około 600 000 podmiotów prawnych. Jednak cyberatak na niemal identyczny system w sąsiednim Liechtensteinie skłonił szwajcarskich zarządzających fortunami do podważania zasadności terminu startu.

Hakerzy włamali się do liechtensteińskiego Rejestru Beneficjentów Rzeczywistych, znanego jako VwbP, w nocy z 29 na 30 lipca, wykradając dane osobowe powiązane z około 31 000 podmiotów prawnych. Wystawione na szwank informacje obejmowały imiona i nazwiska, daty urodzenia, obywatelstwa i kraje zamieszkania osób stojących za spółkami, fundacjami i trustami. Nie uzyskano dostępu do żadnych danych finansowych.

Co się wydarzyło w Liechtensteinie

Liechtenstein uruchomił swój rejestr VwbP w 2021 r. w celu dostosowania się do unijnych dyrektyw przeciwdziałania praniu pieniędzy. Władze wykryły nieprawidłowości w rejestrze 30 lipca, kończąc okres jego bezpiecznego funkcjonowania. Rząd Liechtensteinu zareagował szybko: zdjęto bazę danych z sieci i powołano zespół kryzysowy pod przewodnictwem premier Brigitte Haas i minister sprawiedliwości Emanuela Schädlera. Urzędnicy zostali oficjalnie powiadomieni do 31 lipca lub 1 sierpnia. Oświadczenia publiczne potwierdzające skalę naruszenia pojawiły się między 2 a 4 sierpnia.

Dlaczego szwajcarscy zarządzający fortunami są zaniepokojeni

Szwajcaria i Liechtenstein są głęboko powiązane w dziedzinie zarządzania majątkiem. Wielu szwajcarskich klientów korzysta z podmiotów z siedzibą w Liechtensteinie, w szczególności fundacji i trustów, jako elementu strukturyzowania majątku. Naruszenie nie dotyczy więc wyłącznie mieszkańców Vaduz — jego skutki sięgają po drugiej stronie granicy, do Zurychu, Genewy i innych centrów bankowości prywatnej.

Szwajcarski Rejestr Przejrzystości miałby działać na podobnych zasadach jak liechtensteiński VwbP, gromadząc dane o beneficjentach rzeczywistych podmiotów prawnych w kraju. Skala jest jednak znacznie większa: szacunkowo 600 000 podmiotów wobec 31 000 w Liechtensteinie — to około 20 razy większa powierzchnia ataku, na co szwajcarscy pośrednicy finansowi zwracają teraz uwagę z dużym zastrzeżeniem pilności.

Argumentacja zarządzających majątkiem nie sprowadza się do tego, że przejrzystość jest zła. Ich zdaniem uruchomienie ogromnej, scentralizowanej bazy wrażliwych danych osobowych bez żelaznego cyberbezpieczeństwa jest lekkomyślne. W ich oczach naruszenie w Liechtensteinie stanowi dowód koncepcji dokładnie takiego typu ataku, który mógłby w znacznie większej skali trafić w szwajcarski rejestr.

Debata wpisuje się w szersze europejskie rozliczanie się z pytaniem, kto w ogóle powinien mieć dostęp do danych o beneficjentach rzeczywistych. W listopadzie 2022 r. Trybunał Sprawiedliwości Unii Europejskiej orzekł, że powszechny publiczny dostęp do takich rejestrów narusza prawo do prywatności, ograniczając go do osób mających uzasadniony interes. To orzeczenie zmieniło sposób, w jaki państwa UE — a także kraje EOG, takie jak Liechtenstein — prowadzą swoje rejestry, i wyznacza ramy obecnej dyskusji w Szwajcarii na temat tego, jak ściśle należy ograniczyć dostęp do Rejestru Przejrzystości po jego uruchomieniu.

Napięcie między przejrzystością a bezpieczeństwem

Rejestry beneficjentów rzeczywistych istnieją z powodu prostego celu politycznego: utrudnienia prania pieniędzy poprzez wymuszenie ujawniania, kto faktycznie kontroluje podmioty prawa. Liechtenstein, choć nie jest członkiem UE, przyjął te ramy w ramach członkostwa w Europejskim Obszarze Gospodarczym. Rejestry stanowią część szerszego międzynarodowego nacisku ze strony organów takich jak Grupa Specjalna do spraw Prania Pieniędzy (FATF) i G20, aby ograniczyć anonimowość, jaką mogą zapewniać spółki fasadowe.

Skradzione dane z Liechtensteinu, choć nie zawierają sald kont ani historii transakcji, wcale nie są nieszkodliwe. Imiona i nazwiska oraz daty urodzenia beneficjentów rzeczywistych, w połączeniu z ich obywatelstwem i krajami zamieszkania, dostarczają wystarczających informacji do wyrafinowanych ataków socjotechnicznych, kradzieży tożsamości, a nawet zagrożeń dla bezpieczeństwa fizycznego zamożnych osób.

To, jak szwajcarskie władze odpowiedzą na obawy zarządzających majątkiem w okresie poprzedzającym start w październiku 2026 r. — czy to poprzez zmianę zasad dostępu, zaostrzenie wymogów bezpieczeństwa, czy odroczenie — pokaże, jak kraj zamierza pogodzić zobowiązania w zakresie przeciwdziałania praniu pieniędzy z oczekiwaniami sektora bankowości prywatnej w dziedzinie ochrony danych.