Jak ocenić ryzyko prawne tokenizacji projektu?

Token może być zapisany w zdecentralizowanej sieci, ale ryzyko prawne projektu zawsze ma konkretne źródło: obietnicę złożoną nabywcy, prawa przypisane do instrumentu, sposób dystrybucji i jurysdykcję. Dlatego pytanie, jak ocenić ryzyko prawne tokenizacji, nie powinno zaczynać się od wyboru blockchaina ani od projektu whitepaperu. Punktem wyjścia musi być analiza gospodarczej funkcji tokena oraz stosunku prawnego, który ma powstać między emitentem, właścicielem tokena i ewentualnym operatorem platformy.

W praktyce najpoważniejsze błędy wynikają z przyjęcia, iż tokenizacja sama w sobie tworzy nową kategorię prawną. Nie tworzy. Token jest przede wszystkim nośnikiem informacji lub mechanizmem technicznym. To, czy stanowi kryptoaktywo regulowane rozporządzeniem MiCA, instrument finansowy, pieniądz elektroniczny, wierzytelność, prawo udziałowe albo wyłącznie cyfrowy dostęp do usługi, zależy od jego cech i dokumentacji projektowej.

Jak ocenić ryzyko prawne tokenizacji od adekwatnej klasyfikacji

Klasyfikacja tokena nie może opierać się na jego nazwie. Określenie „utility token”, „token społecznościowy” czy „token inwestycyjny” ma ograniczoną wartość, o ile prawa nabywcy i komunikacja marketingowa prowadzą do innych wniosków. Organ nadzoru, sąd lub inwestor będą analizowali ekonomiczną treść przedsięwzięcia, a nie etykietę przyjętą przez zespół projektowy.

Pierwsze pytanie brzmi: co dokładnie otrzymuje właściciel tokena? o ile token zapewnia dostęp do istniejącej lub planowanej usługi, należy ustalić, czy dostęp jest realny, na jakich warunkach działa i czy emitent może go jednostronnie ograniczyć. o ile daje udział w przychodach, zyskach, aktywach, prawie głosu lub oczekiwanej wartości projektu, ryzyko zakwalifikowania go jako instrumentu finansowego wyraźnie rośnie.

Ta granica ma zasadnicze znaczenie. Rozporządzenie MiCA nie stosuje się do kryptoaktywów będących instrumentami finansowymi w rozumieniu prawa unijnego. Wówczas mogą znaleźć zastosowanie regulacje rynku kapitałowego, w tym zasady dotyczące oferowania instrumentów finansowych, usług inwestycyjnych, obowiązków informacyjnych oraz prospektu. Nie można więc traktować zgodności z MiCA jako uniwersalnej odpowiedzi na ryzyka emisji tokenów.

Osobnej analizy wymagają tokeny powiązane z wartością aktywów lub waluty. Token odwołujący się do koszyka aktywów może zostać uznany za token powiązany z aktywami, a token utrzymujący stabilną wartość względem jednej waluty urzędowej może należeć do kategorii tokenów pieniądza elektronicznego. Dla tych kategorii MiCA przewiduje znacznie dalej idące wymogi dotyczące emitenta, rezerw, wykupu i nadzoru. Model „stablecoina” nie jest zatem wyłącznie decyzją produktową.

Prawo zapisane w tokenie a prawo skutecznie przeniesione

Drugim etapem jest oddzielenie warstwy technologicznej od skutku cywilnoprawnego. Zapis tokena w portfelu nie oznacza automatycznie, iż doszło do skutecznego przeniesienia udziału, wierzytelności, licencji, prawa autorskiego czy prawa do rzeczy. W polskim prawie obrót poszczególnymi prawami wymaga spełnienia adekwatnych przesłanek, a niekiedy zachowania szczególnej formy albo wpisu do rejestru.

Dotyczy to zwłaszcza tokenizacji praw udziałowych w spółce. Udziały w spółce z ograniczoną odpowiedzialnością nie stają się zbywalne przez sam transfer tokena, ponieważ rozporządzenie udziałem podlega wymogom wynikającym z Kodeksu spółek handlowych i umowy spółki. W przypadku akcji dochodzą reguły dematerializacji oraz funkcjonowania rejestrów adekwatnych dla danego rodzaju spółki. Blockchain może wspierać ewidencję lub automatyzować procesy, ale nie zastępuje ustawowego reżimu legitymacji i rozporządzenia prawem.

Podobnie jest z wierzytelnościami. Token może reprezentować roszczenie wobec emitenta, ale trzeba precyzyjnie opisać jego podstawę, zasady cesji, moment przejścia prawa, ograniczenia obrotu i sposób identyfikacji uprawnionego. o ile token ma dawać licencję na utwór, bazę danych lub inne dobro niematerialne, dokumentacja musi rozstrzygać zakres pól eksploatacji, odpłatność, czas trwania oraz możliwość sublicencjonowania. Sformułowanie „nabywca posiada prawa IP” bywa prawnie niewystarczające, a czasem po prostu nieprawdziwe.

MiCA, whitepaper i granice komunikacji marketingowej

Jeżeli token kwalifikuje się jako kryptoaktywo objęte MiCA, należy zbadać obowiązki emitenta i podmiotu oferującego. W wielu przypadkach najważniejsze znaczenie będzie miał whitepaper dotyczący kryptoaktywa. Nie powinien on być traktowany jako materiał promocyjny ubrany w formalny dokument. Ma przedstawiać projekt, ryzyka, prawa i obowiązki związane z tokenem, technologię, wykorzystanie środków oraz podmiot odpowiedzialny za ofertę.

Treść whitepaperu musi być spójna z regulaminem, smart kontraktem, prezentacją dla inwestorów i przekazem w mediach społecznościowych. To właśnie niespójność materiałów często tworzy ryzyko odpowiedzialności. o ile prezentacja sugeruje wzrost wartości i pasywny dochód, a whitepaper opisuje token wyłącznie jako narzędzie dostępu, sprzeczność może działać na niekorzyść projektu zarówno regulacyjnie, jak i cywilnoprawnie.

MiCA nie eliminuje potrzeby oceny prawa krajowego. Trzeba przez cały czas uwzględnić przepisy o ochronie konsumentów, nieuczciwych praktykach rynkowych, wzorcach umownych, odpowiedzialności kontraktowej oraz czynach nieuczciwej konkurencji. Oferta kierowana do konsumentów wymaga szczególnej ostrożności przy informowaniu o ryzyku utraty środków, zmienności ceny i braku płynności. Zastrzeżenie w drobnym druku nie naprawi przekazu, który na pierwszym planie obiecuje zysk.

AML, sankcje i status uczestników projektu

W modelu tokenizacji trzeba ustalić, kto pełni poszczególne role: emitenta, oferującego, podmiotu ubiegającego się o dopuszczenie do obrotu, dostawcy usług w zakresie kryptoaktywów, agenta płatniczego, depozytariusza lub operatora platformy. Te role mogą się kumulować, ale nie powinny pozostawać nieopisane. Podmiot, który faktycznie przechowuje klucze klientów, wymienia tokeny, wykonuje zlecenia lub prowadzi platformę obrotu, może podlegać reżimowi adekwatnemu dla dostawców usług w zakresie kryptoaktywów.

Równolegle należy ocenić obowiązki AML. Zakres stosowania polskiej ustawy o przeciwdziałaniu praniu pieniędzy i finansowaniu terroryzmu zależy od modelu działalności oraz statusu podmiotu, ale ryzyko nie znika tylko dlatego, iż sprzedaż odbywa się przez smart kontrakt. Projekt powinien ustalić zasady identyfikacji klienta, monitorowania transakcji, oceny ryzyka, zgłaszania podejrzanych transakcji i przechowywania dokumentacji, jeżeli podlega obowiązkom instytucji obowiązanej.

W praktyce potrzebna jest także procedura sankcyjna. Tokeny są zbywalne transgranicznie, a publiczny charakter części blockchainów nie gwarantuje możliwości ustalenia beneficjenta rzeczywistego. Brak kontroli może narazić projekt na relacje z adresami powiązanymi z sankcjami, oszustwami lub działalnością wysokiego ryzyka. Stopień weryfikacji powinien być proporcjonalny do modelu dystrybucji, ale decyzja o całkowitym braku kontroli musi być świadoma i uzasadniona.

Dane, cyberbezpieczeństwo i governance smart kontraktu

Nie każdy identyfikator zapisany w blockchainie jest daną osobową, ale często może nią być w połączeniu z innymi informacjami. Szczególnie ryzykowne jest umieszczanie w łańcuchu danych identyfikacyjnych, dokumentów KYC, adresów e-mail lub danych umożliwiających trwałe przypisanie portfela do osoby. Niezmienność zapisu może kolidować z obowiązkami wynikającymi z RODO, w tym z zasadą minimalizacji danych i potrzebą realizacji praw osób, których dane dotyczą.

Równie istotne jest governance. Kto może zmienić kod smart kontraktu, zatrzymać transfer, odblokować środki lub wdrożyć nową wersję protokołu? Czy posiadacze tokenów mają rzeczywisty głos, czy jedynie mechanizm konsultacyjny? Czy multisig jest kontrolowany przez osoby ujawnione w dokumentacji? Te pytania dotyczą nie tylko bezpieczeństwa technicznego, ale także odpowiedzialności wobec użytkowników.

Audyt kodu zmniejsza ryzyko błędów, ale nie zastępuje analizy prawnej. Smart kontrakt może poprawnie wykonywać funkcję techniczną, która jest sprzeczna z regulaminem, nie realizuje wymagań prawa lub pozwala administratorowi na arbitralne działanie. Dokumentacja powinna jasno określać pierwszeństwo źródeł, procedurę aktualizacji, zasady reagowania na incydenty oraz odpowiedzialność za utratę dostępu do kluczy.

Macierz ryzyka zamiast jednej opinii prawnej

Dobra ocena nie kończy się stwierdzeniem „projekt jest zgodny” albo „projekt jest ryzykowny”. Warto przygotować macierz, w której dla wszystkich elementu modelu wskazuje się podstawę prawną, poziom ryzyka, właściciela działania i warunek dopuszczalności. Osobno należy ocenić klasyfikację tokena, ofertę i marketing, prawa korporacyjne lub obligacyjne, AML, podatki, ochronę danych, własność intelektualną, cyberbezpieczeństwo oraz element transgraniczny.

W projektach kierowanych do odbiorców z kilku państw konieczna jest analiza prawa prywatnego międzynarodowego. Wybór prawa w regulaminie nie zawsze wyłączy bezwzględnie obowiązujące przepisy państwa konsumenta ani lokalne reguły dotyczące oferty instrumentów finansowych. Należy też rozstrzygnąć, gdzie dochodzi do oferowania tokena, jakie państwa są objęte marketingiem i czy geoblokowanie rzeczywiście działa.

Najbardziej użyteczna dokumentacja prawna nie ma udowodnić, iż tokenizacja jest bezpieczna. Ma pokazać zarządowi, które ryzyka są akceptowalne, których nie można przenieść na użytkownika i jakie decyzje trzeba podjąć przed pierwszą sprzedażą. Dopiero wtedy technologia przestaje być zasłoną dla niejasnego modelu biznesowego, a staje się narzędziem wdrożonym z należytą starannością.