Travel rule : ce que le règlement TFR impose aux PSCA

Depuis le 30 décembre 2024, tout transfert de crypto-actifs qui passe par un prestataire de services sur crypto-actifs (PSCA) doit être accompagné d’informations sur son initiateur et son bénéficiaire, sans seuil de montant. C’est la « travel rule » du règlement (UE) 2023/1113, dit règlement TFR, complété en France par l’ordonnance n° 2024-937 du 15 octobre 2024.

Ce guide dit quels transferts sont visés, ce que doivent faire le PSCA de l’initiateur, celui du bénéficiaire et le PSCA intermédiaire, quelles informations transmettre, comment traiter les adresses auto-hébergées et les informations manquantes, et ce qu’attendent l’ABE et les autorités françaises.

Quels transferts sont concernés ?

Le règlement TFR s’applique aux transferts de crypto-actifs, y compris par distributeur automatique, dès lors que le PSCA, ou le PSCA intermédiaire, de l’initiateur ou du bénéficiaire a son siège statutaire dans l’Union (règlement TFR, art. 2, § 1). Les jetons de monnaie électronique sont traités comme des crypto-actifs (art. 2, § 4).

Contrairement aux virements de fonds, aucun seuil ne limite l’obligation : un transfert de 10 euros est soumis aux mêmes règles qu’un transfert d’un million.

Deux exclusions seulement (art. 2, § 4) :

• l’initiateur et le bénéficiaire sont tous deux des PSCA agissant pour leur propre compte ;
• le transfert a lieu entre particuliers, sans l’intervention d’un PSCA, par exemple d’un portefeuille matériel à un portefeuille non hébergé.

Les simples fournisseurs d’infrastructure (réseau, informatique en nuage, développement de logiciels) restent en dehors, sauf s’ils effectuent eux-mêmes des transferts (considérant 21).

Le trajet des informations

Le PSCA du bénéficiaire ne crédite son client que si les informations sont complètes ; sinon, il rejette, renvoie ou demande ce qui manque.

Qui doit quoi ?

Le PSCA de l’initiateur recueille, vérifie et transmet ; le PSCA intermédiaire relaie ; le PSCA du bénéficiaire contrôle et refuse ce qui manque.

Les informations à transmettre

Sur l’initiateur, le PSCA joint au transfert (règlement TFR, art. 14, § 1) :

• son nom ;
• son adresse de registre distribué et, s’il existe et sert à l’opération, son numéro de compte de crypto-actifs ;
• son adresse, avec le nom du pays, le numéro de son document d’identité officiel et son numéro d’identification client, ou, à défaut, sa date et son lieu de naissance ;
• son identifiant d’entité juridique (IEJ), s’il l’a fourni et si le format du message le permet.

Le troisième point ouvre une alternative : adresse et numéros, ou date et lieu de naissance. Les orientations de l’ABE laissent le PSCA choisir les éléments à transmettre, pourvu qu’ils identifient l’initiateur sans ambiguïté.

Sur le bénéficiaire (art. 14, § 2) : son nom, son adresse de registre distribué et, le cas échéant, son numéro de compte de crypto-actifs, ainsi que son IEJ s’il est connu.

Ces informations n’ont pas à figurer dans la transaction inscrite sur la blockchain. Elles voyagent avant le transfert, en même temps ou parallèlement, par un canal sécurisé et conforme au RGPD (art. 14, § 4).

Adresses auto-hébergées

Un transfert vers ou depuis une adresse auto-hébergée n’a pas de PSCA à l’autre bout. Le règlement impose donc des règles propres.

Vers une adresse auto-hébergée, le PSCA de l’initiateur recueille et conserve les informations sur l’initiateur et le bénéficiaire, et veille à ce que le transfert puisse être identifié. Au-delà de 1 000 euros, il prend des mesures appropriées pour déterminer si l’adresse appartient à l’initiateur ou est contrôlée par lui (règlement TFR, art. 14, § 5). Depuis une adresse auto-hébergée, le PSCA du bénéficiaire suit la même logique (art. 16). Dans les deux cas, il collecte l’identité du titulaire de l’adresse et, au-delà de 1 000 euros, établit le lien entre l’adresse et ce titulaire selon les critères techniques que précisent les orientations de l’ABE (EBA/GL/2024/11).

Le droit français ajoute une couche. Les PSCA identifient et évaluent le risque de ces transferts et mettent en place l’organisation, les procédures et les contrôles nécessaires (CMF, art. L. 561-10-4). Selon le risque, ils appliquent une ou plusieurs mesures de vigilance complémentaires (CMF, art. R. 561-21-1) :

• vérifier l’identité de l’initiateur ou du bénéficiaire, ou de son bénéficiaire effectif, au besoin par un tiers ;
• recueillir des informations sur l’origine et la destination des crypto-actifs ;
• suivre ces opérations de façon renforcée ;
• prendre toute autre mesure propre à réduire le risque.

Dans les deux sens, aucun prestataire ne se trouve en face : le PSCA recueille lui-même les informations auprès de son client et en assume seul la fiabilité.

Une circulation en boucle ouverte, difficile à suivre

Les crypto-actifs circulent en boucle ouverte. Un même actif passe d’un PSCA à un autre, d’un PSCA à un wallet non hébergé, puis revient par un troisième prestataire, sans qu’aucun acteur ne voie le trajet entier. La travel rule ne couvre qu’un saut à la fois.

Avant même de transmettre quoi que ce soit, le PSCA doit savoir à qui il envoie : l’adresse de destination appartient-elle à un PSCA, et lequel, ou à un wallet non hébergé ? Il doit ensuite joindre un prestataire qui n’utilise pas forcément le même outil ni le même protocole, et qui peut être établi hors de l’Union, dans un pays où aucune règle équivalente ne s’applique encore. Pour beaucoup de PSCA, la mise en œuvre reste lourde et imparfaite.

Informations manquantes : rejeter, renvoyer ou demander

Le PSCA du bénéficiaire doit disposer de procédures efficaces, fondées sur les risques, pour décider s’il exécute, rejette, renvoie ou suspend un transfert incomplet (règlement TFR, art. 17, § 1). Quand il constate un manque, il agit sans retard indu et, selon le risque :

• rejette le transfert ou renvoie les crypto-actifs sur le compte de l’initiateur ;
• ou demande les informations manquantes avant de mettre les crypto-actifs à la disposition du bénéficiaire.

Face à un PSCA qui omet de façon répétée les informations requises, il peut d’abord adresser des avertissements et fixer des échéances, puis rejeter ses transferts, restreindre la relation ou y mettre fin. Il déclare ces manquements et les mesures prises à l’autorité chargée de la LCB-FT (art. 17, § 2).

L’absence de données n’impose pas un rejet systématique. Le règlement laisse le choix entre exécuter, rejeter, renvoyer, suspendre ou demander les informations, et c’est l’approche par les risques qui doit guider la décision : montant, contrepartie connue ou non, pays, historique du client, signaux d’alerte. Rejeter d’office tout transfert incomplet bloquerait une part importante de flux légitimes, faute d’interopérabilité entre outils ; tout accepter viderait la règle de son sens.

Ces choix doivent être écrits avant le premier transfert : seuils de risque, délai d’attente des informations, traitement des contreparties récalcitrantes, trace de chaque décision.

Les outils de travel rule : un passage obligé en pratique

Le règlement n’impose aucun outil. En pratique, transmettre et recevoir ces informations à chaque transfert, à temps et de façon sécurisée, suppose une solution spécialisée, comme celles que proposent des prestataires tels que Notabene : un traitement manuel ne tient pas à l’échelle d’une activité courante.

Ces outils restent peu standardisés et pas encore pleinement interopérables. Plusieurs protocoles d’échange coexistent, et deux PSCA équipés de solutions différentes ne parviennent pas toujours à se transmettre les données. Le choix de l’outil dépend donc aussi des contreparties avec lesquelles le PSCA échange le plus.

Le paramétrage de l’outil est un élément central du dispositif LCB-FT du PSCA : identification des contreparties, seuils, délais d’attente des données, conduite à tenir quand elles manquent, trace des décisions. Il doit refléter la classification des risques du PSCA et être documenté : il fait partie de ce que l’ACPR peut examiner lors d’un contrôle.

Orientations de l’ABE, contrôle et sanctions

L’Autorité bancaire européenne a publié le 4 juillet 2024 ses orientations sur la travel rule (EBA/GL/2024/11), applicables depuis le 30 décembre 2024. Elles précisent les informations à transmettre et les procédures de détection et de traitement des transferts incomplets, y compris pour les adresses auto-hébergées. L’AMF les a reprises dans sa position DOC-2024-08, et l’ACPR s’y est déclarée conforme.

En France, le respect de la travel rule fait partie des obligations de lutte contre le blanchiment de capitaux et le financement du terrorisme (LCB-FT) des PSCA, que contrôle l’ACPR. Un manquement expose le PSCA à la procédure de sanction de l’ACPR, que détaille l’expertise LCB-FT des prestataires sur crypto-actifs.

Pourquoi choisir ORWL ?

• Une spécialisation unique : le cabinet se consacre au droit des crypto-actifs, des services de paiement et de la fintech, de l’agrément au contentieux.
• Une pratique de la LCB-FT des PSCA : procédures travel rule, cartographie des risques, préparation des contrôles de l’ACPR.
• Une connaissance des modèles d’affaires et du secteur : des procédures écrites pour vos flux réels, pas pour un modèle théorique.