4.8. Transferts de crypto-actifs effectués vers ou depuis une adresse auto-hébergée conformément à l’article 14, paragraphe 5, et à l’article 16, paragraphe 2, du règlement (UE) 2023/1113

Les PSCA et les PSCAI devraient considérer qu’un transfert de crypto-actifs est identifié individuellement lorsque:

• a) un identifiant unique est utilisé pour chaque transfert, tel qu’un hachage de transaction ou un numéro de référence; ou
• b) des informations supplémentaires sont incluses dans le transfert afin de permettre l’identification du transfert. 4.8.2. Identification d’un transfert effectué vers ou depuis une adresse auto-hébergée

Pour déterminer si une adresse auto-hébergée est ou non utilisée à l’autre extrémité de la chaîne d’un transfert, le PSCA de l’initiateur et le PSCA du bénéficiaire des crypto-actifs devraient s’appuyer sur les moyens techniques disponibles, notamment, mais pas exclusivement, l’analyse des chaînes de blocs, les fournisseurs de données tiers et les identifiants utilisés par les systèmes de messagerie.

Si ces informations ne peuvent être obtenues par des moyens techniques, le PSCA de l’initiateur et le PSCA du bénéficiaire des crypto-actifs doivent obtenir ces informations directement auprès de leur client. Lorsque, dans ce cas, le PSCA de l’initiateur et le PSCA du bénéficiaire des crypto-actifs établissent que le transfert est effectué vers ou à partir d’un autre PSCA, le PSCA de l’initiateur et le PSCA du bénéficiaire des crypto-actifs devraient prendre les mesures nécessaires pour identifier avec précision le PSCA de la contrepartie.

Le PSCA de l’initiateur devrait procéder à cette évaluation avant l’initiation du transfert et la transmission des informations conformément à l’article 14, paragraphe 5, du règlement (UE) 2023/1113; le PSCA du bénéficiaire des crypto-actifs devrait procéder à cette évaluation avant que les crypto-actifs ne soient mis à la disposition du bénéficiaire des crypto-actifs conformément à l’article 16, paragraphe 2, dudit règlement.

4.8.3. Identification de l’initiateur et du bénéficiaire de crypto-actifs lors d’un transfert effectué vers ou depuis une adresse auto-hébergée

Lorsqu’une adresse auto-hébergée est utilisée à l’autre extrémité de la chaîne d’un transfert, les PSCA devraient obtenir les informations sur l’initiateur ou le bénéficiaire des crypto-actifs auprès de leur client.

4.8.4. Transferts supérieurs à 1 000 EUR et preuve de la propriété ou du contrôle d’une adresse auto-hébergée

Les PSCA devraient déterminer qu’un transfert impliquant une adresse auto-hébergée s’élève à 1 000 EUR ou excède ce montant:

• a) au moment où le transfert a été ordonné ou initié, dans le cas du PSCA de l’initiateur; ou
• b) au moment de la réception, dans le cas du PSCA du bénéficiaire des crypto-actifs.

Afin de déterminer si la valeur des transferts effectués vers ou depuis une adresse auto-hébergée est supérieure à 1 000 EUR, les PSCA devraient utiliser le taux de change du crypto-actif transféré pour déterminer sa valeur en euros au moment du transfert, et indépendamment de tous frais de transaction.

Afin de déterminer si l’adresse auto-hébergée est détenue ou contrôlée par, respectivement, l’initiateur ou le bénéficiaire de crypto-actifs, les PSCA devraient utiliser au moins l’une des méthodes de vérification suivantes:

• a) les vérifications automatisées, telles que définies dans les orientations sur l’utilisation de solutions d’entrée en relation d’affaires à distance conformément à l’article 13, paragraphe 1, de la directive (UE) 2015/849⁹ indiquant l’adresse;
• b) les vérifications non automatisées telles que définies dans les orientations sur l’utilisation de solutions d’entrée en relation d’affaires à distance conformément à l’article 13, paragraphe 1, de la directive (UE) 2015/849;
• c) l’envoi d’un montant prédéfini (de préférence la plus petite valeur d’un crypto-actif donné), fixé par le PSCA, depuis et vers l’adresse auto-hébergée sur le compte du PSCA;
• d) demander au client de signer numériquement un message spécifique dans le logiciel de compte et de portefeuille avec la clé correspondant à cette adresse;
• e) d’autres moyens techniques appropriés, pour autant qu’ils permettent une évaluation fiable et sécurisée et que le PSCA soit pleinement convaincu qu’il sait qui possède ou contrôle l’adresse.

⁹ EBA/GL/2022/15.

La décision quant à la ou aux méthode(s) à choisir devrait dépendre des éléments suivants:

• a) les capacités techniques de l’adresse auto-hébergée;
• b) la fiabilité de l’évaluation que chaque méthode peut fournir; et
• c) le risque de BC/FT.

Lorsqu’une seule méthode n’est pas suffisamment fiable pour établir raisonnablement la propriété ou le contrôle d’une adresse auto-hébergée, le PSCA devrait utiliser plusieurs méthodes combinées.

Lorsque le PSCA est pleinement convaincu que l’adresse auto-hébergée appartient à son client ou est contrôlée par celui-ci, il devrait le documenter dans ses systèmes et pourrait ne pas devoir appliquer à nouveau les mesures susmentionnées aux transactions ultérieures réalisées depuis/vers la même adresse («inscription sur liste blanche»). Un PSCA ayant recours à la mise sur liste blanche devrait disposer de contrôles permettant d’identifier des changements dans le risque de BC/FT lié à l’adresse auto-hébergée et à sa propriété ou à son contrôle. Si le PSCA établit que le risque de BC/FT de l’adresse auto-hébergée a évolué ou qu’il existe des indications selon lesquelles son client ne détient plus l’adresse auto-hébergée ou ne la contrôle plus, il devrait supprimer cette adresse de sa liste blanche. 4.8.5. Mesures d’atténuation à mettre en place en ce qui concerne les transferts effectués vers ou depuis une adresse auto-hébergée

Les PSCA devraient évaluer le risque associé aux transferts effectués vers ou depuis une adresse auto-hébergée, comme indiqué à la section 4.5.3 et conformément aux orientations de l’ABE sur les facteurs de risque de BC/FT, en utilisant toutes les informations relatives aux initiateurs et aux bénéficiaires de crypto-actifs, aux schémas et aux zones géographiques, ainsi que les informations provenant de régulateurs, de services répressifs et de tiers.

Les PSCA devraient appliquer au moins l’une des mesures d’atténuation des risques visées à l’article 19 bis , paragraphe 1, de la directive (UE) 2015/849 qui sont proportionnées aux risques identifiés, notamment lorsque le PSCA:

• a) sait ou apprend que les informations relatives à l’initiateur ou au bénéficiaire de crypto-actifs utilisant l’adresse auto-hébergée sont inexactes; ou
• b) est confronté à des schémas de transactions inhabituels ou suspects ou à des situations présentant des risques plus élevés de BC/FT associés à des transferts impliquant des adresses auto-hébergées, conformément aux orientations de l’ABE sur les facteurs de risque de BC/FT.

Lorsque, à la suite de l’évaluation visée à la section 4.8.4, il est établi que l’adresse auto-hébergée est détenue ou contrôlée par un tiers et non par le client du PSCA, la vérification visée à l’article 19 bis , paragraphe 1, point a), de la directive (UE) 2015/849 peut être réputée avoir eu lieu si:

• a) le PSCA obtient des données supplémentaires auprès d’autres sources afin de vérifier les informations transmises, notamment, mais sans s’y limiter, des données analytiques sur les chaînes de blocs, des données de tiers, des données d’autorités reconnues et des informations accessibles au public, pour autant qu’elles soient fiables et indépendantes;
• b) le PSCA utilise d’autres moyens appropriés, pour autant qu’il soit pleinement convaincu qu’il connaît l’identité de l’initiateur ou du bénéficiaire de crypto-actifs et qu’il peut le démontrer à l’autorité compétente dont il relève.

Lorsque de tels transferts font naître des soupçons de BC/FT, les PSCA devraient le signaler à la cellule de renseignement financier, conformément à la directive (UE) 2015/849.