4.8. Overdrachten van cryptoactiva van of naar zelfgehoste adressen overeenkomstig artikel 14, lid 5, en artikel 16, lid 2, van Verordening (EU) 2023/1113

CADA’s en ICADA’s dienen een overdracht van cryptoactiva als individueel geïdentificeerd te beschouwen wanneer:

• a) voor elke overdracht een unieke identificatiecode wordt gebruikt, zoals een transactiehash of een referentienummer, of
• b) aanvullende informatie in de overdracht is opgenomen om deze te helpen identificeren.

4.8.2. Identificatie van een overdracht van of naar een zelfgehost adres

Om te bepalen of er al dan niet een zelfgehost adres wordt gebruikt aan het andere uiteinde van een overdracht, dienen de CADA van de initiator en de CADA van de begunstigde de beschikbare technische middelen te benutten, met inbegrip van, maar niet beperkt tot blockchainanalyse, externe gegevensaanbieders en door berichtensystemen gebruikte identificatiecodes.

Als deze informatie niet met technische middelen kan worden achterhaald, dienen de CADA van de initiator en de CADA van de begunstigde die informatie rechtstreeks van hun cliënt te verkrijgen. Wanneer de CADA van de initiator en de CADA van de begunstigde in een dergelijk geval vaststellen dat de overdracht plaatsvindt naar of van een andere CADA, dienen de CADA van de initiator en de CADA van de begunstigde de nodige stappen te ondernemen om de tegenpartij-CADA nauwkeurig te identificeren.

De CADA van de initiator dient deze beoordeling te verrichten voordat de overdracht wordt geïnitieerd en de informatie wordt verzonden in overeenstemming met artikel 14, lid 5, van Verordening (EU) 2023/1113; de CADA van de begunstigde dient deze beoordeling te verrichten voordat de cryptoactiva beschikbaar worden gesteld aan de begunstigde in overeenstemming met artikel 16, lid 2 van die verordening.

4.8.3. Identificatie van de initiator en de begunstigde bij een overdracht van of naar een zelfgehost adres

Wanneer aan het andere uiteinde van de overdracht een zelfgehost adres wordt gebruikt, dienen CADA’s de informatie over de initiator of de begunstigde bij hun cliënt in te winnen. 4.8.4. Overdrachten ter waarde van meer dan 1 000 EUR en bewijs van eigendom van of zeggenschap over een zelfgehost adres

CADA’s dienen te bepalen of een overdracht waarbij een zelfgehost adres betrokken is een waarde van 1 000 EUR of meer heeft:

• a) op het moment dat tot die overdracht opdracht wordt gegeven of de overdracht wordt geïnitieerd, in het geval van de CADA van de initiator, of
• b) op het moment van ontvangst, in het geval van de CADA van de begunstigde.

Om te bepalen of de waarde van overdrachten van of naar zelfgehoste adressen meer dan 1 000 EUR beloopt, dienen CADA’s de wisselkoers van het over te dragen cryptoactivum te gebruiken om de waarde ervan in euro’s op het tijdstip van de overdracht te berekenen, eventuele transactiekosten buiten beschouwing gelaten.

Om te beoordelen of een zelfgehost adres eigendom is of onder zeggenschap staat van respectievelijk de initiator of de begunstigde, dienen CADA’s ten minste één van de volgende verificatiemethoden te hanteren:

• a) verificatie zonder menselijke tussenkomst, zoals gespecificeerd in de richtsnoeren voor het gebruik van oplossingen voor de acceptatie van cliënten op afstand overeenkomstig artikel 13, lid 1, van Richtlijn (EU) 2015/849⁹ , waarbij het adres wordt weergegeven;
• b) verificatie met menselijke tussenkomst, zoals gespecificeerd in de richtsnoeren voor het gebruik van oplossingen voor de acceptatie van cliënten op afstand overeenkomstig artikel 13, lid 1, van Richtlijn (EU) 2015/849;
• c) overmaking van een vooraf door de CADA bepaald bedrag (bij voorkeur de kleinste denominatie van een bepaald cryptoactivum) van en naar het zelfgehoste adres op de rekening van de CADA;
• d) een verzoek aan de cliënt om een specifiek bericht in de rekening- en portemonneesoftware digitaal te ondertekenen met de sleutel die overeenkomt met dat adres;
• e) andere geschikte technische middelen, zolang deze een betrouwbare en beveiligde beoordeling mogelijk maken en de CADA met volle overtuiging weet wiens eigendom het adres is of onder wiens zeggenschap het staat.

⁹ EBA/GL/2022/15.

De keuze voor de gehanteerde methode(n) dient te worden gebaseerd op:

• a) de technische capaciteiten van het zelfgehoste adres;
• b) de robuustheid van de door elke methode opgeleverde beoordeling, en
• c) het ML/TF-risico.

Wanneer één methode alleen niet voldoende betrouwbaarheid biedt om de eigendom van of de zeggenschap over een zelfgehost adres redelijkerwijs vast te stellen, dient de CADA verschillende methoden te combineren.

Als de CADA er volledig van overtuigd is dat het zelfgehoste adres eigendom is van of onder zeggenschap staat van diens cliënt, dient deze aanbieder dit in zijn systemen op te tekenen en hoeft hij de bovenstaande maatregelen mogelijk niet opnieuw toe te passen op latere transacties van/naar hetzelfde adres (“whitelisting”). Een CADA die gebruikmaakt van whitelisting dient over controlemechanismen te beschikken waarmee veranderingen in het ML/TF-risico van het zelfgehoste adres alsmede de eigendom daarvan of zeggenschap daarover kunnen worden geïdentificeerd. Indien de CADA vaststelt dat het ML/TF-risico van het zelfgehoste adres is veranderd of dat er aanwijzingen zijn dat de cliënt niet langer eigenaar is van of zeggenschap heeft over het zelfgehoste adres, dient dit adres uit de whitelist te worden geschrapt.

4.8.5. Risicobeperkende maatregelen voor overdrachten van of naar een zelfgehost adres

CADA’s dienen het risico dat gepaard gaat met overdrachten van of naar een zelfgehost adres te beoordelen volgens de beschrijving in afdeling 4.5.3 en in overeenstemming met de EBA-richtsnoeren inzake ML/TF-risicofactoren. Daarbij dienen zij gebruik te maken van alle informatie over initiators en begunstigden, patronen en geografische gebieden, alsook van informatie die is verkregen van regelgevende instanties, rechtshandhavingsinstanties en derden.

CADA’s dienen ten minste één van de risicobeperkende maatregelen als bedoeld in artikel 19 bis, lid 1, van Richtlijn (EU) 2015/849 toe te passen, op een manier die in verhouding staat tot de vastgestelde risico’s, onder meer wanneer de CADA:

• a) zich ervan bewust is of wordt dat de informatie over de initiator of de begunstigde die het zelfgehoste adres gebruikt onjuist is, of
• b) ongebruikelijke of verdachte transactiepatronen of situaties met een hoger ML/TF-risico opmerkt in verband met overdrachten waarbij zelfgehoste adressen betrokken zijn, in overeenstemming met de EBA-richtsnoeren inzake ML/TF-risicofactoren.

Indien er naar aanleiding van de in afdeling 4.8.4 bedoelde beoordeling wordt vastgesteld dat een zelfgehost adres eigendom is van of onder zeggenschap staat van een derde persoon in plaats van de cliënt van de CADA, kan de verificatie bedoeld in artikel 19 bis, lid 1, punt a), van Richtlijn (EU) 2015/849 geacht worden te hebben plaatsgevonden wanneer die CADA:

• a) aanvullende gegevens uit andere bronnen verzamelt om de ingediende informatie te verifiëren, met inbegrip van, maar niet beperkt tot analytische blockchaingegevens, gegevens van derden, gegevens van erkende autoriteiten en openbaar beschikbare informatie, zolang deze informatie betrouwbaar en onafhankelijk is;
• b) andere geschikte middelen gebruikt, zolang de CADA er volledig van overtuigd is dat hij de identiteit van de initiator of begunstigde kent en dit aan de bevoegde autoriteit kan aantonen.

Wanneer dergelijke overdrachten vermoedens van ML/TF doen rijzen, dienen CADA’s de FIE te verwittigen overeenkomstig Richtlijn (EU) 2015/849.