4.8. Transfery kryptoaktywów dokonywane z adresów niehostowanych lub na adresy niehostowane w rozumieniu art. 14 ust. 5 i art. 16 ust. 2 rozporządzenia (UE) 2023/1113

Dostawcy usług w zakresie kryptoaktywów i pośredniczący dostawcy usług w zakresie kryptoaktywów powinni uznać transfer kryptoaktywów za indywidualnie zidentyfikowany, gdy:

• a) dla każdego transferu używany jest niepowtarzalny identyfikator, taki jak skrócone oznaczenie transferu lub numer referencyjny; lub
• b) w transferze zawarto dodatkowe informacje, które mają pomóc w zidentyfikowaniu transferu.

4.8.2. Identyfikacja transferu z adresu niehostowanego lub na adres niehostowany

Aby ustalić, czy adres niehostowany jest używany po drugiej stronie transferu, dostawca usług w zakresie kryptoaktywów obsługujący inicjatora i dostawca usług w zakresie kryptoaktywów obsługujący beneficjenta powinni polegać na dostępnych środkach technicznych, w tym między innymi na analityce łańcucha bloków, zewnętrznych dostawcach danych i identyfikatorach używanych przez systemy przesyłania komunikatów.

Jeśli takich informacji nie można uzyskać za pomocą środków technicznych, dostawca usług w zakresie kryptoaktywów obsługujący inicjatora i dostawca usług w zakresie kryptoaktywów obsługujący beneficjenta powinni uzyskać te informacje bezpośrednio od swojego klienta. Jeżeli w takim przypadku dostawca usług w zakresie kryptoaktywów obsługujący inicjatora i dostawca usług w zakresie kryptoaktywów obsługujący beneficjenta ustalą, że transfer jest dokonywany do innego dostawcy usług w zakresie kryptoaktywów lub od innego dostawcy usług w zakresie kryptoaktywów, dostawca usług w zakresie kryptoaktywów obsługujący inicjatora i dostawca usług w zakresie kryptoaktywów obsługujący beneficjenta powinni podjąć niezbędne kroki w celu odpowiedniego zidentyfikowania dostawcy usług w zakresie kryptoaktywów będącego kontrahentem.

Dostawca usług w zakresie kryptoaktywów obsługujący inicjatora powinien dokonać takiej oceny przed rozpoczęciem transferu i przekazaniem informacji zgodnie z art. 14 ust. 5 rozporządzenia (UE) 2023/1113; dostawca usług w zakresie kryptoaktywów obsługujący beneficjenta powinien dokonać takiej oceny przed udostępnieniem kryptoaktywów beneficjentowi zgodnie z art. 16 ust. 2 tego rozporządzenia.

4.8.3. Identyfikacja inicjatora i beneficjenta w przypadku transferu z adresu niehostowanego lub na adres niehostowany

W przypadku gdy po drugiej stronie transferu wykorzystywany jest adres niehostowany, dostawcy usług w zakresie kryptoaktywów powinni uzyskać informacje o inicjatorze lub beneficjencie od swojego klienta.

4.8.4. Transfery powyżej 1 000 EUR i dowód posiadania lub kontrolowania adresu niehostowanego

Dostawcy usług w zakresie kryptoaktywów powinni określić, czy transfer z wykorzystaniem adresu niehostowanego wynosi lub przekracza 1 000 EUR:

• a) w momencie gdy transfer został zlecony lub zainicjowany – w przypadku dostawcy usług w zakresie kryptoaktywów obsługującego inicjatora; lub
• b) w momencie odbioru – w przypadku dostawcy usług w zakresie kryptoaktywów obsługującego beneficjenta.

Aby ustalić, czy wartość transferów z adresów niehostowanych lub na te adresy przekracza 1 000 EUR, dostawcy usług w zakresie kryptoaktywów powinni stosować kurs wymiany w celu ustalenia wartości kryptoaktywów objętych transferem w euro w momencie transferu, niezależnie od ewentualnych opłat transakcyjnych.

Aby ocenić, czy adres niehostowany jest odpowiednio własnością inicjatora lub beneficjenta lub jest przez niego kontrolowany, dostawcy usług w zakresie kryptoaktywów powinni stosować co najmniej jedną z następujących metod weryfikacji:

• a) weryfikacje bez nadzoru, o których mowa w wytycznych dotyczących wykorzystania rozwiązań w zakresie zdalnego nawiązywania relacji z klientami na podstawie art. 13 ust. 1 dyrektywy (UE) 2015/849⁹ , z podaniem adresu;
• b) weryfikacje z nadzorem, o których mowa w wytycznych dotyczących wykorzystania rozwiązań w zakresie zdalnego nawiązywania relacji z klientami na podstawie art. 13 ust. 1 dyrektywy (UE) 2015/849;
• c) przesłanie uprzednio ustalonej kwoty (najlepiej najmniejszej denominacji danego typu kryptoaktywów) określonej przez dostawcę usług w zakresie kryptoaktywów, z adresu niehostowanego i na adres niehostowany, na rachunek dostawcy usług w zakresie kryptoaktywów;
• d) żądanie od klienta podpisania w formie cyfrowej określonego komunikatu na rachunku i w oprogramowaniu portfela za pomocą klucza odpowiadającego temu adresowi;
• e) inne odpowiednie rozwiązania techniczne, o ile pozwalają one na wiarygodną i bezpieczną ocenę, a dostawca usług w zakresie kryptoaktywów jest w pełni przekonany, że wie, kto jest właścicielem adresu lub kto go kontroluje.

⁹ EBA/GL/2022/15.

Decyzja o wyborze metody lub metod powinna zależeć od:

• a) możliwości technicznych niehostowanego adresu;
• b) solidności oceny, jaką może zapewnić każda metoda; oraz
• c) ryzyka prania pieniędzy i finansowania terroryzmu.

W przypadku gdy jedna z metod sama w sobie nie jest wystarczająco wiarygodna, aby umożliwić racjonalne ustalenie, kto jest właścicielem adresu niehostowanego lub go kontroluje, dostawca usług w zakresie kryptoaktywów powinien stosować połączenie metod.

Jeżeli dostawca usług w zakresie kryptoaktywów jest w pełni przekonany, że adres niehostowany jest własnością klienta lub jest przez niego kontrolowany, dostawca usług w zakresie kryptoaktywów powinien udokumentować ten fakt w swoich systemach i nie musi ponownie stosować powyższych środków w odniesieniu do kolejnych transakcji z tego samego adresu lub na ten sam adres („biała lista”). Dostawca usług w zakresie kryptoaktywów stosujący białą listę powinien dysponować środkami kontroli, aby identyfikować zmia ny pod względem ryzyka prania pieniędzy i finansowania terroryzmu w odniesieniu do adresu niehostowanego oraz jego własności lub kontroli. Jeżeli dostawca usług w zakresie kryptoaktywów stwierdzi, że ryzyko prania pieniędzy i finansowania terroryzmu związane z adresem niehostowanym uległo zmianie lub że istnieją przesłanki wskazujące na to, że jego klient nie jest już właścicielem tego adresu ani go nie kontroluje, powinien usunąć ten adres ze swojej białej listy.

4.8.5. Środki ograniczające ryzyko, które należy wdrożyć w odniesieniu do transferów z niehostowanego adresu lub na niehostowany adres

Dostawcy usług w zakresie kryptoaktywów powinni oceniać ryzyko związane z transferami z adresu niehostowanego lub na adres niehostowany zgodnie z sekcją 4.5.3. oraz zgodnie z wytycznymi EUNB w sprawie czynników ryzyka prania pieniędzy i finansowania terroryzmu, korzystając ze wszystkich informacji dotyczących inicjatorów i beneficjentów, schematów i czynników geograficznych oraz informacji pochodzących od organów regulacyjnych, organów ścigania i osób trzecich.

Dostawcy usług w zakresie kryptoaktywów powinni stosować co najmniej jeden ze środków ograniczających ryzyko określonych w art. 19a ust. 1 dyrektywy (UE) 2015/849, współmiernych do zidentyfikowanego ryzyka, w tym gdy dostawca usług w zakresie kryptoaktywów:

• a) ma wiedzę lub dowiaduje się, że informacje dotyczące inicjatora lub beneficjenta korzystającego z adresu niehostowanego są nieprawidłowe; lub
• b) napotyka nietypowe lub podejrzane schematy transakcji lub sytuacje wyższego ryzyka prania pieniędzy lub finansowania terroryzmu związane z transferami, które obejmują adresy niehostowane, zgodnie z wytycznymi EUNB w sprawie czynników ryzyka prania pieniędzy i finansowania terroryzmu.

W przypadku gdy w wyniku oceny, o której mowa w sekcji 4.8.4, zostanie ustalone, że adres niehostowany jest własnością osoby trzeciej lub jest przez nią kontrolowany, a nie jest własnością klienta dostawcy usług w zakresie kryptoaktywów lub nie jest kontrolowany przez tego klienta, weryfikację, o której mowa w art. 19a ust. 1 lit. a) dyrektywy (UE) 2015/849, można uznać za przeprowadzoną, jeżeli:

• a) Dostawca usług w zakresie kryptoaktywów zbiera dodatkowe dane z innych źródeł w celu weryfikacji przedłożonych informacji, w tym między innymi dane analityczne dotyczące łańcucha bloków, dane osób trzecich, dane uznawanych organów oraz informacje publicznie dostępne, o ile są one wiarygodne i niezależne.
• b) Dostawca usług w zakresie kryptoaktywów stosuje inne odpowiednie rozwiązania, o ile jest w pełni przekonany, że zna tożsamość inicjatora lub beneficjenta, i jest w stanie to wykazać przed właściwym organem.

W przypadku gdy takie transfery budzą podejrzenia pod względem prania pieniędzy i finansowania terroryzmu, dostawcy usług w zakresie kryptoaktywów powinni zgłaszać je jednostce analityki finansowej zgodnie z dyrektywą (UE) 2015/849.