Règlement sur les transferts de fonds (TFR) et crypto-actifs

Le titre complet de la norme en dit presque tout : règlement (UE) 2023/1113 du Parlement européen et du Conseil du 31 mai 2023 sur les informations accompagnant les transferts de fonds et de certains crypto-actifs et modifiant la directive (UE) 2015/849. Dans le secteur, on l’appelle TFR, pour Transfer of Funds Regulation, et l’obligation qu’il impose, travel rule ou règle de voyage : les informations sur la personne qui ordonne et sur celle qui reçoit doivent voyager avec le transfert.

La logique de la lutte contre le blanchiment est simple. Si un transfert arrive sans identifier la personne qui l’a ordonné, le destinataire ne peut pas évaluer le risque, l’autorité ne peut pas reconstituer la chaîne et la trace se perd. C’est pourquoi le régime d’information sur les transferts de fonds existe dans l’Union depuis des années. Ce que fait le règlement 2023/1113, c’est refondre ce régime et l’étendre aux crypto-actifs, en comblant la brèche qui permettait qu’une même valeur circule avec traçabilité s’il s’agissait d’un virement bancaire, et sans traçabilité s’il s’agissait d’un transfert de crypto-actifs.

La structure du règlement reflète exactement cette double nature. Après un chapitre I consacré à l’objet, au champ d’application et aux définitions, le chapitre II régit les obligations des prestataires de services de paiement et le chapitre III celles des prestataires de services sur crypto-actifs. Ce sont deux régimes parallèles, aux exigences proches mais pas identiques, et la différence la plus importante entre eux, celle des seuils, est précisément celle qui génère le plus d’erreurs.

Étant un règlement, le TFR est directement applicable : il n’a pas besoin d’être transposé et s’applique en Espagne sans qu’une norme interne ne le reproduise. Il coexiste avec la loi 10/2010 et son règlement d’application, qui restent le cadre général des obligations de prévention, et il se coordonne avec le paquet européen dont font partie le nouveau règlement LCB-FT et l’AMLA.

La conséquence pratique de cette structure est que de nombreuses entités relèvent des deux chapitres à la fois. Un prestataire de services sur crypto-actifs qui propose en outre des services de transfert de jetons de monnaie électronique peut avoir besoin d’un agrément de services de paiement et doit alors respecter les deux régimes pour des opérations distinctes. La première tâche de tout projet de conformité au TFR consiste donc à cartographier quelles opérations relèvent de quel chapitre, car les seuils et les obligations ne coïncident pas.

Deux précisions sur le fonctionnement opérationnel. La première concerne le moment : les informations sur le donneur d’ordre et le bénéficiaire doivent être transmises de manière immédiate et sécurisée et, pour les transferts par lots, le règlement exige que cette transmission ait lieu avant que la transaction ne soit finalisée ou au moment où elle l’est. Il ne suffit pas de les envoyer après : on parle de règle de voyage précisément parce que les données accompagnent le mouvement.

La seconde concerne la voie de transmission. Le règlement n’impose aucune technologie particulière. Il exige que les informations soient transmises de manière immédiate et sécurisée, ce qui a conduit le secteur, dans la pratique, à adopter des protocoles et des prestataires spécialisés de messagerie pour la travel rule. Le choix de cette infrastructure est une décision de conformité, pas seulement technique : si votre contrepartie utilise un protocole que vous ne prenez pas en charge, le transfert ne peut pas être finalisé dans de bonnes conditions.

C’est de loin la confusion la plus répandue. De nombreux projets reprennent tel quel le seuil de 1 000 € du régime des fonds et l’appliquent aux opérations sur crypto-actifs, en laissant en dehors du flux d’informations tous les transferts inférieurs à ce montant. C’est une erreur de conception aux conséquences directes : une partie substantielle des opérations circule sans les informations exigées par le règlement.

Le seuil de 1 000 € apparaît bien dans l’univers crypto, mais pour autre chose : pour activer l’obligation renforcée concernant les adresses auto-hébergées. Ce sont deux règles distinctes qui partagent un même chiffre, et les confondre produit le pire résultat possible : en faire trop peu là où il n’y a pas de seuil, tout en croyant être en conformité.

Une adresse auto-hébergée est une adresse que l’utilisateur contrôle directement, sans l’intervention d’un prestataire de services sur crypto-actifs. Il n’y a aucune contrepartie supervisée à qui demander les données du bénéficiaire ni à qui transmettre celles du donneur d’ordre. Le règlement résout cette asymétrie en reportant la charge sur le prestataire, lui, supervisé.

Le mécanisme comporte deux volets. Le premier est la vérification de la propriété ou du contrôle : lorsque le transfert vers ou depuis une adresse auto-hébergée dépasse 1 000 €, le prestataire doit vérifier si cette adresse appartient à son client ou est sous son contrôle effectif. Le second, prévu à l’article 14, paragraphe 5, est l’identification individuelle des transferts de crypto-actifs à destination d’adresses auto-hébergées. L’article 16, paragraphe 2 traite du sens inverse : les transferts en provenance d’adresses auto-hébergées.

Dans la pratique, la vérification de la propriété passe par des techniques de preuve de contrôle (signature d’un message avec la clé privée, micro-transaction de vérification ou autres méthodes équivalentes), dont l’adéquation doit être documentée. Ce qui ne fonctionne pas, c’est la simple déclaration du client : le règlement parle de vérifier, pas de recueillir une déclaration.

Il faut en outre anticiper que ce terrain évolue. Le règlement lui-même a prévu que la Commission évalue la nécessité de mesures supplémentaires concernant les transferts avec des adresses auto-hébergées. Toute politique conçue aujourd’hui doit pouvoir être révisée, et la procédure interne doit permettre de durcir les contrôles sans refaire le système.

La troisième phase est celle qui est la plus négligée et qui a le plus de conséquences. Détecter et rejeter sont des actes opérationnels qu’un système bien configuré accomplit seul. Évaluer la répétition chez une contrepartie, c’est autre chose : cela exige d’accumuler l’historique, d’appliquer un critère propre pour déterminer quand un schéma cesse d’être un incident et devient un problème, et d’agir en conséquence, de l’intensification des contrôles jusqu’à l’arrêt des relations avec cette contrepartie. Sans ce registre, l’entité ne peut pas démontrer qu’elle a fait ce que le règlement lui demande, même si, dans les faits, elle rejette des transferts tous les jours.

Le TFR s’applique à partir de la date d’application du règlement (UE) 2023/1114, MiCA, selon une disposition expresse du règlement (le considérant 64 la justifie « afin d’assurer la cohérence » entre les deux). MiCA, pour sa part, s’applique depuis le 30 décembre 2024, avec le régime transitoire de l’article 143.3 pour les prestataires qui exerçaient déjà leur activité avant cette date.

Et voici l’élément pertinent pour tout prestataire espagnol : l’Espagne n’a pas raccourci cette période transitoire, contrairement à d’autres États membres, de sorte que le grandfathering s’est prolongé jusqu’au 1er juillet 2026 ou jusqu’à ce que l’agrément soit accordé ou refusé, selon la première de ces échéances. Ce délai est désormais échu. Il en résulte qu’aujourd’hui tout prestataire de services sur crypto-actifs exerçant en Espagne doit être agréé et, de ce fait, soumis sans nuance au dispositif d’information sur les transferts.

Quant à l’autorité, la CNMV est l’autorité compétente pour les prestataires de services sur crypto-actifs en Espagne, tandis que la Banque d’Espagne conserve la compétence en matière d’agrément des services de paiement au titre de la DSP2 (ce qui est pertinent lorsque le prestataire propose des services de transfert de jetons de monnaie électronique). Ce double guichet explique pourquoi tant de projets crypto finissent par nécessiter une analyse de périmètre couvrant les deux textes : voir licence MiCA et licence d’établissement de paiement.

Il faut aussi garder à l’esprit que le texte du règlement a fait l’objet d’un rectificatif publié au Journal officiel le 3 décembre 2025, qui a porté, entre autres points, sur la définition du prestataire de services sur crypto-actifs de l’article 3, point 15, sur l’article 14, paragraphe 5 (identification individuelle des transferts vers des adresses auto-hébergées), sur l’article 16, paragraphe 2 (transferts depuis des adresses auto-hébergées) et sur l’article 28, paragraphe 2, relatif aux sanctions. Si votre manuel cite le texte original, il convient de vérifier que la rédaction que vous utilisez est bien celle en vigueur.