Regolamento sui trasferimenti di fondi (TFR): fondi e cripto-attività

Il nome completo della norma spiega quasi tutto: Regolamento (UE) 2023/1113 del Parlamento europeo e del Consiglio, del 31 maggio 2023, riguardante i dati informativi che accompagnano i trasferimenti di fondi e di talune cripto-attività e che modifica la Direttiva (UE) 2015/849. Nel settore si chiama TFR, da Transfer of Funds Regulation, e l’obbligo che impone si chiama Travel Rule, o regola del viaggiatore: le informazioni su chi ordina e su chi riceve devono viaggiare insieme al trasferimento.

La logica antiriciclaggio è semplice. Se un trasferimento arriva senza identificare chi lo ha ordinato, il ricevente non può valutare il rischio, l’autorità non può ricostruire la catena e la traccia si perde. Per questo il regime informativo sui trasferimenti di fondi esiste nell’Unione da anni. Ciò che fa il Regolamento 2023/1113 è rifondere quel regime ed estenderlo alle cripto-attività, colmando la lacuna per cui uno stesso valore poteva muoversi con tracciabilità se si trattava di un bonifico bancario e senza tracciabilità se si trattava di un trasferimento di cripto-attività.

La struttura del regolamento riflette esattamente questa doppia natura. Dopo un capitolo I dedicato a oggetto, ambito di applicazione e definizioni, il capitolo II disciplina gli obblighi dei prestatori di servizi di pagamento e il capitolo III quelli dei prestatori di servizi per le cripto-attività. Sono due regimi paralleli, con requisiti simili ma non identici, e la differenza più importante tra i due – quella delle soglie – è proprio quella che genera più errori.

Essendo un regolamento, il TFR è direttamente applicabile: non richiede recepimento e si applica in Spagna senza bisogno di una norma interna che lo riproduca. Convive con la Legge 10/2010 e con il suo regolamento di attuazione, che restano il quadro generale degli obblighi di prevenzione, e si coordina con il pacchetto europeo di cui fanno parte il nuovo regolamento antiriciclaggio e l’AMLA.

La conseguenza pratica di questa struttura è che molti enti ricadono in entrambi i capitoli. Un prestatore di servizi per le cripto-attività che offre anche servizi di trasferimento di token di moneta elettronica può aver bisogno dell’autorizzazione per i servizi di pagamento e, in tal caso, deve rispettare i due regimi su operatività diverse. Il primo compito di qualsiasi progetto di conformità al TFR è quindi mappare quale operatività ricade in quale capitolo, perché soglie e obblighi non coincidono.

Due precisazioni sul funzionamento operativo. La prima riguarda il momento: le informazioni sull’originator e sul beneficiario devono essere presentate in modo immediato e sicuro e, nel caso dei trasferimenti collettivi, il regolamento richiede che la presentazione avvenga prima che la transazione sia completata o nel momento in cui lo è. Non vale inviarle dopo: la regola si chiama «del viaggiatore» proprio perché i dati accompagnano il movimento.

La seconda riguarda il canale. Il regolamento non impone una tecnologia di trasmissione specifica. Richiede che le informazioni siano trasmesse in modo immediato e sicuro, e nella pratica questo ha portato il settore ad adottare protocolli e fornitori specializzati di messaggistica per la Travel Rule. La scelta di questa infrastruttura è una decisione di compliance, non solo tecnica: se la tua controparte usa un protocollo che tu non supporti, il trasferimento non può essere completato regolarmente.

Questa è, di gran lunga, la confusione più diffusa. Molti progetti importano semplicemente la soglia di 1.000 € del regime dei fondi e la applicano all’operatività in cripto-attività, lasciando fuori dal flusso informativo tutti i trasferimenti sotto quella cifra. È un errore di progettazione con conseguenze dirette: significa che una parte sostanziale dell’operatività circola senza le informazioni richieste dal regolamento.

La soglia di 1.000 € compare sì nel mondo cripto, ma per un’altra cosa: per attivare l’obbligo rafforzato relativo agli indirizzi autoospitati. Sono due regole distinte che condividono la stessa cifra, e confonderle produce il risultato peggiore possibile: rispettare meno di quanto dovuto dove non c’è soglia e, allo stesso tempo, credere di essere in regola.

Un indirizzo autoospitato è un indirizzo che l’utente controlla direttamente, senza l’intermediazione di un prestatore di servizi per le cripto-attività. Non c’è una controparte vigilata a cui chiedere i dati del beneficiario né a cui trasmettere quelli dell’originator. Il regolamento risolve questa asimmetria spostando l’onere sul prestatore che invece è vigilato.

Il meccanismo ha due elementi. Il primo è la verifica della titolarità o del controllo: quando il trasferimento da o verso un indirizzo autoospitato supera i 1.000 €, il prestatore deve verificare se quell’indirizzo è di proprietà del suo cliente o è sotto il suo controllo effettivo. Il secondo, previsto dall’articolo 14, paragrafo 5, è l’identificazione individuale dei trasferimenti di cripto-attività diretti a indirizzi autoospitati. L’articolo 16, paragrafo 2 riguarda il senso inverso: i trasferimenti provenienti da indirizzi autoospitati.

Nella pratica, la verifica della titolarità si risolve con tecniche di prova di controllo – firma di un messaggio con la chiave privata, microtransazione di verifica o altri metodi equivalenti – la cui idoneità deve essere documentata. Ciò che non funziona è la semplice dichiarazione del cliente: il regolamento parla di verificare, non di raccogliere una dichiarazione.

Conviene inoltre anticipare che questo è un terreno in evoluzione. Lo stesso regolamento ha previsto che la Commissione valutasse la necessità di misure aggiuntive sui trasferimenti con indirizzi autoospitati. Qualsiasi policy progettata oggi deve essere rivedibile, e la procedura interna deve consentire di irrigidire i controlli senza rifare il sistema.

La terza fase è quella più trascurata e quella con più conseguenze. Rilevare e respingere sono atti operativi che un sistema ben configurato svolge da solo. Valutare la ripetizione di una controparte è un’altra cosa: richiede di accumulare lo storico, applicare un criterio proprio su quando uno schema smette di essere un incidente e diventa un problema, e agire di conseguenza – dall’intensificare i controlli fino a smettere di operare con quella controparte. Senza questo registro, l’ente non può dimostrare di aver fatto ciò che il regolamento richiede, anche se di fatto respinge trasferimenti ogni giorno.

Il TFR si applica a partire dalla data di applicazione del Regolamento (UE) 2023/1114, MiCA, per espressa previsione del regolamento – il considerando 64 lo giustifica «al fine di garantire la coerenza» tra i due. MiCA, a sua volta, si applica dal 30 dicembre 2024, con il regime transitorio dell’articolo 143.3 per i prestatori che già operavano prima di quella data.

E qui c’è il dato rilevante per qualsiasi prestatore spagnolo: la Spagna non ha abbreviato quel periodo transitorio, a differenza di altri Stati membri, per cui il grandfathering si è esteso fino al 1° luglio 2026 o fino alla concessione o al diniego dell’autorizzazione, a seconda di quale evento si verificasse per primo. Quel termine è ormai scaduto. La conseguenza è che oggi ogni prestatore di servizi per le cripto-attività che operi in Spagna deve essere autorizzato e, con ciò, soggetto senza sfumature al regime informativo sui trasferimenti.

Quanto all’autorità, la CNMV è l’autorità competente per i prestatori di servizi per le cripto-attività in Spagna, mentre la Banca di Spagna mantiene la competenza sull’autorizzazione dei servizi di pagamento ai sensi della PSD2 – il che è rilevante quando il prestatore offre servizi di trasferimento di token di moneta elettronica. Questo doppio sportello spiega perché tanti progetti cripto finiscono per aver bisogno di un’analisi del perimetro che copra entrambe le norme: vedi licenza MiCA e licenza di istituto di pagamento.

Conviene inoltre tenere presente che il testo del regolamento è stato oggetto di una rettifica pubblicata nella Gazzetta ufficiale il 3 dicembre 2025, che ha interessato, tra l’altro, la definizione di prestatore di servizi per le cripto-attività dell’articolo 3, punto 15, l’articolo 14, paragrafo 5 – identificazione individuale dei trasferimenti verso indirizzi autoospitati –, l’articolo 16, paragrafo 2 – trasferimenti da indirizzi autoospitati – e l’articolo 28, paragrafo 2, sulle sanzioni. Se il tuo manuale cita il testo originale, conviene verificare che la formulazione che usi sia quella vigente.