Implementiamo la conformità alla Travel Rule —il Regolamento (UE) 2023/1113— nella tua operatività cripto: acquisizione, verifica e trasmissione dei dati dell’originator e del beneficiario in ogni trasferimento, gestione dei dati mancanti ed evidenze pronte per l’ispezione. Applicabile dal 30 dicembre 2024, impone di verificare i wallet autoospitati sopra i 1.000 €.
Consulenza gratuita
Ti rispondiamo entro 24 ore
La Travel Rule è l’obbligo di tracciabilità che impone che i trasferimenti di cripto-attività siano accompagnati da informazioni sull’originator (l’ordinante) e sul beneficiario. Nell’Unione europea è attuata dal Regolamento (UE) 2023/1113 —il Transfer of Funds Regulation o TFR—, che ha riformato il vecchio regime (limitato ai bonifici bancari) estendendolo alle cripto-attività.
È applicabile dal 30 dicembre 2024 e forma, insieme a MiCA, un quadro duplice: MiCA disciplina i servizi e gli emittenti; il TFR disciplina i trasferimenti. Un punto che si confonde spesso: l’obbligo di fornire i dati vale per tutti i trasferimenti in cui interviene un prestatore di servizi per le cripto-attività (CASP), senza importo minimo. La verifica rafforzata scatta solo per i wallet autoospitati sopra i 1.000 €. E non è «un documento»: è un processo operativo con controlli ed evidenze.
Non consegniamo una policy isolata, ma un’implementazione completa e audit-ready: dalla diagnosi e dai flussi alla verifica dell’autocustodia, alla gestione delle controparti e alle evidenze.
Analizziamo il tuo modello (custodia/autocustodia), i tuoi flussi e le tue controparti rispetto al Regolamento (UE) 2023/1113 e agli orientamenti dell’EBA, e definiamo la mappa dei requisiti e il piano di implementazione.
Definiamo i dati obbligatori per tipo di trasferimento, le convalide, la gestione dei dati mancanti, i rifiuti, le escalation e la conservazione delle evidenze. Il processo, non solo la carta.
Progettiamo il playbook di autocustodia: verifica della proprietà o del controllo sopra i 1.000 €, scoring del rischio, escalation e documentazione con un metodo ragionevole e ripetibile.
Definiamo il quadro di relazione con le controparti dell’UE e dei paesi terzi: compatibilità, formato, sicurezza nella trasmissione e misure rafforzate quando serve.
Stabiliamo le regole di accettazione, rifiuto, nuovi tentativi ed escalation, e il registro delle decisioni (perché un trasferimento è stato bloccato o consentito), come richiedono gli orientamenti dell’EBA.
Definiamo i registri minimi per trasferimento (dati trasmessi e ricevuti, esito delle convalide, tempi), la conservazione e la «modalità ispezione» per rispondere in fretta alle richieste di informazioni.
La Travel Rule impone al prestatore di gestire i dati dell’originator e del beneficiario in modo sicuro e tracciabile. Il punto critico non è solo «avere» il dato, ma la sua qualità, la sua trasmissione alla controparte, la convalida alla ricezione e la gestione delle anomalie.
È qui che si concentrano i maggiori blocchi e rilievi nelle verifiche. L’obbligo di raccogliere i dati vale sempre; la soglia di 1.000 € aggiunge la verifica che il cliente sia proprietario o controlli il wallet di autocustodia.
La Travel Rule scatta quando nel trasferimento interviene almeno un prestatore di servizi per le cripto-attività stabilito nell’UE. Se muovi cripto per conto di clienti, quasi certamente ci rientri.
«Exchange, custodi, broker e prestatori di trasferimenti che eseguono operazioni per conto dei clienti devono raccogliere, trasmettere e conservare i dati di ogni trasferimento di cripto-attività.»
«Chi custodisce o trasferisce cripto-attività per conto di terzi gestisce informazioni, convalide e tracciabilità, e deve sapere come agire quando una controparte non fornisce i dati completi.»
«I prestatori che intervengono nella catena di un trasferimento come intermediari devono conservare le informazioni, gestire i rifiuti e mantenere la tracciabilità lungo tutta la catena.»
«Il Regolamento (UE) 2023/1113 unifica il quadro dei trasferimenti di fondi e di cripto-attività; gli istituti di pagamento già soggetti a tracciabilità vedono rafforzati la trasparenza e il contrasto al riciclaggio.»
L’obiettivo non è «avere una policy», ma operare con dati e tracciabilità, con meno attrito ed evidenze difendibili in caso di ispezione. Questi sono i rischi che espongono di più.
Il Regolamento (UE) 2023/1113 è pienamente applicabile dal 30 dicembre 2024. Non è un obiettivo futuro: la Travel Rule si applica già a ogni trasferimento.
Dati incompleti o incoerenti: acquisire campi senza controllo di qualità (formati, identità, indirizzi DLT) provoca rifiuti e carico di lavoro per il back office.
Mancanza di una procedura per verificare la proprietà o il controllo del wallet self-hosted sopra i 1.000 € e per documentare l’evidenza di tale verifica.
Cattiva gestione dei «dati mancanti»: senza un playbook per i trasferimenti con dati incompleti, si blocca troppo (perdi business) o troppo poco (rischio di riciclaggio).
Nessun audit trail: senza log minimi né tracciabilità per operazione, rispondere a una richiesta di informazioni diventa lento, costoso e rischioso.
Sanzioni e attrito: l’inadempimento AML/CFT espone a sanzioni (in Spagna, Legge 10/2010) e a blocchi e rifiuti da parte di banche e controparti.
Se non riesci a ricostruire un trasferimento in due minuti (dati, convalide e decisione), non lo è. Facciamo la diagnosi, progettiamo i flussi e lasciamo le evidenze in «modalità ispezione».
Una buona implementazione trasforma la Travel Rule in una sequenza operativa ripetibile: acquisire, trasmettere, convalidare, gestire le anomalie e conservare l’evidenza di ogni operazione.
La Travel Rule può essere implementata con diversi livelli di automazione. Scegliere bene evita attrito, rifiuti e costi operativi in più.
Rispetto a una «conformità sulla carta», ciò che fa la differenza è che il processo sia operabile, difendibile e rapido da eseguire, con evidenze per operazione.
Un’implementazione completa e audit-ready, centrata sull’operatività reale, in 2-6 settimane a seconda di volumi, controparti e automazione.
| Caratteristica | Base (manuale) | Automatizzata (API/provider) |
|---|---|---|
| Tempi di implementazione | Rapida per un MVP, ma più attrito al crescere dei volumi | Più progettazione iniziale, migliore scalabilità |
| Gestione dei dati mancanti | Operatività pesante (supporto e back office) | Convalida e instradamento automatizzati |
| Autocustodia (self-hosted) | Verifica ed evidenze più manuali | Metodi di verifica integrati e tracciabili |
| Audit trail | Rischio di incoerenze senza disciplina | Log ed evidenze coerenti per progettazione |
La strategia ottimale è di solito il «manuale controllato» per volumi bassi e l’«automatizzato» quando c’è crescita, più controparti o autocustodia frequente. Tabella indicativa; questa pagina ha carattere informativo e non costituisce consulenza.
È l’insieme degli obblighi di tracciabilità che impongono che i trasferimenti di cripto-attività siano accompagnati da informazioni sull’originator e sul beneficiario. Nell’UE è attuata dal Regolamento (UE) 2023/1113, applicabile ai trasferimenti in cui interviene almeno un CASP stabilito nell’Unione. In pratica significa acquisire i dati, trasmetterli, convalidarli e gestire le anomalie.
Il quadro principale è il Regolamento (UE) 2023/1113 (Transfer of Funds Regulation, TFR), che ha riformato il vecchio Regolamento (UE) 2015/847, insieme agli orientamenti dell’EBA (EBA/GL/2024/11) sulle informazioni nei trasferimenti di fondi e di cripto-attività. Lo standard internazionale di riferimento è la Raccomandazione 16 del GAFI (FATF).
Il Regolamento (UE) 2023/1113 è applicabile dal 30 dicembre 2024, in contemporanea con la piena applicazione di MiCA. Da quella data, ogni trasferimento di cripto-attività in cui interviene un CASP dell’UE deve rispettare la Travel Rule.
Dati dell’originator (nome, numero di conto o indirizzo DLT e, a seconda dei casi, indirizzo, numero di documento, identificativo cliente o data e luogo di nascita) e del beneficiario (nome e numero di conto o indirizzo). Per le persone giuridiche, il LEI è l’identificativo preferito. Il punto critico non è solo «avere» il dato, ma la sua qualità, trasmissione, convalida e gestione delle anomalie.
Quando interviene un indirizzo autoospitato, il CASP deve ottenere le informazioni richieste. E per i trasferimenti superiori a 1.000 € scatta l’obbligo di verificare che il cliente sia proprietario o controlli quell’indirizzo, applicando un metodo ragionevole e documentato (per esempio la firma di un messaggio con la chiave associata, o l’analisi della blockchain), in conformità agli orientamenti dell’EBA.
La Travel Rule scatta quando nel trasferimento interviene almeno un CASP. I trasferimenti puramente tra wallet autoospitati, senza alcun CASP, di solito restano fuori dal suo ambito, ma i rischi di riciclaggio possono richiedere misure interne a seconda del tuo modello. L’applicabilità esatta dipende dal flusso e dal ruolo della tua società.
Gli orientamenti dell’EBA impongono di rilevare le informazioni mancanti o incomplete, di richiederle alla controparte (con solleciti) e di decidere, in base alle policy interne, se eseguire, rifiutare o sospendere il trasferimento. Bisogna inoltre informare il prestatore precedente nella catena e registrare la decisione e il suo motivo.
L’inadempimento degli obblighi AML/CFT (compresa la tracciabilità) aumenta il rischio di sanzioni amministrative, richieste di informazioni e limitazioni operative, oltre all’impatto reputazionale e ai blocchi e rifiuti dei trasferimenti da parte di banche e controparti. In Spagna il regime sanzionatorio antiriciclaggio (Legge 10/2010) prevede multe significative per le infrazioni gravi e molto gravi.
Dipende. Il Regolamento si applica alle «cripto-attività» come le definisce MiCA, che esclude gli NFT davvero unici e non fungibili. Tuttavia, gli NFT che, pur apparendo unici, sono emessi in serie o sono funzionalmente fungibili possono rientrare nell’ambito e quindi essere soggetti alla Travel Rule. Conviene analizzare caso per caso.
Dipende dal volume, dal modello operativo (custodia o autocustodia), dal numero di controparti e dal livello di automazione. Come riferimento, i progetti partono da 1.995 €. Per una stima precisa, scrivici qui.
No per l’obbligo generale di dati: si applica a tutti i trasferimenti in cui interviene un CASP, indipendentemente dall’importo. La soglia di 1.000 € determina solo quando bisogna verificare la proprietà o il controllo di un wallet autoospitato.
Il LEI (Legal Entity Identifier) è un identificativo univoco di 20 caratteri per le persone giuridiche che partecipano a operazioni finanziarie. Ai sensi del TFR è l’identificativo preferito per gli originator che siano persone giuridiche.
Formano un quadro duplice: MiCA (Regolamento 2023/1114) disciplina i servizi e gli emittenti di cripto-attività; il TFR (Regolamento 2023/1113) disciplina i trasferimenti. Entrambi hanno iniziato ad applicarsi pienamente il 30 dicembre 2024.
Un’implementazione solida è di solito operativa in 2-6 settimane, a seconda del volume, del modello (custodia o autocustodia), del numero di controparti e del livello di automazione. Ciò che allunga di più i tempi è la produzione delle evidenze e i test end-to-end.
È un prestatore che interviene nella catena di un trasferimento di cripto-attività come intermediario, senza essere quello dell’originator né quello del beneficiario. Deve conservare le informazioni, trasmetterle e gestire i rifiuti mantenendo la tracciabilità lungo la catena.
La trasmissione di dati personali tra prestatori deve rispettare il GDPR (Regolamento (UE) 2016/679): minimizzazione, base giuridica e garanzie, soprattutto nei trasferimenti verso paesi terzi. È un equilibrio tra tracciabilità AML e protezione dei dati che deve essere documentato.
La Travel Rule è un obbligo operativo continuo che accompagna ogni trasferimento. Un report di tracciabilità è un’analisi forense puntuale del percorso di determinati fondi (per esempio in caso di indagine o di incidente). Sono cose diverse e complementari.
Implementarla non significa redigere una policy: significa progettare flussi, convalidare i dati, risolvere i dati mancanti, verificare l’autocustodia e lasciare evidenze per ogni operazione. L’ordine conta.
Un’implementazione efficace si regge su dati di qualità, convalide ed evidenze per ogni trasferimento, non su un documento generico che si rompe quando crescono i volumi.
Qui si concentrano i maggiori blocchi e rilievi. La verifica sopra i 1.000 € deve essere documentata e ripetibile per tutti i casi comparabili.
Senza un playbook per i dati mancanti, si blocca troppo (perdi business) o troppo poco (rischio di riciclaggio). La chiave è l’equilibrio tra rischio, attrito ed evidenza.
Vuoi collocare la Travel Rule nel quadro complessivo delle cripto? Guarda il Regolamento MiCA, la licenza CASP e l’antiriciclaggio (AML/CFT).
Implementare la Travel Rule è una sequenza ordinata (diagnosi, policy, autocustodia, test ed evidenze) senza bloccare la tua operatività quotidiana. Ecco il percorso.
1) Gap e progettazioneAnalizziamo il tuo modello (custodia o autocustodia), i tuoi flussi (inbound/outbound), le tue controparti e i tuoi strumenti, e definiamo la mappa dei requisiti e il piano di implementazione.
2) PolicyRedigiamo le procedure operative: dati obbligatori, convalide, gestione dei dati mancanti, rifiuti, escalation e conservazione delle evidenze.
3) AutocustodiaPlaybook per i wallet self-hosted: verifica sopra i 1.000 €, criteri di rischio e documentazione. Definiamo il quadro di relazione con le controparti dell’UE e dei paesi terzi.
4) Test + evidenzeTest dei trasferimenti end-to-end, generazione dei log minimi e consegna di evidenze pronte per l’ispezione, con formazione del team operations, compliance e supporto.
Decisione rapidaSi applica la Travel Rule: bisogna raccogliere, trasmettere, convalidare e conservare i dati.
Inoltre, verificare la proprietà o il controllo del wallet con un metodo documentato.
Di solito resta fuori, ma il rischio di riciclaggio può richiedere misure interne.
Ruoli definiti, regole di accettazione/rifiuto e sicurezza nella trasmissione.
Evita la «conformità informale» che si rompe quando crescono i volumi.
Campi per tipo di trasferimento, convalide e dati mancanti documentati.
In un formato presentabile ed esportabile.
Verifica della proprietà o del controllo, con il metodo scelto e la sua evidenza.
Stesso standard per tutti i casi comparabili.
Conservazione delle evidenze e capacità di esportare per periodo, cliente e controparte.
UE: ≥ 5 anni; in Spagna la Legge 10/2010 richiede 10 anni.
Minimizzazione e rispetto del GDPR nel trattamento e nella trasmissione.
Equilibrio tra tracciabilità AML e protezione dei dati.
Anticipali per non perdere business bloccando troppo e per non assumere rischi bloccando troppo poco.
Se stai per implementare la Travel Rule, questi termini compaiono nella diagnosi, nella progettazione dei flussi e nella risposta alle richieste di informazioni.
Obbligo che i trasferimenti di cripto-attività siano accompagnati da informazioni sull’originator e sul beneficiario, con convalida e tracciabilità.
Il Transfer of Funds Regulation. Estende alle cripto-attività le regole di tracciabilità dei trasferimenti di fondi.
EBA/GL/2024/11: specificano come rilevare e gestire i dati mancanti o incompleti e come verificare i wallet autoospitati.
Persona che ordina il trasferimento di cripto-attività. I suoi dati (nome, conto/indirizzo e, se del caso, ulteriori elementi di identificazione) devono viaggiare con l’operazione.
Persona che riceve il trasferimento. Devono accompagnarlo, almeno, il suo nome e il suo numero di conto o indirizzo.
Wallet di autocustodia controllato dall’utente, non da un prestatore. Sopra i 1.000 € richiede di verificare proprietà o controllo.
Legal Entity Identifier: codice univoco di 20 caratteri per le persone giuridiche. È l’identificativo preferito per gli originator che siano imprese.
Prestatore di servizi per le cripto-attività. È il suo intervento in un trasferimento ad attivare la Travel Rule.
Prestatore che interviene come intermediario nella catena di un trasferimento, senza essere quello dell’originator né quello del beneficiario.
Traccia di audit: registro minimo per trasferimento (dati trasmessi e ricevuti, convalide, decisioni e tempi) che permette di ricostruire l’operazione.
La Raccomandazione 16 del Gruppo di azione finanziaria internazionale è lo standard globale della «travel rule» per le attività virtuali, all’origine del quadro europeo.
Informazioni obbligatorie assenti o incomplete in un trasferimento. Obbliga a richiederle e a decidere se eseguire, rifiutare o sospendere l’operazione.
Una risorsa pratica per preparare la conformità: campi obbligatori per tipo di trasferimento, regole di gestione dei dati mancanti, procedura di verifica dell’autocustodia, log minimi e checklist di ispezione.
Raccontaci il tuo modello (custodia o autocustodia), il tuo volume e le tue controparti, e ti diciamo quali dati devi acquisire, come gestire i dati mancanti, come verificare l’autocustodia e come lasciare le evidenze pronte per l’ispezione.
La Travel Rule europea è il Regolamento (UE) 2023/1113, del 31 maggio 2023, riguardante le informazioni che accompagnano i trasferimenti di fondi e di determinate cripto-attività, che ha modificato la Direttiva (UE) 2015/849 e abrogato il Regolamento (UE) 2015/847. È applicabile dal 30 dicembre 2024 e forma, insieme a MiCA (Regolamento (UE) 2023/1114), un quadro duplice: MiCA disciplina i servizi e gli emittenti; il TFR disciplina i trasferimenti.
L’obbligo di fornire i dati dell’originator e del beneficiario si applica a tutti i trasferimenti in cui interviene un CASP, senza importo minimo. La soglia di 1.000 € attiva soltanto la verifica della proprietà o del controllo dei wallet autoospitati. Gli orientamenti dell’EBA (EBA/GL/2024/11, del 4 luglio 2024) dettagliano come gestire i dati mancanti o incompleti e come verificare l’autocustodia. Lo standard internazionale di riferimento è la Raccomandazione 16 del GAFI (FATF).
La Travel Rule non opera in modo isolato: si integra con l’autorizzazione come CASP ai sensi di MiCA e con gli obblighi di antiriciclaggio (AML/CFT) che in Spagna disciplina la Legge 10/2010, sotto la vigilanza del SEPBLAC. La trasmissione di dati personali deve inoltre rispettare il GDPR (Regolamento (UE) 2016/679). Per questo conviene progettarla in modo integrato con il resto del programma di compliance, non come un adempimento isolato.
Puoi consultare la normativa direttamente nelle fonti ufficiali: Regolamento (UE) 2023/1113 (EUR-Lex), la sua pubblicazione sul BOE e gli Orientamenti dell’EBA (EBA/GL/2024/11). Questa pagina ha carattere informativo e non costituisce consulenza legale; ogni società deve analizzare il proprio caso singolarmente.
Normativa di riferimento, con link al testo ufficiale:
Normativa e link verificati a .