Regulamento de transferências de fundos e criptoativos (TFR)

O nome completo da norma explica quase tudo: Regulamento (UE) 2023/1113 do Parlamento Europeu e do Conselho, de 31 de maio de 2023, relativo às informações que acompanham as transferências de fundos e de determinados criptoativos e que altera a Diretiva (UE) 2015/849. No setor, ele é chamado de TFR, por Transfer of Funds Regulation, e a obrigação que impõe, de travel rule ou regra de viagem: as informações sobre quem ordena e quem recebe devem viajar junto com a transferência.

A lógica de prevenção à lavagem de dinheiro é simples. Se uma transferência chega sem identificar quem a ordenou, o destinatário não consegue avaliar o risco, a autoridade não consegue reconstruir a cadeia e o rastro se perde. Por isso, o regime de informações nas transferências de fundos existe na União há anos. O que o Regulamento 2023/1113 faz é reformular esse regime e estendê-lo aos criptoativos, fechando a brecha que permitia que um mesmo valor circulasse com rastreabilidade se fosse uma transferência bancária e sem ela se fosse uma transferência de criptoativos.

A estrutura do regulamento reflete exatamente essa dupla natureza. Depois de um capítulo I de objeto, âmbito de aplicação e definições, o capítulo II regula as obrigações dos prestadores de serviços de pagamento e o capítulo III, as dos prestadores de serviços de criptoativos. São dois regimes paralelos, com exigências parecidas, mas não idênticas, e a diferença mais importante entre eles —a dos limites— é justamente a que gera mais erros.

Por ser um regulamento, o TFR é diretamente aplicável: não exige transposição e se aplica na Espanha sem necessidade de uma norma interna que o reproduza. Ele convive com a Lei 10/2010 e com o seu regulamento de desenvolvimento, que continuam sendo o marco geral das obrigações de prevenção, e se coordena com o pacote europeu do qual fazem parte o novo Regulamento de PLD e a AMLA.

A consequência prática dessa estrutura é que muitas entidades se enquadram nos dois capítulos ao mesmo tempo. Um prestador de serviços de criptoativos que também oferece serviços de transferência de tokens de moeda eletrônica pode precisar de autorização de serviços de pagamento e, nesse caso, tem de cumprir os dois regimes sobre operações diferentes. A primeira tarefa de qualquer projeto de cumprimento do TFR é, portanto, mapear quais operações se enquadram em cada capítulo, porque os limites e as obrigações não coincidem.

Duas precisões sobre o funcionamento operacional. A primeira se refere ao momento: as informações do originador e do beneficiário devem ser apresentadas de forma imediata e segura e, no caso das transferências em lote, o regulamento exige que essa apresentação ocorra antes da conclusão da transação ou no momento em que ela se concluir. Não vale enviá-las depois: a regra se chama de viagem justamente porque os dados acompanham a movimentação.

A segunda se refere ao meio. O regulamento não impõe uma tecnologia específica de transmissão. Exige que as informações sejam transmitidas de forma imediata e segura, o que, na prática, levou o setor a adotar protocolos e fornecedores especializados de mensageria para a Travel Rule. A escolha dessa infraestrutura é uma decisão de compliance, não apenas técnica: se a sua contraparte usa um protocolo que você não suporta, a transferência não pode ser concluída nas condições devidas.

Esta é, de longe, a confusão mais difundida. Muitos projetos importam sem mais o limite de € 1.000 do regime de fundos e o aplicam às operações com criptoativos, deixando fora do fluxo de informações todas as transferências abaixo desse valor. É um erro de desenho com consequências diretas: significa que uma parte substancial das operações circula sem as informações exigidas pelo regulamento.

O limite de € 1.000 aparece, sim, no mundo cripto, mas para outra finalidade: ativar a obrigação reforçada em relação aos endereços autocustodiados. São duas regras diferentes que compartilham o mesmo valor, e confundi-las produz o pior resultado possível: cumprir de menos onde não há limite e, ao mesmo tempo, acreditar que se está cumprindo.

Um endereço autocustodiado é aquele que o usuário controla diretamente, sem a intermediação de um prestador de serviços de criptoativos. Não há contraparte supervisionada à qual pedir os dados do beneficiário nem à qual transmitir os do originador. O regulamento resolve essa assimetria transferindo o ônus para o prestador que, este sim, é supervisionado.

O mecanismo tem duas peças. A primeira é a verificação da titularidade ou do controle: quando a transferência para ou a partir de um endereço autocustodiado supera € 1.000, o prestador deve verificar se esse endereço pertence ao seu cliente ou está sob o controle efetivo dele. A segunda, prevista no artigo 14, n.º 5, é a identificação individual das transferências de criptoativos destinadas a endereços autocustodiados. O artigo 16, n.º 2 trata do sentido inverso: as transferências provenientes de endereços autocustodiados.

Na prática, a verificação da titularidade se resolve por meio de técnicas de prova de controle —assinatura de uma mensagem com a chave privada, microtransação de verificação ou outros métodos equivalentes—, cuja adequação deve ficar documentada. O que não funciona é a simples declaração do cliente: o regulamento fala em verificar, não em obter uma declaração.

Também convém antecipar que este é um terreno em movimento. O próprio regulamento previu que a Comissão avaliasse a necessidade de medidas adicionais em relação às transferências com endereços autocustodiados. Qualquer política desenhada hoje deve ser revisável, e o procedimento interno deve permitir endurecer os controles sem refazer o sistema.

A terceira fase é a mais negligenciada e a que tem mais consequências. Detectar e rejeitar são atos operacionais que um sistema bem configurado faz sozinho. Avaliar a reiteração de uma contraparte é outra coisa: exige acumular o histórico, aplicar um critério próprio sobre quando um padrão deixa de ser um incidente e passa a ser um problema, e agir em consequência —desde intensificar os controles até deixar de operar com essa contraparte—. Sem esse registro, a entidade não consegue comprovar que fez o que o regulamento exige, ainda que, de fato, esteja rejeitando transferências todos os dias.

O TFR se aplica a partir da data de aplicação do Regulamento (UE) 2023/1114, o MiCA, por previsão expressa do regulamento —o considerando 64 o justifica «a fim de assegurar a coerência» entre ambos—. O MiCA, por sua vez, se aplica desde 30 de dezembro de 2024, com o regime transitório do artigo 143.3 para os prestadores que já operavam antes dessa data.

E aqui está o dado relevante para qualquer prestador espanhol: a Espanha não encurtou esse período transitório, diferentemente de outros Estados-membros, de modo que o grandfathering se estendeu até 1º de julho de 2026 ou até que a autorização fosse concedida ou negada, o que ocorresse primeiro. Esse prazo já venceu. A consequência é que hoje todo prestador de serviços de criptoativos que opere na Espanha deve estar autorizado e, com isso, sujeito sem ressalvas ao regime de informações nas transferências.

Quanto à autoridade, a CNMV é a autoridade competente para os prestadores de serviços de criptoativos na Espanha, enquanto o Banco de España (banco central espanhol) mantém a competência sobre a autorização de serviços de pagamento conforme a PSD2 —o que é relevante quando o prestador oferece serviços de transferência de tokens de moeda eletrônica—. Esse duplo balcão explica por que tantos projetos cripto acabam precisando de uma análise de perímetro que abranja as duas normas: veja licença MiCA e licença de instituição de pagamento.

Também convém ter em mente que o texto do regulamento foi objeto de uma retificação publicada no Jornal Oficial em 3 de dezembro de 2025, que afetou, entre outros pontos, a definição de prestador de serviços de criptoativos do artigo 3, ponto 15, o artigo 14, n.º 5 —identificação individual das transferências para endereços autocustodiados—, o artigo 16, n.º 2 —transferências a partir de endereços autocustodiados— e o artigo 28, n.º 2, sobre sanções. Se o seu manual cita o texto original, convém verificar se a redação que você utiliza é a vigente.