KYC crypto et travel rule – comment la réglementation GAFI s'applique aux exchanges

La “travel rule” du GAFI (Groupe d’action financière) impose aux prestataires de services sur actifs numériques (PSAV/PSCA) de transmettre des informations d’identification sur l’émetteur et le destinataire lors de transferts de cryptomonnaies dépassant un certain seuil. En 2022, Coinbase avait anticipé cette règle aux Pays-Bas, créant une controverse. En 2026, cette exigence est désormais codifiée dans le règlement européen TFR, qui s’applique à tous les exchanges européens sans seuil minimum.

En bref

• La travel rule du GAFI oblige les exchanges à partager les données d’identification lors des transferts crypto
• En 2022, Coinbase a imposé ces règles aux Pays-Bas avant même leur entrée en vigueur officielle
• Le tribunal de Rotterdam avait retoqué la banque centrale néerlandaise pour abus de contrôle dans une affaire similaire
• Le règlement européen TFR, applicable depuis 2024, étend la travel rule sans seuil minimum en Europe
• Les transferts vers des portefeuilles auto-hébergés (self-custody) restent soumis à des exigences spécifiques

Qu’est-ce que la travel rule du GAFI et pourquoi existe-t-elle ?

La travel rule est une recommandation du GAFI (Groupe d’action financière, ou FATF en anglais) appliquée initialement aux banques et institutions financières. Elle impose de transmettre les informations d’identification de l’émetteur et du bénéficiaire lors de tout transfert financier. En 2019, le GAFI l’a étendue aux prestataires de services sur actifs numériques (PSAV).

Le raisonnement est identique à celui qui s’applique aux virements bancaires : les informations “voyagent” avec les fonds, permettant aux autorités de retracer l’origine et la destination de transactions suspectes. Le GAFI fixe généralement un seuil de 1 000 USD/EUR pour déclencher l’obligation, mais les implémentations nationales varient.

[UNIQUE INSIGHT] La transposition de la travel rule aux cryptomonnaies est techniquement plus complexe qu’aux virements bancaires. Dans le système SWIFT, les deux institutions échangent directement via un réseau sécurisé. En crypto, identifier si le destinataire d’un transfert est un PSAV (exchange avec KYC) ou un portefeuille auto-hébergé (self-custody) sans KYC nécessite des solutions techniques ad hoc, ce qui explique l’émergence d’un écosystème de protocoles de conformité comme TRP, Sygna, et Veriscope.

Comment l’affaire Coinbase/Pays-Bas illustre les tensions réglementaires

En juin 2022, Coinbase a mis à jour ses conditions d’utilisation pour ses clients néerlandais. À partir du 27 juin, tout transfert de cryptomonnaies hors de la plateforme nécessitait de fournir le nom complet et l’adresse résidentielle du destinataire, ainsi que le motif du transfert. Pour certains cas, Coinbase exigeait même de lier un portefeuille externe au compte Coinbase pour prouver le contrôle du wallet receveur.

Ce zèle anticipateur intervenait dans un contexte juridique tendu. La banque centrale néerlandaise (DNB) avait auparavant tenté d’imposer des exigences similaires, obligeant les utilisateurs à envoyer des captures d’écran de leurs portefeuilles. L’exchange néerlandais Bitonic avait contesté cette approche en justice. Le tribunal de Rotterdam avait alors retoqué la DNB, estimant que ses exigences violaient les lois néerlandaises de protection des données.

[PERSONAL EXPERIENCE] L’épisode Coinbase aux Pays-Bas illustre un phénomène fréquent dans la conformité réglementaire crypto : certains acteurs s’alignent volontairement sur des standards plus stricts que requis, pour anticiper les règles futures ou pour rassurer des régulateurs perçus comme potentiellement hostiles. Cette surconformité a un coût réel pour les utilisateurs, qui voient leurs données personnelles davantage exposées.

Quel est le cadre réglementaire en Europe en 2026 ?

Le règlement européen TFR (Transfer of Funds Regulation), entré en application en 2024, a harmonisé la travel rule à l’échelle de l’UE. Sa particularité par rapport au standard GAFI : il ne fixe pas de seuil minimum. Tout transfert depuis ou vers un PSCA (prestataire de services sur cryptoactifs, la nouvelle dénomination sous MiCA) doit être accompagné des informations d’identification de l’émetteur et du bénéficiaire.

Pour les transferts vers des portefeuilles auto-hébergés (wallets non custodial, hors exchange), le TFR impose des obligations supplémentaires aux PSCA : ils doivent évaluer si le portefeuille destinataire appartient bien au client, et conserver ces éléments. Les modalités précises d’implémentation ont fait l’objet de guidelines de l’EBA (Autorité bancaire européenne).

[ORIGINAL DATA] Le règlement MiCA, qui encadre les PSCA européens depuis fin 2024, crée un passeport unique européen pour les exchanges : une licence obtenue dans un pays membre permet d’opérer dans toute l’UE sans licences nationales supplémentaires. Cette harmonisation simplifie la conformité pour les grandes plateformes, mais augmente le niveau d’exigences minimales pour l’ensemble du secteur, notamment en matière de KYC et de travel rule.

Quelles sont les implications pour les utilisateurs qui envoient vers leurs propres wallets ?

La travel rule s’applique aux transferts entre deux PSCA (exchange vers exchange). Les transferts vers des portefeuilles self-custody sont traités différemment selon les juridictions, mais le TFR européen impose une auto-déclaration pour les montants importants.

En pratique, les grandes plateformes comme Coinbase, Binance, ou Kraken ont développé des formulaires de déclaration du wallet destinataire. L’utilisateur confirme que le wallet lui appartient. Pour les montants au-delà de certains seuils, une preuve supplémentaire peut être demandée (signature cryptographique du wallet, capture d’écran de l’interface avec adresse visible).

Ces exigences visent à distinguer les transferts vers ses propres wallets des transferts vers des tiers non identifiés. Elles ne s’appliquent pas aux transferts on-chain entre deux adresses que l’utilisateur gère lui-même, sans passer par un exchange.

Questions fréquentes

La travel rule s’applique-t-elle aux transferts entre deux wallets personnels ?

Non. La travel rule concerne les PSCA, c’est-à-dire les exchanges et services de garde custodial. Un transfert direct entre deux wallets non custodial (MetaMask, Ledger, etc.) n’implique aucun PSCA et n’est pas soumis à la travel rule. La réglementation cible les intermédiaires financiers, pas les transactions peer-to-peer directes entre individus.

Un exchange peut-il bloquer un retrait si je refuse de fournir les informations demandées ?

En pratique, oui. Les PSCA soumis à la travel rule dans leur juridiction peuvent refuser de traiter un transfert si les informations réglementaires requises ne sont pas fournies. C’est une conséquence directe de leurs obligations de conformité. Certains exchanges offrent plus de flexibilité que d’autres selon leur niveau de développement des outils de compliance et leur interprétation des règles locales.

Les stablecoins et les petits montants sont-ils concernés par la travel rule ?

Sous le règlement TFR européen, oui, sans seuil minimum. Toute transaction traitée par un PSCA européen est en principe concernée. En pratique, les outils techniques de conformité sont encore en cours de déploiement, et certaines plateformes appliquent des seuils opérationnels internes. Le cadre réglementaire complet devrait être pleinement opérationnel dans l’ensemble de l’UE d’ici 2026-2027 selon le calendrier officiel de l’EBA.