La Travel Rule des crypto-actifs en Espagne après le décret-loi royal 25/2026

Les informations qui accompagnent chaque transfert de crypto-actifs

Chaque transfert de crypto-actifs doit indiquer le nom de l’initiateur et du bénéficiaire, leurs adresses de registre distribué ou numéros de compte et, pour l’initiateur, son adresse et un élément d’identification. C’est ce qu’exige l’article 14 du règlement (UE) 2023/1113. Il n’y a pas de seuil. La règle s’applique à tout transfert, quel que soit son montant.

Les informations n’ont pas à figurer dans la transaction inscrite sur la blockchain. Elles doivent être transmises de manière sécurisée, avant le transfert ou en même temps, et dans le respect du RGPD (article 14, paragraphe 4). Avant l’envoi, le prestataire de l’initiateur vérifie l’exactitude des informations de son client à partir de documents ou de sources fiables et indépendants (article 14, paragraphe 6). S’il ne peut pas respecter l’article 14, il ne peut ni initier ni exécuter le transfert (article 14, paragraphe 8).

Les transferts avec des adresses auto-hébergées et le seuil de 1 000 euros

Une adresse auto-hébergée est une adresse de registre distribué qui n’est liée à aucun prestataire de services sur crypto-actifs ni à une entité hors de l’Union fournissant des services similaires. C’est le portefeuille que l’utilisateur contrôle lui-même. L’article 3, point 20, du règlement 2023/1113 la définit, et le décret-loi royal 25/2026 a repris cette définition à l’article 1, paragraphe 7, de la loi 10/2010.

Lorsqu’un transfert part vers une adresse auto-hébergée ou en provient, aucun second prestataire n’envoie ni ne reçoit les informations. Le prestataire concerné obtient et conserve lui-même les informations sur l’initiateur et le bénéficiaire, et veille à ce que le transfert puisse être identifié individuellement (articles 14, paragraphe 5, et 16, paragraphe 2). Au-delà de 1 000 euros, il doit aussi prendre des mesures adéquates pour évaluer si l’adresse auto-hébergée appartient à son client ou est sous son contrôle.

Ce que font le prestataire du bénéficiaire et l’intermédiaire quand des informations manquent

Le prestataire qui reçoit un transfert de crypto-actifs sans toutes les informations requises a deux possibilités, choisies en fonction des risques et sans retard injustifié. Il peut rejeter le transfert ou renvoyer les crypto-actifs sur le compte de l’initiateur. Il peut aussi demander les informations manquantes avant de mettre les crypto-actifs à la disposition de son client (article 17, paragraphe 1).

Pour détecter l’absence d’informations, le prestataire du bénéficiaire applique des procédures efficaces, y compris un suivi pendant ou après le transfert (article 16, paragraphe 1). Avant de créditer les crypto-actifs, il vérifie l’exactitude des informations de son propre client (article 16, paragraphe 3). L’absence d’informations est aussi un facteur pour évaluer si l’opération est suspecte et doit être déclarée à la cellule de renseignement financier (article 18). En Espagne, cette cellule est le Sepblac.

Si un autre prestataire omet de manière répétée de transmettre les informations, le prestataire du bénéficiaire doit réagir. Il peut commencer par un avertissement assorti d’un délai puis, si les informations n’arrivent toujours pas, rejeter ses transferts, restreindre la relation ou y mettre fin. Il peut aussi rejeter directement tout transfert futur. Dans les deux cas, il signale le manquement à l’autorité chargée de la lutte contre le blanchiment (article 17, paragraphe 2).

Les prestataires intermédiaires, qui font passer un transfert entre deux autres, ont des obligations parallèles. Ils transmettent avec le transfert toutes les informations reçues et conservent leurs registres à la disposition des autorités (article 19). Ils appliquent des procédures pour détecter les informations manquantes, surtout lorsqu’une adresse auto-hébergée intervient (article 20). Et ils décident en fonction des risques d’exécuter, de rejeter, de renvoyer ou de suspendre le transfert incomplet (article 21).

Ce qui change en Espagne avec le décret-loi royal 25/2026

Le règlement 2023/1113 s’applique directement en Espagne depuis le 30 décembre 2024. Il restait à adapter le droit espagnol. La Commission européenne a ouvert contre l’Espagne la procédure d’infraction INFR(2025)2079 pour ce retard, que le préambule du décret-loi situe au stade de l’avis motivé. La première disposition finale du décret-loi royal 25/2026 modifie la loi 10/2010 sur cinq points.

• Entités assujetties. L’article 2, paragraphe 1, point z), vise désormais «les prestataires de services sur crypto-actifs». Depuis le décret-loi royal 7/2021, il ne couvrait que les prestataires d’échange de monnaie virtuelle contre monnaie fiduciaire et de conservation de portefeuilles électroniques.
• Définitions. L’article 1 définit le crypto-actif, le prestataire de services sur crypto-actifs et l’adresse auto-hébergée par renvoi au règlement MiCA et au règlement 2023/1113. Le simple conseil en crypto-actifs reste en dehors.
• Correspondance. Le nouvel article 13, paragraphe 2 bis, s’applique lorsque le prestataire exécute des services sur crypto-actifs avec une entité hors de l’Union. Il doit vérifier que cette entité est agréée ou enregistrée, et mettre à jour sa vigilance de manière périodique ou lorsque de nouveaux risques apparaissent.
• Agréments. Le Sepblac, service exécutif de la Commission espagnole de prévention du blanchiment, rend un avis sur l’adéquation du contrôle interne dans les procédures d’agrément des prestataires de services sur crypto-actifs (article 45, paragraphe 4, point l).
• Infraction grave. Le non-respect des articles 4 à 24 et 26 du règlement 2023/1113 est une infraction grave pour les prestataires de services sur crypto-actifs, comme les manquements visés à l’article 29 (article 52, paragraphe 5).

Une infraction grave est punie d’une amende d’au moins 60 000 euros. Son plafond est le plus élevé de quatre montants, 10 % du chiffre d’affaires annuel, la valeur économique de l’opération majorée de 50 %, le triple du profit tiré de l’infraction ou 5 000 000 euros (article 57, paragraphe 1, point a). L’amende s’accompagne toujours d’un blâme public ou privé ou, pour une entité agréée, de la suspension temporaire de son agrément. Les dirigeants responsables peuvent en outre recevoir une amende de 3 000 à 5 000 000 euros (article 57, paragraphe 2).

Le décret-loi est entré en vigueur le 1er octobre 2026, le lendemain de sa publication au Bulletin officiel de l’État. La Députation permanente du Congrès des députés, qui siège pendant la dissolution des Cortes, l’a validé le 16 octobre. La résolution a été publiée le 20 octobre, ce qui consolide les modifications de la loi 10/2010. Pour les exploitants de distributeurs de crypto-actifs, déjà assujettis, la nouveauté d’octobre est ailleurs, avec l’identification obligatoire aux distributeurs de crypto-actifs prévue par le décret royal 813/2026 (en espagnol).

Un exemple fictif avec un portefeuille auto-hébergé

Nebula Exchange est une plateforme espagnole agréée par la CNMV. Sa cliente Lucía lui envoie l’équivalent de 2 500 euros en bitcoin depuis un portefeuille qu’elle contrôle elle-même. Aucun autre prestataire n’intervient, donc personne n’envoie à Nebula les informations sur l’initiateur. Nebula les obtient auprès de Lucía, les conserve avec celles de la bénéficiaire, qui est Lucía elle-même, et identifie le transfert individuellement. Comme le montant dépasse 1 000 euros, elle évalue aussi si l’adresse d’origine appartient à Lucía, au moyen d’une preuve technique de contrôle de cette adresse. Lucía la fournit et Nebula crédite le solde. L’identité de Lucía avait déjà été vérifiée à son entrée en relation, cette vérification n’a donc pas à être refaite. Si Nebula avait crédité les fonds sans obtenir les informations ni faire l’évaluation, elle aurait enfreint l’article 16, paragraphe 2, du règlement. Depuis le 1er octobre 2026, c’est une infraction grave au regard de la loi 10/2010.

Les orientations de l’ABE sur la Travel Rule

L’Autorité bancaire européenne a publié le 4 juillet 2024 ses orientations sur la Travel Rule, sous la référence EBA/GL/2024/11. Elles s’appliquent depuis le 30 décembre 2024. Elles précisent quelles informations accompagnent les transferts de fonds et de crypto-actifs, comment détecter qu’elles manquent ou sont incomplètes et que faire dans ce cas. Elles fixent aussi des critères et des moyens pour identifier et vérifier l’initiateur ou le bénéficiaire dans les transferts avec des adresses auto-hébergées. Elles sont la référence pratique pour concevoir les procédures exigées par les articles 16, 17, 20 et 21 du règlement.

Ces procédures reposent sur des systèmes TIC qui relèvent aussi de DORA pour les prestataires de services sur crypto-actifs, il est donc utile de concevoir les deux ensemble.