KYC

Anna si chce poprvé koupit bitcoin. Vybere si burzu, založí účet a místo tlačítka pro nákup uvidí žádost o ověření totožnosti. Může jít o doklad, kontrolu obličeje nebo otázky k tomu, jak bude účet používat. Právě se setkala s KYC. Služba se snaží zjistit, s kým uzavírá obchodní vztah, a splnit své povinnosti. KYC patří do širší oblasti AML/CFT, tedy opatření proti praní peněz a financování terorismu. Kontrola dokladu je jen začátek. Širší opatření zahrnují také vyhodnocování rizik, uchovávání záznamů a hlášení podezřelých obchodů. Nejde o požadavek bitcoinové sítě ani o důkaz, že Anna udělala něco špatného. [1]

Kdyby Anna přijala bitcoin přímo do vlastní peněženky, uzly sítě by nezkoumaly její občanku. Full Node je počítač s programem, který sám kontroluje bitcoinové transakce a bloky podle pravidel sítě. Burza nebo firma, která spravuje prostředky zákazníků, však působí jako samostatný poskytovatel s vlastními zákonnými povinnostmi. V mezinárodních dokumentech se pro určité poskytovatele služeb s virtuálními aktivy používá zkratka VASP. Samotné držení vlastních klíčů z Anny takového poskytovatele nedělá. Soukromý klíč je tajný údaj, kterým peněženka vytváří digitální podpis potvrzující souhlas s platbou. Self-custody, tedy vlastní správa klíčů, ale nezbavuje burzu povinností při výběru do této peněženky. Proto se může ptát, komu cílová adresa patří, i když peněženku Anna ovládá sama. [2] [10]

Služba porovnává údaje o klientovi s důvěryhodnými nezávislými zdroji a ověřuje, zda odpovídají. U firmy nestačí znát její název: důležité jsou i fyzické osoby, které ji v konečném důsledku vlastní nebo ovládají, označované jako skuteční majitelé. Poskytovatel také zjišťuje účel obchodního vztahu. Úspěšná kontrola dokladu však není důkazem původu každé koruny ani toho, kdo právě drží soukromý klíč k bitcoinové adrese. Anna mohla zadat adresu někoho jiného. Totožnost klienta, kontrola adresy a původ peněz jsou související, ale odlišné otázky. [1] [5]

Anna může u jedné služby projít krátkým ověřením a u jiné dostat další otázky. Rozdíl může souviset s použitelným právem, produktem, zemí, částkou nebo vyhodnoceným rizikem. Vyšší riziko může znamenat důkladnější kontrolu; nižší může za splnění podmínek umožnit jednodušší postup. Neexistuje jediný seznam dokladů platný pro celý svět. FATF, mezinárodní orgán vytvářející standardy proti praní peněz, stanovuje rámec, který země převádějí do svých pravidel. Jeho doporučení samo není zákonem přímo ukládajícím stejný formulář každému uživateli Bitcoinu. Služba by měla umět srozumitelně popsat, jaké údaje požaduje a proč. [1]

Po čase Anna prodá auto a chce část výnosu použít k nákupu bitcoinu. Burza může žádat vysvětlení nezvykle velkého vkladu. Otázka na source of funds míří na původ peněz pro konkrétní operaci, v tomto případě na výnos z prodeje auta. Source of wealth se naopak ptá, jak člověk obecně nabyl svůj majetek. Není to totéž. Poskytovatel může také aktualizovat dříve získané údaje a porovnávat obchody s očekávaným používáním účtu. Konkrétní požadavek má odpovídat situaci a právnímu režimu; neznamená to, že každý klient musí při každém nákupu dokládat celý životní příběh. [1]

Když Anna převádí bitcoin mezi poskytovateli, mohou vedle samotné transakce putovat také předepsané údaje o odesílateli a příjemci. Tuto oblast označuje Travel Rule. Jméno ani kopie dokladu se kvůli tomu nemusí zapisovat do veřejného blockchainu: údaje si předávají či uchovávají služby odděleně. V EU tuto oblast upravuje mimo jiné nařízení 2023/1113. Rozlišuje převody se zapojením poskytovatele od přímých převodů mezi lidmi bez takového poskytovatele. Jejich vyloučení z tohoto nařízení není obecnou výjimkou ze všech zákonů. Převod mezi vlastní peněženkou a burzou navíc stále zahrnuje službu, která může mít kontrolní povinnosti. [3] [4] [9]

Poskytovatel může vedle údajů klienta používat analýzu blockchainu. Taková analýza sleduje adresy a to, jak na sebe transakce navazují. Každý výstup transakce určuje částku a podmínky, za kterých ji lze utratit. Dokud utracený není, označuje se jako UTXO; další transakce na něj může odkázat svým vstupem. Analytik může některé z těchto stop spojit se známými službami. Část těchto závěrů stojí na odhadech. CoinJoin například umožňuje účast více lidí v jedné transakci, takže společné vstupy nemusí znamenat jediného vlastníka. Rizikové skóre proto samo neprokazuje totožnost ani trestný původ prostředků. Je důležité nezaměnit technickou stopu za jistý příběh o konkrétním člověku a při chybě umět dodat souvislosti a požádat o přezkoumání. [8] [10]

Anna předává službě citlivé údaje, které se mohou propojit s účtem a adresami pro výběry. Při úniku pak nejde jen o seznam e-mailů: někdo může získat i vodítko k finanční aktivitě konkrétní osoby. Proto má smysl zjistit, kdo údaje zpracovává, komu je předává, jak je chrání a jak dlouho je uchovává. V EU platí také zásady GDPR, obecného nařízení o ochraně osobních údajů, například omezení účelu a shromažďování jen potřebných údajů. Zákonná povinnost některé záznamy uchovat může pokračovat i po zavření účtu. Zrušení účtu tedy automaticky neznamená okamžité vymazání všech dokladů; konkrétní práva a lhůty určuje použitelné právo. [6] [1]

Pokud služba nedokáže splnit požadované kontroly, může založení účtu nebo převod odložit, odmítnout či obchodní vztah ukončit. Podle okolností může mít také povinnost podat neveřejné hlášení nebo omezit nakládání s prostředky. To samo není rozsudkem o vině klienta. Stejně tak ale nelze slíbit, že každá žádost o výběr musí být okamžitě vyřízena nebo že podpora vždy smí vysvětlit všechny podrobnosti kontroly. Pro Annu je důležité znát podmínky služby, postup stížnosti a příslušný dohled. Pravidla, lhůty i možnosti nápravy se mezi zeměmi a službami liší. [1]

Před odesláním dokladů Anna otevře známou aplikaci nebo oficiální web služby a ověří, kdo o údaje žádá. Naléhavá zpráva s logem burzy ještě není důvěryhodný požadavek. KYC nikdy není důvodem sdělit Seed Phrase, tedy obnovovací slova peněženky, ani soukromý klíč. Ověřovat kontrolu adresy lze jinými postupy; před podpisem je potřeba rozumět tomu, co zařízení potvrzuje. U dokladů pomůže odlišit povinné a volitelné údaje a vědět, jaký dopad má odmítnutí. Ani úspěšné KYC nebo licence samy nezaručují schopnost poskytovatele dostát závazkům, pojištění vkladů, bezpečnou úschovu či výhodnou cenu. KYC vypovídá o kontrole klienta, ne o bezrizikovosti služby. [7]