KYC

Anna quiere comprar bitcoin por primera vez. Elige una plataforma, abre una cuenta y, en lugar del botón de compra, encuentra una solicitud para verificar su identidad. Puede consistir en presentar un documento, pasar una comprobación facial o responder a preguntas sobre el uso previsto de la cuenta. Acaba de encontrarse con KYC. El servicio intenta saber con quién inicia una relación comercial y cumplir sus obligaciones. KYC se integra en AML/CFT, las medidas contra el blanqueo de capitales y la financiación del terrorismo. Verificar el documento es solo una parte: también hay evaluación de riesgos, conservación de registros y comunicaciones de operaciones sospechosas. No es una exigencia de la red Bitcoin ni una prueba de que Anna haya hecho algo malo. [1]

Si Anna recibiera bitcoin directamente en su propia cartera, los nodos de la red no examinarían su documento. Un Full Node es un ordenador con un programa que comprueba por sí mismo las transacciones y los bloques de Bitcoin según las reglas de la red. Una plataforma o una empresa que custodia fondos de clientes, en cambio, es un proveedor independiente con obligaciones legales propias. Los documentos internacionales usan VASP para determinados proveedores de servicios de activos virtuales. Tener sus propias claves no convierte por sí solo a Anna en uno de ellos. La clave privada es un dato secreto que la cartera utiliza para crear una firma digital que autoriza un pago. Pero Self-custody, es decir, gestionar sus propias claves, no elimina las obligaciones de la plataforma al retirar fondos a esa cartera. Por eso puede preguntarle a quién pertenece la dirección de destino, aunque Anna controle la cartera. [2] [10]

El servicio contrasta los datos del cliente con fuentes fiables e independientes. En una empresa no basta con conocer su nombre: también importan las personas físicas que en última instancia la poseen o controlan, llamadas titulares reales o beneficiarios efectivos. Además, el proveedor busca conocer la finalidad de la relación comercial. Sin embargo, verificar un documento no demuestra el origen de cada euro ni quién tiene en ese momento la clave privada de una dirección Bitcoin. Anna podría haber indicado la dirección de otra persona. La identidad del cliente, el control de una dirección y el origen del dinero están relacionados, pero son cuestiones distintas. [1] [5]

Anna puede superar una comprobación breve en un servicio y recibir más preguntas en otro. La diferencia puede deberse a la ley aplicable, el producto, el país, el importe o el riesgo evaluado. Un riesgo mayor puede exigir comprobaciones más profundas; uno menor puede permitir un proceso simplificado si se cumplen las condiciones. No existe una lista única de documentos para todo el mundo. FATF, conocido en español como GAFI, es el organismo internacional que establece estándares contra el blanqueo de capitales. Ofrece un marco que cada país incorpora a sus normas. Una recomendación suya no es por sí misma una ley que imponga el mismo formulario a todos los usuarios de Bitcoin. El servicio debería explicar con claridad qué datos solicita y por qué. [1]

Tiempo después, Anna vende su coche y quiere destinar parte del dinero a comprar bitcoin. La plataforma puede pedirle que explique un ingreso inusualmente elevado. Source of funds se refiere al origen del dinero de una operación concreta, por ejemplo esa venta. Source of wealth, en cambio, trata de cómo una persona acumuló su patrimonio en general. No son lo mismo. El proveedor también puede actualizar información anterior y comparar las operaciones con el uso esperado de la cuenta. La solicitud debe encajar con la situación y el marco legal; no significa que cada cliente deba documentar toda su vida cada vez que compra. [1]

Cuando Anna transfiere bitcoin entre proveedores, pueden intercambiarse también los datos exigidos sobre el remitente y el destinatario. Es el ámbito de la Travel Rule. No exige escribir nombres ni copias de documentos en la cadena de bloques pública: los servicios transmiten o conservan esos datos por separado. En la UE, esta materia está regulada, entre otras normas, por el Reglamento 2023/1113. Distingue las transferencias con participación de un proveedor de las realizadas directamente entre personas sin él. Que estas últimas queden fuera de ese reglamento no las exime de todas las leyes. Una transferencia entre una cartera propia y una plataforma sigue incluyendo a un servicio que puede tener obligaciones de comprobación. [3] [4] [9]

Además de los datos del cliente, el proveedor puede utilizar análisis de la cadena de bloques. Este análisis sigue las direcciones y las conexiones entre transacciones. Cada salida de una transacción establece un importe y las condiciones para gastarlo. Mientras no se haya gastado, se denomina UTXO; una transacción posterior puede hacer referencia a ella mediante una entrada. El analista puede vincular parte de estos rastros con servicios conocidos. Parte de las conclusiones se basa en inferencias. CoinJoin, por ejemplo, permite que varias personas participen en una transacción, de modo que las entradas utilizadas juntas no tienen por qué pertenecer a un único dueño. Por eso una puntuación de riesgo no demuestra por sí sola la identidad ni el origen delictivo de los fondos. Es importante no convertir una huella técnica en una historia supuestamente cierta sobre una persona, y poder aportar contexto y pedir una revisión si hay un error. [8] [10]

Anna entrega datos sensibles que pueden relacionarse con su cuenta y sus direcciones de retirada. Si se filtran, el problema va más allá de una lista de correos: alguien puede obtener pistas sobre la actividad financiera de una persona concreta. Conviene saber quién trata los datos, con quién los comparte, cómo los protege y cuánto tiempo los conserva. En la UE también se aplican los principios del Reglamento General de Protección de Datos (RGPD), como limitar el tratamiento a su finalidad y recoger solo los datos necesarios. La obligación legal de conservar ciertos registros puede continuar después del cierre de la cuenta. Cerrarla no borra automáticamente todos los documentos de inmediato; los derechos y plazos concretos dependen de la ley aplicable. [6] [1]

Si el servicio no puede completar los controles exigidos, puede retrasar o rechazar la apertura de la cuenta o una transferencia, o terminar la relación comercial. Según las circunstancias, también puede estar obligado a enviar una comunicación confidencial o restringir el acceso a los fondos. Eso no equivale por sí solo a una declaración de culpabilidad. Tampoco cabe prometer que toda retirada se tramitará inmediatamente o que el soporte podrá explicar siempre todos los detalles de una comprobación. Anna necesita conocer las condiciones, el procedimiento de reclamación y el supervisor correspondiente. Las reglas, los plazos y las vías de recurso varían entre países y servicios. [1]

Antes de enviar documentos, Anna abre la aplicación que conoce o la web oficial y comprueba quién solicita sus datos. Un mensaje urgente con el logotipo de una plataforma no basta para confiar. KYC nunca justifica revelar la Seed Phrase, las palabras que permiten restaurar la cartera, ni una clave privada. El control de una dirección puede verificarse de otras formas; antes de firmar, hay que entender qué está autorizando el dispositivo. Respecto a los documentos, conviene distinguir los datos obligatorios de los opcionales y saber qué implica negarse. Ni completar KYC ni disponer de una licencia garantizan por sí solos capacidad para cumplir sus obligaciones de pago, seguro de depósitos, custodia segura o un buen precio. KYC habla de controles sobre el cliente, no de un servicio sin riesgos. [7]