KYC

Anna souhaite acheter du bitcoin pour la première fois. Elle choisit une plateforme, crée un compte et découvre une demande de vérification d'identité à la place du bouton d'achat. Il peut s'agir d'une pièce d'identité, d'un contrôle du visage ou de questions sur l'utilisation prévue du compte. C'est le KYC. Le service cherche à savoir avec qui il entre en relation et à remplir ses obligations. Le KYC fait partie de l'AML/CFT, la lutte contre le blanchiment de capitaux et le financement du terrorisme. Vérifier un document n'en est qu'une composante : il faut aussi évaluer les risques, conserver des dossiers ou déclarer des opérations suspectes. Ce contrôle n'est ni une exigence du réseau Bitcoin ni la preuve qu'Anna a commis une faute. [1]

Si Anna recevait du bitcoin directement dans son portefeuille, les nœuds du réseau ne vérifieraient pas sa pièce d'identité. Un Full Node est un ordinateur équipé d’un logiciel qui vérifie lui-même les transactions et les blocs Bitcoin selon les règles du réseau. En revanche, une plateforme ou une entreprise qui conserve les fonds de clients est un prestataire distinct, avec ses propres obligations légales. Les documents internationaux emploient VASP pour certains prestataires de services sur actifs virtuels. Détenir ses propres clés ne fait pas, à lui seul, d'Anna un tel prestataire. Une clé privée est une donnée secrète que le portefeuille utilise pour créer une signature numérique autorisant un paiement. Mais Self-custody, c'est-à-dire gérer soi-même ses clés, ne supprime pas les obligations de la plateforme lors d'un retrait vers ce portefeuille. Elle peut donc demander à qui appartient l'adresse de destination, même si Anna contrôle le portefeuille. [2] [10]

Le service confronte les informations du client à des sources fiables et indépendantes. Pour une entreprise, connaître sa dénomination ne suffit pas : les personnes physiques qui la possèdent ou la contrôlent en dernier ressort, appelées bénéficiaires effectifs, comptent aussi. Le prestataire cherche également à comprendre l'objet de la relation commerciale. Mais vérifier un document ne prouve ni l'origine de chaque euro ni qui détient actuellement la clé privée d'une adresse Bitcoin. Anna pourrait avoir fourni l'adresse de quelqu'un d'autre. L'identité du client, le contrôle d'une adresse et l'origine de l'argent sont des questions liées, mais distinctes. [1] [5]

Anna peut terminer rapidement les vérifications sur un service et recevoir davantage de questions sur un autre. Cela peut tenir au droit applicable, au produit, au pays, au montant ou au risque évalué. Un risque plus élevé peut nécessiter un examen approfondi ; un risque moindre peut permettre une procédure simplifiée si les conditions sont réunies. Il n'existe pas de liste de documents unique pour le monde entier. FATF, appelé GAFI en français, est l'organisme international qui élabore les standards de lutte contre le blanchiment. Il fixe un cadre que les pays transposent dans leurs propres règles. Ses recommandations ne sont pas, en elles-mêmes, une loi imposant le même formulaire à chaque utilisateur de Bitcoin. Le service devrait pouvoir expliquer clairement les données qu'il demande et leur utilité. [1]

Plus tard, Anna vend sa voiture et souhaite acheter du bitcoin avec une partie du produit de la vente. La plateforme peut lui demander d'expliquer un dépôt inhabituellement important. Source of funds concerne l'origine des fonds d'une opération précise, ici cette vente. Source of wealth porte plutôt sur la manière dont une personne a constitué l'ensemble de son patrimoine. Ce n'est pas la même chose. Le prestataire peut aussi actualiser des informations déjà recueillies et comparer les opérations à l'utilisation attendue du compte. Une demande doit correspondre à la situation et au cadre juridique ; chaque achat n'oblige pas chaque client à justifier toute sa vie. [1]

Lorsqu'Anna transfère du bitcoin entre prestataires, des informations prescrites sur l'expéditeur et le destinataire peuvent également circuler, séparément de la transaction. C'est le domaine de la Travel Rule. Elle n'exige pas d'inscrire les noms ou les copies de documents sur la blockchain publique : les services transmettent ou conservent ces données à part. Dans l'UE, le règlement 2023/1113 encadre notamment ce sujet. Il distingue les transferts faisant intervenir un prestataire des transferts directs entre personnes sans un tel service. L'exclusion de ces derniers de ce règlement ne les dispense pas de toute autre loi. Un transfert entre un portefeuille personnel et une plateforme implique toujours un service qui peut avoir des obligations de contrôle. [3] [4] [9]

En plus des renseignements du client, un prestataire peut utiliser l'analyse de la blockchain. Cette analyse suit les adresses et les liens entre les transactions. Chaque sortie de transaction précise un montant et les conditions à remplir pour le dépenser. Tant qu’elle n’a pas été dépensée, on l’appelle UTXO ; une transaction ultérieure peut y faire référence par une entrée. L’analyste peut relier certaines de ces traces à des services connus. Une partie des conclusions repose sur des déductions. CoinJoin permet par exemple à plusieurs personnes de participer à une transaction : des entrées dépensées ensemble n'ont donc pas nécessairement un propriétaire unique. Un score de risque ne prouve à lui seul ni une identité ni l'origine criminelle des fonds. Il faut éviter de transformer une trace technique en preuve des actes d’une personne, et pouvoir apporter du contexte ou demander un réexamen en cas d'erreur. [8] [10]

Anna confie des données sensibles qui peuvent être reliées à son compte et à ses adresses de retrait. En cas de fuite, ce n'est pas seulement une liste d'adresses e-mail qui est exposée : quelqu'un peut obtenir des indices sur l'activité financière d'une personne précise. Il est donc utile de savoir qui traite ces données, à qui elles sont transmises, comment elles sont protégées et combien de temps elles sont conservées. Dans l'UE, les principes du règlement général sur la protection des données (RGPD) s'appliquent aussi, notamment la limitation des finalités et la collecte des seules données nécessaires. Une obligation légale de conservation peut subsister après la clôture du compte. Fermer celui-ci n'efface donc pas automatiquement tous les documents sur-le-champ ; les droits et délais précis dépendent du droit applicable. [6] [1]

Si le service ne parvient pas à effectuer les contrôles requis, il peut différer ou refuser une ouverture de compte ou un transfert, ou mettre fin à la relation commerciale. Selon les circonstances, il peut aussi devoir faire une déclaration confidentielle ou restreindre l'utilisation des fonds. Cela ne constitue pas en soi un verdict de culpabilité. Inversement, on ne peut promettre que tout retrait sera traité immédiatement ni que l'assistance pourra toujours détailler l'ensemble des contrôles. Anna doit connaître les conditions du service, la procédure de réclamation et l'autorité de contrôle compétente. Les règles, délais et recours varient selon les pays et les services. [1]

Avant d'envoyer des documents, Anna ouvre l'application qu'elle connaît ou le site officiel du service et vérifie qui demande ses informations. Un message urgent portant le logo d'une plateforme ne suffit pas à établir la confiance. Le KYC ne justifie jamais de communiquer une Seed Phrase, les mots permettant de restaurer le portefeuille, ou une clé privée. Le contrôle d'une adresse peut être vérifié autrement ; avant de signer, il faut comprendre ce que l'appareil approuve. Pour les documents, distinguez les renseignements obligatoires des renseignements facultatifs et renseignez-vous sur les conséquences d'un refus. Ni un KYC achevé ni une licence ne garantissent à eux seuls la capacité du prestataire à honorer ses obligations financières, l'assurance des dépôts, une conservation sûre ou un bon prix. Le KYC concerne le contrôle du client, pas l'absence de risque du service. [7]