La Travel Rule obbliga i prestatori di servizi per asset virtuali (VASP) a raccogliere, trasmettere e verificare le informazioni su ordinante e beneficiario dei trasferimenti crypto, come fanno le banche per i bonifici. Deriva dalla Raccomandazione 16 del GAFI, applicata agli asset virtuali dalla Raccomandazione 15 e dalla sua nota interpretativa. Si applica a ogni VASP in una giurisdizione che ha recepito gli standard GAFI. In pratica tocca anche i prestatori di paesi che non l'hanno fatto, perché le controparti vigilate chiederanno loro i dati. UE, Svizzera, Regno Unito ed Emirati Arabi Uniti sono esempi di giurisdizioni che la applicano, ciascuna con i propri dettagli.
Quali informazioni viaggiano
Secondo lo standard GAFI il prestatore dell'ordinante deve ottenere e inviare nome, numero di conto o indirizzo wallet dell'ordinante e un ulteriore identificativo come indirizzo, numero del documento d'identità, numero cliente o data e luogo di nascita, oltre a nome e indirizzo wallet del beneficiario. Il prestatore del beneficiario deve controllare che i dati ci siano, rilevare quelli mancanti e decidere se accettare, sospendere o respingere il trasferimento.
Il GAFI consente ai paesi una soglia de minimis di 1.000 USD/EUR, sotto la quale basta un insieme ridotto di dati. Molte giurisdizioni, tra cui UE e Svizzera, hanno scelto di non usarla.
Chi deve applicarla
Lo standard GAFI riguarda ogni VASP che invia o riceve trasferimenti per conto dei clienti, e le istituzioni finanziarie che fanno lo stesso. Le norme nazionali fissano poi i dettagli, ad esempio:
- UE: tutti i CASP in base al Regolamento (UE) 2023/1113 dal 30 dicembre 2024, senza importo minimo;
- Svizzera: gli intermediari finanziari soggetti alla LRD, secondo la Comunicazione FINMA 02/2019, senza importo minimo;
- Regno Unito: le imprese di cripto-attività in base alle Money Laundering Regulations, dal 1° settembre 2023;
- Emirati Arabi Uniti: i VASP secondo le regole delle autorità federali e dei singoli emirati competenti.
Wallet self-hosted
Un trasferimento da o verso un wallet non detenuto da un prestatore non può trasmettere i dati a un altro istituto. Il GAFI si aspetta che il prestatore raccolga i dati dal proprio cliente e tratti questi trasferimenti in base al rischio. Alcune giurisdizioni vanno oltre: l'UE richiede di verificare che il cliente possieda o controlli il wallet self-hosted per trasferimenti superiori a 1.000 euro, e la prassi svizzera chiede la prova della titolarità dei wallet esterni. I metodi usuali sono la firma di un messaggio, una piccola transazione di prova (Satoshi test) o la visualizzazione del wallet tramite condivisione dello schermo.
La difficoltà pratica: le controparti
Prima di inviare i dati dovete sapere se il wallet di destinazione appartiene a un prestatore, quale, e se può ricevere dati in modo sicuro. Il recepimento varia da paese a paese, quindi alcune controparti non sono ancora in grado o obbligate a scambiare dati (il cosiddetto sunrise issue). Servono l'attribuzione degli indirizzi tramite analisi blockchain, una soluzione di messaggistica Travel Rule, la due diligence sui prestatori controparte e procedure scritte per i dati mancanti o incompleti. Questi controlli si affiancano allo screening sanzioni e al KYT sulla stessa transazione.
Come vi aiuta Advisorn
Advisorn redige policy Travel Rule basate sullo standard GAFI e sulle regole dei paesi in cui operate, definisce la gestione dei wallet self-hosted e dei dati mancanti e supporta l'identificazione delle controparti.
Raccomandazioni GAFI 15 e 16 e relative note interpretative; Guida GAFI aggiornata sull'approccio basato sul rischio per asset virtuali e prestatori di servizi per asset virtuali (ottobre 2021). Esempi di recepimento nazionale: Regolamento (UE) 2023/1113 (UE); Comunicazione FINMA 02/2019 (Svizzera); Money Laundering Regulations 2017 e successive modifiche (Regno Unito).
Aggiornato a novembre 2026 · Informazioni generali, non consulenza legale o fiscale sul vostro caso specifico.