REP27 · Technologie réglementée · Crypto
Article 27 RGPD · aux côtés de la MiCA et de l'AML
Les entreprises de crypto arrivant en Europe prévoient une autorisation MiCA et des programmes AML, puis découvrent une obligation de 290 € qui est en attente depuis leur premier utilisateur européen. L'article 27 est la plus petite ligne du dossier de conformité et celle qui n'a pas de délai de préavis : c'est aussi celle qui ne peut pas être contestée, car les données KYC que vous êtes légalement tenu de conserver sont exactement ce qui rend le traitement continu.
Fichiers KYCAdresses de portefeuilleHistorique des transactionsTickets de supportMarketing
Trois de ces éléments nécessitent des licences, des programmes et des mois de travail. Le quatrième est une signature et un paragraphe dans un avis de confidentialité, c'est pourquoi il est si souvent celui qui manque encore lorsque les autres sont en cours.
| Argument | Où cela va |
|---|---|
| "Nous sommes décentralisés, il n'y a pas de contrôleur." | Si une entreprise gère l'interface, détient des fichiers KYC et peut geler des comptes, cette entreprise est un responsable. |
| "Les adresses de portefeuille sont pseudonymes" | Pseudonyme n'est pas anonyme. Lié à une identité vérifiée dans votre base de données, ce sont des données personnelles. |
| "Nos utilisateurs nous ont trouvés, nous ne ciblons pas l'UE." | Une langue européenne, des paires en euros, des rails de paiement de l'UE ou un marketing localisé pointent tous dans l'autre sens. |
| "Nous géo-bloquons l'UE" | Alors l'article 3(2) peut ne pas être engagé. Un blocage efficace, pas une case à cocher, est ce qui compte. |
| "L'autorisation MiCA le couvre" | La MiCA est une réglementation financière. Elle ne dit rien sur l'article 27, et les autorités sont différentes. |
Là où les personnes concernées et les autorités de contrôle écrivent, dans huit langues, avec tout enregistré.
Détention et mise à disposition des autorités — le document que la plupart des échanges n'ont jamais assemblé, et le premier demandé après un incident.
Quels partenaires bancaires et fournisseurs de paiement demandent de plus en plus à voir lors de l'intégration.
Le libellé de l'article 13(1)(a) nommant le représentant, traduit pour les marchés que vous servez.
Les échanges ont tendance à se décrire comme détenant des portefeuilles. Ce qu'ils détiennent, d'un point de vue européen, est l'un des fichiers de données personnelles les plus riches qu'une entreprise privée puisse accumuler.
| Système | Ce qu'il contient | Pourquoi cela compte sous le RGPD |
|---|---|---|
| Fournisseur KYC | Documents d'identité, selfies, vérifications de vivacité. | Traitement biométrique et un transfert vers un pays tiers en une étape. |
| Livre de comptes principal | Soldes, transactions, adresses liées | Données financières liées à une personne identifiée |
| Analyse de chaîne | Score de risque sur les adresses et les contreparties | Profilage, avec des conséquences pour l'utilisateur |
| Bureau de support | Tickets, pièces jointes, enregistrements d'écran | Le système le moins contrôlé dans la plupart des échanges. |
| Pile marketing | Emails, segments, engagement de campagne | État de consentement qui doit être prouvable |
La troisième ligne est celle que les régulateurs européens trouvent la plus intéressante, car un score de risque qui gèle un compte est une décision concernant une personne, prise automatiquement, avec de réelles conséquences.
Un jour, et cela supprime la constatation la plus facile qu'une autorité peut faire contre vous.
Propriétaire, emplacement, conservation, et si le fournisseur est à l'intérieur ou à l'extérieur de l'Union.
Les minimums AML et la minimisation RGPD tirent dans des directions opposées ; la résolution doit être écrite, pas supposée.
Gels, refus et scores de risque. L'article 22 demande des informations significatives sur la logique et un accès à un examen humain.
Des projets longs avec leurs propres délais. Rien dans ceux-ci ne remplace les quatre étapes ci-dessus.
Cela ne vous autorise pas en vertu de MiCA, cela ne satisfait pas à l'enregistrement AML, et cela ne rend pas les gels de compte automatisés légaux. Cela donne aux autorités de supervision et aux utilisateurs un point de contact à l'intérieur de l'Union et garde le dossier de traitement disponible. Les fournisseurs impliquant plus que cela vendent quelque chose que la réglementation ne contient pas.
Désignez avant que le marketing ne commence plutôt qu'après l'arrivée des premiers utilisateurs. L'obligation est liée au traitement, donc un lancement qui attire des milliers d'inscriptions européennes en une semaine crée le vide au moment même où votre profil public est le plus élevé.
Pour les entreprises de crypto, la pression pratique ne vient que rarement d'une autorité de supervision en premier. Elle vient d'un fournisseur de paiement ou d'un partenaire bancaire effectuant sa propre révision d'intégration, et la section sur la protection des données de ces questionnaires est devenue visiblement plus longue.
Un nom, une adresse et idéalement un code qu'ils peuvent vérifier sans vous contacter.
Pays, fournisseur, et le mécanisme de transfert s'il quitte l'Union.
La réponse doit concilier les minimums AML avec une période de conservation déclarée, et ne pas simplement affirmer les deux.
Automatisé, manuel, ou les deux — et quel chemin un utilisateur doit suivre pour un examen humain.
Non. MiCA régit les services de crypto-actifs et est supervisée par des régulateurs financiers. L'article 27 régit les données personnelles et est supervisé par des autorités de protection des données.
Pas nécessairement. Si votre interface collecte des analyses, des e-mails, des tickets de support ou des KYC optionnels auprès d'utilisateurs dans l'Union, vous traitez leurs données personnelles.
La localisation est ce qui rend l'obligation applicable, pas ce qui l'enlève. L'article 27 existe précisément pour les entreprises établies en dehors de l'Union.
Lorsqu'elles peuvent être liées à un titulaire de compte identifié, oui. Entre les mains de l'échange détenant le fichier KYC, ce lien existe par conception.
Un blocage efficace peut vous mettre en dehors de l'article 3(2). Une bannière demandant aux utilisateurs de confirmer qu'ils ne se trouvent pas dans l'UE n'est pas un blocage efficace.
La règle de voyage vous oblige à transmettre les données de l'initiateur et du bénéficiaire, ce qui est plus de traitement de données personnelles, pas moins. Cela renforce le cas pour une désignation.
Seulement s'il signe la désignation en tant qu'entité représentante et opère le point de contact. Vous conseiller est un service différent.
Les obligations de notification incombent à vous en tant que responsable. Le représentant est le point de contact auquel les autorités peuvent s'adresser et détient le dossier qu'elles demanderont.
Si des personnes dans l'Union peuvent participer, oui. Les périodes de vente sont exactement lorsque les volumes de données augmentent et que les plaintes suivent.
Si cette entité est réellement établie et est le responsable du traitement, l'article 27 ne s'applique pas à elle. La présence dans le groupe ne transfère pas l'obligation.
L'article 83(4)(a) la place dans la tranche allant jusqu'à 10 millions d'euros ou 2 % du chiffre d'affaires annuel mondial, et dans ce secteur, l'absence est facile à établir à partir d'un avis de confidentialité public.
Dans les 24 heures suivant un formulaire complété, avec le certificat et le texte de notification fournis en même temps.
290 € par an pour Base, 490 € pour Standard, 890 € pour Multi. Par rapport au reste d'un budget de conformité crypto, c'est la plus petite ligne du dossier.
Connexe : la version SaaS · agissant en tant que sous-traitant
Une désignation signée de l'article 27 dans les 24 heures, un certificat avec un code de vérification, le dossier de l'article 30 tenu pour vous, et un bureau qui répond dans huit langues.
Voyez les plans