- Regulation (EU) 2023/1114 — MiCA
- Regulation (EU) 2016/679 — GDPR, Article 27
- Directive (EU) 2015/849 — anti-money laundering
- Regulation (EU) 2023/1113 — transfer of funds and crypto-assets
- Directive (EU) 2015/2366 — PSD2 where payment services are provided
誰が選任するか
EU外に設立された暗号資産サービスまたは支払い機能をEU内の人々に提供する事業者。データに関する質問と、代表者では全く回答できないライセンスに関する質問の2つが生じる — MiCAは加盟国に設立された法人の認可を要求し、逆勧誘は狭く解釈される。
しきい値と適用除外
MiCAの閾値はサービスと資産の種類に依存し、重要な資産参照トークンおよび電子マネートークンにはより厳しい規則が適用される。GDPRには閾値がない。
ラベルに必要な記載
物理的ではない。プライバシー通知における代表者の身元、さらにMiCAの広範な開示義務：特定のトークンのホワイトペーパー、リスク警告、苦情手続き、およびサービスを提供する法人の認可状況。
マーケットプレイスの項目
アプリストアは、金融サービスアプリがターゲット市場での認可を証明することを要求し、認可を受けていない暗号アプリを削除する。支払いプロバイダーおよび銀行は独自のデューデリジェンスを行い、無認可の事業者を拒否する。
保管すべき文書
身元確認、取引監視およびサポートをカバーする第30条の記録。第27条の指定。KYC処理には身分証明書が含まれ、バイオメトリック確認が使用される場合は特別カテゴリーのデータが含まれるため、データ保護影響評価。GDPRの最小化とAMLの保持義務を調整する保持スケジュール。規制側では、MiCAの認可ファイル、ガバナンスの取り決めおよびAMLプログラム。
規格と試験
該当なし。ただし、バイオメトリック身元確認システムは精度とバイアスの問題を提起し、データ保護影響評価がこれに対処する必要があり、AI法が確認システム自体に適用される可能性がある。
言語要件
サービスが提供される各加盟国の言語での開示、リスク警告および苦情手続き。
いつから適用されるか
処理が始まる前に代表者が必要。MiCAは2024年12月30日以降、暗号資産サービスプロバイダーに適用され、国の移行措置はほぼ期限切れとなっている。
文書の保管期間
関係が終了した後、少なくとも5年間AML記録を保持する必要があり、これはGDPRの最小化が示唆するよりも長い保持期間であり、仮定ではなく法的義務として文書化されなければならない。
違反した場合
GDPRの罰金は最大€2000万または4%。MiCAの罰則は国ごとに設定され、活動の禁止を含み、これは財政的なものではなく存在に関わるものである。いくつかの加盟国では、無認可での運営は犯罪と見なされる。
執行機関
データ保護当局、国家金融監督機関、サービスに応じてESMAまたはEBA、AMLのための金融情報ユニット。
境界線
第27条の代表者は無認可のサービスを合法にすることはない。これはこの分野で最も重要な誤解である：代表者を任命することはGDPRを満たすが、それ以外の何物でもなく、無認可でEU内に規制されたサービスを提供することは、データの任命では緩和できない執行に対して事業者をさらす。
よくある質問
- GDPRの代表者はEUの顧客にサービスを提供できるようにしますか？
- いいえ。第27条のみを満たします。EU内で暗号資産サービスを提供するには、加盟国に設立された法人のMiCAの認可が必要です。
- 逆勧誘は入り口の一つですか？
- 非常に狭く解釈されます：マーケティング、ローカリゼーション、EU向けのプロモーションがない、クライアントからの真に自発的なアプローチ。規制当局は主張された逆勧誘に懐疑的です。