Crypto, wallets en fintech-apps

• Regulation (EU) 2023/1114 — MiCA
• Regulation (EU) 2016/679 — GDPR, Article 27
• Directive (EU) 2015/849 — anti-money laundering
• Regulation (EU) 2023/1113 — transfer of funds and crypto-assets
• Directive (EU) 2015/2366 — PSD2 where payment services are provided

Wie moet aanwijzen

Leveranciers gevestigd buiten de Unie die crypto-activa diensten of betalingsfunctionaliteit aanbieden aan mensen in de EU. Twee verschillende vragen rijzen: de gegevensvraag, beantwoord door een Artikel 27 vertegenwoordiger, en de licentievraag, die helemaal niet door een vertegenwoordiger kan worden beantwoord — MiCA vereist autorisatie van een entiteit gevestigd in een lidstaat, en omgekeerde sollicitatie wordt nauw geïnterpreteerd.

Drempels en vrijstellingen

MiCA-drempels zijn afhankelijk van de dienst en het type activa, met zwaardere regels voor significante activa-referentie en e-geld tokens. GDPR heeft geen drempel.

Wat op het etiket moet

Niet fysiek. De identiteit van de vertegenwoordiger in de privacyverklaring, plus de uitgebreide MiCA openbaarmakingsverplichtingen: het whitepaper voor bepaalde tokens, risicowaarschuwingen, klachtenprocedures en de autorisatiestatus van de entiteit die de dienst verleent.

Marktplaatsvelden

App-winkels vereisen dat financiële diensten-apps autorisatie aantonen in de doelmarkten, en verwijderen crypto-apps die dat niet kunnen. Betalingsproviders en banken voeren hun eigen due diligence uit en weigeren niet-gelicentieerde operators.

Documentatie die u moet bewaren

Artikel 30 registraties met betrekking tot identiteitsverificatie, transactie monitoring en ondersteuning. De Artikel 27 aanwijzing. Gegevensbeschermingseffectbeoordeling, aangezien KYC-verwerking identiteitsdocumenten omvat en, waar biometrische verificatie wordt gebruikt, gegevens van speciale categorieën. Bewaarschema dat GDPR-minimalisatie verzoent met AML-bewaarverplichtingen. Aan de regelgevende kant, het MiCA autorisatiefdossier, governance-regelingen en het AML-programma.

Normen en tests

Niet van toepassing, hoewel biometrische identiteitsverificatiesystemen vragen over nauwkeurigheid en vooringenomenheid oproepen die een gegevensbeschermingseffectbeoordeling moet aanpakken, en de AI-wet mogelijk van toepassing is op het verificatiesysteem zelf.

Taalvereisten

Openbaarmakingen, risicowaarschuwingen en klachtenprocedures in de taal van elke lidstaat waar diensten worden aangeboden.

Vanaf wanneer

De vertegenwoordiger vóór de verwerking begint. MiCA is van toepassing op crypto-activa dienstverleners sinds 30 december 2024, met nationale overgangsregelingen die grotendeels zijn verlopen.

Bewaartermijn

AML-registraties gedurende ten minste vijf jaar na het einde van de relatie, wat een langere bewaartijd is dan GDPR-minimalisatie zou suggereren en moet worden gedocumenteerd als een wettelijke verplichting in plaats van aangenomen.

Bij niet-naleving

GDPR-boetes tot €20 miljoen of 4%. MiCA-sancties worden nationaal vastgesteld en omvatten verbod op activiteiten, wat existentieel in plaats van financieel is. Opereren zonder autorisatie is een strafbaar feit in verschillende lidstaten.

Wie handhaaft

Gegevensbeschermingsautoriteiten, nationale financiële toezichthouders en ESMA of de EBA afhankelijk van de dienst, en financiële inlichtingeneenheden voor AML.

Waar de grens ligt

Een Artikel 27 vertegenwoordiger maakt een niet-geautoriseerde dienst niet wettig. Dit is het meest ingrijpende misverstand in de sector: het aanstellen van een vertegenwoordiger voldoet aan de GDPR en niets anders, terwijl het aanbieden van gereguleerde diensten in de Unie zonder autorisatie de operator blootstelt aan handhaving die een gegevensaanstelling niet kan mitigeren.

Veelgestelde vragen

Laat een GDPR-vertegenwoordiger ons EU-klanten bedienen?

Nee. Het voldoet alleen aan Artikel 27. Het aanbieden van crypto-activa diensten in de Unie vereist autorisatie onder MiCA van een entiteit gevestigd in een lidstaat.

Is omgekeerde sollicitatie een manier om binnen te komen?

Het wordt zeer nauw geïnterpreteerd: een oprecht ongevraagd verzoek van een klant, zonder marketing, zonder lokalisatie en zonder EU-gerichte promotie. Toezichthouders behandelen geclaimde omgekeerde sollicitatie met scepsis.