Règlement délégué (UE) 2025/303 de la Commission du 31 octobre 2024 complétant le règlement (UE) 2023/1114 du Parlement européen et du Conseil par des normes techniques de réglementation précisant les informations que certaines entités financières doivent inclure dans la notification de leur intention de fournir des services sur crypto-actifs

(1)

Afin de permettre aux autorités compétentes d’évaluer si certaines entités financières prévoyant de fournir des services sur crypto-actifs satisfont aux exigences applicables énoncées au titre V et, le cas échéant, au titre VI du règlement (UE) 2023/1114, les informations que ces entités doivent inclure dans la notification de leur intention de fournir ces services doivent être suffisamment détaillées et complètes, sans toutefois imposer de charge excessive.

(2)

Conformément à l’article 60, paragraphe 7, point a), du règlement (UE) 2023/1114, une notification de l’intention de fournir des services sur crypto-actifs doit contenir un programme d’activité. Afin de dresser un tableau complet des activités que l’entité à l’origine de la notification prévoit d’entreprendre, le programme d’activité doit comprendre une description de la structure organisationnelle de l’entité, sa stratégie de fourniture de services sur crypto-actifs à ses clients ciblés et sa capacité opérationnelle pour les trois années suivant la date de la notification. En ce qui concerne la stratégie utilisée pour cibler les clients, l’entité à l’origine de la notification devrait décrire les moyens de commercialisation qu’elle compte utiliser, tels que les sites web, les applications pour téléphones mobiles, les réunions en face à face, les communiqués de presse ou toute forme de moyen physique ou électronique, y compris les outils de campagne sur les médias sociaux, les annonces et bandeaux publicitaires sur l’internet, le reciblage publicitaire, les accords avec des influenceurs, les accords de parrainage, les appels vocaux, les webinaires, les invitations à participer à un événement, les campagnes d’affiliation, les techniques de ludification, les invitations à remplir un formulaire de réponse ou à suivre une formation, les comptes de démonstration ou le matériel pédagogique.

(3)

Afin de permettre aux autorités compétentes d’évaluer la résilience de l’entité à l’origine de la notification face aux chocs financiers externes, y compris ceux concernant la valeur des crypto-actifs, l’entité à l’origine de la notification devrait inclure dans sa notification des scénarios de crise simulant des événements graves, mais plausibles, dans son plan comptable prévisionnel.

(4)

Afin d’éviter des interruptions d’activités, qui peuvent avoir des conséquences financières, réglementaires et de réputation majeures pour l’entité à l’origine de la notification et, plus généralement, les marchés de crypto-actifs, il est primordial de maintenir les activités ou, à tout le moins, les fonctions essentielles des prestataires de services sur crypto-actifs et de réduire au minimum les temps d’arrêt dus à des perturbations inattendues, y compris des cyberattaques et des catastrophes naturelles. Une notification devrait donc contenir des informations détaillées sur les dispositions prises par l’entité à l’origine de la notification pour garantir la continuité et la régularité de la fourniture de services sur crypto-actifs, y compris une description détaillée des risques auxquels elle peut être exposée et de ses plans de continuité des activités.

(5)

Des mécanismes, systèmes et procédures efficaces, conformes à la directive (UE) 2015/849 du Parlement européen et du Conseil (2) sont nécessaires pour garantir que les entités à l’origine de la notification s’attaquent de manière appropriée aux risques et aux pratiques de blanchiment de capitaux et de financement du terrorisme dans le cadre de la fourniture de services sur crypto-actifs. Par conséquent, les entités à l’origine d’une notification devraient fournir, dans cette notification, des informations détaillées sur les mécanismes, systèmes et procédures qu’elles ont mis en place pour prévenir les risques liés à leurs activités commerciales en ce qui concerne, entre autres, la lutte contre le blanchiment de capitaux et le financement du terrorisme.

(6)

En raison de la nature décentralisée et numérique des crypto-actifs, les risques en matière de cybersécurité pour les prestataires de services sur crypto-actifs sont importants et prennent de nombreuses formes. Afin de garantir que l’entité à l’origine de la notification est en mesure de prévenir les violations de données et les pertes financières susceptibles d’être causées par des cyberattaques, les informations sur les systèmes de TIC déployés par l’entité à l’origine de la notification et les dispositifs de sécurité correspondants, notamment l’identité et la localisation géographique des prestataires de services, la description des activités externalisées ou les services TIC avec leurs principales caractéristiques et la copie des accords contractuels, telles que visées à l’article 60, paragraphe 7, point c), du règlement (UE) 2023/1114, devraient inclure les ressources humaines allouées à la gestion des risques en matière de cybersécurité.

(7)

La ségrégation des crypto-actifs et des fonds des clients protège ces derniers contre les pertes du prestataire de services sur crypto-actifs et contre l’utilisation abusive de leurs crypto-actifs et de leurs fonds. L’article 70 du règlement (UE) 2023/1114 impose donc aux prestataires de services sur crypto-actifs de prendre des dispositions adéquates pour protéger les droits de propriété des clients. Cette exigence s’applique également aux prestataires de services sur crypto-actifs qui ne fournissent pas de services de conservation et d’administration.

(8)

Afin de permettre aux autorités compétentes d’évaluer l’adéquation des règles de fonctionnement définies par l’entité à l’origine de la notification pour ses plates-formes de négociation de crypto-actifs, cette dernière devrait détailler certains éléments dans la description de ces règles. En particulier, elle devrait préciser les aspects des règles de fonctionnement relatifs à l’admission à la négociation, à la négociation elle-même et au règlement des crypto-actifs. En ce qui concerne l’admission à la négociation de crypto-actifs, l’entité à l’origine de la notification devrait fournir des informations détaillées sur la conformité des crypto-actifs admis avec ses règles, sur les types de crypto-actifs qu’elle n’admettra pas sur sa plate-forme de négociation et sur les raisons de ces exclusions, ainsi que sur les frais d’admission à la négociation. En ce qui concerne la négociation de crypto-actifs, l’entité à l’origine de la notification devrait préciser les éléments des règles de fonctionnement régissant l’exécution et l’annulation des ordres, la négociation ordonnée, la transparence et les enregistrements. Enfin, l’entité à l’origine de la notification devrait inclure dans la description de ses règles de fonctionnement les éléments régissant le règlement des transactions sur crypto-actifs conclues sur sa plate-forme de négociation, en indiquant notamment si ce règlement est initié à l’aide de la technologie des registres distribués (DLT pour «Distributed Ledger Technology»), le délai d’initiation de l’exécution, la définition du moment où le règlement est définitif, toutes les vérifications requises pour garantir le règlement effectif de la transaction et les mesures prises pour limiter les défauts de règlement.

(9)

Afin de permettre aux autorités compétentes d’évaluer l’adéquation de l’entité à l’origine de la notification pour la fourniture de certains services sur crypto-actifs tels que l’échange de crypto-actifs contre des fonds ou d’autres crypto-actifs, l’exécution, la fourniture de conseils en crypto-actifs ou la gestion de portefeuille de crypto-actifs et les services de transfert, l’entité à l’origine de la notification devrait préciser les modalités de fourniture de ces services sur crypto-actifs ainsi que les dispositifs mis en place pour garantir que ladite entité respecte les dispositions pertinentes du règlement (UE) 2023/1114 en ce qui concerne la fourniture de ces services sur crypto-actifs.

(10)

Tout traitement des données à caractère personnel au titre du présent règlement est conforme aux exigences du règlement (UE) 2016/679 du Parlement européen et du Conseil (3).

(11)

Le présent règlement se fonde sur le projet de normes techniques de réglementation soumis à la Commission par l’Autorité européenne des marchés financiers (AEMF), qui a été élaboré en étroite coopération avec l’Autorité bancaire européenne.

(12)

L’AEMF a procédé à des consultations publiques ouvertes sur le projet de normes techniques de réglementation sur lequel se fonde le présent règlement, analysé les coûts et avantages potentiels qu’il implique et sollicité l’avis du groupe des parties intéressées au secteur financier institué en application de l’article 37 du règlement (UE) no 1095/2010 du Parlement européen et du Conseil (4).

(13)

Le Contrôleur européen de la protection des données a été consulté conformément à l’article 42, paragraphe 1, du règlement (UE) 2018/1725 du Parlement européen et du Conseil (5) et fait part de ses observations formelles le 21 juin 2024,

a)

l’évaluation par l’entité à l’origine de la notification des risques inhérents et résiduels de blanchiment de capitaux et de financement du terrorisme liés à ses services sur crypto-actifs, y compris les risques liés:

b)

les mesures que l’entité à l’origine de la notification a prises ou prendra pour prévenir les risques détectés et se conformer aux exigences applicables en matière de lutte contre le blanchiment de capitaux et le financement du terrorisme, y compris son processus d’évaluation des risques, ses politiques et procédures visant à se conformer aux obligations de vigilance à l’égard de la clientèle, ainsi que ses politiques et procédures de détection et de signalement des transactions ou activités suspectes;

c)

des informations détaillées montrant en quoi ces mécanismes, politiques et procédures de contrôle interne sont adéquats et proportionnés à l’ampleur, à la nature, au risque inhérent de blanchiment de capitaux et de financement du terrorisme, y compris à l’éventail des services sur crypto-actifs fournis et à la complexité du modèle économique, et comment l’entité à l’origine de la notification garantit sa conformité avec la directive (UE) 2015/849 et le règlement (UE) 2023/1113 du Parlement européen et du Conseil (7);

d)

l’identité de la personne chargée de veiller au respect, par l’entité à l’origine de la notification, des exigences en matière de lutte contre le blanchiment de capitaux et le financement du terrorisme, et des justificatifs des compétences et de l’expertise de cette personne;

e)

les dispositifs et les ressources humaines et financières consacrés à garantir, sur la base d’indications annuelles, que le personnel de l’entité à l’origine de la notification est correctement formé aux questions de lutte contre le blanchiment de capitaux et le financement du terrorisme et aux risques spécifiques liés aux crypto-actifs;

f)

une copie des politiques, procédures et systèmes de l’entité à l’origine de la notification en matière de lutte contre le blanchiment de capitaux et le financement du terrorisme;

g)

un document récapitulatif décrivant les modifications qui ont été apportées aux procédures et systèmes de l’entité à l’origine de la notification en matière de lutte contre le blanchiment de capitaux et le financement du terrorisme en conséquence des services sur crypto-actifs prévus;

h)

la fréquence à laquelle seront évaluées l’adéquation et l’efficacité des mécanismes, systèmes et procédures de contrôle interne, ainsi que l’identité de la personne ou de la fonction chargée de cette évaluation.

a)

la documentation technique des systèmes de TIC, l’infrastructure DLT utilisée, le cas échéant, et les dispositifs de sécurité, y compris une description des dispositifs mis en place et des ressources humaines et ressources TIC déployées pour se conformer au règlement (UE) 2022/2554 du Parlement européen et du Conseil (8), comprenant les éléments suivants:

b)

le cas échéant, la description d’un audit de cybersécurité, réalisé par un auditeur en cybersécurité tiers doté d’une expérience suffisante, conformément au règlement délégué de la Commission définissant des normes techniques en application de l’article 26, paragraphe 11, quatrième alinéa, du règlement (UE) 2022/2554, et incluant idéalement les audits ou tests suivants par des tiers indépendants:

c)

une description des audits réalisés sur les systèmes de TIC, le cas échéant, y compris sur l’infrastructure DLT et les dispositifs de sécurité utilisés;

d)

une description, dans un langage non technique, des informations pertinentes visées aux points a) et b).

a)

une description des dispositions concernant le type de conservation proposé aux clients, une copie de la convention type utilisée par l’entité à l’origine de la notification pour la conservation et l’administration de crypto-actifs pour le compte de clients conformément à l’article 75, paragraphe 1, du règlement (UE) 2023/1114 et une copie du résumé de la politique de conservation mis à la disposition des clients conformément à l’article 75, paragraphe 3, troisième alinéa, du règlement (UE) 2023/1114;

b)

la politique de conservation et d’administration de l’entité à l’origine de la notification, comprenant une description des sources identifiées de risques opérationnels et liés aux TIC pour la garde et le contrôle des crypto-actifs des clients, ou des moyens d’accès à ces crypto-actifs, ainsi que les éléments suivants:

c)

des informations sur la manière dont sont identifiés les crypto-actifs des clients et les moyens d’accès à ces crypto-actifs;

d)

des informations sur les dispositions prises pour réduire au minimum le risque de perte de crypto-actifs ou de moyens d’accès à des crypto-actifs;

e)

lorsque le prestataire de services sur crypto-actifs a délégué à un tiers la conservation et l’administration de crypto-actifs pour le compte de clients:

a)

une description de la politique commerciale établie conformément à l’article 77, paragraphe 1, du règlement (UE) 2023/1114;

b)

la méthode de détermination du prix des crypto-actifs que l’entité à l’origine de la notification entend échanger contre des fonds ou d’autres crypto-actifs, conformément à l’article 77, paragraphe 2, du règlement (UE) 2023/1114, y compris de l’incidence que le volume et la volatilité du marché des crypto-actifs ont sur le mécanisme de tarification.

a)

les dispositifs qui garantissent que le client a donné son consentement, avant l’exécution de l’ordre, en ce qui concerne la politique d’exécution;

b)

une liste des plates-formes de négociation de crypto-actifs auxquelles l’entité à l’origine de la notification aura recours pour l’exécution d’ordres et les critères qu’elle appliquera pour évaluer, conformément à l’article 78, paragraphe 6, du règlement (UE) 2023/1114, les plates-formes d’exécution prévues dans sa politique d’exécution;

c)

les plates-formes de négociation que l’entité à l’origine de la négociation a l’intention d’utiliser pour chaque type de crypto-actifs et la confirmation que ladite entité ne recevra aucune forme de rémunération, de remise ou d’avantage non pécuniaire en contrepartie de l’acheminement d’ordres reçus vers une plate-forme de négociation de crypto-actifs donnée;

d)

la manière dont l’exécution tient compte du prix, des coûts, de la rapidité, de la probabilité de l’exécution et du règlement, du montant de l’ordre, de sa nature, des conditions de conservation des crypto-actifs ou de tout autre facteur pertinent considéré comme faisant partie de toutes les mesures nécessaires pour obtenir le meilleur résultat possible pour le client;

e)

le cas échéant, les dispositions prises pour informer les clients que l’entité à l’origine de la notification exécutera des ordres en dehors d’une plate-forme de négociation et la manière dont ladite entité obtiendra l’accord exprès et préalable de ses clients avant d’exécuter ces ordres;

f)

la manière dont le client est averti que toute instruction spécifique donnée par un client peut empêcher l’entité à l’origine de la notification de prendre les mesures nécessaires, conformément aux dispositions que ladite entité a établies et mises en œuvre dans sa politique d’exécution, pour obtenir le meilleur résultat possible pour l’exécution de ces ordres en ce qui concerne les éléments couverts par ces instructions;

g)

le processus de sélection des plates-formes de négociation, les stratégies d’exécution utilisées, les dispositifs utilisés pour analyser la qualité d’exécution obtenue et la manière dont l’entité à l’origine de la notification contrôle et vérifie que les meilleurs résultats possibles ont été obtenus pour les clients;

h)

les dispositions visant à empêcher l’utilisation abusive de toute information relative aux ordres des clients par les salariés de l’entité à l’origine de la notification;

i)

les dispositifs et procédures relatifs à la manière dont l’entité à l’origine de la notification communiquera aux clients des informations sur sa politique d’exécution des ordres et leur notifiera toute modification importante apportée à leur politique d’exécution des ordres;

j)

les dispositions prises pour démontrer à l’autorité compétente, à sa demande, la conformité avec l’article 78 du règlement (UE) 2023/1114.

a)

une description détaillée des dispositions mises en place par l’entité à l’origine de la notification pour veiller au respect de l’article 81, paragraphe 7, du règlement (UE) 2023/1114, y compris les éléments suivants:

b)

les mécanismes permettant de contrôler, d’évaluer et de maintenir, chez les personnes physiques qui dispensent des conseils au nom de l’entité à l’origine de la notification, les connaissances et l’expertise nécessaires, suivant les critères utilisés dans la législation nationale pour cette évaluation, pour réaliser l’évaluation de l’adéquation visée à l’article 81, paragraphe 1, du règlement (UE) 2023/1114.

a)

des précisions sur les types de crypto-actifs pour lesquels l’entité à l’origine de la notification prévoit de fournir des services de transfert;

b)

une description détaillée des dispositifs mis en place par l’entité à l’origine de la notification pour se conformer à l’article 82 du règlement (UE) 2023/1114, y compris des informations détaillées sur les dispositifs mis en place et les ressources humaines et ressources TIC déployées par ladite entité pour parer aux risques de manière rapide, efficace et approfondie lors de la fourniture de services de transfert de crypto-actifs pour le compte de clients, en tenant compte de potentielles défaillances opérationnelles et des risques en matière de cybersécurité;

c)

le cas échéant, une description de la police d’assurance de l’entité à l’origine de la notification, notamment de la couverture par l’assurance du préjudice porté aux crypto-actifs du client qui peut résulter de risques en matière de cybersécurité;

d)

les dispositions visant à garantir que les clients sont correctement informés des dispositions visées au point b).