Règlement délégué (UE) 2025/305 de la Commission du 31 octobre 2024 complétant le règlement (UE) 2023/1114 du Parlement européen et du Conseil par des normes techniques de réglementation précisant les informations à inclure dans une demande d’agrément en tant que prestataire de services sur crypto-actifs

1)

Afin de permettre aux autorités compétentes d’évaluer si les personnes morales ou autres entreprises sollicitant un agrément en tant que prestataire de services sur crypto-actifs en vertu de l’article 62 du règlement (UE) 2023/1114 (ci-après les «demandeurs») satisfont aux exigences applicables énoncées au titre V et, le cas échéant, au titre VI dudit règlement, les informations à fournir dans une demande d’agrément en tant que prestataire de services sur crypto-actifs présentée en vertu de l’article 62, paragraphe 1, dudit règlement (ci-après la «demande d’agrément») doivent être suffisamment détaillées et complètes, sans toutefois imposer de charge excessive.

2)

La demande d’agrément devrait contenir des données sur l’identité du demandeur, son dispositif de gouvernance et ses mécanismes de contrôle interne, l’aptitude des membres de son organe de direction et l’honorabilité suffisante de ses actionnaires ou associés détenteurs d’une participation qualifiée. Conformément au principe de minimisation des données énoncé à l’article 5, paragraphe 1, point c), du règlement (UE) 2016/679 du Parlement européen et du Conseil (2), ces informations devraient être suffisantes pour permettre aux autorités compétentes de procéder à une évaluation complète du demandeur et de sa capacité à se conformer aux exigences pertinentes du règlement (UE) 2023/1114. En outre, ces informations devraient suffire pour permettre aux autorités compétentes de vérifier qu’il n’existe aucune des raisons objectives et démontrables de refus de l’agrément visées à l’article 63, paragraphe 10, points a) à d), dudit règlement.

3)

Afin de garantir que l’évaluation des autorités compétentes repose sur des informations exactes, les demandeurs devraient fournir des copies de leurs documents d’entreprise, incluant leur identifiant d’entité juridique, leurs statuts, une copie de leur inscription au registre national des sociétés et, lorsqu’ils ont l’intention d’exploiter une plate-forme de négociation, la dénomination commerciale utilisée.

4)

Conformément à l’article 62, paragraphe 2, point d), du règlement (UE) 2023/1114, une demande d’agrément doit contenir un programme d’activité. Ce programme doit préciser la structure organisationnelle du demandeur, sa stratégie de fourniture de services sur crypto-actifs à des clients ciblés et sa capacité opérationnelle pendant les trois années suivant l’octroi de l’agrément. Lorsqu’ils précisent la stratégie utilisée pour cibler les clients, les demandeurs devraient, pour des raisons de transparence, décrire les moyens de commercialisation qu’ils comptent utiliser, y compris les sites web, les applications pour téléphones mobiles, les réunions en face à face, les communiqués de presse ou toute forme de moyen physique ou électronique, y compris les outils de campagne sur les médias sociaux, les annonces et bandeaux publicitaires sur l’internet, le reciblage publicitaire, les accords avec des influenceurs, les accords de parrainage, les appels vocaux, les webinaires, les invitations à participer à un événement, les campagnes d’affiliation, les techniques de ludification, les invitations à remplir un formulaire de réponse ou à suivre une formation, les comptes de démonstration ou le matériel pédagogique.

5)

Afin de permettre aux autorités compétentes d’évaluer la résilience des demandeurs face aux chocs financiers externes, y compris ceux concernant la valeur des crypto-actifs, les demandeurs devraient inclure, dans leur demande d’agrément, des scénarios de crise simulant des événements graves, mais plausibles, dans leurs calculs prévisionnels et leurs plans de détermination de leurs fonds propres.

6)

Les clients sont exposés à des risques liés aux prestataires de services sur crypto-actifs. Afin de permettre aux autorités compétentes d’évaluer si les demandeurs satisfont aux exigences prudentielles prévues par l’article 67 du règlement (UE) 2023/1114 pour protéger leurs clients contre ces risques, toute demande d’agrément devrait contenir des informations précisant les garanties prudentielles du demandeur.

7)

En vue de garantir que les prestataires de services sur crypto-actifs respectent les obligations qui leur incombent en vertu du règlement (UE) 2023/1114, les demandeurs devraient démontrer qu’ils possèdent un dispositif de gouvernance et des mécanismes de contrôle interne adéquats et solides, notamment les dispositifs et mécanismes essentiels à une gestion saine et prudente de tels prestataires.

8)

Dans le système des services financiers, le temps est précieux. Afin d’éviter les pannes, qui peuvent avoir des conséquences financières, réglementaires et de réputation majeures pour les prestataires de services sur crypto-actifs et les marchés de crypto-actifs en général, il est primordial de maintenir les activités ou, à tout le moins, les fonctions essentielles de ces prestataires et de réduire à un minimum les temps d’arrêt dus à des perturbations inattendues telles que les cyberattaques et les catastrophes naturelles. Une demande d’agrément devrait donc contenir des informations détaillées sur les dispositions prises par le demandeur pour garantir la continuité et la régularité de la fourniture de services sur crypto-actifs, notamment une description détaillée des risques auxquels il peut être exposé et de ses plans de continuité des activités.

9)

Des mécanismes, systèmes et procédures efficaces, conformes à la directive (UE) 2015/849 du Parlement européen et du Conseil (3) et au règlement (UE) 2023/1113 du Parlement européen et du Conseil (4), sont nécessaires pour garantir que les demandeurs s’attaquent de manière appropriée aux risques et aux pratiques de blanchiment de capitaux et de financement du terrorisme dans le cadre de la fourniture de services sur crypto-actifs. Par conséquent, les demandeurs devraient fournir, dans leur demande d’agrément, des informations détaillées sur les mécanismes, systèmes et procédures qu’ils ont mis en place pour prévenir les risques liés à leurs activités commerciales en ce qui concerne, entre autres, la lutte contre le blanchiment de capitaux et le financement du terrorisme.

10)

Conformément à l’article 62, paragraphe 2, point g), du règlement (UE) 2023/1114, une demande d’agrément doit contenir la preuve que les membres de l’organe de direction jouissent d’une honorabilité suffisante et possèdent les connaissances, les compétences et l’expérience adéquates pour diriger le prestataire de services sur crypto-actifs. En particulier, le demandeur devrait fournir aux autorités compétentes toutes les informations relatives aux condamnations pénales antérieures, ainsi qu’aux enquêtes pénales, affaires civiles et administratives, sanctions, mesures d’exécution et autres procédures juridictionnelles en cours, visant des membres de son organe de direction au titre du droit commercial, du droit de l’insolvabilité, ou du droit en matière de lutte contre le blanchiment de capitaux et le financement du terrorisme, de fraude ou de responsabilité professionnelle. Pour que les autorités compétentes reçoivent des informations adéquates sur l’honorabilité des membres de l’organe de direction, les demandeurs devraient leur fournir des informations sur toute affaire concernant directement ces membres ou concernant toute organisation au sein de laquelle ils ont occupé fait partie de l’organe de direction, dont ils ont été actionnaires ou associés détenteurs d’une participation qualifiée ou au sein de laquelle ils ont exercé une fonction clé. Pour garantir que les autorités compétentes reçoivent suffisamment d’informations sur les refus ou les retraits, entre autres, d’enregistrements, d’agréments ou d’affiliations en lien avec la fourniture de services sur crypto-actifs par les demandeurs, ceux-ci devraient leur fournir ces informations sur chaque membre de l’organe de direction. En outre, les demandeurs devraient fournir, pour chaque membre de l’organe de direction, des informations permettant aux autorités compétentes d’évaluer ses connaissances, compétences et expérience professionnelles au regard du poste visé, ainsi qu’une description de tous les intérêts financiers et non financiers de ce membre qui pourraient générer des conflits d’intérêts potentiels importants affectant significativement sa fiabilité dans l’exercice de son mandat.

11)

En ce qui concerne l’exigence d’honorabilité des actionnaires et associés détenant directement ou indirectement une participation qualifiée dans le capital du demandeur, la demande d’agrément devrait contenir toutes les informations relatives à leurs condamnations antérieures et aux enquêtes pénales, affaires civiles et administratives et autres procédures juridictionnelles en cours dont ils font l’objet, ainsi que des informations pertinentes sur le caractère certain et l’origine légitime des fonds utilisés pour établir le demandeur et financer ses activités, de manière à permettre l’évaluation d’éventuelles tentatives ou suspicions de blanchiment de capitaux ou de financement du terrorisme.

12)

En raison de la nature décentralisée et numérique des crypto-actifs, les risques en matière de cybersécurité pour les prestataires de services sur crypto-actifs sont importants et prennent de nombreuses formes. Pour que les demandeurs soient en mesure de prévenir les violations de données et les pertes financières susceptibles d’être causées par des cyberattaques, les informations sur les systèmes de TIC déployés par les demandeurs et les dispositifs de sécurité correspondants visées à l’article 62, paragraphe 2, point j), du règlement (UE) 2023/1114, devraient inclure les ressources humaines allouées à la gestion des risques en matière de cybersécurité.

13)

La ségrégation des crypto-actifs et des fonds des clients protège ces derniers contre les pertes du prestataire de services sur crypto-actifs et contre l’utilisation abusive de leurs crypto-actifs et de leurs fonds. L’article 70 du règlement (UE) 2023/1114 impose donc aux prestataires de services sur crypto-actifs de prendre des dispositions adéquates pour protéger les droits de propriété des clients. Cette exigence s’applique également aux prestataires de services sur crypto-actifs qui ne fournissent pas de services de conservation et d’administration. Il est donc important que la demande d’agrément contienne des informations sur la ségrégation des crypto-actifs des clients.

14)

Pour permettre aux autorités compétentes d’évaluer l’adéquation des règles de fonctionnement des plates-formes de négociation de crypto-actifs des demandeurs, ces derniers devraient détailler certains éléments dans la description de ces règles. En particulier, les demandeurs devraient préciser les aspects des règles de fonctionnement relatifs à l’admission à la négociation, à la négociation elle-même et au règlement des crypto-actifs. En ce qui concerne l’admission à la négociation de crypto-actifs, le demandeur devrait fournir des informations détaillées sur les règles régissant l’admission de crypto-actifs à la négociation, sur la conformité des crypto-actifs admis avec ses règles, sur les types de crypto-actifs qu’il n’admettra pas sur sa plate-forme de négociation et sur les raisons de ces exclusions, ainsi que sur les frais d’admission à la négociation. En ce qui concerne la négociation de crypto-actifs, les demandeurs devraient préciser les éléments des règles de fonctionnement relatifs à l’exécution et à l’annulation des ordres, à la négociation ordonnée, à la transparence et aux enregistrements. Enfin, les demandeurs devraient inclure dans la description de leurs règles de fonctionnement les éléments régissant le règlement des transactions sur crypto-actifs conclues sur leur plate-forme de négociation, en indiquant notamment si ce règlement est initié à l’aide de la technologie des registres distribués (DLT pour «Distributed Ledger Technology»), le délai d’initiation de l’exécution, la définition du moment où le règlement est définitif, toutes les vérifications requises pour garantir le règlement effectif de la transaction et les mesures prises pour limiter les défauts de règlement.

15)

Le présent règlement se fonde sur le projet de normes techniques de réglementation soumis à la Commission par l’Autorité européenne des marchés financiers, qui a été élaboré en étroite coopération avec l’Autorité bancaire européenne.

16)

L’Autorité européenne des marchés financiers a procédé à des consultations publiques ouvertes sur le projet de normes techniques de réglementation sur lequel se fonde le présent règlement, analysé les coûts et avantages potentiels qu’il implique et sollicité l’avis du groupe des parties intéressées au secteur financier institué par l’article 37 du règlement (UE) no 1095/2010 du Parlement européen et du Conseil (5).

17)

Le Contrôleur européen de la protection des données a été consulté conformément à l’article 42, paragraphe 1, du règlement (UE) 2018/1725 du Parlement européen et du Conseil (6) et fait part de ses observations formelles le 21 juin 2024,

a)

la dénomination sociale, le numéro de téléphone et l’adresse de courrier électronique du demandeur;

b)

toute dénomination commerciale utilisée ou à utiliser par le demandeur;

c)

l’identifiant d’entité juridique (LEI) du demandeur;

d)

le nom complet, la fonction, l’adresse de courrier électronique et le numéro de téléphone du point ou de la personne de contact désigné(e);

e)

la forme juridique du demandeur visée à l’article 62, paragraphe 2, point b), du règlement (UE) 2023/1114, y compris des informations indiquant si le demandeur est une personne morale ou une autre entreprise et, le cas échéant, le numéro national d’identification du demandeur, ainsi que la preuve de son inscription au registre national des sociétés;

f)

la date et l’État membre de constitution en société ou de fondation du demandeur;

g)

le cas échéant, les actes constitutifs, les statuts visés à l’article 62, paragraphe 2, point c), du règlement (UE) 2023/1114 et les règlements intérieurs;

h)

l’adresse du siège social et, si elle est différente, du siège statutaire du demandeur;

i)

des informations sur le lieu où les succursales exerceront leurs activités, le cas échéant, et leurs identifiants d’entité juridique (LEI), le cas échéant;

j)

le nom de domaine de chaque site web exploité par le demandeur et les comptes de médias sociaux de ce dernier;

k)

lorsque le demandeur n’est pas une personne morale, les documents permettant d’évaluer si:

l)

lorsque le demandeur a l’intention d’exploiter une plate-forme de négociation de crypto-actifs:

a)

une description des garanties prudentielles du demandeur prévues par l’article 67 du règlement (UE) 2023/1114, comprenant:

b)

leurs calculs prévisionnels et leurs plans de détermination des fonds propres, y compris:

c)

pour les entreprises ou autres personnes morales qui sont déjà en activité, s’ils sont disponibles, les états financiers des trois derniers exercices, approuvés, lorsqu’ils ont fait l’objet d’un audit, par un contrôleur des comptes externe;

d)

une description des procédures de planification et de surveillance des garanties prudentielles du demandeur prévues par l’article 67, paragraphe 1, du règlement (UE) 2023/1114;

e)

la preuve que le demandeur satisfait aux exigences concernant les garanties prudentielles énoncées à l’article 67 du règlement (UE) 2023/1114, y compris:

a)

l’évaluation par le demandeur des risques inhérents et résiduels de blanchiment de capitaux et de financement du terrorisme liés à ses activités, y compris les risques associés:

b)

les mesures que le demandeur a prises ou prendra pour prévenir les risques détectés et se conformer aux exigences applicables en matière de lutte contre le blanchiment de capitaux et le financement du terrorisme, y compris son processus d’évaluation des risques, ses politiques et procédures visant à se conformer aux obligations de vigilance à l’égard de la clientèle, ainsi que ses politiques et procédures de détection et de signalement des transactions ou activités suspectes;

c)

des informations détaillées montrant en quoi ces mécanismes, politiques et procédures de contrôle interne sont adéquats et proportionnés à l’ampleur, à la nature, au risque inhérent de blanchiment de capitaux et de financement du terrorisme, y compris à l’éventail des services sur crypto-actifs fournis et à la complexité du modèle économique et en quoi ces mécanismes, politiques et procédures garantissent le respect de la directive (UE) 2015/849 et du règlement (UE) 2023/1113;

d)

l’identité de la personne chargée de veiller au respect des exigences en matière de lutte contre le blanchiment de capitaux et le financement du terrorisme, et des justificatifs des connaissances, des compétences et de l’expérience de cette personne;

e)

les dispositifs et les ressources humaines et financières garantissant que le personnel du demandeur est correctement formé aux questions de lutte contre le blanchiment de capitaux et le financement du terrorisme (indications annuelles) et aux risques spécifiques liés aux crypto-actifs;

f)

une copie des politiques, procédures et systèmes du demandeur en matière de lutte contre le blanchiment de capitaux et le financement du terrorisme;

g)

la fréquence à laquelle seront évaluées l’adéquation et l’efficacité de ces mécanismes, politiques et procédures de contrôle interne, ainsi que la personne ou la fonction chargée de cette évaluation.

a)

un organigramme détaillé de la structure de participation du demandeur, y compris la ventilation de son capital et de ses droits de vote, ainsi que le nom des actionnaires ou associés détenteurs d’une participation qualifiée;

b)

pour chaque actionnaire ou associé détenteur d’une participation qualifiée directe ou indirecte dans le demandeur, les informations et documents visés aux articles 1 à 4 du règlement délégué (UE) 2025/414 de la Commission (8), selon le cas;

c)

l’identité de chaque membre de l’organe de direction qui dirigera les activités du demandeur et sera nommé par ces actionnaires ou associés détenteurs d’une participation qualifiée, ou sur proposition de ces derniers;

d)

pour chaque actionnaire ou associé détenteur d’une participation qualifiée directe ou indirecte dans le demandeur, des informations sur le nombre et le type d’actions ou autres participations souscrites, leur valeur nominale, toute prime payée ou à payer, les sûretés ou charges grevant le bien, y compris l’identité des parties garanties;

e)

les informations visées à l’article 6, points b), d) et e), et à l’article 8 du règlement délégué (UE) 2025/414.

a)

la documentation technique des systèmes de TIC, l’infrastructure DLT utilisée, le cas échéant, et les dispositifs de sécurité, y compris une description des dispositifs mis en place et des ressources humaines et ressources TIC déployées pour se conformer au règlement (UE) 2022/2554 du Parlement européen et du Conseil (9), comme suit:

b)

le cas échéant, la description d’un audit de cybersécurité, réalisé par un auditeur en cybersécurité tiers doté d’une expérience suffisante, conformément au règlement délégué de la Commission définissant des normes techniques adopté en application de l’article 26, paragraphe 11, quatrième alinéa, du règlement (UE) 2022/2554, et incluant idéalement les audits ou tests suivants:

c)

une description des audits réalisés sur les systèmes de TIC, le cas échéant, y compris sur l’infrastructure DLT et les dispositifs de sécurité utilisés;

d)

une description, dans un langage non technique, des informations pertinentes visées aux points a) et b).

a)

des informations sur les ressources humaines et techniques allouées au traitement des réclamations;

b)

des informations sur la personne responsable des ressources consacrées à la gestion des réclamations, accompagnées d’un curriculum vitæ, indiquant ses études et sa formation et son expérience professionnelles pertinentes, qui atteste les connaissances, les compétences et l’expérience nécessaires à l’exercice des responsabilités dont cette personne sera investie;

c)

la manière dont le demandeur garantit le respect du règlement délégué de la Commission définissant des normes techniques adopté en application de l’article 71, paragraphe 5, du règlement (UE) 2023/1114;

d)

la manière dont le demandeur informera ses clients ou clients potentiels de la possibilité de déposer gratuitement une réclamation, l’emplacement de ces informations sur le site web du demandeur, ou sur tout autre dispositif numérique pertinent susceptible d’être utilisé par les clients pour accéder aux services sur crypto-actifs et le contenu des informations fournies;

e)

les dispositions prises par le demandeur en matière d’enregistrement des réclamations;

f)

le calendrier prévu dans les procédures de traitement des réclamations du demandeur pour enquêter sur ces réclamations, y répondre et, le cas échéant, prendre des mesures en réponse aux réclamations reçues;

g)

la manière dont le demandeur informera ses clients ou clients potentiels des voies de recours disponibles;

h)

les étapes clés de la procédure du demandeur pour statuer sur une réclamation et la manière dont il communiquera cette décision au client ou client potentiel qui a déposé la réclamation.

a)

une description des dispositions concernant le type de conservation proposé aux clients, une copie de la convention type utilisée par le demandeur pour la conservation et l’administration de crypto-actifs pour le compte de clients conformément à l’article 75, paragraphe 1, du règlement (UE) 2023/1114 et une copie du résumé de la politique de conservation mis à la disposition des clients conformément à l’article 75, paragraphe 3, du règlement (UE) 2023/1114;

b)

la politique de conservation et d’administration du demandeur, comprenant une description des sources identifiées de risques opérationnels et liés aux TIC pour la garde et le contrôle des crypto-actifs des clients, ou des moyens d’accès à ces crypto-actifs, ainsi qu’une description concernant:

c)

des informations sur la manière dont sont identifiés les crypto-actifs des clients et les moyens d’accès à ces crypto-actifs;

d)

des informations sur les dispositions prises pour réduire au minimum le risque de perte de crypto-actifs ou de moyens d’accès à des crypto-actifs;

e)

lorsque le prestataire de services sur crypto-actifs a délégué à un tiers la conservation et l’administration de crypto-actifs pour le compte de clients:

a)

une description de la politique commerciale établie conformément à l’article 77, paragraphe 1, du règlement (UE) 2023/1114;

b)

une description de la méthode de détermination du prix des crypto-actifs que le demandeur entend échanger contre des fonds ou d’autres crypto-actifs, conformément à l’article 77, paragraphe 2, du règlement (UE) 2023/1114, y compris de l’incidence que le volume et la volatilité du marché des crypto-actifs ont sur le mécanisme de tarification.

a)

les dispositifs qui garantissent que le client a donné son consentement, avant l’exécution de l’ordre, en ce qui concerne la politique d’exécution;

b)

une liste des plates-formes de négociation de crypto-actifs auxquelles le demandeur aura recours pour l’exécution d’ordres et les critères qu’il appliquera pour évaluer, conformément à l’article 78, paragraphe 6, du règlement (UE) 2023/1114, les plates-formes d’exécution prévues dans sa politique d’exécution;

c)

les plates-formes de négociation que le demandeur a l’intention d’utiliser pour chaque type de crypto-actifs et la confirmation qu’il ne recevra aucune forme de rémunération, de remise ou d’avantage non pécuniaire en contrepartie de l’acheminement d’ordres reçus vers une plate-forme de négociation de crypto-actifs donnée;

d)

la manière dont l’exécution tient compte du prix, des coûts, de la rapidité, de la probabilité de l’exécution et du règlement, du montant de l’ordre, de sa nature, des conditions de conservation des crypto-actifs ou de tout autre facteur pertinent considéré comme faisant partie de toutes les mesures nécessaires pour obtenir le meilleur résultat possible pour le client;

e)

le cas échéant, les dispositions prises pour informer les clients que le demandeur exécutera des ordres en dehors d’une plate-forme de négociation et la manière dont le demandeur obtiendra l’accord exprès et préalable de ses clients avant d’exécuter ces ordres;

f)

la manière dont le client est averti que toute instruction spécifique donnée par un client peut empêcher le demandeur de prendre les mesures nécessaires, conformément aux dispositions qu’il a établies et mises en œuvre dans sa politique d’exécution, pour obtenir le meilleur résultat possible pour l’exécution de ces ordres en ce qui concerne les éléments couverts par ces instructions;

g)

le processus de sélection des plates-formes de négociation, les stratégies d’exécution utilisées, les dispositifs utilisés pour analyser la qualité d’exécution obtenue et la manière dont le demandeur contrôle et vérifie que les meilleurs résultats possibles ont été obtenus pour les clients;

h)

les dispositions visant à empêcher l’utilisation abusive de toute information relative aux ordres des clients par les salariés du demandeur;

i)

les dispositifs et procédures relatifs à la manière dont le demandeur communiquera aux clients des informations sur sa politique d’exécution des ordres et leur notifiera toute modification importante apportée à cette politique;

j)

les dispositions prises pour démontrer à l’autorité compétente, à sa demande, la conformité avec l’article 78 du règlement (UE) 2023/1114.

a)

une description détaillée des dispositifs mis en place par le demandeur pour se conformer à l’article 81, paragraphe 7, du règlement (UE) 2023/1114, y compris les éléments suivants:

b)

les mécanismes permettant de contrôler, d’évaluer et de maintenir effectivement, chez les personnes physiques qui dispensent des conseils au nom du demandeur, les connaissances et les compétences nécessaires, suivant les critères utilisés dans la législation nationale pour cette évaluation, pour procéder à l’évaluation de l’adéquation visée à l’article 81, paragraphe 1, du règlement (UE) 2023/1114.

a)

des précisions sur les types de crypto-actifs pour lesquels le demandeur prévoit de fournir des services de transfert;

b)

une description détaillée des dispositifs mis en place par le demandeur pour se conformer à l’article 82 du règlement (UE) 2023/1114, y compris des informations détaillées sur les dispositifs mis en place et les ressources humaines et ressources TIC déployées par le demandeur pour parer aux risques de manière rapide, efficace et approfondie lors de la fourniture de services de transfert de crypto-actifs pour le compte de clients, en tenant compte de potentielles défaillances opérationnelles et des risques en matière de cybersécurité;

c)

le cas échéant, une description de la police d’assurance du demandeur, notamment de la couverture par l’assurance du préjudice porté aux crypto-actifs de clients qui peut résulter de risques en matière de cybersécurité;

d)

les dispositifs visant à garantir que les clients seront correctement informés des politiques, procédures et dispositifs visés au point b).