Regolamento (UE) 2023/1113

Regolamento (UE) 2023/1113 sui dati informativi che accompagnano i trasferimenti di fondi e determinate cripto-attività

Il regolamento nasce per rafforzare la tracciabilità dei trasferimenti di valore nell’Unione, in un’ottica di prevenzione e contrasto del riciclaggio e del finanziamento del terrorismo. Esso rifonde il precedente regolamento (UE) 2015/847, estendendone la logica ai trasferimenti di cripto-attività e allineando il diritto UE alle raccomandazioni del GAFI e al regolamento (UE) 2023/1114 sui mercati delle cripto-attività.

Finalità e contesto sistematico

Il legislatore UE richiama espressamente la necessità di uniformare l’applicazione delle norme internazionali AML/CFT, evitare differenze tra operazioni interne e transfrontaliere e colmare le lacune emerse per le nuove tecnologie e per i nuovi modelli di servizio in ambito cripto. Il testo sottolinea anche la necessità di un approccio proporzionato, tecnologicamente neutro e compatibile con la protezione dei dati personali e con la libera circolazione dei capitali.

Ambito di applicazione

Il regolamento si applica ai trasferimenti di fondi in qualsiasi valuta quando almeno uno dei prestatori coinvolti è stabilito nell’Unione, nonché ai trasferimenti di cripto-attività, compresi quelli eseguiti tramite cripto-ATM, quando il prestatore di servizi per le cripto-attività del cedente o del cessionario ha sede nell’Unione. Sono escluse alcune operazioni considerate a rischio contenuto o comunque già disciplinate da altri strumenti, come taluni servizi di pagamento ex direttiva (UE) 2015/2366, i trasferimenti con carte o strumenti analoghi usati solo per acquisti, i trasferimenti tra prestatori che agiscono per proprio conto e i trasferimenti da persona a persona senza intermediario.

Dati informativi e regole operative per i trasferimenti di fondi

Per i trasferimenti di fondi, il prestatore dell’ordinante deve assicurare la presenza di dati completi sull’ordinante e sul beneficiario: nome, numero di conto, indirizzo con paese, documento ufficiale e numero cliente, ovvero data e luogo di nascita, oltre al LEI se disponibile. In mancanza di un conto, si utilizza un codice unico di identificazione dell’operazione. Il prestatore deve verificare l’accuratezza dei dati prima del trasferimento, salvo i casi in cui la verifica sia già stata effettuata ai sensi della direttiva (UE) 2015/849.

Per i trasferimenti interni all’Unione, il regime è semplificato: è sufficiente il numero di conto dell’ordinante e del beneficiario, o il codice unico di operazione. Per i trasferimenti fino a 1.000 EUR la verifica può essere attenuata, salvo che vi siano contante, moneta elettronica anonima o sospetto di riciclaggio/terrorismo. Per i trasferimenti verso l’esterno dell’Unione, invece, le regole sono più rigorose e, per i trasferimenti raggruppati, il file di raggruppamento deve contenere i dati completi verificati.

Presidi per i prestatori di servizi di pagamento del beneficiario e intermediari

Il regolamento impone ai prestatori del beneficiario e agli intermediari di adottare procedure efficaci per individuare dati mancanti o incompleti e per decidere, sulla base del rischio, se eseguire, rifiutare o sospendere il trasferimento. Se i dati non sono completi, il prestatore può rifiutare l’operazione o richiedere i dati mancanti; in caso di omissioni ripetute da parte di un altro prestatore, può arrivare a limitare o cessare i rapporti professionali. La mancanza dei dati è anche un elemento rilevante per valutare la sospettosità dell’operazione e l’eventuale segnalazione alla FIU.

Regole specifiche per i trasferimenti di cripto-attività

La disciplina delle cripto-attività è costruita in parallelo a quella dei fondi, ma con requisiti più estesi e più aderenti alla natura tecnologica degli asset digitali. Il prestatore del cedente deve far accompagnare il trasferimento da dati completi su cedente e cessionario, comprensivi di nome, dati di conto o indirizzo DLT, indirizzo fisico, documento personale e, se disponibile, LEI. Se il trasferimento non avviene su DLT e non passa da un conto di cripto-attività, si utilizza un codice unico di identificazione dell’operazione.

I dati devono essere trasmessi in modo sicuro e tempestivo, prima o al momento del trasferimento, e non necessariamente allegati direttamente alla transazione. Il prestatore deve verificare l’accuratezza dei dati del cedente prima di avviare il trasferimento e non può autorizzarlo finché non sia assicurato il pieno rispetto degli obblighi. Sono previsti anche obblighi speculari per il prestatore del cessionario e per gli intermediari, con monitoraggio, verifica, rifiuto, restituzione o sospensione in caso di dati mancanti o incompleti.

Indirizzi auto-ospitati, rischi elevati e soglie di 1.000 EUR

Una parte rilevante della disciplina riguarda gli indirizzi auto-ospitati, considerati particolarmente rischiosi. Per i trasferimenti verso o da tali indirizzi, i prestatori devono raccogliere e conservare i dati e assicurare l’identificazione individuale delle operazioni; per importi superiori a 1.000 EUR devono inoltre verificare se l’indirizzo appartenga effettivamente al cliente o sia da lui controllato. Il regolamento richiama espressamente l’adozione di misure rafforzate di adeguata verifica e l’uso, se del caso, di strumenti analitici DLT.

La Commissione dovrà valutare entro il 1° luglio 2026 l’opportunità di ulteriori misure specifiche, comprese eventuali restrizioni, per attenuare i rischi posti da indirizzi auto-ospitati e da soggetti non stabiliti nell’Unione.

Misure restrittive, protezione dei dati e conservazione

L’art. 23 impone a prestatori di servizi di pagamento e a prestatori di servizi per le cripto-attività di dotarsi di politiche, procedure e controlli interni per garantire l’attuazione delle misure restrittive dell’Unione e nazionali. Sul piano privacy, il regolamento rinvia al GDPR e al regolamento (UE) 2018/1725, vieta espressamente il riutilizzo commerciale dei dati e impone informative ai clienti prima dell’instaurazione del rapporto o dell’operazione occasionale.

I dati devono essere conservati per cinque anni e poi cancellati, salvo diversa disciplina nazionale; gli Stati membri possono autorizzare o imporre un’ulteriore conservazione per un massimo di altri cinque anni, previa valutazione di necessità e proporzionalità. È inoltre disciplinata la cooperazione tra autorità competenti e con autorità di paesi terzi nel rispetto della direttiva (UE) 2015/849.

Sanzioni, controlli e vigilanza

Gli Stati membri devono prevedere sanzioni e misure amministrative effettive, proporzionate e dissuasive per le violazioni del regolamento, con possibilità di rilevanza penale nazionale. Il regolamento elenca le principali violazioni sanzionabili: omissioni ripetute o sistematiche dei dati informativi, mancata conservazione, mancata adozione di procedure basate sul rischio e gravi inosservanze da parte degli intermediari. Sono previsti meccanismi di segnalazione interna delle violazioni, pubblicazione delle sanzioni e poteri di supervisione e indagine in capo alle autorità competenti.

Modifiche alla direttiva (UE) 2015/849

Il regolamento non opera isolatamente, ma modifica la direttiva antiriciclaggio per includere tutti i prestatori di servizi per le cripto-attività tra i soggetti obbligati, aggiornare la nozione di rapporto di corrispondenza e introdurre norme ad hoc sugli indirizzi auto-ospitati e sui rapporti di corrispondenza transfrontalieri tra prestatori di servizi per le cripto-attività e soggetti extra-UE. Le modifiche nazionali necessarie dovevano essere adottate e pubblicate entro il 30 dicembre 2024.

Entrata in vigore e applicazione

Il regolamento è entrato in vigore il ventesimo giorno successivo alla pubblicazione in Gazzetta ufficiale dell’Unione europea, ma si applica a decorrere dal 30 dicembre 2024. Da tale data il regolamento (UE) 2015/847 è abrogato; i riferimenti al testo precedente si intendono fatti al nuovo regolamento secondo la tavola di concordanza allegata.