Cosa significa «elaborazione dei pagamenti in criptovalute senza custodia»
Elaborare pagamenti in criptovalute senza custodia significa che il fornitore non detiene i fondi dei clienti né le loro chiavi private. Il commerciante riceve direttamente il pagamento oppure un contratto intelligente lo instrada, mentre il processore non entra mai in possesso dei fondi. La differenza può sembrare minima. Non lo è.
Con un modello custodial, il processore può ricevere prima le criptovalute, detenerle per un breve periodo e poi trasferirle al commerciante. In un modello non-custodial, il flusso di pagamento è progettato in modo che il processore non controlli mai gli asset durante il trasferimento. In genere il pagamento si svolge in 3 fasi: il cliente paga dal proprio wallet, la blockchain conferma il trasferimento e il commerciante riceve una notifica o la registrazione del pagamento.
Un esempio pratico può essere utile. Un cliente paga 80 USDC per un prodotto digitale; al checkout viene mostrato l’indirizzo del wallet e, una volta confermato il trasferimento sulla rete, l’ordine viene evaso. Tra acquirente e venditore non c’è il wallet di un fornitore. Niente fondi in transito. Nessun saldo custodito.
La risposta breve: in linea di principio è legale, ma nella pratica è soggetto a regolamentazione
La risposta breve alla domanda «l’elaborazione dei pagamenti in criptovalute senza custodia è legale nell’UE?» è sì, in linea di principio: i pagamenti in criptovalute non-custodial sono legali nell’UE, ma solo se il modello operativo specifico rientra nelle norme applicabili. Non è una risposta particolarmente entusiasmante, ma in ambito legale di solito è un buon segno. Sono i dettagli a determinare l’esito.
Un modello non-custodial non è automaticamente illegale solo perché coinvolge criptovalute. La questione più complessa è capire se il fornitore si limita davvero a trasmettere messaggi. Se il servizio trasferisce fondi, converte asset o esercita un qualche controllo, le autorità di vigilanza potrebbero classificarlo diversamente da un semplice software.
Conta il modello operativo. E conta anche il Paese in cui viene offerto il servizio. Una piattaforma che in uno Stato membro sembra innocua potrebbe dover affrontare questioni di registrazione o autorizzazione in un altro, soprattutto se gestisce valute fiat, stablecoin o l’onboarding dei clienti.
Principali quadri normativi dell’UE potenzialmente applicabili
Possono essere rilevanti contemporaneamente diversi quadri normativi dell’UE. La normativa UE sui pagamenti crypto non-custodial comprende, a seconda delle attività concrete, più regimi: MiCA è il nome più noto per molti servizi relativi alle cripto-attività, ma non è l’unico. Possono entrare in gioco anche le norme antiriciclaggio e di contrasto al finanziamento del terrorismo (AML/CTF), la normativa sui pagamenti prevista dalla PSD2 e le discussioni in corso sulla PSD3, nonché le disposizioni sulla moneta elettronica. Perciò è importante valutare anche MiCA e processori di pagamenti in criptovalute in relazione alle funzioni effettivamente offerte.
MiCA può applicarsi quando un’impresa presta servizi relativi alle cripto-attività, così come definiti dal regolamento. Un servizio che si limita a emettere fatture potrebbe non rientrare in una categoria. Un servizio che trasmette ordini, instrada pagamenti o organizza l’esecuzione potrebbe invece rientrare in un’altra. La distinzione ha conseguenze concrete in termini di licenze, governance e obblighi informativi.
La PSD2 e le future norme collegate alla PSD3 sono rilevanti quando l’attività inizia ad assomigliare a un servizio di pagamento anziché a un semplice supporto software. Se un fornitore esegue operazioni di pagamento, gestisce l’autenticazione del pagatore o offre un flusso simile a un conto di pagamento, l’analisi cambia. Non conta quello che dice la pagina promozionale: conta ciò che il servizio fa davvero.
Possono emergere questioni legate alla moneta elettronica se l’accordo crea un valore memorizzato convertibile alla pari in valuta fiat o funziona come uno strumento monetario. Anche un sistema non-custodial può rientrare in questa discussione se combina funzionalità di wallet, conversione istantanea e pagamento ai commercianti in modo simile all’emissione di strumenti di pagamento. Basta una funzionalità per cambiare il quadro.
Quando un processore non-custodial può comunque essere soggetto a regolamentazione
«Non-custodial» non è uno scudo magico. Se il fornitore fa da intermediario, instrada o converte i pagamenti, o esercita in altro modo un controllo sul loro flusso, le autorità di vigilanza potrebbero comunque considerare regolamentata l’attività. In pratica, un’azienda può essere non-custodial e avere comunque obblighi rilevanti.
Consideriamo 4 casi ricorrenti. Primo: il processore sceglie l’indirizzo del wallet e decide quando sbloccare i fondi. Secondo: converte automaticamente le criptovalute in valuta fiat. Terzo: raggruppa le transazioni prima del regolamento. Quarto: ha il controllo tecnico delle chiavi private o delle approvazioni multi-firma. Ognuno di questi elementi può essere rilevante.
Una dashboard per i commercianti che mostra semplicemente lo stato dei pagamenti è una cosa. Una piattaforma che decide se accettare una transazione, ritarda il regolamento per motivi di rischio o può modificare le istruzioni di instradamento è tutt’altra cosa. Più il servizio si avvicina al controllo dell’esecuzione, meno è convincente sostenere che «non abbiamo mai toccato i fondi».
Per questo, prima del lancio, spesso le aziende hanno bisogno di un’attenta valutazione legale. Una guida ai gateway di pagamento per l’e-commerce può essere utile sul piano operativo, ma la parte legale richiede comunque un’analisi a sé. Il quadro cambia se il processore offre anche servizi di cambio, funzionalità assimilabili alla custodia o saldi per i commercianti.
Considerazioni su AML, KYC e Travel Rule
Gli obblighi AML e KYC sono spesso il primo aspetto di conformità che viene sottovalutato. Se il fornitore è soggetto alle norme AML/CTF, può essere necessario svolgere un’adeguata verifica della clientela prima di avviare i rapporti con i commercianti o, in alcuni casi, prima di elaborare determinate transazioni. Questo non significa che ogni micropagamento richieda la scansione del passaporto. Significa che l’approccio basato sul rischio deve essere concreto, non solo di facciata.
Il monitoraggio delle transazioni è un altro aspetto cruciale. Un processore dovrebbe saper individuare schemi insoliti, esposizioni a sanzioni, operazioni frazionate e interazioni ripetute con wallet ad alto rischio. Un solo trasferimento sospetto può contare più di 50 operazioni ordinarie. Le verifiche senza interventi concreti non sono conformità.
La Travel Rule, ovvero la regola sul trasferimento di fondi applicabile ai trasferimenti di criptovalute, può entrare in gioco quando il servizio rientra nella categoria regolamentata pertinente e sono soddisfatte le soglie o le condizioni previste dalla normativa nazionale di recepimento. In parole semplici, i dati relativi all’ordinante e al beneficiario potrebbero dover accompagnare la transazione. Se la regola si applica, la tracciabilità dei dati è obbligatoria.
Anche il controllo delle sanzioni è importante. Un modello non-custodial non elimina l’obbligo di verificare le controparti, le giurisdizioni e l’eventuale esposizione dei wallet, laddove il fornitore sia tenuto a farlo. Se il processore può bloccare o rifiutare una transazione, dovrebbe sapere perché. Se non può farlo, questa limitazione andrebbe documentata.
Operatività transfrontaliera nell’UE e differenze tra Stati membri
L’UE costituisce un unico mercato giuridico, ma nella pratica la vigilanza è ancora frammentata. Un fornitore può avvalersi del passaporto europeo per un servizio nell’ambito di un quadro normativo, notificare un’autorità di vigilanza nell’ambito di un altro o ricevere un’interpretazione diversa degli stessi fatti da un’altra autorità nazionale. Due Paesi. Due orientamenti. Un solo prodotto.
Per questo l’attuazione a livello nazionale è così importante. Una norma adottata a livello UE può essere applicata con intensità diversa dalle autorità nazionali. Un’autorità potrebbe concentrarsi sulle informazioni fornite ai consumatori, un’altra chiedere innanzitutto chiarimenti su licenze e governance e una terza dare priorità ai controlli AML. Lo stesso processore può trovarsi davanti a 3 domande diverse.
Le vendite transfrontaliere possono creare ulteriori problemi quando un’azienda si rivolge contemporaneamente ai clienti di più Stati membri. Lingua, gestione dei reclami a livello locale, trattamento fiscale e soglie di registrazione possono essere tutti aspetti rilevanti. Un’azienda che si è preparata solo per un ufficio e un unico parere legale può trovarsi rapidamente in difficoltà.
Per i team che si espandono oltre confine, è utile confrontare il quadro normativo con le esigenze operative concrete. L’articolo su come passare dai bonifici bancari manuali ai pagamenti in criptovalute è utile per organizzare i processi aziendali, ma l’espansione nell’UE aggiunge un ulteriore livello di complessità: quali norme nazionali si applicano per prime e quale ruolo svolge effettivamente il servizio nella catena?
Checklist pratica di conformità per le aziende
Cominciate con una valutazione legale scritta. Può sembrare una cosa ovvia, perché lo è. Classificate il servizio in un unico documento: custodia, assenza di custodia, instradamento, conversione, onboarding, integrazione con il wallet o semplice supporto software. Se la descrizione è vaga, lo sarà anche la valutazione dei rischi.
Poi ricostruite il flusso dei fondi. Tracciate il percorso dal wallet del cliente a quello del commerciante e indicate ogni punto in cui l’azienda può intervenire, reindirizzare, congelare, convertire o monitorare la transazione. Se sono previste 2 approvazioni umane o una procedura multi-firma, mettetelo per iscritto. Alle autorità di vigilanza piacciono più i diagrammi che gli slogan.
Valutate quindi i possibili obblighi di licenza e registrazione. Chiedetevi se l’azienda potrebbe essere considerata un prestatore di servizi per le cripto-attività, un prestatore di servizi di pagamento, un emittente di moneta elettronica o un soggetto appartenente a una categoria simile. Se la risposta è «forse», non è una risposta rassicurante, ma è onesta.
Successivamente, definite procedure AML adeguate alle dimensioni e ai rischi dell’attività. Una startup di 5 persone non ha bisogno di un manuale di conformità di 200 pagine, ma deve avere procedure scritte per l’onboarding, il monitoraggio, la gestione delle segnalazioni e la conservazione dei documenti. Le procedure che nessuno segue sono solo carta da parati costosa.
Contano anche le informazioni fornite ai consumatori. Spiegate le commissioni, i tempi di conversione, i limiti ai rimborsi, i ritardi di rete e chi si assume i rischi legati alla blockchain. Se il commerciante non può contestare un pagamento come avverrebbe con uno storno, indicatelo chiaramente. Spiegate anche che il pagamento può non andare a buon fine se l’utente invia i fondi sulla rete sbagliata. Più la pagina di checkout è chiara, meno saranno le email di protesta.
Testare il servizio è parte integrante della conformità, non una missione secondaria. Prima del lancio, le aziende dovrebbero effettuare transazioni controllate, verificare la gestione degli indirizzi, controllare gli avvisi di monitoraggio e assicurarsi che il personale di assistenza sappia risolvere gli errori. L’articolo su come testare un pagamento in criptovalute è un valido complemento operativo, ma l’azienda dovrebbe verificare con la stessa attenzione anche le proprie ipotesi giuridiche.
Quando rivolgersi a un legale
Il supporto di un legale specializzato diventa importante quando i confini del modello operativo iniziano a sfumare. La conversione in valuta fiat è un segnale d’allarme significativo, così come i flussi in stablecoin. Anche un’integrazione con il wallet che attribuisce al fornitore un controllo indiretto sull’esecuzione può cambiare l’analisi. A volte basta una sola funzionalità per modificare la questione delle licenze.
Chiedete un parere tempestivo se il processore può sospendere un trasferimento, reindirizzare i fondi o scegliere quando eseguire l’operazione. In una riunione di prodotto questi aspetti possono sembrare marginali, ma durante una verifica normativa possono assumere grande rilievo. Una piattaforma che può approvare, rifiutare o elaborare di nuovo le transazioni non è un semplice software passivo.
La consulenza legale è importante anche se l’azienda vuole operare in più Stati membri usando un’unica struttura. I piani di espansione transfrontaliera spesso falliscono perché l’azienda presume che esista un’unica risposta valida per tutta l’UE. Non è così. Le prassi nazionali continuano a contare.
I team che sviluppano strumenti per i commercianti dovrebbero inoltre valutare il trattamento dei dati e la gestione dei registri dei clienti. Il GDPR e i pagamenti in criptovalute pongono questioni specifiche relative ai tempi di conservazione, alla base giuridica e alla mappatura dei dati dei wallet. Se il servizio conserva i dati delle transazioni, deve esserci una ragione e va definito un limite di conservazione. Trenta giorni non sono come 3 anni.
Per freelance e agenzie il quadro è leggermente diverso. Un gateway di pagamento in criptovalute per freelance può sembrare semplice, ma la gestione delle fatture, i tempi di conversione e la documentazione fiscale possono comunque sollevare questioni di conformità. Una ditta individuale può essere più piccola, ma le dimensioni da sole non la esentano dagli obblighi.
L’ultimo campanello d’allarme è l’ambiguità. Se il team non sa spiegare in 2 minuti chi controlla le chiavi, chi avvia la conversione e chi può bloccare un pagamento, probabilmente il prodotto non è pronto per il lancio. È il momento di far esaminare il diagramma di flusso a un legale, non dopo il primo reclamo.
Comments