Cos'è la Travel Rule?

Da dove viene la Travel Rule

La Travel Rule trae origine dalla legge statunitense Bank Secrecy Act, e l'agenzia FinCEN ha introdotto questo obbligo per le istituzioni finanziarie tradizionali già nel 1996, nel contesto delle transazioni in valuta fiat.

Il Gruppo di Azione Finanziaria Internazionale (GAFI/FATF) ha successivamente integrato la regola nei propri standard internazionali, prima nel 2001 come Raccomandazione Speciale VII, e poi nel 2012 come parte della Raccomandazione 16 rivista.

Un momento chiave per le criptovalute si è verificato nel giugno 2019, quando il FATF, attraverso una Nota Interpretativa alla Raccomandazione 15, ha esteso lo stesso obbligo ai fornitori di servizi legati alle attività virtuali (VASP), richiedendo loro di rispettare gli stessi standard di scambio dati delle istituzioni finanziarie tradizionali.

L'aggiornamento più significativo è avvenuto nel giugno 2025, quando il FATF ha rivisto in modo approfondito la Raccomandazione 16. L'ambito della regola è stato esteso oltre il contrasto al riciclaggio di denaro e al finanziamento del terrorismo, includendo ora esplicitamente anche la prevenzione delle frodi e il finanziamento della proliferazione.

L'aggiornamento ha introdotto anche l'obbligo di sistemi di conferma del beneficiario (Confirmation of Payee) per i trasferimenti transfrontalieri, oltre alla piena integrazione con lo standard di messaggistica ISO 20022.

Quali dati vengono raccolti

Di norma, per le transazioni che superano la soglia stabilita, vengono raccolti i seguenti dati relativi all'ordinante:

• nome,
• numero di conto (o codice identificativo univoco della transazione, se non esiste un conto),
• indirizzo fisico completo,
• data di nascita (per le persone fisiche),
• BIC, LEI o altro identificativo univoco.

Per il beneficiario vengono raccolti:

• nome,
• numero di conto (o codice identificativo univoco della transazione),
• paese e città,
• BIC, LEI o altro identificativo univoco.

Se la transazione è al di sotto della soglia prevista in una determinata giurisdizione, è comunque necessario indicare il nome e il numero di conto (o il codice della transazione) dell'ordinante e del beneficiario, ma tali dati non devono essere ulteriormente verificati, a meno che l'istituzione non sospetti riciclaggio di denaro o finanziamento del terrorismo.

Perché è più difficile applicare la Travel Rule alla blockchain rispetto alle banche

Nei bonifici bancari tradizionali, le banche utilizzano il sistema di messaggistica SWIFT per scambiare dati all'interno di una rete chiusa di istituzioni conosciute. Questo processo è ormai consolidato e standardizzato dopo oltre due decenni di applicazione.

Con le criptovalute la situazione è più complessa. Quando un cliente richiede un trasferimento verso un determinato indirizzo di wallet, il fornitore di servizi deve stabilire se tale indirizzo appartenga a un altro fornitore di servizi autorizzato oppure a un wallet privato, non custodito (self-hosted), e questa distinzione determina quali obblighi si applicano.

Il settore ha sviluppato protocolli e soluzioni per identificare con maggiore precisione la controparte della transazione, ma l'applicazione della Travel Rule rimane comunque disomogenea tra i vari paesi, un fenomeno che nel settore viene definito "sunrise problem". Alcune giurisdizioni hanno rapidamente stabilito regole chiare, mentre altre non lo hanno ancora fatto.

La Travel Rule nelle diverse giurisdizioni

• Stati Uniti: soglia di 3.000 USD per i trasferimenti transfrontalieri, con l'annuncio di un possibile abbassamento della soglia per le criptovalute a 250 USD, proposta ancora in fase di valutazione.
• Unione Europea: soglia zero per tutti i trasferimenti di criptovalute, l'obbligo si applica a ogni transazione, indipendentemente dall'importo.
• Regno Unito: obbligo introdotto senza una soglia fissa, con la richiesta alle istituzioni di adottare "tutte le misure ragionevoli" per garantire la conformità.
• Hong Kong: licenza obbligatoria per le piattaforme, unita a una verifica tecnica della proprietà dei wallet non custoditi.
• Singapore: soglia di 1.500 SGD per i trasferimenti di token di pagamento digitali.

La Travel Rule nell'Unione Europea

Nell'UE, la Travel Rule è stata attuata attraverso il regolamento rivisto sul trasferimento di fondi (Transfer of Funds Regulation, TFR), ovvero il Regolamento (UE) 2023/1113, entrato in vigore il 30 dicembre 2024.

La stessa data in cui sono entrate in vigore anche le disposizioni MiCA per i fornitori di servizi legati alle criptovalute.

Il regolamento applica una soglia zero: ogni transazione in criptovalute richiede la piena conformità, indipendentemente dall'importo.

Prima dell'adozione del TFR, alcuni Stati membri dell'UE disponevano di soluzioni nazionali proprie; ad esempio, la Germania applicava la Travel Rule attraverso il regolamento sul trasferimento di cripto-attività (KryptoWTransferV), che per le transazioni inferiori a 1.000 euro richiedeva un insieme di dati più ridotto, mentre il TFR richiede ora l'insieme completo di dati indipendentemente dall'importo.

Per quanto riguarda i wallet non custoditi (self-hosted), il fornitore di servizi deve raccogliere i dati della controparte anche per questo tipo di trasferimenti. Una verifica aggiuntiva della proprietà del wallet non custodito è richiesta per i trasferimenti superiori a 1.000 euro, in base alla valutazione del rischio.

L'obbligo non si applica alle transazioni da persona a persona in cui non è coinvolto alcun fornitore di servizi autorizzato.

Cosa significa questo per il futuro delle criptovalute

La Travel Rule dimostra come gli standard di lunga data per il contrasto al riciclaggio di denaro si stiano adattando al mondo delle criptovalute, con la complessità aggiuntiva introdotta dalla natura decentralizzata della blockchain.

Nell'Unione Europea, questa regola opera insieme al regolamento MiCA come parte di un quadro di vigilanza unificato, mentre HANFA, in qualità di autorità competente in Croazia, garantisce che questi standard vengano applicati in modo coerente.

Domande frequenti

Esiste un importo minimo al di sotto del quale la Travel Rule non si applica?

Dipende dalla giurisdizione. Nell'Unione Europea non esiste una soglia di questo tipo: il TFR richiede la piena conformità per ogni transazione in criptovalute, indipendentemente dall'importo. Altri paesi, come gli Stati Uniti o Singapore, applicano la regola solo al di sopra di un determinato importo.

Chi è responsabile della raccolta dei dati, il mittente o il destinatario?

Entrambe le parti. Il fornitore di servizi del mittente raccoglie e trasmette i dati, mentre il fornitore di servizi del destinatario è tenuto a riceverli, verificarne l'accuratezza ed effettuare un controllo rispetto alle liste sanzionatorie prima che la transazione venga approvata.

La Travel Rule si applica anche all'invio di criptovalute verso un wallet privato?

Sì, se nel trasferimento è coinvolto un fornitore di servizi autorizzato. Il fornitore deve raccogliere i dati del titolare di tale wallet, e per i trasferimenti superiori a 1.000 euro può essere richiesta anche una verifica aggiuntiva della proprietà. Le transazioni dirette tra due persone, senza alcun fornitore di servizi nella catena, non rientrano in questo obbligo.

Il contenuto dei dati scambiati è visibile sulla blockchain?

No. I dati relativi a mittente e destinatario vengono scambiati direttamente tra i fornitori di servizi, al di fuori della blockchain, e non sono pubblicamente accessibili. La transazione in sé rimane visibile sulla blockchain come di consueto, ma l'identità delle parti coinvolte non lo è.