CELEX ID: 32023R1113

--- ENGLISH ---

Document:
9.6.2023
EN
Official Journal of the European Union
L 150/1
REGULATION (EU) 2023/1113 OF THE EUROPEAN PARLIAMENT AND OF THE COUNCIL
of 31 May 2023
on information accompanying transfers of funds and certain crypto-assets and amending Directive (EU) 2015/849
(recast)
(Text with EEA relevance)
THE EUROPEAN PARLIAMENT AND THE COUNCIL OF THE EUROPEAN UNION,
Having regard to the Treaty on the Functioning of the European Union, and in particular Article 114 thereof,
Having regard to the proposal from the European Commission,
After transmission of the draft legislative act to the national parliaments,
Having regard to the opinion of the European Central Bank 
(
1
)
,
Having regard to the opinion of the European Economic and Social Committee 
(
2
)
,
Acting in accordance with the ordinary legislative procedure 
(
3
)
,
Whereas:
(1)
Regulation (EU) 2015/847 of the European Parliament and of the Council 
(
4
)
 has been substantially amended 
(
5
)
. Since further amendments are to be made, that Regulation should be recast in the interests of clarity.
(2)
Regulation (EU) 2015/847 was adopted to ensure that the Financial Action Task Force (FATF) requirements on wire transfer service providers, and in particular the obligation on payment service providers to accompany transfers of funds with information on the payer and the payee, were applied uniformly throughout the Union. The latest changes introduced in June 2019 in the FATF standards on new technologies, with the aim of regulating virtual assets and virtual asset service providers, have provided new and similar obligations for virtual asset service providers, with the purpose of facilitating the traceability of transfers of virtual assets. Further to those changes, virtual asset service providers are to accompany transfers of virtual assets with information on the originators and beneficiaries of those transfers. Virtual asset service providers are also required to obtain, hold and share that information with their counterpart on the other end of the virtual assets transfer and make it available on request to competent authorities.
(3)
Given that Regulation (EU) 2015/847 currently only applies to transfers of funds, that is to banknotes and coins, scriptural money, and electronic money as defined in Article 2, point 2, of Directive 2009/110/EC of the European Parliament and of the Council 
(
6
)
, it is appropriate to extend the scope of Regulation (EU) 2015/847 in order to also cover transfers of virtual assets.
(4)
Flows of illicit money through transfers of funds and virtual assets can damage the integrity, stability and reputation of the financial sector, and threaten the internal market of the Union as well as international development. Money laundering, terrorist financing and organised crime remain significant problems which should be addressed at Union level. The soundness, integrity and stability of the system of transfers of funds and virtual assets, and confidence in the financial system as a whole, could be seriously jeopardised by the efforts of criminals and their associates to disguise the origin of criminal proceeds or to transfer funds or virtual assets for criminal activities or terrorist purposes.
(5)
In order to facilitate their criminal activities, money launderers and financers of terrorism are likely to take advantage of the freedom of capital movements within the Union’s integrated financial area unless certain coordinating measures are adopted at Union level. International cooperation within the framework of FATF and the global implementation of its recommendations aim to prevent money laundering and terrorist financing while transferring funds or virtual assets.
(6)
By reason of the scale of the action to be undertaken, the Union should ensure that the International Standards on Combating Money Laundering and the Financing of Terrorism and Proliferation adopted by FATF on 16 February 2012 and then revised on 21 June 2019 (the ‘revised FATF Recommendations’), and in particular FATF Recommendation 15 on new technologies, FATF Recommendation 16 on wire transfers and the revised interpretative notes on those recommendations, are applied uniformly throughout the Union and that, in particular, there is no discrimination or discrepancy between, on the one hand, national payments or transfers of virtual assets within a Member State and, on the other, cross-border payments or transfers of virtual assets between Member States. Uncoordinated action by Member States acting alone in the field of cross-border transfers of funds and virtual assets could have a significant impact on the smooth functioning of payment systems and virtual asset services at Union level and could therefore damage the internal market in the field of financial services.
(7)
In order to foster a coherent approach in the international context and to increase the effectiveness of the fight against money laundering and terrorist financing, further Union action should take account of developments at international level, in particular the revised FATF Recommendations.
(8)
Their global reach, the speed at which transactions can be carried out and the possible anonymity offered by their transfer make virtual assets particularly susceptible to criminal misuse, including in cross-border situations. In order to effectively address the risks posed by the misuse of virtual assets for money laundering and terrorist financing purposes, the Union should promote the application at global level of the standards implemented by this Regulation and the development of the international and cross-jurisdictional dimension of the regulatory and supervisory framework for transfers of virtual assets in relation to money laundering and terrorist financing.
(9)
Directive (EU) 2015/849 of the European Parliament and of the Council 
(
7
)
, as a result of its amendment by Directive (EU) 2018/843 of the European Parliament and of the Council 
(
8
)
, introduced a definition of virtual currencies and recognised providers engaged in exchange services between virtual currencies and fiat currencies, as well as custodial wallet providers, among the entities subject to anti-money laundering and counter-terrorist financing requirements under Union law. Recent international developments, in particular within the framework of FATF, now imply the need to regulate additional categories of virtual asset service providers not yet covered and to broaden the current definition of virtual currency.
(10)
The definition of crypto-assets in Regulation (EU) 2023/1114 of the European Parliament and of the Council 
(
9
)
 corresponds to the definition of virtual assets set out in the revised FATF Recommendations, and the list of crypto-asset services and crypto-asset service providers covered in that Regulation also encompasses the virtual asset service providers identified as such by FATF and considered likely to raise money laundering and terrorist financing concerns. In order to ensure coherency of Union law in that area, this Regulation should use the same definitions of crypto-assets, crypto-asset services and crypto-asset service providers as those used in Regulation (EU) 2023/1114.
(11)
The implementation and enforcement of this Regulation represent relevant and effective means of preventing and combating money laundering and terrorist financing.
(12)
This Regulation is not intended to impose unnecessary burdens or costs on payment service providers, crypto-asset service providers or persons who use their services. In that regard, the preventive approach should be targeted and proportionate and should be in full compliance with the free movement of capital, which is guaranteed throughout the Union.
(13)
The Union’s Revised Strategy on Terrorist Financing of 17 July 2008 (the ‘Revised Strategy’) states that efforts must be maintained to prevent terrorist financing and to control the use by suspected terrorists of their own financial resources. It recognises that FATF is constantly seeking to improve its recommendations and is working towards a common understanding of how they should be implemented. The Revised Strategy notes that implementation of the revised FATF Recommendations by all FATF members and members of FATF-style regional bodies is assessed on a regular basis and that a common approach to implementation by Member States is therefore important.
(14)
In addition, the Commission in its communication of 7 May 2020 on an Action Plan for a comprehensive Union policy on preventing money laundering and terrorist financing identified six priority areas for urgent action to improve the Union’s anti-money laundering and counter-terrorist financing regime, including the establishment of a coherent regulatory framework for that regime in the Union to obtain more detailed and harmonised rules, in particular to address the implications of technological innovation and developments in international standards and to avoid diverging implementation of existing rules. Work at international level suggests a need to expand the scope of sectors or entities covered by that regime and to assess how it should apply to crypto-asset service providers not covered so far.
(15)
In order to prevent terrorist financing, measures with the purpose of freezing the funds and economic resources of certain persons, groups and entities have been taken, including Council Regulations (EC) No 2580/2001 
(
10
)
, (EC) No 881/2002 
(
11
)
 and (EU) No 356/2010 
(
12
)
. To the same end, measures with the purpose of protecting the financial system against the channelling of funds and economic resources for terrorist purposes have also been taken. Directive (EU) 2015/849 contains a number of such measures. Those measures do not, however, fully prevent terrorists or other criminals from accessing payment systems for transferring their funds.
(16)
The traceability of transfers of funds and crypto-assets can be a particularly important and valuable tool in the prevention, detection and investigation of money laundering and terrorist financing, as well as in the implementation of restrictive measures, in particular those imposed by Regulations (EC) No 2580/2001, (EC) No 881/2002 and (EU) No 356/2010. It is therefore appropriate, in order to ensure the transmission of information throughout the payment chain or the transfer of crypto-assets chain, to provide for a system imposing the obligation on payment service providers to accompany transfers of funds with information on the payer and the payee and the obligation on crypto-asset service providers to accompany transfers of crypto-assets with information on the originator and the beneficiary.
(17)
Certain transfers of crypto-assets entail specific high-risk factors for money laundering, terrorist financing and other criminal activities, in particular transfers related to products, transactions or technologies designed to enhance anonymity, including privacy wallets, mixers or tumblers. To ensure the traceability of such transfers, the European Supervisory Authority (European Banking Authority), established by Regulation (EU) No 1093/2010 of the European Parliament and of the Council 
(
13
)
 (EBA), should clarify, in particular, how the risk factors listed in Annex III to Directive (EU) 2015/849 are to be taken into account by crypto-asset service providers, including when carrying out transactions with non-Union entities that are not regulated, registered or licensed in any third country, or with self-hosted addresses. Where situations of higher risk are identified, EBA should issue guidelines specifying the enhanced due diligence measures that obliged entities should consider applying to mitigate such risks, including the adoption of appropriate procedures such as the use of distributed ledger technology (DLT) analytic tools, to detect the origin or destination of crypto-assets.
(18)
This Regulation should apply without prejudice to the national restrictive measures and Union restrictive measures imposed by regulations based on Article 215 of the Treaty on the Functioning of the European Union, such as Regulations (EC) No 2580/2001, (EC) No 881/2002 and (EU) No 356/2010 and Council Regulations (EU) No 267/2012 
(
14
)
, (EU) 2016/1686 
(
15
)
 and (EU) 2017/1509 
(
16
)
, which may require that payment service providers of payers and of payees, crypto-asset service providers of originators and of beneficiaries, intermediary payment service providers, as well as intermediary crypto-asset service providers, take appropriate action to freeze certain funds and crypto-assets or that they comply with specific restrictions concerning certain transfers of funds or of crypto-assets. Payment service providers and crypto-asset service providers should have in place internal policies, procedures and controls to ensure implementation of those restrictive measures, including screening measures against Union and national lists of designated persons. EBA should issue guidelines specifying those internal policies, procedures and controls. It is intended that the requirements of this Regulation on internal policies, procedures and controls related to restrictive measures will be repealed in the near future by a Regulation of the European Parliament and of the Council on the prevention of the use of the financial system for the purposes of money laundering or terrorist financing.
(19)
The processing of personal data under this Regulation should take place in full compliance with Regulation (EU) 2016/679 of the European Parliament and of the Council 
(
17
)
. Further processing of personal data for commercial purposes should be strictly prohibited. The fight against money laundering and terrorist financing is recognised as an important public interest ground by all Member States. In applying this Regulation, the transfer of personal data to a third country is required to be carried out in accordance with Chapter V of Regulation (EU) 2016/679. It is important that payment service providers and crypto-asset service providers operating in multiple jurisdictions with branches or subsidiaries located outside the Union should not be prevented from transferring data about suspicious transactions within the same organisation, provided that they apply adequate safeguards. In addition, the crypto-asset service providers of the originator and of the beneficiary, the payment service providers of the payer and of the payee and the intermediary payment service providers and intermediary crypto-asset service providers should have in place appropriate technical and organisational measures to protect personal data against accidental loss, alteration, or unauthorised disclosure or access.
(20)
Persons that merely convert paper documents into electronic data and are acting under a contract with a payment service provider, and persons that provide payment service providers solely with messaging or other support systems for transmitting funds or with clearing and settlement systems should not fall within the scope of this Regulation.
(21)
Persons that provide only ancillary infrastructure, such as internet network and infrastructure service providers, cloud service providers or software developers, that enables another entity to provide transfer services for crypto-assets, should not fall within the scope of this Regulation unless they perform transfers of crypto-assets.
(22)
This Regulation should not apply to person-to-person transfers of crypto-assets conducted without the involvement of a crypto-asset service provider, or to cases where both the originator and the beneficiary are providers of transfer services for crypto-assets acting on their own behalf.
(23)
Transfers of funds corresponding to services referred to in Article 3, points (a) to (m) and point (o), of Directive (EU) 2015/2366 of the European Parliament and of the Council 
(
18
)
 do not fall within the scope of this Regulation. It is also appropriate to exclude from the scope of this Regulation transfers of funds and of electronic money tokens, as defined in Article 3(1), point (7), of Regulation (EU) 2023/1114, that represent a low risk of money laundering or terrorist financing. Such exclusions should cover payment cards, electronic money instruments, mobile phones or other digital or information technology (IT) prepaid or postpaid devices with similar characteristics, where they are used exclusively for the purchase of goods or services and the number of the card, instrument or device accompanies all transfers. However, the use of a payment card, an electronic money instrument, a mobile phone or any other digital or IT prepaid or postpaid device with similar characteristics in order to effect a transfer of funds or of electronic money tokens between natural persons acting as consumers for purposes other than trade, business or professional activity, falls within the scope of this Regulation. In addition, automated teller machine withdrawals, payments of taxes, fines or other levies, transfers of funds carried out through cheque images exchanges, including truncated cheques, or bills of exchange, and transfers of funds where both the payer and the payee are payment service providers acting on their own behalf should be excluded from the scope of this Regulation.
(24)
Crypto-assets that are unique and not fungible are not subject to the requirements of this Regulation unless they are classified as crypto-assets or funds under Regulation (EU) 2023/1114.
(25)
Crypto-asset automated teller machines (the ‘crypto-ATMs’) can enable users to perform transfers of crypto-assets to a crypto-asset address by depositing cash, often without any form of customer identification and verification. Crypto-ATMs are particularly exposed to money laundering and terrorist financing risks because the anonymity they provide, and the possibility of operating with cash of unknown origin, make them an ideal vehicle for illicit activities. Given the role of crypto-ATMs in providing or actively facilitating transfers of crypto-assets, transfers of crypto-assets linked to crypto-ATMs should fall under the scope of this Regulation.
(26)
In order to reflect the special characteristics of national payment systems, and provided that it is always possible to trace the transfer of funds back to the payer, Member States should be able to exempt from the scope of this Regulation certain domestic low-value transfers of funds, including electronic giro payments, used for the purchase of goods or services.
(27)
Due to the inherent borderless nature and global reach of transfers of crypto-assets and of the provision of crypto-asset services, there are no objective reasons to distinguish the treatment of money laundering and terrorist financing risks of national transfers from that of cross-border transfers. In order to reflect those specific features, no exemption from the scope of this Regulation should be granted to domestic low-value transfers of crypto-assets, in line with the FATF requirement to treat all transfers of crypto-assets as cross-border.
(28)
Payment service providers and crypto-asset service providers should ensure that the information on the payer and the payee or on the originator and the beneficiary is not missing or incomplete.
(29)
In order not to impair the efficiency of payment systems and in order to balance the risk of driving transactions underground as a result of overly strict identification requirements against the potential terrorist threat posed by small transfers of funds, the obligation to check whether information on the payer or the payee is accurate should, in the case of transfers of funds where verification has not yet taken place, be imposed only in respect of individual transfers of funds that exceed EUR 1 000, unless the transfer appears to be linked to other transfers of funds which together would exceed EUR 1 000, the funds have been received or paid out in cash or in anonymous electronic money, or where there are reasonable grounds for suspecting money laundering or terrorist financing.
(30)
Compared to transfers of funds, transfers of crypto-assets can be carried out across multiple jurisdictions at a larger scale and higher speed due to their global reach and technological characteristics. In addition to the pseudo-anonymity of crypto-assets, those features of transfers of crypto-assets offer criminals the opportunity to carry out at high speed large illicit transfers while circumventing traceability obligations and avoiding detection, by means of structuring a large transaction into smaller amounts, using multiple seemingly unrelated DLT addresses, including one-time use DLT addresses, and using automated processes. Most crypto-assets are also highly volatile and their value can fluctuate significantly within a very short timeframe which makes the calculation of linked transactions more uncertain. In order to reflect those specific features, transfers of crypto-assets should be subject to the same requirements regardless of their amount and of whether they are domestic or cross-border transfers.
(31)
For transfers of funds or for transfers of crypto-assets where verification is deemed to have taken place, payment service providers and crypto-asset service providers should not be required to verify the accuracy of the information on the payer or the payee accompanying each transfer of funds, or on the originator and the beneficiary accompanying each transfer of crypto-assets, provided that the obligations laid down in Directive (EU) 2015/849 are met.
(32)
In view of the Union legislative acts in respect of payment services, namely Regulation (EU) No 260/2012 of the European Parliament and of the Council 
(
19
)
, Directive (EU) 2015/2366 and Regulation (EU) 2021/1230 of the European Parliament and of the Council 
(
20
)
, it should be sufficient to provide that only simplified information accompany transfers of funds within the Union, such as the payment account number or a unique transaction identifier.
(33)
In order to allow the authorities responsible for combating money laundering or terrorist financing in third countries to trace the source of funds or crypto-assets used for those purposes, transfers of funds or transfers of crypto-assets from the Union to outside the Union should carry complete information on the payer and the payee, in respect of transfers of funds, and on the originator and the beneficiary, in respect of transfers of crypto-assets. Complete information on the payer and the payee should include the legal entity identifier (LEI), or any equivalent official identifier, where that identifier is provided by the payer to its payment service provider, since that would allow for better identification of the parties involved in a transfer of funds and could easily be included in existing payment message formats, such as that developed by the International Organisation for Standardisation for electronic data interchange between financial institutions. The authorities responsible for combating money laundering or terrorist financing in third countries should be granted access to complete information on the payer and the payee or on the originator and the beneficiary, as applicable, only for the purposes of preventing, detecting and investigating money laundering and terrorist financing.
(34)
Crypto-assets exist in a borderless virtual reality and can be transferred to any crypto-asset service provider, whether or not that provider is registered in a jurisdiction. Many non-Union jurisdictions have in place rules relating to data protection and its enforcement that differ from those in the Union. When transferring crypto-assets on behalf of a client to a crypto-asset service provider that is not registered in the Union, the crypto-asset service provider of the originator should assess the ability of the crypto-asset service provider of the beneficiary to receive and retain the information required under this Regulation in compliance with Regulation (EU) 2016/679, using, where appropriate, the options available in Chapter V of Regulation (EU) 2016/679. The European Data Protection Board should, after consulting EBA, issue guidelines on the practical implementation of data protection requirements for transfers of personal data to third countries in the context of transfers of crypto-assets. Situations might occur where personal data cannot be sent because the requirements of Regulation (EU) 2016/679 cannot be fulfilled. EBA should issue guidelines on suitable procedures for determining whether the transfer of crypto-assets should be executed, rejected or suspended in such cases.
(35)
The Member State authorities responsible for combating money laundering and terrorist financing, and relevant judicial and law enforcement authorities in the Member States and at Union level, should intensify cooperation with each other and with relevant third country authorities, including those in developing countries, in order to strengthen further transparency and the sharing of information and best practices.
(36)
The crypto-asset service provider of the originator should ensure that transfers of crypto-assets are accompanied by the name of the originator, the originator’s distributed ledger address, in cases where a transfer of crypto-assets is registered on a network using DLT or similar technology, the originator’s crypto-asset account number, in cases where such an account exists and is used to process the transaction, the originator’s address including the name of the country, official personal document number and customer identification number, or, alternatively, the originator’s date and place of birth, and, subject to the existence of the necessary field in the relevant message format and where provided by the originator to its crypto-asset service provider, the current LEI or, in its absence, any other available equivalent official identifier of the originator. The information should be submitted in a secure manner and in advance of, or simultaneously or concurrently with, the transfer of crypto-assets.
(37)
The crypto-asset service provider of the originator should also ensure that transfers of crypto-assets are accompanied by the name of the beneficiary, the beneficiary’s distributed ledger address, in cases where a transfer of crypto-assets is registered on a network using DLT or similar technology, the beneficiary’s account number, in cases where such an account exists and is used to process the transaction and, subject to the existence of the necessary field in the relevant message format and where provided by the originator to its crypto-asset service provider, the current LEI or, in its absence, any other available equivalent official identifier of the beneficiary. The information should be submitted in a secure manner and in advance of, or simultaneously or concurrently with, the transfer of crypto-assets.
(38)
Regarding transfers of crypto-assets, the requirements of this Regulation should apply to all transfers including transfers of crypto-assets to or from a self-hosted address, as long as there is a crypto-asset service provider involved.
(39)
In the case of a transfer to or from a self-hosted address, the crypto-asset service provider should collect the information on both the originator and the beneficiary, usually from its client. A crypto-asset service provider should in principle not be required to verify the information on the user of the self-hosted address. Nonetheless, in the case of a transfer of an amount exceeding EUR 1 000 that is sent or received on behalf of a client of a crypto-asset service provider to or from a self-hosted address, that crypto-asset service provider should verify whether that self-hosted address is effectively owned or controlled by that client.
(40)
As regards transfers of funds from a single payer to several payees that are to be sent in a batch file transfer containing individual transfers from the Union to outside the Union, provision should be made for such individual transfers to carry only the payment account number of the payer or the unique transaction identifier, as well as complete information on the payee, provided that the batch file contains complete information on the payer that is verified for accuracy and complete information on the payee that is fully traceable.
(41)
As regards batch file transfers of crypto-assets, the submission of information on the originator and beneficiary in batches should be accepted, as long as that submission occurs immediately and securely. It should not be permitted to submit the required information after the transfer, as submission must occur before or at the moment the transaction is completed, and crypto-asset service providers or other obliged entities should submit the required information simultaneously with the batch file transfer of crypto-assets.
(42)
In order to check whether the required information on the payer and the payee accompanies transfers of funds, and to help identify suspicious transactions, the payment service provider of the payee and the intermediary payment service provider should have effective procedures in place to detect whether information on the payer and the payee is missing or incomplete. Those procedures should include monitoring after or during the transfers where appropriate. Competent authorities should ensure that payment service providers include the required transaction information with the wire transfer or related message throughout the payment chain.
(43)
As regards transfers of crypto-assets, the crypto-asset service provider of the beneficiary should implement effective procedures to detect whether the information on the originator or beneficiary is missing or incomplete. Those procedures should include, where appropriate, monitoring after or during the transfers. It should not be required that the information is attached directly to the transfer of crypto-assets itself, as long as it is submitted in advance of, or simultaneously or concurrently with, the transfer of crypto-assets, and is available upon request to appropriate authorities.
(44)
Given the potential threat of money laundering and terrorist financing presented by anonymous transfers, it is appropriate to require payment service providers to request information on the payer and the payee and to require crypto-asset service providers to request information on the originator and the beneficiary. In line with the risk-based approach developed by FATF, it is appropriate to identify areas of higher and lower risk, with a view to better targeting the risk of money laundering and terrorist financing. Accordingly, the crypto-asset service provider of the beneficiary, the payment service provider of the payee, the intermediary payment service provider and the intermediary crypto-asset service provider should have effective risk-based procedures that apply where a transfer of funds lacks the required information on the payer or the payee, or where a transfer of crypto-assets lacks the required information on the originator or the beneficiary, in order to allow that service provider to decide whether to execute, reject or suspend that transfer and to determine the appropriate follow-up action to take.
(45)
Crypto-asset service providers, like all obliged entities, should assess and monitor the risk related to their clients, products and delivery channels. Crypto-asset service providers should also assess the risk related to their transactions, including where performing transfers to or from self-hosted addresses. In the event that the crypto-asset service provider is or becomes aware that the information on the originator or beneficiary using the self-hosted address is inaccurate, or where the crypto-asset service provider encounters unusual or suspicious patterns of transactions or situations of higher risks of money laundering and terrorist financing associated with transfers involving self-hosted addresses, that crypto-asset service provider should implement, where appropriate, enhanced due diligence measures to manage and mitigate the risks appropriately. The crypto-asset service provider should take those circumstances into account when assessing whether a transfer of crypto-assets, or any related transaction, is unusual and whether it is to be reported to the Financial Intelligence Unit (FIU) in accordance with Directive (EU) 2015/849.
(46)
This Regulation should be reviewed in the context of the adoption of a Regulation of the European Parliament and of the Council on the prevention of the use of the financial system for the purposes of money laundering or terrorist financing, a Directive of the European Parliament and of the Council on the mechanisms to be put in place by the Member States for the prevention of the use of the financial system for the purposes of money laundering or terrorist financing and repealing Directive (EU) 2015/849 and a Regulation of the European Parliament and of the Council establishing the Authority for Anti-Money Laundering and Countering the Financing of Terrorism and amending Regulations (EU) No 1093/2010, (EU) No 1094/2010, (EU) No 1095/2010, in order to ensure consistency with the relevant provisions.
(47)
When assessing the risks, the payment service provider of the payee, the intermediary payment service provider, the crypto-asset service provider of the beneficiary or the intermediary crypto-asset service provider should exercise special vigilance where it becomes aware that information on the payer or the payee or on the originator or the beneficiary, as applicable, is missing or incomplete, or where a transfer of crypto-assets is required to be considered suspicious based on the origin or destination of the crypto-assets concerned, and should report suspicious transactions to the competent authorities in accordance with the reporting obligations set out in Directive (EU) 2015/849.
(48)
Similar to transfers of funds between payment service providers, transfers of crypto-assets involving intermediary crypto-asset service providers might facilitate transfers as an intermediate element in a chain of transfers of crypto-assets. In line with international standards, such intermediary providers should also be subject to the requirements set out in this Regulation, in the same way as existing obligations on intermediary payment service providers.
(49)
The provisions on transfers of funds and transfers of crypto-assets in relation to which information on the payer or the payee or the originator or the beneficiary is missing or incomplete, and in relation to which transfers of crypto-assets are required to be considered suspicious based on the origin or destination of the crypto-assets concerned, apply without prejudice to any obligations on payment service providers, intermediary payment service providers, crypto-asset service providers and intermediary crypto-asset service providers to reject or suspend transfers of funds and transfers of crypto-assets which breach a provision of civil, administrative or criminal law.
(50)
In order to ensure technology neutrality, this Regulation should not mandate the use of a particular technology for the transfer of transaction information by crypto-asset service providers. To ensure the efficient implementation of requirements applicable to crypto-asset service providers under this Regulation, standard-setting initiatives involving or led by the crypto-asset industry will be critical. The resulting solutions should be interoperable through the use of international or Union-wide standards in order to allow for a swift exchange of information.
(51)
With the aim of assisting payment service providers and crypto-asset service providers to put effective procedures in place to detect cases in which they receive transfers of funds or transfers of crypto-assets with missing or incomplete information on the payer, payee, originator or beneficiary and to take effective follow-up action, EBA should issue guidelines.
(52)
To enable prompt action to be taken in the fight against money laundering and terrorist financing, payment service providers and crypto-asset service providers should respond promptly to requests for information on the payer and the payee or on the originator and the beneficiary from the authorities responsible for combating money laundering or terrorist financing in the Member State where those payment service providers are established or where those crypto-asset service providers have their registered office.
(53)
The number of working days elapsing in the Member State of the payment service provider of the payer determines the number of days to respond to requests for information on the payer.
(54)
As it may not be possible in criminal investigations to identify the data required or the individuals involved in a transaction until many months, or even years, after the original transfer of funds or transfer of crypto-assets, and in order to be able to have access to essential evidence in the context of investigations, it is appropriate to require payment service providers or crypto-asset service providers to keep records of information on the payer and the payee or the originator and the beneficiary for a period of time for the purposes of preventing, detecting and investigating money laundering and terrorist financing. That period should be limited to five years, after which all personal data should be deleted unless national law provides otherwise. If necessary for the purposes of preventing, detecting or investigating money laundering or terrorist financing, and after carrying out an assessment of the necessity and proportionality of the measure, Member States should be able to allow or require retention of records for a further period of no more than five years, without prejudice to national criminal law on evidence applicable to ongoing criminal investigations and legal proceedings and in full compliance with Directive (EU) 2016/680 of the European Parliament and of the Council 
(
21
)
. Those measures could be reviewed in light of the adoption of a Regulation of the European Parliament and of the Council on the prevention of the use of the financial system for the purposes of money laundering or terrorist financing.
(55)
In order to improve compliance with this Regulation, and in accordance with the Commission Communication of 9 December 2010 entitled ‘Reinforcing sanctioning regimes in the financial services sector’, the power to adopt supervisory measures and the sanctioning powers of competent authorities should be enhanced. Administrative sanctions and measures should be provided for and, given the importance of the fight against money laundering and terrorist financing, Member States should lay down sanctions and measures that are effective, proportionate and dissuasive. Member States should notify the Commission and the permanent internal committee on anti-money-laundering and countering terrorist financing referred to in Article 9a(7) of Regulation (EU) No 1093/2010 thereof.
(56)
In order to ensure uniform conditions for the implementation of this Regulation, implementing powers should be conferred on the Commission. Those powers should be exercised in accordance with Regulation (EU) No 182/2011 of the European Parliament and of the Council 
(
22
)
.
(57)
A number of countries and territories which do not form part of the territory of the Union share a monetary union with a Member State, form part of the currency area of a Member State or have signed a monetary convention with the Union represented by a Member State, and have payment service providers that participate directly or indirectly in the payment and settlement systems of that Member State. In order to avoid the application of this Regulation to transfers of funds between the Member States concerned and those countries or territories having a significant negative effect on the economies of those countries or territories, it is appropriate to provide for the possibility for such transfers of funds to be treated as transfers of funds within the Member States concerned.
(58)
Given the potential high risks associated with, and the technological and regulatory complexity posed by, self-hosted addresses, including in relation to the verification of ownership information, by 1 July 2026, the Commission should assess the need for additional specific measures to mitigate the risks posed by transfers to or from self-hosted addresses or to or from entities not established in the Union, including the introduction of possible restrictions, and should assess the effectiveness and proportionality of the mechanisms used to verify the accuracy of information concerning the ownership of self-hosted addresses.
(59)
At present, Directive (EU) 2015/849 only applies to two categories of crypto-asset service providers, namely, custodial wallet providers and providers engaged in exchange services between virtual currencies and fiat currencies. In order to close existing loopholes in the anti-money laundering and counter-terrorist financing framework and to align Union law with international recommendations, Directive (EU) 2015/849 should be amended to include all categories of crypto-asset service providers as defined in Regulation (EU) 2023/1114, which covers a broader range of crypto-asset service providers. In particular, with a view to ensuring that crypto-asset service providers are subject to the same requirements and level of supervision as credit and financial institutions, it is appropriate to update the list of obliged entities by including crypto-asset service providers within the category of financial institutions for the purpose of Directive (EU) 2015/849. In addition, taking into account that traditional financial institutions also fall within the definition of crypto-asset service providers when offering such services, the identification of crypto-asset service providers as financial institutions allows for a single consistent set of rules that applies to entities providing both traditional financial services and crypto-asset services. Directive (EU) 2015/849 should also be amended in order to ensure that crypto-asset service providers are able to appropriately mitigate the money laundering and terrorist financing risks to which they are exposed.
(60)
Relationships established between crypto-asset service providers and entities established in third countries for the purpose of executing transfers of crypto-assets or the provision of similar crypto-asset services present similarities to correspondent banking relationships established with a third country’s respondent institution. As those relationships are characterised by an ongoing and repetitive nature, they should be considered a type of correspondent relationship and be subject to specific enhanced due diligence measures similar in principle to those applied in the context of banking and financial services. In particular, crypto-asset service providers should, when establishing a new correspondent relationship with a respondent entity, apply specific enhanced due diligence measures in order to identify and assess the risk exposure of that respondent, based on its reputation, the quality of supervision and its anti-money laundering and counter-terrorist financing (AML/CFT) controls. Based on the information gathered, the correspondent crypto-asset service providers should implement appropriate risk mitigating measures, which should take into account in particular the potential higher risk of money laundering and terrorist financing posed by unregistered and unlicensed entities. That is especially relevant as long as the implementation of the FATF standards relating to crypto-assets at global level remains uneven, which poses additional risks and challenges. EBA should provide guidance on how crypto-asset service providers should conduct the enhanced due diligence and should specify the appropriate risk mitigating measures, including the minimum action to be taken, when interacting with unregistered or unlicensed entities which provide crypto-asset services.
(61)
Regulation (EU) 2023/1114 has established a comprehensive regulatory framework for crypto-asset service providers which harmonises the rules pertaining to the authorisation and operation of crypto-asset service providers across the Union. In order to avoid duplication of requirements, Directive (EU) 2015/849 should be amended to remove registration requirements in relation to those categories of crypto-asset service providers which will become subject to a single licensing regime under Regulation (EU) 2023/1114.
(62)
Since the objectives of this Regulation, namely to fight money laundering and the financing of terrorism, including by implementing international standards and by ensuring the availability of basic information on payers and payees of transfer of funds, and on originators and beneficiaries of transfers of crypto-assets, cannot be sufficiently achieved by the Member States but can rather, by reason of the scale or effects of the action, be better achieved at Union level, the Union may adopt measures, in accordance with the principle of subsidiarity as set out in Article 5 of the Treaty on European Union. In accordance with the principle of proportionality as set out in that Article, this Regulation does not go beyond what is necessary in order to achieve those objectives.
(63)
This Regulation is subject to Regulation (EU) 2016/679 and Regulation (EU) 2018/1725 of the European Parliament and of the Council 
(
23
)
. It respects the fundamental rights and observes the principles recognised by the Charter of Fundamental Rights of the European Union, in particular the right to respect for private and family life (Article 7), the right to the protection of personal data (Article 8), the right to an effective remedy and to a fair trial (Article 47) and the principle of 
ne bis in idem
.
(64)
In order to ensure consistency with Regulation (EU) 2023/1114, this Regulation should apply from the date of application of that Regulation. By that date, Member States should also transpose the amendments to Directive (EU) 2015/849.
(65)
The European Data Protection Supervisor was consulted in accordance with Article 42(1) of Regulation (EU) 2018/1725 and delivered an opinion on 22 September 2021 
(
24
)
,
HAVE ADOPTED THIS REGULATION:
CHAPTER I
Subject matter, scope and definitions
Article 1
Subject matter
This Regulation lays down rules on the information on payers and payees accompanying transfers of funds, in any currency, and on the information on originators and beneficiaries accompanying transfers of crypto-assets, for the purposes of preventing, detecting and investigating money laundering and terrorist financing, where at least one of the payment service providers or crypto-asset service providers involved in the transfer of funds or transfer of crypto-assets is established or has its registered office, as applicable, in the Union. In addition, this Regulation lays down rules on internal policies, procedures and controls to ensure implementation of restrictive measures where at least one of the payment service providers or crypto-asset service providers involved in the transfer of funds or transfer of crypto-assets is established or has its registered office, as applicable, in the Union.
Article 2
Scope
1.   This Regulation shall apply to transfers of funds, in any currency, which are sent or received by a payment service provider or an intermediary payment service provider established in the Union. It shall also apply to transfers of crypto-assets, including transfers of crypto-assets executed by means of crypto-ATMs, where the crypto-asset service provider, or the intermediary crypto-asset service provider, of either the originator or the beneficiary has its registered office in the Union.
2.   This Regulation shall not apply to the services listed in Article 3, points (a) to (m) and point (o), of Directive (EU) 2015/2366.
3.   This Regulation shall not apply to transfers of funds or to transfers of electronic money tokens, as defined in Article 3(1), point (7), of Regulation (EU) 2023/1114, carried out using a payment card, an electronic money instrument, a mobile phone or any other digital or IT prepaid or postpaid device with similar characteristics, provided that the following conditions are met:
(a)
that card, instrument or device is used exclusively to pay for goods or services; and
(b)
the number of that card, instrument or device accompanies all transfers flowing from the transaction.
However, this Regulation shall apply when a payment card, an electronic money instrument, a mobile phone or any other digital or IT prepaid or postpaid device with similar characteristics is used in order to effect a transfer of funds or electronic money tokens between natural persons acting as consumers for purposes other than trade, business or professional activity.
4.   This Regulation shall not apply to persons that have no activity other than to convert paper documents into electronic data and that do so pursuant to a contract with a payment service provider, or to persons that have no activity other than to provide payment service providers with messaging or other support systems for transmitting funds or with clearing and settlement systems.
This Regulation shall not apply to a transfer of funds where any of the following conditions is met:
(a)
it involves the payer withdrawing cash from the payer’s own payment account;
(b)
it constitutes a transfer of funds to a public authority as payment for taxes, fines or other levies within a Member State;
(c)
both the payer and the payee are payment service providers acting on their own behalf;
(d)
it is carried out through cheque images exchanges, including truncated cheques.
This Regulation shall not apply to a transfer of crypto-assets where any of the following conditions is met:
(a)
both the originator and the beneficiary are crypto-asset service providers acting on their own behalf;
(b)
the transfer constitutes a person-to-person transfer of crypto-assets carried out without the involvement of a crypto-asset service provider.
Electronic money tokens, as defined in Article 3(1), point (7), of Regulation (EU) 2023/1114, shall be treated as crypto-assets under this Regulation.
5.   A Member State may decide not to apply this Regulation to transfers of funds within its territory to a payee’s payment account permitting payment exclusively for the provision of goods or services where all of the following conditions are met:
(a)
the payment service provider of the payee is subject to Directive (EU) 2015/849;
(b)
the payment service provider of the payee is able to trace back, through the payee, by means of a unique transaction identifier, the transfer of funds from the person who has an agreement with the payee for the provision of goods or services;
(c)
the amount of the transfer of funds does not exceed EUR 1 000.
Article 3
Definitions
For the purposes of this Regulation, the following definitions apply:
(1)
‘terrorist financing’ means terrorist financing as defined in Article 1(5) of Directive (EU) 2015/849;
(2)
‘money laundering’ means the money laundering activities referred to in Article 1(3) and (4) of Directive (EU) 2015/849;
(3)
‘payer’ means a person that holds a payment account and allows a transfer of funds from that payment account or, where there is no payment account, that gives a transfer of funds order;
(4)
‘payee’ means a person that is the intended recipient of the transfer of funds;
(5)
‘payment service provider’ means the categories of payment service provider referred to in Article 1(1) of Directive (EU) 2015/2366, natural or legal persons benefiting from a waiver pursuant to Article 32 thereof and legal persons benefiting from a waiver pursuant to Article 9 of Directive 2009/110/EC, providing transfer of funds services;
(6)
‘intermediary payment service provider’ means a payment service provider that is not the payment service provider of the payer or of the payee and that receives and transmits a transfer of funds on behalf of the payment service provider of the payer or of the payee or of another intermediary payment service provider;
(7)
‘payment account’ means a payment account as defined in Article 4, point (12), of Directive (EU) 2015/2366;
(8)
‘funds’ means funds as defined in Article 4, point (25), of Directive (EU) 2015/2366;
(9)
‘transfer of funds’ means any transaction at least partially carried out by electronic means on behalf of a payer through a payment service provider, with a view to making funds available to a payee through a payment service provider, irrespective of whether the payer and the payee are the same person and irrespective of whether the payment service provider of the payer and that of the payee are one and the same, including:
(a)
a credit transfer as defined in Article 4, point (24), of Directive (EU) 2015/2366;
(b)
a direct debit as defined in Article 4, point (23), of Directive (EU) 2015/2366;
(c)
a money remittance as defined in Article 4, point (22), of Directive (EU) 2015/2366, whether national or cross-border;
(d)
a transfer carried out using a payment card, an electronic money instrument, a mobile phone or any other digital or IT prepaid or postpaid device with similar characteristics;
(10)
‘transfer of crypto-assets’ means any transaction with the aim of moving crypto-assets from one distributed ledger address, crypto-asset account or other device allowing the storage of crypto-assets to another, carried out by at least one crypto-asset service provider acting on behalf of either an originator or a beneficiary, irrespective of whether the originator and the beneficiary are the same person and irrespective of whether the crypto-asset service provider of the originator and that of the beneficiary are one and the same;
(11)
‘batch file transfer’ means a bundle of several individual transfers of funds or transfers of crypto-assets put together for transmission;
(12)
‘unique transaction identifier’ means a combination of letters, numbers or symbols determined by the payment service provider, in accordance with the protocols of the payment and settlement systems or messaging systems used for the transfer of funds, or determined by a crypto-asset service provider, which permits the traceability of the transaction back to the payer and the payee or the traceability of the transfer of crypto-assets back to the originator and the beneficiary;
(13)
‘person-to-person transfer of crypto-assets’ means a transfer of crypto-assets without the involvement of any crypto-asset service provider;
(14)
‘crypto-asset’ means a crypto-asset as defined in Article 3(1), point (5), of Regulation (EU) 2023/1114, except where falling within the categories listed in Article 2(2), (3) and (4) of that Regulation or otherwise qualifying as funds;
(15)
‘crypto-asset service provider’ means a crypto-asset service provider as defined in Article 3(1), point (15), of Regulation (EU) 2023/1114, where performing one or more crypto-asset services as defined in Article 3(1), point (16), of that Regulation;
(16)
‘intermediary crypto-asset service provider’ means a crypto-asset service provider that is not the crypto-asset service provider of the originator or of the beneficiary and that receives and transmits a transfer of crypto-assets on behalf of the crypto-asset service provider of the originator or of the beneficiary, or of another intermediary crypto-asset service provider;
(17)
‘crypto-asset automated teller machines’ or ‘crypto-ATMs’ means physical or on-line electronic terminals that enable a crypto-asset service provider to perform, in particular, the activity of transfer services for crypto-assets, as referred to in Article 3(1), point (16)(j), of Regulation (EU) 2023/1114;
(18)
‘distributed ledger address’ means an alphanumeric code that identifies an address on a network using distributed ledger technology (DLT) or similar technology where crypto-assets can be sent or received;
(19)
‘crypto-asset account’ means an account held by a crypto-asset service provider in the name of one or more natural or legal persons and that can be used for the execution of transfers of crypto-assets;
(20)
‘self-hosted address’ means a distributed ledger address not linked to either of the following:
(a)
a crypto-asset service provider;
(b)
an entity not established in the Union and providing services similar to those of a crypto-asset service provider;
(21)
‘originator’ means a person that holds a crypto-asset account with a crypto-asset service provider, a distributed ledger address or a device allowing the storage of crypto-assets, and allows a transfer of crypto-assets from that account, distributed ledger address, or device, or, where there is no such account, distributed ledger address, or device, a person that orders or initiates a transfer of crypto-assets;
(22)
‘beneficiary’ means a person that is the intended recipient of the transfer of crypto-assets;
(23)
‘legal entity identifier’ or ‘LEI’ means a unique alphanumeric reference code based on the ISO 17442 standard assigned to a legal entity;
(24)
‘distributed ledger technology’ or ‘DLT’ means distributed ledger technology as defined in Article 3(1), point (1), of Regulation (EU) 2023/1114.
CHAPTER II
Obligations on payment service providers
Section 1
Obligations on the payment service provider of the payer
Article 4
Information accompanying transfers of funds
1.   The payment service provider of the payer shall ensure that transfers of funds are accompanied by the following information on the payer:
(a)
the name of the payer;
(b)
the payer’s payment account number;
(c)
the payer’s address including the name of the country, official personal document number and customer identification number, or, alternatively, the payer’s date and place of birth; and
(d)
subject to the existence of the necessary field in the relevant payments message format, and where provided by the payer to its payment service provider, the current LEI of the payer or, in its absence, any available equivalent official identifier.
2.   The payment service provider of the payer shall ensure that transfers of funds are accompanied by the following information on the payee:
(a)
the name of the payee;
(b)
the payee’s payment account number; and
(c)
subject to the existence of the necessary field in the relevant payments message format, and where provided by the payer to its payment service provider, the current LEI of the payee or, in its absence, any available equivalent official identifier.
3.   By way of derogation from paragraph 1, point (b), and paragraph 2, point (b), in the case of a transfer not made to or from a payment account, the payment service provider of the payer shall ensure that the transfer of funds is accompanied by a unique transaction identifier rather than the payment account number.
4.   Before transferring funds, the payment service provider of the payer shall verify the accuracy of the information referred to in paragraph 1 and, where applicable, in paragraph 3, on the basis of documents, data or information obtained from a reliable and independent source.
5.   Verification as referred to in paragraph 4 of this Article shall be deemed to have taken place where one of the following applies:
(a)
the identity of the payer has been verified in accordance with Article 13 of Directive (EU) 2015/849 and the information obtained pursuant to that verification has been retained in accordance with Article 40 of that Directive;
(b)
Article 14(5) of Directive (EU) 2015/849 applies to the payer.
6.   Without prejudice to the derogations provided for in Articles 5 and 6, the payment service provider of the payer shall not execute any transfer of funds before ensuring full compliance with this Article.
Article 5
Transfers of funds within the Union
1.   By way of derogation from Article 4(1) and (2), where all payment service providers involved in the payment chain are established in the Union, transfers of funds shall be accompanied by at least the payment account number of both the payer and the payee or, where Article 4(3) applies, the unique transaction identifier, without prejudice to the information requirements laid down in Regulation (EU) No 260/2012, where applicable.
2.   Notwithstanding paragraph 1, the payment service provider of the payer shall, within three working days of receiving a request for information from the payment service provider of the payee or from the intermediary payment service provider, make available the following:
(a)
for transfers of funds exceeding EUR 1 000, whether such transfers are carried out in a single transaction or in several transactions which appear to be linked, the information on the payer or the payee in accordance with Article 4;
(b)
for transfers of funds not exceeding EUR 1 000 that do not appear to be linked to other transfers of funds which, together with the transfer in question, exceed EUR 1 000, at least:
(i)
the names of the payer and of the payee; and
(ii)
the payment account numbers of the payer and of the payee or, where Article 4(3) applies, the unique transaction identifier.
3.   By way of derogation from Article 4(4), in the case of transfers of funds referred to in paragraph 2, point (b), of this Article, the payment service provider of the payer need not verify the information on the payer unless the payment service provider of the payer:
(a)
has received the funds to be transferred in cash or in anonymous electronic money; or
(b)
has reasonable grounds for suspecting money laundering or terrorist financing.
Article 6
Transfers of funds to outside the Union
1.   In the case of a batch file transfer from a single payer where the payment service providers of the payees are established outside the Union, Article 4(1) shall not apply to the individual transfers bundled together therein, provided that the batch file contains the information referred to in Article 4(1), (2) and (3), that that information has been verified in accordance with Article 4(4) and (5), and that the individual transfers carry the payment account number of the payer or, where Article 4(3) applies, the unique transaction identifier.
2.   By way of derogation from Article 4(1), and, where applicable, without prejudice to the information required in accordance with Regulation (EU) No 260/2012, where the payment service provider of the payee is established outside the Union, transfers of funds not exceeding EUR 1 000 that do not appear to be linked to other transfers of funds which, together with the transfer in question, exceed EUR 1 000, shall be accompanied by at least:
(a)
the names of the payer and of the payee; and
(b)
the payment account numbers of the payer and of the payee or, where Article 4(3) applies, the unique transaction identifier.
By way of derogation from Article 4(4), the payment service provider of the payer need not verify the information on the payer referred to in this paragraph unless the payment service provider of the payer:
(a)
has received the funds to be transferred in cash or in anonymous electronic money; or
(b)
has reasonable grounds for suspecting money laundering or terrorist financing.
Section 2
Obligations on the payment service provider of the payee
Article 7
Detection of missing information on the payer or the payee
1.   The payment service provider of the payee shall implement effective procedures to detect whether the fields relating to the information on the payer and the payee in the messaging or payment and settlement system used to effect the transfer of funds have been filled in using characters or inputs admissible in accordance with the conventions of that system.
2.   The payment service provider of the payee shall implement effective procedures, including, where appropriate, monitoring after or during the transfers, in order to detect whether the following information on the payer or the payee is missing:
(a)
for transfers of funds where the payment service provider of the payer is established in the Union, the information referred to in Article 5;
(b)
for transfers of funds where the payment service provider of the payer is established outside the Union, the information referred to in Article 4(1), points (a), (b) and (c), and Article 4(2), points (a) and (b);
(c)
for batch file transfers where the payment service provider of the payer is established outside the Union, the information referred to in Article 4(1), points (a), (b) and (c), and Article 4(2), points (a) and (b), in respect of that batch file transfer.
3.   In the case of transfers of funds exceeding EUR 1 000, whether those transfers are carried out in a single transaction or in several transactions which appear to be linked, before crediting the payee’s payment account or making the funds available to the payee, the payment service provider of the payee shall verify the accuracy of the information on the payee referred to in paragraph 2 of this Article on the basis of documents, data or information obtained from a reliable and independent source, without prejudice to the requirements laid down in Articles 83 and 84 of Directive (EU) 2015/2366.
4.   In the case of transfers of funds not exceeding EUR 1 000 that do not appear to be linked to other transfers of funds which, together with the transfer in question, exceed EUR 1 000, the payment service provider of the payee need not verify the accuracy of the information on the payee, unless the payment service provider of the payee:
(a)
effects the pay-out of the funds in cash or in anonymous electronic money; or
(b)
has reasonable grounds for suspecting money laundering or terrorist financing.
5.   Verification as referred to in paragraphs 3 and 4 of this Article shall be deemed to have taken place where one of the following applies:
(a)
the identity of the payee has been verified in accordance with Article 13 of Directive (EU) 2015/849 and the information obtained pursuant to that verification has been retained in accordance with Article 40 of that Directive;
(b)
Article 14(5) of Directive (EU) 2015/849 applies to the payee.
Article 8
Transfers of funds with missing or incomplete information on the payer or the payee
1.   The payment service provider of the payee shall implement effective risk-based procedures, including procedures based on the risk-sensitive basis referred to in Article 13 of Directive (EU) 2015/849 for determining whether to execute, reject or suspend a transfer of funds lacking the required complete payer and payee information and for taking the appropriate follow-up action.
Where the payment service provider of the payee becomes aware, when receiving a transfer of funds, that the information referred to in Article 4(1), points (a), (b) and (c), Article 4(2), points (a) and (b), Article 5(1), or Article 6, is missing or incomplete or has not been filled in using characters or inputs admissible in accordance with the conventions of the messaging or payment and settlement system as referred to in Article 7(1), the payment service provider of the payee shall, on a risk-sensitive basis:
(a)
reject the transfer; or
(b)
request the required information on the payer and the payee before or after crediting the payee’s payment account or making the funds available to the payee.
2.   Where a payment service provider repeatedly fails to provide the required information on the payer or the payee, the payment service provider of the payee shall:
(a)
take steps, which may initially include the issuing of warnings and setting of deadlines, before proceeding to a rejection, restriction or termination in accordance with point (b) if the required information is still not provided; or
(b)
directly reject any future transfers of funds from that payment service provider, or restrict or terminate its business relationship with that payment service provider.
The payment service provider of the payee shall report that failure, and the steps taken, to the competent authority responsible for monitoring compliance with anti-money laundering and counter-terrorist financing provisions.
Article 9
Assessment and reporting
The payment service provider of the payee shall take into account missing or incomplete information on the payer or the payee as a factor when assessing whether a transfer of funds, or any related transaction, is suspicious and whether it is to be reported to the Financial Intelligence Unit (FIU) in accordance with Directive (EU) 2015/849.
Section 3
Obligations on intermediary payment service providers
Article 10
Retention of information on the payer and the payee accompanying the transfer
Intermediary payment service providers shall ensure that all the information received on the payer and the payee that accompanies a transfer of funds is retained with the transfer.
Article 11
Detection of missing information on the payer or the payee
1.   The intermediary payment service provider shall implement effective procedures to detect whether the fields relating to the information on the payer and the payee in the messaging or payment and settlement system used to effect the transfer of funds have been filled in using characters or inputs admissible in accordance with the conventions of that system.
2.   The intermediary payment service provider shall implement effective procedures, including, where appropriate, monitoring after or during the transfers, in order to detect whether the following information on the payer or the payee is missing:
(a)
for transfers of funds where the payment service providers of the payer and the payee are established in the Union, the information referred to in Article 5;
(b)
for transfers of funds where the payment service provider of the payer or of the payee is established outside the Union, the information referred to in Article 4(1), points (a), (b) and (c), and Article 4(2), points (a) and (b);
(c)
for batch file transfers where the payment service provider of the payer or of the payee is established outside the Union, the information referred to in Article 4(1), points (a), (b) and (c), and Article 4(2), points (a) and (b), in respect of that batch file transfer.
Article 12
Transfers of funds with missing information on the payer or the payee
1.   The intermediary payment service provider shall establish effective risk-based procedures for determining whether to execute, reject or suspend a transfer of funds lacking the required payer and payee information and for taking the appropriate follow-up action.
Where the intermediary payment service provider becomes aware, when receiving a transfer of funds, that the information referred to in Article 4(1), points (a), (b) and (c), Article 4(2), points (a) and (b), Article 5(1), or Article 6, is missing or has not been filled in using characters or inputs admissible in accordance with the conventions of the messaging or payment and settlement system as referred to in Article 7(1), that intermediary payment service provider shall on a risk-sensitive basis:
(a)
reject the transfer; or
(b)
request the required information on the payer and the payee before or after the transmission of the transfer of funds.
2.   Where a payment service provider repeatedly fails to provide the required information on the payer or the payee, the intermediary payment service provider shall:
(a)
take steps, which may initially include the issuing of warnings and setting of deadlines, before proceeding to a rejection, restriction or termination in accordance with point (b) if the required information is still not provided; or
(b)
directly reject any future transfers of funds from that payment service provider or restrict or terminate its business relationship with that payment service provider.
The intermediary payment service provider shall report that failure, and the steps taken, to the competent authority responsible for monitoring compliance with anti-money laundering and counter-terrorist financing provisions.
Article 13
Assessment and reporting
The intermediary payment service provider shall take into account missing information on the payer or the payee as a factor when assessing whether a transfer of funds, or any related transaction, is suspicious, and whether it is to be reported to the FIU in accordance with Directive (EU) 2015/849.
CHAPTER III
Obligations on crypto-asset service providers
Section 1
Obligations on the crypto-asset service provider of the originator
Article 14
Information accompanying transfers of crypto-assets
1.   The crypto-asset service provider of the originator shall ensure that transfers of crypto-assets are accompanied by the following information on the originator:
(a)
the name of the originator;
(b)
the originator’s distributed ledger address, in cases where a transfer of crypto-assets is registered on a network using DLT or similar technology, and the crypto-asset account number of the originator, where such an account exists and is used to process the transaction;
(c)
the originator’s crypto-asset account number, in cases where a transfer of crypto-assets is not registered on a network using DLT or similar technology;
(d)
the originator’s address, including the name of the country, official personal document number and customer identification number, or, alternatively, the originator’s date and place of birth; and
(e)
subject to the existence of the necessary field in the relevant message format, and where provided by the originator to its crypto-asset service provider, the current LEI or, in its absence, any other available equivalent official identifier of the originator.
2.   The crypto-asset service provider of the originator shall ensure that transfers of crypto-assets are accompanied by the following information on the beneficiary:
(a)
the name of the beneficiary;
(b)
the beneficiary’s distributed ledger address, in cases where a transfer of crypto-assets is registered on a network using DLT or similar technology, and the beneficiary’s crypto-asset account number, where such an account exists and is used to process the transaction;
(c)
the beneficiary’s crypto-asset account number, in cases where a transfer of crypto-assets is not registered on a network using DLT or similar technology; and
(d)
subject to the existence of the necessary field in the relevant message format, and where provided by the originator to its crypto-asset service provider, the current LEI or, in its absence, any other available equivalent official identifier of the beneficiary.
3.   By way of derogation from paragraph 1, point (c), and paragraph 2, point (c), in the case of a transfer of crypto-assets not registered on a network using DLT or similar technology and not made to or from a crypto-asset account, the crypto-asset service provider of the originator shall ensure that the transfer of crypto-assets is accompanied by a unique transaction identifier.
4.   The information referred to in paragraphs 1 and 2 shall be submitted in advance of, or simultaneously or concurrently with, the transfer of crypto-assets and in a secure manner and in accordance with Regulation (EU) 2016/679.
The information referred to in paragraphs 1 and 2 shall not be required to be attached directly to, or be included in, the transfer of crypto-assets.
5.   In the case of a transfer of crypto-assets made to a self-hosted address, the crypto-asset service provider of the originator shall obtain and hold the information referred to in paragraphs 1 and 2 and shall ensure that the transfer of crypto-assets can be individually identified.
Without prejudice to specific risk mitigating measures taken in accordance with Article 19b of Directive (EU) 2015/849, in the case of a transfer of an amount exceeding EUR 1 000 to a self-hosted address, the crypto-asset service provider of the originator shall take adequate measures to assess whether that address is owned or controlled by the originator.
6.   Before transferring crypto-assets, the crypto-asset service provider of the originator shall verify the accuracy of the information referred to in paragraph 1 on the basis of documents, data or information obtained from a reliable and independent source.
7.   Verification as referred to in paragraph 6 of this Article shall be deemed to have taken place where one of the following applies:
(a)
the identity of the originator has been verified in accordance with Article 13 of Directive (EU) 2015/849 and the information obtained pursuant to that verification has been retained in accordance with Article 40 of that Directive;
(b)
Article 14(5) of Directive (EU) 2015/849 applies to the originator.
8.   The crypto-asset service provider of the originator shall not allow for the initiation, or execute any transfer, of crypto-assets before ensuring full compliance with this Article.
Article 15
Batch file transfers of crypto-assets
In the case of a batch file transfer of crypto-assets from a single originator, Article 14(1) shall not apply to the individual transfers bundled together therein, provided that the batch file contains the information referred to in Article 14(1), (2) and (3), that that information has been verified in accordance with Article 14(6) and (7), and that the individual transfers carry the distributed ledger address of the originator, where Article 14(2), point (b), applies, the crypto-asset account number of the originator, where Article 14(2), point (c), applies, or the unique transaction identifier, where Article 14(3) applies.
Section 2
Obligations on the crypto-asset service provider of the beneficiary
Article 16
Detection of missing information on the originator or the beneficiary
1.   The crypto-asset service provider of the beneficiary shall implement effective procedures, including, where appropriate, monitoring after or during the transfers, in order to detect whether the information referred to in Article 14(1) and (2) on the originator and the beneficiary is included in, or follows, the transfer or batch file transfer of crypto-assets.
2.   In the case of a transfer of crypto-assets made from a self-hosted address, the crypto-asset service provider of the beneficiary shall obtain and hold the information referred to in Article 14(1) and (2) and shall ensure that the transfer of crypto-assets can be individually identified.
Without prejudice to specific risk mitigating measures taken in accordance with Article 19b of Directive (EU) 2015/849, in the case of a transfer of an amount exceeding EUR 1 000 from a self-hosted address, the crypto-asset service provider of the beneficiary shall take adequate measures to assess whether that address is owned or controlled by the beneficiary.
3.   Before making the crypto-assets available to the beneficiary, the crypto-asset service provider of the beneficiary shall verify the accuracy of the information on the beneficiary referred to in Article 14(2) on the basis of documents, data or information obtained from a reliable and independent source.
4.   Verification as referred to in paragraphs 2 and 3 of this Article shall be deemed to have taken place where one of the following applies:
(a)
the identity of the beneficiary has been verified in accordance with Article 13 of Directive (EU) 2015/849 and the information obtained pursuant to that verification has been retained in accordance with Article 40 of that Directive;
(b)
Article 14(5) of Directive (EU) 2015/849 applies to the beneficiary.
Article 17
Transfers of crypto-assets with missing or incomplete information on the originator or the beneficiary
1.   The crypto-asset service provider of the beneficiary shall implement effective risk-based procedures, including procedures based on the risk-sensitive basis referred to in Article 13 of Directive (EU) 2015/849, for determining whether to execute, reject, return or suspend a transfer of crypto-assets lacking the required complete information on the originator and the beneficiary and for taking the appropriate follow-up action.
Where the crypto-asset service provider of the beneficiary becomes aware that the information referred to in Article 14(1) or (2), or in Article 15, is missing or incomplete, that crypto-asset service provider shall, on a risk-sensitive basis and without undue delay:
(a)
reject the transfer or return the transferred crypto-assets to the originator’s crypto-asset account; or
(b)
request the required information on the originator and the beneficiary before making the crypto-assets available to the beneficiary.
2.   Where a crypto-asset service provider repeatedly fails to provide the required information on the originator or the beneficiary, the crypto-asset service provider of the beneficiary shall:
(a)
take steps, which may initially include the issuing of warnings and setting of deadlines, before proceeding to a rejection, restriction or termination in accordance with point (b) if the required information is still not provided; or
(b)
directly reject any future transfers of crypto-assets to or from, or restrict or terminate its business relationship with, that crypto-asset service provider.
The crypto-asset service provider of the beneficiary shall report that failure, and the steps taken, to the competent authority responsible for monitoring compliance with anti-money laundering and counter-terrorist financing provisions.
Article 18
Assessment and reporting
The crypto-asset service provider of the beneficiary shall take into account missing or incomplete information on the originator or the beneficiary as a factor when assessing whether a transfer of crypto-assets, or any related transaction, is suspicious and whether it is to be reported to the FIU in accordance with Directive (EU) 2015/849.
Section 3
Obligations on intermediary crypto-asset service providers
Article 19
Retention of information on the originator and the beneficiary accompanying the transfer
Intermediary crypto-asset service providers shall ensure that all the information received on the originator and the beneficiary that accompanies a transfer of crypto-assets is transmitted with the transfer and that records of such information are retained and made available on request to the competent authorities.
Article 20
Detection of missing information on the originator or the beneficiary
The intermediary crypto-asset service provider shall implement effective procedures, including, where appropriate, monitoring after or during the transfers, in order to detect whether the information on the originator or the beneficiary referred to in Article 14(1), points (a), (b) and (c), and Article 14(2), points (a), (b) and (c), has been submitted previously, simultaneously or concurrently with the transfer or batch file transfer of crypto-assets, including where the transfer is made to or from a self-hosted address.
Article 21
Transfers of crypto-assets with missing information on the originator or the beneficiary
1.   The intermediary crypto-asset service provider shall establish effective risk-based procedures, including procedures based on the risk-sensitive basis referred to in Article 13 of Directive (EU) 2015/849, for determining whether to execute, reject, return or suspend a transfer of crypto-assets lacking the required information on the originator and the beneficiary and for taking the appropriate follow up action.
Where the intermediary crypto-asset service provider becomes aware, when receiving a transfer of crypto-assets, that the information referred to in Article 14(1), points (a), (b) and (c), and Article 14(2), points (a), (b) and (c), or Article 15(1), is missing or incomplete, that intermediary crypto-asset service provider shall, on a risk-sensitive basis and without undue delay:
(a)
reject the transfer or return the transferred crypto-assets; or
(b)
request the required information on the originator and the beneficiary before making the transmission of the transfer of crypto-assets.
2.   Where the crypto-asset service provider repeatedly fails to provide the required information on the originator or the beneficiary, the intermediary crypto-asset service provider shall:
(a)
take steps, which may initially include the issuing of warnings and setting of deadlines, before proceeding to a rejection, restriction or termination in accordance with point (b) if the required information is still not provided; or
(b)
directly reject any future transfers of crypto-assets to or from, or restrict or terminate its business relationship with, that crypto-asset service provider.
The intermediary crypto-asset service provider shall report that failure, and the steps taken, to the competent authority responsible for monitoring compliance with anti-money laundering and counter-terrorist financing provisions.
Article 22
Assessment and reporting
The intermediary crypto-asset service provider shall take into account missing information on the originator or the beneficiary as a factor when assessing whether a transfer of crypto-assets, or any related transaction, is suspicious, and whether it is to be reported to the FIU in accordance with Directive (EU) 2015/849.
CHAPTER IV
Common measures applicable by payment service providers and crypto-asset service providers
Article 23
Internal policies, procedures and controls to ensure implementation of restrictive measures
Payment service providers and crypto-asset service providers shall have in place internal policies, procedures and controls to ensure the implementation of Union and national restrictive measures when performing transfers of funds and crypto-assets under this Regulation.
The European Banking Authority (EBA) shall issue guidelines by 30 December 2024 specifying the measures referred to in this Article.
CHAPTER V
Information, data protection and record-retention
Article 24
Provision of information
Payment service providers and crypto-asset service providers shall respond fully and without delay, including by means of a central contact point in accordance with Article 45(9) of Directive (EU) 2015/849, where such a contact point has been appointed, and in accordance with the procedural requirements laid down in the national law of the Member State in which they are established or have their registered office, as applicable, to enquiries exclusively from the authorities responsible for preventing and combating money laundering or terrorist financing of that Member State concerning the information required under this Regulation.
Article 25
Data protection
1.   The processing of personal data under this Regulation is subject to Regulation (EU) 2016/679. Personal data that is processed pursuant to this Regulation by the Commission or EBA is subject to Regulation (EU) 2018/1725.
2.   Personal data shall be processed by payment service providers and crypto-asset service providers on the basis of this Regulation only for the purposes of the prevention of money laundering and terrorist financing and shall not be further processed in a way that is incompatible with those purposes. The processing of personal data on the basis of this Regulation for commercial purposes shall be prohibited.
3.   Payment service providers and crypto-asset service providers shall provide new clients with the information required pursuant to Article 13 of Regulation (EU) 2016/679 before establishing a business relationship or carrying out an occasional transaction. That information shall be provided in a concise, transparent, intelligible and easily accessible form in accordance with Article 12 of Regulation (EU) 2016/679 and shall, in particular, include a general notice concerning the legal obligations of payment service providers and crypto-asset service providers under this Regulation when processing personal data for the purposes of the prevention of money laundering and terrorist financing.
4.   Payment service providers and crypto-asset service providers shall ensure at all times that the transmission of any personal data on the parties involved in a transfer of funds or a transfer of crypto-assets is conducted in accordance with Regulation (EU) 2016/679.
The European Data Protection Board shall, after consulting EBA, issue guidelines on the practical implementation of data protection requirements for transfers of personal data to third countries in the context of transfers of crypto-assets. EBA shall issue guidelines on suitable procedures for determining whether to execute, reject, return or suspend a transfer of crypto-assets in situations where compliance with data protection requirements for the transfer of personal data to third countries cannot be ensured.
Article 26
Record retention
1.   Information on the payer and the payee or on the originator and beneficiary shall not be retained for longer than strictly necessary. Payment service providers of the payer and of the payee shall retain records of the information referred to in Articles 4 to 7, and crypto-asset service providers of the originator and beneficiary shall retain records of the information referred to in Articles 14 to 16, for a period of five years.
2.   Upon expiry of the retention period referred to in paragraph 1, payment service providers and crypto-asset service providers shall ensure that the personal data is deleted, unless otherwise provided for by national law which determines under which circumstances payment service providers and crypto-asset service providers may or shall further retain such data. Member States may allow or require further retention only after they have carried out a thorough assessment of the necessity and proportionality of such further retention, and where they consider it to be justified as necessary for the prevention, detection or investigation of money laundering or terrorist financing. That further retention period shall not exceed five years.
3.   Where, on 25 June 2015, legal proceedings concerned with the prevention, detection, investigation or prosecution of suspected money laundering or terrorist financing are pending in a Member State, and a payment service provider holds information or documents relating to those pending proceedings, the payment service provider may retain that information or those documents in accordance with national law for a period of five years from 25 June 2015. Member States may, without prejudice to national criminal law on evidence applicable to ongoing criminal investigations and legal proceedings, allow or require the retention of such information or documents for a further period of five years where the necessity and proportionality of such further retention has been established for the prevention, detection, investigation or prosecution of suspected money laundering or terrorist financing.
Article 27
Cooperation among competent authorities
The exchange of information among competent authorities and with relevant third-country authorities under this Regulation shall be subject to Directive (EU) 2015/849.
CHAPTER VI
Sanctions and monitoring
Article 28
Administrative sanctions and measures
1.   Without prejudice to the right to provide for and impose criminal sanctions, Member States shall lay down the rules on administrative sanctions and measures applicable to breaches of the provisions of this Regulation and shall take all measures necessary to ensure that they are implemented. The sanctions and measures provided for shall be effective, proportionate and dissuasive and shall be consistent with those laid down in accordance with Chapter VI, Section 4, of Directive (EU) 2015/849.
Member States may decide not to lay down rules on administrative sanctions or measures for breach of the provisions of this Regulation which are subject to criminal sanctions in their national law. In that case, Member States shall communicate to the Commission the relevant criminal law provisions.
2.   Member States shall ensure that, where obligations apply to payment service providers and crypto-asset service providers, in the event of a breach of provisions of this Regulation sanctions or measures can, subject to national law, be applied to the members of the management body of the relevant service provider and to any other natural person who, under national law, is responsible for the breach.
3.   Member States shall notify the rules referred to in paragraph 1 to the Commission and to the permanent internal committee on anti-money-laundering and countering terrorist financing referred to in Article 9a(7) of Regulation (EU) No 1093/2010. Member States shall notify the Commission and that permanent internal committee without undue delay of any subsequent amendments thereto.
4.   In accordance with Article 58(4) of Directive (EU) 2015/849, competent authorities shall have all the supervisory and investigatory powers that are necessary for the exercise of their functions. In the exercise of their powers to impose administrative sanctions and measures, competent authorities shall cooperate closely to ensure that those administrative sanctions or measures produce the desired results and to coordinate their action when dealing with cross-border cases.
5.   Member States shall ensure that legal persons can be held liable for the breaches referred to in Article 29 committed for their benefit by any person acting individually or as part of an organ of that legal person, and having a leading position within the legal person based on any of the following:
(a)
power to represent the legal person;
(b)
authority to take decisions on behalf of the legal person;
(c)
authority to exercise control within the legal person.
6.   Member States shall also ensure that legal persons can be held liable where the lack of supervision or control by a person referred to in paragraph 5 of this Article has made it possible to commit one of the breaches referred to in Article 29 for the benefit of that legal person by a person under its authority.
7.   Competent authorities shall exercise their powers to impose administrative sanctions and measures in accordance with this Regulation in any of the following ways:
(a)
directly;
(b)
in collaboration with other authorities;
(c)
under their responsibility by delegation to such other authorities;
(d)
by application to the competent judicial authorities.
In the exercise of their powers to impose administrative sanctions and measures, competent authorities shall cooperate closely in order to ensure that those administrative sanctions or measures produce the desired results and to coordinate their action when dealing with cross-border cases.
Article 29
Specific provisions
Member States shall ensure that their administrative sanctions and measures include at least those laid down in Article 59(2) and (3) of Directive (EU) 2015/849 in the event of the following breaches of this Regulation:
(a)
repeated or systematic failure by a payment service provider to accompany the transfer of funds with the required information on the payer or the payee, in breach of Article 4, 5 or 6, or by a crypto-asset service provider to accompany the transfer of crypto-assets with the required information on the originator and beneficiary, in breach of Article 14 or 15;
(b)
repeated, systematic or serious failure by a payment service provider or crypto-asset service provider to retain records, in breach of Article 26;
(c)
failure by a payment service provider to implement effective risk-based procedures, in breach of Article 8 or 12, or by a crypto-asset service provider to implement effective risk-based procedures, in breach of Article 17;
(d)
serious failure by an intermediary payment service provider to comply with Article 11 or 12 or by an intermediary crypto-asset service provider to comply with Article 19, 20 or 21.
Article 30
Publication of sanctions and measures
In accordance with Article 60(1), (2) and (3) of Directive (EU) 2015/849, the competent authorities shall publish administrative sanctions and measures imposed in the cases referred to in Articles 28 and 29 of this Regulation without undue delay, including information on the type and nature of the breach and the identity of the persons responsible for it, if necessary and proportionate after a case-by-case evaluation.
Article 31
Application of sanctions and measures by competent authorities
1.   When determining the type of administrative sanctions or measures and the level of administrative pecuniary sanctions, the competent authorities shall take into account all relevant circumstances, including those listed in Article 60(4) of Directive (EU) 2015/849.
2.   As regards administrative sanctions and measures imposed in accordance with this Regulation, Article 62 of Directive (EU) 2015/849 shall apply.
Article 32
Reporting of breaches
1.   Member States shall establish effective mechanisms to encourage the reporting to competent authorities of breaches of this Regulation.
Those mechanisms shall include at least those referred to in Article 61(2) of Directive (EU) 2015/849.
2.   Payment service providers and crypto-asset service providers, in cooperation with the competent authorities, shall establish appropriate internal procedures for their employees, or persons in a comparable position, to report breaches internally through a secure, independent, specific and anonymous channel, proportionate to the nature and size of the payment service provider or the crypto-asset service provider concerned.
Article 33
Monitoring
1.   Member States shall require competent authorities to monitor effectively and to take the measures necessary to ensure compliance with this Regulation and encourage, through effective mechanisms, the reporting of breaches of the provisions of this Regulation to competent authorities.
2.   By 31 December 2026, and every three years thereafter, the Commission shall submit a report to the European Parliament and to the Council on the application of Chapter VI, with particular regard to cross-border cases.
CHAPTER VII
Implementing powers
Article 34
Committee procedure
1.   The Commission shall be assisted by the Committee on the Prevention of Money Laundering and Terrorist Financing. That Committee shall be a committee within the meaning of Regulation (EU) No 182/2011.
2.   Where reference is made to this paragraph, Article 5 of Regulation (EU) No 182/2011 shall apply.
CHAPTER VIII
Derogations
Article 35
Agreements with countries and territories which do not form part of the territory of the Union
1.   The Commission may authorise any Member State to conclude an agreement with a third country or with a territory outside the territorial scope of the Treaty on European Union and the Treaty on the Functioning of the European Union (TFEU) as referred to in Article 355 TFEU (the ‘country or territory concerned’), which contains derogations from this Regulation, in order to allow transfers of funds between that country or territory and the Member State concerned to be treated as transfers of funds within that Member State.
Such agreements may be authorised only where all of the following conditions are met:
(a)
the country or territory concerned shares a monetary union with the Member State concerned, forms part of the currency area of that Member State or has signed a monetary convention with the Union represented by a Member State;
(b)
payment service providers in the country or territory concerned participate directly or indirectly in payment and settlement systems in that Member State;
(c)
the country or territory concerned requires payment service providers under its jurisdiction to apply the same rules as those established under this Regulation.
2.   A Member State wishing to conclude an agreement as referred to in paragraph 1 shall submit a request to the Commission and provide it with all the information necessary for the appraisal of the request.
3.   Upon receipt by the Commission of such a request, transfers of funds between that Member State and the country or territory concerned shall be provisionally treated as transfers of funds within that Member State until a decision is reached in accordance with this Article.
4.   If, within two months of receipt of the request, the Commission considers that it does not have all the information necessary for the appraisal of the request, it shall contact the Member State concerned and specify the additional information required.
5.   Within one month of receipt of all the information that it considers to be necessary for the appraisal of the request, the Commission shall notify the requesting Member State accordingly and shall transmit copies of the request to the other Member States.
6.   Within three months of the notification referred to in paragraph 5 of this Article, the Commission shall decide by means of an implementing act in accordance with Article 34(2) whether to authorise the Member State concerned to conclude the agreement that is the subject of the request.
The Commission shall, in any event, adopt a decision as referred to in the first subparagraph of this paragraph within 18 months of receipt of the request.
CHAPTER IX
Other provisions
Article 36
Guidelines
EBA shall issue guidelines addressed to the competent authorities and the payment service providers in accordance with Article 16 of Regulation (EU) No 1093/2010 on measures to be taken in accordance with this Regulation, in particular as regards the implementation of Articles 7, 8, 11 and 12 of this Regulation. By 30 June 2024, EBA shall issue guidelines addressed to the competent authorities and to the crypto-asset service providers on measures to be taken as regards the implementation of Articles 14 to 17 and Articles 19 to 22 of this Regulation.
EBA shall issue guidelines specifying technical aspects of the application of this Regulation to direct debits as well as the measures to be taken by payment initiation service providers, as defined in Article 4, point (18), of Directive (EU) 2015/2366, under this Regulation, taking into account their limited role in payment transactions.
EBA shall issue guidelines, addressed to competent authorities, on the characteristics of a risk-based approach to supervision of crypto-asset service providers and the steps to be taken when conducting such supervision.
EBA shall ensure a regular dialogue with stakeholders on the development of technical interoperable solutions with the view of facilitating the implementation of the requirements laid down in this Regulation.
Article 37
Review
1.   By 12 months after the entry into force of a Regulation on the prevention of the use of the financial system for the purposes of money laundering or terrorist financing, the Commission shall review this Regulation and shall, if appropriate, propose amendments in order to ensure a consistent approach and alignment with the Regulation on the prevention of the use of the financial system for the purposes of money laundering or terrorist financing.
2.   By 1 July 2026, the Commission, after consulting EBA, shall issue a report assessing the risks posed by transfers to or from self-hosted addresses or entities not established in the Union, as well as the need for specific measures to mitigate those risks, and propose, if appropriate, amendments to this Regulation.
3.   By 30 June 2027, the Commission shall submit to the European Parliament and to the Council a report on the application and enforcement of this Regulation accompanied, if appropriate, by a legislative proposal.
The report referred to in the first subparagraph shall include the following elements:
(a)
an assessment of the effectiveness of the measures provided for in this Regulation and of compliance with this Regulation by payment service providers and crypto-asset service providers;
(b)
an assessment of the technological solutions for complying with the obligations imposed on crypto-asset service providers under this Regulation, including of the latest development of technologically sound and interoperable solutions for complying with this Regulation and of the use of DLT analytic tools for identifying the origin and destination of transfers of crypto-assets and for performing a ‘know your transaction’ (KYT) assessment;
(c)
an assessment of the effectiveness and suitability of the 
de minimis
 thresholds related to transfers of funds, in particular with respect to the scope of application and the set of information accompanying transfers, and an assessment of the need to lower or remove such thresholds;
(d)
assessment of the costs and benefits of introducing 
de minimis
 thresholds related to the set of information accompanying transfers of crypto-assets, including an assessment of the related money laundering and terrorist financing risks;
(e)
an analysis of the trends in the use of self-hosted addresses to perform transfers without the involvement of a third party, together with an assessment of the related money laundering and terrorist financing risks and an evaluation of the need, effectiveness and enforceability of additional mitigation measures, such as specific obligations on providers of hardware and software wallets and limitation, control or prohibition of transfers involving self-hosted addresses.
That report shall take into account new developments in the field of anti-money laundering and counter-terrorist financing, as well as relevant evaluations, assessments and reports in that field drawn up by international organisations and standard setters, law enforcement authorities and intelligence agencies, crypto-asset service providers or other reliable sources.
CHAPTER X
Final provisions
Article 38
Amendments to Directive (EU) 2015/849
Directive (EU) 2015/849 is amended as follows:
(1)
in Article 2(1), point (3), points (g) and (h) are deleted;
(2)
Article 3 is amended as follows:
(a)
in point (2), the following point is added:
‘(g)
crypto-asset service providers;’;
(b)
point (8) is replaced by the following:
‘(8)
‘correspondent relationship’ means:
(a)
the provision of banking services by one bank as the correspondent to another bank as the respondent, including providing a current or other liability account and related services, such as cash management, international funds transfers, cheque clearing, payable-through accounts and foreign exchange services;
(b)
the relationships between and among credit institutions and financial institutions, including where similar services are provided by a correspondent institution to a respondent institution, and including relationships established for securities transactions or funds transfers or relationships established for transactions in crypto-assets or transfers of crypto-assets;’;
(c)
points 18 and 19 are replaced by the following:
‘(18)
“crypto-asset” means a crypto-asset as defined in Article 3(1), point (5), of Regulation (EU) 2023/1114 of the European Parliament and of the Council
 (
*1
)
, except where falling within the categories listed in Article 2(2), (3) and (4) of that Regulation or otherwise qualifying as funds;
(19)
“crypto-asset service provider” means a crypto-asset service provider as defined in Article 3(1), point (15), of Regulation (EU) 2023/1114, where performing one or more crypto-asset services as defined in Article 3(1), point (16), of that Regulation, with the exception of providing advice on crypto-assets as referred to in Article 3(1), point (16)(h), of that Regulation;
(
*1
)
  Regulation (EU) 2023/1114 of the European Parliament and of the Council of 31 May 2023 on markets in crypto-assets, and amending Regulations (EU) No 1093/2010 and (EU) No 1095/2010 and Directives 2013/36/EU and (EU) 2019/1937 (
OJ L 150, 9.6.2023, p. 40
).’;"
(d)
the following point is added:
‘(20)
“self-hosted address” means a self-hosted address as defined in Article 3, point (20), of Regulation (EU) 2023/1113 of the European Parliament and of the Council
 (
*2
)
.
(
*2
)
  Regulation (EU) 2023/1113 of the European Parliament and of the Council of 31 May 2023 on information accompanying transfers of funds and certain crypto-assets and amending Directive (EU) 2015/849 (
OJ L 150, 9.6.2023, p. 1
).’;"
(3)
in Article 18, the following paragraphs are added:
‘5.   By 30 December 2024, EBA shall issue guidelines on risk variables and risk factors to be taken into account by crypto-asset service providers when entering into business relationships or carrying out transactions in crypto-assets.
6.   EBA shall clarify, in particular, how the risk factors listed in Annex III shall be taken into account by crypto-asset service providers including when carrying out transactions with persons and entities which are not covered by this Directive. To that end, EBA shall pay particular attention to products, transactions and technologies that have the potential to facilitate anonymity, such as privacy wallets, mixers or tumblers.
Where situations of higher risk are identified, the guidelines referred to in paragraph 5 shall include enhanced due diligence measures that obliged entities shall consider applying to mitigate such risks, including the adoption of appropriate procedures to detect the origin or destination of crypto-assets.’
;
(4)
the following articles are inserted:
‘Article 19a
1.   Member States shall require crypto-asset service providers to identify and assess the risk of money laundering and terrorist financing associated with transfers of crypto-assets directed to or originating from a self-hosted address. To that end, crypto-asset service providers shall have in place internal policies, procedures and controls. Member States shall require crypto-asset service providers to apply mitigating measures commensurate with the risks identified. Those mitigating measures shall include one or more of the following:
(a)
taking risk-based measures to identify, and verify the identity of, the originator or beneficiary of a transfer made to or from a self-hosted address or the beneficial owner of such originator or beneficiary, including through reliance on third parties;
(b)
requiring additional information on the origin and destination of the transferred crypto-assets;
(c)
conducting enhanced ongoing monitoring of those transactions;
(d)
any other measure to mitigate and manage the risks of money laundering and terrorist financing as well as the risk of non-implementation and evasion of targeted financial sanctions and proliferation financing-related targeted financial sanctions.
2.   By 30 December 2024, EBA shall issue guidelines to specify the measures referred to in this Article, including the criteria and means for identification and verification of the identity of the originator or beneficiary of a transfer made to or from a self-hosted address, in particular through reliance on third parties, taking into account the latest technological developments.
Article 19b
1.   By way of derogation from Article 19, with respect to cross-border correspondent relationships involving the execution of crypto-asset services as defined in Article 3(1), point (16), of Regulation (EU) 2023/1114, with the exception of point (h) of that point, with a respondent entity not established in the Union and providing similar services, including transfers of crypto-assets, Member States shall, in addition to the customer due diligence measures laid down in Article 13 of this Directive, require crypto-asset service providers, when entering into a business relationship with such an entity, to:
(a)
determine if the respondent entity is licensed or registered;
(b)
gather sufficient information about the respondent entity to understand fully the nature of the respondent’s business and to determine from publicly available information the reputation of the entity and the quality of supervision;
(c)
assess the respondent entity’s AML/CFT controls;
(d)
obtain approval from senior management before establishing new correspondent relationships;
(e)
document the respective responsibilities of each party to the correspondent relationship;
(f)
with respect to payable-through crypto-asset accounts, be satisfied that the respondent entity has verified the identity of, and performed ongoing due diligence on, the customers having direct access to accounts of the correspondent entity, and that it is able to provide relevant customer due diligence data to the correspondent entity, upon request.
Where crypto-asset service providers decide to terminate correspondent relationships for reasons relating to anti-money laundering and counter-terrorist financing policy, they shall document and record their decision.
Crypto-asset service providers shall update the due diligence information for the correspondent relationship on a regular basis or when new risks emerge in relation to the respondent entity.
2.   Member States shall ensure crypto-asset service providers take into account the information referred to in paragraph 1 in order to determine, on a risk-sensitive basis, the appropriate measures to be taken to mitigate the risks associated with the respondent entity.
3.   By 30 June 2024, EBA shall issue guidelines to specify the criteria and elements that crypto-asset service providers shall take into account when conducting the assessment referred to in paragraph 1 and the risk mitigating measures referred to in paragraph 2, including the minimum action to be taken by crypto-asset service providers where the respondent entity is not registered or licensed.’
;
(5)
the following article is inserted:
‘Article 24a
By 1 January 2024, EBA shall issue guidelines specifying how the enhanced customer due diligence measures in this Section apply when obliged entities perform crypto-asset services as defined in Article 3(1), point (16), of Regulation (EU) 2023/1114, with the exception of point (h) of that point, as well as transfers of crypto-assets as defined in Article 3, point (10), of Regulation (EU) 2023/1113. In particular, EBA shall specify how and when those obliged entities shall obtain additional information on the originator and beneficiary.’
;
(6)
in Article 45, paragraph 9 is replaced by the following:
‘9.   Member States may require electronic money issuers as defined in Article 2, point (3), of Directive 2009/110/EC, payment service providers as defined in Article 4, point (11), of Directive (EU) 2015/2366 and crypto-asset service providers established on their territory in forms other than a branch, and whose head office is situated in another Member State, to appoint a central contact point in their territory. That central contact point shall ensure, on behalf of the entity operating on a cross-border basis, compliance with AML/CFT rules and shall facilitate supervision by supervisors, including by providing supervisors with documents and information on request.’
;
(7)
in Article 47, paragraph 1 is replaced by the following:
‘1.   Member States shall ensure that currency exchange and cheque-cashing offices and trust or company service providers are licensed or registered, and that providers of gambling services are regulated.’
;
(8)
in Article 67, the following paragraph is added:
‘3.   Member States shall adopt and publish, by 30 December 2024, the laws, regulations and administrative provisions necessary to comply with Article 2(1), point 3, Article 3, point (2)(g), Article 3, points (8), (18), (19) and (20), Article 19a(1), Article 19b(1) and (2), Article 45(9) and Article 47(1). They shall immediately communicate the text of those measures to the Commission.
They shall apply those measures from 30 December 2024.’.
Article 39
Repeal
Regulation (EU) 2015/847 is repealed with effect from the date of application of this Regulation.
References to the repealed Regulation shall be construed as references to this Regulation and shall be read in accordance with the correlation table in Annex II.
Article 40
Entry into force
This Regulation shall enter into force on the twentieth day following that of its publication in the 
Official Journal of the European Union
.
It shall apply from 30 December 2024.
This Regulation shall be binding in its entirety and directly applicable in all Member States.
Done at Brussels, 31 May 2023.
For the European Parliament
The President
R. METSOLA
For the Council
The President
P. KULLGREN
(
1
)
  
            
OJ C 68, 9.2.2022, p. 2
.
(
2
)
  
            
OJ C 152, 6.4.2022, p. 89
.
(
3
)
  Position of the European Parliament of 20 April 2023 (not yet published in the Official Journal) and decision of the Council of 16 May 2023.
(
4
)
  Regulation (EU) 2015/847 of the European Parliament and of the Council of 20 May 2015 on information accompanying transfers of funds and repealing Regulation (EC) No 1781/2006 (
OJ L 141, 5.6.2015, p. 1
).
(
5
)
  See Annex I.
(
6
)
  Directive 2009/110/EC of the European Parliament and of the Council of 16 September 2009 on the taking up, pursuit and prudential supervision of the business of electronic money institutions amending Directives 2005/60/EC and 2006/48/EC and repealing Directive 2000/46/EC (
OJ L 267, 10.10.2009, p. 7
).
(
7
)
  Directive (EU) 2015/849 of the European Parliament and of the Council of 20 May 2015 on the prevention of the use of the financial system for the purposes of money laundering or terrorist financing, amending Regulation (EU) No 648/2012 of the European Parliament and of the Council, and repealing Directive 2005/60/EC of the European Parliament and of the Council and Commission Directive 2006/70/EC (
OJ L 141, 5.6.2015, p. 73
).
(
8
)
  Directive (EU) 2018/843 of the European Parliament and of the Council of 30 May 2018 amending Directive (EU) 2015/849 on the prevention of the use of the financial system for the purposes of money laundering or terrorist financing, and amending Directives 2009/138/EC and 2013/36/EU (
OJ L 156, 19.6.2018, p. 43
).
(
9
)
  Regulation (EU) 2023/1114 of the European Parliament and of the Council of 31 May 2023 on markets in crypto-assets, and amending Regulations (EU) No 1093/2010 and (EU) No 1095/2010 and Directives 2013/36/EU and (EU) 2019/1937 (
OJ L 150, 9.6.2023, p. 40
).
(
10
)
  Council Regulation (EC) No 2580/2001 of 27 December 2001 on specific restrictive measures directed against certain persons and entities with a view to combating terrorism (
OJ L 344, 28.12.2001, p. 70
).
(
11
)
  Council Regulation (EC) No 881/2002 of 27 May 2002 imposing certain specific restrictive measures directed against certain persons and entities associated with the ISIL (Da’esh) and Al-Qaida organisations (
OJ L 139, 29.5.2002, p. 9
).
(
12
)
  Council Regulation (EU) No 356/2010 of 26 April 2010 imposing certain specific restrictive measures directed against certain natural or legal persons, entities or bodies, in view of the situation in Somalia (
OJ L 105, 27.4.2010, p. 1
).
(
13
)
  Regulation (EU) No 1093/2010 of the European Parliament and of the Council of 24 November 2010 establishing a European Supervisory Authority (European Banking Authority), amending Decision No 716/2009/EC and repealing Commission Decision 2009/78/EC (
OJ L 331, 15.12.2010, p. 12
).
(
14
)
  Council Regulation (EU) No 267/2012 of 23 March 2012 concerning restrictive measures against Iran and repealing Regulation (EU) No 961/2010 (
OJ L 88, 24.3.2012, p. 1
).
(
15
)
  Council Regulation (EU) 2016/1686 of 20 September 2016 imposing additional restrictive measures directed against ISIL (Da’esh) and Al-Qaeda and natural and legal persons, entities or bodies associated with them (
OJ L 255, 21.9.2016, p. 1
).
(
16
)
  Council Regulation (EU) 2017/1509 of 30 August 2017 concerning restrictive measures against the Democratic People’s Republic of Korea and repealing Regulation (EC) No 329/2007 (
OJ L 224, 31.8.2017, p. 1
).
(
17
)
  Regulation (EU) 2016/679 of the European Parliament and of the Council of 27 April 2016 on the protection of natural persons with regard to the processing of personal data and on the free movement of such data, and repealing Directive 95/46/EC (General Data Protection Regulation) (
OJ L 119, 4.5.2016, p. 1
).
(
18
)
  Directive (EU) 2015/2366 of the European Parliament and of the Council of 25 November 2015 on payment services in the internal market, amending Directives 2002/65/EC, 2009/110/EC and 2013/36/EU and Regulation (EU) No 1093/2010, and repealing Directive 2007/64/EC (
OJ L 337, 23.12.2015, p. 35
).
(
19
)
  Regulation (EU) No 260/2012 of the European Parliament and of the Council of 14 March 2012 establishing technical and business requirements for credit transfers and direct debits in euro and amending Regulation (EC) No 924/2009 (
OJ L 94, 30.3.2012, p. 22
).
(
20
)
  Regulation (EU) 2021/1230 of the European Parliament and of the Council of 14 July 2021 on cross-border payments in the Union (
OJ L 274, 30.7.2021, p. 20
).
(
21
)
  Directive (EU) 2016/680 of the European Parliament and of the Council of 27 April 2016 on the protection of natural persons with regard to the processing of personal data by competent authorities for the purposes of the prevention, investigation, detection or prosecution of criminal offences or the execution of criminal penalties, and on the free movement of such data, and repealing Council Framework Decision 2008/977/JHA (
OJ L 119, 4.5.2016, p. 89
).
(
22
)
  Regulation (EU) No 182/2011 of the European Parliament and of the Council of 16 February 2011 laying down the rules and general principles concerning mechanisms for control by Member States of the Commission’s exercise of implementing powers (
OJ L 55, 28.2.2011, p. 13
).
(
23
)
  Regulation (EU) 2018/1725 of the European Parliament and of the Council of 23 October 2018 on the protection of natural persons with regard to the processing of personal data by the Union institutions, bodies, offices and agencies and on the free movement of such data, and repealing Regulation (EC) No 45/2001 and Decision No 1247/2002/EC (
OJ L 295, 21.11.2018, p. 39
).
(
24
)
  
            
OJ C 524, 29.12.2021, p. 10
.
ANNEX I
REPEALED REGULATION WITH THE AMENDMENT THERETO
Regulation (EU) 2015/847 of the European Parliament and of the Council
(
OJ L 141, 5.6.2015, p. 1
)
Regulation (EU) 2019/2175 of the European Parliament and of the Council
(
OJ L 334, 27.12.2019, p. 1
)
[Only Article 6]
ANNEX II
CORRELATION TABLE
Regulation (EU) 2015/847
This Regulation
Article 1
Article 1
Article 2(1), (2) and (3)
Article 2(1), (2) and (3)
Article 2(4), first and second subparagraphs
Article 2(4), first and second subparagraphs
—
Article 2(4), third and fourth subparagraphs
Article 2(5)
Article 2(5)
Article 3, introductory wording
Article 3, introductory wording
Article 3, points 1 to 9
Article 3, points 1 to 9
—
Article 3, point 10
Article 3, point 10
Article 3, point 11
Article 3, point 11
Article 3, point 12
Article 3, point 12
—
—
Article 3, points 13 to 24
Article 4(1), introductory wording
Article 4(1), introductory wording
Article 4(1), points (a), (b) and (c)
Article 4(1), points (a), (b) and (c)
—
Article 4(1), point (d)
Article 4(2), introductory wording
Article 4(2), introductory wording
Article 4(2), points (a) and (b)
Article 4(2), points (a) and (b)
—
Article 4(2), point (c)
Article 4(3) to (6)
Article 4(3) to (6)
Articles 5 to 13
Articles 5 to 13
—
Articles 14 to 23
Article 14
Article 24
Article 15(1), (2) and (3)
Article 25(1), (2) and (3)
Article 15(4), sole subparagraph
Article 25(4), first subparagraph
—
Article 25(4), second subparagraph
Article 16
Article 26
—
Article 27
Article 17
Article 28
Article 18
Article 29
Article 19
Article 30
Article 20
Article 31
Article 21
Article 32
Article 22
Article 33
Article 23
Article 34
Article 24(1) to (6)
Article 35(1) to (6)
Article 24(7)
—
Article 25, sole subparagraph
Article 36, first subparagraph
—
Article 36, second, third and fourth subparagraph
—
Article 37
—
Article 38
Article 26
Article 39
Article 27
Article 40
Annex
—
—
Annex I
—
Annex II

Summary:
Information accompanying transfers of funds and certain crypto assets
SUMMARY OF:
Regulation (EU) 2023/1113 on information accompanying transfers of funds and certain crypto assets
WHAT IS THE AIM OF THE REGULATION?
The 
regulation
 is a 
recast
 of Regulation (EU) 
2015/847
 on information accompanying transfers of funds. It extends the scope of Regulation (EU) 2015/847 in order to also cover transfers of crypto-assets
1
.
The regulation lays down rules on the information on payers and payees accompanying transfers of funds, in any currency, and on the information on originators and beneficiaries accompanying transfers of crypto assets, along with rules on internal policies, procedures and controls to ensure implementation of restrictive measures.
KEY POINTS
The regulation applies to transfers of funds (in any currency) and crypto assets sent or received by a payment service provider or intermediary registered in the EU.
It does not apply to:
transfers of funds or electronic money tokens using payment cards, electronic money instruments, mobile phones or other similar digital or IT prepaid or postpaid devices when: 
the transfer is to pay for goods or services,
the number of the card instrument or device accompanies all transfers flowing from the transaction;
certain transfers such as a payer withdrawing money from their own account or the payment of taxes or fines to a public authority;
transfers of crypto -assets when: 
both the sender and the beneficiary are acting on their own behalf,
the transfer is from person to person without the involvement of a crypto asset service provider.
A payer’s payment service provider:
must provide and verify information such as the name and account number of the payer and payee and the former’s address and official identity details when transferring funds;
may limit the information to the account details of the payer and payee and, if necessary, the unique transaction identifier, if all the payment service providers involved in the transfer are established in the EU;
must supply additional information within 3 working days if so requested by the payee’s service provider.
A payee’s service provider:
must check whether all the required information on the payer and the payee has been inputted correctly in the messaging or payment and settlement system and determine whether any data are missing;
decides whether to execute, reject or suspend a transfer if basic payer and payee information has not been provided and may request additional details;
warns a payment service provider if they repeatedly fail to supply the information requested before rejecting transfers from that source and informing the authority responsible for anti-money laundering and counterterrorist financing;
takes account of missing information when assessing whether a transfer is suspicious and should be reported to the 
financial intelligence unit
.
Intermediary payment service providers
 also have obligations when confronted with missing information. They have the additional responsibility of ensuring all payer and payee details remain with the transfer at all times.
An originator’s crypto asset service provider:
ensures that all transfers are accompanied by details of the originator and the beneficiary, such as their names, distributed ledger address and crypto asset account numbers;
checks the accuracy of the information it has received;
verifies whether a self-hosted address is owned or controlled by the originator for all transfers over €1,000.
A beneficiary’s crypto asset service provider:
checks that the information about the originator and beneficiary is included with, or follows, the transfer or batch file transfer of crypto assets;
ensures that the transfer of crypto assets from a self-hosted address can be individually identified;
assesses, for all transfers over €1,000 from a self-hosted address, whether the beneficiary owns or controls that address;
verifies the accuracy of the information about the beneficiary before handing over the crypto assets;
decides whether to execute, reject, return or suspend a transfer of crypto assets that lacks information and takes appropriate follow-up action;
may reject or return crypto assets or request further details if the information is missing or incomplete;
warns a crypto asset service provider if they repeatedly fail to supply the information requested before rejecting transfers from that source, restricting or terminating its business relationship, and informing the authority responsible for anti-money laundering and counterterrorist financing;
takes account of missing information when assessing whether a transfer is suspicious and should be reported to the financial intelligence unit.
Intermediary crypto asset service providers
 also have obligations when confronted with missing information. They have the additional responsibility of ensuring that all originator and beneficiary details are transmitted with the transfer and the information is kept and made available when requested.
Both payment and crypto asset service providers will:
have internal policies, procedures and controls in place to ensure EU and national rules are applied when transferring funds or crypto assets;
respond fully and without delay to enquiries from authorities responsible for preventing and combating money laundering and terrorist financing;
keep information on the payer/payee and originator/beneficiary for 5 years with the option of a further 5 years if an EU 
Member State
 so decides.
The 
European Banking Authority
 and 
European Data Protection Board
 issue guidelines on implementing the legislation.
Member States:
determine sanctions for breaches of the regulation;
publish when these are applied;
encourage reporting of law-breaking to the authorities charged with monitoring compliance.
The 
European Commission
:
will submit a report to the 
European Parliament
 and the 
Council of the European Union
 by 
31 December 2026
, and every 3 years thereafter, on sanctions and monitoring activities;
will assess the risks of transfers to or from non-EU self-hosted addresses by 
1 July 2026
;
will report to the Parliament and the Council by 
30 June 2027
 on the regulation’s application and enforcement;
can authorise a Member State, under specific conditions, to treat transfers with a non-EU country as if they were a domestic operation.
The regulation:
amends Directive (EU) 
2015/849
 (see 
summary
);
repeals Regulation (EU) 
2015/847
 (see 
summary
).
FROM WHEN DOES THE REGULATION APPLY?
It applies from 
30 December 2024
.
BACKGROUND
The regulation is part of a package of measures the Commission tabled in July 2021. It ensures traceability of crypto asset transfers to identify and block possible suspicious transactions. It implements standards on new technologies issued by the 
Financial Action Task Force
 to tackle money laundering and terrorist financing.
KEY TERMS
Crypto asset.
 A digital representation of a value or right that can be transferred and stored electronically using a distributed ledger or similar technology.
MAIN DOCUMENT
Regulation (EU) 
2023/1113
 of the European Parliament and of the Council of 
31 May 2023
 on information accompanying transfers of funds and certain crypto-assets and amending Directive (EU) 2015/849 (OJ L 150, 
9.6.2023
, 
pp. 1–39
).
RELATED DOCUMENTS
Regulation (EU) 
2023/1114
 of the European Parliament and of the Council of 
31 May 2023
 on markets in crypto-assets, and amending Regulations (EU) 
No 1093/2010
 and (EU) 
No 1095/2010
 and Directives 2013/36/EU and (EU) 2019/1937 (OJ L 150, 
9.6.2023
, 
pp. 40–205
).
Successive amendments to Regulation (EU) 2023/1114 have been incorporated into the original text. This 
consolidated version
 is of documentary value only.
Regulation (EU) 
2015/847
 of the European Parliament and of the Council of 
20 May 2015
 on information accompanying transfers of funds and repealing Regulation (EC) 
No 1781/2006
 (OJ L 141, 
5.6.2015
, 
pp. 1–18
).
See 
consolidated version
.
Directive (EU) 
2015/849
 of the European Parliament and of the Council of 
20 May 2015
 on the prevention of the use of the financial system for the purposes of money laundering or terrorist financing, amending Regulation (EU) 
No 648/2012
 of the European Parliament and of the Council, and repealing Directive 2005/60/EC of the European Parliament and of the Council and Commission Directive 2006/70/EC (OJ L 141, 
5.6.2015
, 
pp. 73–117
).
See 
consolidated version
.
last update 
24.4.2024

--- DANISH ---

Document:
9.6.2023
DA
Den Europæiske Unions Tidende
L 150/1
EUROPA-PARLAMENTETS OG RÅDETS FORORDNING (EU) 2023/1113
af 31. maj 2023
om oplysninger, der skal medsendes ved pengeoverførsler og ved overførsler af visse kryptoaktiver og om ændring af direktiv (EU) 2015/849
(omarbejdning)
(EØS-relevant tekst)
EUROPA-PARLAMENTET OG RÅDET FOR DEN EUROPÆISKE UNION HAR —
under henvisning til traktaten om Den Europæiske Unions funktionsmåde, særlig artikel 114,
under henvisning til forslag fra Europa-Kommissionen,
efter fremsendelse af udkast til lovgivningsmæssig retsakt til de nationale parlamenter,
under henvisning til udtalelse fra Den Europæiske Centralbank 
(
1
)
,
under henvisning til udtalelse fra Det Europæiske Økonomiske og Sociale Udvalg 
(
2
)
,
efter den almindelige lovgivningsprocedure 
(
3
)
, og
ud fra følgende betragtninger:
(1)
Europa-Parlamentets og Rådets forordning (EU) 2015/847 
(
4
)
 er blevet ændret væsentligt 
(
5
)
. Da der skal foretages yderligere ændringer, bør nævnte forordning af klarhedshensyn omarbejdes.
(2)
Forordning (EU) 2015/847 blev vedtaget for at sikre, at kravene fra Den Finansielle Aktionsgruppe (FATF) vedrørende formidlere af elektroniske overførsler, og navnlig forpligtelsen for betalingstjenesteudbydere til ved pengeoverførsler at medsende oplysninger om betaleren og betalingsmodtageren, anvendes konsekvent i hele Unionen. De seneste ændringer, som blev indført i juni 2019 i FATF-standarderne vedrørende nye teknologier, og som har til formål at regulere virtuelle aktiver og udbydere af tjenester for virtuelle aktiver, har medført nye og lignende forpligtelser for udbydere af tjenester for virtuelle aktiver med det formål at gøre det lettere at spore overførsler af virtuelle aktiver. Som følge af disse ændringer skal udbydere af tjenester for virtuelle aktiver ved overførsler af virtuelle aktiver medsende oplysninger om ordregiveren og ordremodtageren af disse overførsler. Det er et også krav, at udbydere af tjenester for virtuelle aktiver skal indhente, opbevare og dele disse oplysninger med deres modparter i den anden ende af overførslen af virtuelle aktiver og efter anmodning stille dem til rådighed for de kompetente myndigheder.
(3)
Idet forordning (EU) 2015/847 på nuværende tidspunkt kun finder anvendelse på pengeoverførsler, dvs. sedler og mønter, kontopenge og elektroniske penge som defineret i artikel 2, nr. 2), i Europa-Parlamentets og Rådets direktiv 2009/110/EF 
(
6
)
, bør anvendelsesområdet for forordning (EU) 2015/847 udvides til også at omfatte overførsler af virtuelle aktiver.
(4)
Strømme af sorte penge via pengeoverførsler og overførsler af virtuelle aktiver kan skade finanssektorens integritet, stabilitet og omdømme og true Unionens indre marked og den internationale udvikling. Hvidvask af penge, finansiering af terrorisme og organiseret kriminalitet er fortsat væsentlige problemer, som bør håndteres på EU-plan. Pengeoverførselssystemets soliditet, integritet og stabilitet og soliditeten, integriteten og stabiliteten af systemet til overførsler af virtuelle aktiver og tilliden til det finansielle system som helhed kan blive bragt alvorligt i fare ved kriminelles og medvirkende personers bestræbelser på enten at sløre oprindelsen af udbytte af kriminelle handlinger eller at overføre midler eller virtuelle aktiver til kriminelle aktiviteter eller terrorformål.
(5)
For at lette deres kriminelle aktiviteter vil de, der hvidvasker penge eller finansierer terrorisme, højst sandsynligt drage fordel af den frie bevægelighed for kapital, som det integrerede finansielle område inden for Unionen indebærer, medmindre der på EU-plan vedtages visse koordinerende foranstaltninger. Det internationale samarbejde inden for rammerne af FATF samt den globale gennemførelse af FATF's anbefalinger sigter mod at forhindre hvidvask af penge og finansiering af terrorisme i forbindelse med pengeoverførsler eller overførsler af virtuelle aktiver.
(6)
Grundet omfanget af de fornødne initiativer bør Unionen sikre, at de internationale standarder om forebyggelse af hvidvask af penge samt finansiering af terrorisme og masseødelæggelsesvåben, der blev vedtaget af FATF den 16. februar 2012 og derefter revideret den 21. juni 2019 (de »reviderede FATF-anbefalinger«), og særligt FATF's anbefaling 15 om nye teknologier, FATF's anbefaling 16 om elektroniske overførsler og de reviderede fortolkningsnoter om disse anbefalinger, anvendes ensartet i hele Unionen, og navnlig, at der ikke finder nogen forskelsbehandling eller uoverensstemmelser sted mellem nationale betalinger eller overførsler af virtuelle aktiver inden for en medlemsstat på den ene side og grænseoverskridende betalinger eller overførsler af virtuelle aktiver mellem medlemsstater på den anden side. Ukoordinerede tiltag fra de enkelte medlemsstaters side med hensyn til grænseoverskridende pengeoverførsler og overførsler af virtuelle aktiver vil, hvis de handler alene, kunne gribe ind i betalingssystemernes funktion og funktionen af tjenester for virtuelle aktiver på EU-plan og vil derfor kunne skade det indre marked for finansielle tjenesteydelser.
(7)
For at fremme en sammenhængende tilgang i international sammenhæng og øge effektiviteten af kampen mod hvidvask af penge og finansiering af terrorisme bør der i nye initiativer på EU-plan tages højde for udviklingen på internationalt niveau, navnlig de reviderede FATF-anbefalinger.
(8)
Deres globale rækkevidde, den hastighed, hvormed transaktioner kan gennemføres, og den mulige anonymitet, som overførslen af dem giver, gør virtuelle aktiver særligt udsatte for kriminelt misbrug, herunder i grænseoverskridende situationer. For effektivt at imødegå de risici, der er forbundet med misbrug af virtuelle aktiver til hvidvask af penge og finansiering af terrorisme, bør Unionen fremme anvendelse på globalt plan af de standarder, der gennemføres ved denne forordning, og udvikling af den internationale og tværjurisdiktionelle dimension af den regulerings- og tilsynsmæssige ramme for overførsler af virtuelle aktiver i relation til hvidvask af penge og finansiering af terrorisme.
(9)
Europa-Parlamentets og Rådets direktiv (EU) om ændring af direktiv (EU) 2015/849 
(
7
)
, som ændret ved Europa-Parlamentets og Rådets direktiv (EU) 2018/843 
(
8
)
, indførte en definition af virtuelle valutaer, og udbydere af valutaveksling mellem virtuelle valutaer og fiatvalutaer samt udbydere af virtuelle tegnebøger blev anerkendt som enheder, der er omfattet af krav vedrørende bekæmpelse af hvidvask af penge og finansiering af terrorisme i henhold til EU-retten. Den seneste internationale udvikling, navnlig inden for rammerne af FATF, indebærer nu et behov for at regulere yderligere kategorier af udbydere af tjenester for virtuelle aktiver, som endnu ikke er omfattet heraf, og at udvide den nuværende definition af virtuel valuta.
(10)
Definitionen af kryptoaktiver i Europa-Parlamentets og Rådets forordning (EU) 2023/1114 
(
9
)
 svarer til definitionen af virtuelle aktiver som fastsat i de reviderede FATF-anbefalinger, og listen over kryptoaktivtjenester og udbydere af kryptoaktivtjenester, som er omfattet af nævnte forordning, omfatter ligeledes de udbydere af tjenester for virtuelle aktiver, der er identificeret som sådanne af FAFT, og som anses for med sandsynlighed at give anledning til betænkeligheder med hensyn til hvidvask af penge og finansiering af terrorisme. For at sikre sammenhæng i EU-retten på dette område bør nærværende forordning anvende de samme definitioner af kryptoaktiver, kryptoaktivtjenester og udbydere af kryptoaktivtjenester som dem, der anvendes i forordning (EU) 2023/1114.
(11)
Gennemførelsen og håndhævelsen af denne forordning udgør relevante og effektive midler til at forebygge og bekæmpe hvidvask af penge og finansiering af terrorisme.
(12)
Hensigten med denne forordning er ikke at indføre unødvendige byrder og omkostninger for betalingstjenesteudbydere, udbydere af kryptoaktivtjenester eller personer, der gør brug af deres tjenester. I denne henseende bør den forebyggende tilgang være målrettet og stå i rimeligt forhold til målet og bør være i fuld overensstemmelse med den frie bevægelighed for kapital, som sikres i hele Unionen.
(13)
I Unionens reviderede strategi vedrørende terrorismefinansiering af 17. juli 2008 (»den reviderede strategi«) anføres det, at der fortsat udfoldes bestræbelser på at forhindre terrorismefinansiering og kontrollere mistænkte terroristers anvendelse af deres egne finansielle midler. Det anerkendes, at FATF løbende søger at forbedre sine anbefalinger og arbejder på en fælles forståelse af, hvordan de skal gennemføres. Det bemærkes i den reviderede strategi, at alle FATF-medlemmers og FATF-tilknyttede regionale organers gennemførelse af de reviderede FATF-anbefalinger vurderes regelmæssigt, og at en fælles tilgang til medlemsstaternes gennemførelse ud fra dette synspunkt derfor er vigtig.
(14)
Dertil kommer, at der i Kommissionens meddelelse af 7. maj 2020 om en handlingsplan for en samlet EU-politik for forebyggelse af hvidvask af penge og finansiering af terrorisme blev udpeget seks prioriterede områder, hvor der skal træffes hasteforanstaltninger, for at forbedre Unionens ordning for bekæmpelse af hvidvask af penge og finansiering af terrorisme, herunder indførelse af en sammenhængende EU-lovramme for nævnte ordning med henblik på at opnå mere udførlige og harmoniserede regler, navnlig for at tage højde for konsekvenserne af teknologisk innovation og udviklingen i nationale standarder og undgå divergerende gennemførelse af eksisterende regler. Arbejde på internationalt plan tyder på, at der er behov for at udvide omfanget af sektorer eller enheder, som er omfattet af denne ordning, og for at vurdere, hvordan den bør finde anvendelse på udbydere af kryptoaktivtjenester, som indtil videre ikke er omfattet heraf.
(15)
For at forebygge finansiering af terrorisme er der truffet foranstaltninger med det formål at indefryse visse personers, gruppers og enheders aktiver og økonomiske ressourcer, herunder Rådets forordning (EF) nr. 2580/2001 
(
10
)
, (EF) nr. 881/2002 
(
11
)
 og (EU) nr. 356/2010 
(
12
)
. Med dette formål for øje er der ligeledes truffet foranstaltninger med henblik på at beskytte det finansielle system mod, at aktiver og økonomiske ressourcer kanaliseres til terrorformål. Direktiv (EU) 2015/849 indeholder en række af foranstaltninger af denne art. Disse foranstaltninger kan imidlertid ikke helt forhindre terrorister eller andre kriminelle i at skaffe sig adgang til betalingssystemer, så de kan overføre deres midler.
(16)
Et særlig vigtigt og værdifuldt redskab i forbindelse med forebyggelse, afsløring og efterforskning af hvidvask af penge og finansiering af terrorisme og i forbindelse med gennemførelsen af restriktive foranstaltninger, særlig dem, der er indført ved forordning (EF) nr. 2580/2001, (EF) nr. 881/2002 og (EU) nr. 356/2010, kan være, at pengeoverførsler og overførsler af kryptoaktiver kan spores. For at sikre, at oplysninger videresendes gennem hele betalingskæden eller overførselskæden i forbindelse med kryptoaktiver, er det derfor hensigtsmæssigt at pålægge betalingstjenesteudbydere at sørge for, at der ved pengeoverførsler medsendes oplysninger om betaleren og betalingsmodtageren, og pålægge udbyderne af kryptoaktivtjenester at sørge for, at der i forbindelse med overførsler af kryptoaktiver, medsendes oplysninger om ordregiveren og ordremodtageren.
(17)
Visse overførsler af kryptoaktiver indebærer særlige højrisikofaktorer for hvidvask af penge, finansiering af terrorisme og andre kriminelle aktiviteter, navnlig overførsler i forbindelse med produkter, transaktioner eller teknologier, der har til formål at øge anonymiteten, herunder anonyme tegnebøger og mikser- og tumblertjenester. For at sikre sporbarheden af sådanne overførsler bør Den Europæiske Tilsynsmyndighed (Den Europæiske Banktilsynsmyndighed), der er oprettet ved Europa-Parlamentets og Rådets forordning (EU) nr. 1093/2010 
(
13
)
 (EBA), navnlig præcisere, hvordan udbydere af kryptoaktivtjenester skal tage højde for de risikofaktorer, der er opført i bilag III til direktiv (EU) 2015/849, herunder når de udfører transaktioner med ikke-EU-enheder, der ikke er reguleret, registreret eller godkendt i et tredjeland, eller med selvhostede adresser. Hvis der konstateres situationer med højere risiko, bør EBA udstede retningslinjer, der præciserer, hvilke skærpede kendskabsprocedurer de forpligtede enheder bør overveje at anvende for at begrænse sådanne risici, herunder vedtagelse af passende procedurer, såsom anvendelse af analyseværktøjer til distributed ledger-teknologi (DLT), til at fastslå kryptoaktivers oprindelse eller bestemmelsessted.
(18)
Denne forordning bør finde anvendelse uden at det berører nationale restriktive foranstaltninger og Unionens restriktive foranstaltninger, som er indført ved forordninger med hjemmel i artikel 215 i traktaten om Den Europæiske Unions funktionsmåde, f.eks. forordning (EF) nr. 2580/2001, (EF) nr. 881/2002 og (EU) nr. 356/2010 og Rådets forordning (EU) nr. 267/2012 
(
14
)
, (EU) 2016/1686 
(
15
)
 og (EU) 2017/1509 
(
16
)
, og som kan kræve, at betalernes og betalingsmodtagernes betalingstjenesteudbydere, ordregivernes og ordremodtagernes udbydere af kryptoaktivtjenester, mellembetalingsformidlerne samt mellemudbydere af kryptoaktivtjenester, træffer de nødvendige foranstaltninger for at indefryse visse pengemidler og kryptoaktiver, eller at de overholder specifikke restriktioner vedrørende visse pengeoverførsler eller overførsler af kryptoaktiver. Betalingstjenesteudbydere og udbydere af kryptoaktivtjenester bør have indført interne politikker, procedurer og kontroller for at sikre gennemførelsen af disse restriktive foranstaltninger, herunder screeningforanstaltninger i forhold til EU-lister og nationale lister over udpegede personer. EBA bør udstede retningslinjer, der præciserer disse interne politikker, procedurer og kontroller. Det er hensigten, at kravene i nærværende forordning om interne politikker, procedurer og kontroller vedrørende restriktive foranstaltninger vil blive ophævet i den nærmeste fremtid ved Europa-Parlamentets og Rådets forordning om forebyggende foranstaltninger mod anvendelse af det finansielle system til hvidvask af penge eller finansiering af terrorisme.
(19)
Behandling af personoplysninger i henhold til denne forordning bør finde sted i fuld overensstemmelse med Europa-Parlamentets og Rådets forordning (EU) 2016/679 
(
17
)
. Yderligere behandling af personoplysninger til kommercielle formål bør være strengt forbudt. Bekæmpelse af hvidvask af penge og finansiering af terrorisme er anerkendt som en vigtig samfundsinteresse af alle medlemsstater. Ved anvendelsen af nærværende forordning skal videregivelse af personoplysninger til et tredjeland ske i overensstemmelse med kapitel V i forordning (EU) 2016/679. Det er vigtigt, at betalingstjenesteudbydere og udbydere af kryptoaktivtjenester, som opererer i flere jurisdiktioner med filialer eller datterselskaber uden for Unionen, ikke forhindres i at overføre oplysninger om mistænkelige transaktioner inden for den samme organisation, forudsat at de anvender passende sikkerhedsforanstaltninger. Ordregiverens og ordremodtagerens udbydere af kryptoaktivtjenester, betalerens og betalingsmodtagerens betalingstjenesteudbydere og mellembetalingsformidlerne og mellemudbyderne af kryptoaktivtjenester bør desuden råde over de fornødne tekniske og organisatoriske foranstaltninger til at beskytte personoplysninger mod hændeligt tab, ændring eller uautoriseret videregivelse eller adgang.
(20)
Personer, som blot omarbejder papirdokumenter til elektroniske data på basis af en kontrakt med en betalingstjenesteudbyder, og personer, som blot forsyner betalingstjenesteudbydere med et meddelelsessystem eller andre støttesystemer til pengeoverførsler eller med clearing- og afviklingssystemer bør ikke henhøre under denne forordnings anvendelsesområde.
(21)
Personer, der kun leverer supplerende infrastruktur, f.eks. udbydere af internetnetværk og -infrastruktur, cloud-udbydere eller softwareudviklere, der gør det muligt for en anden enhed at levere tjenester til overførsel af kryptoaktiver, bør ikke være omfattet af denne forordnings anvendelsesområde, medmindre de foretager overførsler af kryptoaktiver.
(22)
Denne forordning bør ikke finde anvendelse på person-til-person-overførsler af kryptoaktiver, der foretages uden involvering af en udbyder af kryptoaktivtjenester, eller i tilfælde hvor både ordregiveren og ordremodtageren er udbydere af tjenester til overførsel af kryptoaktiver, der handler på egne vegne.
(23)
Pengeoverførsler, som svarer til tjenesteydelserne omhandlet i artikel 3, litra a)-m) og litra o), i Europa-Parlamentets og Rådets direktiv (EU) 2015/2366 
(
18
)
, henhører ikke under denne forordnings anvendelsesområde. Fra denne forordnings anvendelsesområde bør også undtages pengeoverførsler og elektroniske pengetokens, som defineret i artikel 3, stk. 1, nr. 7), i forordning (EU) 2023/1114, hvor der er en mindre risiko for hvidvask af penge eller finansiering af terrorisme. Sådanne undtagelser bør omfatte betalingskort, elektroniske pengeinstrumenter, mobiltelefoner eller andet digitalt udstyr eller IT-udstyr, der anvender teknologi med forud- eller efterbetaling og har tilsvarende karakteristika, når de eller det udelukkende anvendes til køb af varer eller tjenesteydelser og når alle overførsler ledsages af nummeret på kortet, instrumentet eller udstyret. Anvendelse af et betalingskort, et elektronisk pengeinstrument, en mobiltelefon eller andet digitalt udstyr eller IT-udstyr, der anvender teknologi med forud- eller efterbetaling og har tilsvarende karakteristika, til pengeoverførsler eller overførsler af elektroniske pengetokens mellem fysiske personer, der som forbrugere optræder med et andet formål end handel, forretning eller en professionel aktivitet, henhører dog under nærværende forordnings anvendelsesområde. Endvidere bør hævning fra pengeautomater, betaling af skatter, bøder eller andre afgifter, pengeoverførsler ved hjælp af udveksling af billeder af checks, herunder elektronisk clearede checks eller veksler og pengeoverførsler, hvor både betaleren og betalingsmodtageren er betalingstjenesteudbydere, der handler i eget navn, udelukkes fra denne forordnings anvendelsesområde.
(24)
Kryptoaktiver, der er unikke og ikkefungible, er ikke omfattet af kravene i denne forordning, medmindre de er klassificeret som kryptoaktiver eller midler i henhold til forordning (EU) 2023/1114.
(25)
Hæveautomater for kryptoaktiver (»krypto-ATM'er«) giver brugerne mulighed for at foretage overførsler af kryptoaktiver til en kryptoaktivadresse ved at deponere kontanter, ofte uden nogen form for identifikation og kontrol af kunder. Krypto-ATM'er er særligt udsatte for risiko for hvidvask af penge og finansiering af terrorisme, fordi den anonymitet, de giver, og muligheden for at operere med kontanter af ukendt oprindelse gør dem til et ideelt middel til ulovlige aktiviteter. I betragtning af krypto-ATM'ers rolle med hensyn til at tilvejebringe eller aktivt lette overførsler af kryptoaktiver bør overførsler af kryptoaktiver, der er knyttet til krypto-ATM'er, være omfattet af denne forordnings anvendelsesområde.
(26)
For at tage hensyn til deres nationale betalingssystemers særlige karakteristika og forudsat at det altid er muligt at spore pengeoverførslen tilbage til betaleren, bør medlemsstaterne kunne undtage visse indenlandske pengeoverførsler af lav værdi, herunder elektroniske girobetalinger, der anvendes til køb af varer eller tjenesteydelser, fra denne forordnings anvendelsesområde.
(27)
På grund af den iboende grænseløse karakter og den globale rækkevidde af overførsler af kryptoaktiver og af levering af kryptoaktivtjenester er der ingen objektive begrundelser for at skelne mellem behandlingen af risiciene for hvidvask af penge og finansiering af terrorisme ved nationale overførsler og grænseoverskridende overførsler. For at afspejle disse særlige karakteristika bør der ikke indrømmes indenlandske overførsler af kryptoaktiver af lav værdi undtagelser fra denne forordnings anvendelsesområde i overensstemmelse med FATF-kravet om, at alle overførsler af kryptoaktiver behandles som grænseoverskridende.
(28)
Betalingstjenesteudbydere og udbydere af kryptoaktivtjenester bør sikre, at der forefindes oplysninger om betaleren og betalingsmodtageren eller om ordregiveren og ordremodtageren, og at oplysningerne ikke mangler eller er fuldstændige.
(29)
For ikke at hindre betalingssystemernes effektivitet og for at skabe balance mellem risikoen for, at transaktionerne sker uden om de officielle kanaler som følge af for strenge identifikationskrav, og den potentielle terrortrussel ved små overførsler bør pligten til at kontrollere oplysningerne om betalerens eller betalingsmodtagerens identitet, hvis der endnu ikke har fundet kontrol sted, kun gælde over for individuelle overførsler, som overstiger 1 000 EUR, medmindre overførslen synes at hænge sammen med andre pengeoverførsler, som tilsammen overstiger 1 000 EUR, midlerne er modtaget eller udbetalt i kontanter eller i anonyme elektroniske penge, eller der er en rimeligt begrundet mistanke om hvidvask af penge eller finansiering af terrorisme.
(30)
Sammenlignet med pengeoverførsler kan overførsler af kryptoaktiver foretages på tværs af flere jurisdiktioner i større skala og hurtigere på grund af deres globale rækkevidde og teknologiske karakteristika. Sammen med kryptoaktivers pseudoanonymitet giver disse karakteristika ved overførsler af kryptoaktiver kriminelle mulighed for meget hurtigt at foretage store ulovlige overførsler og samtidig omgå sporbarhedsforpligtelserne og undgå afsløring ved at strukturere en stor transaktion i mindre beløb ved hjælp af flere tilsyneladende ikkerelaterede DLT-adresser, herunder engangsanvendelse af DLT-adresser, og ved hjælp af automatiserede processer. De fleste kryptoaktiver er også særdeles volatile, og deres værdi kan svinge betydeligt inden for en meget kort tidsramme, hvilket gør beregningen af indbyrdes forbundne transaktioner mere usikker. For at afspejle disse særlige karakteristika bør overførsler af kryptoaktiver være omfattet af de samme krav uanset deres værdi, og uanset om de er indenlandske eller grænseoverskridende overførsler.
(31)
Ved pengeoverførsler eller overførsler af kryptoaktiver i tilfælde hvor kontrol anses for at have fundet sted, bør betalingstjenesteudbydere og udbydere af kryptoaktivtjenester ikke være forpligtet til at kontrollere nøjagtigheden af de oplysninger om betaleren eller betalingsmodtageren, der medsendes ved hver enkelt pengeoverførsel, eller om ordregiveren og ordremodtageren, der medsendes ved hver enkelt overførsel af kryptoaktiver, forudsat at forpligtelserne fastsat i direktiv (EU) 2015/849 er overholdt.
(32)
På baggrund af lovgivningsmæssige EU-retsakter vedrørende betalingstjenester, dvs. Europa-Parlamentets og Rådets forordning (EU) nr. 260/2012 
(
19
)
, Europa-Parlamentets og Rådets direktiv (EU) 2015/2366 og Europa-Parlamentets og Rådets forordning (EU) 2021/1230 
(
20
)
, bør det være tilstrækkeligt at indføre bestemmelser om, at der ved pengeoverførsler inden for Unionen blot medsendes forenklede oplysninger som f.eks. betalingskontonummer eller en entydig transaktionsidentifikator.
(33)
For at gøre det muligt for de myndigheder, der har ansvar for bekæmpelse af hvidvask af penge eller finansiering af terrorisme i tredjelande, at spore kilden til de midler eller kryptoaktiver, der anvendes til disse formål, bør pengeoverførsler eller overførsler af kryptoaktiver fra Unionen til lande uden for Unionen indeholde fuldstændige oplysninger om betaleren og betalingsmodtageren for så vidt angår pengeoverførsler og om ordregiveren og ordremodtageren for så vidt angår overførsler af kryptoaktiver. Fuldstændige oplysninger om betaleren og betalingsmodtageren bør indeholde identifikatoren for juridiske enheder (Legal Entity Identifier (LEI)) eller en tilsvarende officiel identifikator, når betaleren forelægger denne identifikator for sin betalingstjenesteudbyder, da dette vil muliggøre en bedre identifikation af de parter, der er involveret i en pengeoverførsel, og nemt kan indlæses i eksisterende betalingsmeddelelsesformater, f.eks. det format, der er udviklet af Den Internationale Standardiseringsorganisation til elektronisk dataudveksling mellem finansieringsinstitutter. De myndigheder, der har ansvar for bekæmpelse af hvidvask af penge eller finansiering af terrorisme i tredjelande, bør kun have adgang til de fuldstændige oplysninger om betaleren og betalingsmodtageren eller om ordregiveren og ordremodtageren, alt efter hvad der er relevant, med henblik på forebyggelse, afsløring og efterforskning af hvidvask af penge og finansiering af terrorisme.
(34)
Kryptoaktiver eksisterer i en grænseløs virtuel virkelighed og kan overføres til enhver udbyder af kryptoaktivtjenester, uanset om den pågældende udbyder er registreret i en jurisdiktion eller ej. Mange jurisdiktioner uden for Unionen har indført regler for databeskyttelse og -håndhævelse, som afviger fra dem, der gælder i Unionen. Ved overførsel af kryptoaktiver på vegne af en kunde til en udbyder af kryptoaktivtjenester, der ikke er registreret i Unionen, bør ordregiverens udbyder af kryptoaktivtjenester vurdere, om ordremodtagerens udbyder af kryptoaktivtjenester er i stand til at modtage og opbevare de oplysninger, der kræves i henhold til denne forordning i overensstemmelse med forordning (EU) 2016/679, ved brug af, hvor det er relevant, mulighederne i kapitel V i forordning (EU) 2016/679. Det Europæiske Databeskyttelsesråd bør efter høring af EBA udstede retningslinjer for den praktiske gennemførelse af databeskyttelseskravene til overførsel af personoplysninger til tredjelande i forbindelse med overførsler af kryptoaktiver. Der kan opstå situationer, hvor der ikke kan sendes personoplysninger, fordi kravene i forordning (EU) 2016/679 ikke kan opfyldes. EBA bør udstede retningslinjer for passende procedurer for at bestemme, om overførslen af kryptoaktiver bør gennemføres, afvises eller suspenderes i disse tilfælde.
(35)
Medlemsstaternes myndigheder, der har ansvar for bekæmpelse af hvidvask af penge og finansiering af terrorisme og relevante retslige og retshåndhævende myndigheder i medlemsstaterne og på EU-plan, bør intensivere samarbejdet med hinanden og med de relevante tredjelandsmyndigheder, herunder myndigheder i udviklingslandene, med henblik på yderligere at styrke gennemsigtigheden, udvekslingen af oplysninger og bedste praksis yderligere.
(36)
Ordregiverens udbyder af kryptoaktivtjenester bør sikre, at der ved overførsel af kryptoaktiver medsendes ordregivers navn, ordregivers distributed ledger-adresse i tilfælde, hvor en overførsel af kryptoaktiver registreres på et netværk, der anvender DLT eller lignende teknologi, ordregivers kryptoaktivkontonummer i tilfælde, hvor en sådan konto findes og anvendes til at behandle transaktionen, ordregivers adresse, herunder landets navn, officielle personlige dokumentnummer og kunde-ID-nummer eller alternativt ordregivers fødselsdato og -sted og med forbehold af, at det nødvendige felt i det relevante meddelelsesformat findes, og at ordregiver har oplyst det til sin udbyder af kryptoaktiver, den aktuelle LEI eller i mangel heraf enhver anden tilgængelig tilsvarende officiel identifikator på ordregiver. Oplysningerne bør fremsendes på en sikker måde og forud for eller samtidigt eller parallelt med overførslen af kryptoaktiver.
(37)
Ordregiverens udbyder af kryptoaktivtjenester bør også sikre, at der ved overførsel af kryptoaktiver medsendes ordremodtagers navn, ordremodtagers distributed ledger-adresse i tilfælde, hvor en overførsel af kryptoaktiver registreres på et netværk, der anvender DLT eller lignende teknologi, ordremodtagers kontonummer i tilfælde, hvor en sådan konto findes og anvendes til at behandle transaktionen, og ordremodtagers aktuelle LEI eller i mangel heraf enhver anden tilgængelig tilsvarende officiel identifikator på ordremodtager med forbehold af, at det nødvendige felt i det relevante meddelelsesformat findes, og at ordregiver har oplyst den til sin udbyder af kryptoaktiver. Oplysningerne bør fremsendes på en sikker måde og forud for eller samtidigt eller parallelt med overførslen af kryptoaktiver.
(38)
Med hensyn til overførsel af kryptoaktiver bør kravene i denne forordning finde anvendelse på alle overførsler, herunder overførsler af kryptoaktiver til eller fra en selvhostet adresse, forudsat at en udbyder af kryptoaktivtjenester er involveret.
(39)
I tilfælde af overførsel til eller fra en selvhostet adresse bør udbyderen af kryptoaktivtjenester indsamle oplysninger om både ordregiveren og ordremodtageren, sædvanligvis fra sin kunde. En udbyder af kryptoaktivtjenester bør i princippet ikke være forpligtet til at kontrollere oplysningerne om brugeren af den selvhostede adresse. I tilfælde af en overførsel af et beløbet, der overstiger 1 000 EUR, som sendes eller modtages på vegne af en kunde hos en udbyder af kryptoaktivtjenester til eller fra en selvhostet adresse, bør den pågældende udbyder af kryptoaktivtjenester ikke desto mindre kontrollere, om denne selvhostede adresse reelt ejes eller kontrolleres af den pågældende kunde.
(40)
Med hensyn til pengeoverførsler fra en enkelt betaler til flere betalingsmodtagere, der skal sendes i en batchfiloverførsel, som indeholder individuelle overførsler fra Unionen til uden for Unionen, bør det fastsættes, at disse individuelle overførsler kun indeholder betalerens betalingskontonummer eller den entydige transaktionsidentifikator og betalingsmodtagerens fuldstændige oplysninger, såfremt batchfilen indeholder fuldstændige oplysninger om betaleren, som er kontrolleret med henblik på korrekthed, og fuldstændige oplysninger om betalingsmodtageren, som kan spores fuldt ud.
(41)
Med hensyn til batchfiloverførsler af kryptoaktiver bør det accepteres, at oplysninger om ordregiver og ordremodtager fremsendes i batches, så længe denne fremsendelse sker øjeblikkeligt og på sikker vis. Det bør ikke være tilladt at fremsende de påkrævede oplysninger efter overførslen, da fremsendelsen skal ske før eller på det tidspunkt, hvor transaktionen gennemføres, og udbydere af kryptoaktivtjenester eller andre forpligtede enheder bør fremsende de påkrævede oplysninger samtidig med batchfiloverførslen af kryptoaktiver.
(42)
For at kunne kontrollere, om de krævede oplysninger om betaleren og betalingsmodtageren er medsendt ved pengeoverførsler, og for at kunne bidrage til at identificere mistænkelige transaktioner bør betalingsmodtagerens betalingstjenesteudbyder og mellembetalingsformidleren have etableret effektive procedurer til at konstatere, om oplysninger om betaleren eller betalingsmodtageren mangler eller er ufuldstændige. Disse procedurer bør omfatte overvågning efter eller under overførslen, hvor det er relevant. De kompetente myndigheder bør sikre, at betalingstjenesteudbyderne inkluderer de fornødne transaktionsoplysninger ved elektroniske overførsler eller tilsvarende oplysninger gennem hele betalingskæden.
(43)
Med hensyn til overførsler af kryptoaktiver bør ordremodtagerens udbyder af kryptoaktivtjenester gennemføre virkningsfulde procedurer til at konstatere, om oplysningerne om ordregiveren eller ordremodtageren mangler eller er ufuldstændige. Disse procedurer bør, hvor det er relevant omfatte overvågning efter eller under overførslen. Det bør ikke være et krav, at oplysningerne knyttes direkte til selve overførslen af kryptoaktiver, så længe de fremsendes forud for eller samtidigt eller parallelt med overførslen af kryptoaktiver og gøres tilgængelige efter anmodning fra relevante myndigheder.
(44)
I betragtning af den potentielle risiko for, at anonyme pengeoverførsler kan anvendes til hvidvask af penge og finansiering af terrorisme, er det hensigtsmæssigt at pålægge betalingstjenesteudbydere at kræve oplysninger om betaleren og betalingsmodtageren og stille krav om, at udbydere af kryptoaktivtjenester kræver oplysninger om ordregiver og ordremodtager. I overensstemmelse med den risikobaserede tilgang, som FATF har udviklet, er det hensigtsmæssigt at identificere høj- og lavrisikoområder med henblik på mere målrettet at imødegå risikoen for hvidvask af penge og finansiering af terrorisme. Ordremodtagerens udbyder af kryptoaktivtjenester, betalingsmodtagerens betalingstjenesteudbyder, mellembetalingsformidleren og mellemudbyderen af kryptoaktivtjenester bør derfor have effektive risikobaserede procedurer, der anvendes, hvor der ved en pengeoverførsel ikke er medsendt de krævede oplysninger om betaler eller betalingsmodtager, eller hvor der ved en overførsel af kryptoaktiver ikke er medsendt de krævede oplysninger om ordregiver eller ordremodtager, for at de pågældende formidlere og udbydere kan afgøre, om denne overførelse skal gennemføres, afvises eller suspenderes, og afgøre, hvilke opfølgningsforanstaltninger det vil være hensigtsmæssigt at træffe.
(45)
Udbydere af kryptoaktivtjenester bør som alle forpligtede enheder vurdere og overvåge den risiko, der er forbundet med deres kunder, produkter og leveringskanaler. Udbydere af kryptoaktivtjenester bør også vurdere den risiko, der er forbundet med deres transaktioner, herunder når de foretager overførsler til eller fra selvhostede adresser. Hvis udbyderen af kryptoaktivtjenester er eller får kendskab til, at oplysningerne om den ordregiver eller ordremodtager, der bruger en selvhostet adresse, er urigtige, eller hvis udbyderen af kryptoaktivtjenester støder på usædvanlige eller mistænkelige transaktionsmønstre eller situationer med højere risiko for hvidvask af penge og finansiering af terrorisme i forbindelse med overførsler, der involverer selvhostede adresser, bør denne udbyder af kryptoaktivtjenester, hvor det er relevant, indføre skærpede kendskabsprocedurer for at styre og begrænse risiciene på passende vis. Udbyderen af kryptoaktivtjenester bør tage disse omstændigheder i betragtning, når det vurderes, om en overførsel af kryptoaktiver eller enhver relateret transaktion er usædvanlig, og om den skal indberettes til den finansielle efterretningsenhed (FIU) i overensstemmelse med direktiv (EU) 2015/849.
(46)
Denne forordning bør revideres i forbindelse med vedtagelsen af Europa-Parlamentets og Rådets forordning om forebyggende foranstaltninger mod anvendelse af det finansielle system til hvidvask af penge eller finansiering af terrorisme, Europa-Parlamentets og Rådets direktiv om de mekanismer, medlemsstaterne skal indføre for at forebygge, at det finansielle system anvendes til hvidvask af penge eller finansiering af terrorisme, og om ophævelse af direktiv (EU) 2015/849 og Europa-Parlamentets og Rådets forordning om oprettelse af Myndigheden for Bekæmpelse af Hvidvask af Penge og Finansiering af Terrorisme og om ændring af forordning (EU) nr. 1093/2010, (EU) nr. 1094/2010 og (EU) nr. 1095/2010, for at sikre overensstemmelse med de relevante bestemmelser.
(47)
Ved vurderingen af risiciene bør betalingsmodtagerens betalingstjenesteudbyder, mellembetalingsformidleren, ordremodtagerens udbyder af kryptoaktivtjenester eller mellemudbyderen af kryptoaktivtjenester udvise særlig årvågenhed, når disse får kendskab til, at oplysninger om betaleren eller betalingsmodtageren eller om ordregiveren eller ordremodtageren, alt efter hvad der er relevant, mangler eller er ufuldstændige, eller når en overførsel af kryptoaktiver skal betragtes som mistænkelig på grundlag af de pågældende kryptoaktivers oprindelse eller bestemmelsessted, og de bør indberette mistænkelige transaktioner til de kompetente myndigheder i overensstemmelse med indberetningsforpligtelsen i henhold til direktiv (EU) 2015/849.
(48)
På samme måde som med pengeoverførsler mellem betalingstjenesteudbydere kan overførsler af kryptoaktiver, der involverer mellemudbydere af kryptoaktivtjenester, eventuelt lette overførsler som et mellemled i en kæde af overførsler af kryptoaktiver. I overensstemmelse med internationale standarder bør sådanne mellemudbydere også være omfattet af denne forordnings krav på samme måde som eksisterende forpligtelser for mellembetalingsformidlere.
(49)
Bestemmelserne om pengeoverførsler og overførsler af kryptoaktiver, hvor oplysninger om betaleren eller betalingsmodtageren eller om ordregiveren eller ordremodtageren mangler eller er ufuldstændige, og hvor overførsler af kryptoaktiver skal betragtes som mistænkelige på grundlag af de pågældende kryptoaktivers oprindelse eller bestemmelsessted, finder anvendelse, uden at det berører forpligtelser for betalingstjenesteudbydere, mellembetalingsformidlere, udbydere af kryptoaktivtjenester og mellemudbydere af kryptoaktivtjenester til at afvise eller suspendere pengeoverførsler og overførsler af kryptoaktiver, der strider mod civil-, forvaltnings- eller strafferetten.
(50)
For at sikre teknologineutralitet bør denne forordning ikke pålægge udbydere af kryptoaktivtjenester at anvende en bestemt teknologi til overførsel af transaktionsoplysninger. For at sikre en effektiv gennemførelse af de krav, der gælder for udbydere af kryptoaktivtjenester i henhold til denne forordning, er det afgørende, at kryptoaktivbranchen er med til eller fører an i standardiseringsinitiativer. De deraf resulterende løsninger bør være interoperable gennem anvendelsen af internationale eller EU-dækkende standarder for at muliggøre hurtig udveksling af oplysninger.
(51)
Med henblik på at hjælpe betalingstjenesteudbydere og udbydere af kryptoaktivtjenester med at indføre effektive procedurer for at konstatere tilfælde, hvor de modtager pengeoverførsler eller overførsler af kryptoaktiver med manglende eller ufuldstændige oplysninger om betaleren, betalingsmodtageren, ordregiveren eller ordremodtageren og med at træffe effektive opfølgende foranstaltninger bør EBA udstede retningslinjer.
(52)
For at muliggøre hurtig indgriben i bekæmpelsen af hvidvask af penge og finansiering af terrorisme bør betalingstjenesteudbydere og udbydere af kryptoaktivtjenester reagere hurtigt på forespørgsler om oplysninger om betaleren og betalingsmodtageren eller om ordregiveren og ordremodtageren fra de myndigheder, der har ansvar for bekæmpelse af hvidvask af penge eller finansiering af terrorisme i den medlemsstat, hvor disse betalingstjenesteudbydere er etableret, eller hvor disse udbydere af kryptoaktivtjenester har deres vedtægtsmæssige hjemsted.
(53)
Antallet af arbejdsdage, der forløber i den medlemsstat, hvor betalers betalingstjenesteudbyder er etableret, bestemmer, inden for hvor mange dage der skal reageres på forespørgsler om oplysninger om betaleren.
(54)
Da det kan forekomme, at det i forbindelse med efterforskning i straffesager ikke er muligt at identificere de krævede data eller de personer, der er involveret i en transaktion, før der er gået adskillige måneder eller måske endda år siden den oprindelige pengeoverførsel eller overførsel af kryptoaktiver, og for at have adgang til vigtigt bevismateriale som led i efterforskning bør betalingstjenesteudbyderne eller udbyderne af kryptoaktivtjenester opbevare registre med oplysninger om betaleren og betalingsmodtageren eller om ordregiveren og ordremodtageren i en periode med henblik på at forebygge, afsløre og efterforske hvidvask af penge og finansiering af terrorisme. Denne periode bør være begrænset til fem år, hvorefter alle personlige data bør slettes, medmindre andet er fastsat i national ret. Hvis det er nødvendigt med henblik på forebyggelse, afsløring eller efterforskning af hvidvask af penge eller finansiering af terrorisme, bør medlemsstaterne efter at have foretaget en vurdering af nødvendigheden og forholdsmæssigheden af foranstaltningen kunne tillade eller kræve opbevaring af registre i en yderligere periode på højst fem år, uden at det berører de nationale strafferetlige bevisregler, der gælder for verserende strafferetlige efterforskninger og retslige procedurer, og i fuld overensstemmelse med Europa-Parlamentets og Rådets direktiv (EU) 2016/680 
(
21
)
. Disse foranstaltninger kan revideres i lyset af vedtagelsen af Europa-Parlamentets og Rådets forordning om forebyggende foranstaltninger mod anvendelse af det finansielle system til hvidvask af penge eller finansiering af terrorisme.
(55)
For at fremme overholdelsen af denne forordning og i overensstemmelse med Kommissionens meddelelse af 9. december 2010»Udvidelse af sanktionsordningerne i sektoren for finansielle tjenesteydelser« bør de kompetente myndigheders beføjelser til at træffe tilsynsforanstaltninger og anvende sanktionsbeføjelser styrkes. Der bør indføres bestemmelser om administrative sanktioner og foranstaltninger, og på grund af betydningen af bekæmpelsen af hvidvask af penge og finansiering af terrorisme bør medlemsstaterne indføre sanktioner og foranstaltninger, der er effektive, forholdsmæssige og har afskrækkende virkning. Medlemsstaterne bør underrette Kommissionen og det permanente interne udvalg for bekæmpelse af hvidvask af penge og finansiering af terrorisme, der er omhandlet i artikel 9a, stk. 7, i forordning (EU) nr. 1093/2010 herom.
(56)
For at sikre ensartede betingelser for gennemførelsen af denne forordning bør Kommissionen tillægges gennemførelsesbeføjelser. Disse beføjelser bør udøves i overensstemmelse med Europa-Parlamentets og Rådets forordning (EU) nr. 182/2011 
(
22
)
.
(57)
En række lande og territorier, der ikke indgår i Unionens område, er i en monetær union med en medlemsstat, indgår i en medlemsstats valutaområde eller har undertegnet en monetær aftale med Unionen repræsenteret af en medlemsstat og har betalingstjenesteudbydere, der direkte eller indirekte deltager i den pågældende medlemsstats betalings- og afviklingssystem. For at undgå anvendelsen af denne forordning ved pengeoverførsler mellem de pågældende medlemsstater og disse lande eller territorier, hvilket ville have væsentlige negative konsekvenser for økonomien i de pågældende lande eller territorier, bør der gives mulighed for, at sådanne pengeoverførsler behandles som pengeoverførsler inden for de pågældende medlemsstater.
(58)
I betragtning af de potentielle høje risici og den reguleringsmæssige kompleksitet, der er forbundet med selvhostede adresser, herunder i forbindelse med kontrol af ejerskabsoplysningerne, bør Kommissionen senest den 1. juli 2026 vurdere behovet for yderligere specifikke foranstaltninger til at begrænse de risici, der er forbundet med overførsler til eller fra selvhostede adresser eller til eller fra enheder, der ikke er etableret i Unionen, herunder indførelse af eventuelle begrænsninger, og bør vurdere effektiviteten og forholdsmæssigheden af de mekanismer, der anvendes til at kontrollere nøjagtigheden af oplysningerne om ejerskabet af selvhostede adresser.
(59)
For nuværende finder direktiv (EU) 2015/849 kun anvendelse på to kategorier af udbydere af kryptoaktivtjenester, nemlig udbydere af virtuelle tegnebøger og udbydere af veksling mellem virtuelle valutaer og fiatvalutaer. For at lukke eksisterende smuthuller i de lovgivningsmæssige rammer for bekæmpelse af hvidvask af penge og finansiering af terrorisme og for at tilpasse EU-retten til internationale henstillinger bør direktiv (EU) 2015/849 ændres til at omfatte alle kategorier af udbydere af kryptoaktivtjenester som defineret i forordning (EU) 2023/1114, der dækker et bredere spektrum af udbydere af kryptoaktivtjenester. For at sikre, at udbydere af kryptoaktivtjenester er underlagt de samme krav og det samme tilsynsniveau, som kredit- og finansieringsinstitutter, er det navnlig hensigtsmæssigt at ajourføre listen over forpligtede enheder ved at medtage udbydere af kryptoaktivtjenester i kategorien finansieringsinstitutter med henblik på direktiv (EU) 2015/849. I betragtning af at traditionelle finansieringsinstitutter også falder ind under definitionen af udbydere af kryptoaktivtjenester, når de tilbyder sådanne tjenester, giver kategoriseringen af udbydere af kryptoaktivtjenester som finansieringsinstitutter desuden mulighed for et enkelt sammenhængende regelsæt, der finder anvendelse på enheder, der leverer både traditionelle finansielle tjenesteydelser og kryptoaktivtjenester. Direktiv (EU) 2015/849 bør også ændres for at sikre, at udbydere af kryptoaktivtjenester på passende vis kan begrænse de risici for hvidvask af penge og finansiering af terrorisme, som de er udsat for.
(60)
De forbindelser, der etableres mellem udbydere af kryptoaktivtjenester og enheder, der er etableret i tredjelande, med henblik på at gennemføre overførsler af kryptoaktiver eller levering af lignende kryptoaktivtjenester, minder om korrespondentbankforbindelser, der etableres med et tredjelands respondentinstitut. Da disse forbindelser er kendetegnet ved en vedvarende og gentagen karakter, bør de betragtes som en form for korrespondentforbindelse og være omfattet af specifikke skærpede kendskabsprocedurer, der i princippet svarer til dem, der anvendes i forbindelse med bankydelser og finansielle tjenesteydelser. Udbydere af kryptoaktivtjenester bør navnlig, når de etablerer en ny korrespondentforbindelse med en respondentenhed, anvende specifikke skærpede kendskabsprocedurer med henblik på at identificere og vurdere den pågældende respondents risikoeksponering på grundlag af dens omdømme, kvaliteten af tilsynet og dens kontrol af bekæmpelse af hvidvask af penge og finansiering af terrorisme (AML/CFT). På grundlag af de indsamlede oplysninger bør korrespondentudbyderne af kryptoaktivtjenester gennemføre passende risikobegrænsende foranstaltninger, som navnlig bør tage hensyn til ikkeregistrerede og ikkegodkendte enheders potentielle højere risiko for hvidvask af penge og finansiering af terrorisme. Dette er især relevant, så længe gennemførelsen af FATF's standarder vedrørende kryptoaktiver på globalt plan fortsat er uensartet, hvilket medfører yderligere risici og udfordringer. EBA bør vejlede om, hvordan udbydere af kryptoaktivtjenester bør gennemføre de skærpede kendskabskrav, og præcisere de passende risikobegrænsende foranstaltninger, herunder de minimumsforanstaltninger, der skal træffes ved interaktion med ikkeregistrerede og ikkegodkendte enheder, der udbyder kryptoaktivtjenester.
(61)
Forordning (EU) 2023/1114 fastsætter en omfattende lovgivningsmæssig ramme for udbydere af kryptoaktivtjenester, der harmoniserer reglerne vedrørende tilladelsen til og driften af udbydere af kryptoaktivtjenester i hele Unionen. For at undgå overlapning af krav bør direktiv (EU) 2015/849 ændres for at fjerne registreringskrav i forbindelse med de kategorier af udbydere af kryptoaktivtjenester, som vil blive omfattet af en fælles godkendelsesordning i henhold til forordning (EU) 2023/1114.
(62)
Målene for denne forordning, nemlig at bekæmpe hvidvask af penge og finansiering af terrorisme, herunder ved at gennemføre internationale standarder, og idet der sikres adgang til grundlæggende oplysninger om betalere og betalingsmodtagere ved pengeoverførsler og om ordregivere og ordremodtagere ved overførsler af kryptoaktiver, kan ikke i tilstrækkelig grad opfyldes af medlemsstaterne, men kan på grund af initiativets omfang eller virkninger bedre nås på EU-plan; Unionen kan derfor vedtage foranstaltninger i overensstemmelse med nærhedsprincippet, jf. artikel 5 i traktaten om Den Europæiske Union. I overensstemmelse med proportionalitetsprincippet, jf. nævnte artikel, går denne forordning ikke videre, end hvad der er nødvendigt for at nå disse mål.
(63)
Denne forordning er underlagt Europa-Parlamentets og Rådets forordning (EU) 2016/679 og forordning (EU) 2018/1725 
(
23
)
. Heri overholdes de grundlæggende rettigheder og de principper, som anerkendes ved Den Europæiske Unions charter om grundlæggende rettigheder, navnlig retten til respekt for privatliv og familieliv (artikel 7), retten til beskyttelse af personoplysninger (artikel 8), retten til adgang til effektive retsmidler og til en upartisk domstol (artikel 47) samt ne bis in idem-princippet.
(64)
For at sikre overensstemmelse med forordning (EU) 2023/1114 bør nærværende forordning finde anvendelse fra anvendelsesdatoen for nævnte forordning. Senest denne dato bør medlemsstaterne også gennemføre ændringerne af direktiv (EU) 2015/849.
(65)
Den Europæiske Tilsynsførende for Databeskyttelse er blevet hørt i overensstemmelse med artikel 42, stk. 1, i forordning (EU) 2018/1725 og afgav en udtalelse den 22. september 2021 
(
24
)
 —
VEDTAGET DENNE FORORDNING:
KAPITEL I
Genstand, anvendelsesområde og definitioner
Artikel 1
Genstand
I denne forordning fastsættes der regler om de oplysninger om betalere og betalingsmodtagere, der skal medsendes ved pengeoverførsler uanset valuta, og om de oplysninger om ordregivere og ordremodtagere, som skal medsendes ved overførsler af kryptoaktiver, med henblik på at forebygge, afsløre og efterforske hvidvask af penge og finansiering af terrorisme, når mindst en af de betalingstjenesteudbydere eller udbydere af kryptoaktivtjenester, der er involveret i pengeoverførslen eller overførslen af kryptoaktiver, er etableret eller har sit vedtægtsmæssige hjemsted, alt efter hvad der er relevant, i Unionen. I denne forordning fastsættes der desuden regler om interne politikker, procedurer og kontroller for at sikre gennemførelsen af restriktive foranstaltninger, hvis mindst en af de betalingstjenesteudbyderne eller udbyderne af kryptoaktivtjenester, der er involveret i pengeoverførslen eller overførslen af kryptoaktiver, er etableret eller har sit vedtægtsmæssige hjemsted, alt efter hvad der er relevant, i Unionen.
Artikel 2
Anvendelsesområde
1.   Denne forordning finder anvendelse på pengeoverførsler uanset valuta, der afsendes eller modtages af en betalingstjenesteudbyder eller en mellembetalingsformidler, der er etableret i Unionen. Den finder også anvendelse på overførsler af kryptoaktiver, herunder overførsler af kryptoaktiver, der udføres ved hjælp af krypto-ATM'er, hvis enten ordregiverens eller ordremodtagerens udbyder af kryptoaktivtjenester eller mellemudbyder af kryptoaktivtjenester har sit vedtægtsmæssige hjemsted i Unionen.
2.   Denne forordning finder ikke anvendelse på de tjenester, der er anført i artikel 3, litra a)-m) og o), i direktiv (EU) 2015/2366.
3.   Denne forordning finder ikke anvendelse på pengeoverførsler eller på overførsler af elektroniske pengetokens, som defineret i artikel 3, stk. 1, nr. 7), i forordning (EU) 2023/1114, der foretages ved hjælp af et betalingskort, et elektronisk pengeinstrument eller en mobiltelefon eller andet digitalt udstyr eller IT-udstyr, der anvender teknologi med forud- eller efterbetaling og har tilsvarende karakteristika, hvis følgende betingelser er opfyldt:
a)
dette kort, instrument eller udstyr anvendes udelukkende til at betale for varer eller tjenesteydelser og
b)
nummeret på dette kort, instrument eller udstyr medsendes ved alle overførsler i forbindelse med transaktionen.
Denne forordning finder dog anvendelse, hvis et betalingskort, et elektronisk pengeinstrument, en mobiltelefon eller andet digitalt udstyr eller IT-udstyr, der anvender teknologi med forud- eller efterbetaling og har tilsvarende karakteristika, anvendes til overførsler af penge eller elektroniske pengetokens mellem fysiske personer, der som forbrugere optræder med et andet formål end handel, forretning eller en professionel aktivitet.
4.   Denne forordning finder ikke anvendelse på personer, som ikke har anden aktivitet end at omarbejde papirdokumenter til elektroniske data, og som gør dette i henhold til en kontrakt med en betalingstjenesteudbyder, eller på personer, som ikke har anden aktivitet end at forsyne betalingstjenesteudbydere med et meddelelsessystem eller andre støttesystemer i forbindelse med pengeoverførsler eller med clearing- og afviklingssystemer.
Denne forordning finder ikke anvendelse på pengeoverførsler, hvis en af følgende betingelser er opfyldt:
a)
de indebærer, at betaler hæver kontanter på sin egen betalingskonto
b)
de udgør pengeoverførsler til en offentlig myndighed som betaling af skatter, bøder eller andre afgifter inden for en medlemsstat
c)
både betaler og betalingsmodtager er betalingstjenesteudbydere, der handler for egen regning
d)
de udføres ved hjælp af udveksling af billeder af checks, herunder elektronisk clearede checks.
Denne forordning finder ikke anvendelse på overførsler af kryptoaktiver, hvis en af følgende betingelser er opfyldt:
a)
både ordregiver og ordremodtager er udbydere af kryptoaktivtjenester, der handler for egen regning
b)
overførslerne er person-til-person-overførsler af kryptoaktiver, der foretages uden inddragelse af en udbyder af kryptoaktivtjenester.
Elektroniske pengetokens, jf. definitionen i artikel 3, stk. 1, nr. 7), i forordning (EU) 2023/1114, behandles som kryptoaktiver i henhold til nærværende forordning.
5.   En medlemsstat kan beslutte ikke at anvende denne forordning på pengeoverførsler på sit område til en betalingsmodtagers betalingskonto, der udelukkende giver mulighed for at betale for levering af varer eller tjenesteydelser, såfremt alle følgende betingelser er opfyldt:
a)
betalingsmodtagerens betalingstjenesteudbyder er omfattet af direktiv (EU) 2015/849
b)
betalingsmodtagerens betalingstjenesteudbyder er i stand til ved hjælp af en entydig transaktionsidentifikator via betalingsmodtageren at spore pengeoverførsler fra den person, der har indgået en aftale med betalingsmodtageren om levering af varer eller tjenesteydelser
c)
pengeoverførslens beløb overstiger ikke 1 000 EUR.
Artikel 3
Definitioner
I denne forordning forstås ved:
1)
»finansiering af terrorisme«: finansiering af terrorisme som defineret i artikel 1, stk. 5, i direktiv (EU) 2015/849
2)
»hvidvask af penge«: handlinger i forbindelse med hvidvask af penge som omhandlet i artikel 1, stk. 3 og 4, i direktiv (EU) 2015/849
3)
»betaler«: en person, der er indehaver af en betalingskonto og tillader en pengeoverførsel fra denne betalingskonto, eller, hvis der ikke er nogen betalingskonto, der udsteder en ordre om pengeoverførsel
4)
»betalingsmodtager«: en person, som er den tiltænkte modtager af pengeoverførslen
5)
»betalingstjenesteudbyder«: de kategorier af betalingstjenesteudbydere, som er omhandlet i artikel 1, stk. 1, i direktiv (EU) 2015/2366, fysiske og juridiske personer, der drager fordel af undtagelser i henhold til artikel 32 deri, og juridiske personer, der drager fordel af undtagelser i henhold til artikel 9 i direktiv 2009/110/EF, og som udbyder tjenester i form af pengeoverførsler
6)
»mellembetalingsformidler«: en betalingstjenesteudbyder, som hverken er betalers eller betalingsmodtagers betalingstjenesteudbyder, og som modtager og videresender en pengeoverførsel på vegne af betalers eller betalingsmodtagers betalingstjenesteudbyder eller på vegne af en anden mellembetalingsformidler
7)
»betalingskonto«: en betalingskonto som defineret i artikel 4, nr. 12), i direktiv (EU) 2015/2366
8)
»midler«: midler som defineret i artikel 4, nr. 25), i direktiv (EU) 2015/2366
9)
»pengeoverførsel«: en transaktion, der helt eller delvist gennemføres elektronisk på en betalers vegne gennem en betalingstjenesteudbyder med henblik på at stille midler til rådighed for en betalingsmodtager gennem en betalingstjenesteudbyder, uanset om betaler og betalingsmodtager er en og samme person, og uanset om betalerens og betalingsmodtagerens betalingstjenesteudbyder er en og samme, herunder
a)
en kreditoverførsel som defineret i artikel 4, nr. 24), i direktiv (EU) 2015/2366
b)
en direkte debitering som defineret i artikel 4, nr. 23), i direktiv (EU) 2015/2366
c)
pengeoverførsler som defineret i artikel 4, nr. 22), i direktiv (EU) 2015/2366, uanset om de er indenlandske eller grænseoverskridende
d)
en overførsel gennemført ved hjælp af et betalingskort, et elektronisk pengeinstrument eller en mobiltelefon eller andet digitalt udstyr eller IT-udstyr, der anvender teknologi med forud- eller efterbetaling og har tilsvarende karakteristika
10)
»overførsel af kryptoaktiver«: en transaktion, der har til formål at flytte kryptoaktiver fra én distributed ledger-adresse, én kryptoaktivkonto eller en anden enhed, der muliggør opbevaring af kryptoaktiver, til en anden, som udføres af mindst én udbyder af kryptoaktivtjenester, der handler på vegne af enten en ordregiver eller en ordremodtager, uanset om ordregiver og ordremodtager er en og samme person, og uanset om ordregivers og ordremodtagers udbyder af kryptoaktivtjenester er en og samme udbyder
11)
»batchfiloverførsel«: en gruppe bestående af flere individuelle pengeoverførsler eller overførsler af kryptoaktiver, der sendes samlet
12)
»entydig transaktionsidentifikator«: en kombination af bogstaver, tal eller symboler, fastlagt af betalingstjenesteudbyderen i overensstemmelse med protokollerne for de betalings- og afviklingssystemer eller meddelelsessystemer, der anvendes til at foretage pengeoverførslen, eller fastlagt af en udbyder af kryptoaktivtjenester, der gør det muligt at spore transaktionen tilbage til betaleren og betalingsmodtageren eller at spore overførslen af kryptoaktiver tilbage til ordregiveren og ordremodtageren
13)
»person-til-person-overførsel af kryptoaktiver«: en overførsel af kryptoaktiver, uden at der inddrages en udbyder af kryptoaktivtjenester
14)
»kryptoaktiv«: et kryptoaktiv som defineret i artikel 3, stk. 1, nr. 5), i forordning (EU) 2023/1114, undtagen når det henhører under de kategorier, der er anført i nævnte forordnings artikel 2, stk. 2, 3 og 4, eller på anden måde kan betegnes som midler
15)
»udbyder af kryptoaktivtjenester«: en udbyder af kryptoaktivtjenester som defineret i artikel 3, stk. 1, nr. 15), i forordning (EU) 2023/1114, når denne leverer en eller flere af de kryptoaktivtjenester, der er defineret i nævnte forordnings artikel 3, stk. 1, nr. 16)
16)
»mellemudbyder af kryptoaktivtjenester«: en udbyder af kryptoaktivtjenester, som hverken er ordregivers eller ordremodtagers udbyder af kryptoaktivtjenester, og som modtager og videresender en overførsel af kryptoaktiver på vegne af ordregivers eller ordremodtagers udbyder af kryptoaktiver eller på vegne af en anden mellemudbyder af kryptoaktivtjenester
17)
»hæveautomat for kryptoaktiver« eller »krypto-ATM'er«: fysiske eller online elektroniske terminaler, der gør det muligt for en udbyder af kryptoaktivtjenester at udføre navnlig tjenester vedrørende overførsel af kryptoaktiver som omhandlet i artikel 3, stk. 1, nr. 16), litra j), i forordning (EU) 2023/1114
18)
»distributed ledger-adresse«: en alfanumerisk kode, der identificerer en adresse på et netværk, som anvender distributed ledger-teknologi (DLT) eller lignende teknologi, og hvortil der kan sendes eller modtages kryptoaktiver
19)
»kryptoaktivkonto«: en konto, som en udbyder af kryptoaktivtjenester er indehaver af i en eller flere fysiske eller juridiske personers navn, og som kan anvendes til at gennemføre overførsler af kryptoaktiver
20)
»selvhostet adresse«: en distributed ledger-adresse, der ikke er knyttet til nogen af følgende:
a)
en udbyder af kryptoaktivtjenester
b)
en enhed, der ikke er etableret i Unionen, og som leverer tjenester svarende til dem, en udbyder af kryptoaktivtjenester leverer
21)
»ordregiver«: en person, som er indehaver af en kryptoaktivkonto hos en udbyder af kryptoaktivtjenester, en distributed ledger-adresse eller en enhed, der muliggør opbevaring af kryptoaktivtjenester, og som giver tilladelse til overførsel af kryptoaktiver fra nævnte konto, distributed ledger-adresse eller enhed, eller, hvis der ikke findes en sådan konto, distributed ledger-adresse eller enhed, en person, som afgiver en ordre om eller foranlediger en overførsel af kryptoaktiver
22)
»ordremodtager«: en person, som er den tiltænkte modtager af overførslen af kryptoaktiver
23)
»identifikator for juridiske enheder« eller »LEI«: en alfanumerisk referencekode baseret på ISO 17442-standarden, som er tildelt en juridisk enhed
24)
»distributed ledger-teknologi« eller »DLT«: en distributed ledger-teknologi som defineret i artikel 3, stk. 1, nr. 1), i forordning (EU) 2023/1114.
KAPITEL II
Forpligtelser for betalingstjenesteudbydere
Afdeling 1
Forpligtelser for betalers betalingstjenesteudbyder
Artikel 4
Oplysninger, der skal medsendes ved pengeoverførsler
1.   Betalers betalingstjenesteudbyder sikrer, at der ved pengeoverførsler medsendes følgende oplysninger om betaleren:
a)
betalerens navn
b)
betalerens betalingskontonummer
c)
betalerens adresse, herunder landets navn, officielle personlige dokumentnummer og kunde-ID-nummer eller alternativt betalerens fødselsdato og -sted, og
d)
betalerens aktuelle LEI eller i mangel heraf, enhver tilgængelig tilsvarende officiel identifikator med forbehold af, at det nødvendige felt i det relevante betalingsmeddelelsesformat findes, og at betaleren har oplyst den til sin betalingstjenesteudbyder.
2.   Betalers betalingstjenesteudbyder sikrer, at der ved pengeoverførslen medsendes følgende oplysninger om betalingsmodtageren:
a)
betalingsmodtagerens navn
b)
betalingsmodtagerens betalingskontonummer og
c)
betalerens aktuelle LEI eller i mangel heraf, enhver tilgængelig tilsvarende officiel identifikator med forbehold af, at det nødvendige felt i det relevante betalingsmeddelelsesformat findes, og at betaleren har oplyst den til sin betalingstjenesteudbyder.
3.   Uanset stk. 1, litra b), og stk. 2, litra b), sørger betalerens betalingstjenesteudbyder for, at overførsler, der ikke er foretaget til eller fra en betalingskonto, ledsages af en entydig transaktionsidentifikator i stedet for betalingskontonummeret.
4.   Før pengene overføres, kontrollerer betalerens betalingstjenesteudbyder, at de i stk. 1 og i givet fald stk. 3 omhandlede oplysninger er korrekte, på grundlag af dokumenter, data eller oplysninger fra en pålidelig og uafhængig kilde.
5.   Den i nærværende artikels stk. 4 omhandlede kontrol anses for at have fundet sted, hvis et af følgende forhold gør sig gældende:
a)
identiteten af en betaler er blevet kontrolleret i overensstemmelse med artikel 13 i direktiv (EU) 2015/849, og de ved denne kontrol indhentede oplysninger er blevet opbevaret i overensstemmelse med nævnte direktivs artikel 40
b)
artikel 14, stk. 5, i direktiv (EU) 2015/849 finder anvendelse på betaleren.
6.   Betalerens betalingstjenesteudbyder må ikke gennemføre en pengeoverførsel, før betalingstjenesteudbyderen har sikret sig, at det vil være i fuld overensstemmelse med denne artikel, uden at det berører undtagelserne i artikel 5 og 6.
Artikel 5
Pengeoverførsler inden for Unionen
1.   Hvis alle betalingstjenesteudbydere, der er involveret i betalingskæden, er etableret i Unionen, ledsages pengeoverførslen uanset artikel 4, stk. 1 og 2, mindst af både betalerens og betalingsmodtagerens betalingskontonummer eller, hvis artikel 4, stk. 3, finder anvendelse, den entydige transaktionsidentifikator, uden at det berører oplysningskravene i henhold til forordning (EU) nr. 260/2012, hvor det er relevant.
2.   Uanset stk. 1 stiller betalerens betalingstjenesteudbyder inden tre arbejdsdage efter modtagelsen af en anmodning om oplysninger fra betalingsmodtagerens betalingstjenesteudbyder eller fra mellembetalingsformidleren følgende til rådighed:
a)
ved pengeoverførsler på over 1 000 EUR, uanset om sådanne overførsler gennemføres som en enkeltstående overførsel eller som flere overførsler, der synes at hænge sammen, oplysningerne om betaleren eller betalingsmodtageren i overensstemmelse med artikel 4
b)
ved pengeoverførsler på ikke over 1 000 EUR, som ikke synes at hænge sammen med andre pengeoverførsler, der tilsammen med den pågældende overførsel overstiger 1 000 EUR, mindst:
i)
betalerens og betalingsmodtagerens navn og
ii)
betalerens og betalingsmodtagerens betalingskontonummer eller, hvis artikel 4, stk. 3, finder anvendelse, den entydige transaktionsidentifikator.
3.   Ved de i denne artikels stk. 2, litra b), omhandlede pengeoverførsler er betalerens betalingstjenesteudbyder uanset artikel 4, stk. 4, ikke forpligtet til at kontrollere oplysningerne om betaleren, medmindre betalerens betalingstjenesteudbyder:
a)
har modtaget de midler, der skal overføres, i kontanter eller i anonyme elektroniske penge, eller
b)
har en rimeligt begrundet mistanke om hvidvask af penge eller finansiering af terrorisme.
Artikel 6
Pengeoverførsler til uden for Unionen
1.   Ved batchfiloverførsler fra en enkelt betaler, hvor betalingsmodtagernes betalingstjenesteudbydere er etableret uden for Unionen, finder artikel 4, stk. 1, ikke anvendelse på de enkelte overførsler, der er samlet heri, såfremt batchfilen indeholder de oplysninger, der er omhandlet i artikel 4, stk. 1, 2 og 3, oplysningerne er blevet kontrolleret i overensstemmelse med artikel 4, stk. 4 og 5, og de enkelte overførsler indeholder betalers betalingskontonummer eller, hvis artikel 4, stk. 3, finder anvendelse, den entydige transaktionsidentifikator.
2.   Hvis betalingsmodtagerens betalingstjenesteudbyder er etableret uden for Unionen, skal der ved pengeoverførsler på ikke over 1 000 EUR, som ikke synes at hænge sammen med andre pengeoverførsler, der tilsammen med den pågældende overførsel overstiger 1 000 EUR, uanset artikel 4, stk. 1, og hvor det er relevant, uden at det berører de oplysninger, der kræves i overensstemmelse med forordning (EU) nr. 260/2012, mindst medsendes oplysninger om:
a)
betalerens og betalingsmodtagerens navn, og
b)
betalerens og betalingsmodtagerens betalingskontonummer eller, hvis artikel 4, stk. 3, finder anvendelse, den entydige transaktionsidentifikator.
Betalerens betalingstjenesteudbyder er uanset artikel 4, stk. 4, ikke forpligtet til at kontrollere de i dette stykke omhandlede oplysninger om betaleren, medmindre betalerens betalingstjenesteudbyder:
a)
har modtaget de midler, der skal overføres, i kontanter eller i anonyme elektroniske penge, eller
b)
har en rimeligt begrundet mistanke om hvidvask af penge eller finansiering af terrorisme.
Afdeling 2
Forpligtelser for betalingsmodtagers betalingstjenesteudbyder
Artikel 7
Konstatering af, hvorvidt der mangler oplysninger om betaler eller betalingsmodtager
1.   Betalingsmodtagerens betalingstjenesteudbyder indfører effektive procedurer til at konstatere, om felterne vedrørende oplysninger om betaler og betalingsmodtager i det meddelelses- eller betalings- og afviklingssystem, der anvendes til pengeoverførslen, er udfyldt med tegn eller input i overensstemmelse med det pågældende systems konventioner.
2.   Betalingsmodtagerens betalingstjenesteudbyder indfører effektive procedurer, herunder hvor det er relevant overvågning efter eller under overførslerne, til at konstatere, hvorvidt der mangler følgende oplysninger om betaler eller betalingsmodtager:
a)
ved pengeoverførsler, hvor betalers betalingstjenesteudbyder er etableret inden for Unionen, de i artikel 5 omhandlede oplysninger
b)
ved pengeoverførsler, hvor betalers betalingstjenesteudbyder er etableret uden for Unionen, de i artikel 4, stk. 1, litra a), b) og c), og artikel 4, stk. 2, litra a) og b), omhandlede oplysninger
c)
ved batchfiloverførsler, hvor betalers betalingstjenesteudbyder er etableret uden for Unionen, de oplysninger, der er omhandlet i artikel 4, stk. 1, litra a), b) og c), og artikel 4, stk. 2, litra a) og b), vedrørende denne batchfiloverførsel.
3.   Ved pengeoverførsler på over 1 000 EUR, uanset om de gennemføres som en enkeltstående overførsel eller som flere overførsler, der synes at hænge sammen, kontrollerer betalingsmodtagerens betalingstjenesteudbyder, inden betalingsmodtagerens betalingskonto krediteres, eller midlerne stilles til rådighed for betalingsmodtageren, at de i denne artikels stk. 2 omhandlede oplysninger om betalingsmodtageren er korrekte, på grundlag af dokumenter, data eller oplysninger fra en pålidelig og uafhængig kilde, uden at det berører kravene fastsat i artikel 83 og 84 i direktiv (EU) 2015/2366.
4.   Ved pengeoverførsler på ikke over 1 000 EUR, som ikke synes at hænge sammen med andre pengeoverførsler, der tilsammen med den pågældende overførsel overstiger 1 000 EUR, er betalingsmodtagerens betalingstjenesteudbyder ikke forpligtet til at kontrollere, at oplysningerne om betalingsmodtageren er korrekte, medmindre betalingsmodtagerens betalingstjenesteudbyder:
a)
udbetaler midlerne i kontanter eller i anonyme elektroniske penge, eller
b)
har en rimeligt begrundet mistanke om hvidvask af penge eller finansiering af terrorisme.
5.   Den i nærværende artikels stk. 3 og 4 omhandlede kontrol anses for at have fundet sted, hvis et af følgende forhold gør sig gældende:
a)
identiteten af en betalingsmodtager er blevet kontrolleret i overensstemmelse med artikel 13 i direktiv (EU) 2015/849, og de ved denne kontrol indhentede oplysninger er blevet opbevaret i overensstemmelse med nævnte direktivs artikel 40
b)
artikel 14, stk. 5, i direktiv (EU) 2015/849 finder anvendelse på betalingsmodtageren.
Artikel 8
Pengeoverførsler med manglende eller ufuldstændige oplysninger om betaler eller betalingsmodtager
1.   Betalingsmodtagerens betalingstjenesteudbyder fastsætter og indfører effektive risikobaserede procedurer, herunder procedurer baseret på det risikobaserede grundlag som omhandlet i artikel 13 i direktiv (EU) 2015/849 til at konstatere, hvorvidt en pengeoverførsel, som mangler de krævede fuldstændige oplysninger om betaler og betalingsmodtager, skal gennemføres, afvises eller suspenderes, og til at træffe hensigtsmæssige opfølgningsforanstaltninger.
Hvis betalingsmodtagerens betalingstjenesteudbyder ved modtagelsen af en pengeoverførsel får kendskab til, at de i artikel 4, stk. 1, litra a), b) og c), artikel 4, stk. 2, litra a) og b), artikel 5, stk. 1, eller artikel 6 omhandlede oplysninger om betaler eller betalingsmodtager mangler eller er ufuldstændige eller ikke er udfyldt med tegn eller input, der er tilladt i overensstemmelse med det pågældende meddelelses- eller betalings- og afviklingssystems konventioner, som omhandlet i artikel 7, stk. 1, skal betalingsmodtagerens betalingstjenesteudbyder på et risikobaseret grundlag:
a)
afvise overførslen, eller
b)
anmode om de krævede oplysninger om betaleren og betalingsmodtageren før eller efter, at betalingsmodtagerens betalingskonto krediteres, eller midlerne stilles til rådighed for betalingsmodtageren.
2.   Undlader en betalingstjenesteudbyder gentagne gange at levere nogle af de krævede oplysninger om betaleren eller betalingsmodtageren, skal betalingsmodtagerens betalingstjenesteudbyder:
a)
træffe foranstaltninger, som i første omgang kan omfatte udsendelse af advarsler og fastsættelse af frister inden der skrides til afvisning, begrænsning eller afbrydelse i overensstemmelse med litra b), hvis de krævede oplysninger fortsat ikke er leveret, eller
b)
direkte afvise enhver fremtidig pengeoverførsel fra denne betalingstjenesteudbyder eller begrænse eller afbryde sine forretningsforbindelser med denne betalingstjenesteudbyder.
Betalingsmodtagerens betalingstjenesteudbyder indberetter denne undladelse og de trufne foranstaltninger til den kompetente myndighed, der har ansvar for at føre tilsyn med, at bestemmelserne om forebyggelse af hvidvask af penge og bekæmpelse af finansiering af terrorisme overholdes.
Artikel 9
Vurdering og rapportering
Betalingsmodtagerens betalingstjenesteudbyder skal lade manglende eller ufuldstændige oplysninger om betaleren eller betalingsmodtageren indgå som en faktor ved vurderingen af, om pengeoverførslen eller dertil knyttede transaktioner er mistænkelige, og om den skal indberettes til den finansielle efterretningsenhed (Financial Intelligence Unit, FIU) i overensstemmelse med direktiv (EU) 2015/849.
Afdeling 3
Forpligtelser for mellembetalingsformidlere
Artikel 10
Opbevaring af oplysninger om betaler og betalingsmodtager, der medsendes ved overførslen
Mellembetalingsformidlere sikrer, at samtlige modtagne oplysninger om betaleren og betalingsmodtageren, der medsendes ved en pengeoverførsel, opbevares sammen med denne overførsel.
Artikel 11
Konstatering af, hvorvidt der mangler oplysninger om betaler eller betalingsmodtager
1.   Mellembetalingsformidleren indfører effektive procedurer til at konstatere, om felterne vedrørende oplysninger om betaler og betalingsmodtager i det meddelelses- eller betalings- og afviklingssystem, der anvendes til pengeoverførslen, er udfyldt med tegn eller input i overensstemmelse med det pågældende systems konventioner.
2.   Mellembetalingsformidleren indfører effektive procedurer, herunder hvor det er relevant overvågning efter eller under overførslerne, til at konstatere, hvorvidt følgende oplysninger mangler om betaler eller betalingsmodtager:
a)
ved pengeoverførsler, hvor betalers og betalingsmodtagers betalingstjenesteudbyder er etableret inden for Unionen, de i artikel 5 omhandlede oplysninger
b)
ved pengeoverførsler, hvor betalers eller betalingsmodtagers betalingstjenesteudbyder er etableret uden for Unionen, de i artikel 4, stk. 1, litra a), b) og c), og artikel 4, stk. 2, litra a) og b), omhandlede oplysninger
c)
ved batchfiloverførsler, hvor betalers eller betalingsmodtagers betalingstjenesteudbyder er etableret uden for Unionen, de oplysninger, der er omhandlet i artikel 4, stk. 1, litra a), b) og c), og artikel 4, stk. 2, litra a) og b), vedrørende denne batchfiloverførsel.
Artikel 12
Pengeoverførsler med manglende oplysninger om betaler eller betalingsmodtager
1.   Mellembetalingsformidleren fastsætter og etablerer effektive risikobaserede procedurer til at fastslå, hvorvidt en pengeoverførsel, hvor de krævede oplysninger om betaler og betalingsmodtager mangler, skal gennemføres, afvises eller suspenderes, og til at træffe hensigtsmæssige opfølgningsforanstaltninger.
Hvis mellembetalingsformidleren ved modtagelsen af en pengeoverførsel får kendskab til, at de i artikel 4, stk. 1, litra a), b) og c), artikel 4, stk. 2, litra a) og b), artikel 5, stk. 1, eller artikel 6 omhandlede oplysninger mangler eller ikke er udfyldt med tegn eller input i overensstemmelse med det pågældende meddelelses- eller betalings- og afviklingssystems konventioner, som omhandlet i artikel 7, stk. 1, skal denne mellembetalingsformidlere på et risikobaseret grundlag:
a)
afvise overførslen, eller
b)
anmode om de krævede oplysninger om betaleren og betalingsmodtageren før eller efter pengeoverførslen.
2.   Undlader en betalingstjenesteudbyder gentagne gange at levere de krævede oplysninger om betaleren eller betalingsmodtageren, skal mellembetalingsformidleren:
a)
træffe foranstaltninger, som i første omgang kan omfatte udsendelse af advarsler og fastsættelse af frister inden der skrides til afvisning, begrænsning eller afbrydelse i overensstemmelse med litra b), hvis de krævede oplysninger fortsat ikke er leveret, eller
b)
direkte afvise enhver fremtidig pengeoverførsel fra denne betalingstjenesteudbyder eller begrænse eller afbryde sine forretningsforbindelser med denne betalingstjenesteudbyder.
Mellembetalingsformidleren indberetter denne undladelse og de trufne foranstaltninger til den kompetente myndighed, der har ansvar for at føre tilsyn med, at bestemmelserne om forebyggelse af hvidvask af penge og bekæmpelse af finansiering af terrorisme overholdes.
Artikel 13
Vurdering og rapportering
Mellembetalingsformidleren skal lade manglende oplysninger om betaleren eller betalingsmodtageren indgå som en faktor ved vurderingen af, om en pengeoverførsel eller dertil knyttede transaktioner er mistænkelige, og om den skal indberettes til FIU'en i overensstemmelse med direktiv (EU) 2015/849.
KAPITEL III
Forpligtelser for udbydere af kryptoaktivtjenester
Afdeling 1
Forpligtelser for ordregiverens udbyder af kryptoaktivtjenester
Artikel 14
Oplysninger, der skal medsendes ved overførsler af kryptoaktiver
1.   Ordregiverens udbyder af kryptoaktivtjenester sikrer, at der ved overførsler af kryptoaktiver medsendes følgende oplysninger om ordregiveren:
a)
ordregiverens navn
b)
ordregiverens distributed ledger-adresse i tilfælde, hvor en overførsel af kryptoaktiver registreres på et netværk, der anvender DLT eller lignende teknologi, og ordregiverens kryptoaktivkontonummer, hvis en sådan konto findes og anvendes til at behandle transaktionen
c)
ordregiverens kryptoaktivkontonummer i tilfælde, hvor en overførsel af kryptoaktiver ikke registreres på et netværk, der anvender DLT eller lignende teknologi
d)
ordregiverens adresse, herunder landets navn, officielle personlige dokumentnummer og kunde-ID-nummer eller alternativt ordregiverens fødselsdato og -sted, og
e)
ordregiverens aktuelle LEI eller i mangel heraf, enhver tilgængelig tilsvarende officiel identifikator med forbehold af, at det nødvendige felt i det relevante meddelelsesformat findes, og at ordregiver har oplyst den til sin udbyder af kryptoaktivtjenester.
2.   Ordregiverens udbyder af kryptoaktivtjenester sikrer, at der ved overførslen af kryptoaktiver medsendes følgende oplysninger om ordremodtageren:
a)
ordremodtagerens navn
b)
ordremodtagerens distributed ledger-adresse i tilfælde, hvor en overførsel af kryptoaktiver registreres på et netværk, der anvender DLT eller lignende teknologi, og ordremodtagerens kryptoaktivkontonummer, hvis en sådan konto findes og anvendes til at behandle transaktionen
c)
ordremodtagerens kryptoaktivkontonummer i tilfælde, hvor en overførsel af kryptoaktiver ikke registreres på et netværk, der anvender DLT eller lignende teknologi, og
d)
ordremodtagers aktuelle LEI eller i mangel heraf enhver anden tilgængelig tilsvarende officiel identifikator på ordremodtager med forbehold af, at det nødvendige felt i det relevante meddelelsesformat findes, og at ordregiver har oplyst den til sin udbyder af kryptoaktivtjenester.
3.   Uanset stk. 1, litra c), og stk. 2, litra c), sørger ordregiverens udbyder af kryptoaktivtjenester for, at der ved overførsler af kryptoaktiver, som ikke registreres på et netværk, der anvender DLT eller lignende teknologi, og som ikke er foretaget til eller fra en kryptoaktivkonto, medsendes en entydig transaktionsidentifikator.
4.   De i stk. 1 og 2 omhandlede oplysninger fremsendes forud for, eller samtidigt eller parallelt med overførslen af kryptoaktiver og på en sikker måde og i overensstemmelse med forordning (EU) 2016/679.
Det er ikke et krav, at de i stk. 1 og 2 omhandlede oplysninger knyttes direkte til eller indgår i overførslen af kryptoaktiver.
5.   I tilfælde af en overførsel af kryptoaktiver til en selvhostet adresse indhenter og opbevarer ordregiverens udbyder af kryptoaktivtjenester de i stk. 1 og 2 omhandlede oplysninger og sikrer, at overførslen af kryptoaktiver kan identificeres individuelt.
Uden at det berører specifikke risikobegrænsende foranstaltninger truffet i overensstemmelse med artikel 19b i direktiv (EU) 2015/849, skal ordregiverens udbyder af kryptoaktivtjenester i tilfælde af en overførsel af et beløb, der overstiger 1 000 EUR, til en selvhostet adresse, træffe passende foranstaltninger til at vurdere, om denne adresse ejes eller kontrolleres af ordregiveren.
6.   Før kryptoaktiverne overføres, kontrollerer ordregiverens udbyder af kryptoaktivtjenester på grundlag af dokumenter, data eller oplysninger fra en pålidelig og uafhængig kilde, at de i stk. 1 omhandlede oplysninger er korrekte.
7.   Den i nærværende artikels stk. 6 omhandlede kontrol anses for at have fundet sted, hvis et af følgende forhold gør sig gældende:
a)
ordregiverens identitet er blevet kontrolleret i overensstemmelse med artikel 13 i direktiv (EU) 2015/849, og de ved denne kontrol indhentede oplysninger er blevet opbevaret i overensstemmelse med nævnte direktivs artikel 40
b)
artikel 14, stk. 5, i direktiv (EU) 2015/849 finder anvendelse på ordregiveren.
8.   Ordregiverens udbyder af kryptoaktivtjenester må ikke tillade foranledning eller gennemførelse af en overførsel af kryptoaktiver, før denne har sikret sig, at den er i fuld overensstemmelse med nærværende artikel.
Artikel 15
Batchfiloverførsler af kryptoaktiver
Ved batchfiloverførsler af kryptoaktiver fra en enkelt ordregiver finder artikel 14, stk. 1, ikke anvendelse på de enkelte overførsler, der er samlet heri, såfremt batchfilen indeholder de oplysninger, der er omhandlet i artikel 14, stk. 1, 2 og 3, oplysningerne er blevet kontrolleret i overensstemmelse med artikel 14, stk. 6 og 7, og de enkelte overførsler indeholder ordregivers distributed ledger-adresse, hvis artikel 14, stk. 2, litra b), finder anvendelse, ordregivers kryptoaktivkontonummer, hvis artikel 14, stk. 2, litra c), finder anvendelse, eller den entydige transaktionsidentifikator, hvis artikel 14, stk. 3, finder anvendelse.
Afdeling 2
Forpligtelser for ordremodtagerens udbyder af kryptoaktivtjenester
Artikel 16
Konstatering af, hvorvidt der mangler oplysninger om ordregiver eller ordremodtager
1.   Ordremodtagerens udbyder af kryptoaktivtjenester indfører effektive procedurer, herunder hvor det er relevant overvågning efter eller under overførslerne, til at konstatere, om de i artikel 14, stk. 1 og 2, omhandlede oplysninger om ordregiveren og ordremodtageren indgår i eller følger efter overførslen eller batchfiloverførslen.
2.   I tilfælde af en overførsel af kryptoaktiver fra en selvhostet adresse indhenter og opbevarer ordremodtagerens udbyder af kryptoaktivtjenester de i artikel 14, stk. 1 og 2, omhandlede oplysninger og sikrer, at overførslen af kryptoaktiver kan identificeres individuelt.
Uden at det berører specifikke risikobegrænsende foranstaltninger truffet i overensstemmelse med artikel 19b i direktiv (EU) 2015/849, skal ordremodtagerens udbyder af kryptoaktivtjenester i tilfælde af en overførsel af et beløb, der overstiger 1 000 EUR, fra en selvhostet adresse, træffe passende foranstaltninger til at vurdere, om denne adresse ejes eller kontrolleres af ordremodtageren.
3.   Før kryptoaktiverne stilles til rådighed for ordremodtageren, kontrollerer ordremodtagerens udbyder af kryptoaktivtjenester på grundlag af dokumenter, data eller oplysninger fra en pålidelig og uafhængig kilde, at de i artikel 14, stk. 2, omhandlede oplysninger om ordremodtageren er korrekte.
4.   Den i nærværende artikels stk. 2 og 3 omhandlede kontrol anses for at have fundet sted, hvis et af følgende forhold gør sig gældende:
a)
ordremodtagerens identitet er blevet kontrolleret i overensstemmelse med artikel 13 i direktiv (EU) 2015/849, og de ved denne kontrol indhentede oplysninger er blevet opbevaret i overensstemmelse med nævnte direktivs artikel 40
b)
artikel 14, stk. 5, i direktiv (EU) 2015/849 finder anvendelse på modtageren.
Artikel 17
Overførsler af kryptoaktiver med manglende eller ufuldstændige oplysninger om ordregiver eller ordremodtager
1.   Ordremodtagerens udbyder af kryptoaktivtjenester indfører effektive risikobaserede procedurer, herunder procedurer baseret på det risikobaserede grundlag, der er omhandlet i artikel 13 i direktiv (EU) 2015/849 til at konstatere, hvorvidt en overførsel af kryptoaktiver, som mangler de krævede fuldstændige oplysninger om ordregiveren og ordremodtageren, skal gennemføres, afvises, sendes tilbage eller suspenderes, og til at træffe hensigtsmæssige opfølgningsforanstaltninger.
Hvis ordremodtagerens udbyder af kryptoaktivtjenester får kendskab til, at de oplysninger, der er omhandlet i artikel 14, stk. 1 eller 2, eller i artikel 15 mangler eller er ufuldstændige, skal denne udbyder af kryptoaktivtjenester på et risikobaserede grundlag og uden unødig forsinkelse:
a)
afvise overførslen eller sende de overførte kryptoaktiver tilbage til ordregiverens kryptoaktivkonto, eller
b)
anmode om de krævede oplysninger om ordregiveren og ordremodtageren, inden kryptoaktiverne stilles til rådighed for ordremodtageren.
2.   Hvis en udbyder af kryptoaktivtjenester gentagne gange undlader at forelægge de påkrævede oplysninger om ordregiveren eller ordremodtageren, skal ordremodtagerens udbyder af kryptoaktivtjenester:
a)
træffe foranstaltninger, som i første omgang kan omfatte udsendelse af advarsler og fastsættelse af frister inden der skrides til afvisning, begrænsning eller afbrydelse i overensstemmelse med litra b), hvis de krævede oplysninger fortsat ikke er leveret, eller
b)
direkte afvise enhver fremtidig overførsel af kryptoaktiver til eller fra eller begrænse eller afbryde sine forretningsforbindelser med denne udbyder af kryptoaktivtjenester.
Ordremodtagerens udbyder af kryptoaktivtjenester indberetter denne undladelse og de trufne foranstaltninger til den kompetente myndighed, der har ansvar for at føre tilsyn med, at bestemmelserne om forebyggelse af hvidvask af penge og bekæmpelse af finansiering af terrorisme overholdes.
Artikel 18
Vurdering og rapportering
Ordremodtagerens udbyder af kryptoaktivtjenester skal lade manglende eller ufuldstændige oplysninger om ordregiveren eller ordremodtageren indgå som en faktor ved vurderingen af, om overførslen af kryptoaktiver eller dertil knyttede transaktioner er mistænkelig, og om den skal indberettes til FIU'en i overensstemmelse med direktiv (EU) 2015/849.
Afdeling 3
Forpligtelser for mellemudbydere af kryptoaktivtjenester
Artikel 19
Opbevaring af oplysninger om ordregiver og ordremodtager, der medsendes ved overførslen
Mellemudbydere af kryptoaktivtjenester sikrer, at samtlige modtagne oplysninger om ordregiveren og ordremodtageren, der medsendes ved en overførsel af kryptoaktiver, overføres sammen med overførslen, og at registreringer af sådanne oplysninger opbevares og på anmodning stilles til rådighed for de kompetente myndigheder.
Artikel 20
Konstatering af, hvorvidt der mangler oplysninger om ordregiver eller ordremodtager
Mellemudbyderen af kryptoaktivtjenester indfører effektive procedurer, herunder hvor det er relevant overvågning efter eller under overførslerne, for at konstatere, om de oplysninger om ordregiver eller ordremodtager, der er omhandlet i artikel 14, stk. 1, litra a), b) og c), og artikel 14, stk. 2, litra a), b) og c), er blevet fremsendt forud for eller samtidigt eller parallelt med overførslen eller batchfiloverførslen af kryptoaktiver, herunder hvis overførslen foretages til eller fra en selvhostet adresse.
Artikel 21
Overførsler af kryptoaktiver med manglende oplysninger om ordregiver eller ordremodtager
1.   Mellemudbyderen af kryptoaktivtjenester etablerer effektive risikobaserede procedurer, herunder procedurer baseret på det risikobaserede grundlag der er omhandlet i artikel 13 i direktiv (EU) 2015/849 til at fastslå, hvorvidt en overførsel af kryptoaktiver, hvor de krævede oplysninger om ordregiveren og ordremodtageren mangler, skal gennemføres, afvises, sendes tilbage eller suspenderes, og til at træffe hensigtsmæssige opfølgningsforanstaltninger.
Hvis mellemudbyderen af kryptoaktivtjenester ved modtagelse af en overførsel af kryptoaktiver får kendskab til, at de oplysninger, der er omhandlet i artikel 14, stk. 1, litra a), b) og c), og artikel 14, stk. 2, litra a), b) og c) eller artikel 15, stk. 1, mangler eller er ufuldstændige, skal denne mellemudbyder af kryptoaktivtjenester på et risikobaseret grundlag og uden unødig forsinkelse:
a)
afvise overførslen eller sende de overførte kryptoaktiver tilbage, eller
b)
anmode om de krævede oplysninger om ordregiveren og ordremodtageren inden overførslen af kryptoaktiver.
2.   Hvis en udbyder af kryptoaktivtjenester gentagne gange undlader at forelægge de påkrævede oplysninger om ordregiveren eller ordremodtageren, skal mellemudbyderen af kryptoaktivtjenester:
a)
træffe foranstaltninger, som i første omgang kan omfatte udsendelse af advarsler og fastsættelse af frister inden der skrides til afvisning, begrænsning eller afbrydelse i overensstemmelse med litra b), hvis de krævede oplysninger fortsat ikke er leveret, eller
b)
direkte afvise enhver fremtidig overførsel af kryptoaktiver til eller fra eller begrænse eller afbryde sine forretningsforbindelser med den denne udbyder af kryptoaktivtjenester.
Mellemudbyderen af kryptoaktivtjenester indberetter denne undladelse og de trufne foranstaltninger til den kompetente myndighed, der har ansvar for at føre tilsyn med, at bestemmelserne om forebyggelse af hvidvask af penge og bekæmpelse af finansiering af terrorisme overholdes.
Artikel 22
Vurdering og rapportering
Mellemudbyderen af kryptoaktivtjenester skal lade manglende oplysninger om ordregiveren eller ordremodtageren indgå som en faktor ved vurderingen af, om overførslen af kryptoaktiver eller dertil knyttede transaktioner er mistænkelig, og om den skal indberettes til FIU'en i overensstemmelse med direktiv (EU) 2015/849.
KAPITEL IV
Fælles foranstaltninger, som skal anvendes af betalingstjenesteudbydere og udbydere af kryptoaktivtjenester
Artikel 23
Interne politikker, procedurer og kontroller for at sikre gennemførelsen af restriktive foranstaltninger
Betalingstjenesteudbydere og udbydere af kryptoaktivtjenester indfører interne politikker, procedurer og kontroller for at sikre gennemførelsen af restriktive foranstaltninger på EU-plan og nationalt plan i forbindelse med pengeoverførsler og overførsel af kryptoaktiver i henhold til denne forordning.
Den Europæiske Banktilsynsmyndighed (EBA) udsteder retningslinjer senest den 30. december 2024, der præciserer de i denne artikel omhandlede foranstaltninger.
KAPITEL V
Oplysninger, databeskyttelse og opbevaring af registreringer
Artikel 24
Formidling af oplysninger
Betalingstjenesteudbydere og udbydere af kryptoaktivtjenester efterkommer i overensstemmelse med procedurekravene i den nationale ret i den medlemsstat, hvor de er etableret eller har deres vedtægtsmæssige hjemsted, alt efter hvad der er relevant„ fuldt ud og straks, herunder gennem et centralt kontaktpunkt i overensstemmelse med artikel 45, stk. 9, i direktiv (EU) 2015/849, hvis der er udpeget et sådant kontaktpunkt, udelukkende anmodninger fra de myndigheder, der har ansvar for bekæmpelse af hvidvask af penge eller finansiering af terrorisme i den pågældende medlemsstat, for så vidt angår de oplysninger, der kræves i henhold til denne forordning.
Artikel 25
Databeskyttelse
1.   Behandling af personoplysninger efter denne forordning er underlagt forordning (EU) 2016/679. Personoplysninger, der behandles i henhold til nærværende forordning af Kommissionen eller EBA, er underlagt forordning (EU) 2018/1725.
2.   Personoplysninger må kun behandles af betalingstjenesteudbydere og udbydere af kryptoaktivtjenester på grundlag af denne forordning med henblik på forebygge hvidvask af penge eller finansiering af terrorisme og må ikke senere gøres til genstand for behandling, som er uforenelig med disse formål. Det er forbudt at behandle personoplysninger på grundlag af denne forordning til kommercielle formål.
3.   Betalingstjenesteudbydere og udbydere af kryptoaktivtjenester giver nye kunder de oplysninger, der kræves i henhold til artikel 13 i forordning (EU) 2016/679, inden der etableres forretningsforbindelser, eller der udføres en lejlighedsvis transaktion. Disse oplysninger forelægges i en kortfattet, gennemsigtig, letforståelig og lettilgængelig form i overensstemmelse med artikel 12 i forordning (EU) 2016/679 og skal navnlig omfatte en generel meddelelse om betalingstjenesteudbydernes og udbyderne af kryptoaktivtjenesters juridiske forpligtelser i henhold til nærværende forordning, når de behandler personoplysninger med henblik på at forebygge hvidvask af penge og finansiering af terrorisme.
4.   Betalingstjenesteudbydere og udbydere af kryptoaktivtjenester sikrer til enhver tid, at personoplysninger om de parter, der er involveret i en pengeoverførelse eller en overførsel af kryptoaktiver, videresendes i overensstemmelse med forordning (EU) 2016/679.
Det Europæiske Databeskyttelsesråd udsteder efter høring af EBA retningslinjer for den praktiske gennemførelse af databeskyttelseskravene til overførsel af personoplysninger til tredjelande i forbindelse med overførsler af kryptoaktiver. EBA udsteder retningslinjer for passende procedurer til bestemmelse af, hvorvidt en overførsel af kryptoaktiver skal gennemføres, afvises, sendes tilbage eller suspenderes i situationer, hvor det ikke kan sikres, at databeskyttelseskravene for overførsel af personoplysninger til tredjelande overholdes.
Artikel 26
Opbevaring af registreringer
1.   Oplysninger om betaleren og betalingsmodtageren eller om ordregiveren og ordremodtageren må ikke opbevares længere end strengt nødvendigt. Betalerens og betalingsmodtagerens betalingstjenesteudbyder opbevarer registreringer af de i artikel 4-7 omhandlede oplysninger, og ordregiverens og ordremodtagerens udbyder af kryptoaktivtjenester opbevarer de i artikel 14-16 omhandlede oplysninger i en periode på fem år.
2.   Efter udløbet af den i stk. 1 omhandlede opbevaringsperiode sikrer betalingstjenesteudbyderne og udbyderne af kryptoaktivtjenester, at personoplysningerne slettes, medmindre andet er fastsat i national ret, som bestemmer, under hvilke omstændigheder betalingstjenesteudbydere og udbydere af kryptoaktivtjenester kan eller skal opbevare sådanne oplysninger yderligere. Medlemsstaterne kan kun tillade eller kræve yderligere opbevaring, efter at de har foretaget en grundig vurdering af nødvendigheden og forholdsmæssigheden af den pågældende yderligere opbevaring og, hvis de anser det for at være begrundet som værende nødvendigt af hensyn til forebyggelse, afsløring eller efterforskning af hvidvask af penge eller finansiering af terrorisme. Den yderligere opbevaringsperiode må ikke overstige fem år.
3.   Såfremt der i en medlemsstat den 25. juni 2015 verserer retssager med henblik på at forebygge, afsløre, efterforske eller retsforfølge en formodet hvidvask af penge eller finansiering af terrorisme, og en betalingstjenesteudbyder besidder oplysninger eller dokumenter vedrørende disse verserende sager, må betalingstjenesteudbyderen opbevare disse oplysninger eller dokumenter i overensstemmelse med national ret i en periode på fem år fra den 25. juni 2015. Medlemsstaterne kan, uden at det berører de nationale strafferetlige bevisregler, der gælder for verserende strafferetlige efterforskninger og retslige procedurer, tillade eller kræve, at de pågældende oplysninger eller dokumenter opbevares i en periode på yderligere fem år, såfremt det er blevet fastslået, at en sådan yderligere opbevaring er nødvendig og står i rimeligt forhold til forebyggelse, afsløring, efterforskning eller retsforfølgning af formodet hvidvask af penge eller finansiering af terrorisme.
Artikel 27
Samarbejde mellem kompetente myndigheder
Udveksling af oplysninger mellem kompetente myndigheder og med relevante tredjelandsmyndigheder i henhold til denne forordning er underlagt direktiv (EU) 2015/849.
KAPITEL VI
Sanktioner og overvågning
Artikel 28
Administrative sanktioner og foranstaltninger
1.   Uden at det berører retten til at fastsætte og pålægge strafferetlige sanktioner, fastsætter medlemsstaterne bestemmelser om administrative sanktioner og foranstaltninger for overtrædelse af denne forordning og træffer alle nødvendige foranstaltninger til at sikre gennemførelsen heraf. Sanktionerne og foranstaltningerne skal være effektive, forholdsmæssige og have afskrækkende virkning og være i overensstemmelse med dem, der fastsættes i henhold til kapitel VI, afdeling 4, i direktiv (EU) 2015/849.
Medlemsstaterne kan beslutte ikke at fastsætte bestemmelser om administrative sanktioner eller foranstaltninger for overtrædelser af denne forordning, der er omfattet af strafferetlige sanktioner i henhold til national ret. I så fald meddeler medlemsstaterne Kommissionen de relevante strafferetlige bestemmelser.
2.   Medlemsstaterne sikrer, at der i tilfælde af overtrædelse af forpligtelser, som i henhold til denne forordning påhviler betalingstjenesteudbydere og udbydere af kryptoaktivtjenester, kan anvendes sanktioner eller foranstaltninger på de i national ret fastlagte betingelser over for medlemmerne af den relevante tjenesteudbyders ledelsesorgan og over for enhver anden fysisk person, som i henhold til national ret er ansvarlig for denne overtrædelse.
3.   Medlemsstaterne meddeler Kommissionen og det permanente interne udvalg for bekæmpelse af hvidvask af penge og finansiering af terrorisme, der er omhandlet i artikel 9a, stk. 7, i forordning (EU) nr. 1093/2010, de i stk. 1 omhandlede bestemmelser. Medlemsstaterne underretter uden unødigt ophold Kommissionen og dette permanente interne udvalg om senere ændringer af bestemmelserne.
4.   De kompetente myndigheder tillægges i overensstemmelse med artikel 58, stk. 4, i direktiv (EU) 2015/849 alle de tilsyns- og efterforskningsbeføjelser, der er nødvendige for, at de kan udføre deres opgaver. De kompetente myndigheder iværksætter et tæt samarbejde ved udøvelsen af deres beføjelser til at pålægge administrative sanktioner og foranstaltninger for at sikre, at disse administrative sanktioner eller foranstaltninger får de ønskede virkninger, og for at koordinere deres indsats i forbindelse med grænseoverskridende sager.
5.   Medlemsstaterne sikrer, at juridiske personer kan drages til ansvar for de i artikel 29 omhandlede overtrædelser, som for vindings skyld begås af en person, der handler individuelt eller som medlem af et organ under denne juridiske person, og som har en ledende stilling inden for den juridiske person baseret på et af følgende forhold:
a)
beføjelse til at repræsentere den juridiske person
b)
beføjelse til at træffe beslutninger på den juridiske persons vegne
c)
beføjelse til at udøve intern kontrol inden for den juridiske person.
6.   Medlemsstaterne sikrer også, at en juridisk person kan drages til ansvar, når manglende tilsyn eller kontrol fra en af de i nærværende artikels stk. 5 omhandlede personers side har gjort det muligt for en person, der er underlagt den juridiske persons myndighed, at begå en af de i artikel 29 omhandlede overtrædelser for at skaffe denne juridiske person vinding.
7.   De kompetente myndigheder udøver deres beføjelser til at pålægge administrative sanktioner og foranstaltninger i overensstemmelse med denne forordning på en af følgende måder:
a)
direkte
b)
i samarbejde med andre myndigheder
c)
på eget ansvar ved delegation til sådanne andre myndigheder
d)
ved anmodning til de kompetente retlige myndigheder.
De kompetente myndigheder iværksætter et tæt samarbejde under udøvelsen af deres beføjelser til at pålægge administrative sanktioner og foranstaltninger for at sikre, at disse administrative sanktioner eller foranstaltninger får de ønskede virkninger, og for at koordinere deres indsats i forbindelse med grænseoverskridende sager.
Artikel 29
Særlige bestemmelser
Medlemsstaterne sikrer, at deres administrative sanktioner og foranstaltninger som minimum omfatter dem, der er fastsat i artikel 59, stk. 2 og 3, i direktiv (EU) 2015/849, i tilfælde af følgende overtrædelser af denne forordning:
a)
en betalingstjenesteudbyders gentagne eller systematiske undladelse af ved pengeoverførsel at medsende de krævede oplysninger om betaler eller betalingsmodtager i strid med artikel 4, 5 eller 6, eller en udbyder af kryptoaktivtjenesters gentagne eller systematiske undladelse af ved overførsel af kryptoaktiver at medsende de krævede oplysninger om ordregiver og ordremodtager i strid med artikel 14 eller 15
b)
gentagne, systematiske eller alvorlige forsømmelser fra betalingstjenesteudbyderes eller fra udbydere af kryptoaktivtjenesters side med hensyn til at sikre opbevaring af registreringer i strid med artikel 26
c)
en betalingstjenesteudbyders manglende indførelse af effektive risikobaserede procedurer i strid med artikel 8 eller 12 eller udbyder af kryptoaktivtjenesters manglede indførelse af effektive risikobaserede procedurer i strid med artikel 17
d)
en mellembetalingsformidlers alvorlige tilsidesættelser af artikel 11 eller 12 eller mellemudbyder af kryptoaktivtjenesters alvorlige tilsidesættelser af artikel 19, 20 eller 21.
Artikel 30
Offentliggørelse af sanktioner og foranstaltninger
De kompetente myndigheder offentliggør i overensstemmelse med artikel 60, stk. 1, 2 og 3, i direktiv (EU) 2015/849 uden unødig forsinkelse de administrative sanktioner og foranstaltninger, der er pålagt i de tilfælde, der er omhandlet i denne forordnings artikel 28 og 29, herunder oplysninger om overtrædelsens type og art og identiteten på de personer, som er ansvarlige for overtrædelsen, hvis det er nødvendigt og står i rimeligt forhold til målet efter en vurdering af den enkelte sag.
Artikel 31
Kompetente myndigheders anvendelse af sanktioner og foranstaltninger
1.   Ved afgørelsen af, hvilken type administrative sanktioner eller foranstaltninger der skal anvendes, og hvor store de administrative bøder skal være, tager de kompetente myndigheder hensyn til alle relevante forhold, herunder dem, der er anført i artikel 60, stk. 4, i direktiv (EU) 2015/849.
2.   Med hensyn til de administrative sanktioner og foranstaltninger, der er pålagt i overensstemmelse med denne forordning, finder artikel 62 i direktiv (EU) 2015/849 anvendelse.
Artikel 32
Indberetning af overtrædelser
1.   Medlemsstaterne indfører effektive mekanismer, som tilskynder til at indberette overtrædelser af bestemmelserne i denne forordning til de kompetente myndigheder.
Disse mekanismer skal som minimum omfatte dem, der er omhandlet i artikel 61, stk. 2, i direktiv (EU) 2015/849.
2.   Betalingstjenesteudbyderne og udbyderne af kryptoaktivtjenester skal i samarbejde med de kompetente myndigheder indføre egnede interne procedurer, der giver deres ansatte eller personer i en sammenlignelig stilling mulighed for at indberette overtrædelser internt via en sikker, uafhængig, specifik og anonym kanal, der står i rimeligt forhold til den pågældende betalingstjenesteudbyders eller den pågældende udbyder af kryptoaktivtjenesters art og størrelse.
Artikel 33
Overvågning
1.   Medlemsstaterne pålægger de kompetente myndigheder effektivt at overvåge og træffe de nødvendige foranstaltninger for at sikre, at denne forordning overholdes, og fremmer gennem effektive mekanismer indberetning til de kompetente myndigheder af overtrædelser af bestemmelserne i denne forordning.
2.   Senest den 31. december 2026 og derefter hvert tredje år forelægger Kommissionen en rapport for Europa-Parlamentet og Rådet om anvendelsen af kapitel VI, navnlig hvad angår grænseoverskridende sager.
KAPITEL VII
Gennemførelsesbeføjelser
Artikel 34
Udvalgsprocedure
1.   Kommissionen bistås af Udvalget til Forebyggelse af Hvidvask af Penge og Finansiering af Terrorisme. Dette udvalg er et udvalg som omhandlet i forordning (EU) nr. 182/2011.
2.   Når der henvises til dette stykke, finder artikel 5 i forordning (EU) nr. 182/2011 anvendelse.
KAPITEL VIII
Undtagelser
Artikel 35
Aftaler med lande og territorier, der ikke indgår i Unionens område
1.   Kommissionen kan bemyndige en medlemsstat til at indgå en aftale med et tredjeland eller med et territorium uden for det territoriale anvendelsesområde for traktaten om Den Europæiske Union og traktaten om Den Europæiske Unions funktionsmåde (TEUF) som omhandlet i artikel 355 i TEUF (»det pågældende land eller territorium«), som indeholder undtagelser fra denne forordning, hvorved det bliver muligt at behandle pengeoverførsler mellem dette land eller territorium og den pågældende medlemsstat som pengeoverførsler inden for medlemsstaten.
Der kan kun gives bemyndigelse til at indgå sådanne aftaler, når alle følgende betingelser er opfyldt:
a)
det pågældende land eller territorium er i valutaunion med den pågældende medlemsstat, indgår i medlemsstatens valutaområde eller har undertegnet en monetær aftale med Unionen repræsenteret af en medlemsstat
b)
betalingstjenesteudbydere i det pågældende land eller territorium deltager direkte eller indirekte i den pågældende medlemsstats betalings- og afviklingssystem
c)
det pågældende land eller territorium kræver, at betalingstjenesteudbydere inden for dets jurisdiktion anvender samme regler som fastsat i denne forordning.
2.   En medlemsstat, der ønsker at indgå en aftale som omhandlet i stk. 1, indgiver en anmodning til Kommissionen og leverer alle de oplysninger, der er nødvendige for vurderingen af anmodningen.
3.   Når Kommissionen har modtaget en sådan anmodning, behandles pengeoverførsler mellem denne medlemsstat og det pågældende land eller territorium midlertidigt som overførsler inden for denne medlemsstat, indtil der er truffet en afgørelse i overensstemmelse med denne artikel.
4.   Hvis Kommissionen senest to måneder efter at have modtaget anmodningen skønner, at den ikke har alle de oplysninger, der er nødvendige for vurderingen af anmodningen, kontakter den den pågældende medlemsstat og specificerer, hvilke yderligere oplysninger der kræves.
5.   Senest en måned efter, at Kommissionen har modtaget alle de oplysninger, den finder nødvendige for at kunne vurdere anmodningen, underretter den medlemsstaten herom og videresender kopier af anmodningen til de andre medlemsstater.
6.   Senest tre måneder efter den underretning, der er omhandlet i denne artikels stk. 5, beslutter Kommissionen ved hjælp af en gennemførelsesretsakt i overensstemmelse med artikel 34, stk. 2, hvorvidt den pågældende medlemsstat kan bemyndiges til at indgå den aftale, der er genstand for anmodningen.
Under alle omstændigheder træffer Kommissionen en beslutning som omhandlet i nærværende stykkes første afsnit, senest 18 måneder efter, at den har modtaget anmodningen.
KAPITEL IX
Andre bestemmelser
Artikel 36
Retningslinjer
EBA udsteder retningslinjer til de kompetente myndigheder og betalingstjenesteudbyderne i overensstemmelse med artikel 16 i forordning (EU) nr. 1093/2010 om foranstaltninger, der skal træffes i overensstemmelse med nærværende forordning, særlig med hensyn til gennemførelsen af nærværende forordnings artikel 7, 8, 11 og 12. Senest den 30. juni 2024 udsteder EBA retningslinjer til de kompetente myndigheder og til udbydere af kryptoaktivtjenester om foranstaltninger, der skal træffes med hensyn til gennemførelsen af nærværende forordnings artikel 14-17 og 19-22.
EBA udsteder retningslinjer, der beskriver de tekniske aspekter af denne forordnings anvendelse på direkte debiteringer samt de foranstaltninger, der skal træffes af betalingsinitieringstjenesteudbydere som defineret i artikel 4, nr. 18), i direktiv (EU) 2015/2366 i henhold til denne forordning, idet der tages højde for deres begrænsede rolle i betalingstransaktioner.
EBA udsteder retningslinjer til de kompetente myndigheder om kendetegnene ved en risikobaseret tilgang til tilsyn med udbydere af kryptoaktivtjenester og de skridt, der skal tages, når der føres et sådant tilsyn.
EBA sikrer en regelmæssig dialog med interessenterne om udviklingen af tekniske interoperable løsninger med henblik på at lette gennemførelsen af kravene i denne forordning.
Artikel 37
Revision
1.   Senest 12 måneder efter ikrafttrædelsen af en forordning om forebyggende foranstaltninger mod anvendelse af det finansielle system til hvidvask af penge eller finansiering af terrorisme reviderer Kommissionen nærværende forordning og foreslår, hvis det er relevant, ændringer for at sikre en konsekvent tilgang og tilpasning til forordningen om forebyggende foranstaltninger mod anvendelse af det finansielle system til hvidvask af penge eller finansiering af terrorisme.
2.   Senest den 1. juli 2026 udsender Kommissionen efter høring af EBA en rapport med en vurdering af de risici, der er forbundet med overførsler til eller fra selvhostede adresser eller enheder, som ikke er etableret i Unionen, og behovet for specifikke foranstaltninger til at begrænse disse risici og foreslår, hvis det er relevant, ændringer til denne forordning.
3.   Senest den 30. juni 2027 fremlægger Kommissionen en rapport for Europa-Parlamentet og Rådet om denne forordnings anvendelse og håndhævelse, eventuelt ledsaget af et lovgivningsforslag.
Den i første afsnit omhandlede rapport skal indeholde følgende elementer:
a)
en vurdering af effektiviteten af foranstaltningerne i denne forordning og af, hvorvidt betalingstjenesteudbydere og udbydere af kryptoaktivtjenester overholder denne forordning
b)
en vurdering af de teknologiske løsninger, der kan anvendes til at opfylde de forpligtelser, der pålægges udbydere af kryptoaktivtjenester i henhold til denne forordning, herunder af den seneste udvikling inden for teknologisk forsvarlige og interoperable løsninger, der kan anvendes til at overholde denne forordning, og af anvendelsen af analyseværktøjer til DLT til at konstatere oprindelsen af og bestemmelsesstedet for overførsler af kryptoaktiver og til at foretage en »kend din transaktion-vurdering« (KYT)
c)
en vurdering af effektiviteten og egnetheden af bagatelgrænser for pengeoverførsler, navnlig med hensyn til anvendelsesområdet og det sæt af oplysninger, der medsendes ved overførsler, og en vurdering af behovet for at sænke eller fjerne sådanne tærskler
d)
en vurdering af omkostninger og fordele ved at indføre bagatelgrænser for så vidt angår det sæt oplysninger, der medsendes ved overførsler af kryptoaktiver, herunder en vurdering af de dermed forbundne risici for hvidvask af penge og finansiering af terrorisme
e)
en analyse af tendenserne med hensyn til anvendelse af selvhostede adresser til overførsler uden involvering af en tredjepart, sammen med en vurdering af de hermed forbundne risici for hvidvask af penge og finansiering af terrorisme og en evaluering af behovet for og effektiviteten og håndhævelsen af yderligere risikobegrænsende foranstaltninger, f.eks. specifikke forpligtelser for udbydere af hardware- og softwaretegnebøger samt begrænsning for, kontrol af eller forbud mod overførsler, der involverer selvhostede adresser.
Rapporten tager hensyn til ny udvikling på området for bekæmpelse af hvidvask af penge og finansiering af terrorisme samt relevante evalueringer, vurderinger og rapporter på det område, der er udarbejdet af internationale organisationer og standardsættere, retshåndhævende myndigheder og efterretningstjenester, udbydere af kryptoaktivtjenester eller andre pålidelige kilder.
KAPITEL X
Afsluttende bestemmelser
Artikel 38
Ændringer af direktiv (EU) 2015/849
I direktiv (EU) 2015/849 foretages følgende ændringer:
1)
I artikel 2, stk. 1, nr. 3), udgår litra g) og h).
2)
I artikel 3 foretages følgende ændringer:
a)
I nr. 2) tilføjes følgende litra:
»g)
udbydere af kryptoaktivtjenester«.
b)
Nr. 8) affattes således:
»8)
»korrespondentforbindelse«:
a)
levering af bankydelser fra en bank (»korrespondenten«) til en anden bank (»respondenten«), herunder, men ikke begrænset til, oprettelse af en løbende konto eller en anden passivkonto samt tilknyttede ydelser såsom likviditetsstyring, internationale overførsler af midler, checkclearing, »gennemstrømningskonti« og valutatransaktioner
b)
forbindelser mellem kreditinstitutter, mellem finansieringsinstitutter og mellem kreditinstitutter og finansieringsinstitutter, herunder hvor der leveres lignende ydelser fra et korrespondentinstitut til et respondentinstitut, og herunder forbindelser indgået med henblik på værdipapirtransaktioner eller overførsler af midler eller forbindelser indgået med henblik på transaktioner med kryptoaktiver eller overførsler af kryptoaktiver«.
c)
Nr. 18) og 19) affattes således:
»18)
»kryptoaktiv«: et kryptoaktiv som defineret i artikel 3, stk. 1, nr. 5), i Europa-Parlamentet og Rådets forordning (EU) 2023/1114
 (
*1
)
, undtagen når det henhører under de kategorier, der er anført i nævnte forordnings artikel 2, stk. 2, 3 og 4, eller på anden måde kan betegnes som midler
19)
»udbyder af kryptoaktivtjenester«: en udbyder af kryptoaktivtjenester som defineret i artikel 3, stk. 1, nr. 15), i forordning (EU) 2023/1114, når denne leverer en eller flere af de kryptoaktivtjenester, der er defineret i nævnte forordnings artikel 3, stk. 1, nr. 16), med undtagelse af rådgivning om kryptoaktiver som omhandlet i nævnte forordnings artikel 3, stk. 1, nr. 16), litra h)
(
*1
)
  Europa-Parlamentets og Rådets forordning (EU) 2023/1114 af 31. maj 2023 om markeder for kryptoaktiver og om ændring af forordning (EU) nr. 1093/2010 og (EU) nr. 1095/2010 og direktiv 2013/36/EU og (EU) 2019/1937 (
EUT L 150 af 9.6.2023, s. 40
).«
                                                         "
d)
Følgende nummer tilføjes:
»20)
»selvhostet adresse«: en selvhostet adresse som defineret i artikel 3, nr. 20), i Europa-Parlamentets og Rådets forordning (EU) 2023/1113
 (
*2
)
.
(
*2
)
  Europa-Parlamentets og Rådets forordning (EU) 2023/1113 af 31. maj 2023 om oplysninger, der skal medsendes ved pengeoverførsler og ved overførsler af visse kryptoaktiver og om ændring af direktiv (EU) 2015/849 (
EUT L 150 af 9.6.2023, s. 1
).«
                                                         "
3)
I artikel 18 tilføjes følgende stykker:
»5.   Senest den 30. december 2024 udsteder EBA retningslinjer for risikovariabler og risikofaktorer, som udbydere af kryptoaktivtjenester skal tage i betragtning, når de indgår forretningsforbindelser eller gennemfører transaktioner med kryptoaktiver.
6.   EBA bør navnlig præcisere, hvordan udbydere af kryptoaktivtjenester skal tage de risikofaktorer, der er opført i bilag III, i betragtning, herunder når de udfører transaktioner med personer og enheder, der ikke er omfattet af dette direktiv. Med henblik herpå skal EBA være særlig opmærksom på produkter, transaktioner og teknologier, der har potentiale til at fremme anonymitet, såsom anonyme tegnebøger og mikser- og tumblertjenester.
Hvis der konstateres situationer med øget risiko, bør retningslinjerne omhandlet i stk. 5 omfatte skærpede kendskabsprocedurer, som de forpligtede enheder skal overveje at anvende for at begrænse sådanne risici, herunder vedtagelse af passende procedurer, til at fastslå kryptoaktivers oprindelse eller bestemmelsessted.«
4)
Følgende artikler indsættes:
»Artikel 19a
1.   Medlemsstaterne pålægger udbydere af kryptoaktivtjenester at identificere og vurdere risikoen for hvidvask af penge og finansiering af terrorisme i forbindelse med overførsler af kryptoaktiver, der er rettet mod eller stammer fra en selvhostet adresse. Udbydere af kryptoaktivtjenester indfører med henblik herpå interne politikker, procedurer og kontroller. Medlemsstaterne pålægger udbydere af kryptoaktivtjenester at træffe begrænsende foranstaltninger, der står i et rimeligt forhold til de identificerede risici. Disse begrænsende foranstaltninger skal omfatte en eller flere af følgende:
a)
indførelse af risikobaserede foranstaltninger, der skal identificere og kontrollere identiteten af ordregiveren eller ordremodtageren af en overførsel til eller fra en selvhostet adresse eller en sådan ordregivers eller ordremodtagers reelle ejer, herunder gennem anvendelse af tredjeparter
b)
krav om yderligere oplysninger om de overførte kryptoaktivers oprindelse og bestemmelsessted
c)
gennemførelse af øget løbende overvågning af disse transaktioner
d)
enhver anden foranstaltning til begrænsning og styring af risikoen for hvidvask af penge og finansiering af terrorisme samt risikoen for manglende gennemførelse og unddragelse af målrettede finansielle sanktioner og målrettede finansielle sanktioner i forbindelse med finansiering af spredning.
2.   Senest den 30. december 2024 udsteder EBA retningslinjer med henblik på at præcisere de i denne artikel omhandlede foranstaltninger, herunder kriterierne og formerne for identifikation og kontrol af identiteten af ordregiveren eller ordremodtageren af en overførsel til eller fra en selvhostet adresse, navnlig gennem anvendelse af tredjeparter, under hensyntagen til den seneste teknologiske udvikling.
Artikel 19b
1.   Uanset artikel 19 pålægger medlemsstaterne ved grænseoverskridende korrespondentforbindelser, der involverer gennemførelse af kryptoaktivtjenester som defineret i artikel 3, stk. 1, nr. 16), i forordning (EU) 2023/1114, med undtagelse af nævnte nummers litra h), med en respondentenhed, der ikke er etableret i Unionen og leverer lignende tjenester, herunder overførsler af kryptoaktiver, ud over de kundekendskabsprocedurer, der er fastsat i dette direktivs artikel 13, udbydere af kryptoaktivtjenester i forbindelse med etablering af en forretningsforbindelse med en sådan enhed:
a)
at fastslå, om respondentenheden er godkendt eller registreret
b)
at indhente tilstrækkelige oplysninger om respondentenheden til fuldt ud at forstå, hvori dens virksomhed består, og på grundlag af offentligt tilgængelige oplysninger at bedømme enhedens omdømme og kvaliteten af overvågningen
c)
at vurdere respondentenhedens AML/CFT-kontroller
d)
at indhente den øverste ledelses godkendelse, inden der etableres nye korrespondentforbindelser
e)
at dokumentere de respektive ansvarsområder, der påhviler hver part i korrespondentforbindelsen
f)
i forbindelse med »gennemstrømningskryptoaktivkonti« at sikre sig, at respondentenheden har identitetskontrolleret de kunder, der har direkte adgang til korrespondentenhedens konti, og løbende har gennemført kundekendskabsprocedurer, samt at den er i stand til at forelægge relevante kundekendskabsoplysninger for korrespondentenheden efter anmodning.
Når udbydere af kryptoaktivtjenester beslutter at afslutte korrespondentforbindelser af årsager, som har tilknytning til politikker vedrørende bekæmpelse af hvidvask af penge og finansiering af terrorisme, skal de dokumentere og registrere deres beslutning.
Udbydere af kryptoaktivtjenester ajourfører regelmæssigt kendskabsoplysningerne for korrespondentforbindelsen, eller når der opstår nye risici i forbindelse med respondentenheden.
2.   Medlemsstaterne sikrer, at udbydere af kryptoaktivtjenester tager hensyn til de oplysninger, der er omhandlet i stk. 1, for på et risikofølsomt grundlag at fastlægge de passende foranstaltninger, der skal træffes for at begrænse de risici, der er forbundet med respondentenheden.
3.   Senest den 30. juni 2024 udsteder EBA retningslinjer for at præcisere de kriterier og elementer, som udbydere af kryptoaktivtjenester skal tage i betragtning i forbindelse med den vurdering, der er omhandlet i stk. 1, og de risikobegrænsende foranstaltninger, der er omhandlet i stk. 2, herunder de minimumsforanstaltninger, der skal træffes af udbydere af kryptoaktivtjenester, hvis respondentenheden ikke er registreret eller godkendt.«
5)
Følgende artikel indsættes:
»Artikel 24a
Senest den 1. januar 2024 udsteder EBA retningslinjer, der præciserer, hvordan de skærpede kundekendskabsprocedurer i denne afdeling finder anvendelse, når forpligtede enheder udfører kryptoaktivtjenester som defineret i artikel 3, stk. 1, nr. 16), i forordning (EU) 2023/1114, med undtagelse af nævnte nummers litra h), samt overførsler af kryptoaktiver som defineret i artikel 3, nr. 10), i forordning (EU) 2023/1113. EBA præciserer navnlig, hvordan og hvornår disse forpligtede enheder skal indhente yderligere oplysninger om ordregiver og ordremodtager.«
6)
Artikel 45, stk. 9, affattes således:
»9.   Medlemsstaterne kan kræve, at udstedere af elektroniske penge som defineret i artikel 2, nr. 3), i direktiv 2009/110/EF og betalingstjenesteudbydere som defineret i artikel 4, nr. 11), i direktiv (EU) 2015/2366, og udbydere af kryptoaktivtjenester, der er etableret på deres område i anden form end en filial, og som har hovedsæde i en anden medlemsstat, udpeger et centralt kontaktpunkt på deres område. Dette centrale kontaktpunkt sikrer på vegne af den enhed, der driver virksomhed på tværs af grænserne, overholdelse af AML/CFT-reglerne og letter tilsynsorganernes tilsyn, herunder ved på anmodning at give tilsynsorganerne dokumenter og oplysninger.«
7)
Artikel 47, stk. 1, affattes således:
»1.   Medlemsstaterne sikrer, at valutavekslings- og checkindløsningskontorer samt udbydere af tjenester til truster eller selskaber er godkendte eller registrerede, og at udbydere af spiltjenester reguleres.«
8)
I artikel 67 tilføjes følgende stykke:
»3.   Medlemsstaterne vedtager og offentliggør senest den 30. december 2024 de love og administrative bestemmelser, der er nødvendige for at efterkomme artikel 2, stk. 1, nr. 3), artikel 3, nr. 2), litra g), artikel 3, nr. 8), 18), 19) og 20), artikel 19a, stk. 1, artikel 19b, stk. 1 og 2, artikel 45, stk. 9, og artikel 47, stk. 1. De meddeler straks Kommissionen teksten til disse love og bestemmelser.
De anvender disse love og bestemmelser fra den 30. december 2024.«
Artikel 39
Ophævelse
Forordning (EU) 2015/847 ophæves med virkning fra anvendelsesdatoen for nærværende forordning.
Henvisninger til den ophævede forordning gælder som henvisninger til nærværende forordning og læses efter sammenligningstabellen i bilag II.
Artikel 40
Ikrafttræden
Denne forordning træder i kraft på tyvendedagen efter offentliggørelsen i 
Den Europæiske Unions Tidende
.
Den finder anvendelse fra den 30. december 2024.
Denne forordning er bindende i alle enkeltheder og gælder umiddelbart i hver medlemsstat.
Udfærdiget i Bruxelles, den 31. maj 2023.
På Europa-Parlamentets vegne
R. METSOLA
Formand
På Rådets vegne
P. KULLGREN
Formand
(
1
)
  
            
EUT C 68 af 9.2.2022, s. 2
.
(
2
)
  
            
EUT C 152 af 6.4.2022, s. 89
.
(
3
)
  Europa-Parlamentets holdning af 20.4.2023 (endnu ikke offentliggjort i EUT) og Rådets afgørelse af 16.5.2023.
(
4
)
  Europa-Parlamentets og Rådets forordning (EU) 2015/847 af 20. maj 2015 om oplysninger, der skal medsendes ved pengeoverførsler, og om ophævelse af forordning (EF) nr. 1781/2006 (
EUT L 141 af 5.6.2015, s. 1
).
(
5
)
  Jf. bilag I.
(
6
)
  Europa-Parlamentets og Rådets direktiv 2009/110/EF af 16. september 2009 om adgang til at optage og udøve virksomhed som udsteder af elektroniske penge og tilsyn med en sådan virksomhed, ændring af direktiv 2005/60/EF og 2006/48/EF og ophævelse af direktiv 2000/46/EF (
EUT L 267 af 10.10.2009, s. 7
).
(
7
)
  Europa-Parlamentets og Rådets direktiv (EU) 2015/849 af 20. maj 2015 om forebyggende foranstaltninger mod anvendelse af det finansielle system til hvidvask af penge eller finansiering af terrorisme, om ændring af Europa-Parlamentets og Rådets forordning (EU) nr. 648/2012 og om ophævelse af Europa-Parlamentets og Rådets direktiv 2005/60/EF samt Kommissionens direktiv 2006/70/EF (
EUT L 141 af 5.6.2015, s. 73
).
(
8
)
  Europa-Parlamentets og Rådets direktiv (EU) 2018/843 af 30. maj 2018 om ændring af direktiv (EU) 2015/849 om forebyggende foranstaltninger mod anvendelse af det finansielle system til hvidvask af penge eller finansiering af terrorisme og om ændring af direktiv 2009/138/EF og 2013/36/EU (
EUT L 156 af 19.6.2018, s. 43
).
(
9
)
  Europa-Parlamentets og Rådets forordning (EU) 2023/1114 af 31. maj 2023 om markeder for kryptoaktiver og om ændring af forordning (EU) nr. 1093/2010 og (EU) nr. 1095/2010 og direktiv 2013/36/EU og (EU) 2019/1937 (
EUT L 150 af 9.6.2023, s. 40
).
(
10
)
  Rådets forordning (EF) nr. 2580/2001 af 27. december 2001 om specifikke restriktive foranstaltninger mod visse personer og enheder med henblik på at bekæmpe terrorisme (
EFT L 344 af 28.12.2001, s. 70
).
(
11
)
  Rådets forordning (EF) nr. 881/2002 af 27. maj 2002 om indførelse af visse specifikke restriktive foranstaltninger mod visse personer og enheder, der har tilknytning til ISIL- (Da'esh) og al-Qaedaorganisationerne (
EFT L 139 af 29.5.2002, s. 9
).
(
12
)
  Rådets forordning (EU) nr. 356/2010 af 26. april 2010 om indførelse af visse specifikke restriktive foranstaltninger mod visse fysiske eller juridiske personer, enheder eller organer på grund af situationen i Somalia (
EUT L 105 af 27.4.2010, s. 1
).
(
13
)
  Europa-Parlamentets og Rådets forordning (EU) nr. 1093/2010 af 24. november 2010 om oprettelse af en europæisk tilsynsmyndighed (Den Europæiske Banktilsynsmyndighed), om ændring af afgørelse nr. 716/2009/EF og om ophævelse af Kommissionens afgørelse 2009/78/EF (
EUT L 331 af 15.12.2010, s. 12
).
(
14
)
  Rådets forordning (EU) nr. 267/2012 af 23. marts 2012 om restriktive foranstaltninger over for Iran og om ophævelse af forordning (EU) nr. 961/2010 (
EUT L 88 af 24.3.2012, s. 1
).
(
15
)
  Rådets forordning (EU) 2016/1686 af 20. september 2016 om indførelse af yderligere restriktive foranstaltninger over for ISIL (Da'esh) og al-Qaeda og fysiske og juridiske personer, enheder eller organer, der er knyttet til dem (
EUT L 255 af 21.9.2016, s. 1
).
(
16
)
  Rådets forordning (EU) 2017/1509 af 30. august 2017 om restriktive foranstaltninger over for Den Demokratiske Folkerepublik Korea og om ophævelse af forordning (EF) nr. 329/2007 (
EUT L 224 af 31.8.2017, s. 1
).
(
17
)
  Europa-Parlamentets og Rådets forordning (EU) 2016/679 af 27. april 2016 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger og om ophævelse af direktiv 95/46/EF (generel forordning om databeskyttelse) (
EUT L 119 af 4.5.2016, s. 1
).
(
18
)
  Europa-Parlamentets og Rådets direktiv (EU) 2015/2366 af 25. november 2015 om betalingstjenester i det indre marked, og om ændring af direktiv 2002/65/EF, 2009/110/EF og 2013/36/EU og forordning (EU) nr. 1093/2010 og om ophævelse af direktiv 2007/64/EF (
EUT L 337 af 23.12.2015, s. 35
).
(
19
)
  Europa-Parlamentets og Rådets forordning (EU) nr. 260/2012 af 14. marts 2012 om tekniske og forretningsmæssige krav til kreditoverførsler og direkte debiteringer i euro og om ændring af forordning (EF) nr. 924/2009 (
EUT L 94 af 30.3.2012, s. 22
).
(
20
)
  Europa-Parlamentets og Rådets forordning (EU) 2021/1230 af 14. juli 2021 om grænseoverskridende betalinger i Unionen (
EUT L 274 af 30.7.2021, s. 20
).
(
21
)
  Europa-Parlamentets og Rådets direktiv (EU) 2016/680 af 27. april 2016 om beskyttelse af fysiske personer i forbindelse med kompetente myndigheders behandling af personoplysninger med henblik på at forebygge, efterforske, afsløre eller retsforfølge strafbare handlinger eller fuldbyrde strafferetlige sanktioner og om fri udveksling af sådanne oplysninger og om ophævelse af Rådets rammeafgørelse 2008/977/RIA (
EUT L 119 af 4.5.2016, s. 89
).
(
22
)
  Europa-Parlamentets og Rådets forordning (EU) nr. 182/2011 af 16. februar 2011 om de generelle regler og principper for, hvordan medlemsstaterne skal kontrollere Kommissionens udøvelse af gennemførelsesbeføjelser (
EUT L 55 af 28.2.2011, s. 13
).
(
23
)
  Europa-Parlamentets og Rådets forordning (EU) 2018/1725 af 23. oktober 2018 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger i Unionens institutioner, organer, kontorer og agenturer og om fri udveksling af sådanne oplysninger og om ophævelse af forordning (EF) nr. 45/2001 og afgørelse nr. 1247/2002/EF (
EUT L 295 af 21.11.2018, s. 39
).
(
24
)
  
            
EUT C 524 af 29.12.2021, s. 10
.
BILAG I
OPHÆVET FORORDNING MED OVERSIGT OVER ÆNDRINGER
Europa-Parlamentets og Rådets forordning (EU) 2015/847
(
EUT L 141 af 5.6.2015, s. 1
)
Europa-Parlamentets og Rådets forordning (EU) 2019/2175
(
EUT L 334 af 27.12.2019, s. 1
)
[Kun artikel 6]
BILAG II
SAMMENLIGNINGSTABEL
Forordning (EU) 2015/847
Nærværende forordning
Artikel 1
Artikel 1
Artikel 2, stk. 1, 2 og 3
Artikel 2, stk. 1, 2 og 3
Artikel 2, stk. 4, første og andet afsnit
Artikel 2, stk. 4, første og andet afsnit
—
Artikel 2, stk. 4, tredje og fjerde afsnit
Artikel 2, stk. 5
Artikel 2, stk. 5
Artikel 3, indledning
Artikel 3, indledning
Artikel 3, nr. 1)-9)
Artikel 3, nr. 1)-9)
—
Artikel 3, nr. 10)
Artikel 3, nr. 10)
Artikel 3, nr. 11)
Artikel 3, nr. 11)
Artikel 3, nr. 12)
Artikel 3, nr. 12)
—
—
Artikel 3, nr. 13)-24)
Artikel 4, stk. 1, indledning
Artikel 4, stk. 1, indledning
Artikel 4, stk. 1, litra a), b) og c)
Artikel 4, stk. 1, litra a), b) og c)
—
Artikel 4, stk. 1, litra d)
Artikel 4, stk. 2, indledning
Artikel 4, stk. 2, indledning
Artikel 4, stk. 2, litra a) og b)
Artikel 4, stk. 2, litra a) og b)
—
Artikel 4, stk. 2, litra c)
Artikel 4, stk. 3-6
Artikel 4, stk. 3-6
Artikel 5-13
Artikel 5-13
—
Artikel 14-23
Artikel 14
Artikel 24
Artikel 15, stk. 1, 2 og 3
Artikel 25, stk. 1, 2 og 3
Artikel 15, stk. 4, eneste afsnit
Artikel 25, stk. 4, første afsnit
—
Artikel 25, stk. 4, andet afsnit
Artikel 16
Artikel 26
—
Artikel 27
Artikel 17
Artikel 28
Artikel 18
Artikel 29
Artikel 19
Artikel 30
Artikel 20
Artikel 31
Artikel 21
Artikel 32
Artikel 22
Artikel 33
Artikel 23
Artikel 34
Artikel 24, stk. 1-6
Artikel 35, stk. 1-6
Artikel 24, stk. 7
—
Artikel 25, eneste afsnit
Artikel 36, første afsnit
—
Artikel 36, andet, tredje og fjerde afsnit
—
Artikel 37
—
Artikel 38
Artikel 26
Artikel 39
Artikel 27
Artikel 40
Bilag
—
—
Bilag I
—
Bilag II

Summary:
Oplysninger, der skal medsendes ved pengeoverførsler og ved overførsler af visse kryptoaktiver
RESUMÉ AF:
Forordning (EU) 2023/1113 om oplysninger, der skal medsendes ved pengeoverførsler og ved overførsler af visse kryptoaktiver
HVAD ER FORMÅLET MED FORORDNINGEN?
Forordningen
 er en 
omarbejdning
 af forordning (EU) 
2015/847
 om oplysninger, der skal medsendes ved pengeoverførsler. Den udvider anvendelsesområdet for forordning (EU) 2015/847 til også at omfatte overførsler af kryptoaktiver
1
.
Forordningen fastsætter regler om oplysninger om betalere og betalingsmodtagere, der skal medsendes ved pengeoverførsler uanset valuta, og om oplysninger om ordregivere og ordremodtagere, der skal medsendes ved overførsel af kryptoaktiver, samt regler om interne politikker, procedurer og kontroller for at sikre gennemførelsen af restriktive foranstaltninger.
HOVEDPUNKTER
Forordningen gælder for pengeoverførsler uanset valuta og kryptoaktiver, der sendes eller modtages af en betalingstjenesteudbyder eller en mellembetalingsformidler, der er etableret i EU.
Den gælder ikke for:
pengeoverførsler eller overførsler af elektroniske pengetokens, der foretages ved hjælp af betalingskort, elektroniske pengeinstrumenter, mobiltelefoner eller andet lignende digitalt udstyr eller IT-udstyr, der anvender teknologi med forud- eller efterbetaling, når:
overførslen anvendes til at betale for varer eller tjenesteydelser
nummeret på kortet, instrumentet eller udstyret medsendes ved alle overførsler i forbindelse med transaktionen
overførslen er en bestemt type overførsel, såsom når en betaler hæver penge på sin egen konto, eller ved betaling af skatter eller bøder til en offentlig myndighed
overførsel af kryptoaktiver, når:
både betaler og betalingsmodtager handler for egen regning
overførslen er en person-til-person-overførsel, der foretages uden inddragelse af en udbyder af kryptoaktivtjenester.
En betalers betalingstjenesteudbyder:
skal give og kontrollere oplysninger som f.eks. betalerens og betalingsmodtagerens navn og kontonummer samt betalerens adresse og officielle identitetsoplysninger ved pengeoverførsler
kan begrænse oplysningerne til betalerens og betalingsmodtagerens kontooplysninger og om nødvendigt den entydige transaktionsidentifikator, hvis alle de betalingstjenesteudbydere, der er involveret i overførslen, er etableret i EU
skal give yderligere oplysninger inden for 3 arbejdsdage, hvis betalingsmodtagerens tjenesteudbyder anmoder om dette.
En betalingsmodtagers tjenesteudbyder:
skal kontrollere, om alle nødvendige oplysninger om betaleren og betalingsmodtageren er udfyldt korrekt i meddelelses- eller betalings- og afviklingssystemet, og afgøre, om der mangler data
beslutte, om en overførsel skal gennemføres, afvises eller suspenderes, hvis grundlæggende oplysninger om betaler og betalingsmodtager mangler, og kan anmode om yderligere oplysninger
advare en betalingstjenesteudbyder, hvis denne gentagne gange ikke leverer de oplysninger, der anmodes om, før overførsler fra denne kilde afvises, og informere den myndighed, der har ansvar for bekæmpelse af hvidvask af penge og finansiering af terrorisme
lade manglende oplysninger indgå som en faktor ved vurderingen af, om en pengeoverførsel er mistænkelig, og om den skal indberettes til den 
finansielle efterretningsenhed
.
Mellembetalingsformidlere
 har også forpligtelser, når de står over for manglende oplysninger. De har det ekstra ansvar for at sikre, at alle oplysninger om betaler og betalingsmodtager til enhver tid forbliver ved overførslen.
En ordregivers udbyder af kryptoaktivtjenester:
sikrer, at alle overførsler ledsages af oplysninger om ordregiveren og ordremodtageren, såsom deres navne, distributed ledger-adresse og kryptoaktivkontonumre
kontrollerer nøjagtigheden af de modtagne oplysninger
verificerer, om en selvhostet adresse ejes eller kontrolleres af ordregiveren for alle overførsler på over 1 000 EUR.
En ordremodtagers udbyder af kryptoaktivtjenester:
kontrollerer, at oplysningerne om ordregiveren og ordremodtageren er inkluderet i eller følger efter overførslen eller batchfiloverførslen af kryptoaktiver
sikrer, at overførslen af kryptoaktiver fra en selvhostet adresse kan identificeres individuelt
vurderer, for alle overførsler over 1 000 EUR fra en selvhostet adresse, om ordremodtageren ejer eller kontrollerer den pågældende adresse
kontrollerer nøjagtigheden af oplysningerne om ordremodtageren, før kryptoaktiverne overdrages
beslutter, om en overførsel af kryptoaktiver skal gennemføres, afvises, sendes tilbage eller suspenderes, hvis der mangler oplysninger, og træffer passende foranstaltninger til opfølgning
kan afvise eller tilbagesende kryptoaktiver eller anmode om yderligere oplysninger, hvis oplysningerne mangler eller er ufuldstændige
advarer en udbyder af kryptoaktivtjenester, hvis denne gentagne gange ikke leverer de oplysninger, der anmodes om, før overførsler fra denne kilde afvises, forretningsforbindelsen begrænses eller afbrydes, og den myndighed, der har ansvar for bekæmpelse af hvidvask af penge og finansiering af terrorisme, informeres
lader manglende oplysninger indgå som en faktor ved vurderingen af, om en overførsel er mistænkelig, og om den skal indberettes til den finansielle efterretningsenhed.
Mellemudbydere af kryptoaktivtjenester
 har også forpligtelser, når de står over for manglende oplysninger. De har yderligere ansvar for at sikre, at alle oplysninger om ordregiveren og ordremodtageren medsendes ved overførslen, og at oplysningerne opbevares og stilles til rådighed efter anmodning.
Både betalingstjenesteudbydere og udbydere af kryptoaktivtjenester skal:
have indført interne politikker, procedurer og kontroller for at sikre, at EU-reglerne og de nationale regler anvendes, når der overføres penge eller kryptoaktiver
fuldt ud og straks efterkomme anmodninger fra de myndigheder, der har ansvar for forebyggelse og bekæmpelse af hvidvask af penge og finansiering af terrorisme
opbevare oplysninger om betaleren/betalingsmodtageren og ordregiveren/ordremodtageren i 5 år, med mulighed for yderligere 5 år, hvis en 
EU-medlemsstat
 beslutter det.
Den Europæiske Banktilsynsmyndighed
 og 
Det Europæiske Databeskyttelsesråd
 udsteder retningslinjer om gennemførelse af lovgivningen.
Medlemsstaterne:
fastsætter sanktioner for overtrædelser af forordningen
offentliggør det, når disse anvendes
tilskynder til indberetning af overtrædelser af lovgivningen til de myndigheder, der er ansvarlige for at overvåge overholdelsen.
Europa-Kommissionen
:
forelægger en rapport for 
Europa-Parlamentet
 og 
Rådet for Den Europæiske Union
 senest den 
31. december 2026
 og hvert 3. år derefter om sanktioner og overvågningsaktiviteter
vurderer risiciene ved overførsler til eller fra selvhostede adresser ikke-EU-lande senest den 
1. juli 2026
forelægger en rapport for Europa-Parlamentet og Rådet senest den 
30. juni 2027
 om anvendelsen og håndhævelsen af forordningen
kan under særlige betingelser give en medlemsstat tilladelse til at behandle overførsler med et ikke-EU-land, som var det en indenlandsk operation.
Forordningen:
ændrer direktiv (EU) 
2015/849
 (se 
resumé
)
ophæver forordning (EU) 
2015/847
 (se 
resumé
).
HVORNÅR GÆLDER FORORDNINGEN FRA?
Den træder i kraft den 
30. december 2024
.
BAGGRUND
Forordningen er en del af en pakke af foranstaltninger, som Kommissionen fremlagde i juli 2021. Den sikrer sporbarheden af overførsler af kryptoaktiver for at identificere og blokere mulige mistænkelige transaktioner. Den gennemfører standarder for nye teknologier udstedt af 
Den Finansielle Aktionsgruppe
 med henblik på bekæmpelse af hvidvask af penge og finansiering af terrorisme.
VIGTIGE BEGREBER
Kryptoaktiv.
 En digital repræsentation af en værdi eller rettighed, der kan overføres og lagres elektronisk ved hjælp af en distributed ledger eller lignende teknologi.
HOVEDDOKUMENT
Europa-Parlamentets og Rådets forordning (EU) 
2023/1113
 af 
31. maj 2023
 om oplysninger, der skal medsendes ved pengeoverførsler og ved overførsler af visse kryptoaktiver og om ændring af direktiv (EU) 2015/849 (EUT L 150 af 
9.6.2023
, 
s. 1-39
).
TILHØRENDE DOKUMENTER
Europa-Parlamentets og Rådets forordning (EU) 
2023/1114
 af 
31. maj 2023
 om markeder for kryptoaktiver og om ændring af forordning (EU) 
nr. 1093/2010
 og (EU) 
nr. 1095/2010
 og direktiv 2013/36/EU og (EU) 2019/1937 (EUT L 150 af 
9.6.2023
, 
s. 40-205
).
Efterfølgende ændringer til forordning (EU) 2023/1114 er blevet indarbejdet i grundteksten. Denne 
konsoliderede udgave
 har ingen retsvirkning.
Europa-Parlamentets og Rådets forordning (EU) 
2015/847
 af 
20. maj 2015
 om oplysninger, der skal medsendes ved pengeoverførsler, og om ophævelse af forordning (EF) 
nr. 1781/2006
 (EUT L 141 af 
5.6.2015
, 
s. 1-18
).
Se den 
konsoliderede udgave
.
Europa-Parlamentets og Rådets direktiv (EU) 
2015/849
 af 
20. maj 2015
 om forebyggende foranstaltninger mod anvendelse af det finansielle system til hvidvask af penge eller finansiering af terrorisme, om ændring af Europa-Parlamentets og Rådets forordning (EU) 
nr. 648/2012
 og om ophævelse af Europa-Parlamentets og Rådets direktiv 2005/60/EF samt Kommissionens direktiv 2006/70/EF (EUT L 141 af 
5.6.2015
, 
s. 73-117
).
Se den 
konsoliderede udgave
.
seneste ajourføring 
24.4.2024