De identiteit van alle relaties van aanbieders van cryptodiensten wordt gecontroleerd op sancties (gescreend). Dit betekent dat de bij de transacties betrokken cliënten van aanbieders van cryptodiensten én de bij de transacties betrokken tegenpartij en/of begunstigde worden gescreend. De maatregelen omtrent het vaststellen of de identiteit van een tegenpartij en/of begunstigde overeenkomt met de identiteit van in de sanctieregelgeving genoemde (rechts)personen of entiteiten kunnen door de aanbieder risicogeoriënteerd worden ingevuld. De aanbieder bepaalt zelf op welke wijze zij die controle uitvoert en wat daarvoor nodig is, zolang hiermee het doel van de sanctieregelgeving bereikt wordt.
Adequate maatregelen om de tegenpartij en/of begunstigde effectief te kunnen screenen
Bij een transactie van of naar een niet door de aanbieder beheerd (extern) cryptoadres, kan de houder van dat cryptoadres zowel de eigen cliënt zijn als een andere aanbieder van cryptodiensten, of een derde (rechts)persoon of entiteit. Bij transacties van en naar externe cryptoadressen dienen aanbieders van cryptodiensten met behulp van adequate maatregelen ook in staat te zijn effectief te screenen op het overeenkomen van de identiteit van de betrokken tegenpartij en/of begunstigde met een (rechts)persoon of entiteit als bedoeld in de sanctieregelgeving.
Dit impliceert dat er voldoende informatie over de tegenpartij en/of begunstigde wordt opgevraagd om effectief te kunnen screenen, zoals bijvoorbeeld naam, geboortedatum, woonplaats en vestigingsadres.
Een ander onderdeel hiervan is dat de aanbieder adequate maatregelen treft om vast te stellen dat de door de cliënt opgegeven tegenpartij en/of begunstigde ook daadwerkelijk de ontvanger of verzender is, indien de aanbieder het risico groter dan minimaal acht dat de identiteit van een tegenpartij en/of begunstigde niet overeenkomt met de opgegeven identiteit. Hierbij kan sprake zijn van identiteitsfraude (de tegenpartij en/of begunstigde gebruikt de identiteit van iemand anders), maar het kan ook voorkomen dat iemand anders dan de opgegeven tegenpartij en/of begunstigde beschikking heeft over het opgegeven cryptoadres.
De maatregelen om een adequate screening uit te voeren kunnen risicogeoriënteerd worden ingevuld. Risicogeoriënteerd houdt in dat een aanbieder, bij relaties die gegeven alle relevante factoren als hoger risico worden aangeduid, verdergaande maatregelen neemt dan bij relaties die als laag risico worden aangeduid. Aanbieders van cryptodiensten maken een risicoanalyse en implementeren op basis daarvan passende maatregelen. De risicogebaseerde benadering wordt beoordeeld in de context van het geheel aan maatregelen binnen de onderneming, zie ook de DNB Q&As en Good Practices Wwft. De toelichting bij de RtSw stelt daarover: ‘Daarbij dient ze zich telkens ervan te vergewissen dat het risico minimaal is dat bij een financiële dienst of transactie financiële middelen naar één van de (rechts)personen en entiteiten, genoemd in de sanctieregelgeving, gaan.’
Als een aanbieder het risico groter dan minimaal acht dat de identiteit van een tegenpartij en/of begunstigde niet overeenkomt met de identiteit die is opgegeven, treft zij maatregelen om de daadwerkelijke identiteit van een tegenpartij en/of begunstigde vast te kunnen stellen, teneinde een effectieve screening uit te kunnen voeren. De Leidraad Financiele Sanctieregelgeving van het Ministerie van Financiën stelt: ‘Als er geen maatregelen tegenover te zetten zijn, als maatregelen teveel inspanning vergen of teveel rest-risico met zich meebrengen dan wordt het risico niet aangegaan. Bij sanctiemaatregelen geldt dat er eigenlijk vrijwel geen sprake kan zijn van een acceptabel niveau aan restrisico’s omdat de materiële verbodsbepalingen van sanctieregelgeving dienen te worden nageleefd.’
De aanbieder is zich ervan bewust dat hij een risicogebaseerde benadering kan hanteren ten aanzien van het treffen van maatregelen, maar dat ten aanzien van de vervolgacties (het melden van een hit en het bevriezen van tegoeden) sprake is van een resultaatsverplichting.
Hoe aanbieders de identiteit van de tegenpartijen en/of begunstigden bij een transactie vaststellen, en of deze daadwerkelijk de ontvanger of verzender is, is vormvrij. De wet schrijft geen specifieke maatregel voor, mits de getroffen maatregel maar adequate waarborgen biedt om relaties te kunnen screenen (zie onder voor good practices).
