Rapporto di Ricerca: Cripto-attività, Tokenizzazione e Infrastrutture Digitali - Quadro Normativo e Profili Legali
L'integrazione delle tecnologie a registro distribuito nei mercati finanziari ha innescato un profondo mutamento nell'architettura giuridica europea e nazionale, imponendo una complessa sintesi tra l'esigenza di favorire l'innovazione tecnologica e l'inderogabile dovere di garantire la stabilità dei sistemi e la tutela del risparmio. La dematerializzazione degli strumenti finanziari, la tokenizzazione degli asset del mondo reale (RWA) e l'automazione dei vincoli contrattuali per mezzo di smart contract non sono più mere sperimentazioni confinate in ambienti di "sandbox", ma costituiscono le fondamenta di un nuovo ecosistema regolamentato. Questo processo, tuttavia, scontra forti asimmetrie sistemiche, derivanti sia dall'inerzia amministrativa nell'emanazione dei decreti attuativi sia dalle frizioni strutturali che si generano tra l'immutabilità della blockchain e i tradizionali istituti civilistici volti a regolare la circolazione dei beni e la responsabilità patrimoniale del debitore.
La Scadenza del Periodo Transitorio MiCAR: L'Orizzonte del 1° Luglio 2026
L’avvicinarsi della scadenza definitiva del periodo transitorio previsto dal Regolamento (UE) n. 2023/1114 (Markets in Crypto-Assets Regulation - MiCAR), fissata al 1° luglio 2026, rappresenta un momento di rottura epocale per gli operatori di mercato. A partire da tale data, infatti, l'esercizio dei servizi relativi alle cripto-attività all'interno del territorio dell'Unione Europea sarà precluso a qualsiasi soggetto privo di formale e preventiva autorizzazione rilasciata ai sensi del regolamento stesso. Le autorità di vigilanza dell'Unione hanno delineato un percorso di transizione forzata estremamente rigoroso. I soggetti operanti che non avranno ottenuto l'autorizzazione entro il limite prefissato hanno l'obbligo tassativo di implementare piani di dismissione ordinata ("orderly wind-down plans"). Tali piani devono prevedere il trasferimento dei cripto-asset dei clienti verso prestatori di servizi authorized (CASP) o verso portafogli auto-custoditi (self-custody), escludendo qualsiasi aggravio o danno economico a carico degli investitori.
La rigidità della transizione risponde alla ferma volontà del legislatore europeo di arginare le condotte elusive. È espressamente vietato ai CASP autorizzati esternalizzare o delegare funzioni operative essenziali (come la custodia delle chiavi private e dei fondi) a soggetti non dotati di licenza, anche qualora tali entità appartengano allo stesso gruppo societario. Il ricorso alla sollecitazione inversa ("reverse solicitation") da parte di intermediari stabiliti in paesi terzi viene ridotto a un'eccezione di strettissima interpretazione, inapplicabile ai rapporti commerciali sistematici o inter-aziendali (business-to-business). Questa progressiva chiusura dello spazio regolatorio ha spinto le autorità di vigilanza di Italia, Francia e Austria (Consob, AMF e FMA) a pubblicare, il 15 settembre 2025, un Position Paper congiunto per sollecitare un'ulteriore evoluzione del MiCAR. Le tre autorità denunciano i limiti dell'attuale sistema di vigilanza basato sulle segnalazioni ex-post delle autorità nazionali all'ESMA, evidenziando il rischio tangibile di arbitraggio regolamentare ("regulatory arbitrage") da parte di grandi operatori globali che stabiliscono la propria sede legale in paesi membri caratterizzati da prassi di supervisione più permissive. La proposta cardine risiede nel trasferimento diretto dei poteri di autorizzazione, vigilanza e sanzione all'ESMA per tutti i CASP di rilevanza significativa, mutuando l'architettura centralizzata dal Meccanismo di Vigilanza Unico (SSM) bancario.
Il D.Lgs. 129/2024 e l'Architettura della Vigilanza Nazionale
L'ordinamento italiano si è adeguato alla cornice del MiCAR attraverso l'emanazione del Decreto Legislativo 5 settembre 2024, n. 129, entrato in vigore il 14 settembre 2024. Composto da 48 articoli suddivisi in 6 titoli, il decreto definisce una governance di tipo bipolare, ripartendo i compiti di supervisione tra la Banca d'Italia e la Consob, e stabilendo le procedure di cooperazione interna e transfrontaliera. Il riparto delle attribuzioni si articola sulla base delle finalità tradizionali della vigilanza finanziaria:
- Banca d'Italia: È l'autorità competente per la vigilanza prudenziale, il monitoraggio della stabilità finanziaria globale, la gestione delle crisi e il contrasto al riciclaggio e al finanziamento del terrorismo (AML/CFT). Essa vigila sugli emittenti di token collegati ad attività (ART) e di token di moneta elettronica (EMT), nonché sugli aspetti prudenziali dei CASP. Spetta alla Banca d'Italia verificare il rispetto dei requisiti sui fondi propri degli emittenti nel triennio previsionale e la complessiva adeguatezza degli assetti di governo societario.
- Consob: È designata quale autorità competente per la tutela degli investitori, per l'ordinato funzionamento e l'integrità dei mercati delle cripto-attività, e per l'applicazione delle misure di contrasto agli abusi di mercato (insider trading e manipolazione di mercato) previste dal Titolo VI del MiCAR. Essa autorizza i CASP specializzati, sentita la Banca d'Italia, ed esercita i poteri di contrasto contro l'abusivismo finanziario e la prestazione non autorizzata di servizi.
Il coordinamento concreto è governato dal Protocollo d'intesa concluso tra le due autorità nel marzo 2025, che stabilisce tempi e modi per il rilascio di intese e pareri obbligatori. Ad esempio, l'approvazione del white paper per gli ART emessi da banche o SIM di classe 1 è deliberata dalla Banca d'Italia d'intesa con la Consob. Il decreto delinea inoltre una rigorosa disciplina sanzionatoria per le violazioni precettive. Le persone fisiche possono essere colpite da sanzioni amministrative pecuniarie variabili da 5.000 euro a 1.000.000 di euro, elevabili fino al triplo del vantaggio economico ottenuto dalla violazione. Per le persone giuridiche, le sanzioni possono raggiungere il 10% del fatturato annuo complessivo o il doppio del profitto realizzato, con possibilità di rimozione collettiva dei componenti degli organi di amministrazione e controllo o avvio di procedimenti ispettivi ex art. 2409 c.c.
A garanzia dei detentori di token, il D.Lgs. 129/2024 introduce specifiche tutele di separazione patrimoniale e regimi di gestione delle crisi che ricalcano i modelli della finanza tradizionale. Le riserve di attività costituite a garanzia del valore dei token sono legalmente separate dal patrimonio dell'emittente. Esse sono destinate in via esclusiva al soddisfacimento dei diritti di rimborso dei possessori e sono insensibili ad azioni esecutive o cautelari promosse da altri creditori. In caso di insolvenza o liquidazione dell'emittente, le riserve vengono liquidate per procedere al rimborso dei detentori. Per quanto concerne la parte del credito eventualmente non coperta dalla riserva, i detentori sono ammessi al passivo con il medesimo trattamento dei creditori chirografari ordinari. Qualora si giunga a una crisi irreversibile di un emittente di ART specializzato, si applica la procedura di liquidazione coatta amministrativa prevista per le banche, mentre per i CASP specializzati si adotta il regime concorsuale delle società di intermediazione mobiliare (SIM).
La Tokenizzazione degli Strumenti Finanziari: Il Decreto Fintech (D.L. 25/2023)
La tokenizzazione dei prodotti finanziari e la loro circolazione su registri distribuiti trovano in Italia un quadro normativo specifico nel Decreto-Legge 17 marzo 2023, n. 25 (Decreto Fintech), convertito con modificazioni dalla Legge n. 52/2023. Questo provvedimento adegua l'ordinamento nazionale alle disposizioni del Regolamento (UE) 2022/858 (DLT Pilot Regime), che prevede un periodo transitorio sperimentale di tre anni per la negoziazione e il regolamento di strumenti finanziari in forma digitale. Il Decreto Fintech introduce un terzo regime di forma e circolazione degli strumenti finanziari digitalizzati (azioni, obbligazioni, titoli di debito emessi da S.r.l.), che si affianca al tradicional regime cartolare e a quello della dematerializzazione accentrata presso depositari centrali (CSD) regolati dal Testo Unico della Finanza (TUF).
L’architettura del decreto si fonda su articoli chiave che governano il ciclo di vita dello strumento digitale:
- Articolo 2 (Definizioni): Fissa i concetti cardine di registro per la circolazione digitale e di responsabile del registro.
- Articolo 3 (Ambito di applicazione): Individua le categorie di strumenti finanziari ammissibili alla digitalizzazione.
- Articolo 4 (Emissione e trasferimento): Stabilisce che la creazione e la circolazione degli strumenti finanziari digitali avvengono esclusivamente per il tramite di scritturazioni su registri DLT debitamente autorizzati.
- Articolo 5 (Requisiti dei registri): Impone che il registro DLT sia idoneo a garantire l'integrità, l'autenticità, la non ripudiabilità, la non duplicabilità e la validità delle scritturazioni, prevenendo accessi abusivi e garantendo l'accessibilità diretta a Consob e Banca d'Italia.
- Articolo 6 (Effetti della scritturazione): Dispone che la scritturazione sul registro produce gli stessi effetti dell'emissione e del trasferimento degli strumenti cartolizzabili o dematerializzati, fungendo da indice di legittimazione esclusivo per l'esercizio dei diritti connessi.
- Articolo 13 (Obblighi del responsabile del registro): Impone al gestore l'obbligo di assicurare la correttezza, la completezza e l'aggiornamento delle evidenze, garantendo la continuità operativa e presidi avanzati contro i rischi informatici (cyber-risks).
I gestori dei registri distribuiti devono essere iscritti in un apposito elenco tenuto dalla Consob. La Consob ha regolato la procedura di iscrizione e di eventuale cancellazione d'ufficio o su richiesta con la Delibera n. 22923 del 6 dicembre 2023, adottata ai sensi dell'articolo 28 del decreto. Ai fini della prevenzione del riciclaggio, l'articolo 26-bis del decreto inquadra i responsabili dei registri nella categoria di "altri operatori non finanziari" ai sensi del D.Lgs. 231/2007, assoggettandoli agli obblighi di adeguata verifica della clientela e segnalazione delle operazioni sospette. Sotto il profilo sanzionatorio, l'articolo 30 stabilisce sanzioni amministrative pecuniarie da un minimo di 5.000 euro fino a 5 milioni di euro per le violazioni delle regole di funzionamento dei registri o delle disposizioni attuative. Un esempio concreto di questa infrastruttura è rappresentato dall'emissione da parte della Banca Europea per gli Investimenti (EIB) di un bond da 100 milioni di euro tokenizzato sulla blockchain Ethereum in formato ERC20, regolato in moneta di banca centrale tramite la soluzione interoperabile TIPS Hash Link di Banca d'Italia. Sul fronte fiscale, il MEF ha confermato che ai digital bond si applica l'imposta sostitutiva ordinaria del 26%.
La Riforma del Mercato dei Capitali e la Dematerializzazione delle S.r.l.
L'evoluzione della tokenizzazione tocca un vertice di eccezionale rilievo societario con l'emanazione della cosiddetta Legge Capitali (Legge 5 marzo 2024, n. 21). L'articolo 2 di questa legge riformula la definizione di Piccola e Media Impresa (PMI), innalzando la soglia di capitalizzazione massima da 500 milioni a 1 miliardo di euro, al fine di ampliare la platea delle imprese ammissibili a regimi di favore per l'accesso al mercato dei capitali. L’articolo 3 introduce una norma dirompente: la possibilità di dematerializzazione facoltativa delle quote di partecipazione di S.r.l. che possiedono la qualifica di PMI, modificando l'articolo 26 del D.L. n. 179/2012 e introducendo i commi da 2-bis a 2-quater. Tali quote possono essere ammesse al sistema della gestione accentrata in regime di dematerializzazione ai sensi dell'articolo 83-bis e seguenti del TUF, circolando in forme semplificate e con costi transattivi minimi, al pari delle azioni di S.p.A.
Parallelamente, l'articolo 28, comma 2, lettera a-bis) del Decreto Fintech attribuisce alla Consob il potere di estendere la tokenizzazione su DLT alle quote di partecipazione di tutte le S.r.l., indipendentemente dalla qualifica di PMI. Questa convergenza normativa scardina l'assetto tradizionale del codice civile, secondo cui la S.r.l. è concepita come un modello di società chiusa a base personalistica, le cui partecipazioni (quote) non possono essere rappresentate da azioni o costituire oggetto di offerta al pubblico di prodotti finanziari (art. 2468 c.c.).
L’apertura della S.r.l. al mercato dei capitali e la sua tokenizzazione su DLT generano tuttavia un'importante asimmetria tra la circolazione in tempo reale sulla blockchain e il sistema di pubblicità legale gestito dal Registro delle Imprese. Ai sensi del diritto societario italiano, il trasferimento delle quote di S.r.l. produce effetti verso i terzi e verso la società solo a seguito dell'iscrizione del relativo atto di trasferimento nel Registro delle Imprese, adempimento inderogabile e imposto da esigenze di ordine pubblico. L'immediatezza e la natura peer-to-peer delle transazioni su blockchain faticano a dialogare con la necessità di una verifica e trascrizione notarile o camerale. La dottrina e le autorità di vigilanza evidenziano il rischio che si generi un "doppio regime circolatorio": un trasferimento di token su registro distribuito potrebbe essere valido inter-partes, ma del tutto inopponibile alla società emittente e ai terzi creditori in assenza di iscrizione nel Registro delle Imprese, frustrando i vantaggi di velocità e liquidità promessi dalle infrastrutture decentralizzate.
Per agevolare la capitalizzazione delle società, la Legge Capitali interviene anche sui limiti di emissione dei titoli di debito. L’articolo 7 modifica l'articolo 2483 c.c. stabilendo che, qualora i titoli di debito emessi da S.r.l. siano destinati ad essere acquistati esclusivamente da investitori professionali, non si applica l'obbligo di interposizione con finalità di garanzia della solvibilità da parte di un investitore vigilato, riducendo drasticamente i costi di emissione per le imprese che ricorrono a emissioni digitali o tradizionali. Inoltre, sul fronte della governance societaria, l'articolo 13 innalza il limite statutario per l'attribuzione del voto plurimo da 3 a 10 voti per ciascuna azione, mentre l'articolo 14 estende l'istituto del voto maggiorato nel TUF, favorendo il mantenimento del controllo da parte dei soci fondatori a fronte dell'apertura del capitale azionario a una platea diffusa di investitori digitali.
La Natura Giuridica del Token e l'Articolo 810 c.c.
La digitalizzazione dei diritti reali per mezzo di registri distribuiti impone un'analisi di tipo ontologico e civilistico sul concetto di token, al fine di comprenderne la collocazione nel Libro Terzo del codice civile ("Della proprietà"). Il punto di partenza dell'indagine è l'articolo 810 c.c., ai sensi del quale "sono beni le cose che possono formare oggetto di diritti". Tradizionalmente, la dottrina limitava la nozione di bene alle sole entità dotate di corporalità fisica (res materiali), escludendo i beni immateriali dalla disciplina dei diritti reali. Questa impostazione è considerata ampiamente superata. Il riconoscimento di beni immateriali quali le opere dell'ingegno (art. 2575 c.c.), il software (assimilato alle opere letterarie a seguito del D.Lgs. 29/12/1992, n. 518) e i diritti d'antenna conferma come la materialità non costituisca un presupposto indefinettibile per la qualificazione di un'entità quale bene giuridico.
La moderna teoria civilistica adotta una concezione di tipo funzionalistico o orientata all'interesse. Il bene giuridico sorge dalla sintesi tra un interesse umano meritevole di tutela (volto ad acquisire l'utilità d'uso di un'entità) e la situazione soggettiva apprestata dall'ordinamento per garantire l'appropriazione esclusiva di tale utilità. Sotto questo profilo, i token non finanziari (NFT o utility token) possono essere sussunti nella categoria dei beni giuridici immateriali. Essi rappresentano un'informazione digitale immutabile registrata su DLT che attribuisce al possessore un diritto esclusivo. Questa titolarità esclusiva è protetta da tecniche crittografiche a doppia chiave che simulano il godimento esclusivo tipico del diritto di proprietà. Nel caso di tokenizzazione di beni reali (RWA), come gli immobili, si genera una frammentazione del bene fisico in una miriade di token rappresentativi di quote ideali di comproprietà. Il trasferimento del token per mezzo di una transazione su registro distribuito integra una forma di traditio (consegna) digitale, che legittima colui che dispone del token nel proprio wallet a rivendicare i diritti materiali o i flussi finanziari derivanti dall'utilizzo del bene fisico sottostante.
Tuttavia, si riscontra una netta chiusura circa la possibilità di assimilare i token ai tradizionali titoli di credito. La dottrina e la giurisprudenza concordano sul fatto che l'esistenza di un supporto materiale idoneo al possesso fisico (la chartula) costituisce un presupposto indefinettibile della fattispecie cartolare, tesa a incorporare il diritto nel documento fisico. Il token prescinde del tutto da un supporto materiale e non può giovarsi delle regole tradizionali di circolazione cartolare. Esso si configura piuttosto come un documento informatico di legittimazione, la cui circolazione è retta dalle regole speciali della DLT e del codice civile in materia di cessione del credito o dei contratti.
La Disciplina degli Smart Contract: Il Paradosso dell'Inazione dell'AgID
L’ordinamento italiano ha introdotto una definizione formale di smart contract con l'articolo 8-ter, comma 2, del D.L. n. 135/2018 (convertito dalla Legge n. 12/2019). La norma definisce lo smart contract come "un programma per elaboratore che opera su tecnologie basate su registri distribuiti e la cui esecuzione vincola automaticamente due o più parti sulla base di effetti predefiniti dalle stesse". Il terzo comma stabilisce che lo smart contract soddisfa il requisito della forma scritta previa identificazione informatica delle parti attraverso un processo avente i requisiti fissati dall'AgID con apposite linee guida.
Tuttavia, a distanza di oltre sette anni dall'entrata in vigore della legge, l'AgID non ha ancora emanato tali linee guida tecniche sull'identificazione informatica, generando un vuoto normativo. In assenza di tali requisiti, la validità dello smart contract quale documento scritto non gode di una presunzione legale automatica ed è rimessa al libero apprezzamento del giudice in sede di contenzioso. Per superare l'impasse, gli operatori fanno ricorso all'articolo 20, comma 1-bis del Codice dell'Amministrazione Digitale (CAD), ai sensi del quale l'idoneità del documento informatico a soddisfare il requisito della forma scritta e il suo valore probatorio sono valutati in giudizio tenendo conto delle caratteristiche di sicurezza, integrità e immodificabilità della piattaforma utilizzata. Di fatto, la mancanza delle linee guida ha reso superflua la specifica disposizione della L. 12/2019, costringendo le imprese a una perenne incertezza circa l'opponibilità a terzi dei contratti interamente codificati.
Sul piano interpretativo e dogmatico, sorge una profonda frizione sul concetto di "esecuzione". Nel diritto civile, il contratto nasce dal consenso delle parti (art. 1321 c.c.) ed è logicamente e cronologicamente distinto dall'esecuzione della prestazione. Nello smart contract, l'esecuzione del codice informatico (il meccanismo automatizzato if/then) è contestuale o assorbe la phase del consenso: l'avvio materiale del programma costituisce piena manifestazione di volontà e l'esecuzione forzata è integrata nel codice stesso, escludendo la possibilità di un inadempimento volontario. Sotto questo profilo, gli esperti distinguono tra:
- Smart Contract Code: Il mero codice informatico scritto su blockchain (es. Solidity), che non costituisce un contratto ma uno strumento di esecuzione automatica.
- Smart Legal Contract: La combinazione tra linguaggio giuridico naturale e codice informatico, in cui lo smart contract implementa o sostituisce clausole di un accordo tradizionale.
Gli sviluppatori e i giuristi devono prestare estrema attenzione a questa distinzione: poiché il codice inserito in una DLT è immodificabile per definizione, l'inserimento del programma (deploy) equivale a un'offerta al pubblico o a una proposta irrevocabile ai sensi dell'articolo 1326 c.c. Diviene pertanto impossibile adattare il contratto a eventi sopravvenuti o a clausole di risoluzione flessibili, tipiche della prassi commerciale (es. la valutazione della non scarsa importanza dell'inadempimento ex art. 1455 c.c.). Inoltre, si evidenzia la necessità di un coordinamento con i recenti regolamenti europei:
- Regolamento DORA (Digital Operational Resilience Act): Impone requisiti stringenti sulla resilienza e sicurezza informatica delle reti finanziarie, obbligando i gestori a verificare l'affidabilità e l'assenza di bug negli smart contract attraverso audit indipendenti e test di penetrazione preventivi.
- Proposta di Regolamento sull'Intelligenza Artificiale (AI Act): Trova applicazione qualora lo smart contract sia integrato con sistemi decisionali automatizzati o algoritmi di machine learning per la valutazione del rischio di credito o la gestione di portafogli digitali.
Nel tentativo di colmare parzialmente il vuoto normativo, l'AgID ha emanato le regole tecniche il 15 maggio 2024 per un caso d'uso specifico: la certificazione delle piattaforme DLT destinate all'emissione di garanzie fideiussorie (ex art. 106 co. 3 del Codice dei contratti pubblici). Le regole impongono che le piattaforme soddisfino requisiti di Classe 1, garantendo l'inalterabilità del registro di sistema. L'identificazione elettronica dei partecipanti deve avere un livello di garanzia "significativo o elevato" ai sensi del Regolamento eIDAS. La scrittura della garanzia fideiussoria sul registro deve avvenire per il tramite di uno smart contract che consenta a chiunque la verifica di validità della garanzia in tempo reale, dimostrando l'efficacia delle DLT nel contrastare le frodi nel settore degli appalti pubblici.
La Frizione Strutturale tra Blockchain e GDPR
L’immutabilità e l’inalterabilità delle DLT, richieste espressamente dal primo comma dell'articolo 8-ter della L. 12/2019, determinano un conflitto sistemico irrisolto con le disposizioni del Regolamento Generale sulla Protezione dei Dati (GDPR - Regolamento UE 2016/679). L’articolo 17 del GDPR sancisce il "Diritto alla cancellazione (diritto all'oblio)", imponendo al titolare del trattamento l'obbligo di cancellare senza ingiustificato ritardo i dati personali dell'interessato qualora non siano più necessari rispetto alle finalità del trattamento o in caso di revoca del consenso.
La struttura logica della blockchain, basata sulla concatenazione di blocchi validati tramite algoritmi di consenso (Proof of Work o Proof of Stake) e crittografati, impedisce la cancellazione fisica o la modifica retroattiva dei dati memorizzati, poiché ciò comporterebbe la rottura dell'intera catena e la perdita di consenso della rete. Sebbene l’utilizzo di chiavi pubbliche e codici hash garantisca una forte pseudonimizzazione (fortemente incoraggiata dai Considerandi 28 e 29 del GDPR), l'indirizzo pubblico del wallet e la cronologia delle transazioni sono considerati dati personali qualora consentano, tramite correlazione con database esterni (es. i registri di KYC dei CASP), di risalire all'identità del titolare effettivo.
Si genera così un'incoerenza logica e giuridica: per essere conforme alla L. 12/2019 la piattaforma DLT deve garantire l'immodificabilità assoluta del dato, ma per essere conforme al GDPR deve consentirne la cancellazione o la rettifica (art. 16 GDPR). Al fine di mitigare questo rischio, le best practice di "secure design" e "privacy by design" di AgID impongono di non memorizzare mai dati personali direttamente on-chain (nemmeno in forma crittografata), suggerendo l'utilizzo di architetture off-chain in cui sul registro condiviso viene salvato unicamente l'hash crittografico del documento, consentendo la cancellazione del dato originale nel server proprietario e rendendo l'hash rimasto on-chain un dato del tutto anonimo e privo di valore informativo.
Il Tracciamento dei Trasferimenti: Il Regolamento TFR Recast (UE 2023/1113)
L’esigenza di reprimere l’utilizzo del sistema finanziario a scopo di riciclaggio o finanziamento del terrorismo ha spinto il legislatore europeo ad approvare il Regolamento (UE) n. 2023/1113 (Transfer of Funds Regulation - TFR Recast), entrato in vigore il 30 dicembre 2024 in concomitanza con l'avvio delle licenze MiCAR, abrogando la precedente disciplina sui trasferimenti di fondi (Regolamento UE n. 2015/847). Il TFR Recast estende l'applicazione della Travel Rule (raccomandazione n. 16 del GAFI) alle transazioni aventi ad oggetto cripto-attività.
La novità più rilevante risiede nell'eliminazione di qualsiasi soglia de minimis per i trasferimenti di cripto-attività eseguiti tramite prestatori di servizi autorizzati (CASP). Se per i trasferimenti di valuta fiat intra-UE al di sotto dei 1.000 euro è prevista una procedura semplificata che esenta dalla trasmissione immediata dei dati completi dell'ordinante, per le cripto-attività ogni singola transazione (anche del valore di un solo centesimo di euro) deve recare obbligatoriamente i dati identificativi completi dell'ordinante e del beneficiario:
- Dati dell'Ordinante: Nome completo, indirizzo DLT o numero di conto di cripto-attività, e a scelta tra indirizzo postale, numero di documento d'identità nazionale o data e luogo di nascita.
- Dati del Beneficiario: Nome completo e indirizzo DLT o numero di conto di cripto-attività.
Queste informazioni devono essere trasmesse in modo sicuro, strutturato e in via preventiva o concomitante al trasferimento. Nel caso di batch transfers (trasferimenti cumulativi in un unico file), i singoli trasferimenti devono essere traceable individualmente. I CASP hanno il divieto assoluto di processare o accreditare transazioni che giungano prive dei dati richiesti: essi devono adottare procedure basate sul rischio per decidere se sospendere, rifiutare o richiedere l'integrazione dei dati mancanti, segnalando i casi di ripetuta non conformità alle autorità competenti. I dati raccolti devono essere conservati per un periodo minimo di cinque anni, estendibile a dieci dalle autorità nazionali per specifiche indagini penali.
Una disciplina di eccezionale rigore è dettata per i trasferimenti che coinvolgono wallet auto-custoditi (unhosted o self-hosted wallets), i quali presentano elevati rischi AML a causa dell'assenza di un intermediario vigilato. Qualora un trasferimento da o verso un wallet auto-custodito presenti un importo pari o superiore a 1.000 euro, il CASP intermediario deve raccogliere e verificare l'identità del soggetto che detiene il diritto di disposizione sul wallet. Le linee guida dell'EBA (EBA/GL/2024/11, paragrafo 83) chiariscono che la mera auto-dichiarazione ("self-disclosure") fornita dal cliente non costituisce una metodologia di verifica idonea. Il CASP deve utilizzare tecniche attive di controllo, quali la richiesta di apporre una firma crittografica con la chiave privata associata all'indirizzo, l'esecuzione di una micro-transazione di prova con importo predefinito dal CASP, o l'utilizzo di strumenti avanzati di analisi della blockchain (blockchain analytics) volti a verificare la correlazione dell'indirizzo con attività illecite o mercati del dark web. In caso di mancata conformità alle regole del TFR, le sanzioni amministrative pecuniarie a carico dei CASP o degli enti creditizi possono raggiungere il 10% del fatturato annuo complessivo o il doppio del vantaggio economico derivante dall'infrazione.
Conclusioni e Prospettive Future
La transizione verso mercati finanziari interamente digitalizzati basati su registri distribuiti è ormai un processo irreversibile, presidiato da un impianto regolatorio europeo estremamente pervasivo. Tuttavia, il successo della "token economy" in Italia ed Europa dipenderà dalla capacità delle istituzioni di risolvere le gravi asimmetrie evidenziate nel presente rapporto. È prioritario che l’AgID emani con urgenza le linee guida tecniche per l’identificazione negli smart contract ai sensi della L. 12/2019, per evitare che lo sforzo legislativo rimanga lettera morta e costringa gli operatori in un limbo di incertezza giudiziale. Allo stesso modo, è indispensabile creare un'interfaccia tecnologica standardizzata tra i registri DLT e il Registro delle Imprese per consentire la sincronizzazione automatica dei trasferimenti di quote di S.r.l., scongiurando il rischio di sdoppiamento del regime circolatorio. Solamente attraverso la certezza del diritto, la stabilità informatica richiesta dal DORA e una supervisione centralizzata ed efficiente sotto l’egida dell'ESMA, l'Unione Europea potrà assumere un ruolo guida nello sviluppo della finanza digitale a livello globale.
Nota editoriale dello Studio Legale: Questo articolo ha finalità esclusivamente informative e divulgative e non costituisce in alcun modo parere legale o consulenza professionale personalizzata.
// Commenti