La commissaire de la SEC Hester Peirce a décrit une forme de diligence raisonnable des clients crypto dans laquelle une plateforme d'investissement pourrait vérifier l'identité d'un client sans jamais voir son passeport, son adresse de domicile ou ses relevés financiers.

Intervenant lors de la conférence sur les actifs numériques de la SIFMA, Peirce a proposé d'utiliser des titres vérifiables et des preuves à divulgation nulle pour les vérifications d'identité, de conformité et d'éligibilité aux produits. Selon son scénario, une plateforme ayant besoin d'établir trois faits avant d'accepter un client recevrait ces réponses sans nécessairement obtenir les documents sous-jacents. Ce constat fait écho à un schéma familier de l'onboarding crypto : aujourd'hui, chaque plateforme effectue ses propres vérifications, et les clients qui utilisent plusieurs services soumettent généralement les mêmes documents à chaque nouveau prestataire.

Ses propos reflètent sa position personnelle. Il ne s'agit ni d'une règle, ni d'une proposition, ni d'une exemption de la SEC, et la SEC ne peut pas, à elle seule, réécrire le cadre plus large d'identification des clients établi par le Bank Secrecy Act et administré par la FinCEN et d'autres régulateurs.

Où se déroulerait la vérification d'identité

Un émetteur de confiance, tel qu'une agence gouvernementale, une institution réglementée ou un prestataire de vérification agréé, examinerait d'abord les documents originaux du client. L'émetteur pourrait ensuite délivrer un titre signé cryptographiquement que le client conserve dans un portefeuille numérique compatible.

Un titre vérifiable contient des attestations de cet émetteur. Une preuve à divulgation nulle peut utiliser ces attestations pour confirmer qu'une condition donnée est remplie sans révéler les informations ayant permis d'y parvenir.

Ce modèle modifie l'endroit où les données personnelles sont conservées, sans faire disparaître la vérification d'identité. L'émetteur initial a toujours besoin de preuves fiables, tandis que la plateforme crypto ne peut recevoir que les faits pertinents pour le service demandé.

Peirce a soulevé une question connexe de minimisation des données en s'interrogeant sur la nécessité pour les enregistrements de titres tokenisés de comporter systématiquement des champs classiques tels que les noms et les adresses physiques. Coindoo a examiné ce débat dans son rapport sur les règles proposées par la SEC concernant la propriété des actions tokenisées.

Les sociétés financières peuvent-elles utiliser cette approche aujourd'hui ?

La FinCEN a déjà validé un usage plus restreint de cette technologie. Ses orientations du 8 septembre indiquent que les banques et coopératives de crédit peuvent utiliser certains titres numériques vérifiables émis par des autorités publiques, y compris les permis de conduire mobiles, comme méthode de vérification des clients personnes physiques.

Ces orientations n'ont pas supprimé les obligations légales existantes. Les institutions concernées doivent toujours obtenir les informations d'identification requises et conserver les registres prescrits. Les obligations d'une société crypto dépendent également de ses activités et de sa qualification : entreprise de services monétaires, intermédiaire en valeurs mobilières, banque ou autre entité réglementée. Pour les sociétés crypto, ces orientations constituent donc un point de référence plutôt qu'un modèle transposable.

Ce qu'un KYC privé ne résoudrait pas

Le statut de sanctions et l'éligibilité des clients peuvent évoluer, de sorte que les titres nécessiteraient des vérifications d'expiration, de statut et de révocation. Les plateformes devraient également savoir si l'émetteur a effectué une vérification initiale fiable, et un portefeuille volé ou un titre compromis créerait une autre voie de fraude d'identité.

La réception de moins de données personnelles ne réduirait l'exposition d'une plateforme aux fuites que si elle cessait de conserver les documents sous-jacents. Le risque ne disparaîtrait pas ; une plus grande part serait supportée par l'organisation ayant délivré ou géré le titre. Les preuves sélectives ne permettent pas non plus d'établir l'origine des fonds d'un client ni de remplacer la surveillance des transactions et la déclaration des activités suspectes.

La technologie va plus vite que la réglementation

Les institutions financières peuvent déjà vérifier des titres numériques signés. La question de politique publique en suspens est de savoir quand elles peuvent conserver la preuve qu'une vérification a eu lieu au lieu de collecter les données personnelles qui la sous-tendent.

La proposition de Peirce rendrait le KYC moins répétitif, pas facultatif. En faire une pratique standard exigerait que des régulateurs au-delà de la SEC décident qu'une réponse vérifiée peut parfois suffire à satisfaire la loi sans un nouveau dossier d'identité complet. D'ici là, le KYC à minimisation des données reste un ensemble de propos de conférence plutôt qu'une option de conformité, et les obligations quotidiennes continuent de relever du cadre réglementaire existant.