Thailand heeft de cryptosector een harde deadline gegeven: digitale-assetbedrijven moeten klaar zijn om precies vast te leggen wie digitale activa verstuurt en ontvangt, anders lopen zij het risico niet langer aan de regels te voldoen. De Securities and Exchange Commission van Thailand heeft de nationale versie van de crypto Travel Rule afgerond, een regeling die elke exploitant van digitale-assetdiensten verplicht om gedetailleerde informatie over beide partijen in een crypto-overdracht te verzamelen, te verifiëren en door te geven. De regels treden in werking op 27 februari 2027, waardoor de sector ongeveer zes maanden krijgt om de benodigde systemen voor naleving te bouwen.

Belangrijkste punten

• De SEC van Thailand heeft een crypto Travel Rule afgerond die op 27 februari 2027 van kracht wordt.
• Exploitanten moeten het eigendom of de controle over self-custodial wallets verifiëren voordat zij overdrachten van of naar deze wallets verwerken.
• Gegevens van verzender en ontvanger, waaronder namen en rekeningnummers, moeten voor elke crypto-overdracht worden verzameld.
• Transactiegegevens moeten vijf jaar worden bewaard, waarbij toezichthouders gedurende de eerste twee jaar onmiddellijk toegang krijgen.
• De regel weerspiegelt een wereldwijde trend: ongeveer 83% van de door de Financial Action Task Force onderzochte jurisdicties had in 2026 al vergelijkbare wetgeving ingevoerd.

Thailand voltooit crypto Travel Rule die in februari 2027 van kracht wordt

Vanaf begin 2027 zal geen enkele Thaise exploitant van digitale activa crypto nog voor een klant kunnen verplaatsen zonder eerst vast te stellen wie zich aan de andere kant van die overdracht bevindt. De Thailand crypto Travel Rule vereist dat aanbieders van virtuele activadiensten, of VASP’s, informatie over verzender en ontvanger aan elke transactie koppelen, waardoor crypto-overdrachten qua compliance in de praktijk meer gaan lijken op traditionele bankoverschrijvingen.

Die verschuiving is belangrijk omdat de regel niet alleen extra papierwerk toevoegt; zij verandert de operationele basis voor platforms die digitale-activatransfers verwerken. Identiteitscontroles, walletbeheer en vastlegging van gegevens komen nu dichter bij het hart van het overdrachtsproces te liggen, wat de lat hoger legt voor zowel compliance-systemen als intern gegevensbeheer.

Wat de nieuwe kaderregeling heeft veroorzaakt

Volgens de SEC zijn de regels bedoeld om het risico te verkleinen dat aanbieders van digitale activa witwassen en terrorismefinanciering zouden faciliteren. Daarmee valt de regeling duidelijk binnen Thailand’s bredere anti-witwasbeleid en niet als een op zichzelf staande cryptomaatregel.

Van consultatie naar definitieve regels

De definitieve tekst kwam niet overhaast tot stand. De regelgeving is ontwikkeld in samenwerking met het Anti-Money Laundering Office van Thailand, na twee rondes publieke feedback: voorgestelde principes in maart 2026 en vervolgens een conceptmelding in juni 2026. Volgens de SEC steunden de meeste belanghebbenden de voorstellen. De definitieve versie werd op 1 september 2026 gepubliceerd, waarmee de teller richting de ingangsdatum in februari 2027 begon te lopen.

Wat digitale-assetexploitanten nu moeten doen

Onder het nieuwe kader krijgen Thaise crypto-platforms twee samenhangende verplichtingen: vaststellen wie een wallet beheert en gedetailleerde records bijhouden van wat erdoorheen beweegt. Beide eisen verhogen de operationele kosten en technische complexiteit voor exploitanten die overdrachten voorheen met veel minder toezicht afhandelden.

Verificatie van eigendom van self-custodial wallets

Het meest omstreden onderdeel van de regel richt zich op self-hosted wallets, waarbij gebruikers hun eigen private keys beheren in plaats van te vertrouwen op een beurs of bewaarder. Onder de nieuwe eisen moeten exploitanten bevestigen dat de persoon die een overdracht verzendt of ontvangt daadwerkelijk eigenaar is van, of bevoegd is over, de betreffende self-custodial wallet.

Dat is aanzienlijk lastiger dan identiteitscontroles op een gecentraliseerd platform, omdat verificatie van een self-custodial wallet geen tussenpartij heeft die het eigendom kan bevestigen. Deze eis zal waarschijnlijk een groot deel van de compliance-uitgaven van de sector in de komende zes maanden bepalen.

Gegevensbewaring gedurende vijf jaar en toegang voor toezichthouders

Naast walletcontroles moeten VASP’s voor elke digitale-activatransfer gegevens van verzender en ontvanger verzamelen, waaronder namen, rekeningnummers en andere identificerende gegevens. Die informatie moet vervolgens ten minste vijf jaar worden bewaard en beschikbaar worden gesteld voor toezicht.

Cruciaal is dat de regel vereist dat die gegevens tijdens de eerste twee jaar van die periode direct toegankelijk zijn voor toezichthouders op verzoek, waardoor er weinig ruimte blijft voor vertraagde rapportage of handmatige opvraging. Voor exploitanten betekent dit dat compliance niet alleen draait om verzamelen op het moment van overdracht, maar ook om het veilig kunnen opslaan en op schaal kunnen terugvinden van gegevens in de loop van de tijd.

Thailand sluit zich aan bij een wereldwijde compliancegolf

Thailand ontwikkelt dit kader niet in isolatie. De Financial Action Task Force, een intergouvernementele organisatie die mondiale anti-witwasnormen vaststelt, introduceerde de crypto Travel Rule oorspronkelijk via Aanbeveling 16. Begin 2026 had ongeveer 83% van de door de FATF onderzochte jurisdicties al een vorm van Travel Rule-wetgeving ingevoerd, waardoor Thailand zich aansluit bij een meerderheid van gereguleerde markten in plaats van voorop te lopen.

Die bredere adoptie verklaart deels waarom vergelijkbare regels steeds vaker bepalen hoe beurzen, bewaarders en andere digitale-assetbedrijven hun infrastructuur inrichten. In de praktijk wordt compliance een grensoverschrijdende kwestie, omdat bedrijven die in meerdere markten actief zijn vaak systemen nodig hebben die overlappende identiteits- en rapportagevereisten kunnen verwerken.

Afzonderlijke beoordeling door de Bank of Thailand van stablecoins

Daarnaast heeft de Bank of Thailand stablecointransacties onder de loep genomen, met bijzondere aandacht voor USDT. Die parallelle beoordeling suggereert dat Thaise toezichthouders crypto-toezicht niet zien als een eenmalige exercitie. Waar de Travel Rule draait om identiteitsgegevens op transactieniveau, kan het toezicht van de centrale bank op stablecoins leiden tot aanvullende regels voor specifieke activaklassen.

Paraatheid van de sector en de kwestie van datasecurity

Sommige Thaise platforms passen zich al aan in plaats van te wachten tot de deadline nadert. Bitazza, een binnenlands platform voor digitale activa, integreert compliance-tools van aanbieders zoals Sumsub om zijn systemen voor te bereiden op de startdatum in februari 2027. Die vroege stap suggereert dat grotere, beter gekapitaliseerde exploitanten de overgangsperiode als voordeel kunnen benutten, terwijl kleinere platforms hogere kosten kunnen ondervinden om bij te benen.

Een grotere vraag blijft echter de datasecurity. Het verplichten van exploitanten om gedetailleerde persoonlijke en financiële informatie vijf jaar lang op te slaan, creëert een geconcentreerde pool van gevoelige gegevens, en zulke concentraties zijn precies waar aanvallers naar op zoek gaan. De regel beschrijft welke informatie moet worden bewaard en hoe lang, maar zegt veel minder over hoe die verplichting tot gegevensbewaring van crypto-transacties tegen datalekken wordt beschermd.

Die leemte is belangrijk, omdat het succes van het kader niet alleen zal worden gemeten aan de vraag of exploitanten op papier aan de regels voldoen. Het zal ook afhangen van de vraag of gebruikers Thaise platforms over vijf jaar nog steeds vertrouwen met hun identiteit en transactiegeschiedenis.

Voor een sector die zich al aanpast aan bredere Thaise regelgeving voor digitale activa, waaronder SEC-voorstellen dit jaar over toegang voor particulieren tot buitenlandse crypto-derivaten en conceptregels voor spot Bitcoin- en Ether-ETF’s, voegt de Travel Rule nog een compliance-laag toe om te beheren. Of de periode van zes maanden voldoende blijkt, hangt mogelijk minder af van de regel zelf dan van hoe snel exploitanten walletverificatie en veilige langetermijnopslag kunnen omzetten in routine-infrastructuur in plaats van een laatste-minuutspurt.