🇺🇸Travel Rule: пороги и требования к данным в переводах

Банковский и криптовалютный Travel Rule

FATF регулирует передачу данных при переводах через два связанных блока. Recommendation 16 применяется к wire transfers банков и платёжных провайдеров. Recommendation 15 и её Interpretive Note распространяют соответствующие требования на провайдеров услуг с виртуальными активами через отсылку к R.16.

В июне 2025 года FATF принял пересмотренную R.16. В пояснительной записке сказано прямо: VASP не вводятся в сферу применения R.16, требования применяются к ним косвенно через R.15, а INR.15 будет обновляться «по мере необходимости». Пересмотр R.16 не изменил INR.15 автоматически. Поэтому наборы данных и сроки имплементации для банковских и криптовалютных переводов могут различаться. Оператор, обслуживающий оба типа операций, должен поддерживать отдельные схемы данных и отслеживать последующее обновление INR.15.

Пересмотр R.16: состав и качество данных

Пересмотр реорганизовал пояснительную записку по типам транзакций, а не по типам субъектов, симметрично выровнял обязанности сторон отправителя и получателя и добавил мошенничество в число ключевых предикатных преступлений. Выше de minimis в USD/EUR 1 000 передаются: по плательщику — имя (точность верифицирует ordering institution), номер счёта или уникальный референс и адрес либо национальный идентификатор, customer ID или дата рождения; для юрлиц — BIC, LEI или иной уникальный официальный идентификатор. По получателю — имя, номер счёта или референс и только страна и город, а не полный адрес. Ниже порога достаточно имён и номеров счетов без верификации.

Одновременно набор смягчён ради financial inclusion: для плательщика допустимы страна и город без стандартизированного почтового формата, при недоступности полной даты рождения достаточно года, а национальный идентификационный номер и customer ID физлица перестали быть обязательными. Сокращение обязательных полей не отменяет требования к их точности, структуре и пригодности для идентификации. Обрезанное имя, placeholder, неструктурированная адресная строка или расхождение между отправленными и полученными данными могут рассматриваться как недостаток контроля даже при законной операции. Институт получателя при этом обязан выполнять alignment checks: post-validation, holistic monitoring либо pre-validation в формате Confirmation of Payee.

Дедлайн имплементации — конец 2030 года; приложение к методологии оценки вышло в октябре 2025-го, действующая редакция Рекомендаций помечена «Updated October 2025». Проект guidance вынесен на публичную консультацию 24 июня 2026 года; срок комментариев истёк 21 августа 2026 года. В повестке консультации четыре темы:

• misdirected payments и alignment checks;
• financial inclusion;
• цифровые кошельки и mobile money;
• баланс между R.16 и требованиями защиты данных.

Принятие ожидается около октября 2026-го — окончательный guidance может уточнить практические требования. Темп национальной имплементации будет различаться между юрисдикциями.

Пороги и правила по юрисдикциям

Ниже сведены денежные пороги Travel Rule и даты их введения — по стандарту FATF и девяти юрисдикциям.

Второе измерение той же матрицы — что юрисдикция требует при переводе на внешний, self-hosted кошелёк.

В ЕС для криптопереводов установлен нулевой de minimis threshold. Regulation (EU) 2023/1113 применяется с 30 декабря 2024 года синхронно с MiCA, и для криптопереводов de minimis в нём нет: recital 30 требует одинакового набора данных независимо от суммы — это самостоятельное решение законодателя ЕС, поскольку FATF допускает порог до USD/EUR 1 000. Дополняют регламент Travel Rule Guidelines EBA/GL/2024/11 от 4 июля 2024 года: «отсутствующей» считается не только пустая ячейка, но и бессмысленное содержимое — случайные символы, титул без имени, недопустимые знаки; на дозапрос отведено 3 рабочих дня внутри Союза, 5 извне и до 7 при сложной цепочке посредников.

США — главный аутлаер. Порог в 31 CFR 1010.410 остаётся USD 3 000 и не менялся с 1996 года. Совместный NPRM FinCEN и ФРС от 27 октября 2020 года (85 FR 68005) предлагал опустить его до USD 250 для переводов с началом или окончанием за пределами США и прямо включить конвертируемую виртуальную валюту в определение «money».

Предложение мертво: в Unified Agenda запись RIN 1506-AB41 стоит в Completed Actions с пометкой «Withdrawn 04/16/2025» — хотя заметная часть обзоров 2025–2026 годов до сих пор пишет, что оно «на рассмотрении». По R.16 США оцениваются как partially compliant; детали — на странице про MSB и FinCEN, канадский контур — в статье MSB в Канаде: FINTRAC, FMSB и PSP-режим Банка Канады.

Великобритания в июне 2026 года тихо ужесточила порог. MLR 2017 Part 7A действует с 1 сентября 2023 года: reg. 64C(5) требует имена сторон, наименования фирм и номера счетов или уникальные идентификаторы транзакции при любой сумме, а расширенный набор — customer ID, адрес, номер документа, дата и место рождения — включался от «1 000 евро». SI 2026/621 заменил эту формулировку на £800 сразу в reg. 64C(4) и reg. 64G(1)(b) с 30 июня 2026 года. Инструмент сделан 9 июня 2026 года и вступает в силу через 21 день после издания; он переводит в фунты все евровые пороги MLR разом.

Но для крипто это не нейтральный пересчёт: £800 примерно соответствует EUR 930, то есть порог опустился. Правка спрятана в regs 32–33 инструмента с десятками поправок по всему MLR; шире контур — в разборе крипто-режима FCA и Банка Англии.

Южная Корея отменяет внутренний порог и одновременно предлагает изменение международного стандарта: по решению Кабинета от 11 августа 2026 года порог KRW 1 000 000 отменяется через шесть месяцев после опубликования поправок к указу — с 20 февраля 2027 года; с той же даты переводы на зарубежные биржи вне списка низкорисковых и на личные кошельки допускаются лишь при совпадении отправителя и получателя, а на высокорисковые направления запрещаются. Директор KoFIU на июньском пленуме FATF в Париже доказывал, что de minimis превращается в лазейку для любого, кто готов разбить вывод на несколько сотен мелких операций. Примет FATF нулевой порог — позиция США станет нежизнеспособной, а европейская модель глобальной нормой; вероятный компромисс — порог сохраняется, но ужесточаются правила агрегирования.

Self-hosted кошельки: проверяется владение, а не личность

ЕС проверяет узкую вещь. Статьи 14(5) и 16(2) TFR обязывают CASP при переводе на self-hosted адрес или получении с него на сумму свыше EUR 1 000 принять адекватные меры для оценки того, принадлежит ли адрес его собственному клиенту или контролируется им. Recital 39 при этом прямо говорит, что верифицировать информацию о пользователе self-hosted адреса CASP в принципе не обязан: проверяется владение адресом со стороны своего клиента, а не личность контрагента — компромисс относительно куда более жёсткой первоначальной позиции Европарламента.

EBA перечислила достаточные методы: unattended verification (демонстрация адреса по правилам удалённого онбординга), attended verification, Satoshi test с отправкой предопределённой суммы, подпись заданного сообщения ключом, соответствующим адресу, и иные надёжные технические средства. Whitelisting после верификации допускается, но с мониторингом изменений владения и риска, а признаки связанных транзакций описаны отдельно (один плательщик и один получатель за короткий период, разные получатели, разные счета одного лица) — с определением «короткого периода» на усмотрение самой организации.

Дальше начинается спектр. Швейцария по FINMA Guidance 02/2019 требует верификации права распоряжения внешним кошельком при любой сумме и для любых кошельков, включая принадлежащие третьим лицам; порога у самой Travel Rule нет, а 30-дневное окно ст. 51a AMLO-FINMA (редакция с 1 января 2023 года) относится к другому — к порогу идентификации CHF 1 000 при обмене криптовалюты на наличные, который считается по связанным операциям. Гонконг верифицирует владение unhosted-кошельком до перевода и периодически переверифицирует whitelisted-адреса. Сингапур выводит non-custodial за периметр Travel Rule, но сохраняет EDD и подтверждение владения. Великобритания действует риск-ориентированно от £800, и reg. 64G(4) даёт жёсткое последствие: не получена запрошенная информация — актив бенефициару выдавать нельзя. США не требуют ничего.

Куда сместится FATF — открытый вопрос. Целевой отчёт по стейблкоинам и unhosted-кошелькам от 3 марта 2026 года новых стандартов не вводит: он фиксирует более 250 стейблкоинов с капитализацией свыше USD 300 млрд к середине 2025 года, констатирует, что на них пришлось 84% объёма нелегальных транзакций с виртуальными активами в 2025 году, и рекомендует обязать эмитентов иметь freeze/burn и allow/deny-list — но обязанность передавать данные сторон оставляет на CASP. Тот же разрыв в P2P: 88% опрошенных юрисдикций (58 из 66) считают такие переводы высокорисковыми, метрики рынка собирают 23% (31 из 133).

Sunrise превратился в enforcement gap и техдолг

Sunrise problem в определении FATF Best Practices on Travel Rule Supervision (июнь 2025) — «неравномерное принятие Travel Rule в юрисдикциях вследствие задержек и/или несогласованных стандартов», названное единственным крупнейшим препятствием. К 2026 году законодательный разрыв почти закрыт: по седьмому Targeted Update от 16 июля 2026 года Travel Rule действует в 83% юрисдикций (91 из 109) против 73% годом ранее, ещё 11 в процессе — суммарно 93%; среди 69 materially important юрисдикций (около 97% мирового объёма торгов) принятие достигло 94%.

Обратная сторона тех же данных выглядит иначе: законодательное покрытие опережает и надзор, и техническое соответствие.

Поправка к чтению графиков прогресса: запрет VASP засчитывается как реакция на риск, хотя Travel Rule в такой юрисдикции просто не нужна.

Sunrise и интероперабельность — юридически разные проблемы. При sunrise контрагент сидит в юрисдикции без Travel Rule и не обязан обмениваться персданными; ответ — документированные «best efforts». При интероперабельности контрагент комплаентен и готов, но использует несовместимое решение; ответ — прямая интеграция протоколов либо дорогая поддержка нескольких сетей сразу. Основной стала вторая.

IVMS101 — это модель данных (какие поля и в каком формате), а не протокол передачи, и в 2025–2026 годах он проходит «reboot». Каналы фрагментированы: открытые TRP, OpenVASP и TRISA, закрытая сеть TRUST, коммерческие Sygna Bridge, VerifyVASP, Shyft Veriscope, GTR, CODE, шлюзы вроде Notabene SafeTransact. Проблема решается не стандартизацией, а слияниями: 29 апреля 2026 года VerifyVASP приобрёл Sygna, объединив участников в Verified Network; параллельно TRISA и TRP объявили о взаимной совместимости. Регуляторное последствие не адресовано нигде: критическая комплаенс-инфраструктура концентрируется у нескольких коммерческих операторов, ответственность остаётся на VASP, а надзора за самими операторами сетей не существует.

Правоприменение подтверждает диагноз. Чистых «Travel-Rule-only» санкций почти нет: правило идёт компонентом широких AML-дел.

Санкция FINTRAC вынесена за непредставление отчётов о крупных переводах виртуальной валюты, а корейский кейс ближе всего к жанру: Upbit оштрафован примерно за 5,3 млн случаев нарушения обязанностей по верификации. Второй формат — предписание без штрафа: FCA обязала фирму подключить дополнительное решение и ремедиировать исторические некомплаентные транзакции.

Приватность: обязательные guidelines, которых нет

Статья 25 TFR подчиняет обработку данных GDPR, запрещает дальнейшую обработку несовместимым образом и прямо запрещает коммерческое использование, а информирование клиента по ст. 13 GDPR должно происходить до установления деловых отношений; срок хранения по ст. 26 — пять лет. Пункт 25(4) обязывает EDPB выпустить guidelines по передаче персданных в третьи страны в контексте криптопереводов. Спустя двадцать месяцев после начала применения регламента в реестре EDPB такого документа нет.

Практическое следствие: основанием передачи выступает ст. 6(1)(c) GDPR (юридическая обязанность), но всё упирается в главу V — у большинства VASP-юрисдикций нет решения об адекватности. Рынок держится на пяти опорах:

• SCC с контрагентом-CASP;
• transfer impact assessment;
• минимизация полей;
• шифрование;
• шаблон «сначала подтвердить, что адрес принадлежит регулируемому контрагенту, готовому принять данные, и только потом отправлять PII».

Опора на дерогацию ст. 49(1)(d) для потокового обмена хрупка: EDPB настаивает, что дерогации главы V должны быть occasional, а Travel Rule по определению систематична. Это самая уязвимая точка европейского режима, и FATF конфликт признаёт — баланс R.16 с защитой данных вынесен в консультацию июня 2026 года.

Почему адрес и дату рождения спрашивают ради 50 евро

Первое: в ЕС для криптопереводов порога нет вообще, EUR 20 обрабатываются так же, как EUR 20 000, — решение европейского законодателя, а не требование стандарта. Криптоперевод на EUR 50 несёт больше обязательств по данным, чем SEPA-платёж на EUR 900 внутри Союза. Данные клиента уходят контрагенту-CASP, в том числе в страны без решения об адекватности; коммерческое использование запрещено, хранение — пять лет, информация об обработке предоставляется до начала отношений. Что именно и зачем собирает регулируемый посредник — в материале про AML/KYC для частного клиента.

Второе: «зависший» перевод — это чаще всего ст. 17 TFR, дающая CASP получателя право исполнить, отклонить или приостановить операцию при неполных данных, плюс сроки EBA на дозапрос: 3 рабочих дня внутри Союза, 5 извне, до 7 в сложной цепочке. Отказ при этом не всегда обоснован: EBA указывает, что отсутствующая или недопустимая информация сама по себе не образует подозрения в отмывании и требует целостной риск-оценки, — пригодный аргумент в жалобе.

Третье: вывод на собственный кошелёк. В ЕС при сумме свыше EUR 1 000 биржа обязана убедиться, что адрес принадлежит клиенту, — отсюда просьба подписать сообщение или провести Satoshi test; в Швейцарии это делается при любой сумме, в Великобритании риск-ориентированно от £800, в США не делается вовсе. Четвёртое: дробление ниже порога читается прямо — EBA обязывает выявлять связанные переводы, британский reg. 64C(4) считает их вместе при расчёте £800, а в Швейцарии порога у Travel Rule нет вовсе, и 30-дневное окно ст. 51a AMLO-FINMA относится лишь к обмену крипто на наличные. Как это ложится на структуры владения — в крипто для частного капитала.

Не одна конфигурация, а матрица коридоров

В одном стеке приходится держать три несовпадающих порога: ноль в ЕС, около тысячи в FATF-логике и большей части Азии, USD 3 000 в США. С февраля 2027 года добавляется корейский ноль, а Великобритания живёт по гибридной схеме — базовый набор при любой сумме плюс расширенный от £800. Британская правка июня 2026 года — отдельная ловушка: системы с порогом, зашитым в евро с автоконвертацией, дадут ложные срабатывания в обе стороны.

Ответственность неделегируема: и FCA, и SFC Гонконга фиксируют, что стороннее Travel Rule решение не снимает обязанностей с самого VASP, — отсюда due diligence поставщика как отдельный контроль. Самое слабое звено — due diligence контрагента: 57% юрисдикций (49 из 85) ограничивают работу домашних VASP кругом лицензированных, зарегистрированных или комплаентных иностранных контрагентов, 22 из них требуют одновременно лицензию и соответствие Travel Rule, и лишь 9 не ставят ограничений — при том что глобального реестра лицензированных VASP не существует. Рабочий стек: списки «эквивалентных юрисдикций» (их ежегодно публикует Япония), справочники провайдера сети, собственный KYB контрагента и документированные разумные шаги для sunrise-случаев. Отдельный слой риска — офшорные VASP: по мартовскому отчёту FATF лишь 46% юрисдикций регулируют по признаку деятельности, а 44% (50 из 114) лицензируют только домашних провайдеров.

Три вещи в план сейчас: валидация данных, а не только их передача; GDPR-контур без ожидания guidelines EDPB; выбор провайдера по пересечению его покрытия с реальными коридорами оператора, а не по общей цифре подключённых VASP. Дорожная карта: корейский ноль в феврале 2027-го, AMLR и перестройка европейского режима в июле 2027-го, прямой надзор AMLA за примерно сорока высокорисковыми трансграничными обязанными лицами с января 2028-го, пересмотренная R.16 в банковском рельсе к концу 2030-го. При работе под чужой лицензией матрица всё равно остаётся ответственностью оператора, почему, разобрано в white-label CASP.

Что происходит с TFR 9 июля 2027 года

Одна развилка теперь закрыта. Метаданные EUR-Lex по Regulation (EU) 2023/1113 действительно указывают 9 июля 2027 года — ровно за день до начала применения AMLR, по которому CASP становятся обязанными лицами. Но в самой аннотации стоит код FIN/VAL/PART — частичное окончание действия, привязанное к статье 38 и к частичной имплицитной отмене (AI/PAR) Директивой (ЕС) 2024/1640. Сам регламент в тех же метаданных числится действующим. Значит, полной отмены TFR с этой даты нет — европейский контур всё равно перестраивается вокруг AML-пакета, но сам регламент 9 июля 2027 года не исчезает.

Календарь: что и когда