PSAN : COMMENT SE CONFORMER À L’ENREGISTREMENT RENFORCÉ À COMPTER DU 1ER JUILLET 2023 ?

A compter du 1er janvier 2024, le régime de l’enregistrement renforcé pour les Prestataires de Services sur Actifs Numériques (PSAN) déjà enregistrés entrera en vigueur. Les PSAN devront se conformer à des exigences supplémentaires afin de conserver leur enregistrement.
Les futurs PSAN quant à eux, qui souhaitent déposer une demande d’enregistrement doivent se conformer aux exigences de l’enregistrement renforcé dès le 1er juillet 2023.

Cette nouvelle procédure d’enregistrement renforcé sera appliquée en attendant la mise en place de l’agrément européen CASP (Crypto-Assets Service Provider) prévu par le Règlement MiCA (Markets in Crypto-Assets). C’est la loi n° 2023-171 du 9 mars 2023, dite loi « DDADUE », publiée au journal officiel du 10 mars 2023 qui est venue imposer cet enregistrement renforcé.

Attention, ne seront abordés ici que les éléments additionnels propres à l’enregistrement renforcé et non ceux relatifs à l’enregistrement simple. Toutefois, les éléments propres à l’enregistrement simple restent indispensables, en plus des éléments relatifs à l’enregistrement renforcé, afin de pouvoir être effectivement enregistré en tant que PSAN. Vous pouvez consulter cet article pour en savoir à propos de ces éléments: Enregistrement simple

I. Rappels sur les services sur actifs numériques soumis à obligation d’enregistrement.

Pour rappel, ce sont les articles L54-10-2 et L54-10-3 du Code monétaire financier (CMF) qui imposent à une société d’être enregistrée PSAN. Ils précisent également les services sur actifs numériques qui justifient cette obligation.

L’article L54-10-2 du CMF définit les services sur actifs numériques comme comprenant les services suivants :

« 1° Le service de conservation pour le compte de tiers d’actifs numériques ou d’accès à des actifs numériques, le cas échéant sous la forme de clés cryptographiques privées, en vue de détenir, stocker et transférer des actifs numériques ;

2° Le service d’achat ou de vente d’actifs numériques en monnaie ayant cours légal ;

3° Le service d’échange d’actifs numériques contre d’autres actifs numériques ;

4° L’exploitation d’une plateforme de négociation d’actifs numériques ».

L’article L54-10-3 du CMF dispose quant à lui que les prestataires des services mentionnés aux 1° à 4° de l’article L54-10-2 établis en France ou fournissant ces services en France, doivent être enregistrés par l’Autorité des marchés financiers (AMF).

II. Les exigences de l’enregistrement renforcé communes à tous les PSAN.

La loi DDADUE est venue modifier l’article L54-10-3 du Code monétaire financier en imposant des obligations nouvelles aux PSAN ou futurs PSAN, quels que soient les services sur actifs numériques proposées par ceux-ci.

L’article précité dispose ainsi désormais que les prestataires disposent en permanence :

• D’un dispositif de sécurité et de contrôle interne adéquat ;
• D’un système de gestion des conflits d’intérêts ;
• D’un système informatique résilient et sécurisé.

Il est ajouté qu’il est nécessaire que les PSAN :

• Communiquent à leurs clients des informations claires, exactes et non trompeuses, notamment les informations à caractère promotionnel, qui sont identifiées en tant que telles ;
• Avertissent les clients des risques associés aux actifs numériques ;
• Rendent publiques leurs politiques tarifaires ;
• Etablissent et mettent en œuvre une politique de gestion des réclamations de leurs clients et assurent un traitement rapide de celles-ci.

Nous verrons plus loin comment mettre en œuvre ces exigences.

III. Les exigences de l’enregistrement renforcé spécifiques aux PSAN fournissant un service de conservation d’actifs numériques – Avocat PSAN enregistrement renforcé

Ce service doit s’entendre de façon extensive. Seront par exemple aussi bien concernés les PSAN conservant de façon directe les actifs numériques de clients, que les PSAN conservant uniquement les clés permettant d’accéder aux actifs numériques de clients.

L’article L54-10-3 du Code monétaire financier fait ainsi état d’obligations supplémentaires à la charge des PSAN fournissant ce service. L’article prévoit que les PSAN :

• Concluent avec leurs clients une convention définissant leurs missions et leurs responsabilités ;
• Etablissent une politique de conservation ;
• S’assurent de la mise en place des moyens nécessaires à la restitution dans les meilleurs délais des actifs numériques ou d’un accès aux actifs numériques détenus pour le compte de leurs clients ;
• Ségrèguent les détentions pour le compte de leurs clients de leurs propres détentions ;
• S’abstiennent de faire usage des actifs numériques ou des clés cryptographiques conservés pour le compte de leurs clients, sauf consentement exprès et préalable des clients.

Nous allons pouvoir désormais étudier comment mettre en œuvre les exigences des points II et III.

IV. Comment apporter ces éléments au dossier d’enregistrement déposé auprès de l’AMF ? Avocat PSAN enregistrement renforcé

A) Concernant les obligations communes à tous les PSAN.

Il sera nécessaire de prévoir l’établissement d’un dispositif de gestion des risques et de contrôle interne permettant d’identifier, d’analyser et de traiter les risques susceptibles de mettre en danger la société et les services sur actifs numériques fournis par elle.

Devra également être élaborée une Politique de gestion des conflits d’intérêts permettant d’identifier et de prévenir les conflits potentiels ou avérés, ainsi que de mettre en place des mesures pertinentes au regard de ces objectifs.

Une politique de traitement des réclamations des clients sera également nécessaire. Celle-ci aura pour objectif de permettre un traitement rapide des plaintes et de mettre en place un système permettant de répondre et de satisfaire de manière réactive à ces réclamations.

Le volet cybersécurité de la loi implique la mise en œuvre de plusieurs mesures :

• La rédaction d’un rapport d’audit de cybersécurité (effectué par un prestataire spécialisé) ;
• La mise en place de politiques réalisées par un prestataire de services certifié par l’ANSSI ;
• La réalisation d’une analyse d’impact RGPD.

Enfin, une politique interne relative aux pratiques commerciales paraît nécessaire compte tenu des exigences du texte. Cette politique interne permettra d’assurer une communication efficace aux organes de direction et aux effectifs salariés des pratiques commerciales attendues.

B) Concernant les obligations applicables aux PSAN fournissant un service de conservation d’actifs numériques.

Un modèle de convention définissant les missions et responsabilités du PSAN doit être prévu pour signature avec les clients confiant leurs actifs numériques ou les clés permettant d’accéder à leurs actifs numériques.

Une politique de conservation des actifs numériques et des clés d’accès à ces derniers devra ensuite être rédigée, là aussi afin d’assurer une communication efficace aux organes de direction et aux effectifs salariés des pratiques de conservation attendues.