Travel Rule : comment les plateformes crypto s’échangent les données personnelles de leurs clients

Travel Rule : un nouveau cadre en vigueur depuis 2025

La « Travel Rule », ou « règle de voyage », est un dispositif de lutte contre le blanchiment d’argent et le financement du terrorisme mis en place par le GAFI (Groupe d’action financière). Recommandation n°16 de l’organisation, elle impose aux institutions financières de transmettre les informations relatives à l’expéditeur et au bénéficiaire lors de transferts de fonds. Initialement conçue pour la finance traditionnelle, cette règle s’applique désormais aussi aux prestataires de services sur actifs numériques (VASP).

En clair : dès qu’un utilisateur envoie des crypto-actifs d’une plateforme à une autre, les deux doivent échanger les données d’identification des clients impliqués. Cela inclut, au minimum, le nom de l’expéditeur et du destinataire, ainsi que l’adresse du portefeuille utilisé, dès lors que le montant dépasse 1 000 dollars ou 1 000 euros.

Pour les acteurs européens, cela signifie vérifier les contreparties, recueillir les informations, les transmettre de manière sécurisée, filtrer les transactions via des listes de sanctions, et assurer une surveillance continue. Le tout en respectant des normes strictes de protection des données personnelles et en essayant de limiter les frictions opérationnelles.

Ce cadre impose donc la mise en place d’infrastructures spécifiques, capables de vérifier les identités, d’automatiser certains contrôles réglementaires et de conserver des preuves d’échange de données. Cela engendre aussi de nouveaux risques, qu’il s’agisse de fuites d’informations, de failles internes ou d’incompatibilités techniques.

>> Réglementation crypto en 2025 : l’année de tous les changements

Une multitude d’outils différentes pour transmettre ces données

Pour répondre aux exigences de la Travel Rule, les plateformes d’échange d’actifs numériques ont dû mettre en place des systèmes capables d’échanger, de façon sécurisée, les données sensibles de leurs utilisateurs. Plusieurs protocoles de communication coexistent aujourd’hui, chacun proposant une approche différente en matière de confidentialité, d’interopérabilité et de gouvernance.

TRUST (Travel Rule Universal Solution Technology) est l’un des protocoles les plus largement adoptés. Développé par Coinbase et soutenu par plusieurs grandes plateformes, il permet un échange sécurisé des données entre VASP vérifiés, via des canaux chiffrés. Le protocole repose sur un modèle fermé : seuls les acteurs reconnus peuvent y participer.

TRP (Travel Rule Protocol) prend le contre-pied avec une approche open source. Créé par un consortium réunissant notamment Standard Chartered, ING et BitGo, il mise sur la simplicité et l’interopérabilité, avec l’objectif de faciliter l’adoption par un plus grand nombre d’acteurs.

Sygna Bridge propose une API de messagerie destinée aux VASP. L’outil se concentre sur la protection des données personnelles et l’exactitude des informations transmises, tout en assurant la conformité réglementaire.

TRISA (Travel Rule Information Sharing Architecture) repose sur un protocole décentralisé en peer-to-peer. Il permet aux plateformes de s’échanger les informations requises sans passer par un acteur central, tout en intégrant des mécanismes de préservation de la vie privée.

CodeVASP Bridge, quant à lui, est un protocole propriétaire utilisé par Sumsub, un acteur de la conformité. Il s’intègre directement à leur plateforme pour assurer la transmission et la vérification des données exigées par la Travel Rule.

GTR (Global Travel Rule) et les outils d’Email Notification complètent l’écosystème.

Ce dernier est utilisé lorsque la contrepartie n’est pas joignable via les protocoles classiques. Dans ce cas, un e-mail automatique est envoyé (sans données sensibles) pour inviter le VASP à s’enregistrer sur la plateforme de Sumsub. Chaque tentative est enregistrée à des fins de traçabilité.

Zoom sur TRUST (Coinbase)

Parmi les protocoles de communication adoptés pour se conformer à la Travel Rule, TRUST occupe une place centrale, notamment aux États-Unis. Lancé à l’initiative de Coinbase et d’un groupe d’échanges partenaires, il vise à établir un cadre commun pour le partage sécurisé des données entre plateformes. Plusieurs VASP européens l’utilisent déjà, comme le français Meria par exemple.

Le fonctionnement repose sur un principe simple : les informations exigées par la Travel Rule sont transmises directement entre plateformes, de manière chiffrée, sans être stockées sur un serveur central. Avant toute transmission, la plateforme destinataire doit prouver qu’elle contrôle bien l’adresse de réception, ce qui permet de garantir l’exactitude des échanges.

TRUST mise sur des canaux chiffrés de bout en bout, et impose à tous ses membres de passer par des audits indépendants en matière de sécurité, de protection des données et de conformité. Cela permet de créer un cercle fermé d’acteurs de confiance, capables d’échanger les données réglementaires tout en préservant la confidentialité des clients.

La solution s’appuie sur une infrastructure appelée TRUSThub, qui agit comme une couche de conformité intégrable à l’infrastructure technique des plateformes. TRUSThub permet d’emballer, transmettre et recevoir les données requises par la Travel Rule de manière standardisée.

Parmi les fonctionnalités mises en avant :

• L’interopérabilité, qui permet de dialoguer avec d’autres VASP, même s’ils n’utilisent pas la même technologie
• La simplicité d’intégration, grâce à un réseau ouvert conçu pour faciliter l’arrivée de nouveaux membres, y compris dans de nouvelles juridictions
• La scalabilité, avec une architecture capable de s’adapter à des volumes croissants de transactions
• La gouvernance participative, puisque les décisions clés sont soumises au vote des membres du réseau

>> En s’offrant Deribit, Coinbase signe la plus grosse acquisition de l’histoire de la crypto

Les zones d’ombre de TRUST

Malgré son adoption croissante, TRUST soulève encore de nombreuses interrogations.

Selon un dirigeant d'une plateforme d'échange européenne, "le fait qu'un géant comme Coinbase fasse un spin-off pour récupérer toutes les données des Européens et contraindre ses concurrents à communiquer des données sensibles n'est pas quelque chose de positif".

Derrière une promesse d’efficacité et de conformité à la Travel Rule, plusieurs zones d’ombre subsistent, notamment sur le plan technique, juridique et organisationnel.

Premier point : le manque de transparence. Peu d’informations publiques sont disponibles sur les fondements techniques du protocole.

Interrogé par The Big Whale et malgré nos multiples relances, Coinbase n’a pas souhaité répondre à nos questions.

Les spécifications détaillées, les mécanismes de chiffrement, ou encore les procédures internes ne sont pas documentés de manière ouverte. Ce déficit limite les possibilités d’audit indépendant et empêche les acteurs extérieurs de juger pleinement la robustesse du système.

Deuxième point : la différenciation peu claire de TRUST par rapport aux autres protocoles évoqués précédemment. Si TRUST revendique certaines caractéristiques comme l’interopérabilité et la gouvernance participative, il reste difficile de comprendre ce qui le distingue fondamentalement d’alternatives comme TRISA ou TRP.

La question de la gouvernance reste également floue. On sait que l’entrée de nouveaux membres passe par un vote des membres existants, mais les modalités de ce vote (majorité simple, droit de veto, comité technique) ne sont pas précisées. Ce manque de lisibilité pose la question d’un contrôle potentiel par un petit cercle d’acteurs.

Ce risque est d’autant plus présent que le réseau est largement constitué de grandes plateformes, ce qui alimente la crainte d’une forme de concentration oligopolistique. Le partage obligatoire de données personnelles entre ces acteurs soulève par ailleurs des questions de conformité au RGPD, notamment en ce qui concerne la localisation des données, le droit à l’effacement ou encore le consentement explicite des utilisateurs.

Autre point problématique : l’accès au protocole pour les nouveaux entrants. Les critères d’adhésion ne sont pas publics, et le processus d’intégration reste opaque pour les acteurs plus petits ou moins institutionnalisés. Cela limite la capacité du protocole à s’adapter à un écosystème crypto fondé sur l’innovation décentralisée.

Enfin, des risques de sécurité demeurent. Si l’un des VASP membres est compromis, les données qu’il reçoit ou transmet via TRUST peuvent être exposées, avec des conséquences graves : usurpation d’identité, fraude financière, ou fuite d’informations sensibles.

Coinbase a lui-même été victime d’une fuite de données touchant près de 1 % des utilisateurs de la plateforme incluant noms, adresses, téléphones, e-mails, photos d’identité, et données financières… On ignore encore si les données TRUST ont été touchées par ce piratage.

Le problème est aggravé par l’hétérogénéité des standards de protection des données selon les juridictions, ce qui accroît les risques de mauvaise gestion ou d’abus.

Malgré sa montée en puissance, TRUST ne fait donc pas l’unanimité. Son modèle, bien qu’opérationnel dans certains pays, continue de susciter des réserves dans un écosystème où la confiance repose autant sur la transparence que sur la conformité réglementaire.

Des pistes technologiques pour mieux concilier conformité et vie privée

Face aux défis posés par la Travel Rule (en particulier en matière de protection des données personnelles) plusieurs solutions technologiques émergent pour tenter de concilier exigences réglementaires et respect de la vie privée des utilisateurs.

Parmi les plus prometteuses : les techniques cryptographiques avancées. Ces outils permettent aux plateformes d’échanger ou de vérifier des informations sans exposer les données brutes.

• Les preuves à divulgation nulle de connaissance (zero-knowledge proofs ou ZKPs) permettent de prouver qu’une condition est remplie (par exemple, qu’un client est bien identifié) sans révéler les données sous-jacentes.
• Le calcul multipartite sécurisé (secure multi-party computation, ou MPC) permet à plusieurs acteurs de collaborer sur une opération (comme un contrôle de conformité) sans dévoiler leurs informations respectives.
• Le chiffrement homomorphe, enfin, autorise le traitement de données directement sous forme chiffrée, évitant ainsi de devoir les déchiffrer à un moment donné du processus.

Utilisées ensemble, ces techniques pourraient permettre aux plateformes d’actifs numériques de répondre aux obligations de la Travel Rule tout en minimisant les risques liés à la circulation de données sensibles.

Autre piste complémentaire : les systèmes d’identité décentralisée (Decentralized Identity, ou DID). L’idée est de redonner aux utilisateurs le contrôle sur leurs données d’identité, en leur permettant de les gérer via une clé cryptographique privée.

Dans ce modèle, les utilisateurs ne partagent pas directement leurs informations personnelles avec les plateformes. Ils peuvent, à la place, fournir une preuve cryptographique validée par une entité de confiance. Cela permet aux VASP de vérifier l’identité d’un utilisateur sans avoir à stocker, ni même accéder à ses données.

Le concept de divulgation sélective est central : seules les informations strictement nécessaires au respect des obligations sont partagées. Ce fonctionnement réduit considérablement les risques de fuite ou de mauvaise utilisation des données.

Si ces technologies sont encore en phase d’expérimentation dans le secteur, elles constituent une voie prometteuse pour construire une conformité plus respectueuse des droits des utilisateurs. Dans un contexte de surveillance réglementaire croissante, elles pourraient s’imposer comme un levier stratégique pour les acteurs cherchant à concilier innovation et exigence juridique.

L’avis de The Big Whale

La mise en œuvre de la Travel Rule dans l’univers crypto ne se limite pas à un simple exercice de conformité technique. Elle cristallise un dilemme plus large : jusqu’où l’industrie peut-elle aller pour répondre aux exigences des régulateurs sans trahir les principes qui ont fondé les cryptomonnaies (souveraineté individuelle, pseudonymat, décentralisation) ?

Les protocoles comme TRUST, TRP ou TRISA sont les premiers jalons d’un compromis encore instable. Ils cherchent à rassurer les autorités, à professionnaliser les échanges entre plateformes, mais au prix d’une standardisation croissante, souvent impulsée par les grands acteurs.

Derrière les promesses d’interopérabilité et de gouvernance ouverte, se dessine le risque d’une architecture fermée, dans laquelle seuls les acteurs disposant des moyens de se conformer aux règles peuvent participer. Une forme de centralisation, cette fois sous couvert de conformité.

Plus fondamentalement, cette tendance soulève une question stratégique : l’industrie crypto est-elle en train de s’institutionnaliser par absorption, ou est-elle capable d’imposer ses propres standards de confiance et de transparence ? Les outils cryptographiques avancés et les identités décentralisées offrent des pistes pour sortir de cette impasse, mais ils peinent encore à s’imposer dans les déploiements concrets.

>> Coinbase remporte une victoire historique contre la SEC : un tournant pour l’industrie crypto

‍