KYC crypto : définition, contrôles et données personnelles

Le KYC crypto, pour « know your customer » (connaissance du client), désigne les contrôles d'identité qu'une plateforme d'échange crypto, un courtier ou un wallet custodial doit effectuer avant de vous laisser trader, déposer ou retirer. En pratique, vous téléversez une pièce d'identité officielle, prenez un selfie en direct, indiquez votre adresse et, de plus en plus souvent, votre numéro fiscal, et la plateforme vous filtre au regard des listes de sanctions et des listes de personnes politiquement exposées. Les plateformes le font parce que la réglementation de lutte contre le blanchiment l'exige, pas par choix.

Cet article explique simplement ce qu'est le KYC et comment il fonctionne : pourquoi les plateformes le demandent, ce qu'elles demandent, comment les contrôles se déroulent en coulisses, ce que deviennent vos données ensuite, et où se situent la DeFi, le KYB et les plateformes sans KYC. Si vous exploitez une plateforme et souhaitez comparer les prestataires de vérification, notre guide distinct des meilleurs fournisseurs de logiciels KYC crypto en 2026 traite ce sujet.

Ce que signifie le KYC

Le KYC est la partie visible par le client d'une obligation légale plus large appelée vigilance à l'égard de la clientèle (customer due diligence, CDD). Les banques la pratiquent depuis des décennies. Une entreprise réglementée doit établir qui est son client, vérifier cette identité à partir de sources fiables, comprendre l'objet de la relation d'affaires et continuer à la surveiller par la suite. En crypto, le « client » est toute personne qui ouvre un compte auprès d'un service centralisé : plateforme d'échange, application de courtage, wallet custodial, émetteur de carte crypto ou passerelle fiat.

Le nouveau règlement européen de lutte contre le blanchiment, le règlement (UE) 2024/1624 (AMLR), qui s'applique à partir du 10 juillet 2027, donne une idée claire du minimum. Pour une personne physique, l'article 22 exige au moins :

• l'ensemble des noms et prénoms ;
• le lieu et la date de naissance complète ;
• les nationalités et, le cas échéant, un numéro d'identification national ;
• le lieu de résidence habituelle et, s'il est disponible, un numéro d'identification fiscale.

L'entreprise doit aussi vérifier ces informations, généralement à partir d'une pièce d'identité, et comprendre l'objet de la relation. C'est pour cette dernière raison que les plateformes vous interrogent sur votre profession, les volumes prévus et l'origine de vos fonds.

Pourquoi les plateformes crypto exigent le KYC

Trois niveaux de règles rendent le KYC incontournable pour les entreprises crypto réglementées.

Les normes mondiales. Le Groupe d'action financière (GAFI) fixe les normes de lutte contre le blanchiment que suivent la plupart des pays. En octobre 2018, il a mis à jour sa recommandation 15 pour couvrir les actifs virtuels et, en juin 2019, il a publié des lignes directrices qui ont soumis les prestataires de services sur actifs virtuels (PSAV) à la même logique de vigilance à l'égard de la clientèle que les banques et leur ont étendu la recommandation 16, la « travel rule » (Wikipédia, citant le GAFI). L'adoption est inégale mais progresse : la mise à jour ciblée du GAFI du 15 juillet 2026 a constaté que 83 % des juridictions interrogées sur ce point avaient une législation Travel Rule en vigueur (synthèse de Notabene, 17 juillet 2026).

La Travel Rule. Lorsque vous envoyez des cryptos d'une plateforme à une autre, la plateforme émettrice doit transmettre vos données d'identification à la plateforme destinataire. Dans l'UE, c'est le règlement sur les transferts de fonds, applicable depuis le 30 décembre 2024, qui couvre les transferts de crypto-actifs quel qu'en soit le montant. Une plateforme ne peut transmettre des données vérifiées que si elle vous a d'abord vérifié. Voir la Travel Rule crypto expliquée.

L'agrément. Dans l'UE, les entreprises crypto ont besoin d'un agrément au titre de MiCA, et les prestataires de services sur crypto-actifs (PSCA) agréés sont des entités assujetties au droit de la lutte contre le blanchiment. Depuis la fin de la période transitoire de MiCA le 1er juillet 2026, une entreprise qui sert des clients dans l'UE a besoin de cet agrément. À partir du 10 juillet 2027, l'AMLR impose aux PSCA d'appliquer toutes les mesures de vigilance, même pour les transactions occasionnelles de 1 000 EUR ou plus (article 19, paragraphe 3), et interdit les comptes crypto anonymes (article 79). Notre guide de référence, qu'est-ce que MiCA, explique le volet agrément.

Ce qu'on vous demandera

Les exigences varient selon la plateforme et le pays, mais une entrée en relation standard pour un particulier en 2026 comprend généralement :

• Vos informations personnelles : nom complet, date de naissance, nationalité, adresse de résidence.
• Une pièce d'identité : passeport, carte nationale d'identité ou, dans certains pays, permis de conduire, photographié recto verso.
• Un selfie en direct ou une courte vidéo pour une comparaison biométrique avec la photo du document.
• Un justificatif de domicile, comme une facture récente ou un relevé bancaire, sur certaines plateformes ou pour les niveaux supérieurs.
• Une déclaration de résidence fiscale et un numéro d'identification fiscale (NIF). Dans l'UE, c'est désormais la norme en raison de la directive DAC8 sur la déclaration fiscale, applicable depuis le 1er janvier 2026. Voir DAC8 : la déclaration des crypto-actifs expliquée.
• Des questions sur l'objet du compte, votre profession, l'activité prévue et parfois l'origine des fonds ou l'origine du patrimoine.

Notre guide pratique de conseils de vérification d'identité pour les plateformes crypto présente les raisons courantes d'échec d'un contrôle, comme un reflet sur le document, une photo recadrée ou un nom qui ne correspond pas.

Comment les contrôles se déroulent en coulisses

La plupart des plateformes ne développent pas la vérification en interne. Elles intègrent un prestataire spécialisé de vérification d'identité, comme iDenfy, dont le logiciel enchaîne une série de contrôles en quelques minutes. Les détails varient selon le prestataire, mais les étapes sont globalement les mêmes :

1. Vérification du document. Le logiciel lit le document, y compris la bande de lecture automatique et, le cas échéant, la puce, et contrôle les éléments de sécurité, les polices, les modèles et la cohérence des données pour détecter toute altération ou falsification.
2. Détection du vivant (liveness). Il vérifie que le selfie provient d'une personne réelle devant la caméra, et non d'une photo imprimée, d'un écran rejoué, d'un masque ou d'un deepfake injecté dans le flux vidéo.
3. Comparaison faciale. Il compare le visage filmé à la photo du document et produit un score de similarité.
4. Filtrage. Votre nom et votre date de naissance sont comparés aux listes de sanctions, aux listes de personnes politiquement exposées (PPE) et aux informations défavorables dans les médias. Voir le filtrage des listes de surveillance et des PPE en crypto.
5. Notation du risque et examen. Les résultats alimentent un score de risque. Les dossiers clairement conformes sont approuvés automatiquement ; les cas limites ou à haut risque sont transmis à un analyste conformité.

Le KYC ne s'arrête pas une fois votre compte approuvé. En vertu de l'AMLR, à partir de juillet 2027, les informations sur les clients doivent être mises à jour à une fréquence qui dépend du risque et qui ne dépasse jamais un an pour les clients à risque élevé ni cinq ans pour tous les autres (article 26). Les plateformes surveillent aussi les transactions et filtrent les wallets depuis lesquels vous déposez et vers lesquels vous retirez. En vertu du règlement sur les transferts de fonds, pour un transfert de plus de 1 000 EUR vers ou depuis votre propre wallet auto-hébergé, la plateforme doit vérifier que l'adresse vous appartient ou est sous votre contrôle, ce qui explique pourquoi certaines plateformes vous demandent de signer un message ou d'effectuer un petit transfert de test.

Niveaux de KYC et plafonds

De nombreuses plateformes découpent la vérification en niveaux. La loi impose l'obligation de vérifier les clients ; la façon dont une plateforme échelonne ce processus relève d'une décision commerciale, si bien que les noms et les plafonds des niveaux diffèrent d'une plateforme à l'autre. Une structure type ressemble à ceci :

• Basique : e-mail, téléphone et informations personnelles. Souvent suffisant pour naviguer ou, sur certaines plateformes, pour effectuer de petits achats. Dans l'UE, cette marge se réduit : à partir du 10 juillet 2027, l'AMLR impose aux PSCA d'identifier et de vérifier le client même pour les transactions occasionnelles inférieures à 1 000 EUR (article 19, paragraphe 3).
• Standard : pièce d'identité, selfie et contrôle du vivant. Débloque le trading, les dépôts et les retraits dans la limite des plafonds de la plateforme.
• Renforcé : justificatif de domicile, documents sur l'origine des fonds ou du patrimoine, parfois un appel vidéo. Requis pour des plafonds plus élevés, des retraits plus importants, les desks OTC, ou lorsque le système de risque de la plateforme signale quelque chose.

Une vigilance renforcée peut aussi être déclenchée par des événements plutôt que par votre choix : un dépôt important, un transfert depuis un wallet à haut risque, une correspondance sur une liste de PPE ou un changement dans votre activité. Si une plateforme vous demande des documents supplémentaires plus tard, c'est généralement pour l'une de ces raisons.

Ce que deviennent vos données KYC

C'est l'aspect auquel la plupart des utilisateurs ne pensent jamais. Vos documents et votre selfie sont généralement traités par le prestataire de vérification et conservés par la plateforme, et le droit de la lutte contre le blanchiment oblige la plateforme à les garder. En vertu de l'AMLR, applicable à partir du 10 juillet 2027, les pièces relatives à la vigilance doivent être conservées pendant cinq ans après la fin de la relation d'affaires, et les régulateurs peuvent exiger jusqu'à cinq années supplémentaires dans certains cas (article 77). Clôturer votre compte ne supprime pas le scan de votre passeport le lendemain.

Cette conservation crée un risque. Des données d'identité ont déjà fuité de plateformes et de leurs fournisseurs, et lorsqu'une plateforme ferme, vos données ne disparaissent pas avec elle. Nous détaillons ce sujet dans ce que deviennent vos données KYC, ce que devient votre passeport quand une plateforme ferme et la fuite de données de Revolut et l'auto-conservation. En vertu du RGPD, vous pouvez demander à toute plateforme de l'UE quelles données elle détient sur vous et sur quelle base juridique ; vous ne pouvez pas l'obliger à supprimer des pièces que le droit de la lutte contre le blanchiment lui impose de conserver.

Le KYC dans la DeFi

La finance décentralisée fonctionne différemment. Lorsque vous utilisez un protocole non custodial, vous interagissez avec des smart contracts depuis votre propre wallet. Aucune entreprise ne prend vos fonds en conservation ni n'ouvre de compte à votre nom : il n'y a donc généralement pas d'étape d'entrée en relation où le KYC aurait lieu. C'est une différence structurelle, pas une faille : les règles s'appliquent aux intermédiaires qui fournissent des services à des clients.

La situation n'est pas tranchée pour autant. Certaines interfaces filtrent les wallets qui s'y connectent au regard des listes de sanctions et bloquent les adresses signalées. Certains protocoles, notamment ceux qui traitent des titres tokenisés ou des actifs du monde réel, utilisent des pools permissionnés auxquels seuls des wallets vérifiés peuvent participer. Lorsqu'une entreprise identifiable fournit ou contrôle un service, les régulateurs peuvent la traiter comme un intermédiaire. Et dès que vous faites transiter des fonds entre la DeFi et une plateforme réglementée, les obligations KYC et Travel Rule de la plateforme s'appliquent à ce transfert. Notre article sur le KYC dans la DeFi approfondit le débat.

JewelSwap est un logiciel DeFi non custodial sur MultiversX, Sui et Radix. Ce n'est pas un prestataire de services sur crypto-actifs et il n'est pas réglementé ; il ne détient pas les fonds des utilisateurs, et ses money markets sont actuellement suspendus.

KYC ou KYB

Le KYC vérifie des personnes physiques. Le KYB, « know your business », vérifie des entreprises : une société qui ouvre un compte sur une plateforme, un teneur de marché, une contrepartie OTC ou un partenaire de paiement. Le KYB contrôle que la société existe et est en règle au registre du commerce, qui sont ses dirigeants et, surtout, qui sont ses bénéficiaires effectifs, c'est-à-dire les personnes physiques qui la détiennent ou la contrôlent. Ces bénéficiaires effectifs passent ensuite eux-mêmes par le KYC.

Le KYB est plus lent et plus exigeant en documents, car les structures sociétaires peuvent dissimuler l'actionnariat derrière plusieurs niveaux de holdings. Notre checklist de conformité KYB explique le processus étape par étape, et le KYB en crypto présente les outils.

Les plateformes sans KYC et leurs risques

Certaines plateformes centralisées promettent de trader sans contrôle d'identité. Avant d'en utiliser une, il vaut la peine de comprendre ce que cela implique réellement :

• Elles ne sont généralement pas agréées là où vous vivez. Une plateforme centralisée qui se passe de KYC ne peut pas détenir d'agrément MiCA dans l'UE, car les PSCA agréés sont soumis au droit de la lutte contre le blanchiment. L'ESMA tient une liste publique des entités que les régulateurs nationaux ont signalées pour avoir fourni des services sur crypto-actifs sans agrément ; elle comptait 173 entrées dans la version téléchargée le 5 octobre 2026 (registre MiCA intermédiaire de l'ESMA, dernière mise à jour le 30 septembre 2026).
• « Sans KYC » signifie souvent « KYC plus tard ». Beaucoup de ces plateformes se réservent le droit d'exiger une vérification au moment du retrait, ou lorsqu'une transaction déclenche une règle de risque. Les fonds peuvent être gelés jusqu'à ce que vous vous y conformiez.
• Aucune protection des investisseurs. Un dépositaire non agréé n'est pas soumis aux règles de ségrégation, de fonds propres et de conduite qu'impose MiCA, et aucun régulateur ne peut recevoir vos réclamations s'il fait faillite ou disparaît. Voir pourquoi des plateformes crypto ferment.
• Une exposition accrue aux fonds illicites. Les plateformes sans filtrage attirent des flux que les plateformes réglementées refusent : retirer depuis l'une d'elles vers une plateforme réglementée peut donc déclencher des contrôles supplémentaires ou un gel du dépôt.
• Vos obligations fiscales ne changent pas. Les plus-values sont imposables, qu'une plateforme les déclare ou non.

Rien de tout cela ne constitue une recommandation pour ou contre une plateforme, et vous ne devez pas chercher à contourner les exigences de vérification d'une plateforme. Si la confidentialité vous préoccupe, l'auto-conservation de vos propres actifs et un choix attentif des plateformes réglementées avec lesquelles vous partagez vos données sont des voies légales. Notre guide de l'auto-conservation couvre la première.

Questions fréquentes

Que signifie KYC en crypto ?

KYC signifie « know your customer » (connaissance du client). C'est la vérification d'identité qu'une entreprise crypto réglementée, comme une plateforme d'échange ou un wallet custodial, doit effectuer avant de vous servir : collecter vos informations personnelles, contrôler une pièce d'identité et un selfie en direct, et vous filtrer au regard des listes de sanctions et de PPE.

Pourquoi les plateformes crypto exigent-elles le KYC ?

Parce que la réglementation de lutte contre le blanchiment l'exige. Les normes du GAFI couvrent les prestataires de services sur actifs virtuels depuis 2018 et 2019, le règlement européen sur les transferts de fonds impose que des données d'identification accompagnent les transferts de crypto-actifs, et les entreprises crypto agréées dans l'UE sont des entités assujetties au droit de la lutte contre le blanchiment.

Quels documents faut-il pour le KYC crypto ?

Généralement un passeport, une carte nationale d'identité ou un permis de conduire, ainsi qu'un selfie en direct. Certaines plateformes ou certains niveaux supérieurs demandent aussi un justificatif de domicile et des documents sur l'origine des fonds, et les plateformes de l'UE demandent désormais votre résidence fiscale et votre numéro d'identification fiscale.

Combien de temps les plateformes conservent-elles les données KYC ?

En vertu du règlement européen de lutte contre le blanchiment, applicable à partir du 10 juillet 2027, les pièces relatives à la vigilance doivent être conservées pendant cinq ans après la fin de la relation d'affaires, et les régulateurs peuvent exiger jusqu'à cinq années supplémentaires dans certains cas.

Les protocoles DeFi exigent-ils le KYC ?

La plupart des protocoles DeFi non custodial ne l'exigent pas, car aucun intermédiaire n'ouvre de compte pour vous. Certaines interfaces filtrent les wallets au regard des listes de sanctions, certains pools sont permissionnés, et faire transiter des fonds vers ou depuis une plateforme réglementée fait entrer en jeu ses règles KYC.

Quelle est la différence entre KYC et KYB ?

Le KYC vérifie les clients personnes physiques. Le KYB vérifie les entreprises : que la société existe, qui la dirige et qui sont ses bénéficiaires effectifs. Ces bénéficiaires effectifs sont ensuite vérifiés par un KYC.

Pour aller plus loin

• Les meilleurs fournisseurs de logiciels KYC crypto en 2026
• Ce que deviennent vos données KYC
• Le KYC dans la DeFi expliqué
• Qu'est-ce que MiCA ?
• DAC8 : la déclaration des crypto-actifs expliquée

Cet article est fourni à titre pédagogique et ne constitue pas un conseil juridique ou financier. Les références juridiques renvoient au règlement (UE) 2024/1624 et au règlement (UE) 2023/1113 tels que publiés au Journal officiel, vérifiés le 5 octobre 2026. Les décomptes du registre proviennent du registre MiCA intermédiaire de l'ESMA téléchargé le 5 octobre 2026. Les autres sources sont citées en lien dans le texte, notamment EUR-Lex et Notabene.