Travel Rule: a regra de viagem do GAFI aplicada às transferências de cripto

Quando um valor sai de um banco para outro por transferência, a informação de quem envia e de quem recebe viaja junto com o dinheiro. Isso parece óbvio no sistema bancário, e é uma exigência antiga de prevenção à lavagem. No mundo dos ativos virtuais, onde uma transferência pode ser só um endereço de carteira mandando cripto para outro endereço, essa informação não viaja sozinha. A regra que obriga as prestadoras a fazê-la viajar tem nome: travel rule, a regra de viagem.

Este texto explica o que é essa regra, de onde ela vem, quais dados precisam acompanhar a transferência e por que ela só funciona quando as duas pontas identificam de verdade quem está do outro lado. O público é quem opera ou integra uma prestadora de serviços de ativos virtuais e precisa entender a obrigação antes de a regulação nacional detalhá-la.

De onde vem a regra de viagem

A fonte é o Grupo de Ação Financeira Internacional, conhecido pela sigla GAFI, ou FATF em inglês. O GAFI publica as 40 Recomendações que servem de padrão mundial de combate à lavagem de dinheiro e ao financiamento do terrorismo, e o Brasil é país membro. A Recomendação 16, historicamente chamada de regra sobre transferências eletrônicas, exige que a informação do originador e do beneficiário acompanhe a transferência de valores, para que possa ser usada na prevenção, na detecção e no congelamento de recursos ligados a crime.

Em 2019, o GAFI atualizou a Nota Interpretativa da Recomendação 15, a que trata de novas tecnologias, para exigir que os países apliquem a lógica da Recomendação 16 às prestadoras de serviços de ativos virtuais. Em outubro de 2021, o GAFI publicou a versão atualizada do documento Guidance for a Risk-Based Approach to Virtual Assets and VASPs, o guia que consolida como a regra deve ser aplicada. É por isso que se fala em travel rule para cripto: não é uma regra nova inventada para o setor, é a extensão de uma exigência bancária consolidada.

O que precisa viajar

A regra define um conjunto mínimo de dados que a prestadora do originador deve obter, guardar e transmitir de forma segura à prestadora do beneficiário. Para o originador: o nome, o número da conta ou o identificador da carteira usada na transação, e mais um dos seguintes, o endereço físico, o número de documento nacional de identidade, o número de identificação de cliente ou a data e o local de nascimento. Para o beneficiário: o nome e o número da conta ou identificador de carteira.

Essa informação precisa ser enviada de forma imediata e segura junto com a transferência, ficar disponível para as autoridades competentes mediante solicitação, e ser mantida em registro. O GAFI prevê um limiar de minimis, na ordem de mil dólares ou euros, abaixo do qual a exigência é reduzida: coleta de nome e identificador das duas pontas, sem a verificação completa dessas informações, salvo suspeita de lavagem ou de financiamento do terrorismo. Acima do limiar, a diligência é integral.

Há um problema estrutural que o setor apelida de sunrise problem: como cada jurisdição implementa a regra em ritmo diferente, uma prestadora que já cumpre a regra pode enviar dados a outra, em país que ainda não a exige, sem contraparte para recebê-los. A regra não deixa de valer por causa disso, mas o desenho operacional precisa lidar com contrapartes em estágios distintos de adoção.

Por que a regra pressupõe identificação forte das duas pontas

A regra de viagem não é um formato de mensagem, é uma consequência de uma coisa anterior: para enviar o nome verdadeiro do originador, a prestadora precisa ter identificado o originador de verdade. Um cadastro fraco produz uma regra de viagem que transporta dado inútil, um nome que não corresponde a ninguém verificável. Por isso a travel rule só é séria quando assenta sobre um processo real de conhecer o cliente em cada prestadora.

Identificar as duas pontas abre uma segunda porta, a triagem contra listas. Sabendo quem é o originador e quem é o beneficiário, a prestadora pode comparar os dois nomes contra sanções e contra a condição de pessoa exposta politicamente. Essa triagem não é uma consulta única: é um catálogo de listas com coberturas desiguais, e entender quem é uma pessoa exposta politicamente e por que ela exige diligência reforçada muda o desenho do controle. O ponto delicado da triagem não é ter a lista, é a comparação de nomes, onde nasce quase todo falso positivo, tema do artigo sobre casar nome contra lista.

O que isso significa para quem integra no Brasil

No Brasil, a porta de entrada dessa lógica é a Lei 14.478/2021, que colocou as prestadoras de serviços de ativos virtuais sob a Lei de Lavagem e delegou a regulação ao Banco Central do Brasil. A forma exata como a regra de viagem será exigida depende da norma do regulador, que detalha dados, prazos e responsabilidades. O que já é possível afirmar é o pré-requisito: sem identificação verificável do cliente e sem triagem de listas nas duas pontas, não há como cumprir a regra de viagem quando ela for cobrada.

Um fluxo de verificação que confirma a identidade da pessoa com documento, prova de vida e batimento de dados cadastrais é o que alimenta a ponta do originador com informação confiável. Na UNIFOKAL, por exemplo, a identificação verificada e a triagem contra listas de sanções e de pessoas expostas politicamente são desenhadas como etapas do mesmo fluxo, que é a base sobre a qual qualquer implementação de regra de viagem se apoia. A troca segura da mensagem entre prestadoras é uma camada adicional, específica do protocolo adotado, que se soma a essa base.

Fontes citadas

• GAFI (FATF), Recomendação 16, sobre a informação que deve acompanhar transferências
• GAFI (FATF), Nota Interpretativa da Recomendação 15, que estende a lógica da Recomendação 16 às prestadoras de serviços de ativos virtuais
• GAFI (FATF), Updated Guidance for a Risk-Based Approach to Virtual Assets and VASPs, de outubro de 2021
• Lei 14.478/2021, marco legal dos ativos virtuais, como porta de entrada da regra no Brasil
• Banco Central do Brasil, regulador designado das prestadoras de serviços de ativos virtuais