KYC crypto : pourquoi l’identité est obligatoire

Publicité et risques. Certains liens de cette page peuvent être des liens affiliés : GPTFrance peut percevoir une commission, sans surcoût pour vous. Les crypto-actifs sont des investissements très risqués, avec un risque de perte totale du capital ; ce contenu n’est pas un conseil en investissement. Depuis le 1er juillet 2026, seuls les prestataires de services sur crypto-actifs (PSCA) autorisés sous le règlement MiCA peuvent servir les clients français : consultez la liste blanche de l’AMF et le registre MiCA de l’ESMA.

En bref. Depuis le 1er juillet 2026, seuls les prestataires de services sur crypto-actifs (PSCA) autorisés sous MiCA peuvent servir les résidents français, et chacun d’eux doit contrôler l’identité de ses clients au titre de la lutte contre le blanchiment. Une plateforme qui promet l’achat ou le trading « sans KYC » depuis la France n’est donc pas autorisée.

Qu’est-ce que le KYC ?

Le KYC (Know Your Customer, connaître son client) désigne les contrôles qu’un prestataire financier réalise à l’ouverture d’un compte : identité, adresse, parfois origine des fonds. Les plateformes crypto autorisées y sont soumises comme les banques, parce que les règles européennes de lutte contre le blanchiment et le financement du terrorisme s’appliquent aux PSCA.

Ce que demande une plateforme autorisée

une pièce d’identité en cours de validité ;
souvent un selfie ou une courte vidéo pour comparer le visage à la pièce ;
parfois un justificatif de domicile ;
pour des montants élevés, des questions sur l’origine des fonds.

Le règlement (UE) 2023/1113, dit « règle de voyage », s’applique aussi aux crypto-actifs depuis le 30 décembre 2024 : chaque transfert entre prestataires doit être accompagné des informations sur l’émetteur et le bénéficiaire (texte sur EUR-Lex).

Pourquoi éviter les plateformes « sans KYC »

Aucune autorisation : une plateforme qui ne contrôle pas l’identité de clients français ne peut pas être un PSCA autorisé.
Aucune protection : pas de règles de conservation des avoirs, pas de procédure de réclamation encadrée.
Comptes gelés : une plateforme peut exiger un contrôle d’identité au moment d’un retrait et bloquer les fonds en attendant.
Listes noires : l’AMF publie des listes de sites non autorisés, et l’ESMA tient un registre des prestataires non conformes.

Protéger sa vie privée légalement

La voie légale consiste à acheter sur une plateforme autorisée, puis à conserver ses cryptos dans un portefeuille dont on garde les clés. Le contrôle d’identité a lieu une fois, chez un prestataire supervisé, et la conservation ne dépend plus de lui. Les plateformes autorisées en France sous MiCA incluent Coinbase, Kraken, Crypto.com, Bitpanda, eToro, OKX (OKX Europe Limited), Bybit (Bybit EU GmbH, via bybit.eu), KuCoin (KuCoin EU Exchange GmbH) et Gate (Gate Technology Limited). Voir la liste des plateformes autorisées.

Ne transmettez vos documents que sur le site officiel déclaré au registre de l’ESMA.
Méfiez-vous d’un « agent » qui propose de faire le contrôle d’identité à votre place.
Activez la double authentification dès l’ouverture du compte.

Les textes qui imposent le KYC

Trois niveaux de règles se superposent. Ils expliquent pourquoi aucune plateforme autorisée ne peut ouvrir un compte sans vérifier l’identité de son client.

La directive anti-blanchiment : depuis la directive (UE) 2018/843 (EUR-Lex), les prestataires de services sur actifs virtuels sont des « entités assujetties », au même titre que les banques.
Le Code monétaire et financier : en France, les articles L. 561-2 et suivants (Légifrance) listent les prestataires sur actifs numériques parmi les professionnels soumis aux obligations de vigilance, et l’article L. 561-5 leur impose d’identifier le client et, le cas échéant, le bénéficiaire effectif avant d’entrer en relation d’affaires.
Le règlement MiCA : le règlement (UE) 2023/1114 (EUR-Lex) fixe l’agrément des PSCA (article 59). Un prestataire agréé reste soumis au droit anti-blanchiment ; MiCA n’en dispense pas.

Ce que change le règlement AMLR

Le règlement (UE) 2024/1624, dit AMLR (EUR-Lex), remplace une large part des règles nationales par un texte unique, applicable dans toute l’Union à partir du 10 juillet 2027. Pour les crypto-actifs, il apporte deux changements concrets.

Les prestataires de services sur crypto-actifs ne peuvent ni tenir de comptes anonymes, ni proposer des comptes permettant l’anonymisation du client, y compris pour les crypto-actifs à anonymat renforcé.
Les mesures de vigilance (identification, vérification, suivi de la relation) deviennent identiques d’un pays à l’autre, ce qui limite les écarts entre plateformes européennes.

Le règlement (UE) 2024/1620 (EUR-Lex) crée en parallèle l’Autorité européenne de lutte contre le blanchiment (AMLA), installée à Francfort, chargée de coordonner les superviseurs nationaux.

La règle de voyage et les portefeuilles personnels

Depuis le 30 décembre 2024, le règlement (UE) 2023/1113 (EUR-Lex) impose qu’un transfert de crypto-actifs entre prestataires soit accompagné du nom de l’émetteur et du bénéficiaire, quel que soit le montant. Pour un transfert de plus de 1 000 € vers ou depuis un portefeuille auto-hébergé, le prestataire doit vérifier que ce portefeuille appartient bien à son client ou est contrôlé par lui.

En pratique, la plateforme peut vous demander de prouver que vous détenez l’adresse de retrait, par exemple en signant un message ou en effectuant un petit transfert test. Ce contrôle ne porte que sur l’échange avec la plateforme : l’usage du portefeuille lui-même reste libre.

Contrôles renforcés : dans quels cas

Le niveau de vérification dépend du risque. Le Code monétaire et financier prévoit des mesures de vigilance renforcées, notamment dans ces situations :

le client est une personne politiquement exposée, ou un proche d’une telle personne (article L. 561-10) ;
l’opération est inhabituelle par son montant ou sa complexité, ou n’a pas de justification économique apparente ;
les fonds proviennent d’un pays présentant un risque élevé de blanchiment.

La plateforme peut alors demander des justificatifs de revenus ou d’origine des fonds (bulletin de salaire, acte de vente, relevé bancaire). Si elle a un soupçon, elle doit le déclarer à Tracfin (article L. 561-15), sans en informer le client. Un refus de répondre peut conduire à la fermeture du compte.

Combien de temps vos données sont conservées

L’article L. 561-12 du Code monétaire et financier impose de conserver les documents d’identification pendant cinq ans après la fin de la relation d’affaires. Le RGPD s’applique en parallèle : la plateforme doit indiquer dans sa politique de confidentialité quelles données elle collecte, pourquoi, et qui y accède (par exemple un prestataire de vérification d’identité). Vous gardez un droit d’accès à ces données.

Repérer une fausse demande de KYC

Le lien arrive par message privé, SMS ou réseau social, et non depuis l’application ou le site officiel.
On vous demande une photo de votre carte bancaire, votre phrase de récupération ou un paiement pour « débloquer » la vérification.
Le site n’apparaît ni dans le registre de l’ESMA ni sur la liste blanche de l’AMF, ou figure sur une liste noire.

Une plateforme autorisée ne demande jamais votre phrase de récupération. En cas de doute, l’AMF répond aux particuliers via Epargne Info Service.

Questions

Peut-on acheter des cryptos sans pièce d’identité en France ?

Pas auprès d’un prestataire autorisé. Tout PSCA doit identifier ses clients avant de leur fournir un service.

Un portefeuille personnel demande-t-il un KYC ?

Non. Un portefeuille dont vous gardez les clés n’est pas un service fourni par un prestataire. Le contrôle intervient quand vous achetez, vendez ou transférez via une plateforme.

Le KYC est-il sûr ?

Il expose des données personnelles. Limitez le risque en ne passant que par des plateformes autorisées et leur site officiel.

Le KYC est-il obligatoire pour un petit montant ?

Oui pour ouvrir un compte chez un prestataire autorisé : l’identification a lieu avant toute relation d’affaires, quel que soit le montant déposé.

Que se passe-t-il à partir de 2027 ?

Le règlement AMLR s’applique à partir du 10 juillet 2027 et interdit aux prestataires de tenir des comptes anonymes, y compris pour les crypto-actifs à anonymat renforcé.

Mis à jour le 14 octobre 2026.