di Associazione Blockchain e Innovazione Digitale (ABIE), nella persona di Andrea G. P. Berruto, Membro del Consiglio Direttivo di ABIE, FinTech and Crypto-asset Lawyer, Founder and Consultant at Karuna Ehtical Blockchain Advisory
Nell’Unione Europea, mentre la tecnologia continua a scardinare i confini del possibile, si compie oggi un’opera di ricostruzione normativa particolarmente sfidante. Il diritto – spesso accusato di lentezza, di inadeguatezza, di cecità – non ha voltato lo sguardo di fronte all’ascesa delle cripto-attività e dei suoi mercati. Al contrario, ha risposto con la disciplina più organica, ad oggi, a livello mondiale: il Regolamento (UE) 2023/1114, noto ai più come MiCAR.
Ma ogni costruzione, per quanto armonica, deve coesistere con ciò che l’ha preceduta. E così, nello stesso spazio giuridico in cui MiCAR dispiega la sua portata, continua ad agire – silenziosa ma determinante – la Direttiva 2015/2366 – Payment Services Directive 2, meglio nota come PSD2. Due testi normativi, due logiche, due anime del diritto (dei mercati e dei pagamenti): una proiettata sul nuovo, l’altra figlia della tradizione, eppure ancora viva, incisiva, imperativa.
- MiCAR: una normativa per un mercato in cerca di regole.
Il Regolamento MiCAR segna l’irruzione del diritto europeo – questa volta in maniera organica – nel dominio delle cripto-attività. Dopo anni di frammentazione, interpretazioni divergenti, prassi disomogenee, l’Unione ha scelto la via dell’uniformità: un testo unico, armonizzato, diretto a tutelare l’integrità del mercato, la trasparenza degli operatori del mercato (o più comunemente definiti CASPs), la protezione degli utenti/consumatori.
Il Regolamento non si limita a regolare: tipizza, classifica, gerarchizza. Introduce categorie che fino a ieri appartenevano alla prassi tecnologica: gli E-money Tokens (EMTs), ancorati a una singola valuta ufficiale/fiat; gli Asset-Referenced Tokens (ARTs), sostenuti da un paniere di beni o valute; e le altre (other than) cripto-attività (crypto-asset) – dal Bitcoin all’Ether, che non si riconducono ad alcun ancoraggio ad altre valute o beni –.
A ogni categoria, un trattamento giuridico preciso. A ogni funzione, una disciplina dedicata. Eppure, in questa geometria normativa (anche) elegante e razionale, si apre una frattura: quella con il diritto dei pagamenti.
- La PSD2 è ancora imperativa e applicabile agli operatori crypto.
Nel sistema giuridico europeo, la PSD2 continua a rappresentare il perno normativo per la disciplina dei servizi di pagamento. Un servizio di pagamento ai sensi della PSD2 (recepita in Italia con il D.lgs. 218/2017) sussiste quando un soggetto offre o esegue operazioni legate alla movimentazione di fondi (ovvero, banconote e monete, moneta scritturale o moneta elettronica) per conto di terzi, a titolo professionale.
Anche nell’era di piena applicazione del MiCAR, la PSD2 conserva intatta la sua rilevanza, poiché costituisce il quadro di riferimento per qualunque soggetto che gestisca o trasferisca fondi (compresi quelli in moneta elettronica tokenizzata, come per il caso dei EMTs) per conto di terzi.
Infatti, il Regolamento MiCAR non abroga né sospende l’applicabilità della PSD2. Al contrario, stabilisce un intreccio normativo articolato: in particolare, l’art. 3, 1, 7) MiCAR afferma chiaramente che un token di moneta elettronica è:
“un tipo di cripto-attività che mira a mantenere un valore stabile facendo riferimento al valore di una singola valuta ufficiale”.
Mentre l’art. 3, 1, 44) precisa che per “moneta elettronica” si intende quella:
“definita all’articolo 2, punto 2, della direttiva 2009/110/CE” (ovvero la “Electronic Money Directive” o “EMD”).
E, soprattutto, l’art. 48, 2 MiCAR dispone che:
“I token di moneta elettronica sono considerati moneta elettronica.”.
Il combinato disposto di queste norme ha un impatto diretto e rilevante. Poiché gli EMTs sono formalmente equiparati alla moneta elettronica, tutti i soggetti che intendano emetterli devono essere istituti di moneta elettronica o enti creditizi, ai sensi della direttiva EMD. Inoltre, laddove tali token siano utilizzati come strumenti per trasferire fondi tra utenti o per effettuare pagamenti, il servizio può ricadere anche sotto la PSD2.
È interessante, tuttavia, riflettere su una possibile distinzione. Se è vero che l’emissione e certamente il trasferimento di EMTs rientrano nel perimetro della EMD e della PSD2, è ragionevole argomentare che ove il CASP non emetta EMTs ma offra servizi meramente strumentali alla compravendita o custodia di EMTs senza alcun servizio di trasferimento o disposizione di fondi per conto terzi, possa restare al di fuori non solo dall’ambito della EMD ma anche della PSD2. In tal caso, il CASP agirebbe come mero exchange o depositario/custode, soggetto esclusivamente al MiCAR, e non come un prestatore di servizi di pagamento.
Ciò nonostante, quando il servizio riguarda il trasferimento di cripto-attività aventi la qualifica di EMTs da un utente a un altro, la natura del token – moneta elettronica – comporta nuovamente l’applicabilità della PSD2.
Dirimente in tal senso è il considerando 93 MiCAR:
“Molti prestatori di servizi per le cripto-attività offrono anche qualche tipo di servizio di trasferimento di cripto-attività nell’ambito, ad esempio, del servizio di prestazione di custodia e amministrazione delle cripto-attività per conto dei clienti, dello scambio di cripto-attività con fondi o altre cripto-attività o dell’esecuzione di ordini di cripto-attività per conto dei clienti. In funzione delle caratteristiche precise dei servizi connessi al trasferimento di token di moneta elettronica, tali servizi potrebbero rientrare nella definizione di servizi di pagamento di cui alla direttiva (UE) 2015/2366. In tali casi, tali trasferimenti dovrebbero essere effettuati da un’entità autorizzata a prestare detti servizi di pagamento conformemente a tale direttiva.”
In sintesi, la mera custodia o la compravendita di EMTs per conto dei clienti potrebbe, in certi casi, non comportare l’obbligo di licenza PSD2, ma la prestazione del servizio di trasferimento con riferimento agli EMTs – che implica il movimento di EMTs tra soggetti terzi rispetto al CASP – integra sempre un servizio di pagamento e, come tale, necessita della relativa autorizzazione ai sensi della PSD2.
- L’EBA (o ABE) detta la linea
Quanto sopra è stato recentemente confermato, nel giugno 2025, dalla Opinion of the European Banking Authority on the interplay between Directive EU 2015/2366 (PSD2) and Regulation (EU) 2023/1114 (MiCA) in relation to crypto-asset service providers that transact electronic money tokens (“No Action Letter”). La European Banking Authority (EBA o ABE) non si limita a definire il servizio di trasferimento di EMTs quale servizio di pagamento ma vi fa rientrare anche quello di custodia e amministrazione, con tutte le implicazioni operative (e di costi) conseguenti. L’EBA chiarisce primariamente che il trasferimento stesso di EMTs (a favore di terzi), quando effettuato per conto di un cliente, ricade sotto la definizione di servizio di pagamento, perché implica la “movimentazione di fondi” ai sensi della PSD2. Secondariamente, chiarisce che quando un CASP gestisce un wallet custodial di EMTs per conto di uno o più clienti, purchè con possibilità di invio o ricezione verso terzi, quel wallet deve essere trattato come un payment account, secondo la PSD2.
Come indica la stessa EBA nella sua No Action Letter:
“Per quanto riguarda il portafoglio di custodia, è ipotizzabile che possa essere equiparato a un conto di pagamento, che consente all’utente di inviare e ricevere fondi da terzi. Tale approccio è coerente con la posizione espressa nella lettera della Commissione europea e con la definizione “funzionale” di conto di pagamento, stabilita sia dalla giurisprudenza della Corte di giustizia dell’Unione europea che dall’ABE. In particolare, l’ABE ha chiarito che «per determinare se un conto possa essere considerato un conto di pagamento, occorre valutare se il conto possa essere utilizzato per l’esecuzione di operazioni di pagamento in conformità con le definizioni di cui sopra, come interpretate dalla Corte di giustizia europea nella sentenza nella causa C-191/17. Il conto dovrebbe consentire l’invio e la ricezione di fondi, anche da e verso terzi. Inoltre, le operazioni devono essere effettuate direttamente dal conto senza l’utilizzo di un conto intermedio» (Q&A 2018_4272).”.
Ciò significa che non basta conformarsi a MiCAR: chi trasmette e/o custodisce EMTs per conto di un cliente (con possibilità di trasferimenti verso terzi) sta svolgendo un autentico servizio di pagamento, e deve essere autorizzato come tale. Per tali operatori, oltre che una licenza ai fini MiCAR, serve dunque una licenza come prestatore di servizi di pagamento, ai sensi della PSD2.
- Cosa resta fuori dalla PSD2 secondo EBA.
Pur sotto la lente della PSD2, alcune attività restano escluse:
- Il mero scambio di EMTs con euro o altre cripto-attività;
- l’intermediazione nell’acquisto di cripto-attività usando EMTs, quando avviene con capitale proprio del CASP (ad esempio, quando il CASP opera come market maker o come exchange negoziando in conto proprio ed esegueno l’ordine del cliente).
Di conseguenza, in questi casi non vi è obbligo di licenza ai sensi della PSD2. Ma ri rimanda ad una attenta lettura dei seguenti paragrafi, prima di escludere totalmente l’applicabilità della PSD2.
- Il periodo transitorio.
Per evitare che i CASPs siano gravati dall’ottenimento di una doppia licenza in così poco tempo, l’EBA prevede una finestra fino al primo marzo 2026. Durante questo periodo, chi custodisce o trasferisce EMTs può tranquillamente operare sotto licenza MiCAR, avviando in parallelo la procedura semplificata per ottenere la licenza PSD2 – e sfruttando i dati già trasmessi alle autorità nazionali competenti ai fini della licenza MiCAR –.
Dopo questa data, gli operatori che non siano autorizzati ai sensi della PSD2 – o non abbiano un accordo con un payment service provider – dovranno cessare queste attività, pena il reato di abusivismo.
- L’enigma dei token non-EMTs: quando la forma inganna, e la sostanza svela la natura del servizio.
Se l’ambito applicativo degli EMTs è definito con precisione dal dettato regolamentare europeo, più incerta – e per questo insidiosa – è la questione concernente le cripto-attività che non rientrano nella categoria della moneta elettronica.
Parliamo di Bitcoin, Ether, utility token, NFT – l’universo fluido e cangiante delle cripto-attività prive di ancoraggio valutario –. Queste, secondo la tassonomia del MiCAR, non costituiscono moneta elettronica, e dunque, formalmente, sembrerebbero ‘immuni’ dall’ambito applicativo della PSD2.
Ma il diritto, quando è ben scritto, non si lascia ingannare dalle apparenze. E proprio qui, nel silenzio semantico tra ciò che è “crypto” e ciò che è “fiat”, si apre il varco all’interpretazione funzionale.
Come ricordato anche dall’art. 70, par. 4 del MiCAR, rubricato “Custodia delle cripto-attività e dei fondi dei clienti”, i fornitori di servizi su cripto-attività possono fornire servizi di pagamento solo se autorizzati secondo la PSD2, direttamente o tramite fornitori terzi di servizi che dispongono delle opportune licenze:
“I prestatori di servizi per le cripto-attività possono prestare essi stessi, o tramite terzi, servizi di pagamento connessi al servizio per le cripto-attività che offrono, a condizione che il prestatore di servizi per le cripto-attività stesso, o il soggetto terzo, sia autorizzato a prestare tali servizi a norma della direttiva (UE) 2015/2366.” (ovvero la PDSII).
Il paragrafo citato è rilevante, ad esempio, per tutti i casi in cui il CASP detenga fondi in valuta fiat della clientela necessari alla compravendita di cripto-attività per conto della propria clientela. Dunque la domanda cruciale non è: “Che tipo di cripto-attività è questa?”. La vera domanda da porsi è soprattutto: “Cosa fa, concretamente, il servizio che utilizza stumentalmente le cripto-attività?” e ancora “A quale titolo vengono detenuti i fondi fiat dei clienti e a quale finalità?”.
- Quando il servizio crypto sconfina nei territori della PSD2: casistica e modelli operativi.
La linea di demarcazione tra il trasferimento di valore/cripto-attività e la funzione di pagamento è oggi una delle principali fonti di tensione interpretativa per giuristi, regolatori e, soprattutto, per gli operatori del mercato crypto.
Nel modello tradizionale, la PSD2 disciplina la movimentazione di “fondi” per conto terzi, che includono moneta elettronica, contante scritturale, banconote e monete, ai sensi dell’articolo 4, 1, 25, PSD2. Le cripto-attività – in assenza di un legame diretto con valute ufficiali – non rientrano automaticamente in tale definizione.
Tuttavia, laddove la funzione svolta dal servizio con riferimento alle c.d. cripto-attività diverse da EMTs e ARTS (c.d. crypto-assets other than) abbia l’effetto concreto di spostare euro da un pagatore a un beneficiario l’obbligo di autorizzazione pare ripresentarsi. Segue dunque una lista di scenari fra i più esemplificativi e problematici.
- Carte di pagamento collegate a wallet/portafogli di cripto-attività.
Ove un operatore del mercato crypto offra unitamente al servizio di wallet/portafoglio di cripto-attività anche carte di pagamento ad esso collegate, la conversione in tempo reale della cripto-attività (ad esempio, ETH) per spendere la moneta elettronica mediante la carta di pagamento presso l’esercente commerciale costituisce un’esecuzione di pagamento in valuta fiat. Anche se l’utente spende le sue crypto, il servizio si qualifica come servizio di pagamento (ai sensi dell’Allegato 1 della PSD2) in quanto l’esercente riceve la valuta fiat convertita dall’operatore di mercato crypto. La discriminante è che il CASP fornitore del servizio di conversione esegue un pagamento in valuta fiat per conto del consumatore (anche se i fondi originariamente sono in cripto-attività) al commerciante. Pertanto, la licenza PSD2 è necessaria per il fornitore del servizio di conversione (a meno che non siano in essere accordi contrattuali con un istituto di pagamento terzo, e quindi autorizzato a svolgere il servizio per conto del CASP).
- Gateway di pagamento in crypto.
In maniera similare al caso a) di cui sopra, se un merchant riceve direttamente cripto-attività e converte successivamente per conto proprio, la PSD2 non si applica. Ma se fra il pagatore ed il beneficiario si infrappone il payment processor (nel nosto scenario, un operatore crypto/CASP), che gestisce direttamente la conversione delle cripto-attività in euro ed il trasferimento dei fondi fiat sul conto del merchant, il gateway di pagamento crypto sta operando un servizio di pagamento avente ad oggetto fondi – ed in quanto tale, è regolato dalla PSD2 –.
- Fatturazione B2B in cripto-attività.
Se l’emissione della fattura, la riscossione in cripto-attività (ad esempio, BTC) e la conversione in euro di quest’ultima sono effettuate dal fornitore stesso delle merci, non vi è alcun impatto ai sensi della PSD2; tuttavia, se la conversione e il trasferimento in euro sul conto sono affidati a un terzo che gestisce/agevola il processo di fatturazione è richiesta una licenza ai sensi della PSD2 per quest’ultimo.
- Stipendi in crypto.
Il pagamento, ad esempio in SOL, diretto sul portafoglio digitale/wallet del dipendente non impone obblighi autorizzativi ai sensi della PSD2. Tuttavia, se un fornitore esterno gestisce sistematicamente la conversione per conto del datore di lavoro e versa euro sul conto bancario del dipendente, si entra pienamente nel campo di applicazione della PSD2.
- Collocamento di token (ICO).
Un gestore di una piattaforma di negoziazione di cripto-attività (c.d. exchange), che si occupa anche di collocare cripto attività di emittenti terzi sulla propria piattaforma (ad esempio, facilitando le offerte iniziali di token/ICO), che elabori direttamente o controlli il flusso dei pagamenti in valuta fiat dagli investitori terzi (ad esempio, raccogliendo euro e versandoli sul conto bancario dell’emittente o convertendoli direttamente in cripto-attività e inviandoli allo smart contract della ICO o DAO), potrebbe svolgere un servizio di pagamento che richiede una licenza PSD2 o quantomeno necessitare di una partnership commerciale con un soggetto autorizzato ai sensi della PSD2.
- Un classico principio guida: è il modello operativo che determina l’applicabilità della norma.
Come sempre, nel diritto dei mercati finanziaziari, la sostanza prevale sulla forma. Il dato di fondo che emerge nuovamente è il seguente: la classificazione del token è irrilevante se il servizio opera, di fatto, come un payment processor. Il business model è ciò che guida in merito all’applicabilità della PSD2.
È una prospettiva funzionale, e in quanto tale, richiede agli operatori del mercato crypto uno sforzo di autoconsapevolezza e mappatura dei propri flussi. Ecco alcune domande utili per un primo studio di fattibilità del progetto.
- Gestisco/trasferisco moneta elettronica per conto terzi (seppur in forma tokenizzata)?
- Converto crypto in euro a beneficio di un destinatario?
- Detengo fondi in valuta fiat per conto di terzi anche solo temporaneamente?
Se anche una di queste risposte è affermativa, la PSD2 è più vicina di quanto si creda ed andrebbero approfonditi il modello operativo ed i flussi transazionali con dei consulenti legali il prima possibile – onde evitare importanti sanzioni da parte delle autorità di vigilanza (quali anche la sospensione della propria operatività) –.
- La forma inganna, la sostanza governa.
In conclusione, la vera sfida non è nel classificare, ma nel comprendere. Non basta solo classificare un token apriosticamentebensìoccorre studiare a fondo il modello operativo del particolare operatore di mercato che lo impiega, le finalità concrete, i flussi effettivi delle transazioni di valore. Perché nella dialettica tra MiCAR e PSD2, una lezione emerge con chiarezza: la forma può abbagliare, ma è la sostanza a dettare, come sempre, l’applicazione della norma. E nel diritto dei mercati (finanziari e crypto), la sostanza si rivela nei dettagli: chi paga, chi riceve, chi intermedia e trasferisce fondi, ecc.
Solo attraverso un’analisi giuridica attenta, calata nella realtà dei processi aziendali ed operativi, sarà possibile evitare incertezze, sanzioni e – soprattutto – costruire fiducia in un mercato che di fiducia ha, ad oggi, più che mai bisogno. A parere di scrive, saranno molti gli operatori del mercato crypto europeo che dovranno, loro malgrado, ottenere una licenza ai sensi della PSD2, oltre che di MiCAR.
