(1)

Conformément à la directive 2014/65/UE, les prestataires de services de communication de données correspondent à trois types d'entités: les mécanismes de déclaration agréés (ARM), les dispositifs de publication agréés (APA) et les fournisseurs de système consolidé de publication (CTP). Bien que ces différents types d'entités n'exercent par les mêmes activités, la procédure d'agrément prévue par la directive 2014/65/UE pour chacun d'entre eux est similaire.

(2)

Une entité qui demande à être agréée en tant que prestataire de services de communication de données devrait fournir dans sa demande d'agrément un programme d'activité et un organigramme. Cet organigramme devrait identifier les personnes responsables des différentes activités pour permettre à l'autorité compétente de déterminer si le prestataire de services de communication de données dispose de ressources humaines et de capacités de supervision des activités suffisantes. L'organigramme devrait couvrir non seulement toute l'étendue des services de communication de données, mais également tous les autres services que l'entité fournit, afin de mettre en évidence les éventuels domaines dans lesquels l'indépendance du prestataire de services de communication de données pourrait être compromise et où un conflit d'intérêts pourrait apparaître. Une entité qui demande à être agréée en tant que prestataire de services de communication de données devrait également fournir des informations sur la composition, le fonctionnement et l'indépendance de ses organes de direction, afin que les autorités compétentes soient en mesure d'évaluer si les politiques, les procédures et la structure de la gouvernance d'entreprise du prestataire de services de communication de données garantissent son indépendance et permettent d'éviter les conflits d'intérêts.

(3)

Il peut y avoir des conflits d'intérêts entre un prestataire de services de communication de données et les clients qui recourent à ses services pour satisfaire à leurs obligations réglementaires et d'autres entités qui achètent des données à de tels prestataires. Ces conflits peuvent notamment exister lorsque le prestataire de services de communication de données exerce d'autres activités, par exemple d'opérateur de marché, d'entreprise d'investissement ou de référentiel central. Si ces conflits ne sont pas réglés, cela peut créer une situation dans laquelle le prestataire de services de communication de données est incité à retarder la publication ou la communication de données ou à effectuer des transactions en se fondant sur des informations confidentielles qu'il a reçues. Le prestataire de services de communication de données devrait donc adopter une approche globale pour identifier, prévenir et gérer les conflits d'intérêts existants et potentiels, et notamment en faire l'inventaire et mettre en œuvre des politiques et procédures appropriées pour les gérer et, au besoin, pour séparer les fonctions opérationnelles et les membres du personnel afin de limiter la circulation des informations sensibles entre ses différents secteurs d'activité.

(4)

Tous les membres de l'organe de direction d'un prestataire de services de communication de données devraient être des personnes jouissant d'une honorabilité suffisante et possédant les connaissances, les compétences et l'expérience nécessaires, car ils jouent un rôle clé, qui est de veiller à ce que ce prestataire respecte ses obligations réglementaires et de contribuer à sa stratégie d'entreprise. Il importe donc que le prestataire de services de communication de données montre qu'il a mis en place un solide processus de nomination des membres de son organe de direction et d'évaluation de leur performance, ainsi que des lignes hiérarchiques claires et l'obligation de faire régulièrement rapport à l'organe de direction.

(5)

L'externalisation d'activités, en particulier de fonctions critiques, peut modifier de façon sensible les conditions d'agrément d'un prestataire de services de communication de données. Pour garantir que l'externalisation d'activités ne compromet pas la capacité du prestataire de services de communication de données à remplir ses obligations au titre de la directive 2014/65/UE ou n'entraîne pas de conflits d'intérêt, ce prestataire devrait être en mesure de démontrer qu'il exerce une supervision et un contrôle suffisants sur lesdites activités.

(6)

Les systèmes informatiques utilisés par les prestataires de services de communication de données devraient être adaptés aux différents types d'activités que ces entités peuvent exercer, à savoir publier des rapports de négociation, déposer des déclarations de transactions ou fournir un système consolidé de publication. Ils devraient également être suffisamment solides pour garantir la continuité et la régularité de la fourniture de ces services, et notamment être capables de faire face aux fluctuations du volume de données à traiter. Ces fluctuations, en particulier les augmentations inattendues des flux de données, peuvent altérer l'efficacité des systèmes du prestataire de services de communication de données, et partant, sa capacité à publier ou communiquer des informations exactes et complètes dans les délais requis. Pour y remédier, un prestataire de services de communication de données devrait tester périodiquement ses systèmes pour s'assurer qu'ils sont suffisamment robustes pour faire face aux variations des conditions d'exploitation et suffisamment modulables.

(7)

Les mécanismes et dispositifs de sauvegarde mis en place par un prestataire de services de communication de données devraient être suffisants pour lui permettre de fournir ses services même en cas d'incident perturbateur. Un prestataire de services de communication de données devrait définir des délais maximaux acceptables pour le rétablissement de ses fonctions critiques après un incident perturbateur, de manière à permettre le respect des délais de communication et de publication des informations.

(8)

Afin d'être certain de pouvoir fournir ses services, le prestataire de services de communication de données devrait examiner quelles tâches et activités sont indispensables à leur prestation et analyser les scénarios susceptibles de donner lieu à un incident perturbateur, et prendre des mesures pour prévenir ces situations ou y remédier.

(9)

En cas de perturbation de ses services, le prestataire de services de communication de données devrait en aviser l'autorité compétente de son État membre d'origine, toute autre autorité compétente concernée, ses clients et le public, dans la mesure où ces parties pourraient, du fait de cette perturbation, ne pas être en mesure de satisfaire à leurs propres obligations réglementaires, telles que l'obligation de transmettre des déclarations de transactions à d'autres autorités compétentes ou de rendre public le détail des transactions exécutées. Cette notification devrait permettre à ces parties de prendre d'autres dispositions pour remplir leurs obligations.

(10)

Les mises à jour des systèmes informatiques sont susceptibles d'altérer l'efficacité et la solidité des systèmes utilisés pour la prestation de services de données. Afin d'éviter à tout moment que le fonctionnement de son système informatique soit incompatible avec ses obligations réglementaires, notamment avec l'obligation de disposer d'un mécanisme de sécurité solide permettant de garantir la sécurité des moyens de transfert de l'information, de réduire au minimum le risque de corruption des données et d'empêcher les fuites d'informations avant leur publication, un prestataire de services de communication de données devrait employer des méthodes de développement et de test clairement définies pour garantir que les contrôles de conformité et de gestion des risques intégrés dans le système fonctionnent comme prévu et que le système peut continuer à fonctionner efficacement dans toutes les circonstances. Lorsqu'un prestataire de services de communication de données entreprend de modifier sensiblement son système, il devrait en informer l'autorité compétente de son État membre d'origine et les autres autorités compétentes, le cas échéant, afin qu'elles puissent évaluer si la mise à jour aura des répercussions sur leurs propres systèmes et si les conditions d'agrément sont toujours remplies.

(11)

La divulgation prématurée au public dans le cas des rapports de négociation, ou la divulgation non autorisée dans le cas des déclarations de transactions, est susceptible de fournir des indications sur la stratégie de négociation ou de révéler des informations sensibles telles que l'identité des clients du prestataire de services de communication de données. Celui-ci devrait donc mettre en place des moyens de contrôle physiques, tels que le verrouillage des installations, et des moyens de contrôle électroniques, notamment des pare-feu et des mots de passe, afin que seules les personnes autorisées puissent avoir accès aux données.

(12)

Les failles dans les systèmes physiques ou électroniques de sécurité d'un prestataire de services de communication de données sont une menace pour la confidentialité des données des clients. Par conséquent, lorsqu'une telle faille apparaît, il convient que le prestataire de services de communication de données en avise dans les meilleurs délais l'autorité compétente concernée ainsi que les clients touchés par la faille. Il est nécessaire que l'autorité compétente de l'État membre d'origine en soit informée afin qu'elle puisse exercer ses responsabilités en matière de surveillance en ce qui concerne le respect par le prestataire de services de communication de données de son obligation de disposer de mécanismes de sécurité solides pour garantir la sécurité des informations, et réduire au minimum le risque de corruption des données et d'accès non autorisé. Les autres autorités compétentes qui disposent d'une interface technique avec le prestataire de services de communication de données devraient aussi être avisées de la faille, puisque celle-ci est susceptible d'avoir pour elles des conséquences négatives, notamment lorsqu'elle concerne les moyens de transfert des informations entre le prestataire et elles.

(13)

Une entreprise d'investissement soumise à des obligations de déclaration des transactions, dite «entreprise déclarante», peut choisir d'avoir recours à un tiers, dit «entreprise déposante», pour déposer en son nom des déclarations de transactions auprès d'un ARM. En tant qu'entreprise déposante, ce tiers aura accès aux informations confidentielles qu'il sera chargé de transmettre. Toutefois, il ne devrait pas avoir le droit d'accéder aux autres données sur l'entreprise déclarante, ou sur les transactions de cette dernière, qui sont conservées par l'ARM. De telles données peuvent correspondre à des déclarations de transactions que l'entreprise déclarante a elle-même déposées auprès de l'ARM ou qu'elle a envoyées à une autre entreprise déposante pour que celle-ci les envoie à l'ARM. L'entreprise déposante ne devrait pas avoir accès à ces données, celles-ci étant susceptibles de contenir des informations confidentielles, telles que l'identité des clients de l'entreprise déclarante.

(14)

Un prestataire de services de communication de données devrait vérifier que les données qu'il publie ou qu'il dépose sont exactes et complètes et veiller à disposer de mécanismes qui lui permettent de détecter les erreurs ou omissions que le client ou lui-même ont commises. Dans le cas d'un ARM, il peut s'agir de vérifier la concordance entre un échantillon des données soumises à l'ARM par une entreprise d'investissement ou générées par l'ARM pour le compte de cette entreprise d'investissement et les données correspondantes fournies par l'autorité compétente. La fréquence et l'étendue de ces vérifications de concordance devraient être proportionnelles au volume de données traitées par l'ARM et à son activité de production de rapports de transactions à partir des données des clients ou de transmission des rapports de transactions remplis par les clients. Afin que les déclarations respectent les délais et soient exemptes d'erreurs et omissions, un ARM devrait constamment surveiller le fonctionnement de ses systèmes.

(15)

Lorsqu'un ARM est lui-même à l'origine d'une erreur ou d'une omission, il devrait corriger sans délai l'information concernée et avertir de cette erreur ou omission l'autorité compétente de son État membre d'origine et toute autorité compétente à laquelle il soumet des déclarations, ces autorités compétentes étant concernées par la qualité des données qui leur sont soumises. L'ARM devrait également avertir son client de l'erreur ou de l'omission et lui fournir des informations actualisées afin qu'il puisse aligner ses registres internes sur les informations que l'ARM a soumises pour son compte à l'autorité compétente.

(16)

Les APA et les CTP devraient pouvoir supprimer ou modifier les informations reçues d'une entité déclarante afin de remédier aux situations dans lesquelles, dans des circonstances exceptionnelles, cette dernière rencontre des difficultés techniques l'empêchant de supprimer ou modifier elle-même ces informations. Cependant, en dehors de ces situations, les APA et les CTP ne devraient pas être chargés de la correction des informations contenues dans les rapports publiés si l'erreur ou l'omission est attribuable à l'entité qui fournit les informations. En effet, les APA et les CTP ne peuvent pas savoir avec certitude si une erreur ou omission apparente est avérée, puisqu'ils n'étaient pas partie à la transaction exécutée.

(17)

Pour favoriser une communication fiable entre un APA et l'entreprise d'investissement qui déclare une transaction, notamment en ce qui concerne les annulations et modifications de transactions, l'APA devrait inclure dans les messages de confirmation envoyés aux entreprises d'investissement le code d'identification qu'il a attribué à la transaction lors de la publication de l'information.

(18)

Pour se conformer à son obligation de déclaration en vertu du règlement (UE) no 600/2014 du Parlement européen et du Conseil (2), un ARM devrait veiller à la fluidité de circulation des informations entre l'autorité compétente et lui, notamment du point de vue des capacités de transfert de rapports et de traitement des rapports rejetés. L'ARM devrait donc être en mesure de démontrer sa capacité à respecter les spécifications techniques définies par l'autorité compétente en ce qui concerne leur interface commune.

(19)

Un prestataire de services de communication de données devrait également veiller à conserver pendant une période suffisamment longue les informations relatives aux déclarations de transaction et aux rapports de négociation qu'il traite, afin de faciliter la recherche d'informations historiques par les autorités compétentes. Dans le cas spécifique des APA et des CTP, ces derniers devraient veiller à prendre les dispositions organisationnelles nécessaires pour conserver les données au minimum pendant la période fixée par le règlement (UE) no 600/2014 et être en mesure de répondre à toute demande de prestation de services régie par le présent règlement.

(20)

Le présent règlement définit un certain nombre de services supplémentaires qu'un CTP pourrait fournir et qui augmentent l'efficience du marché. Compte tenu de l'évolution possible des marchés, il n'est pas opportun de fournir une liste exhaustive de ces services. Un CTP devrait donc pouvoir fournir d'autres services supplémentaires que ceux explicitement énumérés dans le présent règlement, à condition toutefois que ces autres services ne compromettent pas son indépendance ou la qualité du système consolidé de publication.

(21)

Afin d'assurer une bonne diffusion des informations rendues publiques par les APA et les CTP et de faciliter l'accès à ces informations et leur utilisation par les acteurs du marché, elles devraient être publiées dans un format lisible par machine à travers des canaux solides permettant l'accès automatique aux données. Si les sites web n'ont pas toujours une architecture suffisamment robuste et modulable qui permette un accès automatisé aisé aux données, ces contraintes technologiques pourraient être surmontées à l'avenir. Il ne s'agit donc pas de prescrire une technologie particulière, mais de définir des critères que la technologie à utiliser doit remplir.

(22)

En ce qui concerne les actions et les instruments assimilables à des actions, le règlement (UE) no 600/2014 n'exclut pas que les entreprises d'investissement rendent leurs transactions publiques au moyen de plusieurs APA. Toutefois, il convient qu'un mécanisme spécifique soit mis en place afin de permettre aux parties intéressées qui consolident les informations de négociation provenant de plusieurs APA, et notamment aux CTP, de repérer les éventuels doublons, afin d'éviter que la même transaction soit consolidée plusieurs fois et publiée à plusieurs reprises par les CTP. Cela nuirait à la qualité et à l'utilité du système consolidé de publication.

(23)

Les APA devraient donc publier les transactions déclarées par les entreprises d'investissement en prévoyant un champ «réédition» permettant de signaler les déclarations qui sont des doubles. Afin de permettre une approche neutre du point de vue de la technologie utilisée, il est nécessaire de prévoir différentes manières possibles pour un APA de repérer les doublons.

(24)

Afin de garantir que chaque transaction n'est introduite qu'une seule fois dans le système consolidé de publication et d'accroître ainsi la fiabilité des informations fournies, les CTP ne devraient pas publier les informations relatives à une transaction publiée par un APA qui constitue un double.

(25)

Les APA devraient publier des informations sur les transactions, y compris les horodatages pertinents, par exemple le moment où elles ont été exécutées et le moment où elles ont été déclarées. En outre, la granularité de l'horodatage devrait refléter la nature du système de négociation sur lequel la transaction a été exécutée. La granularité devrait être plus fine lorsque les informations concernent des transactions exécutées sur des systèmes électroniques que lorsqu'elles concernent des transactions exécutées sur des systèmes non électroniques.

(26)

Les CTP peuvent publier des informations sur des actions ou instruments assimilés et sur d'autres types d'instruments. Étant donné les différentes exigences applicables à l'exploitation de ces systèmes consolidés de publication, notamment l'éventail nettement plus large d'instruments financiers couverts qui ne sont pas des actions ou des instruments assimilés, et l'application différée des dispositions de la directive 2014/65/UE en ce qui concerne les CTP pour ces instruments, le présent règlement précise seulement l'étendue des informations à consolider par les CTP pour les actions et instruments assimilés.

(27)

Les dispositions du présent règlement sont étroitement liées entre elles, puisqu'elles concernent l'agrément, les exigences organisationnelles et la publication des transactions pour les prestataires de services de communication de données. Pour assurer la cohérence de ces différentes dispositions, qui doivent entrer en vigueur en même temps, et pour que les parties prenantes, et en particulier celles soumises à ces obligations, en aient d'emblée une vision globale, il est nécessaire de regrouper ces normes techniques de réglementation dans un règlement unique.

(28)

Le présent règlement définit les exigences de publication de données applicables aux APA et aux CTP. Afin d'assurer la cohérence des pratiques de publication d'informations de négociation entre les plates-formes de négociation, les APA et les CTP et de faciliter la consolidation des données par les CTP, le présent règlement devrait s'appliquer en conjonction avec les règlements délégués de la Commission (UE) 2017/587 (3) et (UE) 2017/583 (4) qui définissent des exigences concernant la publication d'informations de négociation.

(29)

Dans un souci de cohérence et afin de garantir le bon fonctionnement des marchés financiers, il convient que les dispositions du présent règlement et les dispositions nationales correspondantes transposant la directive 2014/65/UE s'appliquent à compter de la même date. Étant donné que l'article 65, paragraphe 2, de la directive 2014/65/UE s'applique à partir du 3 septembre de l'année suivant celle d'entrée en vigueur du présent règlement, certaines dispositions du présent règlement devraient elles aussi s'appliquer à partir de cette date plus tardive.

(30)

Le présent règlement se fonde sur les projets de normes techniques de réglementation soumis à la Commission par l'Autorité européenne des marchés financiers (AEMF).

(31)

L'AEMF a procédé à des consultations publiques ouvertes sur les projets de normes techniques de réglementation sur lesquels se fonde le présent règlement, analysé les coûts et avantages potentiels qu'ils impliquent et sollicité l'avis du groupe des parties intéressées au secteur financier institué par l'article 37 du règlement (UE) no 1095/2010 du Parlement européen et du Conseil (5),