(1)

A fim de permitir que as autoridades competentes avaliem se determinadas entidades financeiras que pretendem prestar serviços de criptoativos cumprem os requisitos aplicáveis estabelecidos no título V e, se for caso disso, no título VI do Regulamento (UE) 2023/1114, é conveniente que as informações a notificar por determinadas entidades financeiras relativamente à sua intenção de prestar serviços de criptoativos sejam suficientemente pormenorizadas e exaustivas, sem impor encargos indevidos.

(2)

De acordo com o artigo 60.o, n.o 7, alínea a), do regulamento (UE) 2023/1114, a notificação da intenção de prestar serviços de criptoativos deve conter um programa de atividades. A fim de proporcionar uma imagem completa das operações que a entidade notificante pretende realizar, o programa de atividades deve incluir uma descrição da estrutura organizativa da entidade notificante, da sua estratégia de prestação de serviços de criptoativos aos clientes visados e da sua capacidade operacional durante os três anos seguintes à data da notificação. No que respeita à estratégia utilizada para captar clientes, a entidade notificante deve descrever os meios de comercialização que tenciona utilizar, tais como sítios Web, aplicações para telemóveis, reuniões presenciais, comunicados de imprensa ou qualquer tipo de meios físicos ou eletrónicos, incluindo ferramentas de campanha nas redes sociais, anúncios ou faixas publicitárias na Internet, reorientação da publicidade, acordos com influenciadores, acordos de patrocínio, chamadas telefónicas, Webinários, convites para eventos, campanhas de filiação, técnicas de ludificação, convites para preencher um formulário de resposta ou para frequentar um curso de formação, contas de demonstração ou materiais educativos.

(3)

A fim de permitir que as autoridades competentes avaliem a resiliência da entidade notificante a choques financeiros externos, incluindo os relacionados com o valor dos criptoativos, a entidade notificante deve incluir na respetiva notificação cenários de esforço que simulem acontecimentos graves, mas plausíveis, no seu plano de contabilidade previsional.

(4)

A fim de evitar interrupções das atividades, uma vez que podem ter importantes consequências financeiras, regulamentares e de reputação para a entidade notificante e, de um modo mais vasto, para os mercados de criptoativos em geral, é fundamental manter as atividades ou, no mínimo, as funções essenciais dos prestadores de serviços de criptoativos e minimizar os períodos de indisponibilidade devidos a perturbações inesperadas, incluindo ciberataques e catástrofes naturais. Por conseguinte, a notificação deve conter informações pormenorizadas sobre as disposições tomadas pelo requerente para assegurar a continuidade e regularidade da prestação de serviços de criptoativos, incluindo uma descrição pormenorizada dos seus riscos e planos de continuidade das atividades.

(5)

São necessários mecanismos, sistemas e procedimentos eficazes que cumpram o disposto na Diretiva (UE) 2015/849 do Parlamento Europeu e do Conselho (2) para assegurar que as entidades notificantes combatem adequadamente os riscos e as práticas de branqueamento de capitais e de financiamento do terrorismo na prestação de serviços de criptoativos. Consequentemente, as entidades notificantes devem fornecer, na notificação, informações pormenorizadas sobre os seus mecanismos, sistemas e procedimentos criados para prevenir os riscos associados às suas atividades comerciais no que respeita, nomeadamente, à luta contra o branqueamento de capitais e o financiamento do terrorismo.

(6)

Devido à natureza descentralizada e digital dos criptoativos, os riscos de cibersegurança para os prestadores de serviços de criptoativos são significativos e assumem muitas formas. A fim de assegurar que a entidade notificante é capaz de prevenir violações de dados e perdas financeiras que possam ser causadas por ciberataques, as informações sobre os sistemas de TIC implantados e as disposições de segurança conexas da entidade notificante, tais como a identidade e a localização geográfica dos prestadores de serviços, a descrição das atividades ou serviços de TIC subcontratados, juntamente com as suas principais características, e uma cópia dos acordos contratuais, referidas no artigo 60.o, n.o 7, alínea c), do Regulamento (UE) 2023/1114, devem incluir os recursos humanos destinados a fazer face aos riscos de cibersegurança.

(7)

A segregação dos criptoativos e dos fundos dos clientes protege os clientes das perdas do prestador de serviços de criptoativos e da utilização ilícita dos seus criptoativos e fundos. Por conseguinte, o artigo 70.o do Regulamento (UE) 2023/1114 exige que os prestadores de serviços de criptoativos disponham de mecanismos adequados para salvaguardar os direitos de titularidade dos clientes. Este requisito aplica-se igualmente aos prestadores de serviços de criptoativos que não prestam serviços de custódia e administração.

(8)

A fim de permitir que as autoridades competentes avaliem a adequação das regras de funcionamento da entidade notificante aplicáveis às suas plataformas de negociação de criptoativos, é conveniente que a entidade notificante pormenorize elementos específicos na descrição dessas regras. A entidade notificante deve, em especial, desenvolver os aspetos das regras de operação relativas à admissão à negociação, à negociação e à liquidação de criptoativos. No que respeita à admissão à negociação de criptoativos, as entidades notificantes devem fornecer informações pormenorizadas sobre a forma como os criptoativos admitidos respeitam as regras da entidade notificante, os tipos de criptoativos que a entidade notificante não admitirá na sua plataforma de negociação e os motivos dessas exclusões, bem como as taxas aplicáveis à admissão à negociação. No que respeita à negociação de criptoativos, a entidade notificante deve especificar os elementos das regras de operação que regem a execução e o cancelamento de ordens, a negociação ordenada, a transparência e a manutenção de registos. Por último, a entidade notificante deve incluir, na descrição das regras de funcionamento, os elementos que regem a liquidação de transações de criptoativos na plataforma de negociação, nomeadamente se é iniciada utilizando a tecnologia de registo distribuído (DLT), o prazo dentro do qual se inicia a execução, a definição do momento em que a liquidação é definitiva, todas as verificações necessárias para assegurar a efetiva liquidação da transação e qualquer medida para limitar as falhas de liquidação.

(9)

A fim de permitir que as autoridades competentes avaliem a adequação da entidade notificante para a prestação de determinados serviços de criptoativos, como a troca de criptoativos por fundos ou outros criptoativos, a execução, a prestação de serviços de consultoria sobre criptoativos ou a gestão de carteiras de criptoativos e serviços de transferência, a entidade notificante deve especificar a forma como esses serviços de criptoativos serão prestados, bem como as disposições adotadas para assegurar que a entidade notificante cumpre as disposições pertinentes do Regulamento (UE) 2023/1114 no que respeita à prestação desses serviços de criptoativos.

(10)

Qualquer tratamento de dados pessoais ao abrigo do presente regulamento deve respeitar as exigências do Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho (3).

(11)

O presente regulamento tem por base os projetos de normas técnicas de regulamentação apresentados pela Autoridade Europeia dos Valores Mobiliários e dos Mercados (ESMA) à Comissão e elaborados em estreita colaboração com a Autoridade Bancária Europeia.

(12)

A ESMA realizou consultas públicas abertas sobre os projetos de normas técnicas de regulamentação em que se baseia o presente regulamento, analisou os potenciais custos e benefícios associados e solicitou o parecer do Grupo de Interessados do Setor dos Valores Mobiliários e dos Mercados criado em conformidade com o artigo 37.o do Regulamento (UE) n.o 1095/2010 do Parlamento Europeu e do Conselho (4).

(13)

A Autoridade Europeia para a Proteção de Dados foi consultada nos termos do artigo 42.o, n.o 1, do Regulamento (UE) 2018/1725 do Parlamento Europeu e do Conselho (5) e apresentou observações formais em 21 de junho de 2024,

a)

A avaliação efetuada pela entidade notificante aos riscos inerentes e residuais de branqueamento de capitais e de financiamento do terrorismo associados à sua prestação de serviços de criptoativos, nomeadamente os riscos relacionados com:

b)

As medidas que a entidade notificante adotou ou adotará para prevenir os riscos identificados e cumprir os requisitos aplicáveis em matéria de luta contra o branqueamento de capitais e o financiamento do terrorismo, incluindo o processo de avaliação dos riscos da entidade notificante, as políticas e procedimentos para garantir o cumprimento dos requisitos de dever de diligência relativo à clientela e as políticas e procedimentos para detetar e comunicar transações ou atividades suspeitas;

c)

Informações pormenorizadas sobre a forma como os mecanismos de controlo interno, as políticas e os procedimentos são adequados e proporcionados face à escala, natureza e ao risco inerente de branqueamento de capitais e de financiamento do terrorismo, nomeadamente a gama de serviços de criptoativos prestados, a complexidade do modelo de negócio e a forma como a entidade notificante assegura que respeita o disposto na Diretiva (UE) 2015/849 e no Regulamento (UE) 2023/1113 do Parlamento Europeu e do Conselho (7);

d)

A identidade da pessoa responsável por assegurar o cumprimento, por parte da entidade notificante, dos requisitos em matéria de luta contra o branqueamento de capitais e o financiamento do terrorismo, incluindo provas das competências e conhecimentos especializados dessa pessoa;

e)

Disposições e recursos humanos e financeiros dedicados a garantir, com base em indicações anuais, que o pessoal da entidade notificante dispõe de formação adequada em matéria de luta contra o branqueamento de capitais e o financiamento do terrorismo, assim como dos riscos específicos relacionados com os criptoativos;

f)

Uma cópia das políticas, procedimentos e sistemas da entidade notificante para a luta contra o branqueamento de capitais e o terrorismo;

g)

Um documento de síntese que descreva as alterações introduzidas nos procedimentos e sistemas da entidade notificante em matéria de luta contra o branqueamento de capitais e o terrorismo devido aos serviços de criptoativos previstos;

h)

A frequência da avaliação da adequação e eficácia dos mecanismos de controlo interno, políticas e procedimentos, incluindo a identidade da pessoa ou função responsável por essa avaliação.

a)

A documentação técnica dos sistemas de TIC, da infraestrutura de DLT a que recorre, se for caso disso, e das disposições de segurança, incluindo uma descrição das disposições e dos recursos humanos e de TIC implantados, estabelecidos para cumprir o disposto no Regulamento (UE) 2022/2554 do Parlamento Europeu e do Conselho (8), incluindo os elementos que se seguem:

b)

Se disponível, uma descrição de uma auditoria de cibersegurança realizada por um terceiro auditor de cibersegurança com experiência suficiente em conformidade com o Regulamento Delegado da Comissão que estabelece as normas técnicas nos termos do artigo 26.o, n.o 11, quarto parágrafo, do Regulamento (UE) 2022/2554, abrangendo idealmente as seguintes auditorias ou testes efetuados por entidades externas independentes:

c)

Uma descrição das auditorias realizadas aos sistemas de TIC, se for caso disso, incluindo a infraestrutura de DLT utilizada e as disposições de segurança;

d)

Uma descrição das informações pertinentes referidas nas alíneas a) e b) em linguagem não técnica.

a)

Uma descrição das disposições relacionadas com o tipo de custódia disponibilizada aos clientes, uma cópia do acordo-tipo da entidade notificante para a custódia e administração de criptoativos em nome de clientes em conformidade com o artigo 75.o, n.o 1, do Regulamento (UE) 2023/1114 e uma cópia do resumo da política de custódia disponibilizado aos clientes de acordo com o artigo 75.o, n.o 3, terceiro parágrafo, do referido regulamento;

b)

A política de custódia e administração da entidade notificante, incluindo uma descrição das fontes identificadas de riscos operacionais e associados às TIC para a guarda e o controlo dos criptoativos ou os meios de acesso aos criptoativos dos clientes, juntamente com os elementos que se seguem:

c)

Informações sobre a forma como os criptoativos e os meios de acesso aos criptoativos dos clientes são identificados;

d)

Informações sobre as disposições destinadas a minimizar o risco de perda de criptoativos ou dos meios de acesso aos criptoativos;

e)

Caso o prestador de serviços de criptoativos tenha delegado em terceiros a prestação de serviços de custódia e administração de criptoativos em nome de clientes:

a)

Descrição da política comercial criada em conformidade com o artigo 77.o, n.o 1, do Regulamento (UE) 2023/1114;

b)

Método para determinar o preço dos criptoativos que a entidade notificante propõe para a troca por fundos ou por outros criptoativos em conformidade com o artigo 77.o, n.o 2, do Regulamento (UE) 2023/1114, incluindo a forma como o volume e a volatilidade do mercado dos criptoativos afetam o mecanismo de fixação de preços.

a)

As disposições que asseguram que o cliente deu o seu consentimento relativamente à política de execução antes da execução da ordem;

b)

Lista das plataformas de negociação de criptoativos a que a entidade notificante recorrerá para a execução de ordens e critérios para a avaliação das plataformas de execução previstas na política de execução, em conformidade com o artigo 78.o, n.o 6, do Regulamento (UE) 2023/1114;

c)

As plataformas de negociação que a entidade notificante tenciona utilizar para cada tipo de criptoativos e a confirmação de que não receberá nenhum tipo de remuneração, desconto ou benefício não pecuniário como contrapartida do encaminhamento de ordens recebidas para uma determinada plataforma de negociação de criptoativos;

d)

A forma como a execução tem em conta o preço, os custos, a rapidez, a probabilidade de execução e liquidação, o volume, a natureza, as condições de custódia dos criptoativos ou quaisquer outros fatores pertinentes tidos em conta no âmbito de todas as medidas necessárias para obter o melhor resultado possível para o cliente;

e)

Se for caso disso, as disposições tomadas para informar os clientes de que a entidade notificante executará ordens fora de uma plataforma de negociação e a forma como a entidade notificante obterá o consentimento expresso prévio do cliente antes de executar essas ordens;

f)

A forma como o cliente é alertado para a possibilidade de quaisquer instruções específicas por parte do cliente impedirem a entidade notificante de tomar as medidas necessárias, em conformidade com as disposições que criou e aplicou na sua política de execução, para obter o melhor resultado possível para a execução dessas ordens no que respeita aos elementos abrangidos por essas instruções;

g)

O processo de seleção de plataformas de negociação, estratégias de execução utilizadas, disposições utilizadas para a análise da qualidade da execução alcançada e o modo como a entidade notificante acompanha e verifica se foram obtidos os melhores resultados possíveis para os clientes;

h)

As disposições destinadas a evitar a utilização abusiva, por parte dos trabalhadores da entidade notificante, de quaisquer dados relacionados com as ordens dos clientes;

i)

As disposições e procedimentos relativos à forma como a entidade notificante divulgará aos clientes informações sobre a sua política de execução de ordens e os notificará de quaisquer alterações significativas a esta última;

j)

As disposições tomadas para demonstrar a conformidade com o artigo 78.o do Regulamento (UE) 2023/1114 à autoridade competente, mediante pedido da mesma.

a)

Descrição pormenorizada das disposições tomadas pela entidade notificante para garantir a conformidade com o artigo 81.o, n.o 7, do Regulamento (UE) 2023/1114, incluindo os elementos que se seguem:

b)

Os mecanismos destinados a controlar, avaliar e garantir que as pessoas singulares que prestam serviços de consultoria em nome da entidade notificante dispõem dos conhecimentos e competências necessários, de acordo com os critérios aplicáveis a essa avaliação utilizados na legislação nacional, para realizar a avaliação da adequação a que se refere o artigo 81.o, n.o 1, do Regulamento (UE) 2023/1114.

a)

Informações pormenorizadas sobre os tipos de criptoativos relativamente aos quais a entidade notificante tenciona prestar serviços de transferência;

b)

Descrição pormenorizada das disposições adotadas pela entidade notificante para respeitar o disposto no artigo 82.o do Regulamento (UE) 2023/1114, incluindo informações pormenorizadas sobre as disposições da entidade notificante e os recursos humanos e de TIC implantados para fazer face aos riscos de forma rápida, eficiente e exaustiva durante a prestação de serviços de transferência de criptoativos em nome de clientes, tendo em conta as potenciais falhas operacionais e riscos de cibersegurança;

c)

Quando disponível, descrição da apólice de seguro da entidade notificante, incluindo a cobertura do seguro em relação aos prejuízos para os criptoativos do cliente que possam resultar de riscos de cibersegurança;

d)

Disposições tomadas para assegurar que os clientes são adequadamente informados sobre as disposições a que se refere a alínea b).