(1)

A Diretiva 2006/112/CE do Conselho (2), com a redação que lhe foi dada pela Diretiva (UE) 2020/284 (3), introduz obrigações de comunicação de informações para os prestadores de serviços de pagamento a partir de 1 de janeiro de 2024. A partir dessa data, os prestadores de serviços de pagamento estabelecidos ou que prestam serviços de pagamento na União Europeia devem manter determinados registos dos pagamentos transfronteiras provenientes de ordenantes nos Estados-Membros e determinadas informações relativas aos beneficiários, e transmiti-los aos Estados-Membros para efeitos de luta contra a fraude ao imposto sobre o valor acrescentado (IVA).

(2)

Nos termos do Regulamento (UE) n.o 904/2010, com a redação que lhe foi dada pelo Regulamento (UE) 2020/283 do Conselho (4), os Estados-Membros devem transmitir esses registos a um sistema eletrónico central de informações sobre pagamentos («CESOP»), que deve ser desenvolvido, mantido, acolhido e gerido a nível técnico pela Comissão.

(3)

A fim de assegurar o bom funcionamento do CESOP, e nos termos do artigo 24.o-E, alínea a), do Regulamento (UE) n.o 904/2010, é necessário adotar medidas técnicas para estabelecer o CESOP. Essas medidas devem prever as funcionalidades necessárias para o desenvolvimento das capacidades do CESOP descritas no artigo 24.o-C do Regulamento (UE) n.o 904/2010. As medidas devem igualmente assegurar um elevado nível de facilidade de utilização, através da inclusão de ferramentas de pesquisa e visualização no CESOP. Além disso, o CESOP deve facilitar o intercâmbio de informações entre os funcionários de ligação da rede Eurofisc, permitindo-lhes trocar, de forma rápida e segura, informações sobre a fraude ao IVA diretamente no CESOP. Devem igualmente ser estabelecidas as medidas a tomar pela Comissão para manter o CESOP após a sua entrada em funcionamento, a fim de garantir os padrões de qualidade operacional da infraestrutura informática e as funcionalidades do CESOP, bem como garantir que as atualizações necessárias sejam efetuadas, quando necessário, para tratar os incidentes do sistema entre a Comissão e os Estados-Membros.

(4)

Embora os Estados-Membros, enquanto responsáveis pelo tratamento do CESOP, sejam responsáveis pela gestão do sistema, a Comissão, enquanto entidade de acolhimento e subcontratante, tem uma série de responsabilidades limitadas à gestão técnica do CESOP nos termos do artigo 24.o-E, alínea b), do Regulamento (UE) n.o 904/2010. Estas responsabilidades devem incluir as tarefas técnicas necessárias para a administração diária do CESOP, tais como manter registos do funcionário de ligação da rede Eurofisc que acede ao CESOP e dos prestadores de serviços de pagamento que transmitiram dados aos Estados-Membros, instituir medidas de segurança organizativas adequadas para o CESOP, bem como prestar a formação e o apoio necessários aos funcionários de ligação da rede Eurofisc para que estes possam utilizar eficazmente o CESOP.

(5)

Nos termos do artigo 24.o-B, n.o 1, alínea b), do Regulamento (UE) n.o 904/2010, os Estados-Membros devem enviar os dados para o CESOP num formato comum. Devem ser estabelecidos os elementos de dados a comunicar pelos prestadores de serviços de pagamento num documento em formato XML. Para assegurar a operacionalidade global entre os sistemas eletrónicos nacionais e o CESOP, nos termos do artigo 24.o-B, n.o 3, do Regulamento (UE) n.o 904/2010, os Estados-Membros devem verificar se os dados transmitidos pelos prestadores de serviços de pagamento incluem os elementos de dados obrigatórios e corretos em termos de sintaxe, nos termos do artigo 243.o-D da Diretiva 2006/112/CE, uma vez que o CESOP só pode funcionar se os dados obrigatórios forem corretamente registados no CESOP.

(6)

Os Estados-Membros devem designar os funcionários de ligação da rede Eurofisc que terão acesso ao CESOP e informar a Comissão da sua decisão. A este respeito, a Comissão deve fornecer a esses funcionários um identificador único para aceder ao CESOP e manter uma lista de todos os funcionários de ligação da rede Eurofisc com acesso ao CESOP, com base nas informações recebidas dos Estados-Membros.

(7)

Nos termos do artigo 24.o-E, alínea g), do Regulamento (UE) n.o 904/2010, a Comissão deve instituir procedimentos para assegurar a aplicação de medidas de segurança técnicas e organizativas adequadas ao desenvolvimento e ao funcionamento do CESOP. Vários aspetos de segurança dos componentes centrais do CESOP dependem também da aplicação de medidas de segurança nacionais, tais como medidas destinadas a controlar a segurança dos dados transmitidos e medidas destinadas a garantir que apenas o funcionário de ligação da rede Eurofisc com um identificador único válido pode aceder ao CESOP. Por conseguinte, os Estados-Membros devem fornecer à Comissão informações sobre as suas próprias medidas de segurança. Os Estados-Membros e a Comissão devem manter-se mutuamente informados sobre as medidas de segurança tomadas e sobre qualquer necessidade de atualização dessas medidas.

(8)

O tratamento de dados pessoais ao abrigo do presente regulamento, bem como as responsabilidades dos Estados-Membros e da Comissão, estão sujeitos às regras estabelecidas no Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho (5) e no Regulamento (UE) 2018/1725 do Parlamento Europeu e do Conselho (6). Nos termos do artigo 24.o-E, alínea h), do Regulamento (UE) n.o 904/2010, devem ser definidos os papéis e as responsabilidades dos Estados-Membros e da Comissão em matéria de controlo do CESOP. Os Estados-Membros devem ser conjuntamente considerados responsáveis pelo tratamento do CESOP, uma vez que são quem decide sobre os meios de tratamento e a utilização dos dados no CESOP. A Comissão deve ser considerada subcontratante, uma vez que atua por conta dos Estados-Membros no desempenho de todas as suas tarefas.

(9)

O presente regulamento deve aplicar-se apenas a partir de 1 de janeiro de 2024, a fim de permitir o seu alinhamento com a aplicação do Regulamento (UE) 2020/283 e da Diretiva (UE) 2020/284.

(10)

A Autoridade Europeia para a Proteção de Dados foi consultada em conformidade com o artigo 42.o, n.o 1, do Regulamento (UE) 2018/1725 e emitiu um parecer em 2 de fevereiro de 2022.

(11)

As medidas previstas no presente regulamento estão em conformidade com o parecer do Comité Permanente de Cooperação Administrativa,

a)

Manter e atualizar a lista de funcionários de ligação da rede Eurofisc com acesso ao CESOP e respetiva identificação pessoal de utilizador única, em conformidade com o artigo 5.o;

b)

Implementar as medidas de segurança técnicas e organizativas a que se refere o artigo 6.o;

c)

Criar, conservar e manter uma lista dos prestadores de serviços de pagamento que comunicaram dados nos termos do artigo 24.o-B, n.o 1, do Regulamento (UE) n.o 904/2010, de acordo com os dados fornecidos pelos Estados-Membros;

d)

Conceder aos funcionários de ligação da rede Eurofisc com acesso ao CESOP um acesso automatizado à lista mantida nos termos da alínea c);

e)

Prestar assistência técnica aos funcionários de ligação da rede Eurofisc quando utilizem o CESOP;

f)

Dar formação aos funcionários de ligação da rede Eurofisc relativamente à utilização do CESOP.