(1)

L’articolo 2, paragrafo 1, punto 36 bis, del regolamento (UE) n. 600/2014 definisce i fornitori di servizi di comunicazione dati come dispositivi di pubblicazione autorizzati (APA), meccanismi di segnalazione autorizzati (ARM) e fornitori di un sistema consolidato di pubblicazione (CTP). Sebbene tali tipi di soggetti siano impegnati in attività diverse di comunicazione dati, il regolamento (UE) n. 600/2014 e il regolamento delegato (UE) 2017/571 (2) prevedevano una procedura di autorizzazione analoga. Il regolamento (UE) 2024/791 del Parlamento europeo e del Consiglio (3) ha modificato il regolamento (UE) n. 600/2014 per introdurre una distinzione tra la procedura di autorizzazione per gli APA e gli ARM, da un lato, e la procedura di autorizzazione per i CTP, dall’altro. Ha inoltre modificato i requisiti organizzativi per i CTP. Inoltre, a partire dal 2025, i DRSP sono tenuti a conformarsi al regolamento (UE) 2022/2554 del Parlamento europeo e del Consiglio (4). Per tenere conto di tali modifiche, il regolamento delegato (UE) 2017/571 dovrebbe essere abrogato e sostituito da un nuovo regolamento.

(2)

Per consentire all’Autorità europea degli strumenti finanziari e dei mercati (ESMA) o, se del caso, all’autorità nazionale competente di valutare se l’APA o l’ARM disponga di risorse umane sufficienti ed eserciti una sorveglianza adeguata sull’attività svolta, la struttura organizzativa di cui all’articolo 27 quinquies, paragrafo 1, del regolamento (UE) n. 600/2014 dovrebbe individuare chi è responsabile delle diverse attività di tale APA o ARM. Per individuare i settori che possono incidere sull’indipendenza dell’APA o dell’ARM e dare origine a un conflitto di interessi, la struttura organizzativa dovrebbe non solo coprire l’ambito di applicazione dei servizi di comunicazione dati prestati dall’APA o dall’ARM, ma anche qualsiasi altro servizio fornito dall’APA o dall’ARM. Per consentire alle autorità competenti di valutare se le politiche, le procedure e la struttura di governo societario garantiscano l’indipendenza dell’APA o dell’ARM e impediscano l’insorgere di conflitti di interesse, il richiedente un’autorizzazione come APA o ARM dovrebbe anche fornire informazioni sulla composizione, sul funzionamento e sull’indipendenza dei suoi organi direttivi.

(3)

Possono sorgere conflitti di interesse tra APA o ARM, da un lato, e clienti che utilizzano i loro servizi per adempiere ai loro obblighi normativi e altri soggetti che acquistano dati da APA o ARM, dall’altro. In particolare, possono sorgere conflitti di interesse quando l’APA o l’ARM svolge altre attività, anche in qualità di gestore del mercato, impresa di investimento o repertorio di dati sulle negoziazioni. Un conflitto di interesse che non viene affrontato potrebbe incentivare gli APA o gli ARM a ritardare la pubblicazione o la presentazione dei dati o a negoziare sulla base delle informazioni riservate ricevute. Gli APA e gli ARM dovrebbero pertanto adottare e mantenere disposizioni amministrative efficaci per individuare, prevenire e gestire i conflitti di interesse esistenti e potenziali, anche compilando un inventario dei conflitti di interesse e attuando politiche e procedure appropriate per gestirli e, se necessario, separando aree di attività e membri del personale così da limitare il flusso di informazioni sensibili tra i diversi settori di attività.

(4)

Al fine di garantire che tutti i membri dell’organo di gestione di un APA o di un ARM soddisfino i requisiti di onorabilità, possiedano sufficienti conoscenze, competenze ed esperienze e dedichino tempo sufficiente ai fini dello svolgimento delle loro funzioni, come richiesto dall’articolo 27 septies del regolamento (UE) n. 600/2014, gli APA e gli ARM dovrebbero essere in grado di dimostrare di essersi dotati di una solida procedura di nomina e di valutazione delle prestazioni dei membri dell’organo di gestione e di aver predisposto chiare linee gerarchiche e chiare disposizioni in materia di informazione regolare all’organo di gestione.

(5)

Il quadro di controllo interno degli APA e degli ARM è una parte essenziale della loro struttura organizzativa di cui all’articolo 27 quinquies, paragrafo 1, del regolamento (UE) n. 600/2014. Per consentire all’ESMA o, se del caso, all’autorità nazionale competente di valutare se gli APA e gli ARM abbiano messo in atto tutte le misure necessarie per adempiere ai loro obblighi al momento del rilascio dell’autorizzazione iniziale, gli APA e gli ARM richiedenti dovrebbero trasmettere alla rispettiva autorità competente informazioni sul quadro di controllo interno, comprese informazioni riguardanti le loro funzioni di controllo interno, conformità, gestione del rischio e audit interno.

(6)

Gli APA e gli ARM rientrano nell’ambito di applicazione del regolamento (UE) 2022/2554 e sono pertanto soggetti alle prescrizioni in materia di resilienza operativa digitale ivi incluse. L’APA o l’ARM richiedente dovrebbe pertanto dimostrare all’ESMA o, se del caso, all’autorità nazionale competente il rispetto di tutti gli obblighi applicabili ai sensi di tale regolamento. L’APA o l’ARM richiedente dovrebbe dimostrare il rispetto, in particolare, degli obblighi in materia di tecnologie dell’informazione e della comunicazione (TIC), gestione dei rischi, gestione dei rischi informatici derivanti da terzi, continuità operativa e dispositivi di back-up, prove e capacità, sicurezza e segnalazione degli incidenti.

(7)

Gli APA o gli ARM dovrebbero controllare che i dati che pubblicano o trasmettono siano corretti e completi. Dovrebbero inoltre assicurarsi di disporre di meccanismi per individuare gli errori od omissioni attribuibili al cliente o ad essi stessi. Nel caso degli ARM può trattarsi di riconciliazioni tra una popolazione campione di dati trasmessi all’ARM da un’impresa di investimento, o generati dall’ARM per conto dell’impresa di investimento, e i corrispondenti dati forniti dall’autorità competente. La frequenza e la portata delle riconciliazioni dovrebbero essere proporzionate al volume dei dati trattati dall’ARM e alla misura in cui questo genera segnalazioni delle operazioni a partire dai dati dei clienti o trasmette segnalazioni delle operazioni compilate dai clienti. Per assicurare segnalazioni tempestive prive di errori o omissioni, gli ARM dovrebbero monitorare costantemente le prestazioni dei loro sistemi.

(8)

Un ARM che sia all’origine di un errore o omissione dovrebbe correggere prontamente tale errore o omissione. Tale ARM dovrebbe inoltre informare l’ESMA o, se del caso, l’autorità nazionale competente e qualsiasi autorità competente cui trasmette segnalazioni di tale errore o omissione e della relativa correzione. Per consentire al cliente di allineare la propria documentazione interna alle informazioni che l’ARM ha trasmesso per suo conto all’autorità competente, un ARM dovrebbe notificare i dettagli dell’errore o dell’omissione anche ai clienti, fornendo loro un rendiconto aggiornato delle operazioni.

(9)

Gli APA dovrebbero essere in grado di cancellare e modificare le informazioni ricevute da un’impresa di investimento che trasmette la segnalazione dell’operazione qualora tale impresa di investimento si trovi in difficoltà tecniche e non possa cancellare o modificare le informazioni stesse. Tuttavia, poiché gli APA non possono essere certi che un errore o un’omissione percepiti siano reali, non essendo parti dell’operazione eseguita, gli APA non dovrebbero essere responsabili della correzione delle informazioni contenute nelle segnalazioni pubblicate qualora l’errore o l’omissione sia imputabile all’impresa di investimento che presenta la segnalazione dell’operazione.

(10)

Ai fini di una comunicazione affidabile tra l’APA e le imprese di investimento che presentano le segnalazioni delle operazioni, in particolare per quanto riguarda l’annullamento e la modifica di specifiche operazioni, l’APA dovrebbe inserire nel messaggio di conferma inviato all’impresa di investimento segnalante il codice identificativo che ha assegnato all’operazione al momento della pubblicazione dell’informazione.

(11)

Per rispettare l’obbligo di segnalazione imposto loro dal regolamento (UE) n. 600/2014, gli ARM dovrebbero assicurare il flusso regolare delle informazioni verso le autorità competenti e da queste proveniente. Gli ARM dovrebbero pertanto essere in grado di dimostrare di poter rispettare le specifiche tecniche stabilite dalla loro autorità competente per quanto riguarda l’interfaccia tra di loro e l’autorità competente.

(12)

Affinché le informazioni possano essere diffuse efficacemente e i partecipanti al mercato possano accedervi agevolmente e usarle, gli APA dovrebbero pubblicarle in linguaggio macchina attraverso canali solidi che consentano l’accesso automatico a tali informazioni. I siti web non sempre offrono un’architettura sufficientemente solida e scalabile e non sempre consentono un agevole accesso automatico ai dati. Questi vincoli tecnologici potranno però essere superati in futuro. Pertanto, piuttosto che imporre una particolare tecnologia, è opportuno stabilire i criteri che la tecnologia scelta deve soddisfare.

(13)

Per consentire all’ESMA di valutare se il richiedente un’autorizzazione come CTP abbia messo in atto, al momento della domanda, tutte le misure necessarie per soddisfare i criteri di cui all’articolo 27 quinquies bis, paragrafo 2, del regolamento (UE) n. 600/2014, tale richiedente dovrebbe, nella domanda di autorizzazione, fornire un programma di attività, un organigramma e un prospetto dell’assetto proprietario. Per consentire all’ESMA di valutare se il richiedente un’autorizzazione come CTP disponga di risorse umane sufficienti ed eserciti una sorveglianza adeguata sull’attività svolta, l’organigramma dovrebbe individuare chi è responsabile delle diverse attività. Inoltre, per consentire all’ESMA di individuare i settori che possono incidere sull’indipendenza di un CTP e dare origine a un conflitto di interesse, l’organigramma dovrebbe coprire non solo l’ambito di applicazione del servizio relativo al sistema consolidato di pubblicazione, ma anche qualsiasi altro servizio che il CTP richiedente intende fornire. Infine, per consentire all’ESMA di valutare se le politiche, le procedure e la struttura di governo societario garantiscano l’indipendenza del CTP e impediscano l’insorgere di conflitti di interesse, il richiedente un’autorizzazione come CTP dovrebbe anche fornire informazioni sulla composizione, sul funzionamento e sull’indipendenza dei suoi organi direttivi e sul suo quadro di controllo interno.

(14)

Al fine di garantire che tutti i membri dell’organo di gestione di un CTP siano persone che soddisfano i requisiti di onorabilità e possiedono sufficienti conoscenze, competenze ed esperienze, il richiedente l’autorizzazione come CTP dovrebbe essere in grado di dimostrare di essersi dotato di una solida procedura di nomina e di valutazione delle prestazioni dei membri dell’organo di gestione e di aver predisposto chiare linee gerarchiche e chiare disposizioni in materia di informazione regolare all’organo di gestione.

(15)

Possono insorgere conflitti di interesse tra il CTP, da un lato, e i contributori di dati o gli utenti dei dati, dall’altro. In particolare, possono sorgere conflitti di interesse quando il CTP svolge altre attività, anche in qualità di gestore del mercato, impresa di investimento o repertorio di dati sulle negoziazioni. Nell’ambito del governo societario, il richiedente un’autorizzazione come CTP dovrebbe dimostrare all’ESMA di aver istituito quadri adeguati per individuare, prevenire e gestire i conflitti di interesse esistenti e potenziali, anche compilando un inventario dei conflitti di interesse e attuando politiche e procedure appropriate per gestirli e, se necessario, separando aree di attività e membri del personale così da limitare il flusso di informazioni sensibili tra i diversi settori di attività del CTP.

(16)

L’esternalizzazione delle attività, in particolare delle funzioni essenziali e importanti, può costituire una modifica rilevante delle condizioni cui è subordinata l’autorizzazione del CTP. Per assicurare che l’esternalizzazione delle attività non comprometta la sua capacità di adempiere gli obblighi di cui al regolamento n. 600/2014 né faccia sorgere conflitti di interesse, il CTP dovrebbe poter dimostrare di esercitare su dette attività una sorveglianza e un controllo adeguati.

(17)

I CTP rientrano nell’ambito di applicazione del regolamento (UE) 2022/2554 e sono pertanto soggetti alle prescrizioni in materia di resilienza operativa digitale stabilite in tale regolamento. Nella domanda di autorizzazione, i richiedenti l’autorizzazione come CTP dovrebbero pertanto fornire garanzie della loro conformità ai requisiti applicabili stabiliti in tale regolamento.

(18)

Il richiedente l’autorizzazione come CTP dovrebbe dimostrare che i suoi sistemi sono in grado di integrare i dati provenienti dalle sedi di negoziazione e dagli APA e di consolidare e pubblicare tali informazioni senza interruzioni. Dovrebbe inoltre dare prova della sua capacità di consolidare e pubblicare dati in linea con i requisiti stabiliti nel regolamento delegato (UE) 2025/1155 della Commissione (5)

(19)

Per dimostrare il livello ragionevole delle commissioni che intende addebitare ai suoi clienti, il richiedente l’autorizzazione come CTP dovrebbe comunicare all’ESMA la sua politica in materia di dati di mercato, compresa una spiegazione dettagliata dei modelli di licenze e del tariffario delle commissioni previste a norma dell’articolo 17 del regolamento delegato (UE) 2025/1156 della Commissione (6). Il richiedente un’autorizzazione come CTP per le obbligazioni dovrebbe comunicare eventuali meccanismi per la ridistribuzione dei ricavi ai contributori di dati di cui all’articolo 27 nonies, paragrafo 5, del regolamento (UE) n. 600/2014.

(20)

Per consentire all’ESMA di comprendere il consumo di energia generato dalle attività connesse alla raccolta, al trattamento e alla conservazione dei dati, il richiedente un’autorizzazione come CTP dovrebbe fornire il rapporto previsto di efficacia dell’uso dell’energia (PUE) quale definito dalle norme internazionali.

(21)

Per consentire all’ESMA di determinare se le loro risorse combinate sono essenziali per il funzionamento del sistema consolidato di pubblicazione, i richiedenti congiunti di cui all’articolo 27 quinquies bis, paragrafo 2, lettera n), del regolamento (UE) n. 600/2014 dovrebbero dimostrare la necessità in termini di capacità tecnica e logistica per ciascun richiedente di gestire congiuntamente il sistema consolidato di pubblicazione.

(22)

Le informazioni trasmesse alle autorità competenti dovrebbero includere informazioni sull’identità dei membri dell’organo di gestione di un DRSP e sulla loro idoneità. Tali informazioni comprendono dati personali. Conformemente al principio della minimizzazione dei dati sancito dall’articolo 5, paragrafo 1, lettera c), del regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio (7), dovrebbero essere richiesti solo i dati personali necessari per consentire all’autorità competente di valutare la capacità dei membri dell’organo di gestione di un DRSP di rispettare le prescrizioni di cui al regolamento (UE) n. 600/2014. Il trattamento di dati personali ai fini del presente regolamento dovrebbe essere effettuato conformemente al diritto dell’Unione in materia di protezione dei dati personali. A tale riguardo, qualsiasi trattamento di dati personali da parte delle autorità nazionali competenti in applicazione del presente regolamento dovrebbe essere effettuato in conformità del regolamento (UE) 2016/679 e delle prescrizioni nazionali in materia di protezione delle persone fisiche con riguardo al trattamento dei dati personali. Qualsiasi trattamento di dati personali da parte dell’ESMA in applicazione del presente regolamento dovrebbe essere effettuato in conformità del regolamento (UE) 2018/1725 del Parlamento europeo e del Consiglio (8). Per consentire alle autorità competenti di effettuare la valutazione ai fini dell’autorizzazione iniziale e della vigilanza continua, assicurando nel contempo garanzie adeguate, i dati personali relativi all’onorabilità di un membro dell’organo di gestione dovrebbero essere conservati dai DRSP e dalle autorità competenti per non più di cinque anni dopo che tale membro ha cessato di svolgere le sue funzioni.

(23)

Il presente regolamento si basa sui progetti di norme tecniche di regolamentazione che l’ESMA ha presentato alla Commissione.

(24)

L’ESMA ha condotto consultazioni pubbliche aperte sul progetto di norme tecniche di regolamentazione sul quale è basato il presente regolamento, ha analizzato i potenziali costi e benefici collegati e ha chiesto il parere del gruppo delle parti interessate nel settore degli strumenti finanziari e dei mercati istituito dall’articolo 37 del regolamento (UE) n. 1095/2010 del Parlamento europeo e del Consiglio (9),

(25)

Conformemente all’articolo 42, paragrafo 1, del regolamento (UE) 2018/1725, il Garante europeo della protezione dei dati è stato consultato e ha formulato osservazioni formali il 17 marzo 2025,

(26)

Le norme tecniche di regolamentazione da adottare sulla base dei poteri di cui all’articolo 27 quinquies, paragrafo 4, all’articolo 27 quinquies ter, paragrafo 7, all’articolo 27 octies, paragrafi 6 e 8, e all’articolo 27 decies, paragrafo 5, del regolamento (UE) n. 600/2014 dovrebbero essere raggruppate in un unico regolamento delegato della Commissione al fine di garantire che tutte le disposizioni che specificano le condizioni di autorizzazione per i DRSP siano consolidate in un unico regolamento,