Regolamento (UE) 2023/2859

ESAP – punto di accesso unico europeo per le informazioni finanziarie e di sostenibilità

Il regolamento istituisce il punto di accesso unico europeo (European single access point, ESAP), concepito come piattaforma centralizzata per l’accesso elettronico a informazioni pubbliche rilevanti per i servizi finanziari, i mercati dei capitali, la sostenibilità e la diversità. La finalità dichiarata è migliorare la trasparenza, agevolare decisioni di investimento informate, favorire la ricerca e accrescere la visibilità delle imprese, in particolare delle PMI, senza introdurre nuovi obblighi sostanziali di informativa oltre quelli già previsti dal diritto dell’Unione settoriale.

Finalità e contesto normativo

Il regolamento si inserisce nel quadro del piano d’azione per l’Unione dei mercati dei capitali, della strategia in materia di finanza digitale e della strategia per finanziare la transizione verso un’economia sostenibile. L’ESAP è presentato come infrastruttura chiave per convogliare capitali verso investimenti sostenibili, migliorare l’accesso a fonti affidabili e rendere più semplice il riuso di dati pubblici in ambito finanziario.

Ambito oggettivo e soggettivo

L’ESAP riguarda, in primo luogo, le informazioni rese pubbliche in virtù degli atti legislativi dell’Unione elencati nell’allegato, nonché le informazioni che altri atti dell’Unione potrebbero in futuro prevedere come accessibili centralmente tramite ESAP. In secondo luogo, dal 10 gennaio 2030, potrà includere anche informazioni trasmesse volontariamente da soggetti disciplinati dal diritto di uno Stato membro, purché pertinenti e correttamente identificate come volontarie.

I soggetti rilevanti sono persone fisiche o giuridiche tenute a trasmettere informazioni a un organismo di raccolta, oppure che scelgano di farlo su base volontaria. Gli organismi di raccolta possono essere organi, organismi o agenzie dell’Unione, oppure autorità, registri o organi nazionali designati a tal fine. Il regolamento non si applica a informazioni commerciali e non modifica, di per sé, il contenuto degli obblighi di disclosure previsti dalle normative settoriali.

Istituzione e gestione dell’ESAP

Entro il 10 luglio 2027 l’ESMA deve istituire e gestire l’ESAP. Le informazioni obbligatorie non possono essere trasmesse all’ESAP prima che il relativo obbligo di trasmissione sia applicabile nel rispettivo atto settoriale. Gli organismi di raccolta che siano organi od organismi dell’Unione possono inoltre rendere disponibili informazioni storiche, cioè rese pubbliche nei cinque anni precedenti la data di applicazione dell’obbligo di trasmissione.

L’ESMA deve anche pubblicare e aggiornare un elenco degli organismi di raccolta, comprensivo dell’identificatore uniforme di risorse di ciascun organismo.

Trasmissione volontaria di informazioni

La trasmissione volontaria è disciplinata dall’articolo 3. Dal 10 gennaio 2030 i soggetti possono trasmettere informazioni all’organismo di raccolta dello Stato membro della sede legale affinché siano rese accessibili tramite ESAP. In tal caso devono:

• indicare con metadati che la trasmissione è volontaria;
• segnalare, sempre con metadati, se le informazioni contengono dati personali;
• fornire i metadati necessari alla funzione di ricerca;
• utilizzare un formato per dati estraibili;
• garantire che le informazioni rientrino nell’ambito consentito;
• evitare dati personali, salvo che siano richiesti dal diritto dell’Unione o nazionale o costituiscano elemento necessario delle informazioni sulle attività economiche.

Entro il 9 gennaio 2030 ciascuno Stato membro deve designare almeno un organismo di raccolta per tali flussi volontari e notificarlo all’ESMA. Le AEV, tramite il comitato congiunto, devono elaborare norme tecniche di attuazione sui metadati e, se del caso, sui formati o modelli da utilizzare; i progetti devono essere presentati alla Commissione entro il 10 gennaio 2028. Devono inoltre essere adottati orientamenti per assicurare la correttezza dei metadati e delle condizioni relative ai dati personali.

Compiti degli organismi di raccolta

Gli organismi di raccolta svolgono un ruolo centrale nel sistema. Essi devono raccogliere le informazioni, conservarle o farle conservare, predisporre le convalide tecniche automatizzate e mettere i dati a disposizione dell’ESAP tramite API, gratuitamente e nei termini applicabili. Devono inoltre assistere i soggetti, almeno quanto a trasmissione, rifiuto e ritrasmissione.

La trasmissione deve rispettare i requisiti di formato e metadati e, ove richiesto, essere accompagnata da un sigillo elettronico qualificato. Gli organismi di raccolta possono rifiutare o rimuovere le informazioni manifestamente inadeguate, abusive o fuori ambito, oppure non conformi ai controlli automatizzati; devono informare il soggetto entro un termine ragionevole e, in caso di rifiuto o rimozione, il soggetto deve rettificare e ritrasmettere senza indebito ritardo.

Le informazioni devono rimanere disponibili per almeno 10 anni, salvo diverso disposto degli atti settoriali. Tuttavia, se i metadati indicano la presenza di dati personali, la conservazione e la disponibilità non possono eccedere cinque anni, salvo diversa previsione del diritto UE.

Delega di compiti e tutela dei dati

Gli organismi di raccolta possono delegare alcuni compiti a soggetti terzi, mediante accordo scritto, ma restano pienamente responsabili e non possono delegare in misura tale da perdere la propria qualifica. Il delegato deve essere privo di conflitti di interesse, rispettare la protezione delle informazioni e informare regolarmente l’organismo di raccolta sull’esecuzione dei compiti.

Sul piano della protezione dei dati, i soggetti restano responsabili dell’individuazione e della liceità del trattamento dei dati personali contenuti nelle informazioni trasmesse. Il regolamento precisa espressamente che non costituisce base giuridica per il trattamento di dati personali. Gli organismi di raccolta e l’ESMA devono rispettare il regolamento (UE) 2016/679 e, per le istituzioni, gli organi e gli organismi dell’Unione, il regolamento (UE) 2018/1725.

Standard tecnici, formati e metadati

Numerosi aspetti operativi sono rimessi a norme tecniche di attuazione elaborate dalle AEV, tramite il comitato congiunto, e adottate dalla Commissione. Le norme devono riguardare, tra l’altro:

• convalide automatizzate;
• caratteristiche del sigillo elettronico qualificato;
• licenze aperte standard;
• caratteristiche dell’API;
• metadati necessari alla ricerca e al funzionamento generale dell’ESAP;
• termini di messa a disposizione dei dati;
• formati per dati estraibili e formati leggibili meccanicamente.

Per le norme principali l’invio dei progetti alla Commissione è previsto entro il 10 settembre 2024. Le AEV devono anche tener conto delle norme esistenti nei settori rilevanti, incluse quelle pensate per le PMI.

Funzionalità dell’ESAP e accessibilità

L’ESAP deve offrire almeno un portale web accessibile e facile da usare, un’API, una funzione di ricerca in tutte le lingue ufficiali dell’Unione, un visualizzatore, traduzione automatica, download di grandi volumi, notifiche sulle nuove informazioni e una presentazione chiaramente distinta delle informazioni trasmesse su base volontaria.

La funzione di ricerca deve consentire ricerche basate su metadati quali:

• nome o denominazione del soggetto;
• identificativo della persona giuridica;
• tipo di informazioni e natura obbligatoria o volontaria;
• data e ora di trasmissione;
• periodo di riferimento;
• dimensione del soggetto;
• paese della sede legale;
• settore industriale;
• organismo di raccolta responsabile;
• lingua di trasmissione.

Le funzionalità di traduzione automatica e notifiche devono essere operative entro il 10 luglio 2028; la presentazione delle informazioni volontarie deve essere garantita entro il 9 gennaio 2030.

Accesso, gratuità e commissioni

L’accesso alle informazioni deve essere diretto, immediato, gratuito e non discriminatorio. Tuttavia, l’ESMA può applicare commissioni per servizi specifici ad alta intensità di manutenzione o supporto, oppure che comportano ricerche e download di volumi molto elevati. Le commissioni non possono superare i costi diretti sostenuti dall’ESMA e sono destinate al funzionamento generale dell’ESAP.

L’ESMA può richiedere una dichiarazione digitale agli utenti soggetti a commissione. Alcune categorie di utenti hanno comunque accesso gratuito, nella misura necessaria allo svolgimento dei rispettivi compiti: istituzioni, organi e organismi dell’Unione; autorità competenti nazionali; membri del sistema statistico europeo; membri del Sistema europeo di banche centrali; autorità di risoluzione; istituzioni governative degli Stati membri; istituti di istruzione e formazione per ricerca, università, organi di informazione e ONG; soggetti che forniscono e utilizzano informazioni tramite ESAP per adempiere ai propri obblighi normativi.

L’ESMA deve pubblicare la struttura delle commissioni, le soglie di volume e le tariffe, aggiornandole annualmente.

Utilizzo e riutilizzo delle informazioni

Il regolamento favorisce il riuso delle informazioni accessibili tramite ESAP, purché le eventuali condizioni siano obiettive, non discriminatorie e giustificate da motivi di interesse pubblico; se del caso, devono corrispondere a licenze aperte standard ai sensi della direttiva (UE) 2019/1024. L’utilizzo e il riutilizzo a fini regolamentari e non commerciali non possono essere limitati con il diritto sui generis sulle banche dati.

L’ESMA e gli organismi di raccolta non rispondono dell’accesso, dell’uso o del riuso dei dati, ferma la responsabilità generale ex articolo 340 TFUE.

Qualità, integrità e cibersicurezza

L’ESMA effettua convalide automatizzate su tutte le informazioni ricevute e può svolgere controlli ulteriori su qualità, integrità e prova dell’origine, fino a sospendere l’accessibilità dei dati. Gli organismi di raccolta devono garantire livelli adeguati di autenticità, disponibilità, integrità e non disconoscibilità delle informazioni; gli Stati membri possono consentire l’uso di un sigillo elettronico qualificato.

Sul piano della cibersicurezza, l’ESMA deve adottare una politica efficace e proporzionata, con riesami periodici in funzione dell’evoluzione delle minacce e degli standard internazionali e UE.

Monitoraggio, relazione annuale e riesame

L’ESMA, in stretta collaborazione con ABE ed EIOPA, deve monitorare il funzionamento dell’ESAP e trasmettere ogni anno una relazione al Parlamento europeo e al Consiglio. Gli indicatori comprendono, tra l’altro, numero di visitatori, ricerche e download, commissioni riscosse, quota di informazioni leggibili meccanicamente, notifiche di non conformità, malfunzionamenti, valutazioni di qualità e soddisfazione degli utenti, nonché il confronto con sistemi analoghi di paesi terzi.

Entro il 10 gennaio 2029 la Commissione deve presentare una relazione sull’attuazione, il funzionamento e l’efficacia dell’ESAP, includendo una valutazione delle difficoltà tecniche, dei costi, dell’impatto su accesso pubblico, visibilità delle PMI, mercato dei dati e interoperabilità. Se emergono gravi e diffuse difficoltà, la Commissione può adottare un atto delegato per rinviare fino a 36 mesi l’inclusione di alcune informazioni nell’ESAP.

Entrata in vigore e allegato degli atti settoriali

Il regolamento entra in vigore il ventesimo giorno successivo alla sua pubblicazione in Gazzetta ufficiale ed è direttamente applicabile in tutti gli Stati membri. L’allegato elenca gli atti UE che alimentano l’ESAP, includendo numerosi regolamenti e direttive del settore finanziario, prudenziale, della trasparenza, della sostenibilità e delle cripto-attività, tra cui il regolamento (UE) 2019/2088 e il regolamento (UE) 2023/2631, oltre a varie direttive su emittenti, banche, assicurazioni, mercati finanziari e governance societaria.