Regolamento (UE) 2022/1504

Regolamento di esecuzione (UE) 2022/1504: CESOP per la lotta alle frodi IVA

Il regolamento attua l’articolo 24 sexies del regolamento (UE) n. 904/2010 e disciplina le modalità tecniche e operative del sistema elettronico centrale di informazioni sui pagamenti (CESOP). Il sistema è concepito per raccogliere, conservare, analizzare e rendere consultabili le informazioni sui pagamenti transfrontalieri trasmesse dagli Stati membri, così da supportare l’individuazione di frodi in materia di IVA. Le norme si coordinano con gli obblighi introdotti dalla direttiva 2006/112/CE, come modificata dalla direttiva (UE) 2020/284, e con il rafforzamento della cooperazione amministrativa previsto dal regolamento (UE) 2020/283.

Finalità e contesto normativo

Il CESOP è uno strumento di supporto all’azione antifrode: la Commissione ne cura lo sviluppo tecnico, l’ospitalità e la gestione tecnica, mentre gli Stati membri restano responsabili della gestione sostanziale dei dati e della selezione dei funzionari di collegamento di Eurofisc autorizzati all’accesso. Il regolamento precisa inoltre che il trattamento dei dati personali avviene nel rispetto del regolamento (UE) 2016/679 e del regolamento (UE) 2018/1725, distinguendo tra contitolarità degli Stati membri e ruolo della Commissione quale responsabile del trattamento.

Funzionalità del CESOP

L’articolo 1 descrive le funzioni del sistema, che deve ricevere i dati dai sistemi nazionali, conservarli per massimo cinque anni dalla fine dell’anno civile di trasmissione, ripulirli da errori e duplicazioni e aggregarli per beneficiario. Il CESOP deve consentire ricerche, visualizzazioni, analisi automatiche e controlli incrociati con altri dati già detenuti o scambiati ai sensi del regolamento (UE) n. 904/2010. Il sistema deve anche generare relazioni sui risultati delle analisi, segnalare beneficiari sospetti, offrire strumenti di gestione degli accessi e consentire lo scambio diretto di informazioni tra i funzionari di collegamento di Eurofisc in materia di indagini e individuazione di frodi IVA transfrontaliere.

La Commissione deve inoltre garantire il mantenimento operativo del CESOP, prevedendo manutenzione fuori orario, aggiornamenti tecnici e risoluzione delle problematiche di funzionamento.

Compiti della Commissione

L’articolo 2 dettaglia i compiti tecnici della Commissione: tenere l’elenco aggiornato dei funzionari di collegamento di Eurofisc abilitati, costituire e aggiornare l’elenco dei prestatori di servizi di pagamento che hanno comunicato dati, fornire accesso automatizzato a tale elenco, prestare assistenza tecnica e impartire formazione agli utenti istituzionali del sistema. Si tratta di compiti strumentali e limitati alla gestione tecnica, coerenti con la ripartizione di ruoli indicata nei considerando.

Interoperabilità e trasmissione dei dati

L’articolo 3 impone agli Stati membri di rendere operativi i sistemi elettronici nazionali per la raccolta delle informazioni sui pagamenti e di garantire che essi possano acquisire i dati previsti dall’articolo 24 ter del regolamento (UE) n. 904/2010. Al CESOP possono essere trasmesse solo informazioni complete nei campi obbligatori dell’articolo 243 quinquies della direttiva 2006/112/CE e conformi all’allegato del regolamento. La Commissione deve assicurare l’interoperabilità tra i sistemi nazionali e il CESOP.

L’articolo 4 stabilisce che il formulario elettronico standard per la trasmissione sia in formato XML standardizzato, secondo la tabella dati contenuta nell’allegato.

Funzionamento degli accessi e ruolo dei funzionari di Eurofisc

L’articolo 5 prevede che gli Stati membri designino i funzionari di collegamento di Eurofisc autorizzati ad accedere al CESOP e comunichino alla Commissione nomi e indirizzi e-mail. Ogni variazione deve essere notificata tempestivamente e comunque entro 30 giorni di calendario. La Commissione rilascia a ciascun funzionario un identificativo personale unico, necessario per l’accesso al sistema.

Sicurezza tecnica e organizzativa

L’articolo 6 disciplina la cooperazione tra Stati membri e Commissione in materia di sicurezza. Gli Stati membri devono fornire informazioni sulle proprie misure di sicurezza nazionali e sugli aggiornamenti, incluse le misure per garantire che l’accesso sia riservato ai funzionari designati e per assicurare la cifratura dei dati trasmessi. La Commissione, entro il 30 aprile di ogni anno a decorrere dall’anno successivo alla data di applicazione del regolamento, comunica agli Stati membri le misure adottate per la sicurezza del CESOP, gli incidenti verificatisi nell’anno precedente e le modalità di risoluzione, le modifiche introdotte e una valutazione sull’adeguatezza delle misure esistenti.

Protezione dei dati personali e riparto delle responsabilità

L’articolo 7 qualifica gli Stati membri come contitolari del trattamento del CESOP ai sensi del GDPR. Le loro responsabilità sono definite in un accordo tra contitolari che regola, tra l’altro, l’esercizio dei diritti degli interessati e le informative di cui agli articoli 13 e 14 del regolamento (UE) 2016/679. Gli Stati membri devono definire e aggiornare le specifiche tecniche del sistema, disciplinare la selezione dei funzionari di Eurofisc e rispondere alle istanze degli interessati.

La Commissione, quale responsabile del trattamento ai sensi del regolamento (UE) 2018/1725, tratta i dati per conto degli Stati membri e secondo le loro istruzioni, garantisce la riservatezza, fornisce l’infrastruttura tecnica necessaria, assiste negli adempimenti relativi alle violazioni di dati personali, assicura la cancellazione dei dati personali conservati nel CESOP secondo l’articolo 24 quater, paragrafo 2, del regolamento (UE) n. 904/2010 e coopera agli audit e alle ispezioni richiesti dagli Stati membri.

Dati richiesti nell’allegato

L’allegato definisce il tracciato XML e i campi obbligatori o condizionati da trasmettere. I dati comprendono l’identificativo del prestatore di servizi di pagamento, il nome del beneficiario, il suo numero IVA o codice fiscale, l’identificativo del conto, l’eventuale identificativo del prestatore del beneficiario, l’indirizzo del beneficiario, i riferimenti ai rimborsi, la data e ora dell’operazione, l’importo, la valuta, lo Stato membro di origine del pagamento o di destinazione del rimborso, le informazioni sulla localizzazione del pagatore, il codice identificativo dell’operazione e, ove pertinente, l’indicazione della presenza fisica del pagatore. L’allegato specifica anche i controlli di trasmissione, come verifiche di presenza e controlli sintattici su BIC, IBAN, codici paese e valuta.

Entrata in vigore e applicazione

Il regolamento entra in vigore il ventesimo giorno successivo alla pubblicazione nella Gazzetta ufficiale dell’Unione europea e si applica dal 1º gennaio 2024. È obbligatorio in tutti i suoi elementi e direttamente applicabile in ciascuno Stato membro.