Regolamento (UE) 2019/411

Registro elettronico centrale dei servizi di pagamento

Il regolamento delegato (UE) 2019/411 integra la direttiva (UE) 2015/2366 (PSD2) con norme tecniche di regolamentazione relative al registro elettronico centrale gestito dall’ABE. L’obiettivo è assicurare che le informazioni notificate dalle autorità competenti sugli operatori del settore dei pagamenti siano inserite, aggiornate e rese consultabili in modo uniforme, sicuro e affidabile in tutta l’Unione.

Contesto e finalità

Dal considerando emerge l’esigenza di garantire che il registro contenga dati coerenti e standardizzati, presentati nello stesso formato per gli istituti di pagamento, gli istituti di moneta elettronica e gli altri soggetti rilevanti stabiliti nell’Unione. Il regolamento mira anche ad assicurare autenticità, integrità e non disconoscibilità delle informazioni, nonché una consultazione efficiente da parte degli utenti dei servizi di pagamento e delle altre parti interessate.

Ambito soggettivo e ruoli

Il testo disciplina il ruolo dell’ABE quale gestore del registro elettronico centrale e quello delle autorità competenti nazionali, che restano responsabili della correttezza delle informazioni di propria competenza. Sono previsti due livelli di utenza:

• gli "utenti interni", ossia i membri del personale delle autorità competenti incaricati di inserire e modificare manualmente i dati;
• gli "utenti pubblici", cioè utenti dei servizi di pagamento e altre parti interessate che accedono al registro tramite il sito web dell’ABE.

Ogni autorità competente deve designare almeno due utenti interni e comunicarne l’identità all’ABE.

Accesso e sicurezza dell’applicazione

L’accesso degli utenti interni è subordinato a un’autenticazione a due fattori. L’ABE fornisce credenziali iniziali e garantisce che ciascun utente interno sia identificabile; inoltre il sistema deve impedire inserimenti o modifiche da parte di soggetti non autorizzati. Gli utenti pubblici, invece, non necessitano di credenziali e possono soltanto leggere, cercare e scaricare le informazioni, senza modificarle.

Le disposizioni tecniche impongono anche misure di sicurezza avanzate:

• backup e copie di sicurezza per il ripristino in caso di disastro;
• possibilità di arresto immediato del sistema in caso di problemi di sicurezza;
• capacità di ripristino senza indebito ritardo dopo un crash;
• elaborazione dei file più recenti dopo un’interruzione del servizio;
• uso di norme internazionali di sicurezza informatica.

Trasmissione delle informazioni dalle autorità competenti

Le autorità competenti possono inviare i dati manualmente tramite interfaccia web oppure automaticamente tramite interfaccia applicativa. Devono indicare all’ABE la modalità prescelta; chi usa l’invio automatico può passare al manuale solo previa notifica. È inoltre previsto l’obbligo di fornire all’ABE il collegamento ipertestuale al proprio registro pubblico nazionale, che l’ABE pubblica nel registro centrale.

Per la trasmissione manuale, le informazioni devono essere inserite nel formato definito dal regolamento di esecuzione (UE) 2019/410. Le informazioni sono pubblicate solo dopo convalida; se non superano il controllo, vengono respinte e devono essere reinserite o corrette.

Per la trasmissione automatica, le autorità competenti inviano un file batch standardizzato contenente tutte le informazioni del rispettivo registro nazionale. Nei giorni in cui il contenuto del registro nazionale cambia, il file va trasmesso almeno una volta al giorno. Le modifiche relative al rilascio o alla revoca di autorizzazione o registrazione devono essere registrate il giorno stesso; se la trasmissione automatica non è possibile, devono essere inserite manualmente. Le informazioni automaticamente trasmesse vengono pubblicate appena possibile e comunque entro la fine del giorno di elaborazione e convalida. Ogni nuovo file batch sostituisce le informazioni precedentemente inviate dalla stessa autorità.

Convalida, completezza e prevenzione delle ridondanze

Il registro elettronico centrale convalida i dati per garantirne la completezza ed evitare duplicazioni. La convalida riguarda diversi campi, tra cui:

• numero identificativo nazionale;
• tipo di persona fisica o giuridica;
• data di autorizzazione o registrazione;
• dati degli agenti;
• dati dei prestatori di servizi che operano in base a specifiche esenzioni o deroghe.

Per gli agenti, il sistema deve consentire anche inserimenti multipli se lo stesso agente presta servizi per conto di più soggetti, trattando ciascun inserimento come registrazione distinta. Se la persona per conto della quale l’agente opera passa allo stato di "revocata", l’applicazione non convalida più i dati relativi agli agenti collegati e la loro posizione passa da "attivo" a "inattivo".

In caso di mancata convalida, l’ABE comunica alle autorità competenti i motivi del respingimento. Le autorità competenti devono altresì comunicare all’ABE i tipi e i formati dei numeri identificativi nazionali utilizzati nei rispettivi registri per consentirne la corretta validazione.

Responsabilità delle autorità competenti e limiti operativi

Le autorità competenti restano responsabili della correttezza dei dati relativi ai soggetti da esse autorizzati o registrati, nonché agli agenti e ad alcuni prestatori di servizi iscritti nei registri nazionali. L’applicazione deve consentire a ciascuna autorità di intervenire solo sulle informazioni di propria competenza, escludendo qualsiasi possibilità di modifica dei dati di competenza di altre autorità.

È inoltre escluso che un’autorità inserisca informazioni su soggetti stabiliti in un altro Stato membro ospitante, per i quali non sia competente.

Disponibilità, supporto e audit trail

L’ABE deve vigilare sul funzionamento dell’applicazione, analizzarne le prestazioni e apportare le modifiche necessarie per garantire la conformità al regolamento. Deve anche monitorare la regolare trasmissione e l’aggiornamento dei dati da parte delle autorità competenti, riesaminare periodicamente i requisiti non funzionali e fornire supporto operativo attraverso una funzione interna di gestione delle domande, un ambiente di prova e un canale dedicato per gli incidenti.

Il registro deve inoltre mantenere una traccia di audit completa:

• registrazione di tutte le informazioni trasmesse;
• registrazione di tutte le azioni manuali o automatiche;
• indicazione del momento in cui le azioni sono state effettuate;
• possibilità per l’ABE di accedere ai dati registrati ed estrarre relazioni di monitoraggio.

Ricerca, visualizzazione e download per il pubblico

Il regolamento disciplina in modo dettagliato la consultazione da parte degli utenti pubblici. La ricerca può essere effettuata sulla base di vari criteri, tra cui tipo di soggetto, nome, numero identificativo, autorità competente, paese e città di stabilimento, servizi prestati, Stato membro ospitante, posizione autorizzativa o di registrazione e relative date.

Sono consentite combinazioni di criteri e ricerche con caratteri jolly. Il sistema deve anche offrire menu a tendina per alcuni criteri e menu a scelta multipla per altri. I risultati mostrano i dati essenziali del soggetto; selezionando una persona, vengono visualizzate le informazioni complete, compresa l’ultima data e ora di inserimento registrate dall’ABE. Gli agenti devono apparire sia come registrazione autonoma sia all’interno della registrazione del soggetto per conto del quale operano.

Il contenuto del registro deve essere scaricabile manualmente e automaticamente tramite un file standardizzato, aggiornato almeno due volte al giorno a intervalli predeterminati pubblicati dall’ABE.

Entrata in vigore

Il regolamento è entrato in vigore il ventesimo giorno successivo alla pubblicazione nella Gazzetta ufficiale dell’Unione europea ed è direttamente applicabile in tutti gli Stati membri.