Regolamento (UE) 2025/1140

Norme tecniche di regolamentazione sulle registrazioni dei prestatori di servizi per le cripto-attività

Il regolamento delegato (UE) 2025/1140 integra il regolamento (UE) 2023/1114 (MiCA) specificando in modo analitico quali registrazioni i prestatori di servizi per le cripto-attività devono conservare. La finalità, richiamata nei considerando, è rendere i dati coerenti, comparabili e sufficientemente strutturati per consentire alle autorità competenti una vigilanza efficace, anche in materia di abusi di mercato, riducendo al contempo gli oneri informativi grazie al ricorso a standard internazionali.

Logica generale del sistema di registrazione

L’impianto del regolamento si fonda su alcuni principi trasversali. Le registrazioni devono essere conservate su un supporto che permetta recuperabilità, accesso rapido, tracciabilità delle modifiche, impossibilità di alterazione e trattamento efficiente anche in presenza di grandi volumi di dati (articolo 2). Il prestatore deve conservare solo le informazioni necessarie e sufficienti alla valutazione complessiva di conformità al MiCA e alle norme sugli abusi di mercato, nel rispetto del principio di minimizzazione dei dati e della disciplina GDPR richiamata nei considerando.

Il regolamento distingue tra:

• registrazioni di natura organizzativa e documentale;
• registrazioni riferite ai clienti e agli accordi contrattuali;
• registrazioni relative agli ordini e alle operazioni;
• dati on-chain, necessari per collegare le transazioni sulla rete con la reportistica off-chain.

Definizioni essenziali

L’articolo 1 definisce l’ambito operativo delle registrazioni. In particolare:

• "operazione" è la conclusione di un acquisto o di una cessione di cripto-attività diverse da quelle escluse dal regolamento (UE) 2023/1114;
• "effettuare un’operazione" include l’esecuzione dell’operazione o la trasmissione di un ordine per conto del cliente;
• "eseguire un’operazione" ricomprende diverse attività che portano alla conclusione dell’operazione, tra cui ricezione e trasmissione ordini, esecuzione per conto dei clienti, scambio con fondi o altre cripto-attività, decisione di investimento in mandato discrezionale e trasferimento di cripto-attività da o verso conti.

Registrazioni su politiche, procedure e rapporti contrattuali

L’articolo 3 impone di conservare:

• le politiche e procedure che il prestatore è tenuto ad avere per iscritto ai sensi del MiCA e delle misure di attuazione;
• la documentazione sulla valutazione e sul riesame periodico, da parte dell’organo di amministrazione, dell’efficacia di tali politiche e procedure, comprese eventuali carenze e rimedi adottati.

L’articolo 4 disciplina invece i documenti contrattuali: i diritti e gli obblighi delle parti devono essere conservati per cinque anni dalla cessazione del rapporto. Su richiesta dell’autorità competente, presentata prima della scadenza del termine, la conservazione può essere estesa fino a sette anni dalla cessazione dell’accordo.

Custodia di cripto-attività e fondi dei clienti

L’articolo 5 richiede che le registrazioni consentano di distinguere in ogni momento, senza ritardo, le cripto-attività e i fondi di ciascun cliente da quelli degli altri clienti e dal patrimonio proprio del prestatore. Le registrazioni devono essere idonee all’audit e includere, tra l’altro:

• saldi immediatamente identificabili per ciascun cliente;
• conti presso banche, enti creditizi o terzi custodi;
• accordi con banche/enti creditizi e accordi di esternalizzazione;
• dati dei terzi a cui sono esternalizzate attività;
• nominativi e funzioni dei responsabili interni della custodia;
• accordi che stabiliscono la titolarità dei clienti sulle cripto-attività e sui fondi.

Ordini: ricezione, trasmissione e identità dei soggetti coinvolti

Gli articoli 6, 11, 12 e 13 disciplinano in dettaglio la conservazione delle informazioni sugli ordini.

Per ogni ordine iniziale ricevuto e per ogni decisione iniziale di negoziare, il prestatore deve registrare i dettagli indicati nell’allegato; se l’autorità competente li richiede ai sensi dell’articolo 94 del MiCA, tali dati devono essere forniti nel formato previsto. Il regolamento copre anche:

• gli ordini trasmessi ad altri prestatori;
• gli ordini trasmessi più volte;
• gli ordini aggregati di più clienti;
• gli ordini eseguiti o trasmessi tramite soggetti non soggetti al MiCA, che devono essere registrati come se il prestatore avesse agito direttamente.

Tra le informazioni rilevanti vi sono l’identità del cliente, del prestatore trasmittente, della piattaforma, della cripto-attività, nonché i dettagli temporali e quantitativi dell’ordine.

Operazioni: contenuto minimo e identificazione delle responsabilità interne

L’articolo 7 dispone che i dettagli dell’operazione siano registrati immediatamente dopo l’esecuzione. Le regole sugli articoli 8 e 10 mirano a rendere tracciabile la catena decisionale interna al prestatore:

• se la decisione di investimento è presa da una persona o da un algoritmo, tale soggetto deve essere identificato e registrato;
• se partecipano più persone o più algoritmi, va registrato il soggetto con responsabilità primaria;
• analoghe regole valgono per la persona o l’algoritmo che determina le condizioni di esecuzione dell’operazione.

Queste disposizioni sono motivate, nei considerando, dall’esigenza di consentire un’efficace sorveglianza del mercato e di individuare possibili abusi, compresi quelli attuati tramite negoziazione algoritmica.

Identificazione delle persone fisiche, delle persone giuridiche e delle cripto-attività

L’articolo 9 stabilisce un sistema uniforme di identificazione delle persone fisiche basato sulla cittadinanza: il codice ISO alpha-2 del paese di cittadinanza è concatenato con l’identificativo nazionale del cliente, attribuito secondo le priorità dell’allegato II del regolamento delegato (UE) 2017/590. Sono previste regole specifiche per cittadini di più paesi SEE, per cittadini SEE e non SEE e, in caso di mancanza di identificativi disponibili, un fallback fondato su data di nascita, nome e cognome in formato standardizzato.

L’articolo 14 riguarda le persone giuridiche: il prestatore deve usare il LEI conforme alla norma ISO 17442, o un identificativo alternativo UE che soddisfi requisiti stringenti di qualità, governance e accessibilità. L’articolo 15 impone l’uso del DTI, o di un identificativo equivalente approvato dall’ESMA, per identificare le cripto-attività oggetto dell’ordine o dell’operazione.

L’articolo 17 prevede, infine, che il prestatore si identifichi nei propri registri con un LEI corretto, valido e rinnovato.

Succursali e localizzazione geografica dell’attività

L’articolo 16 richiede di indicare il paese della succursale quando l’operazione è effettuata integralmente o parzialmente tramite succursale. Nelle registrazioni devono figurare anche informazioni utili a stabilire:

• se la succursale ha ricevuto l’ordine o preso la decisione di investimento;
• se ha funzioni di supervisione sulla persona che decide o determina l’esecuzione;
• se l’operazione è stata eseguita su una piattaforma extra-UE sfruttando la qualità di membro della piattaforma da parte della succursale.

Struttura tecnica dell’allegato: campi, codici e formati

L’allegato è parte centrale del regolamento e definisce la struttura tecnica della reportistica. La sezione 1 elenca le categorie di registrazioni da conservare in base al servizio svolto: comunicazioni con il cliente, documentazione informativa, contratti e consensi, abusi di mercato, custodia, reclami, conflitti di interesse, operazioni personali, esternalizzazione, gestione di piattaforme di negoziazione, scambio di cripto-attività, collocamento, consulenza e gestione di portafoglio, e servizi di trasferimento.

Le sezioni 2 e 3 specificano i campi per ordini e operazioni, con codici standardizzati e formati tecnici molto dettagliati. Sono previsti, tra gli altri:

• identificativi del cliente, del venditore, dell’acquirente e dei decisori;
• identificativi della piattaforma e della succursale;
• codici relativi alla cripto-attività, al tipo di ordine e alla classificazione dello strumento;
• campi su prezzo, quantità, validità dell’ordine, status, aggressività/passività, prevenzione dell’auto-esecuzione, indicazioni di asta e indicatori di vendita allo scoperto;
• campi per la trasmissione dell’ordine e per i casi in cui si operi tramite soggetti esterni all’ambito del MiCA.

La sezione 4 disciplina i dati on-chain, tra cui hash dell’operazione, indirizzi wallet, indirizzi di smart contract, marcatura temporale, canoni di rete, identificativo del token e numero di registrazione dell’operazione, che serve a collegare il dato on-chain con la registrazione off-chain.

Rinvii e coerenza con altri atti dell’Unione

Il regolamento si coordina con il regolamento (UE) 2023/1114 e rinvia anche ad altri atti rilevanti: regolamento (UE) n. 600/2014, regolamento delegato (UE) 2017/590, regolamento (UE) 2023/1113, regolamento delegato (UE) 2025/416, regolamento delegato (UE) 2025/294 e regolamenti sulla protezione dei dati. Il ricorso a LEI, DTI e classificazioni ISO risponde all’esigenza di uniformare i dati a livello europeo e internazionale.

Entrata in vigore

Il regolamento entra in vigore il ventesimo giorno successivo alla pubblicazione nella Gazzetta ufficiale dell’Unione europea ed è obbligatorio in tutti i suoi elementi e direttamente applicabile in ciascuno Stato membro.