Regolamento (UE) 2021/369

Sistema di interconnessione dei registri dei titolari effettivi (BORIS)

Il regolamento di esecuzione (UE) 2021/369 della Commissione disciplina le specifiche tecniche e le procedure del sistema di interconnessione dei registri centrali dei titolari effettivi previsto dalla direttiva (UE) 2015/849. La finalità è consentire una ricerca armonizzata e sicura delle informazioni sulla titolarità effettiva attraverso il portale europeo della giustizia elettronica e la piattaforma centrale europea, tenendo conto delle differenze rispetto al sistema di interconnessione dei registri delle imprese di cui alla direttiva (UE) 2017/1132.

Ambito e base giuridica

Il regolamento opera nel quadro degli articoli 30 e 31 della direttiva (UE) 2015/849, che impongono agli Stati membri di istituire registri centrali dei titolari effettivi. L’allegato definisce il sistema BORIS come sistema decentrato che collega i registri nazionali con il portale e la piattaforma centrale, in modo da fornire un servizio centrale di ricerca delle informazioni rilevanti per la prevenzione del riciclaggio e del finanziamento del terrorismo.

Definizioni rilevanti

L’allegato chiarisce i concetti essenziali per l’operatività del sistema. Per "registro" si intendono i registri centrali nazionali delle informazioni sulla titolarità effettiva; per "utente qualificato" gli utenti individuati dalla direttiva antiriciclaggio; per "informazioni minime obbligatorie" il set comune di dati con la stessa struttura e lo stesso tipo in tutti gli Stati membri; per "informazioni aggiuntive" i dati ulteriori che gli Stati membri possono decidere di condividere; per "numero d’iscrizione nazionale" il numero di identificazione attribuito dalla legislazione nazionale a società, altri soggetti giuridici, trust o istituti affini.

Identificativi e interoperabilità tra registri

Il sistema prevede uno scambio strutturato di identificativi tra i registri nazionali e la piattaforma centrale. In particolare, per le società vengono condivisi il numero d’iscrizione nazionale, l’EUID attribuito nel sistema BRIS e, se diverso, il numero di registrazione della società; quest’ultimo serve anche ad attribuire l’EUID alle società che non ne dispongono nel BRIS. Per gli altri soggetti giuridici, trust e istituti affini, l’EUID è attribuito sulla base del numero d’iscrizione nazionale. Gli utenti del BORIS devono poter cercare i soggetti interessati utilizzando il numero d’iscrizione nazionale e, se del caso, il numero di registrazione della società.

Deroga per trust e istituti affini

Gli Stati membri possono decidere di non indicare il numero d’iscrizione nazionale per trust o istituti giuridici affini. Per i trust o istituti affini stabiliti secondo la legislazione dello Stato membro in cui sono registrati nel registro dei titolari effettivi, la deroga opera per un periodo di cinque anni dalla data in cui il BORIS diventa operativo.

Dati scambiati nel sistema

Il regolamento definisce il "record sulla titolarità effettiva" come l’insieme di informazioni contenute nei registri nazionali relative a una società, a un altro soggetto giuridico, a un trust o a un istituto affine. Il record comprende dati sul profilo dell’entità, sui titolari effettivi e sugli interessi beneficiari da essi detenuti. Per il profilo sono previsti almeno nome, forma giuridica, indirizzo di registrazione e numero d’iscrizione nazionale, se applicabile. Le informazioni minime obbligatorie per il titolare effettivo e per l’interesse beneficiario rinviano ai dati previsti dalla direttiva (UE) 2015/849; le informazioni aggiuntive comprendono almeno la data di nascita o le informazioni di contatto, secondo i rinvii normativi richiamati. Sono inoltre scambiati messaggi funzionali al sistema, come avvisi di ricevimento, registrazioni di eventi e relazioni.

Formato dei messaggi e struttura dei dati

Lo scambio di informazioni tra registri, piattaforma e portale deve avvenire mediante metodi standard di strutturazione dei dati e un formato standard di messaggio, come XML. I servizi esposti da ciascun registro devono essere unificati e presentare la stessa interfaccia, così da consentire alla piattaforma di interagire con un unico tipo di interfaccia che espone un insieme comune di dati. Gli Stati membri devono quindi adeguare la struttura interna dei dati tramite tavole di corrispondenza o applicazioni tecniche analoghe.

Sicurezza informatica e protezione del sistema

Il regolamento dedica rilievo alle misure minime di sicurezza. Il sistema deve garantire riservatezza, integrità dei dati, non disconoscibilità dell’origine e del ricevimento delle informazioni, registrazione degli episodi di sicurezza secondo raccomandazioni internazionali riconosciute, autenticazione e autorizzazione degli utenti qualificati, nonché verifica dell’identità dei sistemi connessi. Ove necessario, devono essere adottate misure per proteggere da ricerche automatiche e dalla copia dei registri, ad esempio limitando il numero massimo di risultati e usando CAPTCHA.

Criteri di ricerca e accesso al sistema

Per avviare una ricerca è necessario selezionare almeno un paese. Il portale fornisce criteri armonizzati di ricerca: per società, altri soggetti giuridici, trust e istituti affini, nome del soggetto e numero d’iscrizione nazionale, utilizzabili alternativamente; per le persone fisiche titolari effettivi, nome e cognome e data di nascita, da usare congiuntamente. Possono essere previsti ulteriori criteri di ricerca sul portale.

Pagamenti online e registrazione online

Per i dati particolari soggetti a tasse e resi disponibili tramite il BORIS, il sistema deve consentire agli utenti il pagamento online con modalità ampiamente diffuse, come carte di credito e di debito. Inoltre, il sistema deve includere misure che garantiscano la registrazione online in conformità agli articoli 30, paragrafo 5 bis, e 31, paragrafo 4 bis, della direttiva (UE) 2015/849.

Disponibilità del servizio, manutenzione e continuità operativa

Il servizio deve essere operativo 24 ore su 24 e 7 giorni su 7, con un livello di disponibilità minimo del 98% al netto della manutenzione programmata. Gli Stati membri devono comunicare alla Commissione le attività di manutenzione con anticipo differenziato in funzione della durata prevista dell’indisponibilità: 5 giorni lavorativi per fino a 4 ore, 10 giorni lavorativi per fino a 12 ore, e 30 giorni lavorativi per la manutenzione dell’infrastruttura della sala informatica che può comportare fino a 6 giorni di indisponibilità annua. Quando possibile, la manutenzione deve essere pianificata fuori dall’orario lavorativo (19:00-8:00 CET). In caso di guasti imprevisti superiori a mezz’ora nei sistemi nazionali, gli Stati membri devono informare immediatamente la Commissione; analogamente, la Commissione deve informare immediatamente gli Stati membri in caso di guasto imprevisto della piattaforma centrale o del portale.

Trascrizione e traslitterazione

Ciascuno Stato membro deve effettuare la trascrizione o la traslitterazione delle richieste di ricerca e dei risultati ottenuti conformemente alle norme nazionali. La previsione assicura uniformità operativa nella gestione delle ricerche multilingue all’interno del sistema.

Entrata in vigore

Il regolamento entra in vigore il ventesimo giorno successivo alla pubblicazione nella Gazzetta ufficiale dell’Unione europea ed è direttamente applicabile in tutti gli Stati membri.