Regolamento (UE) 2017/571

Autorizzazione e informazioni alla domanda

Il richiedente l’autorizzazione come fornitore di servizi di comunicazione dati deve trasmettere all’autorità competente le informazioni previste dagli articoli 2, 3 e 4 e quelle relative ai requisiti organizzativi dei capi II e III (art. 1). La documentazione include programma di attività, struttura organizzativa, politiche di conformità, esternalizzazioni, governo societario e dati sui membri dell’organo di gestione. Ogni modifica rilevante delle informazioni fornite deve essere comunicata immediatamente all’autorità competente dello Stato membro d’origine.

Governo societario e requisiti dei vertici

La domanda deve descrivere le politiche e procedure interne di governo societario applicabili all’organo di gestione, all’alta dirigenza e agli eventuali comitati (art. 3). Per ciascun membro dell’organo di gestione vanno indicati dati identificativi, funzione, curriculum, informazioni su precedenti penali e disciplinari, disponibilità di tempo, requisiti di onorabilità e dichiarazione dei potenziali conflitti di interesse, con autorizzazione dell’autorità a verifiche specifiche (art. 4).

Gestione dei conflitti di interesse

Il fornitore deve adottare e mantenere disposizioni amministrative efficaci per individuare, prevenire, gestire e dichiarare i conflitti di interesse con i clienti e con gli acquirenti di dati (art. 5). Deve tenere un inventario dei conflitti, separare funzioni e aree di attività quando necessario, disciplinare la politica tariffaria e retributiva e regolare l’accettazione di denaro, regali o favori. L’inventario deve considerare anche i casi in cui il fornitore possa trarre vantaggio economico, avere interessi divergenti o ricevere incentivi da terzi.

Esternalizzazione di attività essenziali

Se affida attività a terzi, il fornitore deve verificare competenza e capacità del prestatore, individuare chiaramente le attività esternalizzate e le risorse impiegate, e assicurare che l’esternalizzazione non limiti i poteri degli organi sociali (art. 6). Il fornitore resta responsabile delle attività esternalizzate, deve controllarne efficacia e conformità, monitorare i rischi, garantire continuità operativa e prevedere la cooperazione del terzo con l’autorità competente. L’esternalizzazione di funzioni essenziali richiede comunicazione all’autorità competente di identità del terzo, misure organizzative, politiche adottate e rapporti interni/esterni.

Continuità operativa e back-up

I fornitori devono usare sistemi adeguati e solidi per assicurare continuità e regolarità del servizio e riesaminare almeno annualmente infrastrutture tecniche, politiche e procedure, colmando le carenze emerse (art. 7). Devono predisporre piani di continuità con scenari di crisi, duplicazione di componenti hardware, copie di sicurezza, procedure di trasferimento su sito di riserva, tempi massimi di ripristino e formazione del personale. Per gli APA e i CTP il ripristino delle funzioni essenziali non può superare sei ore; per gli ARM non oltre la fine del giorno lavorativo successivo. Le interruzioni devono essere pubblicate sul sito web e comunicate immediatamente all’autorità competente, ai clienti e, per gli ARM, anche alle autorità destinatarie delle segnalazioni.

Prove dei sistemi, capacità e aggiornamenti

Il fornitore deve applicare metodologie di sviluppo e prova idonee a garantire conformità legale, corretto funzionamento dei controlli interni e continuità operativa dei sistemi IT (art. 8). Le metodologie vanno applicate prima e dopo gli aggiornamenti; ogni modifica rilevante del sistema informatico va notificata preventivamente all’autorità competente, e per gli ARM anche alle autorità riceventi i rendiconti. Sono richiesti riesami periodici, un programma permanente di revisione e prove di stress almeno annuali, con capacità sufficiente e scalabilità per gestire aumenti di volumi e richieste.

Sicurezza fisica ed elettronica

Devono essere predisposte e mantenute misure di sicurezza per proteggere i sistemi da accessi non autorizzati, attacchi informatici, divulgazione indebita e corruzione dei dati (art. 9). Per i casi in cui un’impresa di investimento incarichi un terzo di trasmettere rendiconti a un ARM, quest’ultimo deve impedire all’impresa trasmittente l’accesso ad altre informazioni sull’impresa segnalante. Le violazioni di sicurezza devono essere notificate immediatamente all’autorità competente dello Stato membro d’origine, con relazione sulle misure adottate, e ai clienti interessati; per gli ARM la notifica va anche alle altre autorità competenti coinvolte.

Gestione di errori e omissioni nelle pubblicazioni APA e CTP

APA e CTP devono disporre di meccanismi per pubblicare correttamente i report delle operazioni concluse e correggere gli errori o omissioni causati da loro (art. 10). Devono monitorare in tempo reale le prestazioni dei sistemi, effettuare riconciliazioni periodiche tra report ricevuti e pubblicati, e l’APA deve confermare all’impresa segnalante l’avvenuta ricezione indicando il codice identificativo dell’operazione. Gli APA devono individuare report incompleti o probabilmente errati mediante allarmi automatici; se il report è incompleto o errato, non va pubblicato e l’impresa va avvisata. In casi eccezionali APA e CTP possono cancellare o modificare dati su richiesta del soggetto fornitore per impossibilità tecnica di intervento diretto. Gli APA devono pubblicare politiche non discriminatorie sulla cancellazione/modifica e sulle eventuali sanzioni.

Gestione di errori e omissioni negli ARM

Gli ARM devono convalidare i rendiconti di operazioni per campo, formato e contenuto secondo l’articolo 26 del regolamento (UE) n. 600/2014 e l’allegato I, tabella 1, del regolamento delegato (UE) 2017/590 (art. 11). Devono predisporre sistemi per individuare errori attribuibili al cliente e correggere gli errori causati da loro, anche tramite cancellazione o modifica. Se l’errore è del cliente, l’ARM non trasmette il rendiconto e informa immediatamente l’impresa di investimento; se l’errore è imputabile all’ARM, deve inviare una versione corretta e completa e notificare l’errore al cliente e alle autorità competenti. Non sussiste obbligo di correzione per errori o omissioni risalenti a più di cinque anni da quando l’ARM ne è venuto a conoscenza.

Connettività degli ARM

Gli ARM devono disporre di politiche, dispositivi e capacità tecniche conformi alle specifiche dell’autorità competente e idonei a ricevere dai clienti i rendiconti delle operazioni e ritrasmetterli, fornendo al cliente copia di quanto trasmesso all’autorità (art. 12).

Servizi aggiuntivi dei CTP

I CTP possono prestare, oltre al consolidamento, ulteriori servizi quali dati di trasparenza pre-negoziazione, dati storici, dati di riferimento, servizi di ricerca, elaborazione e commercializzazione di dati e statistiche, nonché progettazione e gestione di hardware, software e reti per la trasmissione di dati (art. 13). Possono anche offrire altri servizi di miglioramento dell’efficienza del mercato, purché non compromettano qualità e indipendenza del sistema consolidato.

Pubblicazione in linguaggio macchina

APA e CTP devono pubblicare le informazioni richieste dalla direttiva 2014/65/UE in linguaggio macchina, cioè in formato elettronico leggibile automaticamente, su architetture informatiche che consentano accesso automatico, siano sufficientemente robuste e permettano consultazione, lettura, uso e copia tramite software disponibile gratuitamente (art. 14). Devono inoltre fornire istruzioni pubbliche su accesso e utilizzo dei dati, indicare il formato elettronico, avvisare delle modifiche almeno tre mesi prima e inserire un collegamento alle istruzioni nella home page. Le informazioni del CTP sui dati di cui all’articolo 65, paragrafo 2, della direttiva 2014/65/UE si applicano con decorrenza differita.

Ambito del CTP per le azioni e strumenti analoghi

Il CTP deve includere nel flusso di dati elettronici i dati pubblicati ai sensi degli articoli 6 e 20 del regolamento (UE) n. 600/2014 per tutti gli strumenti finanziari interessati (art. 15). Quando inizia l’attività un nuovo APA o una nuova sede di negoziazione, i relativi dati devono essere integrati nel sistema consolidato il più presto possibile e comunque entro sei mesi.

Gestione dei duplicati nelle pubblicazioni

Quando un APA pubblica un report duplicato, deve inserire il codice "DUPL" nel campo della ristampa; i CTP non devono consolidare i report contrassegnati come duplicati (artt. 16 e 17). L’APA deve adottare un meccanismo che consenta di distinguere il report originale da quelli duplicati, anche certificando che un dato strumento è segnalato tramite un solo APA oppure usando un sistema di identificazione originale/duplicato.

Contenuto delle informazioni da pubblicare e marche temporali

L’APA pubblica le informazioni dettagliate previste dagli allegati dei regolamenti delegati (UE) 2017/587 e 2017/583 per azioni e per obbligazioni, strumenti strutturati, quote di emissione e derivati (art. 18). Deve indicare la data e l’ora della pubblicazione, con precisione ai minuti e secondi; per le operazioni eseguite in sistemi elettronici la precisione arriva al millisecondo. Le marche temporali devono discostarsi al massimo di un secondo o un millisecondo, rispettivamente, dal UTC di riferimento BIPM.

Non discriminazione nella diffusione

APA e CTP devono trasmettere le informazioni da pubblicare simultaneamente su tutti i canali di distribuzione, anche quando la diffusione avviene in tempo reale o dopo 15 minuti dalla prima pubblicazione (art. 19).

Contenuto delle informazioni da pubblicare da parte dei CTP

I CTP devono pubblicare le stesse categorie di informazioni previste per gli APA, distinte tra strumenti equity-like e strumenti non equity, secondo gli allegati dei regolamenti delegati (UE) 2017/587 e 2017/583 (art. 20).

Entrata in vigore e applicazione

Il regolamento entra in vigore il ventesimo giorno successivo alla pubblicazione nella Gazzetta ufficiale dell’Unione europea e si applica dalla data indicata all’articolo 93, paragrafo 1, secondo comma, della direttiva 2014/65/UE (art. 21). Tuttavia, l’articolo 14, paragrafo 2, e l’articolo 20, lettera b), si applicano dal primo giorno del nono mese successivo alla data di applicazione della direttiva 2014/65/UE. Il regolamento è obbligatorio in tutti i suoi elementi e direttamente applicabile in ciascuno Stato membro.