LA COMMISSIONE EUROPEA,

visto il trattato sul funzionamento dell'Unione europea,

visto il regolamento (UE) 2023/1114 del Parlamento europeo e del Consiglio, del 31 maggio 2023, relativo ai mercati delle cripto-attività e che modifica i regolamenti (UE) n. 1093/2010 e (UE) n. 1095/2010 e le direttive 2013/36/UE e (UE) 2019/1937 (1), in particolare l'articolo 22, paragrafo 7, terzo comma,

considerando quanto segue:

1) Ai fini della comunicazione di cui all'articolo 22, paragrafo 1, lettera a), del regolamento (UE) 2023/1114, gli emittenti dovrebbero indicare il numero di possessori con una ripartizione per ubicazione e, per ciascuna ubicazione, il numero dei possessori di portafogli custoditi (custodial wallet) e il numero dei possessori di portafogli non custoditi (non-custodial wallet) oppure il numero dei possessori di tutti gli altri tipi di indirizzi di registro distribuito che sono utilizzati a fini di regolamento e non sono controllati dal possessore o da un prestatore di servizi per le cripto-attività. All'interno di queste due categorie di possessori di portafogli, segnatamente di portafogli custoditi e non custoditi, gli emittenti dovrebbero indicare, con un'ulteriore ripartizione, il numero dei detentori al dettaglio. Le autorità competenti necessitano di tali ripartizioni, in quanto le informazioni sulla concentrazione dei possessori e sui volumi per i detentori al dettaglio sono pertinenti affinché le autorità di vigilanza conseguano gli obiettivi del regolamento (UE) 2023/1114 e garantiscano il corretto funzionamento dei mercati delle cripto-attività, l'integrità del mercato e la stabilità finanziaria nell'Unione, nonché la tutela dei possessori di cripto-attività, in particolare dei detentori al dettaglio. Le informazioni fornite ripartendo i possessori per ubicazione dovrebbero essere utilizzate anche per determinare le autorità competenti idonee a essere membri di un collegio a norma dell'articolo 119, paragrafo 2, lettera l), del regolamento (UE) 2023/1114, sulla base dei criteri di cui al regolamento delegato [C(2024) 6911] della Commissione (2).

2) Ai fini della comunicazione di cui all'articolo 22, paragrafo 1, lettera b), del regolamento (UE) 2023/1114 e onde garantire una vigilanza adeguata sugli obblighi relativi alla riserva di attività di cui agli articoli 36 e 38 di tale regolamento, al regolamento delegato della Commissione che stabilisce norme tecniche di regolamentazione adottate a norma dell'articolo 36, paragrafo 4, del regolamento (UE) 2023/1114 e al regolamento delegato della Commissione che stabilisce norme tecniche di regolamentazione adottate a norma dell'articolo 38, paragrafo 5, del regolamento (UE) 2023/1114, gli emittenti dovrebbero indicare l'entità della riserva di attività con una ripartizione che ne rifletta il valore e la composizione, comprese le misure di gestione della liquidità.

3) A norma dell'articolo 22, paragrafo 1, secondo comma, del regolamento (UE) 2023/1114, le operazioni oggetto degli obblighi di comunicazione di cui alle lettere c) e d) di tale paragrafo sono solo le operazioni che comportano un cambiamento della persona fisica o giuridica avente diritto al token collegato ad attività e comprendono le operazioni regolate nel registro distribuito (operazioni «on-chain») e le operazioni regolate al di fuori del registro distribuito (operazioni «off-chain»). Inoltre la nozione di «operazione» di cui all'articolo 22, paragrafo 1, secondo comma, di tale regolamento prescinde dai tipi di portafogli utilizzati dal cedente o dal cessionario per inviare o ricevere un'operazione. Di conseguenza gli obblighi di comunicazione di cui all'articolo 22, paragrafo 1, lettere c) e d), di tale regolamento dovrebbero includere le operazioni tra portafogli custoditi e le operazioni tra un portafoglio custodito, da un lato, e un portafoglio non custodito o altri tipi di indirizzi di registro distribuito che non sono controllati dal possessore di un token collegato ad attività o da un prestatore di servizi per le cripto-attività, dall'altro. Inoltre l'obbligo di comunicazione di cui all'articolo 22, paragrafo 1, lettera c), del regolamento (UE) 2023/1114 dovrebbe riguardare anche le operazioni tra portafogli non custoditi come pure tra questi ultimi e altri tipi di indirizzi di registro distribuito che non sono controllati dal possessore di un token collegato ad attività o da un prestatore di servizi per le cripto-attività. Poiché gli emittenti dispongono di informazioni limitate sui possessori coinvolti in tali operazioni, in alcuni casi non è possibile stabilire se si tratti di operazioni soggette agli obblighi di comunicazione di cui all'articolo 22, paragrafo 1, del suddetto regolamento. Pertanto, per disporre di informazioni quanto più precise possibile su tali operazioni, l'obbligo di comunicazione di cui all'articolo 22, paragrafo 1, lettera c), del medesimo regolamento dovrebbe contemplare anche informazioni sui trasferimenti tra portafogli non custoditi come pure tra questi ultimi e altri tipi di indirizzi di registro distribuito che sono utilizzati a fini di regolamento e non sono controllati dal possessore di un token collegato ad attività o da un prestatore di servizi per le cripto-attività. Poiché le operazioni sono un sottoinsieme dei trasferimenti, tali informazioni aggiuntive sui trasferimenti tra portafogli non custoditi come pure tra questi ultimi e altri tipi di indirizzi di registro distribuito che non sono controllati dal possessore di un token collegato ad attività o da un prestatore di servizi per le cripto-attività potrebbero essere utilizzate come informazioni proxy e fornire dati utili sul numero e sul valore delle operazioni tra portafogli non custoditi come pure tra questi ultimi e altri tipi di indirizzi di registro distribuito che non sono controllati dal possessore di un token collegato ad attività o da un prestatore di servizi per le cripto-attività.

4) Ai fini dell'obbligo di comunicazione di cui all'articolo 22, paragrafo 1, lettera c), del regolamento (UE) 2023/1114, gli emittenti dovrebbero fornire le informazioni sulle operazioni con una ripartizione per distribuzione geografica, vale a dire per i paesi dei possessori coinvolti nelle operazioni. Una siffatta ripartizione fornirebbe informazioni utili sulla concentrazione delle operazioni per le autorità competenti che esercitano le loro funzioni di vigilanza. Le informazioni fornite ripartendo le operazioni per paese saranno utilizzate anche per determinare le autorità competenti idonee a essere membri di un collegio a norma dell'articolo 119 del regolamento (UE) 2023/1114, come stabilito dal regolamento delegato [C(2024) 6911]. Tale ripartizione non è richiesta per le operazioni e i trasferimenti tra portafogli non custoditi o tra questi ultimi e altri tipi di indirizzi di registro distribuito che non sono controllati dal possessore di un token collegato ad attività o da un prestatore di servizi per le cripto-attività, poiché gli emittenti dispongono di informazioni limitate sui possessori coinvolti in tali operazioni e trasferimenti.

5) Per essere efficace, il quadro di comunicazione dovrebbe includere le date di riferimento e le date d'invio delle comunicazioni, onde assicurare la condivisione corretta e tempestiva dei dati, che potranno così riferirsi allo stesso periodo ed essere trasmessi contemporaneamente per tutti i soggetti comunicanti, e onde garantire la comparabilità dei dati tra gli emittenti e le autorità competenti attraverso l'utilizzo di formati e modelli standardizzati.

6) E' opportuno garantire la continuità della comunicazione nei casi in cui il valore di emissione dei token scenda, a causa di sue variazioni temporanee, al di sotto della soglia di cui all'articolo 22, paragrafo 1, del regolamento (UE) 2023/1114. Di conseguenza, onde verificare l'eventuale carattere temporaneo di tale calo, è necessario estendere l'obbligo di comunicazione per un periodo di tempo supplementare. Ciò non avrebbe alcuna incidenza sugli emittenti, in quanto essi disporranno già dei rispettivi sistemi di comunicazione.

7) Ai fini dell'obbligo di comunicazione di cui all'articolo 22, paragrafo 3, del regolamento (UE) 2023/1114, alcune delle informazioni che i prestatori di servizi per le cripto-attività devono fornire agli emittenti potrebbero includere dati personali se sono riferite a persone fisiche. Vi rientrano il nome completo unitamente al numero di identificazione nazionale, al codice ufficiale di identificazione fiscale o al numero di passaporto. La raccolta di tali dati personali è in questo caso necessaria per conseguire gli obiettivi del regolamento (UE) 2023/1114, in quanto, in assenza di tali informazioni, gli emittenti non potrebbero determinare il numero esatto di possessori di un token collegato ad attività e conteggerebbero due volte quelli che possiedono più conti presso diversi prestatori di servizi per le cripto-attività. L'inesattezza di tali dati altererebbe le informazioni comunicate alle autorità competenti in merito al numero di possessori di un token collegato ad attività e minerebbe l'adeguatezza della vigilanza che dette autorità esercitano. Di conseguenza, non esiste altro modo per riflettere accuratamente nei documenti di comunicazione le informazioni sui possessori di token collegati ad attività; peraltro, nel caso in questione, non è possibile applicare le consuete misure per limitare o tutelare la condivisione dei dati personali, come la pseudonimizzazione.

8) Ai fini dell'obbligo di comunicazione di cui all'articolo 22, paragrafo 3, del regolamento (UE) 2023/1114, i prestatori di servizi per le cripto-attività dovrebbero fornire all'emittente anche gli indirizzi di registro distribuito pubblici che utilizzano per effettuare trasferimenti per conto dei rispettivi clienti. Tali informazioni sono necessarie per consentire agli emittenti di individuare le operazioni iscritte nel registro distribuito che sono effettuate tra portafogli non custoditi e di comunicare quelle rientranti nell'ambito degli obblighi di comunicazione.

9) Affinché le informazioni comunicate all'autorità competente siano corrette e complete, gli emittenti dovrebbero disporre di sistemi e procedure che consentano loro di riconciliare i dati ricevuti dai prestatori di servizi per le cripto-attività ai sensi dell'articolo 22, paragrafo 3, del regolamento (UE) 2023/1114. Tali sistemi e procedure dovrebbero altresì consentire agli emittenti di riconciliare i dati comunicati dai prestatori di servizi per le cripto-attività con i dati che gli emittenti attingono da altre fonti, compresi, se del caso, i dati sulle operazioni disponibili nel registro distribuito.

10) Gli emittenti dovrebbero introdurre nelle proprie politiche interne un periodo massimo di conservazione dei dati personali dei singoli possessori che i prestatori di servizi per le cripto-attività hanno condiviso. Considerando l'obiettivo di garantire il rispetto degli obblighi di comunicazione a norma dell'articolo 22, paragrafo 1, del regolamento (UE) 2023/1114, tale periodo massimo di conservazione non dovrebbe superare i cinque anni dalla data di ottenimento dei dati personali.

11) Il presente regolamento dovrebbe altresì applicarsi mutatis mutandis ai token di moneta elettronica denominati in una valuta che non è una valuta ufficiale di uno Stato membro, in quanto l'articolo 22 del regolamento (UE) 2023/1114 si applica ai token di moneta elettronica denominati in una siffatta valuta.

12) Conformemente all'articolo 42, paragrafo 1, del regolamento (UE) 2018/1725 del Parlamento europeo e del Consiglio (3), il Garante europeo della protezione dei dati è stato consultato e ha formulato il suo parere il 16 luglio 2024.

13) Onde allinearsi alla data di applicazione del regolamento (UE) 2023/1114 per quanto riguarda i prestatori di servizi per le cripto-attività, la data di applicazione del presente regolamento dovrebbe essere rinviata.

14) Il presente regolamento si basa sui progetti di norme tecniche di attuazione che l'Autorità bancaria europea (ABE) ha presentato alla Commissione.

15) L'ABE ha effettuato consultazioni pubbliche sui progetti di norme tecniche di attuazione sui quali è basato il presente regolamento, ha analizzato i relativi costi e benefici potenziali e ha chiesto la consulenza del gruppo delle parti interessate nel settore bancario istituito a norma dell'articolo 37 del regolamento (UE) n. 1093/2010 del Parlamento europeo e del Consiglio (4),

HA ADOTTATO IL PRESENTE REGOLAMENTO: