LA COMMISSIONE EUROPEA,

visto il trattato sul funzionamento dell'Unione europea,

visto il regolamento (UE) 2023/2859 del Parlamento europeo e del Consiglio, del 13 dicembre 2023, che istituisce un punto di accesso unico europeo che fornisce un accesso centralizzato alle informazioni accessibili al pubblico pertinenti per i servizi finanziari, i mercati dei capitali e la sostenibilità (1), in particolare l'articolo 5, paragrafo 11, terzo comma,

considerando quanto segue:

1) E' importante garantire che gli organismi di raccolta mettano a disposizione le informazioni sul punto di accesso unico europeo (ESAP) in modo armonizzato, attingendo per quanto possibile alle procedure e alle infrastrutture di raccolta esistenti a livello dell'Unione e nazionale.

2) Dato che lo scopo delle convalide tecniche automatizzate di cui all'articolo 5, paragrafo 1, lettera c), del regolamento (UE) 2023/2859 è garantire una qualità uniforme delle informazioni nell'ESAP, gli organismi di raccolta dovrebbero effettuare tali convalide tecniche automatizzate in modo coerente, tenendo conto dell'articolo 5, paragrafo 10, lettera a), dello stesso regolamento. In particolare è importante che i soggetti che trasmettono informazioni ricevano tempestivamente le notifiche di rifiuto. E' pertanto opportuno stabilire il termine massimo entro il quale gli organismi di raccolta dovrebbero compiere ogni sforzo per notificare ai soggetti il rifiuto delle informazioni. In circostanze eccezionali, tra cui incidenti ed errori gravi, attacchi dolosi ed eventi naturali, gli organismi di raccolta dovrebbero avere la facoltà di notificare i soggetti oltre tale termine massimo.

3) Conformemente all'articolo 5, paragrafo 9, del regolamento (UE) 2023/2859, gli Stati membri possono consentire agli organismi di raccolta di esigere un sigillo elettronico qualificato per garantire livelli adeguati di autenticità, integrità e non disconoscibilità delle informazioni trasmesse all'ESAP. Per agevolare l'interoperabilità transfrontaliera dei sigilli elettronici qualificati che accompagnano le informazioni trasmesse all'ESAP, i sigilli richiesti da un organismo di raccolta dovrebbero essere conformi alle specifiche di cui alla decisione di esecuzione (UE) 2015/1506 della Commissione (2). Affinché possa rimanere valido per un lungo periodo di tempo, il sigillo elettronico qualificato dovrebbe avere un livello di conformità a lungo termine (LT) o superiore. Per rafforzare ulteriormente l'autenticazione delle informazioni trasmesse all'ESAP, il certificato digitale che accompagna tale sigillo dovrebbe contenere, se disponibile, il codice identificativo della persona giuridica che individua l'utilizzatore di tale sigillo, se tale identificativo è conforme alla norma ISO 17442. Tali informazioni potrebbero essere disponibili nei portafogli europei di identità digitale di cui al regolamento (UE) n. 910/2014 del Parlamento europeo e del Consiglio (3).

4) La direttiva (UE) 2019/1024 del Parlamento europeo e del Consiglio (4) mira a promuovere l'uso di licenze pubbliche standard disponibili online per il riutilizzo delle informazioni del settore pubblico. Gli orientamenti della Commissione sulle licenze standard raccomandate, i dataset e la tariffazione del riutilizzo dei documenti (5) indicano le licenze Creative Commons («CC»), e in particolare la loro versione più recente (4.0), come esempio di licenze pubbliche standard raccomandate. Le licenze CC sono sviluppate da un'organizzazione senza scopo di lucro e sono diventate una delle principali soluzioni per la concessione di licenze per le informazioni del settore pubblico, i risultati di ricerca e il materiale relativo al settore culturale in tutto il mondo. Pertanto, per agevolare l'uso e il riutilizzo delle informazioni disponibili, è opportuno fare riferimento al protocollo Creative Commons Public Domain Dedication (CC0) per tutte le informazioni messe a disposizione dell'ESAP da un organismo di raccolta, tranne nel caso di diritti d'autore e altri diritti connessi. Di conseguenza, per quanto riguarda il tipo di informazioni coperte dai diritti d'autore o da altri diritti connessi dovrebbe essere applicata la licenza CC BY-NC-ND al fine di limitare l'uso commerciale di tali informazioni. Gli organismi di raccolta possono utilizzare una licenza equivalente alla suite di licenze CC.

5) Affinché le informazioni raccolte dagli organismi di raccolta siano messe a disposizione dell'ESAP attraverso un'interfaccia per programmi applicativi (API), è opportuno specificare alcuni elementi dell'API. Tali elementi comprendono il metodo di scambio dei dati attraverso il quale le informazioni dovrebbero essere fornite all'ESAP, i formati di dati supportati, il tipo di protocolli su cui si basa l'API, il controllo degli accessi applicato per consentire all'ESAP di raccogliere dati dagli organismi di raccolta designati e la proprietà del processo di aggiornamento o modifica dell'API. Per questo motivo qualsiasi modifica dell'API dovrebbe essere comunicata a tempo debito, unitamente a un calendario chiaro per l'attuazione di tali modifiche.

6) Per qualsiasi trattamento di dati personali nel contesto della raccolta di informazioni allo scopo di renderle accessibili tramite l'ESAP, l'ESMA, in qualità di titolare del trattamento dei dati dell'ESAP, e gli organismi di raccolta dovrebbero garantire il rispetto dei regolamenti (UE) 2016/679 (6) e (UE) 2018/1725 (7) del Parlamento europeo e del Consiglio.

7) La direttiva (UE) 2023/2864 del Parlamento europeo e del Consiglio (8) e il regolamento (UE) 2023/2869 del Parlamento europeo e del Consiglio (9) specificano gli elementi di metadati che i soggetti dovrebbero mettere a disposizione degli organismi di raccolta al momento della trasmissione delle informazioni. Tutti gli organismi di raccolta dovrebbero mettere tali metadati a disposizione dell'ESAP, in modo che quelli pertinenti siano disponibili per la funzione di ricerca dell'ESAP. Per garantire il funzionamento dell'ESAP gli organismi di raccolta possono anche essere tenuti a fornirgli metadati aggiuntivi di natura tecnica. Per garantire la convergenza e agevolare l'attuazione è opportuno specificare le caratteristiche di tutti i metadati forniti all'ESAP.

8) La base dati della Global Legal Entity Identifier Foundation (GLEIF) è una fonte globale online di dati di riferimento aperti, standardizzati e di alta qualità relativi alle persone giuridiche, gestita dalla GLEIF. Affinché l'ESAP possa fornire una funzione di ricerca sulla base dei criteri di cui all'articolo 7, paragrafo 3, del regolamento (UE) 2023/2859 senza creare un onere aggiuntivo per i soggetti, l'Autorità europea degli strumenti finanziari e dei mercati (ESMA) e gli organismi di raccolta dovrebbero essere in grado, per quanto possibile, di ricavare determinati metadati dalla base dati della GLEIF partendo dall'identificativo della persona giuridica di cui all'articolo 2 del regolamento di esecuzione (UE) 2025/1338 della Commissione (10) che è loro fornito. Ciò limiterebbe l'onere di comunicazione, in quanto i soggetti metterebbero i metadati a disposizione dell'indice globale di codici LEI e li aggiornerebbero solo quando necessario, anziché fornirli insieme a ciascuna trasmissione agli organismi di raccolta. Tali metadati comprendono i nomi o le denominazioni del soggetto che ha trasmesso le informazioni, i nomi della persona giuridica a cui si riferiscono le informazioni e il paese della sede legale della persona giuridica a cui si riferiscono le informazioni.

9) L'articolo 5, paragrafo 6, del regolamento (UE) 2023/2859 stabilisce che i soggetti sono responsabili di identificare e indicare la presenza di dati personali nelle informazioni che trasmettono all'organismo di raccolta. L'indicazione che le informazioni trasmesse contengono dati personali deve essere fornita all'ESAP mediante i metadati che le accompagnano; L'ESMA dovrebbe garantire che tali informazioni non siano conservate né rese accessibili tramite l'ESAP per un periodo superiore a cinque anni, salvo quando diversamente specificato nella pertinente normativa dell'Unione.

10) Per poter essere utili agli utenti, le informazioni dovrebbero essere rese disponibili quanto prima tramite l'ESAP. Pertanto, il termine entro il quale gli organismi di raccolta devono mettere le informazioni a disposizione dell'ESAP dovrebbe essere il più breve possibile e sarebbe opportuno limitare il ritardo tra il momento in cui le informazioni sono messe a disposizione del pubblico e la loro accessibilità tramite l'ESAP. A tal fine, il punto di riferimento per l'inizio del termine dovrebbe sempre essere il momento in cui le informazioni sono state trasmesse all'organismo di raccolta da un soggetto per renderle accessibili tramite l'ESAP e tale trasmissione ha superato le convalide tecniche automatizzate. Il termine dovrebbe essere attivato solo quando le informazioni vengono trasmesse al fine di renderle accessibili tramite l'ESAP. Pertanto, se le informazioni sono trasmesse all'autorità competente per altri scopi, compresa l'approvazione di tali informazioni o se un documento non può essere messo a disposizione del pubblico prima di un determinato momento nel futuro, tali informazioni non dovrebbero essere considerate come trasmesse all'organismo di raccolta al fine di renderle accessibili tramite l'ESAP. I termini non dovrebbero pregiudicare altri eventuali obblighi degli organismi di raccolta derivanti da altri atti legislativi dell'Unione, tra cui l'obbligo di effettuare convalide supplementari dei dati o l'obbligo di rendere le informazioni accessibili all'ESMA entro termini diversi da quelli specificati nel presente regolamento. In circostanze eccezionali debitamente giustificate, tra cui gravi incidenti, errori, attacchi dolosi ed eventi naturali, gli organismi di raccolta dovrebbero avere la facoltà di fornire le informazioni oltre i termini specificati, a condizione che l'ESMA ne sia debitamente informata. Poiché tale processo non può essere effettuato in modo completamente automatico, gli organismi di raccolta non dovrebbero essere tenuti a informare l'ESMA di tali circostanze al di fuori del loro orario di lavoro.

11) Alla luce delle attuali opzioni tecnologiche e dei formati utilizzati per la preparazione delle informazioni che rientrano nel contesto dell'ESAP, gli organismi di raccolta dovrebbero accettare le informazioni in formato HTML, PDF e txt come dati estraibili, purché il testo ivi contenuto possa essere estratto. Gli organismi di raccolta dovrebbero accettare le informazioni nei formati XBRL, XBRL-xml, XBRL-csv e XML e Inline XBRL come leggibili meccanicamente, in quanto le applicazioni software possono facilmente identificare, riconoscere ed estrarre i dati specifici ivi contenuti. Tali formati dovrebbero essere inclusi nell'elenco indicativo dei formati accettabili, poiché si tratta dei formati attualmente richiesti per i sistemi di informativa nel contesto dell'ESAP. Tale elenco non è tuttavia restrittivo e pertanto per le informazioni che rientrano nel contesto dell'ESAP dovrebbero essere accettati ulteriori formati per dati estraibili e leggibili meccanicamente. Poiché anche i formati leggibili meccanicamente soddisfano i requisiti di estraibilità dei dati, tutti i formati leggibili meccanicamente dovrebbero essere accettati come formati per dati estraibili.

12) Il presente regolamento si basa sui progetti di norme tecniche di attuazione che l'ESMA, l'Autorità bancaria europea e l'Autorità europea delle assicurazioni e delle pensioni aziendali e professionali hanno presentato alla Commissione.

13) L'ESMA, l'Autorità bancaria europea e l'Autorità europea delle assicurazioni e delle pensioni aziendali e professionali hanno condotto consultazioni pubbliche aperte sui progetti di norme tecniche di attuazione sui quali è basato il presente regolamento, hanno analizzato i potenziali costi e benefici collegati e hanno chiesto la consulenza del gruppo delle parti interessate nel settore bancario istituito in conformità dell'articolo 37 del regolamento (UE) n. 1093/2010 del Parlamento europeo e del Consiglio (11), del gruppo delle parti interessate nel settore dell'assicurazione e della riassicurazione istituito in conformità dell'articolo 37 del regolamento (UE) n. 1094/2010 del Parlamento europeo e del Consiglio (12), nonché del gruppo delle parti interessate nel settore degli strumenti finanziari e dei mercati istituito in conformità dell'articolo 37 del regolamento (UE) n. 1095/2010 del Parlamento europeo e del Consiglio (13).

14) Conformemente all'articolo 42, paragrafo 1, del regolamento (UE) 2018/1725, il Garante europeo della protezione dei dati è stato consultato e ha formulato osservazioni formali il 29 aprile 2025.

15) Visti l'articolo 23 bis della direttiva 2004/109/CE, l'articolo 11 bis del regolamento (UE) n. 236/2012 del Parlamento europeo e del Consiglio (14) e l'articolo 21 bis del regolamento (UE) 2017/1129 del Parlamento europeo e del Consiglio (15), il presente regolamento dovrebbe applicarsi al più tardi a decorrere dal 10 luglio 2026,

HA ADOTTATO IL PRESENTE REGOLAMENTO: