Regolamento (UE) n. 910/2014 del Parlamento europeo e del Consiglio del 23 luglio 2014 in materia di identificazione elettronica e servizi fiduciari per le transazioni elettroniche nel mercato interno e che abroga la direttiva 1999/93/CE
Testo vigente
Sezione 2. Regimi di identificazione elettronica
Art. 6 Riconoscimento reciproco
1.
Ove il diritto o la prassi amministrativa nazionale richiedano l’impiego di un’identificazione elettronica mediante mezzi di identificazione e autenticazione elettroniche per accedere a un servizio prestato da un organismo del settore pubblico online in uno Stato membro, i mezzi di identificazione elettronica rilasciati in un altro Stato membro sono riconosciuti nel primo Stato membro ai fini dell’autenticazione transfrontaliera di tale servizio online, purché soddisfino le seguenti condizioni:
a) i mezzi di identificazione elettronica sono rilasciati nell’ambito di un regime di identificazione elettronica compreso nell’elenco pubblicato dalla Commissione a norma dell’articolo 9;
b) il livello di garanzia dei mezzi di identificazione elettronica corrisponde a un livello di garanzia pari o superiore al livello di garanzia richiesto dall’organismo del settore pubblico competente per accedere al servizio online in questione nel primo Stato membro, sempre che il livello di garanzia di tali mezzi di identificazione elettronica corrisponda al livello di garanzia significativo o elevato;
c) l’organismo del settore pubblico competente usa il livello di garanzia significativo o elevato in relazione all’accesso a tale servizio online.
Tale riconoscimento ha luogo non oltre 12 mesi dalla data in cui la Commissione pubblica l’elenco i di cui alla lettera a), primo comma.
2. Un mezzo di identificazione elettronica rilasciato nell’ambito di un regime di identificazione elettronica compreso nell’elenco pubblicato dalla Commissione a norma dell’articolo 9 e che corrisponde al livello di garanzia basso può essere riconosciuto dagli organismi del settore pubblico ai fini dell’autenticazione transfrontaliera del servizio prestato online da tali organismi.
Art. 7 Ammissibilità alla notifica dei regimi di identificazione elettronica
Un regime di identificazione elettronica è ammesso alla notifica ai sensi dell’articolo 9, paragrafo 1, purché soddisfi tutte le seguenti condizioni:
a) i mezzi di identificazione elettronica nell’ambito del regime di identificazione elettronica sono rilasciati:
i) dallo Stato membro notificante;
ii) su incarico dello Stato membro notificante; o
iii) a titolo indipendente dallo Stato membro notificante e sono riconosciuti da tale Stato membro;
b) i mezzi di identificazione elettronica nell’ambito del regime di identificazione elettronica possono essere utilizzati per accedere almeno a un servizio che è fornito da un organismo del settore pubblico e che richiede l’identificazione elettronica nello Stato membro notificante;
c) il regime di identificazione elettronica e i mezzi di identificazione elettronica rilasciati conformemente alle sue disposizioni soddisfano i requisiti di almeno uno dei livelli di garanzia stabiliti nell’atto di esecuzione di cui all’articolo 8, paragrafo 3;
d) lo Stato membro notificante garantisce che i dati di identificazione personale che rappresentano unicamente la persona in questione siano attribuiti, conformemente alle specifiche tecniche, norme e procedure relative al pertinente livello di garanzia definito nell’atto di esecuzione di cui all’articolo 8, paragrafo 3, alla persona fisica o giuridica di cui all’articolo 3, punto 1, al momento in cui è rilasciata l’identificazione elettronica nell’ambito di detto regime;
e) la parte che rilascia i mezzi di identificazione elettronica nell’ambito di detto regime assicura che i mezzi di identificazione elettronica siano attribuiti alla persona di cui alla lettera d) del presente articolo conformemente alle specifiche, norme e procedure tecniche relative al pertinente livello di garanzia definito nnell’atto di esecuzione di cui all’articolo 8, paragrafo 3;
f) lo Stato membro notificante garantisce la disponibilità dell’autenticazione online, per consentire alle parti facenti affidamento sulla certificazione stabilite nel territorio di un altro Stato membro di confermare i dati di identificazione personale che hanno ricevuto in forma elettronica. Per le parti facenti affidamento sulla certificazione diverse dagli organismi del settore pubblico, lo Stato membro notificante può definire i termini di accesso a tale autenticazione. Quando l’autenticazione transfrontaliera è effettuata in relazione a un servizio online prestato da un organismo del settore pubblico, essa è fornita a titolo gratuito. Gli Stati membri non impongono alcun requisito tecnico specifico sproporzionato alle parti facenti affidamento sulla certificazione che intendono effettuare tale autenticazione, qualora tali requisiti impediscano o ostacolino notevolmente l’interoperabilità dei regimi di identificazione elettronica notificati;
g) almeno sei mesi prima della notifica di cui all’articolo 9, paragrafo 1, lo Stato membro notificante fornisce agli altri Stati membri, ai fini dell’articolo 12, paragrafo 5, una descrizione di tale regime conformemente alle modalità procedurali stabilite dagli atti di esecuzione adottati a norma dell’articolo 12, paragrafo 6;
h) il regime di identificazione elettronica soddisfa i requisiti definiti nell’atto di esecuzione di cui all’articolo 12, paragrafo 8.
Art. 8 Livelli di garanzia dei regimi di identificazione elettronica
1. Un regime di identificazione elettronica notificato a norma dell’articolo 9, paragrafo 1, specifica livelli di garanzia basso, significativo e/o elevato per i mezzi di identificazione elettronica rilasciati nell’ambito di detto regime.
2. I livelli di garanzia basso, significativo e elevato soddisfano rispettivamente i seguenti criteri:
a) il livello di garanzia basso si riferisce a mezzi di identificazione elettronica nel contesto di un regime di identificazione elettronica che fornisce un grado di sicurezza limitato riguardo all’identità pretesa o dichiarata di una persona ed è caratterizzato in riferimento a specifiche, norme e procedure tecniche a esso pertinenti, compresi controlli tecnici, il cui scopo è quello di ridurre il rischio di uso abusivo o alterazione dell’identità;
b) il livello di garanzia significativo si riferisce a mezzi di identificazione elettronica nel contesto di un regime di identificazione elettronica che fornisce un grado di sicurezza significativo riguardo all’identità pretesa o dichiarata di una persona ed è caratterizzato in riferimento a specifiche, norme e procedure tecniche a esso pertinenti, compresi controlli tecnici, il cui scopo è quello di ridurre significativamente il rischio di uso abusivo o alterazione dell’identità;
c) il livello di garanzia elevato si riferisce a un mezzo di identificazione elettronica nel contesto di un regime di identificazione elettronica che fornisce riguardo all’identità pretesa o dichiarata di una persona un grado di sicurezza più elevato dei mezzi di identificazione elettronica aventi un livello di garanzia significativo ed è caratterizzato in riferimento a specifiche, norme e procedure tecniche a esso pertinenti, compresi controlli tecnici, il cui scopo è quello di impedire l’uso abusivo o l’alterazione dell’identità.
3.
Entro il 18 settembre 2015, tenendo conto delle norme internazionali pertinenti e fatto salvo il paragrafo 2, la Commissione, mediante atti di esecuzione, definisce le specifiche, norme e procedure tecniche minime in riferimento alle quali sono specificati i livelli di garanzia basso, significativo e elevato dei mezzi di identificazione elettronica.;
Le suddette specifiche, norme e procedure tecniche minime sono fissate facendo riferimento all’affidabilità e alla qualità dei seguenti elementi:
a) della procedura di controllo e verifica dell’identità delle persone fisiche o giuridiche che chiedono il rilascio dei mezzi di identificazione elettronica;
b) della procedura di rilascio dei mezzi di identificazione elettronica richiesti;
c) del meccanismo di autenticazione mediante il quale la persona fisica o giuridica usa i mezzi di identificazione elettronica per confermare la propria identità a una parte facente affidamento sulla certificazione;
d) dell’entità che rilascia i mezzi di identificazione elettronica;
e) di qualsiasi altro organismo implicato nella domanda di rilascio dei mezzi di identificazione elettronica; e
f) delle specifiche tecniche e di sicurezza dei mezzi di identificazione elettronica rilasciati.
Tali atti di esecuzione sono adottati secondo la procedura d’esame di cui all’articolo 48, paragrafo 2.
Art. 9 Notifica
1. Lo Stato membro notificante rende note alla Commissione le informazioni seguenti e, senza indugio, qualsiasi loro successiva modifica:
a) una descrizione del regime di identificazione elettronica, con indicazione dei suoi livelli di garanzia e della o delle entità che rilasciano i mezzi di identificazione elettronica nell’ambito del regime;
b) il regime di vigilanza e il regime di informazioni sulla responsabilità applicabili per quanto riguarda:
i) la parte che rilascia i mezzi di identificazione elettronica; e
ii) la parte che gestisce la procedura di autenticazione;
c) l’autorità o le autorità responsabili del regime di identificazione elettronica;
d) informazioni sull’entità o sulle entità che gestiscono la registrazione dei dati unici di identificazione personale;
e) una descrizione di come sono soddisfatti i requisiti definiti negli atti di esecuzione di cui all’articolo 12, paragrafo 8;
f) una descrizione dell’autenticazione di cui all’articolo 7, lettera f);
g) disposizioni per la sospensione o la revoca del regime di identificazione elettronica notificato o dell’autenticazione oppure di parti compromesse dell’uno o dell’altra.
2. La Commissione pubblica nella Gazzetta ufficiale dell’Unione europea, senza indebito ritardo, un elenco dei regimi di identificazione elettronica notificati a norma del paragrafo 1 congiuntamente alle informazioni fondamentali su tali regimi.
3. La Commissione pubblica nella Gazzetta ufficiale dell’Unione europea le modifiche dell’elenco di cui al paragrafo 2 entro un mese dalla ricezione delle notifiche.
4. Uno Stato membro può presentare alla Commissione una richiesta di eliminazione del regime di identificazione elettronica da esso notificato dall’elenco di cui al paragrafo 2. La Commissione pubblica nella Gazzetta ufficiale dell’Unione europea le corrispondenti modifiche dell’elenco entro un mese dalla data di ricezione della richiesta dello Stato membro.
5. La Commissione può, mediante atti di esecuzione, definire le circostanze, i formati e le procedure delle notifiche a norma del paragrafo 1. Tali atti di esecuzione sono adottati secondo la procedura d’esame di cui all’articolo 48, paragrafo 2.
Art. 10 Violazione della sicurezza dei regimi di identificazione elettronica
1. In caso di violazione o parziale compromissione del regime di identificazione elettronica notificato ai sensi dell’articolo 9, paragrafo 1, o dell’autenticazione di cui all’articolo 7, lettera f), con limitazione dell’affidabilità dell’autenticazione transfrontaliera di tale regime, lo Stato membro notificante senza indugio sospende o revoca tale autenticazione transfrontaliera o le sue parti compromesse e ne informa gli altri Stati membri e la Commissione.
2. Una volta posto rimedio alla violazione o alla compromissione di cui al paragrafo 1, lo Stato membro notificante ristabilisce l’autenticazione transfrontaliera e informa senza indugio gli altri Stati membri e la Commissione.
3.
Qualora non sia posto rimedio alla violazione o alla compromissione di cui al paragrafo 1 entro tre mesi dalla sospensione o dalla revoca, lo Stato membro notificante notifica agli altri Stati membri e alla Commissione il ritiro del regime di identificazione elettronica.
La Commissione pubblica senza indebito ritardo le corrispondenti modifiche dell’elenco di cui all’articolo 9, paragrafo 2, nella Gazzetta ufficiale dell’Unione europea.
Art. 11 Responsabilità
1. Lo Stato membro notificante è responsabile per i danni causati, con dolo o per negligenza, a qualsiasi persona fisica o giuridica in seguito al mancato adempimento dei suoi obblighi di cui all’articolo 7, lettere d) e f), in una transazione transfrontaliera.
2. La parte che rilascia i mezzi di identificazione elettronica è responsabile di danni causati con dolo o per negligenza a qualsiasi persona fisica o giuridica in seguito al mancato adempimento dell’obbligo di cui all’articolo 7, lettera e), in una transazione transfrontaliera.
3. La parte che gestisce la procedura di autenticazione è responsabile di danni causati con dolo o per negligenza a qualsiasi persona fisica o giuridica per non avere garantito la corretta gestione dell’autenticazione di cui all’articolo 7, lettera f), in una transazione transfrontaliera.
4. I paragrafi 1, 2 e 3 si applicano conformemente alle norme nazionali in materia di responsabilità.
5. I paragrafi 1, 2 e 3 lasciano impregiudicata la responsabilità conformemente al diritto nazionale delle parti di una transazione in cui sono utilizzati mezzi di identificazione elettronica che rientrano nel regime di identificazione elettronica notificato a norma dell’articolo 9, paragrafo 1.
Art. 11 bis Corrispondenza dell’identità a livello transfrontaliero
1. Quando fungono da parti facenti affidamento sulla certificazione per i servizi transfrontalieri, gli Stati membri garantiscono una corrispondenza univoca dell’identità delle persone fisiche che utilizzano mezzi di identificazione elettronica notificati o i portafogli europei di identità digitale.
2. Gli Stati membri prevedono misure tecniche e organizzative per garantire un livello elevato di protezione dei dati personali utilizzati per la corrispondenza dell’identità e per prevenire la profilazione degli utenti.
3. Entro il 21 novembre 2024 la Commissione stabilisce un elenco di norme di riferimento e, se necessario, stabilisce specifiche e procedure applicabili ai requisiti di cui al paragrafo 1 del presente articolo mediante atti di esecuzione. Tali atti di esecuzione sono adottati secondo la procedura d’esame di cui all’articolo 48, paragrafo 2.
Art. 12 Interoperabilità
1. I regimi nazionali di identificazione elettronica notificati a norma dell’articolo 9, paragrafo 1, sono interoperabili.
2. È istituito un quadro di interoperabilità ai fini del paragrafo 1.
3. Il quadro di interoperabilità risponde ai seguenti criteri:
a) mira a essere neutrale dal punto di vista tecnologico e non comporta discriminazioni tra specifiche soluzioni tecniche nazionali per l’identificazione elettronica all’interno di uno Stato membro;
b) segue, ove possibile, le norme europee e internazionali;
c) facilita l’applicazione della tutela della vita privata e della sicurezza fin dalla progettazione;
d)
4. Il quadro di interoperabilità è composto da:
a) un riferimento ai requisiti tecnici minimi connessi ai livelli di garanzia di cui all’articolo 8;
b) una mappatura dei livelli di garanzia nazionali dei regimi di identificazione elettronica notificati in base ai livelli di garanzia di cui all’articolo 8;
c) un riferimento ai requisiti tecnici minimi di interoperabilità;
d) un riferimento a un insieme minimo di dati di identificazione personale necessari a rappresentare in modo univoco una persona fisica o giuridica, una persona fisica che rappresenta un’altra persona fisica o una persona giuridica disponibile nell’ambito dei regimi di identificazione elettronica;
e) norme di procedura;
f) disposizioni per la risoluzione delle controversie; e
g) norme di sicurezza operativa comuni.
5. Gli Stati membri effettuano valutazioni tra pari dei regimi di identificazione elettronica che rientrano nell’ambito di applicazione del presente regolamento e che devono essere notificati a norma dell’articolo 9, paragrafo 1, lettera a).
6. Entro il 18 marzo 2025 la Commissione, mediante atti di esecuzione, fissa le modalità procedurali necessarie per le valutazioni tra pari di cui al paragrafo 5 del presente articolo, al fine di promuovere un elevato livello di fiducia e di sicurezza, commisurato al grado di rischio esistente. Tali atti di esecuzione sono adottati secondo la procedura d’esame di cui all’articolo 48, paragrafo 2.
8. Entro il 18 settembre 2025, al fine di garantire condizioni uniformi di esecuzione del requisito di cui al paragrafo 1 del presente articolo, la Commissione, fatti salvi i criteri di cui al paragrafo 3 del presente articolo e tenendo conto dei risultati della cooperazione fra gli Stati membri, adotta atti di esecuzione sul quadro di interoperabilità quale definito al paragrafo 4 del presente articolo. Tali atti di esecuzione sono adottati secondo la procedura d’esame di cui all’articolo 48, paragrafo 2.
9. Gli atti di esecuzione di cui a paragrafi 7 e 8 sono adottati secondo la procedura d’esame di cui all’articolo 48, paragrafo 2.
Art. 12 bis Certificazione dei regimi di identificazione elettronica
1. La conformità ai requisiti di cibersicurezza di cui al presente regolamento dei regimi di identificazione elettronica da notificare, compresa la conformità ai pertinenti requisiti di cibersicurezza di cui all’articolo 8, paragrafo 2, per quanto riguarda i livelli di garanzia dei regimi di identificazione elettronica, è certificata dagli organismi di valutazione della conformità designati dagli Stati membri.
2. La certificazione ai sensi del paragrafo 1 del presente articolo è effettuata nell’ambito di un pertinente sistema di certificazione della cibersicurezza a norma del regolamento (UE) 2019/881, o di parti di esso, nella misura in cui il certificato di cibersicurezza o parti di esso contemplino tali requisiti di cibersicurezza.
3. La certificazione di cui al paragrafo 1 è valida per un periodo massimo di cinque anni, a condizione che sia effettuata una valutazione delle vulnerabilità ogni due anni. Qualora sia individuata una vulnerabilità a cui non è posto rimedio entro tre mesi dall’individuazione, la certificazione è annullata.
4. Fatto salvo il paragrafo 2, gli Stati membri possono, conformemente a tale paragrafo, chiedere a uno Stato membro notificante informazioni supplementari sui regimi di identificazione elettronica, o su parti di essi, certificati.
5. La valutazione tra pari dei regimi di identificazione elettronica di cui all’articolo 12, paragrafo 5, non si applica ai regimi di identificazione elettronica, o a parti di essi, certificati conformemente al paragrafo 1 del presente articolo. Gli Stati membri possono utilizzare un certificato o una dichiarazione di conformità, rilasciati conformemente a un pertinente sistema di certificazione o a parti di esso, ai requisiti non relativi alla cibersicurezza di cui all’articolo 8, paragrafo 2, per quanto riguarda il livello di garanzia dei regimi di identificazione elettronica.
6. Gli Stati membri comunicano alla Commissione i nomi e gli indirizzi degli organismi di valutazione della conformità di cui al paragrafo 1. La Commissione mette tali informazioni a disposizione di tutti gli Stati membri.
Art. 12 ter Accesso a componenti hardware e software
Se i fornitori di portafogli europei di identità digitale e gli emittenti di mezzi di identificazione elettronica notificati che agiscono a titolo commerciale o professionale e utilizzano i servizi di piattaforma di base definiti all’articolo 2, punto 2, del regolamento (UE) 2022/1925 del Parlamento europeo e del Consiglio7 ai fini della fornitura, agli utenti finali, di servizi del portafoglio europeo di identità digitale e di mezzi di identificazione elettronica, o nello svolgimento di tale attività, sono utenti commerciali ai sensi dell’articolo 2, punto 21, di tale regolamento, i gatekeeper consentono loro, in particolare, l’effettiva interoperabilità, nonché l’accesso, ai fini dell’interoperabilità, allo stesso sistema operativo e alle stesse componenti hardware o software. Tale interoperabilità effettiva e tale accesso sono consentiti a titolo gratuito e indipendentemente dal fatto che le componenti hardware o software che sono disponibili per il gatekeeper, o da esso utilizzati, al momento della fornitura di tali servizi, siano parte del sistema operativo, ai sensi dell’articolo 6, paragrafo 7, del regolamento (UE) 2022/1925. Il presente articolo non pregiudica l’articolo 5 bis, paragrafo 14, del presente regolamento.
Capo III. Servizi fiduciari
Sezione 1. Disposizioni generali
Art. 13 Responsabilità e onere della prova
1.
Fatti salvi il paragrafo 2 del presente articolo e il regolamento (UE) 2016/679, i prestatori di servizi fiduciari sono responsabili dei danni causati, con dolo o per negligenza, a qualsiasi persona fisica o giuridica in seguito a un mancato adempimento degli obblighi ai sensi del presente regolamento. Qualsiasi persona fisica o giuridica che abbia subito un danno materiale o immateriale a seguito di una violazione del presente regolamento da parte di un prestatore di servizi fiduciari ha il diritto di chiedere un risarcimento conformemente al diritto dell’Unione e nazionale.
L’onere di dimostrare il dolo o la negligenza di un prestatore di servizi fiduciari non qualificato ricade sulla persona fisica o giuridica che denuncia il danno di cui al primo comma.
Si presume il dolo o la negligenza da parte di un prestatore di servizi fiduciari qualificato, salvo che questi dimostri che il danno di cui al primo comma si è verificato senza suo dolo o sua negligenza.
2. Se i prestatori di servizi fiduciari informano debitamente e preventivamente i loro clienti delle limitazioni d’uso dei servizi da essi forniti e se tali limitazioni sono riconoscibili da parte di terzi, non sono responsabili dei danni che derivano dall’utilizzo di servizi oltre i limiti indicati.
3. I paragrafi 1 e 2 si applicano conformemente alle norme nazionali in materia di responsabilità.
Art. 14 Aspetti internazionali
1.
I servizi fiduciari prestati da prestatori di servizi fiduciari stabiliti in un paese terzo o da un’organizzazione internazionale sono riconosciuti giuridicamente equivalenti ai servizi fiduciari qualificati prestati da prestatori di servizi fiduciari qualificati stabiliti nell’Unione qualora i servizi fiduciari aventi origine nel paese terzo o dall’ organizzazione internazionale siano riconosciuti mediante atti di esecuzione o un accordo concluso fra l’Unione e il paese terzo o l’organizzazione internazionale a norma dell’articolo 218 TFUE.
Gli atti di esecuzione di cui al primo comma sono adottati secondo la procedura d’esame di cui all’articolo 48, paragrafo 2.
2. Gli atti di esecuzione e l’accordo di cui al paragrafo 1 garantiscono che i requisiti che si applicano ai prestatori di servizi fiduciari qualificati stabiliti nell’Unione e ai servizi fiduciari qualificati da essi forniti siano soddisfatti dai prestatori di servizi fiduciari nel paese terzo interessato o dall’organizzazione internazionale, nonché dai servizi fiduciari da essi forniti. In particolare, i paesi terzi e le organizzazioni internazionali istituiscono, mantengono e pubblicano un elenco di fiducia dei prestatori di servizi fiduciari riconosciuti.
3. L’accordo di cui al paragrafo 1 garantiscono che i servizi fiduciari qualificati forniti da prestatori di servizi fiduciari qualificati stabiliti nell’Unione siano riconosciuti come giuridicamente equivalenti ai servizi fiduciari forniti da prestatori di servizi fiduciari nel paese terzo o dall’organizzazione internazionale con cui è concluso l’accordo.
Art. 15 Accessibilità per le persone con disabilità ed esigenze particolari
La fornitura di mezzi di identificazione elettronica, di servizi fiduciari e di prodotti destinati all’utente finale impiegati per la prestazione di tali servizi è resa disponibile in un linguaggio semplice e comprensibile, conformemente alla Convenzione delle Nazioni Unite sui diritti delle persone con disabilità e ai requisiti di accessibilità di cui alla direttiva (UE) 2019/882, recando in tal modo beneficio anche alle persone con limitazioni funzionali, come le persone anziane, e alle persone con un accesso limitato alle tecnologie digitali.
Art. 16 Sanzioni
1. Fatto salvo l’articolo 31 della direttiva (UE) 2022/2555 del Parlamento europeo e del Consiglio8, gli Stati membri stabiliscono le norme relative alle sanzioni applicabili in caso di violazioni del presente regolamento. Tali sanzioni sono effettive, proporzionate e dissuasive.
2. Gli Stati membri provvedono affinché tali violazioni del presente regolamento da parte di prestatori di servizi fiduciari qualificati e non qualificati siano soggette a sanzioni amministrative pari a un importo massimo di almeno:
a) EUR 5000000 se il prestatore di servizi fiduciari è una persona fisica; oppure
b) se il prestatore di servizi fiduciari è una persona giuridica, EUR 5000000 o pari all’1 % del fatturato mondiale totale annuo dell’impresa a cui apparteneva il prestatore di servizi fiduciari nell’esercizio precedente l’anno in cui si è verificata la violazione, se superiore.
3. A seconda dell’ordinamento giuridico degli Stati membri, le regole in materia di sanzioni amministrative possono essere applicate in modo tale ch’ l’azione sanzionatoria sia avviata dall’organismo di vigilanza competente e la sanzione pecuniaria sia irrogata dai tribunali nazionali competenti’ L’applicazione di tali regole in tali Stati membri garantisce che tali mezzi di ricorso siano efficaci e abbiano un effetto equivalente alle sanzioni amministrative imposte direttamente dalle autorità di controllo.
Sezione 2. Servizi fiduciari non qualificati
Art. 17 Organismo di vigilanza
Art. 18 Assistenza reciproca
Art. 19 Requisiti di sicurezza relativi ai prestatori di servizi fiduciari
Art. 19 bis Requisiti per i prestatori di servizi fiduciari non qualificati
1. Un prestatore di servizi fiduciari non qualificato che presta servizi fiduciari non qualificati:
a) dispone di politiche adeguate e adotta misure corrispondenti per la gestione dei rischi giuridici, commerciali, operativi e di altro tipo, sia diretti che indiretti, per la prestazione del servizio fiduciario non qualificato, le quali, fatto salvo l’articolo 21 della direttiva (UE) 2022/2555, comprendono almeno misure relative:
i) alla registrazione a un servizio fiduciario e alle relative procedure di onboarding;
ii) ai controlli procedurali o amministrativi necessari per prestare servizi fiduciari;
iii) alla gestione e all’attuazione dei servizi fiduciari;
b) alla notifica, senza indebito ritardo ma in ogni caso entro 24 ore dall’essere venuto a conoscenza di violazioni della sicurezza o perturbazioni, all’organismo di vigilanza, alle persone interessate identificabili, al pubblico se è di pubblico interesse e, ove applicabile, ad altre autorità competenti interessate, di tutte le eventuali violazioni della sicurezza o perturbazioni connesse alla prestazione del servizio o all’attuazione delle misure di cui alla lettera a), punti i), ii) o iii), aventi un impatto significativo sui servizi fiduciari prestati o sui dati personali ivi custoditi.
2. Entro il 21 maggio 2025 la Commissione, mediante atti di esecuzione, stabilisce un elenco di norme di riferimento e, se necessario, stabilisce specifiche e procedure applicabili al paragrafo 1, lettera a), del presente articolo. Si presume che i requisiti di cui al presente articolo siano stati rispettati, ove siano rispettate tali norme, specifiche e procedure. Tali atti di esecuzione sono adottati secondo la procedura d’esame di cui all’articolo 48, paragrafo 2.
Sezione 3. Servizi fiduciari qualificati
Art. 20 Vigilanza dei prestatori di servizi fiduciari qualificati
1. I prestatori di servizi fiduciari qualificati sono sottoposti, a proprie spese e almeno ogni 24 mesi, a una verifica da parte di un organismo di valutazione della conformità. Lo scopo della verifica è confermare che i prestatori di servizi fiduciari qualificati e i servizi fiduciari qualificati da essi prestati rispettano i requisiti di cui al presente regolamento e all’articolo 21 della direttiva (UE) 2022/2555. I prestatori di servizi fiduciari qualificati presentano la risultante relazione di valutazione della conformità all’organismo di vigilanza entro tre giorni lavorativi dalla sua ricezione.
1 bis. I prestatori di servizi fiduciari qualificati informano l’organismo di vigilanza al più tardi un mese prima di qualsiasi verifica programmata e consentono all’organismo di vigilanza di partecipare, su richiesta, in qualità di osservatore.
1 ter. Gli Stati membri notificano senza indebito ritardo alla Commissione i nomi, gli indirizzi e i dettagli relativi all’accreditamento degli organismi di valutazione della conformità di cui al paragrafo 1 e qualsiasi successiva modifica degli stessi. La Commissione mette tali informazioni a disposizione di tutti gli Stati membri.
2. Fatto salvo il paragrafo 1, l’organismo di vigilanza può, in qualsiasi momento, condurre una verifica o chiedere a un organismo di valutazione della conformità di eseguire una valutazione di conformità dei prestatori di servizi fiduciari qualificati, a spese di tali prestatori di servizi fiduciari, per confermare che essi e i servizi fiduciari qualificati da essi prestati rispondono ai requisiti di cui al presente regolamento. Qualora siano state rilevate violazioni delle norme in materia di protezione dei dati personali’ l’organismo di vigilanza informa senza indebito ritardo le autorità di controllo competenti a norma del regolamento (UE) 2016/679.
3.
Qualora il prestatore di servizi fiduciari qualificato non soddisfi uno qualsiasi dei requisiti di cui al presente regolamento l’organismo di vigilanza gli impone di rimediare entro un termine stabilito, ove applicabile.
Qualora tale prestatore non rimedi e, ove applicabile, non rispetti il termine fissato dall’organismo di vigilanza, quest’ultimo, se ciò è giustificato in particolare dalla portata, dalla durata e dalle conseguenze di tale inadempienza, revoca la qualifica di tale prestatore o del servizio interessato da esso prestato.
3 bis. Qualora le autorità competenti designate o istituite a norma dell’articolo 8, paragrafo 1, della direttiva (UE) 2022/2555 informino l’organismo di vigilanza del fatto che il fornitore di servizi fiduciari qualificati non soddisfa uno qualsiasi dei requisiti di cui all’articolo 21 di tale direttiva, l’organismo di vigilanza, se ciò è giustificato in particolare dalla portata, dalla durata e dalle conseguenze di tale inadempienza, revoca la qualifica di tale prestatore o del servizio interessato da esso prestato.
3 ter. Qualora le autorità di vigilanza istituite a norma dell’articolo 51 del regolamento (UE) 2016/679 informino l’organismo di vigilanza del fatto che il fornitore di servizi fiduciari qualificati non soddisfa uno qualsiasi dei requisiti di cui a tale regolamento, l’organismo di vigilanza, se ciò è giustificato in particolare dalla portata, dalla durata e dalle conseguenze di tale inadempienza, revoca la qualifica di tale prestatore o del servizio interessato da esso prestato.
3 quater. L’organismo di vigilanza comunica al prestatore di servizi fiduciari qualificato la revoca della sua qualifica o della qualifica del servizio interessato L’organismo di vigilanza informa l’organismo notificato a norma dell’articolo 22, paragrafo 3, del presente regolamento ai fini dell’aggiornamento degli elenchi di fiducia di cui al paragrafo 1 di tale articolo e l’autorità competente designata o istituita a norma dell’articolo 8, paragrafo 1, della direttiva (UE) 2022/2555.
4.
Entro il 21 maggio 2025 la Commissione, mediante atti di esecuzione, stabilisce un elenco di norme di riferimento e, se necessario, stabilisce specifiche e procedure riguardo a quanto segue:
a) l’accreditamento degli organismi di valutazione della conformità e la relazione di valutazione della conformità di cui al paragrafo 1;
b) i requisiti di verifica in base ai quali gli organismi di valutazione della conformità effettueranno le loro valutazioni della conformità, comprese valutazioni composite, dei prestatori di servizi fiduciari qualificati di cui al paragrafo 1;
c) i regimi di valutazione della conformità per l’esecuzione della valutazione della conformità dei prestatori di servizi fiduciari qualificati da parte degli organismi di valutazione della conformità e per la presentazione della relazione di cui al paragrafo 1.
Tali atti di esecuzione sono adottati secondo la procedura d’esame di cui all’articolo 48, paragrafo 2.
Art. 21 Avviamento di un servizio fiduciario qualificato
1. Qualora i prestatori di servizi fiduciari intendano avviare la prestazione di un servizio fiduciario qualificato, notificano all’organismo di vigilanza la loro intenzione insieme a una relazione di valutazione della conformità rilasciata da un organismo di valutazione della conformità che conferma il rispetto dei requisiti di cui al presente regolamento e all’articolo 21 della direttiva (UE) 2022/2555.
2.
L’organismo di vigilanza verifica se il prestatore di servizi fiduciari e i servizi fiduciari da esso prestati rispettano i requisiti di cui al presente regolamento e, in particolare, i requisiti per i prestatori di servizi fiduciari qualificati e per i servizi fiduciari qualificati da essi prestati.
Al fine di verificare il rispetto dei requisiti di cui all’articolo 21 della direttiva (UE) 2022/2555 da parte del prestatore di servizi fiduciari, l’organismo di vigilanza chiede alle autorità competenti designate o stabilite a norma dell’articolo 8, paragrafo 1, di tale direttiva di svolgere azioni di vigilanza in tal senso e di fornire informazioni sui risultati senza indebito ritardo e in ogni caso entro due mesi dal ricevimento della richiesta. Se la verifica non si è conclusa entro due mesi dalla notifica, tali autorità competenti ne informano l’organismo di vigilanza specificando i motivi del ritardo e il periodo necessario per concludere la verifica.
Se conclude che il prestatore di servizi fiduciari e i servizi fiduciari da esso prestati rispettano i requisiti di cui al presente regolamento, l’organismo di vigilanza concede la qualifica al prestatore di servizi fiduciari e ai servizi fiduciari da esso prestati e informa l’organismo di cui all’articolo 22, paragrafo 3, affinché aggiorni gli elenchi di fiducia di cui all’articolo 22, paragrafo 1, entro tre mesi dalla notifica conformemente al paragrafo 1 del presente articolo.
Se la verifica non si è conclusa entro tre mesi dalla notifica, l’organismo di vigilanza ne informa il prestatore di servizi fiduciari specificando i motivi del ritardo e il periodo necessario per concludere la verifica.
3. I prestatori di servizi fiduciari qualificati possono iniziare a prestare il servizio fiduciario qualificato dopo che la qualifica è stata registrata negli elenchi di fiducia di cui all’articolo 22, paragrafo 1.
4. Entro il 21 maggio 2025 la Commissione, mediante atti di esecuzione, stabilisce i formati e le procedure relativi alla notifica e alla verifica ai fini dei paragrafi 1 e 2 del presente articolo. Tali atti di esecuzione sono adottati secondo la procedura d’esame di cui all’articolo 48, paragrafo 2.
Art. 22 Elenchi di fiducia
1. Tutti gli Stati membri istituiscono, mantengono e pubblicano elenchi di fiducia, che includono le informazioni relative ai prestatori di servizi fiduciari qualificati per i quali sono responsabili, unitamente a informazioni relative ai servizi fiduciari qualificati da essi prestati.
2. Gli Stati membri istituiscono, mantengono e pubblicano, in modo sicuro, gli elenchi di fiducia di cui al paragrafo 1, firmati o sigillati elettronicamente in una forma adatta al trattamento automatizzato.
3. Gli Stati membri notificano alla Commissione, senza indugio, informazioni sull’organismo responsabile dell’istituzione, del mantenimento e della pubblicazione degli elenchi nazionali di fiducia, precisando dove gli elenchi sono pubblicati, e sui certificati utilizzati per firmare o sigillare tali elenchi di fiducia e le eventuali modifiche apportate.
4. La Commissione rende pubbliche, attraverso un canale sicuro, le informazioni di cui al paragrafo 3 in forma firmata o sigillata elettronicamente e adatta al trattamento automatizzato.
5. Entro il 18 settembre 2015, la Commissione, mediante atti di esecuzione, specifica le informazioni di cui al paragrafo 1 e definisce le specifiche tecniche e i formati per gli elenchi di fiducia applicabili ai fini dei paragrafi da 1 a 4. Tali atti di esecuzione sono adottati secondo la procedura d’esame di cui all’articolo 48, paragrafo 2.