RTS on notification of crypto-asset service provision

Afin d’éviter des interruptions d’activités, qui peuvent avoir des conséquences financières, réglementaires et de réputation majeures pour l’entité à l’origine de la notification et, plus généralement, les marchés de crypto-actifs, il est primordial de maintenir les activités ou, à tout le moins, les fonctions essentielles des prestataires de services sur crypto-actifs et de réduire au minimum les temps d’arrêt dus à des perturbations inattendues, y compris des cyberattaques et des catastrophes naturelles. Une notification devrait donc contenir des informations détaillées sur les dispositions prises par l’entité à l’origine de la notification pour garantir la continuité et la régularité de la fourniture de services sur crypto-actifs, y compris une description détaillée des risques auxquels elle peut être exposée et de ses plans de continuité des activités.

Des mécanismes, systèmes et procédures efficaces, conformes à la directive (UE) 2015/849 du Parlement européen et du Conseil(²)Directive (UE) 2015/849 du Parlement européen et du Conseil du 20 mai 2015 relative à la prévention de l’utilisation du système financier aux fins du blanchiment de capitaux ou du financement du terrorisme, modifiant le règlement (UE) n^o 648/2012 du Parlement européen et du Conseil et abrogeant la directive 2005/60/CE du Parlement européen et du Conseil et la directive 2006/70/CE de la Commission (JO L 141 du 5.6.2015, p. 73, ELI: http://data.europa.eu/eli/dir/2015/849/oj). sont nécessaires pour garantir que les entités à l’origine de la notification s’attaquent de manière appropriée aux risques et aux pratiques de blanchiment de capitaux et de financement du terrorisme dans le cadre de la fourniture de services sur crypto-actifs. Par conséquent, les entités à l’origine d’une notification devraient fournir, dans cette notification, des informations détaillées sur les mécanismes, systèmes et procédures qu’elles ont mis en place pour prévenir les risques liés à leurs activités commerciales en ce qui concerne, entre autres, la lutte contre le blanchiment de capitaux et le financement du terrorisme.

En raison de la nature décentralisée et numérique des crypto-actifs, les risques en matière de cybersécurité pour les prestataires de services sur crypto-actifs sont importants et prennent de nombreuses formes. Afin de garantir que l’entité à l’origine de la notification est en mesure de prévenir les violations de données et les pertes financières susceptibles d’être causées par des cyberattaques, les informations sur les systèmes de TIC déployés par l’entité à l’origine de la notification et les dispositifs de sécurité correspondants, notamment l’identité et la localisation géographique des prestataires de services, la description des activités externalisées ou les services TIC avec leurs principales caractéristiques et la copie des accords contractuels, telles que visées à l’article 60, paragraphe 7, point c), du règlement (UE) 2023/1114, devraient inclure les ressources humaines allouées à la gestion des risques en matière de cybersécurité.

La ségrégation des crypto-actifs et des fonds des clients protège ces derniers contre les pertes du prestataire de services sur crypto-actifs et contre l’utilisation abusive de leurs crypto-actifs et de leurs fonds. L’article 70 du règlement (UE) 2023/1114 impose donc aux prestataires de services sur crypto-actifs de prendre des dispositions adéquates pour protéger les droits de propriété des clients. Cette exigence s’applique également aux prestataires de services sur crypto-actifs qui ne fournissent pas de services de conservation et d’administration.

Afin de permettre aux autorités compétentes d’évaluer l’adéquation des règles de fonctionnement définies par l’entité à l’origine de la notification pour ses plates-formes de négociation de crypto-actifs, cette dernière devrait détailler certains éléments dans la description de ces règles. En particulier, elle devrait préciser les aspects des règles de fonctionnement relatifs à l’admission à la négociation, à la négociation elle-même et au règlement des crypto-actifs. En ce qui concerne l’admission à la négociation de crypto-actifs, l’entité à l’origine de la notification devrait fournir des informations détaillées sur la conformité des crypto-actifs admis avec ses règles, sur les types de crypto-actifs qu’elle n’admettra pas sur sa plate-forme de négociation et sur les raisons de ces exclusions, ainsi que sur les frais d’admission à la négociation. En ce qui concerne la négociation de crypto-actifs, l’entité à l’origine de la notification devrait préciser les éléments des règles de fonctionnement régissant l’exécution et l’annulation des ordres, la négociation ordonnée, la transparence et les enregistrements. Enfin, l’entité à l’origine de la notification devrait inclure dans la description de ses règles de fonctionnement les éléments régissant le règlement des transactions sur crypto-actifs conclues sur sa plate-forme de négociation, en indiquant notamment si ce règlement est initié à l’aide de la technologie des registres distribués (DLT pour «Distributed Ledger Technology»), le délai d’initiation de l’exécution, la définition du moment où le règlement est définitif, toutes les vérifications requises pour garantir le règlement effectif de la transaction et les mesures prises pour limiter les défauts de règlement.

Afin de permettre aux autorités compétentes d’évaluer l’adéquation de l’entité à l’origine de la notification pour la fourniture de certains services sur crypto-actifs tels que l’échange de crypto-actifs contre des fonds ou d’autres crypto-actifs, l’exécution, la fourniture de conseils en crypto-actifs ou la gestion de portefeuille de crypto-actifs et les services de transfert, l’entité à l’origine de la notification devrait préciser les modalités de fourniture de ces services sur crypto-actifs ainsi que les dispositifs mis en place pour garantir que ladite entité respecte les dispositions pertinentes du règlement (UE) 2023/1114 en ce qui concerne la fourniture de ces services sur crypto-actifs.

Tout traitement des données à caractère personnel au titre du présent règlement est conforme aux exigences du règlement (UE) 2016/679 du Parlement européen et du Conseil(³)Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) (JO L 119 du 4.5.2016, p. 1, ELI: http://data.europa.eu/eli/reg/2016/679/oj)..

Le présent règlement se fonde sur le projet de normes techniques de réglementation soumis à la Commission par l’Autorité européenne des marchés financiers (AEMF), qui a été élaboré en étroite coopération avec l’Autorité bancaire européenne.

L’AEMF a procédé à des consultations publiques ouvertes sur le projet de normes techniques de réglementation sur lequel se fonde le présent règlement, analysé les coûts et avantages potentiels qu’il implique et sollicité l’avis du groupe des parties intéressées au secteur financier institué en application de l’article 37 du règlement (UE) n^o 1095/2010 du Parlement européen et du Conseil(⁴)Règlement (UE) n^o 1095/2010 du Parlement européen et du Conseil du 24 novembre 2010 instituant une Autorité européenne de surveillance (Autorité européenne des marchés financiers), modifiant la décision n^o 716/2009/CE et abrogeant la décision 2009/77/CE de la Commission (JO L 331 du 15.12.2010, p. 84, ELI: http://data.europa.eu/eli/reg/2010/1095/oj)..

Le Contrôleur européen de la protection des données a été consulté conformément à l’article 42, paragraphe 1, du règlement (UE) 2018/1725 du Parlement européen et du Conseil(⁵)Règlement (UE) 2018/1725 du Parlement européen et du Conseil du 23 octobre 2018 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel par les institutions, organes et organismes de l’Union et à la libre circulation de ces données, et abrogeant le règlement (CE) n^o 45/2001 et la décision n^o 1247/2002/CE (JO L 295 du 21.11.2018, p. 39, ELI: http://data.europa.eu/eli/reg/2018/1725/oj). et fait part de ses observations formelles le 21 juin 2024,