Règlement délégué (UE) 2025/1143 de la Commission du 12 juin 2025 complétant le règlement (UE) no 600/2014 du Parlement européen et du Conseil par des normes techniques de réglementation sur les exigences en matière d’agrément et d’organisation applicables aux dispositifs de publication agréés et aux mécanismes de déclaration agréés, et sur les exigences en matière d’agrément applicables aux fournisseurs de système consolidé de publication, et abrogeant le règlement délégué (UE) 2017/571 de la Commission

(1)

Selon la définition de l’article 2, paragraphe 1, point 36 bis), du règlement (UE) no 600/2014, les prestataires de services de communication de données comprennent les dispositifs de publication agréés (APA), les mécanismes de déclaration agréés (ARM) et les fournisseurs de système consolidé de publication (CTP). Bien que ces types d’entités n’exercent pas les mêmes activités de communication de données, le règlement (UE) no 600/2014 et le règlement délégué (UE) 2017/571 de la Commission (2) prévoyaient une procédure d’agrément similaire. Le règlement (UE) 2024/791 du Parlement européen et du Conseil (3) a modifié le règlement (UE) no 600/2014, afin d’opérer une distinction entre, d’une part, la procédure d’agrément pour les APA et les ARM et, d’autre part, la procédure d’agrément pour les CTP. Le règlement (UE) 2024/791 a également modifié les exigences organisationnelles applicables aux CTP. En outre, à partir de 2025, les prestataires de services de communication de données sont tenus de se conformer au règlement (UE) 2022/2554 du Parlement européen et du Conseil (4). Pour tenir compte de ces modifications, il convient d’abroger le règlement délégué (UE) 2017/571 et de le remplacer par un nouveau règlement.

(2)

Afin de permettre à l’Autorité européenne des marchés financiers (AEMF) ou, selon le cas, à l’autorité nationale compétente de déterminer si l’APA ou l’ARM a suffisamment de ressources humaines et de capacités de supervision de ses activités, la structure organisationnelle visée à l’article 27 quinquies, paragraphe 1, du règlement (UE) no 600/2014 devrait préciser qui est responsable des différentes activités de cet APA ou de cet ARM. Afin de permettre l’identification des domaines susceptibles d’affecter l’indépendance de l’APA ou de l’ARM et de donner lieu à un conflit d’intérêts, cette structure organisationnelle ne devrait pas se limiter aux services de communication de données de l’APA ou de l’ARM, mais inclure tous les autres services dont il assure la fourniture. Afin de permettre aux autorités compétentes de déterminer si les politiques, les procédures et la structure de gouvernance d’entreprise de l’APA ou de l’ARM garantissent son indépendance et empêchent les conflits d’intérêts, tout demandeur sollicitant un agrément en qualité d’APA ou d’ARM devrait également fournir des informations sur la composition, le fonctionnement et l’indépendance de ses organes de direction.

(3)

Des conflits d’intérêts peuvent naître entre, d’une part, un APA ou un ARM, et d’autre part, des clients qui recourent à ses services pour satisfaire à leurs obligations réglementaires, ou d’autres entités qui lui achètent des données. De tels conflits d’intérêts peuvent notamment naître lorsque l’APA ou l’ARM exerce d’autres activités, par exemple des activités d’opérateur de marché, d’entreprise d’investissement ou de référentiel central. Un conflit d’intérêts qui n’est pas résolu peut inciter l’APA ou l’ARM à retarder la publication ou la transmission de données ou à négocier sur la base d’informations confidentielles qu’il a reçues. Les APA et les ARM devraient donc mettre en œuvre et maintenir des dispositifs administratifs efficaces pour détecter, prévenir et gérer les conflits d’intérêts existants et potentiels, notamment en en dressant l’inventaire et en mettant en œuvre des politiques et procédures appropriées pour les gérer et, au besoin, en séparant les fonctions opérationnelles et les membres du personnel afin de limiter la circulation d’informations sensibles entre ses différents services.

(4)

Afin de garantir que tous les membres de l’organe de direction d’un APA ou d’un ARM jouissent d’une honorabilité suffisante, possèdent des connaissances, des compétences et une expérience suffisantes et consacrent suffisamment de temps à l’exercice de leurs fonctions, comme l’exige l’article 27 septies du règlement (UE) no 600/2014, les APA et les ARM devraient pouvoir démontrer qu’ils ont mis en place un solide processus de nomination des membres de leur organe de direction et d’évaluation des performances de ceux-ci, ainsi que des lignes hiérarchiques claires et l’obligation de faire régulièrement rapport à l’organe de direction.

(5)

L’environnement de contrôle interne des APA et des ARM constitue un élément essentiel de leur structure organisationnelle au sens de l’article 27 quinquies, paragraphe 1, du règlement (UE) no 600/2014. Pour permettre à l’AEMF ou, selon le cas, à l’autorité nationale compétente de déterminer si les APA et les ARM ont mis en place toutes les dispositions nécessaires pour s’acquitter de leurs obligations au moment de l’agrément initial, les aspirants APA et ARM devraient donc communiquer à leur autorité compétente des informations sur leur environnement de contrôle interne, notamment sur leurs fonctions de contrôle interne, de conformité, de gestion des risques et d’audit interne.

(6)

Les APA et les ARM relèvent du champ d’application du règlement (UE) 2022/2554 et sont donc soumis aux exigences qu’il définit en matière de résilience opérationnelle numérique. Par conséquent, un APA ou un ARM demandeur doit démontrer à l’AEMF ou à l’autorité nationale compétente, selon le cas, qu’il respecte toutes les obligations applicables en vertu de ce règlement. Un aspirant APA ou ARM doit en particulier démontrer qu’il respecte ses obligations dans les domaines des technologies de l’information et de la communication (TIC), de la gestion des risques, de la gestion des risques liés aux prestataires tiers de services TIC, des mécanismes de continuité des activités et de sauvegarde, des tests et des capacités, de la sécurité et de la notification des incidents.

(7)

Les APA et les ARM doivent vérifier que les données qu’ils publient ou transmettent sont exactes et complètes. Ils doivent aussi veiller à disposer de mécanismes leur permettant de détecter les erreurs ou omissions imputables à leurs clients ou dont ils sont eux-mêmes à l’origine. Pour les ARM, il peut s’agir de vérifier la concordance entre un échantillon des données soumises à l’ARM par une entreprise d’investissement, ou générées par l’ARM pour le compte de cette dernière, et les données correspondantes fournies par l’autorité compétente. La fréquence et l’étendue de ces vérifications de concordance devraient être proportionnelles au volume de données traitées par l’ARM et à son activité de production de rapports de transactions à partir des données des clients ou de transmission des rapports de transactions remplis par les clients. Afin que les déclarations respectent les délais et soient exemptes d’erreurs et omissions, les ARM devraient constamment surveiller le fonctionnement de leurs systèmes.

(8)

Un ARM qui est à l’origine d’une erreur ou d’une omission devrait corriger cette erreur ou omission sans délai. Il devrait également notifier cette erreur ou omission, ainsi que la correction apportée, à l’AEMF ou, selon le cas, à l’autorité nationale compétente, ainsi qu’à toute autorité compétente à laquelle il soumet des rapports. Afin de permettre à un client d’aligner ses registres internes sur les informations que l’ARM a soumises à l’autorité compétente pour le compte de ce client, l’ARM devrait aussi notifier à ses clients les détails de l’erreur ou de l’omission et leur fournir une déclaration de transaction actualisée.

(9)

Les APA devraient pouvoir supprimer ou modifier des informations fournies dans les rapports de négociation que leur transmettent des entreprises d’investissement si celles-ci, en raison de difficultés techniques, ne peuvent pas supprimer ou modifier elles-mêmes ces informations. Toutefois, les APA ne pouvant déterminer avec certitude, puisqu’ils n’étaient pas parties à la transaction exécutée, si ce qu’ils perçoivent comme une erreur ou une omission en est effectivement une, il ne devrait pas leur incomber de corriger des informations dans les rapports de négociation qu’ils publient, si l’erreur ou l’omission est imputable à l’entreprise d’investissement qui a transmis le rapport.

(10)

Pour favoriser une communication fiable entre les APA et les entreprises d’investissement qui leur transmettent leurs rapports de négociation, notamment lorsqu’il est question de l’annulation ou de la modification d’une transaction, les APA devraient inclure dans les messages de confirmation qu’ils envoient à ces entreprises le code d’identification qu’ils ont attribué à chaque transaction lors de la publication de l’information.

(11)

Afin de se conformer à l’obligation de déclaration qui leur incombe au titre du règlement (UE) no 600/2014, les ARM devraient veiller à la bonne circulation des informations à destination et en provenance d’autorités compétentes. Ils devraient donc être en mesure de démontrer qu’ils peuvent respecter les spécifications techniques définies par une autorité compétente ce qui concerne l’interface entre eux et cette autorité.

(12)

Afin d’assurer une bonne diffusion des informations par les APA et de faciliter l’accès à ces informations et leur utilisation par les acteurs du marché, ces informations devraient être publiées dans un format lisible par machine, par l’intermédiaire de canaux robustes permettant d’y accéder automatiquement. Les sites web n’ont pas toujours une architecture suffisamment robuste et modulable pour permettre un accès automatisé aisé aux données; toutefois, ces contraintes technologiques pourraient être surmontées à l’avenir. Il n’y a donc pas lieu de prescrire une technologie particulière, mais de définir les critères que la technologie choisie doit remplir.

(13)

Afin de permettre à l’AEMF de déterminer si, au moment où il demande l’agrément en tant que CTP, le demandeur a pris toutes les mesures nécessaires pour satisfaire aux critères énoncés à l’article 27 quinquies bis, paragraphe 2, du règlement (UE) no 600/2014, ce demandeur devrait inclure dans sa demande un programme d’activité, un organigramme et un graphique des relations de propriété. Pour permettre à l’AEMF de déterminer si le demandeur de l’agrément en tant que CTP a suffisamment de ressources humaines et de capacités de supervision de ses activités l’organigramme devrait indiquer qui est responsable des différentes activités. En outre, afin de permettre à l’AEMF de déterminer quels sont les domaines susceptibles d’affecter l’indépendance du CTP et de donner lieu à un conflit d’intérêts, l’organigramme ne devrait pas se limiter au service consolidé de publication, mais inclure tous les autres services que l’aspirant CTP a l’intention de fournir. Enfin, pour permettre à l’AEMF de déterminer si les politiques, les procédures et la structure de gouvernance d’entreprise garantissent à la fois l’indépendance du CTP et la prévention des conflits d’intérêts, un demandeur d’agrément pour l’exercice d’activités de CTP devrait également fournir des informations sur la composition, le fonctionnement et l’indépendance de ses organes de direction et sur son environnement de contrôle interne.

(14)

Afin de garantir que tous les membres de l’organe de direction du CTP soient des personnes jouissant d’une honorabilité suffisante et possédant des connaissances, des compétences et une expérience suffisantes, le demandeur devrait pouvoir démontrer qu’il a défini un processus rigoureux de nomination des membres de son organe de direction et d’évaluation de leurs performances, ainsi que des lignes hiérarchiques claires, avec l’obligation de faire régulièrement rapport à l’organe de direction.

(15)

Des conflits d’intérêts peuvent survenir entre les contributeurs en données ou les utilisateurs de données et le CTP. Ces conflits d’intérêts peuvent notamment apparaître lorsque le CTP exerce d’autres activités, par exemple des activités d’opérateur de marché, d’entreprise d’investissement ou de référentiel central. S’agissant de sa gouvernance d’entreprise, un demandeur sollicitant un agrément pour exercer des activités de CTP devrait prouver à l’AEMF qu’il dispose de cadres appropriés pour détecter, prévenir et gérer les conflits d’intérêts existants et potentiels, notamment en en dressant l’inventaire et en mettant en œuvre des politiques et procédures permettant de les gérer et, au besoin, en séparant les fonctions opérationnelles et les membres du personnel, afin de limiter la circulation des informations sensibles entre ses différents services.

(16)

L’externalisation d’activités, en particulier de fonctions importantes et critiques, peut entraîner un changement majeur par rapport aux conditions d’agrément d’un CTP. Pour garantir que l’externalisation d’activités ne compromettra pas la capacité du CTP à remplir ses obligations au titre du règlement (UE) no 600/2014 ou ne donnera pas lieu à des conflits d’intérêts, celui-ci devrait être en mesure de démontrer qu’il exerce une supervision et un contrôle suffisants sur ces activités.

(17)

Les CTP relèvent du règlement (UE) 2022/2554 et sont donc soumis à ses exigences en matière de résilience opérationnelle numérique. Les demandeurs sollicitant un agrément pour exercer des activités de CTP devraient donc fournir dans leur demande des garanties quant à leur respect des exigences applicables énoncées dans ce règlement.

(18)

Un demandeur sollicitant un agrément pour exercer des activités de CTP devrait prouver que ses systèmes sont capables d’ingérer des données provenant de plates-formes de négociation et d’APA et de consolider et de publier ces informations sans perturbations. Il devrait également démontrer sa capacité à consolider et à publier des données conformément aux exigences du règlement délégué (UE) 2025/1155 de la Commission (5).

(19)

Afin de démontrer le caractère raisonnable du niveau des frais qu’un demandeur sollicitant un agrément pour exercer des activités de CTP entend facturer à ses clients, ce demandeur devrait communiquer à l’AEMF sa politique en matière de données de marché, comprenant une explication détaillée des modèles de licences et du barème de frais envisagé conformément à l’article 17 du règlement délégué (UE) 2025/1156 de la Commission (6). Un demandeur d’agrément de CTP pour les obligations devrait communiquer toute disposition relative à l’éventuelle redistribution des recettes aux contributeurs en données visée à l’article 27 nonies, paragraphe 5, du règlement (UE) no 600/2014.

(20)

Pour permettre à l’AEMF de comprendre la consommation d’énergie générée par les activités de collecte, de traitement et de stockage de données, un demandeur sollicitant un agrément pour exercer des activités de CTP devrait indiquer ses prévisions en ce qui concerne le taux d’efficacité énergétique (PUE) tel que défini par les normes internationales.

(21)

Afin de permettre à l’AEMF de déterminer si leurs ressources combinées sont essentielles à l’exploitation du système consolidé de publication, les candidats conjoints visés à l’article 27 quinquies bis, paragraphe 2, point n), du règlement (UE) no 600/2014 devraient prouver la nécessité pour chacun des candidats, en termes de capacités techniques et logistiques, d’exploiter conjointement le système consolidé de publication.

(22)

Les informations communiquées aux autorités compétentes devraient contenir des informations sur l’identité des membres de l’organe de direction du prestataire de services de communication de données et sur leur aptitude à la fonction. Ces informations comprennent des données à caractère personnel. Conformément au principe de minimisation des données consacré par l’article 5, paragraphe 1, point c), du règlement (UE) 2016/679 du Parlement européen et du Conseil (7), les demandes de données ne devraient porter que sur les données à caractère personnel nécessaires pour permettre à l’autorité compétente d’évaluer la capacité des membres de l’organe de direction d’un prestataire de services de communication de données à se conformer aux exigences énoncées dans le règlement (UE) no 600/2014. Tout traitement de données à caractère personnel aux fins du présent règlement devrait être effectué conformément au droit de l’Union en matière de protection des données à caractère personnel. À cet égard, tout traitement de données à caractère personnel effectué par les autorités nationales compétentes en application du présent règlement devrait être effectué conformément au règlement (UE) 2016/679 et aux exigences nationales relatives à la protection des personnes physiques à l’égard du traitement des données à caractère personnel. Tout traitement de données à caractère personnel par l’AEMF effectué en application du présent règlement devrait l’être conformément au règlement (UE) 2018/1725 du Parlement européen et du Conseil (8). Afin de permettre aux autorités compétentes de procéder à l’évaluation prévue aux fins de l’agrément initial et de la surveillance continue, tout en veillant au respect de garanties appropriées, il convient d’imposer que les prestataires de services de communication de données et les autorités compétentes ne conservent pas les données à caractère personnel relatives à l’honorabilité d’un membre d’un organe de direction plus de cinq ans après la cessation des fonctions de ce membre.

(23)

Le présent règlement se fonde sur le projet de normes techniques de réglementation soumis à la Commission par l’AEMF.

(24)

L’AEMF a procédé à des consultations publiques ouvertes sur les projets de normes techniques de réglementation sur lesquels se fonde le présent règlement, analysé les coûts et avantages potentiels qu’ils impliquent et sollicité l’avis du groupe des parties intéressées au secteur financier institué par l’article 37 du règlement (UE) no 1095/2010 du Parlement européen et du Conseil (9).

(25)

Le Contrôleur européen de la protection des données a été consulté conformément à l’article 42, paragraphe 1, du règlement (UE) 2018/1725, et a émis des observations formelles le 17 mars 2025.

(26)

Les normes techniques de réglementation à adopter sur la base des habilitations prévues à l’article 27 quinquies, paragraphe 4, à l’article 27 quinquies ter, paragraphe 7, à l’article 27 octies, paragraphes 6 et 8, et à l’article 27 decies, paragraphe 5, du règlement (UE) no 600/2014 devraient être regroupées en un seul règlement délégué de la Commission afin de garantir que toutes les dispositions précisant les conditions d’agrément des prestataires de services de communication de données sont consolidées au sein d’un même règlement,