- Le autorità competenti devono pubblicare sul proprio sito web ufficiale, senza indebito ritardo, le decisioni che impongono sanzioni o altre misure amministrative per violazioni di MiCA, con indicazione almeno del tipo di violazione e dell'identità del responsabile.
- La pubblicazione può essere rinviata, anonimizzata o omessa in tre casi: dati sproporzionati rispetto alla violazione, indagine in corso, o rischio di destabilizzare i mercati finanziari.
- Se la decisione è impugnata, l'autorità pubblica immediatamente anche le informazioni sull'esito del ricorso, compreso l'eventuale annullamento della sanzione.
- I dati personali devono essere rimossi dal sito dopo il termine necessario ai sensi della normativa sulla protezione dei dati; le informazioni non personali restano pubbliche per almeno cinque anni.
Testo dell'articoloVigente
Art. 114 Reg. (UE) 2023/1114 — Pubblicazione delle decisioni
Regolamento (UE) 2023/1114 del Parlamento europeo e del Consiglio del 31 maggio 2023 relativo ai mercati delle cripto-attività (Markets in Crypto-Assets, MiCA)
1. La decisione che impone sanzioni o altre misure amministrative per una violazione del presente regolamento a norma dell’articolo 111 è pubblicata dalle autorità competenti sul loro sito web ufficiale senza indebito ritardo dopo che la persona fisica o giuridica destinataria di tale decisione ne è stata informata. La pubblicazione contiene almeno le informazioni sul tipo e sulla natura della violazione e l’identità delle persone fisiche o giuridiche responsabili. Le decisioni che impongono misure di natura investigativa non necessitano di essere pubblicate.
2. Quando le autorità competenti ritengono che la pubblicazione dell’identità dei soggetti giuridici o dell’identità o dei dati personali delle persone fisiche sia sproporzionata, a seguito di una valutazione condotta caso per caso sulla proporzionalità della pubblicazione di tali dati, o qualora tale pubblicazione comprometta un’indagine in corso, le autorità competenti intraprendono una delle azioni seguenti:
a) rinviano la pubblicazione della decisione di imporre una sanzione amministrativa o un’altra misura amministrativa fino a che i motivi di non pubblicazione cessino di valere;
b) pubblicano la decisione di imporre una sanzione amministrativa o un’altra misura amministrativa in forma anonima in maniera conforme al diritto nazionale, se la pubblicazione anonima assicura l’effettiva protezione dei dati personali in questione;
c) non pubblicano la decisione di imporre una sanzione amministrativa o un’altra misura amministrativa nel caso in cui le opzioni di cui alle lettere a) e b) siano ritenute insufficienti ad assicurare: i) che non sia compromessa la stabilità dei mercati finanziari; ii) la proporzionalità della pubblicazione della decisione rispetto alle misure ritenute di natura minore. i) che non sia compromessa la stabilità dei mercati finanziari; ii) la proporzionalità della pubblicazione della decisione rispetto alle misure ritenute di natura minore.
i) che non sia compromessa la stabilità dei mercati finanziari;
ii) la proporzionalità della pubblicazione della decisione rispetto alle misure ritenute di natura minore.
Nel caso in cui si decida di pubblicare una sanzione amministrativa o un’altra misura amministrativa in forma anonima, come previsto al primo comma, lettera b), la pubblicazione dei dati pertinenti può essere rimandata per un periodo ragionevole se si prevede che entro tale periodo le ragioni di una pubblicazione anonima cesseranno di valere.
3. Laddove la decisione di imporre una sanzione amministrativa o un’altra misura amministrativa sia soggetta a un ricorso dinanzi ai pertinenti tribunali od organismi amministrativi, le autorità competenti pubblicano, immediatamente, sul loro sito web ufficiale, tali informazioni nonché eventuali informazioni successive sull’esito del ricorso. Sono altresì pubblicate anche eventuali decisioni che annullino la decisione precedente di imporre una sanzione amministrativa o un’altra misura amministrativa.
4. Le autorità competenti provvedono a che le informazioni pubblicate ai sensi del presente articolo restino sul loro sito web ufficiale per almeno cinque anni dalla pubblicazione. I dati personali contenuti nella pubblicazione sono mantenuti sul sito web ufficiale dell’autorità competente soltanto per il periodo necessario conformemente alle norme in vigore sulla protezione dei dati.
Commento
La pubblicazione delle decisioni sanzionatorie come strumento di deterrenza e trasparenza
L'articolo 114 MiCA disciplina il meccanismo di «name and shame» — la pubblicazione pubblica delle decisioni sanzionatorie da parte delle autorità competenti. Questo strumento ha una doppia funzione: da un lato deterrenza (la prospettiva della pubblicità della sanzione rafforza la compliance preventiva degli operatori); dall'altro trasparenza del mercato (gli investitori e i clienti possono verificare lo storico sanzionatorio di un CASP o di un emittente prima di affidargli i propri asset).
Il meccanismo è già consolidato in altri settori della regolamentazione finanziaria europea: il Regolamento MAR (abusi di mercato), la CRD V (enti creditizi) e la direttiva MiFID II prevedono obblighi analoghi di pubblicazione delle sanzioni. MiCA lo estende al settore cripto, creando un registro pubblico reputazionale consultabile.
L'obbligo di pubblicazione: contenuto minimo e tempistica
Il paragrafo 1 fissa la regola generale: le decisioni che impongono sanzioni o misure amministrative per violazioni di MiCA (come indicate nell'articolo 111) vengono pubblicate «senza indebito ritardo» dopo che il destinatario ne è stato informato. La pubblicazione deve contenere almeno:
Il tipo e la natura della violazione: si deve capire quali norme MiCA sono state violate (ad esempio, omessa notifica del White Paper, operatività senza autorizzazione CASP, manipolazione del mercato). Una descrizione generica non è sufficiente.
L'identità delle persone fisiche o giuridiche responsabili: il nome del CASP sanzionato, o del suo rappresentante legale se la responsabilità è personale. Questa è la componente «reputazionale» centrale della norma.
Importante: le decisioni che impongono misure investigative (accertamenti, richieste di informazioni, ispezioni) non devono essere pubblicate. La pubblicazione riguarda solo le decisioni che concludono un procedimento sanzionatorio o adottano misure correttive.
Le eccezioni alla pubblicazione integrale
Il paragrafo 2 prevede tre situazioni in cui l'autorità competente può deviare dalla regola della pubblicazione integrale con identità:
Sproporzionalità della pubblicazione dei dati personali: l'autorità valuta caso per caso se la pubblicazione dell'identità di una persona fisica (ad esempio un amministratore delegato sanzionato) sia proporzionata rispetto alla gravità della violazione. Per violazioni minori, la pubblicazione del nome di un individuo potrebbe essere un effetto sanzionatorio sproporzionato rispetto all'illecito commesso. In questi casi, l'autorità può: (a) rinviare la pubblicazione fino al cessare delle ragioni di riserbo; (b) pubblicare in forma anonima; (c) non pubblicare affatto se le opzioni (a) e (b) risultassero entrambe inadeguate.
Indagine in corso: la pubblicazione potrebbe compromettere un'indagine pendente. Se la divulgazione dell'identità del sanzionato avverte altri complici o consente la distruzione di prove, l'autorità può rinviare la pubblicazione.
Rischio sistemico: la pubblicazione non deve compromettere la stabilità dei mercati finanziari. Questo caso è più raro ma non teorico: una sanzione improvvisa e pubblicata contro un CASP di grandi dimensioni o un emittente di stablecoin significativa potrebbe innescare una corsa ai rimborsi o una crisi di fiducia con effetti sistemici.
La pubblicazione degli esiti dei ricorsi
Il paragrafo 3 introduce un requisito di aggiornamento continuo del sito web dell'autorità: se la decisione sanzionatoria viene impugnata davanti a un tribunale o a un organo amministrativo, l'autorità deve pubblicare immediatamente le informazioni sul ricorso e, successivamente, l'esito. Se il ricorso porta all'annullamento della sanzione, anche questa informazione deve essere pubblicata. La ratio è ovvia: un operatore che ha visto pubblicato il proprio nome come sanzionato ha diritto a che la pubblica riabilitazione riceva la stessa visibilità della sanzione originaria. Un sistema che pubblicasse le sanzioni ma non i successivi annullamenti creerebbe danni reputazionali permanenti e ingiusti.
La conservazione dei dati: cinque anni e GDPR
Il paragrafo 4 disciplina i termini di conservazione: le informazioni devono restare sul sito web dell'autorità per almeno cinque anni dalla pubblicazione. Per i dati personali (nome di persone fisiche), il limite è invece determinato dal diritto alla protezione dei dati: devono essere rimossi al termine «necessario conformemente alle norme vigenti sulla protezione dei dati». In pratica, il coordinamento con il GDPR (Regolamento UE 2016/679) implica che i dati personali dei sanzionati non possano essere trattenuti indefinitamente ma debbano essere cancellati quando viene meno la base giuridica per il trattamento. Questo crea un regime differenziale: i dati identificativi di persone giuridiche (nomi societari, sedi) restano per 5 anni; i dati di persone fisiche sono soggetti al principio di minimizzazione del periodo di conservazione.
Casi pratici
Caso 1:
Caso 2:
Caso 3:
Domande frequenti
Un CASP sanzionato può chiedere all'autorità di non pubblicare il suo nome?
Sì, può farlo solo per le ragioni tassative del par. 2: sproporzione della pubblicazione dei dati personali (per persone fisiche), rischio per indagini in corso, o rischio sistemico per i mercati finanziari. Non esiste un diritto generale di opposizione alla pubblicazione. Per le persone giuridiche (società), la pubblicazione dell'identità è la regola e le eccezioni sono molto limitate.
Per quanto tempo rimane online la decisione sanzionatoria?
Le informazioni non personali restano online per almeno 5 anni dalla pubblicazione (par. 4). I dati personali di persone fisiche devono essere rimossi quando cessa la base giuridica per il trattamento ai sensi del GDPR: l'autorità deve valutare caso per caso il termine di conservazione necessario e proporzionato, che tipicamente non supera i 5 anni ma può essere inferiore per violazioni minori.
Se la sanzione viene annullata in sede di ricorso, la decisione originaria viene rimossa dal sito?
Non necessariamente rimossa, ma deve essere aggiornata: il par. 3 impone che l'autorità pubblichi immediatamente le informazioni sull'esito del ricorso, inclusa la decisione di annullamento. In pratica, la decisione originaria rimane visibile ma viene affiancata dall'informazione sull'annullamento, garantendo la correttezza dell'informazione complessiva disponibile al pubblico.
Le misure investigative (ispezioni, richieste di informazioni) devono essere pubblicate?
No. Il par. 1 specifica espressamente che 'le decisioni che impongono misure di natura investigativa non necessitano di essere pubblicate'. Solo le decisioni che impongono sanzioni o misure amministrative definitive sono soggette all'obbligo di pubblicazione. Rendere pubbliche le ispezioni in corso comprometterebbe l'efficacia investigativa.
Come si coordina l'obbligo di pubblicazione con il GDPR?
Il par. 4 riconosce espressamente il primato del diritto alla protezione dei dati: i dati personali contenuti nella pubblicazione devono essere conservati 'soltanto per il periodo necessario conformemente alle norme vigenti sulla protezione dei dati'. La base giuridica per il trattamento è l'interesse pubblico/obbligo legale (art. 6, par. 1, lett. e) GDPR). Scaduto il termine di necessità, i dati personali vanno cancellati o anonimizzati, anche prima del termine quinquennale generale.
Vedi anche