Esquemas EU de certificación de ciberseguridad (y ya publicado el primer EECC)

Pelargonium hortorum (geranio rojo)

Con el desarrollo de la certificación de ciberseguridad a escala de la UE se pretende armonizar el reconocimiento del nivel de ciberseguridad de las soluciones TIC en toda la Unión.

Los sistemas de certificación de la UE son desarrollados por ENISA dentro del marco definido en el Reglamento sobre Ciberseguridad (Reglamento 881 /2019), mediante los procedimientos y sistemas de trabajo de esta Agencia  y teniendo en cuenta los sistemas y normas existentes de los que se nutren los esquemas.

Son esquemas europeos de ciberseguridad que se irán aprobando son -en principio- voluntarios. Su seguimiento potencia el Mercado Único Digital de la UE. Sirven para demostrar el cumplimiento de sus requisitos. En algunos casos, a través de normas de derecho positivo escrito, pueden llegar a ser  obligatorios. En particular, alguna legislación ya alude a los esquemas europeos de certificación de ENISA:

la Directiva para un alto nivel de ciberseguridad en toda la Unión (NIS2), en especial en lo relativo a entidades que gestionan infraestructuras críticas,
– la propuesta de Reglamento relativo a la identificación electrónica y los servicios de confianza para las transacciones electrónicas en el mercado interior (Reglamento eIDAS) con el Reglamento Wallet/elDAS2
– la propuesta de Reglamento de Ciberresiliencia (CRA), que añade la ciberseguridad a los criterios para obtener el marcado CE en la fabricación de determinados productos,
– la propuesta de sobre Inteligencia Artificial.

 

Definición de Esquema europeo de certificación de la ciberseguridad de la UE:  es un conjunto completo de reglas, requisitos técnicos de ciberseguridad, normas y procedimientos de evaluación, definidos a nivel de la UE y aplicables a la certificación de productos, servicios o procesos específicos de TIC.

  • Cada certificado de ciberseguridad de la UE acredita que un producto, proceso o servicio de TIC ha superado una evaluación de conformidad con dicho régimen y que cumple los requisitos y normas de ciberseguridad especificados.
  • La certificación la realiza un organismo de evaluación de la conformidad (OEC/CAB), que puede auditar y/o probar y/o certificar. Todos los certificados serán publicados por ENISA en un sitio web específico.
  • Dependiendo del riesgo de ciberseguridad asociado al uso previsto de la solución TIC que se va a certificar, se puede elegir un nivel de ciberseguridad diferente que el solicitante define. Cada esquema indica si la certificación tiene un nivel de garantía «básico», «sustancial» o «alto»

Los primeros EEC::

Rododendro
  • EUCC. El Esquema Europeo de Certificación de Ciberseguridad sobre Criterios Comunes, el primer esquema, se dirige a las TIC, tales como productos y componentes de hardware y software. El 31 de enero de 2024, la Comisión Europea aprobó el acto de ejecución por el que se pone en marcha el sistema de certificación. ENISA está publicando los documentos de referencia que respaldan el sistema y que se enumeran en su Anexo 1.

A continuación:

  • EUCS El Esquema Europeo de Certificación de Servicios en la Nube  se encuentra en trámite de análisis por parte del ECCG.
  • EU5G El Esquema Europeo de Certificación de Ciberseguridad para 5G se desarrolla en dos fases. Durante una primera fase que finalizó en otoño de 2022, ENISA, los expertos reunidos en un grupo de trabajo ad hoc con la Comisión de la UE y los Estados miembros analizaron las evaluaciones industriales existentes y los esquemas de certificación y sus actualizaciones necesarias para cumplir con la Ley de Ciberseguridad. La segunda fase se abre con una consulta pública
  • ¿Inteligencia Artificial? Con vistas a la adopción del proyecto de Reglamento de la UE sobre Inteligencia Artificial, ENISA está evaluando si la IA podría ser objeto de certificación en materia de ciberseguridad y de qué manera, así como el modo en que podrían reutilizarse los esquemas en curso de elaboración. Este trabajo es preparatorio, ya que ENISA no ha recibido una solicitud para desarrollar un esquema de certificación por parte de la Comisión Europea

 

Arquitectura en la elaboración y utilización de los EEC

Hortensia atlántica
Hortensia atlántica
  • Comisión Europea La iniciativa de elaborar un EECC es de la Comisión Europea que lo plantea a ENISA. ENISA, una vez que tiene una propuesta, la remite a la Comisión quien la adopta a través de legislación administrativa, Reglamentos de Ejecución
  • ENISA. La elaboración corresponde a ENISA que actúa como coordinadora y anfitriona de grupos de trabajo
  • Partes interesadas y público general Al desarrollar los esquemas de ciberseguridad de la UE, ENISA trabaja con una amplia variedad de partes interesadas en la ciberseguridad. Por ejemplo, las partes interesadas pueden formar parte del «grupo de trabajo ad hoc» de expertos que apoya a la ENISA en el desarrollo de un determinado esquema. Asimismo, es posible invitar a las partes interesadas a participar en proyectos piloto o «pruebas de concepto» para poner a prueba algunos o más elementos de un régimen de la UE (por ejemplo, viabilidad, posibles procedimientos o procesos o métodos de evaluación) antes de su aplicación. Por otro lado, cuando un esquema se encuentra en una fase avanzada de desarrollo, también puede haber consultas públicas, por ejemplo sobre proyectos de regímenes. Una vez implantado, el sistema debe actualizarse y adaptarse a los cambios que se produzcan en el entorno de la ciberseguridad. Los procesos, procedimientos y métodos de evaluación deben mantenerse, evaluarse y revisarse  y en estos procesos también participan las partes interesadas por invitación de ENISA.
  • Entrada en vigor: Para ser efectivo, un proyecto de esquema elaborado por ENISSA a petición de la Comisión debe ser aprobado por un acto legislativo de la UE , «acto de ejecución» y en él se establece un periodo para que los Estados miembros preparen el funcionamiento del sistema antes de expedir los certificados.
  • Organismos de Evaluación de la Conformidad (OEC/CAB) .Los OEC/CAB que estarán acreditados para emitir certificados o realizar actividades de evaluación (ensayos, auditorías) para estos esquemas.. Los sistemas de certificación de ciberseguridad crean un mercado europeo para organismos de evaluación de la conformidad (OEC/CAB ) que podrán ofrecer sus servicios de certificación así como herramientas y servicios de evaluación relacionados en toda la UE. Estos OEC/CAB trabajar en los esquemas de certificación de la UE de dos formas distintas: como evaluadores (mediante auditorías/ensayos) y/o como certificadores. Deben cumplir una serie de requisitos antes de poder realizar tales actividades:
    Para poder evaluar y certificar de acuerdo con los regímenes de certificación de la UE, los OEC deberán estar acreditados por su organismo nacional de acreditación.
    Una vez acreditados para un esquema europeo de certificación de la ciberseguridad, la Autoridad Nacional de Certificación de la Ciberseguridad (ANC) deberá notificar su acreditación a la Comisión.
    Si un OEC quiere ser elegible para certificar una solución TIC bajo el nivel de garantía «alto», puede necesitar cumplir requisitos adicionales. El procedimiento para cumplir estos requisitos lo realiza la ANC y se denomina «autorización». Esta «autorización» también debe notificarse a la Comisión.
  • Usuarios de los certificados Los certificados de ciberseguridad de la UE se conceden a productos y servicios TIC certificados con arreglo a los regímenes de certificación de ciberseguridad de la UE. Demuestran que las soluciones probadas son resistentes a determinados niveles de seguridad y establecen procesos de reparación teniendo en cuenta los últimos avances del estado de la técnica. Como están reconocidos en toda la UE permiten a los proveedores de productos y servicios mostrar la conformidad de su solución con un esquema específico, nivel de garantía, ámbito de aplicación y, potencialmente, extensión o perfiles de seguridad. Los usuarios de soluciones TIC pueden considerar los certificados de ciberseguridad como una demostración de que una solución específica cumple los requisitos de seguridad definidos.
  • Autoridades Nacionales de Certificación en Ciberseguridad ( ANC). Como exige la Directiva sobre Ciberseguridad, cada Estado miembro ha designado una ACNC que se responsabilizará de supervisar, acreditar y controlar la certificación de ciberseguridad de la UE a nivel nacional y de intercambiarla a nivel de la UE. Cada Estado miembro puede optar por expedir certificaciones de conformidad de ciberseguridad de la UE. Las Autoridades Nacionales de Certificación en Ciberseguridad («ANC») supervisan y controlan el cumplimiento del régimen de los certificados expedidos por las OEC en su Estado miembro.
  • Sistemas nacionales. Cada sistema de certificación de ciberseguridad de la UE prevé un periodo de transición tras el cual los sistemas nacionales pertinentes dejan de tener efecto.
    En otras palabras, los certificados expedidos en virtud de estos regímenes dejan de ser válidos. Para garantizar una aplicación sin problemas, la transición de los regímenes existentes a los regímenes de la UE se lleva a cabo en estrecha colaboración con todas las partes interesadas; por ejemplo, se elaborarán orientaciones para los organismos de certificación de ciberseguridad que operan con regímenes nacionales. Por lo tanto, los OEC no deben interrumpir sus actividades relacionadas con los regímenes existentes.
  • Duración. Los certificados son válidos durante un tiempo limitado que puede ampliarse mediante una nueva evaluación de la solución.
  • Certificación la certificación es voluntaria, a menos que la normativa de la UE o de los Estados miembros especifique lo contrario.

 

Información bursátil y cinta consolidada en los mercados de capitales de la UE ¿qué modelo?¿qué intereses están en juego? ¿es una aspiración viable?

Esta entrada se relaciona con la aspiración de la Comisión Europea de facilitar la consolidación de datos  en los mercados de capitales de la UE

  • La acción 14 , relacionada con el  objetivo n.º 3 del Plan de Acción de la Unión de los Mercados de Capitales (UMC), tiene por objeto establecer una cinta consolidada CC. Sería un instrumento fundamental en la configuración de la UMC. Proporcionaría datos consolidados sobre los precios y el volumen de los valores negociados en la UE. Mejoraría la trasparencia y la competencia entre los centros de negociación
  • La CC se concibió junto con el punto europeo de acceso único para la información de las empresas (PEA), para mejorar la información que se da a los inversores a nivel de toda Europa.

Tras abundantes debates, la Comisión se comprometió en 2020 a presentar una propuesta legislativa para apoyar la introducción de una cinta o registro de información consolidada .

  • Los mercados europeos tienen limitaciones estructurales que la MiFID II pretendía abordar, pero que aún no se han resuelto del todo. MiFID II  introdujo la función de una CC para Europa relativa a  la información post-negociación de forma consolidada, independientemente de si las operaciones se ejecutan en un centro de negociación o no. Sin embargo, aún no ha surgido ningún proveedor  que ofrezca el servicio conforme a la definición de la MiFID II, Esto es debido a muchos factores, como son -entre otros- las dificultades estructurales para obtener datos de alta calidad de los centros de ejecución extrabursátiles (OTC) y de los internalizadores sistemáticos (IS) en toda Europa. Esta problemática pone en entredicho la viabilidad comercial de una CC, frente a las soluciones de datos de mercado ya existentes.
  • Dado que no ha surgido ningún proveedor de CC, es probable que la Comisión Europea lo imponga, en el marco de MiFIR -y su reforma-. Recientemente se han sometido a debate público e investigación distintas opciones de CC, entre ellas una en tiempo real previa a la negociación, otra en tiempo casi real posterior a la negociación, otra con un retraso de 15 minutos posterior a la negociación y la que consolida al final del día posterior a la negociación. Hoy existen soluciones diversas -privadas y parciales- para obtener datos, pero sigue siendo difícil obtenerlos en mercados menos transparentes y persiste la dificultad para alcanzar la información en tiempo real.

En junio de 2023, el Consejo Europeo, la Comisión y el Parlamento acordaron establecer una cinta consolidada para la renta variable y los fondos cotizados (ETF) con datos pre-negociación en tiempo real, pero sin atribución de centro y con una sola capa de cotizaciones de compra y venta. Pero , lejos de este modelo tan sencillo, existe un debate más amplio. Por ejemplo, los gestores de activos y algunas empresas de intermediación sugieren una cinta consolidada que incluya cinco niveles de cotizaciones, así como la atribución de centros. Esta idea coincide con los iniciales trabajos de la Comisión, que no se refleja en la propuesta de CC. Pero las bolsas se opusieron durante las negociaciones debido a la preocupación por la pérdida de ingresos.

El primer procedimiento de selección para la PIC de bonos está previsto para finales de 2024. Previamente, la ESMA redactará las normas técnicas para la selección

 

 

Documentos:

Gótico

Mercados de instrumentos financieros: el «Quick Fix» después del Covid y pasos hacia Mifid 3/Mifir2

Ya hace algunos años que la Directiva 2004/39/CE del Parlamento Europeo y del Consejo, de 21 de abril de 2004, relativa a los mercados de instrumentos financieros fue modificada y que pasó a entrar en vigor  su sustituta, la Directiva 2014/65/UE del Parlamento Europeo y del Consejo, de 15 de mayo de 2014 («MiFID 2») con el Reglamento MIFIR, Actualmente se trabaja en Mifid3 y una nueva versión de MIFIR.  A caballo entre estas dos Directivas, se aprobó en 2021 una modificación de Mifid 2 adaptada para potenciar la recuperación post COVID-19: El llamado Quick Fix Mifid

Quick Fix Mifid

El 26 de febrero de 2021 se publicó en el Diario Oficial de la Unión Europea el llamado «Quick Fix» de la MiFID 2, mediante la Directiva 2021/3381 . El objetivo de esta Directiva de adaptación «rápida» era simplificar determinados requisitos reglamentarios y promover la inversión, reduciendo al mismo tiempo los costes de cumplimiento y la carga burocrática de las empresas de inversión tras la pandemia de COVID-19, sin por ello cejar en el empeño de tutela de inversores. Modificó la MiFID2 en lo que respecta a los requisitos de información, la gobernanza de los productos y los límites de posición. Esta «solución rápida» se basó en la flexibilidad.

Llegan las camelias

La Directiva Quick fix simplificó, en particular, los requisitos de información y notificación de la MiFID 2.

  • En cuanto a las notificaciones, el «Quick Fix» pasó del formato papel a un método electrónico de comunicación (cualquier soporte duradero distinto del papel). Los clientes minoristas pueden seguir exigiendo a las empresas de inversión que les faciliten la información en papel. Las empresas de inversión deben notificar a los clientes minoristas este cambio y el derecho a optar por papel al menos ocho semanas antes de transmitir la información por vía electrónica.
  • Una serie de requisitos MIDIF2 ya no son aplicables a los clientes profesionales (y en el caso de los informes, tampoco es aplicable a ciertas las contrapartes elegibles, conforme a la propia norma), a menos que escojan, por escrito, acogerse a ellos. Estos cambios tenían por objeto simplificar los procesos aunque, en el  sistema de «todo o nada» que se ha diseñado para los clientes profesionales, estos pueden optar por no recibir nada o por recibir todos los informes, sin que se contemplen vías intermedias:

i. el requisito de que las empresas de inversión realicen un análisis coste-beneficio (una prueba de idoneidad) e informen al cliente de si las ventajas superan a los inconvenientes cuando presten asesoramiento en materia de inversión o gestión de carteras que implique el cambio de instrumentos financieros, y

ii. la exigencia de informes ex post sobre los servicios de transacción (que incluyen el tipo y la complejidad de los instrumentos financieros utilizados, la naturaleza del servicio prestado y los costes asociados).

Además, el Quick Fix  introdujo exenciones a la obligación de divulgar costes y gastos, en algunos casos: las empresas de inversión están exentas de divulgar información sobre costes y gastos a los clientes profesionales y contrapartes elegibles si prestan servicios distintos de la gestión de carteras o el asesoramiento en materia de inversión. Los clientes profesionales podrán seguir optando por la información, solicitándola si la desean.  La simplificación -exención- no alcanza a la gestión de carteras o asesoramiento en materia de inversión.

 

  • El Quick Fix suspendió hasta el 28 de febrero de 2023 las reglas de  ejecución óptima del art. 27 (3) de MiFID2, que estaban desarrolladas en la RTS 27 ( Reglamento Delegado (UE) 2017/575 de la Comisión). Es decir, se suspendió la obligación de presentar informes periódicos sobre datos relativos al nivel de calidad de ejecución de las operaciones,  que había sido introducida para que los inversores e intermediarios pudiesen comparar las condiciones de ejecución  de órdenes en distintas plataformas.
  • Por otra parte, permitió -en ciertas condiciones- aplazar la transferencia (información) de los datos sobre costes y gastos tras la conclusión de la operación cuando se utilizaran canales de comunicación a distancia para un acuerdo de compra o de venta de un instrumento financiero. Los requisitos para esta posibilidad son dos: i) que la empresa de servicios de inversión contara con el acuerdo del cliente; y ii) que se prevea  aplazar la ejecución del acuerdo hasta la entrega de los datos al cliente.
          • Esta exención de la obligación de proporcionar información ex ante sobre costes y gastos permite una tramitación más rápida de las órdenes, reduciendo el riesgo de fluctuaciones de precios entre el suministro de la información y la ejecución de las órdenes. Pero, reduce la trasparencia de las operaciones y la comparabilidad entre plataformas y centros de negociación
  • Los servicios de inversión prestados en relación con bonos corporativos con una cláusula make whole (no se incluyen los bonos no complejos) quedaron exentos de los requisitos de gobernanza de producto (por ejemplo, solicitar una autorización para cualquier tipo de instrumento financiero como parte de su desarrollo y/o distribución). El objetivo de esta reforma en 2021 es que los bonos corporativos resulten fácilmente accesibles para los inversores y más baratos de gestionar para los emisores.
          • También, ciertas contrapartes elegibles están exentas de los requisitos de gobernanza de producto aplicables a los instrumentos financieros comercializados o distribuidos exclusivamente a ellas.
  • En el ámbito de los mercados de materias primas, los límites a las posiciones que sólo se aplicaban a los derivados de materias primas significativos o críticos que se negocian en centros de negociación y a los derivados de materias primas agrícolas. (aunque los contratos de derivados OTC no estaban excluidos del régimen) conocieron otra exención pues con el Quick Fix los límites de posición no se aplican a los derivados mantenidos por o en nombre de entidades financieras que ofrecen liquidez a contrapartes no financieras en un grupo predominantemente comercial .

 

  • Se ha simplificado la prueba de la actividad auxiliar. Se exime a los participantes en el mercado de la obligación de estar autorizados como empresas de inversión para participar en los mercados de derechos de emisión si se cumplen determinados requisitos (por ejemplo, que desarrollen meramente una actividad auxiliar de la principal a nivel de grupo).
        • Anteriormente, los participantes en el mercado debían notificar anualmente a las autoridades nacionales competentes si se acogían a la exención, así como facilitar datos específicos para satisfacer determinadas pruebas cuantitativas complejas. El Quick Fix decidió simplificar eliminando el requisito de notificación y volviendo a un nuevo criterio cualitativo de prueba de la actividad auxiliar. Tras esta modificación, la norma RTS 20 de MiFID II será sustituida por un nuevo Reglamento Delegado para la prueba de la actividad auxiliar.
  • La norma de desagregación sufrió un «reagrupamiento». Ahora, la investigación de terceros puede ser obtenida por determinadas empresas de inversión (pequeñas y medianas empresas cuya capitalización bursátil es inferior a 1.000 millones de euros) que ofrecen a sus clientes servicios de gestión de carteras u otros servicios de inversión. Esta innovación ha mejorado la disponibilidad de estudios sobre emisores, así como su capacidad para obtener financiación.
        • Para  ello, las partes deben firmar un acuerdo determinando la parte de los gastos conjuntos que corresponde a la investigación, y deben informar a sus clientes de que se realizan pagos conjuntos.
  • Por último, la AEVM recibió instrucciones en virtud de la directiva Quick Fix para crear un nuevo conjunto obligatorio de normas técnicas reglamentarias relativas, por ejemplo, a los controles de gestión de posiciones y la aplicación de límites de posiciones a los derivados sobre materias primas.

En conjunto, estas modificaciones fueron bien acogidas y permitieron vislumbrar los últimos cambios de la MiFID 2

Rosetón Sur. Pulchra Leonina

Más:

El Quick Fix de la MiFID 2 es relevante para todas las empresas de inversión, bancos y GFIA autorizados a prestar servicios de inversión. Los cambios introducidos en el marco jurídico de la MiFID 2 incluyen

(i) una flexibilización de los requisitos de información y comunicación de información de las empresas de inversión en relación con los clientes profesionales y las contrapartes elegibles, incluso con respecto a la transparencia de los costes, la información periódica y la gobernanza de los productos y (ii) una revisión del régimen de límites de posiciones en derivados sobre materias primas. Estos cambios incluyen:

  • El sistema, por defecto, para que las empresas de inversión se comuniquen con sus clientes será electrónico. No obstante, los clientes minoristas podrán optar por seguir recibiendo información en papel.
  • Si bien MiFID 2 otorga al cliente el derecho a conocer los costes y gastos relacionados con la prestación de servicios de inversión. El Quick Fix prevé una exención para facilitar a los clientes profesionales y a las contrapartes elegibles información sobre costes y gastos en caso de que se presten servicios de inversión distintos del asesoramiento en materia de inversión o la gestión de carteras. Además, habrá una excepción al requisito de transparencia de costes ex ante para los contratos de compra o venta de un instrumento financiero celebrados mediante una técnica de comunicación a distancia, que impide facilitar por adelantado la información sobre costes y gastos.
  • Exime a las empresas de inversión de facilitar informes periódicos a los clientes profesionales y a las contrapartes elegibles. No obstante, los clientes profesionales seguirán teniendo la posibilidad de optar por recibir esta información.
  • Al prestar asesoramiento en materia de inversión o gestión de carteras, las empresas de inversión están obligadas a realizar un análisis coste-beneficio en caso de cambio de instrumentos financieros. Con el Quick Fix  clientes profesionales estarán exentos de estos requisitos a menos que soliciten expresamente tales análisis.
  • El Quick fix introduce dos exenciones a los requisitos de gobernanza de productos de MIFID2 . La primera exención se aplicará a los servicios de inversión prestados en relación con bonos sin derivados incorporados, salvo una cláusula de amortización anticipada. La idea subyacente es que estos bonos pueden considerarse en general productos seguros y sencillos adecuados para clientes no profesionales. La segunda exención implica que los requisitos de gobernanza del producto ya no se aplicarán a los instrumentos financieros que sólo se negocien o distribuyan entre contrapartes elegibles.
    – Agrupación de estudios: En el contexto de la MiFID II, la cuestión de si las empresas de inversión podían (seguir) recibiendo servicios de investigación (o research) de los intermediarios como remuneración no monetaria fue objeto de un gran debate. La antigua práctica de agrupar los servicios y honorarios de los intermediarios entraría en conflicto con la obligación de la empresa de inversión de actuar en el mejor interés del cliente. Las modificaciones de los requisitos de análisis derivadas del Quick Fix permitirán a las empresas agrupar los costes de análisis y ejecución con respecto a los emisores de pequeña y mediana capitalización.

En cuanto a los requisitos sobre derivados de materias primas, se aplican los siguientes cambios principales:

  •  El régimen de límite de posiciones, que ha sido desfavorable para el desarrollo de nuevos mercados de materias primas, deja de ser requisito a los mercados de materias primas iniciales. Los límites de posiciones sólo se aplican a los derivados sobre materias primas críticos o significativos (conforme a la delimitación en la MIFID2/Quick Fix) que se negocien en centros de negociación, y a sus contratos OTC económicamente equivalentes.  Los derivados de materias primas titulizados quedarán explícitamente excluidos de los límites de posiciones.
  • Exención de cobertura: La MiFID 2 no permite exenciones de cobertura para ninguna entidad financiera. El Quick Fix introduce una exención de cobertura para las entidades financieras que negocien por cuenta de entidades no financieras en un grupo predominantemente comercial.
  • La exención para actividades auxiliares prevista en la MiFID II permite a determinados participantes en el mercado operar en los mercados de derechos de emisión sin tener que estar autorizados como empresas de inversión, siempre que se cumplan determinadas condiciones. Tras el Quick Fix, los participantes en el mercado que se acojan a la exención sólo deberán realizar una prueba simplificada de actividad auxiliar.

El Quick Fix fue aprobado para limitar la carga administrativa post crisis. Pero no sustituye la reforma general de MIFID2

 

No Eume- Ponte do Eume

Reforma general

Prosigue la revisión programada de MiFIR conforme a la Propuesta de Reglamento por el que se modifica el Reglamento (UE) n.º 600/2014 en lo que se refiere a la mejora de la transparencia de los datos de mercado, la eliminación de obstáculos al establecimiento de un sistema de información consolidada, la optimización de las obligaciones de negociación y la prohibición de recibir pagos por la transmisión de órdenes de clientes COM/2021/727 final,  También, según la Propuesta de Directiva por la que se modifica la Directiva 2014/65/UE relativa a los mercados de instrumentos financieros COM/2021/726 final. La Comisión Europea (CE) publicó estas propuestas de reforma el 25 de noviembre de 2021, dentro de  las medidas de aplicación de la Unión de Mercados de Capitales (UMC)

Las áreas que exigen reformas prioritarias incluyen: la mejora en la transparencia y la disponibilidad de los datos del mercado; en la igualdad de condiciones entre los centros de ejecución, y garantizar que las infraestructuras de mercado de la UE puedan seguir siendo competitivas a escala internacional y reforzar el papel internacional del euro.

La  propuestas incluyen medidas para ayudar a la creación y aplicación de una base de datos centralizada o cinta consolidada (pasa de MiFID 2 al Reglamento, MiFIR). Su objetivo principal es contribuir a crear una visión integrada de la negociación en la UE, mejorar la transparencia de los procesos en relación con los centros de negociación potenciar los mercados como instrumentos para financiar las empresas e igualar  las condiciones de los centros de ejecución. La Comisión insiste en que  «la cinta consolidada será suministrada por el sector privado, bajo la supervisión de la ESMA». Las disposiciones relativas a la cinta se trasladan de la MiFID 2 al MiFIR, con lo que serán directamente aplicables y con un enfoque armonizado en toda la UE.

Transmisión de acciones y participaciones. VII CONGRESO NACIONAL DE SOCIEDADES (y Premio Dr Antonio Pérez de la Cruz). Málaga, 1 y 2 febrero 2024

 Calienta motores el VII Congreso Nacional de Sociedades de la Universidad de Málaga, uno de los encuentros más prestigiosos del mercantilismo español, cita anual de especialistas en derecho societario.

Bajo el título «Transmisión de acciones y participaciones sociales” , el VII CNS reúne en la capital malacitana a destacadísimos ponentes y conferenciantes. Aglutina a académicos, notarios, registradores, jueces y otros profesionales. Desde la UMA, los juristas mercantilistas han propuesto este magnífico programa científico, y una serie de actividades , incluyendo el apetecible programa social , que se pueden consultar en su WEB., , así como en la Secretaría técnica del Congreso (info@congresoderechodesociedades.es)

Quedan aún (pocas) plazas, pero es posible inscribirse en este enlace

 

La transmisión de acciones y de participaciones se sitúa entre los aspectos más cruciales de la organización de la empresa a través de sociedades de capital. Captación de recursos para nuevos proyectos, equilibrios de poder, salida de socios, impacto de los pactos estatutarios y para sociales, son sólo algunos de los aspectos que serán objeto de atención en estas jornadas, y que se poyan en el régimen legal estatutario o pactado fuera de estatutos para la libre (o no tan libre) transmisión de capital mediante las acciones y las participaciones.

La organización de Congresos Nacionales forma parte de las actividades académicas más laboriosas, más apoyadas en equipo, más gratificantes. Y también entre las que más se agradece a sus promotores, que en este caso son tan excelentes científicos como anfitriones. Felicidades especialmente al Profesor Juan Ignacio Peinado Gracia y a la Profesora Belén González Fernández directores de este evento. También a los Profesores Eugenio Olmedo Peralta,  Reyes Palá Laguna, José Antonio García Cruces, Antonio Perdices Hueto, Antonio Roncero Sánchez, Nuria Fernández Pérez, al resto de excelentes ponentes y al conjunto del Área de Derecho Mercantil de la UMA. Y, por supuesto al conjunto de organizaciones asociadas y colaboradoras que incluyen a entidades financieras, editorial de primer nivel, organizaciones profesionales y entidades provinciales. Todas ellas contribuyendo a la excelencia de este Congreso de referencia.

En las gradas, buena parte de los mercantilistas coincidiremos una vez más es la cita de Málaga en torno a este evento para aprender, compartir y generar conocimiento.

 

Gracias, por estas 7 ediciones, y muchísimos ánimos para continuar el buen trabajo

 

 

Certificaciones de Ciberseguridad en la UE

El Reglamento (UE) 2019/881 del Parlamento Europeo y del Consejo, de 17 de abril de 2019, relativo a ENISA (Agencia de la Unión Europea para la Ciberseguridad) y a la certificación de la ciberseguridad de las tecnologías de la información y la comunicación y por el que se deroga el Reglamento (UE) n.o 526/2013 establece un nuevo marco para la certificación  de sistemas de ciberseguridad en la UE. Este Reglamento se conoce también como Reglamento de Ciberseguridad

 

Destacan estas definiciones:

  • «esquema europeo de certificación de la ciberseguridad»: conjunto completo, de disposiciones, requisitos técnicos, normas y procedimientos establecidos a escala de la Unión y que se aplican a la certificación o evaluación de la conformidad de los productos, servicios y procesos de TIC específicos.
    • Su objeto es garantizar que los productos, servicios y procesos de TIC certificados con arreglo a un esquema cumplan los requisitos especificados con objeto de proteger la disponibilidad, autenticidad, integridad y confidencialidad de los datos almacenados, transmitidos o procesados o las funciones conexas de estos productos, servicios y procesos a lo largo de su ciclo de vida, o los servicios ofrecidos por ellos o accesibles a través de ellos.
    • Conforme al artículo 48 del Reglamento de Ciberseguridad, (Reglamento (UE) 2019/881 del Parlamento Europeo y del Consejo),  podrá solicitarse a ENISA que prepare una propuesta de esquema o que revise un esquema europeo de certificación de la ciberseguridad existente, dentro del programa de trabajo evolutivo de la Unión o excepcionalmente fuera de ese programa con lo que el mismo será actualizado en consecuencia.
  • «certificado europeo de ciberseguridad»: documento expedido por el organismo pertinente que certifica que determinado, producto, servicio o proceso de TIC ha sido evaluado para verificar que cumple los requisitos específicos de seguridad establecidos en un esquema europeo de certificación de la ciberseguridad
  • «esquema nacional de certificación de la ciberseguridad»: conjunto completo de disposiciones, requisitos técnicos, normas y procedimientos desarrollados y adoptados por una autoridad pública nacional, y que se aplican a la certificación o a la evaluación de la conformidad de los productos, servicios y procesos de TIC incluidos en el ámbito de aplicación de dicho esquema específico;

 

Se relacionan con otras disposiciones

  •  «acreditación»: declaración por un organismo nacional de acreditación de que un organismo de evaluación de la conformidad cumple los requisitos fijados con arreglo a normas armonizadas y, cuando proceda, otros requisitos adicionales, incluidos los establecidos en los esquemas sectoriales pertinentes, para ejercer actividades específicas de evaluación de la conformidad . -ello, conforme al artículo 2, punto 10, del Reglamento (CE) n.o 765/2008:
  • «organismo nacional de acreditación»: el único organismo de un Estado miembro con potestad pública para llevar a cabo acreditaciones; conforme al artículo 2, punto 11, del Reglamento (CE) n.o 765/2008. Conforme a la STJUE en Garaciolo (C-142/20) este organismo debe estar situado necesariamente en el territorio del Estado en cuestión
  • «evaluación de la conformidad»: proceso por el que se demuestra si se cumplen los requisitos específicos relativos a un producto, un proceso, un servicio, un sistema, una persona o un organismo, según se define en el artículo 2, punto 12, del Reglamento (CE) n.o 765/2008;
  • «organismo de evaluación de la conformidad»: organismo que desempeña actividades de evaluación de la conformidad, que incluyen calibración, ensayo, certificación e inspección, tal como se señala en el en el artículo 2, punto 13, del Reglamento (CE) n.o 765/2008;
  • «norma»: una norma según se define en el artículo 2, punto 1, del Reglamento (UE) n.o 1025/2012;
  • «especificación técnica»: un documento que prescribe los requisitos técnicos que debe cumplir un producto, servicio o proceso de TIC, o procedimientos de evaluación de la conformidad relativos a los mismos. Las especificaciones técnicas que deben utilizarse en un esquema europeo de certificación de la ciberseguridad deben respetar los requisitos establecidos en el anexo II del Reglamento (UE) n.o 1025/2012 del Parlamento Europeo y del Consejo. No obstante, podrían considerarse necesarias algunas variaciones con respecto a estos requisitos en casos debidamente justificados en los que dichas especificaciones técnicas vayan a utilizarse en un esquema europeo de certificación de la ciberseguridad de nivel de garantía «elevado». Los motivos que justifican tales variaciones deben hacerse público

Recuérdese que conforme al Reglamento (UE) no 1025/2012, artículo 10 (6): Cuando una norma armonizada cumpla los requisitos que está previsto que regule, establecidos en la correspondiente legislación de armonización de la Unión, la Comisión publicará sin demora una referencia a dicha norma armonizada en el Diario Oficial de la Unión Europea o por otros medios, con arreglo a las condiciones establecidas en el correspondiente acto de la legislación de armonización de la Unión. 

 

 

San Froilán. A propósito….

Con motivo de las Fiestas de San Froilán en León, actualizamos esta entrada, con nuestros deseos de

Felices Fiestas

Video «San Froilán 2023-León» (tributos de las 100 doncellas, cantaderas…. y otras bellas historias y tradiciones)

El 5 de octubre celebramos la festividad de San Froilán, especialmente en la ciudad de León donde  en el año 904 murió como obispo.

También se celebra en la cercana Lugo, extramuros de cuya villa nació este buen hombre allá por el 832. Santo católico y personaje de talla excepcional en la historiografía hispana en una época no exenta de encanto,s como nos contaba D Cláudio Sánchez Albornóz, en sus Estampas de aquella vida del S. X en León. También Fr Athanasio de Lobera en Grandezas de la muy antigua e insigne ciudad de León se refiere al obispo alabando la proclamación del Santo como Patrón de la Catedral.  Y, aunque de modo escueto, San Froilán está mencionado en el Antifonario Mozárabe de la Catedral de León; documento que contiene una forma música litúrgica escrita sin pentagramas (el de León, es único en su clase por conservarse íntegro).

Sirva esta festividad para animar a visitarnos, en cualquier fecha, pero en especial en estos días de gamonita. Y, porque no, para recordar a uno de esos personajes históricos que han calado en los pueblos por la veneración  que supieron granjearse ya en vida.

Froilán es representando en la imaginería con un lobo- dañu-, el que según la leyenda habría comido su albarduneiru, (burru), y por ello quedado al servicio del Santo hombre. Es una figura relevante en los primeros años de la Reconquista y repoblación de la península. Y, de ser cierta la improbable leyenda del dañu, habría sido un personaje de buena convivencia con las fieras y la naturaleza. Andariego de montes a campus, con retestero tamien con regañon, entre chicharras, renabueys, abajarrucos y otras bestias cruzando regueros, repousando en morrillos… Sabemos gracias  una biografía mozárabe que no estaba mal visto en la corte de la época, y que fue aclamado por sus coetáneos que acudían a él en busca de consejo y protección.

San Froilán fue un  ermitaño, repoblador  y obispo venerado. Se inició joven su vida eremítica y de evangelizador en las zonas rurales y ciudades de Galicia, Asturias y León, especialmente entre el monte Cucurrino (Curueño) y Viseu y la montaña entre Cebreiro y el Bierzo, fue maestro de San Atilano (quien llegaría a ser obispo de Zamora). Dedicado a la oración y predicación, fundó y repobló monasterios que, además de su función, religiosa constituían un apoyo a los iniciales asentamientos en territorios de avanzadilla en la Reconquista. Así lo entendía el Rey Alfonso III que concedió al Santo potestad de abrir nuevos cenobios al amparo de los cuales irían configurándose poblados. El 19 de mayo del año 900, dicen que por petición del pueblo de León al Rey, fue nombrado Obispo de la Diócesis de León, dignidad que le acompañó hasta el final de sus días.

Al fallecer, sus restos fueron depositados en un sepulcro que Alfonso III había hecho labrar para sí mismo en la catedral de Santa María y San Cipriano de León, de donde fueron trasladados en 916 por orden del monarca Ordoño II a la nueva catedral. Cuando Almanzor saqueó la ciudad (990-992), las reliquias del santo fueron a parar a la iglesia de San Juan de Valdecésar, y de allí  al monasterio cisterciense de Moreruela. Los leoneses solicitaron en 1191 la mediación del legado papal para recuperar algunos restos; como haría Lugo algunos siglos después.

Más datos en la Biblioteca digital leonesa

Viva San Froilán!

(texto publicado por primera vez en este blog el 30.09.2016, en León)

 

Dominio. eu, primer nivel- Informe periódico y anotaciones sobre su funcionamiento

Acaba de publicarte un informe periódico de la Comisión sobre el  ejercicio del poder para adoptar actos delegados en virtud del Reglamento (UE) 2019/517 del Parlamento Europeo y del Consejo sobre la aplicación y el funcionamiento del nombre de dominio de primer nivel «.eu». Recuérdese que el dominio .eu es  representa un nombre de dominio de nivel superior con código de país (ccTLD) para la Unión Europea (UE).

El 19 de marzo de 2019, el Parlamento Europeo y el Consejo adoptaron el Reglamento (UE) 2019/517 sobre la aplicación y el funcionamiento del nombre de dominio de primer nivel «.eu» . Este Reglamento «basado en Principios»  se concibió para mejorar el potencial del dominio, dotarle de flexibilidad y adaptabilidad al mercado de nombres de dominio y facultó a la Comisión Europea para que durante 5 años adoptase actos delegados y de ejecución para establecer criterios y procedimientos en la selección del Registro de nombres de dominio de primer nivel «.eu» y para su funcionamiento conforme a criterios de apertura, transparencia y no discriminación. (Ver aquí resumen sobre este Reglamento)

La Comisión adoptó así el Reglamento Delegado (UE) 2020/1083 de la Comisión, de 14 de mayo de 2020, por el que se completa el Reglamento (UE) 2019/517 del Parlamento Europeo y del Consejo mediante el establecimiento de los criterios de admisibilidad y de selección, así como del procedimiento de designación del Registro del nombre de dominio de primer nivel «.eu». En este Reglamento Delegado se contemplan los criterios de admisibilidad y selección, así como el procedimiento de designación del Registro para la organización, administración y gestión del dominio de primer nivel «.eu». Para elaborar este acto delegado, la Comisión consultó a expertos de los Estados miembros en el ámbito de la gobernanza de internet en el marco del Grupo de Alto Nivel sobre la Gobernanza de Internet (HLIG) que actúa como plataforma a través de la cual la Comisión y los Estados miembros intercambian información y armonizan sus posiciones. La Comisión también se invitó a representantes del Parlamento Europeo y del Consejo a participar en las reuniones del HLIG en las que se debatió la propuesta de Reglamento Delegado

  • El Reglamento Delegado (UE) 2020/1083 de la Comisión establece criterios de admisibilidad para que el Registro sea una organización sin ánimo de lucro, constituida de conformidad con la legislación de un Estado miembro, con domicilio social, administración central y centro de actividad principal en la UE; y para que la infraestructura que le permita desempeñar las funciones esenciales del Registro también esté situada en la Unión.
  • El Reglamento Delegado (UE) 2020/1083 de la Comisión establece  los criterios de selección y su peso respectivo en la puntuación total de evaluación de los candidatos.
    • El criterio de «calidad del servicio»  exige que los candidatos persigan la excelencia operativa y garanticen un servicio de alta calidad a precios competitivos.
    • El criterio «recursos humanos y técnicos»  exige que los candidatos garanticen que sus recursos son suficientes para desempeñar las funciones necesarias para organizar, administrar y gestionar del dominio de primer nivel «.eu» y que los servicios prestados garantizan una alta calidad, transparencia, seguridad, estabilidad, previsibilidad, fiabilidad, accesibilidad, eficiencia, no discriminación, condiciones de competencia justas y protección de los consumidores.
    • El criterio «capacidad financiera y cumplimiento»  exige que los solicitantes demuestren la seguridad y estabilidad financieras adecuadas para cumplir las tareas del Registro.
    • Los criterios establecidos en el Reglamento Delegado (UE) 2020/1083 basan el desarrollo del procedimiento  de selección del nuevo Registro. Y así la Comisión adoptó la Decisión de Ejecución (UE) 2021/1878, de 25 de octubre de 2021 , sobre la designación del Registro del dominio de primer nivel «.eu», y firmó posteriormente el contrato de concesión de servicios para la administración y la gestión de dicho dominio con el Registro Europeo de Nombres de Dominio de Internet (EURid) por un período de cinco años.
Más

Estándares Internacionales de Sostenibilidad y de Lucha contra el cambio climático

El 26 de junio de 2023, el Consejo de Normas Internacionales de Sostenibilidad/International Sustainability Standards Board -ISSB- de la Fundación IFRS emitió borradores sobre nuevas Normas, sobre divulgaciones generales relacionadas con la sostenibilidad (en general) , las SASB 1. Y, las normas  sobre divulgaciones relacionadas en particular con el clima SASB 2:

strolling along the shore

Ambos estándares están siendo objeto de análisis para una eventual adopción  por organismos como la Organización Internacional de Comisiones de Valores -IOSCO-. Ver aquí 

  • Estas normas, que fueron contrastadas por los expertos del IFRS en materia de sostenibilidad,  se redactaron para facilitar la comparabilidad, la coherencia y la utilidad de las divulgaciones financieras relacionadas con la sostenibilidad y con el clima. Su primera versión data de 2017
  • La Fundación IFRS es una organización sin ánimo de lucro establecida para desarrollar normas contables y de divulgación. Cuenta con dos órganos que generan normas: el Consejo de Normas Internacionales de Contabilidad (IASB) y el Consejo de Normas Internacionales de Sostenibilidad (ISSB), esta última es la autora de los estándares de los que se da noticia en esta entrada.
  • En agosto de 2022, la Fundación IFRS asumió la responsabilidad de las Normas SASB al fusionarse con la Value Reporting Foundation (VRF), la organización mundial sin ánimo de lucro que anteriormente mantenía estas Normas y había redactado las versiones previas. Y, en ese marco creó el ISSB

Por otro lado, las nuevas versiones de SASBs se basan en las recomendaciones del Grupo de trabajo sobre el clima del  Consejo de Estabilidad financiera o FSB (TCFD). Los 30 miembros  del «Task Force»  TCFD son entidades inversoras, aseguradoras, grandes empresas no financieras, firmas de contabilidad y consultoría y agencias de calificación crediticia. Como es sabido, este  TCFD fue establecido por el Consejo de Estabilidad Financiera en 2015 para desarrollar un conjunto de recomendaciones de divulgación coherentes, voluntarias y útiles sobre riesgos financieros relacionados con el clima.

  • Recuérdese que en el pasado, el FSB publicó una hoja de ruta para abordar los riesgos financieros del cambio climático , que fue respaldada por el G20 en julio de 2021 y establecía un plan integral para abordar los riesgos financieros relacionados con el clima, que incluye pasos y plazos indicativos en cuatro áreas  principales: divulgaciones a nivel de empresa, datos, vulnerabilidades y prácticas y herramientas de regulación y supervisión. En 2022 se habían publicado sendos borradores de las normas ahora adoptadas, tan lo relativa a clima, como la relativa a sostenibilidad en general

Los SASB Standards  están diseñados para que las organizaciones que las apliquen ofrezcan trasparencia relacionada con la sostenibilidad y el clima. Y para dar difusión a los riesgos y oportunidades de inversión relacionados con tales criterios y que afectan al valor de las empresas y operadores. Concretamente, identifican un conjunto de indicadores ambientales, sociales y de gobernanza que resultan relevantes para la operatividad financiera y la generación de valor en 77 sectores industriales. Fueron elaborados a través de procesos rigurosos y trasparentes   apoyados en amplias consultas y han recibido el apoyo de las organizaciones de inversores.

Más:

 

 

 

Nuevo Reglamento General de Seguridad de los Productos en la UE

El 23 de mayo de 2023, la UE publicó el nuevo Reglamento general de seguridad de los productos (RGSP). Este Reglamento entró en vigor el 12 de junio de 2023 y establece un periodo transitorio de 18 meses de adaptación para los Estados miembros de la UE y entidades que deban cumplirlo. Su plena aplicación comenzará el 13 de diciembre de 2024.

No establece obligaciones contractuales de derecho privado relativas a la seguridad. Éstas deberán buscarse en la futura Directiva  de productos defectuosos. (Propuesta de Directiva sobre responsabilidad por los daños causados por productos defectuosos, publicada el 28.09.2022). Sin embargo, al imponer el RGSP que  sólo se pueden comercializar en la UE los productos que puedan calificarse como seguros viene a imponer implícitamente un estándar de seguridad. Además, este Reglamento plantea nuevos requisitos relacionados con la notificación de efectos adversos, las evaluaciones de riesgos previos a la comercialización, las retiradas de circulación de productos como consecuencia de fallos en la seguridad; así como otros relacionados con el etiquetado y con la documentación de los productos. El RDSP  incluye expresamente disposiciones que permiten entablar acciones colectivas

Camelia
SEGURIDAD DE PRODUCTOS COMERCIALIZADOS EN LA UE

 

  • El art 5 define el principio universal de que sólo se pueden introducir o comercializar  en la UE productos que sean seguros. A continuación, y a lo  largo del texto articulado, este principio va tomando forma y adoptando manifestaciones concretas. Destacadamente establece presunciones de seguridad, en el sentido de que la conformidad con las normas de certificación  publicadas en el DOUE en relación con determinados riesgos (conforme al art 10, apartado 7, Reglamento 1025/2012); y la conformidad con normas nacionales de similar alcance tienen como efecto activar tal presunción.
  • Los fabricantes deberán informar «sin demora» de los «accidentes causados por un producto» si éste está relacionado  o implicado en un incidente con resultado de muerte o «efectos adversos graves para la salud y la seguridad».
    • Los productos sólo pueden ser introducidos en el mercado de la UE cuando exista un operador económico establecido en la Unión que sea responsable de las tareas establecidas en el artículo 4, apartado 3, del Reglamento (UE) 2019/1020 respecto de dicho producto.

 

 

  • La Comisión podrá introducir requisitos de trazabilidad para determinados productos o categorías o grupos de productos que pueden presentar un riesgo grave para la salud y la seguridad de los consumidores, habida cuenta de los accidentes registrados en el portal Safety Business Gateway, las estadísticas de Safety Gate, los resultados de las actividades conjuntas en materia de seguridad de los productos y otros indicadores o pruebas pertinentes, y después de consultar a la Red de Seguridad de los Consumidores y a los grupos de expertos y partes interesadas pertinentes (Art 18.1)
  • Si la Comisión tuviera conocimiento de un producto o de una categoría o grupo específico de productos que presente un riesgo grave para la salud y la seguridad de los consumidores, podrá adoptar, por iniciativa propia o a petición de los Estados miembros y mediante actos de ejecución, medidas adecuadas adaptadas a la gravedad y a la urgencia de la situación en los términos del art 28.
RECUPERACIÓN DESPUÉS DE UN SINIESTRO

El Reglamento crea la categoría del operador de recuperación o  «responsable» de la recuperación. Este responsable es quien elabora y comunica a los consumidores el restablecimiento o  aviso de recuperación. En el aviso de recuperación se ofrecen soluciones entre las que el consumidor puede elegir (art 37 ). El operador de recuperación puede ser distinto del que haya emitido una «advertencia de seguridad».

    • Opciones para el consumidor:
      • El operador económico debe ofrecer al consumidor la elección entre al menos dos de estas soluciones: a) la reparación del producto sujeto a recuperación; b) la sustitución del producto sujeto a recuperación por un producto seguro del mismo tipo y de, al menos, igual valor y calidad, o c) el reembolso adecuado del valor del producto sujeto a recuperación, siempre que el importe del reembolso sea al menos igual al precio abonado por el consumidor. Sólo excepcionalmente, el operador económico podrá ofrecer al consumidor una única solución cuando otras soluciones no sean posibles o cuando acarreen costes desproporcionados para el operador responsable, en comparación con la solución ofrecida,  y considerando todas las circunstancias concurrentes
    • Las opciones que se deben ofrecer no obstan para la aplicación de la Directiva (UE) 2019/770 del Parlamento Europeo y del Consejo, de 20 de mayo de 2019, relativa a determinados aspectos de los contratos de suministro de contenidos y servicios digitales; y de la Directiva ; y de la Directiva (UE) 2019/771 del Parlamento Europeo y del Consejo, de 20 de mayo de 2019, relativa a determinados aspectos de los contratos de compraventa de bienes, por la que se modifican el Reglamento (CE) n.° 2017/2394 y la Directiva 2009/22/CE y se deroga la Directiva 1999/44/CE
    • Alertas y web con incidentes. Conforme a los arts 25 y ss la Comisión mantendrá en funcionamiento un sistema de alertas rápidas con la denominación de Safety Gate.
      • También, y conforme al art 34, un Portal Safety Gate que permitirá al público en general consultar, gratuitamente y sin restricciones, la información esencial sobre productos inseguros (información seleccionada y notificada de conformidad con el artículo 26).
      • Adicionalmente, la Comisión mantendrá un Portal Safety Business Gateway en el que los operadores económicos y los prestadores de mercados en línea puedan proporcionar de manera sencilla a las autoridades de vigilancia del mercado y a los consumidores determinada información (art 27)
MERCADOS EN LÍNEA

Los prestadores de mercados en línea también deben cooperar en las recuperaciones de productos y la notificación de accidentes. El artículo 22 del Reglamento impone obligaciones específicas a los operadores de mercados en línea:  una obligación amplia de notificar «accidentes causados por un producto… que provoquen un riesgo grave o un daño real para la salud o la seguridad de un consumidor». Por otro lado: los prestadores de mercados en línea designarán un punto único de contacto que permita la comunicación directa, por medios electrónicos, con las autoridades de vigilancia del mercado de los Estados miembros en relación con cuestiones de seguridad de los productos

COMUNICACIONES RELATIVAS A PRODUCTOS DEFECTUOSOS EN SUPUESTOS ESPECIALES

los operadores económicos y los prestadores de mercados en línea deben garantizar que incluyen la posibilidad de ponerse directamente en contacto con los consumidores en caso de recuperación o advertencia de seguridad que les afecte, en los programas de fidelización y los sistemas de registro de productos existentes, a través de los cuales se pide a los clientes que, tras haber adquirido un producto, comuniquen voluntariamente al fabricante determinada información, como su nombre, información de contacto, el modelo del producto o el número de serie.

SOBRE LA APLICACIÓN DE ESTE REGLAMENTO
  • Pese a la aplicación general de éste Reglamento, ésta se entenderá sin perjuicio de las disposiciones establecidas por el Derecho de la UE en materia de protección de los consumidores, y del principio de cautela.
  • Se aplica a los productos (nuevos, usados, reparados, reacondicionados)  que se introduzcan en el mercado o que se comercialicen en la UE, en la medida en que no existan disposiciones específicas con la misma finalidad en el Derecho de la UE. Es decir, es derecho general subsidiario que se aplica en toda la UE cuando no existan disposiciones específicas que regulen la seguridad de los productos. En el caso de que determinados productos estén sujetos a requisitos específicos de seguridad impuestos por el Derecho de la UE, el reglamento se aplicará únicamente a los aspectos, riesgos o categorías de riesgo que no estén cubiertos por esos requisitos. Pero, por lo que respecta a los productos que ya estén sujetos a requisitos específicos impuestos por otra legislación de armonización de la UE:
      • no se les aplica el capítulo II (Requisitos de seguridad) en cuanto a los riesgos o categorías de riesgo cubiertos por legislación de armonización de la UE;
      • no se les aplican el capítulo III (Obligaciones de los operadores económicos), sección 1 (Obligaciones de los fabricantes), los capítulos (Vigilancia del mercado y ejecución) y VII (Función de la Comisión y coordinación de la garantía del cumplimiento), ni los capítulos IX a XI (Cooperación internacional, Disposiciones financieras y Disposiciones finales).

     Tampoco se aplica a:

Hugo’s pool
      • medicamentos de uso humano o veterinario;
      • alimentos;
      • piensos;
      • plantas y animales vivos, organismos modificados genéticamente y microorganismos modificados genéticamente en utilización confinada, así como productos procedentes de vegetales y animales directamente relacionados con su futura reproducción;
      • subproductos animales y productos derivados;
      • productos fitosanitarios;
      • equipos en los que los consumidores montan o en los que viajan, cuando dichos equipos sean manejados directamente por un prestador de servicios en el contexto de un servicio de transporte prestado a los consumidores, y no por los propios consumidores;
      • aeronaves;
      • antigüedades.

 

 

 

VER un comentario inicial (y parcial) del Profesor Ángel Carrasco Perera

TJUE: Derecho a conocer las veces y los fines que el banco accedió a los datos personales de un cliente (y empleado).

La sentencia del TJUE de 22 de junio de 2023, en el asunto C‑579/21, resuelve una petición prejudicial que versa sobre la interpretación del artículo 15, apartado 1, del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (RGPD)

HECHOS

A lo largo de 2014, un empleado y  cliente del banco Pankki S supo que sus datos personales habían sido consultados, en varias ocasiones, por otros miembros del personal del banco a lo largo de los meses precedentes. Este empleado fue despedido, y solicitó al banco  el 29 de mayo de 2018 la identidad de las personas que habían consultado sus datos, las fechas exactas de las consultas y los fines del tratamiento de dichos datos. El banco se negó a comunicar los nombres de los trabajadores implicados, pero si que entregó alguna información: detalló las consultas efectuadas por su servicio de auditoría interna. El banco explicó que había realizado investigaciones para averiguar si se habían producido situaciones de conflicto de intereses. Ocurría que uno de sus clientes del quien el empleado solicitante era asesor, era acreedor de una persona que tenía el mismo apellido que el solicitante. El banco quiso aclarar si el solicitante y el deudor eran la misma persona por lo que hubo de tratar datos. Y ello le había permitido descartar que se hubiesen producido conflictos de intereses. Añadió el banco que cada miembro del personal del banco que había tratado esos datos había presentado al servicio de auditoría interna una declaración sobre los motivos del tratamiento de datos.

En la fundamentación de esta resolución se menciona  que:

    • Según reiterada jurisprudencia, la interpretación de una disposición del Derecho de la Unión requiere tener en cuenta no solo su tenor, sino también su contexto, así como los objetivos y la finalidad que persigue el acto del que forma parte [sentencia de 12 de enero de 2023, Österreichische Post (Información relativa a los destinatarios de datos personales), C‑154/21, EU:C:2023:3, apartado 29]. También que conforme a la jurisprudencia previa, el interesado tiene derecho a obtener del responsable del tratamiento información sobre los destinatarios concretos a los que hayan sido o vayan a ser comunicados los datos personales que le conciernen [sentencia de 12 de enero de 2023, Österreichische Post (Información relativa a los destinatarios de datos personales), C‑154/21, EU:C:2023:3, apartado 46]
    • El artículo 15, apartado 1, del RGPD establece que el interesado tiene derecho a obtener del responsable del tratamiento confirmación de si se están tratando o no datos personales que le conciernen y, en tal caso, derecho de acceso a los datos personales y a la información relativa, en particular, a los fines del tratamiento y a los destinatarios o a las categorías de destinatarios a los que se comunicaron o serán comunicados esos datos personales.
    • En virtud del considerando 4 del RGPD, el derecho a la protección de los datos personales no es un derecho absoluto, sino que debe interpretarse en relación con su función en la sociedad y mantener el equilibrio con otros derechos fundamentales (sentencia de 16 de julio de 2020, Facebook Ireland y Schrems, C‑311/18, EU:C:2020:559, apartado 172)
FALLO

El TJUE concluye que la información relativa a operaciones de consulta de datos personales de una persona, relativas a las fechas y a los fines de estas operaciones, constituye información que esa persona tiene derecho a obtener del responsable del tratamiento. 

  • La información relativa a las personas concretas que llevaron a cabo la consulta de los datos personales del interesado podría constituir, a su vez, información comprendida en el ámbito de aplicación del artículo 4, punto 1, del RGPD; es decir, datos personales
  • Cuando están en juego intereses contradictorios, debe procederse a la ponderación (conforme a lo ya establecido en la sentencia de 4 de mayo de 2023, Österreichische Datenschutzbehörde y CRIF, C‑487/21, EU:C:2023:369, apartado 44).

En este sentido, el TJUE dictamina que el RGPD no consagra el derecho a información relativa a la identidad de los empleados que llevaron a cabo esas operaciones de conformidad con las instrucciones del responsable del tratamiento, a menos que esa información sea indispensable para permitir al interesado ejercer efectivamente los derechos que le confiere ese Reglamento y siempre bajo la condición de que se tengan en cuenta los derechos y libertades de esos empleados. En caso de conflicto entre el ejercicio del derecho de acceso que garantice la eficacia de los derechos reconocidos por el RGPD y por otro, los derechos o libertades de otros, debe hacerse una ponderación entre los derechos y libertades en cuestión y optarse por modalidades que no vulneren esos derechos o esas libertades.

Además, el Tribunal de Justicia declara que el hecho de que el responsable del tratamiento desarrolle una actividad bancaria en el marco de una actividad reglada, y de que la persona cuyos datos personales fueron tratados en su condición de cliente del responsable del tratamiento también fuera empleada de ese responsable no influye, en principio, en el alcance del derecho del que goza esa persona.

 

 

TJUE . Los llamados «programas de fidelización». El concepto de consumidor revisitado. Case Law on Lesson 5 IBL

El TJUE revisita el concepto de consumidor en la sentencia de 8 de junio de 2023 vertida el  en el asunto   C‑455/21. Resuelve así una petición de decisión prejudicial planteada, con arreglo al artículo 267 TFUE, por el Tribunal de Distrito de Olt, Rumanía

Merindades burgalesas
Merindades burgalesas
ANTECEDENTES, HECHOS, FUNDAMENTOS

El demandante en el litigio principal,  una persona física, un ingeniero mecánico, y alega que no actúa en desarrollo de actividades comerciales a título profesional a los efectos de este litigio

El demandante celebró con la mercantil Lyoness Europe (demandada en el litigio principal subyacente) un contrato de adhesión a un programa de fidelización llamado sistema Lyoness que permitía a los «clientes fieles» beneficiarse de reembolsos en las compras, comisiones y otras ventajas en las empresas que formaban parte del sistema. Estos clientes también podían actuar como intermediarios para la adhesión de otras personas a él. Según el contrato de adhesión, el Derecho aplicable a la relación contractual entre las partes del litigio principal es el Derecho suizo.

Recuérdese que el artículo 6 de la Directiva 93/13 establece: «1.      Los Estados miembros establecerán que no vincularán al consumidor, en las condiciones estipuladas por sus derechos nacionales, las cláusulas abusivas que figuren en un contrato celebrado entre este y un profesional y dispondrán que el contrato siga siendo obligatorio para las partes en los mismos términos, si este puede subsistir sin las cláusulas abusivas. 2.      Los Estados miembros adoptarán las medidas necesarias para que el consumidor no se vea privado de la protección que ofrece la presente Directiva por el hecho de haber elegido el derecho de un Estado tercero como derecho aplicable al contrato cuando el contrato mantenga una estrecha relación con el territorio de un Estado miembro de la Comunidad.». 

En cuanto al Reglamento Roma I (Reglamento (CE) n.º 593/2008 del Parlamento Europeo y del Consejo, de 17 de junio de 2008, sobre la ley aplicable a las obligaciones contractuales (considerandos 7 y 25): «El ámbito de aplicación material y las disposiciones del presente Reglamento deben garantizar la coherencia con el Reglamento (CE) n.º 44/2001 del Consejo, de 22 de diciembre de 2000, relativo a la competencia judicial, el reconocimiento y la ejecución de resoluciones judiciales en materia civil y mercantil»…. «Los consumidores deben quedar protegidos por las disposiciones del país de su residencia habitual que no puedan excluirse mediante acuerdo, siempre que el contrato se haya celebrado en el marco de las actividades comerciales o profesionales ejercidas por el profesional en el país de que se trata». 

El artículo 6 apartado 1 del Reglamento Roma 1 establece: «…., el contrato celebrado por una persona física para un uso que pueda considerarse ajeno a su actividad comercial o profesional (“el consumidor”) con otra persona (“el profesional”) que actúe en ejercicio de su actividad comercial o profesional, se regirá por la ley del país en que el consumidor tenga su residencia habitual, siempre que el profesional: a) ejerza sus actividades comerciales o profesionales en el país donde el consumidor tenga su residencia habitual, o b) por cualquier medio dirija estas actividades a ese país o a distintos países, incluido ese país, y el contrato estuviera comprendido en el ámbito de dichas actividades».

En este asunto, el demandante consideró que diversas cláusulas incluidas en el contrato de adhesión, titulado «Condiciones generales de venta para los clientes Lyoness» (en su versión de noviembre de 2009), así como en el anexo de este, titulado «Reembolsos Lyoness y condiciones de pago», eran «abusivas», en el sentido del artículo 1, apartado 3, de la Ley n.º 193/2000. Por ello, presentó una demanda ante el Tribunal de Primera Instancia de Slatina, Rumanía, solicitando que declarase que tales cláusulas están prohibidas en virtud de dicha disposición.

La demandada en el litigio principal sostenía que el demandante carecía de la condición de «consumidor» en el sentido de la Ley n.º 193/2000. Por el contrario, estima que en el funcionamiento del sistema Lyoness que permite atraer nuevos adherentes, el demandante ejercía una actividad económica de manera independiente y sistemática con sus propios recursos sociales y financieros para obtener  beneficios en forma de «ingreso pasivo»: su objetivo no eran exclusivamente los descuentos. Por otro lado, la demandada alegó que la adhesión al sistema Lyoness es gratuita, y las cantidades de dinero depositadas por los miembros de dicho sistema constituyen anticipos a cuenta de las compras futuras que realicen, con la única obligación de utilizar esas cantidades en el marco del programa de fidelización y de efectuar sus compras a sus socios comerciales. Según la demandada el sistema Lyoness y sus miembros constituyen una comunidad de compradores para obtener beneficios recíprocos. Según la demandada en el litigio principal, el demandante en el litigio principal disfrutó de las ventajas derivadas de su adhesión al sistema Lyoness, a saber, reembolsos por sus propias compras, ventajas ampliadas sobre las compras de los miembros recomendados («prima de amistad») y ventajas conferidas por la condición de miembro.

RAZONAMIENTOS Y JURISPRUDENCIA PREVIA

Sanabria
  • una cláusula que designa como Derecho aplicable al contrato el Derecho de un país tercero no puede privar a un consumidor de la protección que le otorga la Directiva 93/13. Ante tal cláusula, corresponde al juez nacional velar por que se garantice la protección prevista en el artículo 6, apartado 2, del Reglamento Roma I y en el artículo 6, apartado 2, de la Directiva 93/13.
  • el sistema de protección establecido por la Directiva 93/13 se basa en la idea de que el consumidor se halla en situación de inferioridad respecto al profesional, en lo referido tanto a la capacidad de negociación como al nivel de información, situación que le lleva a adherirse a las condiciones redactadas de antemano por el profesional sin poder influir en el contenido de estas (sentencia de 3 de septiembre de 2015, Costea, C‑110/14, EU:C:2015:538, apartado 18 y jurisprudencia citada)
  • como indica el décimo considerando de la Directiva 93/13, sin perjuicio de las excepciones que en ese mismo considerando se enuncian, las normas uniformes sobre cláusulas abusivas deben aplicarse a «todos los contratos» celebrados entre un profesional y un consumidor conforme a la definición que de ellos ofrece el artículo 2, letras b) y c), de aquella [sentencia de 27 de octubre de 2022, S. V. (Inmueble en régimen de propiedad horizontal), C‑485/21, EU:C:2022:839, apartado 22 y jurisprudencia citada].
  • la Directiva 93/13 define los contratos a los que se aplica atendiendo a la condición de los contratantes, según actúen o no en el marco de su actividad profesional (sentencia de 21 de marzo de 2019, Pouvin y Dijoux, C‑590/17, EU:C:2019:232, apartado 23 y jurisprudencia citada)
  • en este asunto, en virtud del contrato de adhesión, el demandante que no ejerce una actividad comercial con carácter profesional, tiene derecho a participar en la «comunidad de compras» operada por la demandada, para adquirir bienes y servicios de comerciantes que tengan una relación contractual con esta demandada . Y tiene derecho (sin perder la condición de consumidor)  a actuar como intermediario respecto de otras personas en un sistema que «promete» la obtención de ingresos económicos en forma de reembolsos en las compras, comisiones y otras ventajas promocionales. (apartados 51 y siguientes)
FALLO:
En el concepto de «consumidor», con arreglo a la Directiva 93/13 está comprendida una persona física que se adhiere a un sistema establecido por una sociedad mercantil y que permite, en particular, disfrutar de determinadas ventajas financieras en el marco de la adquisición, por esa persona física o por otras personas que por recomendación suya participan en ese sistema, de bienes y servicios de los socios comerciales de esa sociedad, cuando dicha persona física actúa con fines ajenos a su actividad profesional.

Propuesta EU de Reglamento de Resiliencia Digital (productos con elementos digitales)

Los productos de hardware y software son a menudo objeto de ciberataques que causan daños. Si el coste anual directo a nivel mundial es muy elevado,  hay que unirle además los costes para los usuarios y la sociedad. Un bajo nivel de ciberseguridad implica que las vulnerabilidades estén generalizadas, que las actualizaciones de seguridad sean dispuestas en modo incoherente e insuficiente, que los usuarios tengan dificultades graves para comprender y para diferenciar los productos con propiedades de ciberseguridad adecuadas, así como para utilizarlos de forma segura.

Sobre este trasfondo, la propuesta de la Comisión Europea de un Reglamento sobre Ciberresiliencia (CRA) tiene por objeto proteger a los consumidores y las empresas que compran o utilizan productos o programas informáticos con un componente digital. El Reglamento de Resiliencia de Productos con elementos digitales (CRA) o Propuesta de Reglamento relativo a los requisitos horizontales de ciberseguridad para los productos con elementos digitales y por el que se modifica el Reglamento (UE) 2019/1020 propuesto en septiembre de 2022 había sido anunciado en la Estrategia de Ciberseguridad de la UE 2020, y es un complemento de NIS2 . Se aplicará a todos los productos conectados directa o indirectamente a otro dispositivo o red, salvo exclusiones específicas como el software de código abierto o los servicios que ya están cubiertos por normas existentes, como es el caso de los dispositivos médicos, la aviación, los automóviles y servicios SaaS (en la nube), a menos que estos sirvan para la elaboración de productos con elementos digitales.

Primaveras en primavera

 

ANTECEDENTES 

Los  abundantes ciberataques y ciber-incidentes que se van conociendo ponen en evidencia el inadecuado nivel de ciberseguridad inherente a muchos productos, o las insuficientes actualizaciones de seguridad de tales productos y programas informáticos. También denotan la dificultad de los consumidores y las empresas para determinar qué productos son ciberseguros, o para configurarlos de forma que se garantice su ciberseguridad.

Aunque el ordenamiento de la UE ya se aplica a determinados productos con elementos digitales, la mayoría del hardware y software no están cubiertos actualmente por legislación de la UE que aborde su ciberseguridad. En particular, el actual marco jurídico de la UE no aborda la ciberseguridad de los programas informáticos no integrados, aun cuando muchos ataques se dirigen cada a sus vulnerabilidades y dan lugar a importantes costes sociales y económicos.El Reglamento de Resiliencia de Productos con elementos digitales (CRA) propuesto en septiembre de 2022 había sido anunciado en la Estrategia de Ciberseguridad de la UE 2020, y es un complemento de NIS2 .

PROPUESTA DE REGLAMENTO DE RESILIENCIA (DE PRODUCTOS)

La propuesta introduce un marcado CE sobre ciberseguridad que ha de colocarse en todos los productos cubiertos y establece requisitos obligatorios de ciberseguridad para los fabricantes de productos:  Amplía la protección a lo largo de todo el ciclo de vida del producto. Incorpora normas armonizadas para comercializar productos o programas informáticos con un componente digital con requisitos de ciberseguridad para la planificación, el diseño, el desarrollo y el mantenimiento de tales productos. Impone obligaciones que deberán cumplirse en cada etapa de la cadena de valor y una obligación de diligencia durante todo el ciclo de vida de tales productos. La CRA persigue cuatro objetivos:

  1. garantizar que los fabricantes mejoren la seguridad de los productos que tienen elementos digitales en la fase de diseño y desarrollo y a lo largo de todo su ciclo de vida. Así, el fabricante es apto para comercializar sus productos si pone a disposición la lista de los diversos componentes de software de sus productos, emite rápidamente soluciones gratuitas en caso de nuevas vulnerabilidades, publica y detalla las vulnerabilidades que detecta y resuelve y verifica periódicamente la «solidez» de los productos que comercializa. Estas y otras actividades  deben llevarse a cabo durante toda la vida de un producto, o al menos durante cinco años a partir de su introducción en el mercado.;
  2. garantizar un marco coherente de normas de ciberseguridad, facilitando su cumplimiento por parte de los fabricantes de hardware y software;
  3. mejorar la transparencia de las características de seguridad de los productos con elementos digitales;
  4. permitir que las empresa y los consumidores utilicen estos productos de manera segura.

Se destacan aquí algunas definiciones extraídas de la Propuesta (artículo 3), y otros conceptos importantes:

  • Producto con elementos digitales. «cualquier producto consistente en programas informáticos o equipos informáticos y sus soluciones de tratamiento de datos a distancia, incluidos los componentes de programas informáticos o equipos informáticos que se introduzcan en el mercado por separado». Nótese la que definición de «productos con elementos digitales» es muy amplia e incluye cualquier producto de software o hardware, así como cualquier software o hardware no incorporado al producto pero introducido en el mercado por separado.
  • Operador económico: el fabricante, el representante autorizado, el importador, el distribuidor o cualquier otra persona física o jurídica sujeta a las obligaciones establecidas en el presente Reglamento»
  • Marcado CE. Un marcado con el que un fabricante indica que un producto con elementos digitales y los procesos establecidos por el fabricante son conformes con los requisitos esenciales establecidos en el anexo I (del Reglamento) y otras normas de la Unión aplicables que armonicen las condiciones para la comercialización de productos y prevean su colocación
  • Norma armonizada, conforme a la definición del artículo 2, punto 1, letra c), del Reglamento (UE) n.º 1025/2012;
  • Organismo de evaluación de la conformidad, según se define en el artículo 2, punto 13, del Reglamento (UE) n.º 765/2008;

  • La definición de «productos con elementos digitales» es muy amplia e incluye cualquier producto de software o hardware, así como cualquier software o hardware no incorporado al producto pero introducido en el mercado por separado.
  • Se considera que un producto es «seguro» si está diseñado y fabricado de manera que tenga un nivel de seguridad adecuado a los riesgos cibernéticos que conlleva su uso, no presenta vulnerabilidades conocidas en el momento de su venta, tiene una configuración segura por defecto, está protegido de conexiones ilícitas, protege los datos que recopila y si esta recopilación se limita a aquellos datos que sean necesarios para su funcionamiento

Conforme al CRA, la seguridad de los productos y software «normales» – sobre el 90% de los que circulan en el mercado- se puede confiar en una autoevaluación del fabricante, como ya ocurre con otros tipos de certificación del marcado CE. En relación con éstos productos, el fabricante podrá comercializarlos si realiza una autoevaluación, que también será preceptiva cuando se modifica el producto.  El 10 % restante de los productos  se divide los de la clase I, menos peligrosos; y los de la clase II, más peligrosos («productos críticos con elementos digitales»). Para los productos de la clase 1 las autocertificaciones básicas solo son admisibles si el fabricante ha seguido normas específicas de mercado y especificaciones de seguridad o certificaciones de ciberseguridad ya previstas por la UE. En caso contrario, necesita obtener la certificación del producto por parte de un organismo de certificación acreditado. La certificación externa es obligatoria para los productos de la clase II

Algunos productos afectados por el CRA están también sometidos al futuro Reglamento IA, que también clasifica a los productos conforme a su riesgo. Para evitar solapamientos y dudas, la CRA establece que -por regla general- los productos con elementos digitales clasificados también como «sistemas de IA de alto riesgo» con arreglo al Reglamento IA lo serán también para CRA, tendrán que cumplir el procedimiento de evaluación de conformidad establecido en el Reglamento IA,  y en el caso de los «productos digitales críticos» se les aplicarán también las normas de evaluación de la conformidad de CRA.Las sanciones por incumplimiento de CRA —en función de la gravedad de la infracción— pueden llegar a ascender a 15 millones EUR o al 2,5 % del volumen de negocios del ejercicio fiscal anterior.

Miño- Perbes. A Coruña

Más: