Norma regulamentar da Autoridade de Supervisão de Seguros e Fundos de Pensões n.º 11/2023-R, de 16 de janeiro

Norma Regulamentar da Autoridade de Supervisão de Seguros e Fundos de Pensões n.º 11/2023-R

Norma Regulamentar n.º 11/2023-R, de 12 de dezembro

Utilização do identificador de entidade jurídica

O reconhecimento das vantagens associadas à utilização de um identificador de entidade jurídica único que permita identificar internacionalmente as entidades que sejam contrapartes em transações financeiras está na origem do sistema global de identificação de entidades jurídicas [o "Global Legal Entity Identifier System" (GLEIS), na designação original], resultante de iniciativa conjunta dos Ministros das Finanças e dos Governadores dos Bancos Centrais do G20 e do Conselho de Estabilidade Financeira.

Nos termos deste sistema, o Comité de Supervisão Regulamentar [o "Regulatory Oversight Committee" (ROC), na designação original] ou a Fundação Global de Identificação de Entidades Jurídicas, sob supervisão daquele Comité [a "Global Legal Entity Identifier Foundation" (GLEIF), na designação original], certificam as Unidades Operacionais Locais ["Local Operating Units" (LOU), na designação original], entidades públicas ou privadas que, em cada Estado, facultam o Identificador de Entidade Jurídica ["Legal Entity Identifier" (LEI) na designação original], e às quais caberá registar e disponibilizar a informação associada ao código de identificação.

A Autoridade Europeia dos Seguros e Pensões Complementares de Reforma (EIOPA) publicou, na versão portuguesa, em 20 de outubro de 2014, Orientações sobre a utilização do Identificador de Entidade Jurídica, tendo em vista definir práticas de supervisão coerentes, eficientes e eficazes através da utilização de um código de identificação único para empresas de seguros ou de resseguros e grupos seguradores e resseguradores, assim como para instituições de realização de planos de pensões profissionais, sob supervisão das autoridades nacionais competentes.

Mais recentemente, a 24 de setembro de 2020, o Comité Europeu do Risco Sistémico (ESRB) adotou uma recomendação relativa à identificação de entidades jurídicas ("Recommendation ESRB/2020/12"), com vista a promover a utilização sistemática do identificador de entidade jurídica pelas entidades que participam em operações financeiras.

Nos termos desta recomendação, enquanto não for cumprida a Recomendação A, as autoridades pertinentes devem: i) exigir (ou continuar a exigir) a todas as entidades jurídicas intervenientes em operações financeiras sob sua supervisão que disponham de um LEI; ii) incluir (ou continuar a incluir) nas obrigações de reporte financeiro a obrigação de identificação por meio de um LEI; iii) identificar (ou continuar a identificar) por meio do respetivo LEI qualquer entidade jurídica sobre a qual divulguem publicamente informações e que seja titular de um LEI.

No seguimento da Recomendação do ESRB, a EIOPA, a 20 de dezembro de 2021, publicou as Orientações revistas sobre a utilização do Identificador de Entidade Jurídica, de acordo com as quais as autoridades nacionais competentes devem requerer que determinadas entidades jurídicas sob a sua supervisão adotem um LEI, bem como utilizar o LEI na prestação de informação à EIOPA sobre entidades jurídicas ou grupos de entidades jurídicas sob a sua supervisão e ainda, se disponível, sobre sucursais estabelecidas num país terceiro pertencentes a empresas de seguros ou de resseguros com sede no Espaço Económico Europeu.

De acordo com as Orientações da EIOPA, "cumpre notar que «as pessoas singulares que atuem na qualidade de empresas são elegíveis para obter LEI, desde que exerçam uma atividade empresarial independente, como comprovado pela inscrição num registo comercial, com apenas um LEI emitido para o mesmo indivíduo e verificações adequadas de que a proteção de dados, a privacidade ou outros obstáculos não impedem a publicação do atual ficheiro de dados LEI»".

A Recomendação do ESRB e as Orientações da EIOPA foram divulgadas pela ASF através da Circular n.º 10/2021, de 30 de novembro, na qual se deu igualmente nota de que a ASF iria ter estes instrumentos regulatórios em conta no âmbito do respetivo plano regulamentar em curso.

Nestes termos, e considerando as inegáveis vantagens da utilização de um código único na perspetiva da qualidade, fidedignidade e comparabilidade dos dados e visando dar cumprimento à Recomendação do ESRB e às Orientações da EIOPA neste domínio, procede-se à respetiva incorporação no quadro regulamentar da ASF.

A validade do LEI para efeitos de reporte ou outros efeitos legais ou regulamentares previstos nas jurisdições representadas no GLEIS não depende de critérios territoriais, podendo ser obtido junto de qualquer LOU ou agente certificado ou acreditado pelo ROC ou pela GLEIF, sob supervisão daquele.

O projeto da presente norma regulamentar esteve em processo de consulta pública, nos termos do artigo 47.º dos Estatutos da ASF, aprovados pelo Decreto-Lei n.º 1/2015, de 6 de janeiro, tendo sido considerados os contributos recebidos nos termos do Relatório da Consulta Pública n.º 7/2023.

Assim, a Autoridade de Supervisão de Seguros e Fundos de Pensões, ao abrigo do disposto no n.º 2 do artigo 42.º, no n.º 4 do artigo 81.º e no n.º 2 do artigo 292.º do regime jurídico de acesso e exercício da atividade seguradora e resseguradora (RJASR), aprovado pela Lei n.º 147/2015, de 9 de setembro, no n.º 4 do artigo 150.º e no n.º 2 do artigo 208.º do regime jurídico da constituição e do funcionamento dos fundos de pensões e das entidades gestoras de fundos de pensões (RJFP), aprovado pela Lei n.º 27/2020, de 23 de julho, na alínea a) do n.º 1 e no n.º 2 do artigo 34.º, no n.º 2 do artigo 38.º, no artigo 39.º, no n.º 3 do artigo 56.º e no n.º 3 do artigo 78.º do regime jurídico da distribuição de seguros e de resseguros (RJDS), aprovado pela Lei n.º 7/2019, de 16 de janeiro, bem como na alínea a) do n.º 3 do artigo 16.º dos seus Estatutos, emite a seguinte norma regulamentar:

Artigo 1.º

Objeto

A presente norma regulamentar tem por objeto regular a utilização do Identificador de Entidade Jurídica (LEI) pelas entidades sujeitas à supervisão da Autoridade de Supervisão de Seguros e Fundos de Pensões (ASF) previstas no artigo seguinte.

Artigo 2.º

Âmbito de aplicação

1 - A presente norma regulamentar aplica-se:

a) Às empresas de seguros e de resseguros com sede em Portugal;

b) À empresa-mãe de topo, tal como definida no artigo 255.º do regime jurídico de acesso e exercício da atividade seguradora e resseguradora (RJASR), aprovado pela Lei n.º 147/2015, de 9 de setembro, e todas as empresas, com exceção das empresas não pertencentes ao Espaço Económico Europeu (EEE) e das empresas não regulamentadas, incluídas no âmbito do grupo, na aceção da alínea c) do artigo 252.º do RJASR, quando a ASF seja o supervisor do grupo;

c) Às sociedades gestoras de participações de seguros mistas sujeitas à supervisão da ASF;

d) Às sucursais de empresas de seguros ou de resseguros de um país terceiro que exerçam a sua atividade em território português;

e) Às sociedades gestoras de fundos de pensões autorizadas em Portugal;

f) Aos fundos de pensões constituídos em Portugal;

g) Aos mediadores de seguros, de resseguros e de seguros a título acessório registados em Portugal que exerçam atividades transfronteiras no território de outros Estados membros da União Europeia, nos termos da secção II do capítulo VI do regime jurídico da distribuição de seguros e de resseguros (RJDS), aprovado pela Lei n.º 7/2019, de 16 de janeiro.

2 - O disposto no artigo 6.º aplica-se também às sucursais de empresas de seguros com sede em outro Estado membro da União Europeia no que se refere à atividade exercida em território português e aos mediadores de seguros registados em outros Estados membros da União Europeia que exerçam atividades transfronteiras em Portugal, nos termos da secção I do capítulo VI do RJDS.

Artigo 3.º

Definições

Para efeitos da presente norma regulamentar, entende-se por:

a) «Identificador de Entidade Jurídica (LEI)», o código alfanumérico de 20 carateres baseado na norma ISO 17442 desenvolvida pela Organização Internacional de Normalização (ISO), que permite identificar de forma clara e única entidades que participam em transações financeiras e os dados de referência associados;

b) «Unidade Operacional Local (LOU)», a entidade aprovada pelo Comité de Supervisão Regulamentar, ou acreditada pela Fundação Global de Identificação de Entidades Jurídicas sob a supervisão daquele Comité, para proceder à emissão, renovação e portabilidade do LEI, e que funciona como interface principal para as entidades jurídicas que pretendam obter um LEI.

Artigo 4.º

Obrigatoriedade de LEI

1 - As entidades previstas no n.º 1 do artigo 2.º devem dispor de LEI emitido por uma LOU.

2 - As sucursais de empresas de seguros e de resseguros com sede em Portugal que exerçam a sua atividade no EEE podem utilizar o LEI das referidas empresas, devendo cumprir o disposto no número anterior caso pretendam dispor de LEI próprio.

3 - As entidades previstas nas alíneas a), b), c), e) e f) do n.º 1 do artigo 2.º que se venham a constituir após a entrada em vigor da presente norma regulamentar devem pedir a emissão do LEI no prazo de 30 dias a contar da data de constituição.

4 - As entidades previstas no n.º 2 que venham a exercer a sua atividade no EEE após a entrada em vigor da presente norma regulamentar, e pretendam dispor de LEI próprio, devem pedir a emissão do LEI no prazo de 30 dias a contar da comunicação do início de atividade nos termos do artigo 186.º e do n.º 5 do artigo 192.º do RJASR.

5 - As entidades previstas na alínea d) do n.º 1 do artigo 2.º que venham a exercer a sua atividade em território português após a entrada em vigor da presente norma regulamentar devem pedir a emissão do LEI no prazo de 30 dias a contar da notificação da decisão de autorização nos termos do artigo 219.º do RJASR.

6 - As entidades previstas na alínea g) do n.º 1 do artigo 2.º que venham a exercer atividades transfronteiras após a entrada em vigor da presente norma regulamentar devem pedir a emissão do LEI no prazo de 30 dias a contar da comunicação do início de atividade nos termos dos artigos 91.º e 97.º do RJDS.

Artigo 5.º

Comunicação do LEI

1 - A emissão ou caducidade do LEI das entidades previstas na alínea g) do n.º 1 do artigo 2.º é comunicada à ASF no prazo de cinco dias úteis após a data da sua emissão ou caducidade.

2 - Para efeitos do disposto no número anterior, é aditado um campo referente ao LEI no registo de mediadores de seguros, de resseguros ou de seguros a título acessório, disponível no Portal ASF residente em www.asf.com.pt.

3 - A comunicação prevista no n.º 1 é efetuada por via eletrónica, através do Portal ASF, conforme estabelecido no n.º 4 do artigo 61.º da Norma Regulamentar n.º 13/2020-R, de 30 de dezembro, para as alterações ao registo resultantes do exercício de atividade transfronteiras noutros Estados membros da União Europeia.

4 - As entidades referidas na alínea g) do n.º 1 do artigo 2.º que sejam pessoas singulares devem ainda, juntamente com a comunicação prevista nos números anteriores, tomar conhecimento da informação constante do formulário relativo ao tratamento de dados pessoais em anexo à presente norma regulamentar.

Artigo 6.º

Utilização do LEI

1 - No cumprimento dos deveres legais e regulamentares de prestação de informação à ASF, previstos nas Normas Regulamentares n.os 4/2023-R e 5/2023-R, de 11 de julho, e na Norma Regulamentar n.º 13/2020-R, de 30 de dezembro, relativamente às entidades previstas no artigo 2.º e a qualquer outra entidade a respeito da qual devam reportar informações e que disponha de um LEI, é utilizado o LEI na identificação da entidade.

2 - Para efeitos do disposto no número anterior, é aditado um campo referente ao LEI, bem como o formulário previsto no n.º 3 do artigo anterior nos anexos VI a IX da Norma Regulamentar n.º 13/2020-R, de 30 de dezembro, disponíveis no Portal ASF residente em www.asf.com.pt.

3 - Para efeitos do disposto no n.º 1, as entidades previstas no artigo 2.º devem manter atualizada a informação de que dispõem sobre o LEI das entidades a respeito das quais devam reportar informações.

Artigo 7.º

Prestação de informação à EIOPA

1 - A ASF utiliza o LEI comunicado nos termos dos artigos 5.º e 6.º na prestação de informação não agregada à Autoridade Europeia dos Seguros e Pensões Complementares de Reforma (EIOPA) sobre as entidades jurídicas ou grupos de entidades jurídicas sob a sua supervisão.

2 - A ASF utiliza o LEI, se disponível, para identificar a informação prestada à EIOPA sobre as sucursais de empresas de seguros e de resseguros com sede em Portugal que exerçam a sua atividade num país terceiro.

Artigo 8.º

Divulgação de informação

A ASF publica no seu sítio na Internet uma tabela, permanentemente atualizada, com a identificação das entidades por si supervisionadas e o respetivo LEI comunicado nos termos dos artigos 5.º e 6.º

Artigo 9.º

Regime transitório

1 - As entidades previstas na alínea g) do n.º 1 do artigo 2.º que, na data da entrada em vigor da presente norma regulamentar, disponham de LEI, devem efetuar a comunicação prevista no artigo 5.º no prazo de dez dias úteis após essa data.

2 - As entidades previstas na alínea g) do n.º 1 do artigo 2.º que, na data da entrada em vigor da presente norma regulamentar, já exerçam atividades transfronteiras no território de outros Estados membros da União Europeia, devem pedir a emissão do LEI no prazo de 30 dias a contar da data da entrada em vigor da presente norma regulamentar e efetuar a comunicação prevista no artigo 5.º no prazo aí previsto.

Artigo 10.º

Início de vigência

A presente norma regulamentar entra em vigor no dia imediato ao da sua publicação.

12 de dezembro de 2023. - O Conselho de Administração: Margarida Corrêa de Aguiar, presidente - Diogo Alarcão, vogal.

ANEXO

(a que se refere o n.º 4 do artigo 5.º)

Informação relativa ao tratamento de dados pessoais

(Titular de dados pessoais)

a) Responsável, fundamento e finalidades

Os dados pessoais recolhidos através da presente norma regulamentar são tratados pela Autoridade de Supervisão de Seguros e Fundos de Pensões (ASF), pessoa coletiva de direito público com o n.º 501 328 599 e com sede na Avenida da República, n.º 76, 1600-205, Lisboa, no respeito pelo Regulamento (UE) n.º 2016/679, do Parlamento Europeu e do Conselho, de 27 de abril de 2016 ("RGPD") e demais legislação de proteção de dados aplicável, e nos termos da Recomendação do Comité Europeu do Risco Sistémico relativa à identificação de entidades jurídicas (ESRB/2020/12), de 24 de setembro de 2020, e das Orientações revistas da Autoridade Europeia dos Seguros e Pensões Complementares de Reforma (EIOPA) sobre a utilização do Identificador de Entidade Jurídica, de 20 de dezembro de 2021, com base no exercício de funções de interesse público de que a ASF está investida, conforme estabelecido na alínea e) do n.º 1 do artigo 6.º do RGPD.

O referido tratamento de dados pessoais tem como finalidade o exercício das competências de supervisão que estão legalmente cometidas à ASF, conforme previsto no n.º 1 do artigo 5.º e no artigo 69.º do regime jurídico da distribuição de seguros e de resseguros (RJDS), aprovado pela Lei n.º 7/2019, de 16 de janeiro.

Adicionalmente, os dados pessoais recolhidos através da presente norma regulamentar serão tratados para a publicação no sítio da ASF na Internet, através de uma tabela com a identificação das entidades e o respetivo LEI, e serão mantidos públicos durante o exercício de atividades transfronteiras por mediadores de seguros, de resseguros e de seguros a título acessório.

Os dados pessoais recolhidos podem ainda ser tratados pela ASF para a aplicação de sanções, ao abrigo do disposto no n.º 5 do artigo 16.º dos Estatutos da ASF, aprovados pelo Decreto-Lei n.º 1/2015, de 6 de janeiro, de acordo com a primeira parte do artigo 10.º do RGPD.

b) Obrigatoriedade

O fornecimento de dados pessoais à ASF por mediadores de seguros, de resseguros e de seguros a título acessório que exerçam atividades transfronteiras para estas finalidades é obrigatório, nos termos da alínea a) do n.º 1 e do n.º 2 do artigo 34.º, do n.º 2 do artigo 38.º, do artigo 39.º, do n.º 3 do artigo 56.º e do n.º 3 do artigo 78.º do RJDS.

c) Conservação

Os dados pessoais recolhidos serão conservados durante o exercício de atividades transfronteiras por mediadores de seguros, de resseguros e de seguros a título acessório e, após a sua cessação, pelo tempo correspondente ao prazo prescricional do procedimento criminal ou contraordenacional aplicável por ilícitos relacionados com a atividade de distribuição de seguros e de resseguros.

d) Destinatários

Os dados pessoais recolhidos são comunicados à EIOPA, no âmbito do cumprimento das respetivas Orientações revistas sobre a utilização do Identificador de Entidade Jurídica, de 20 de dezembro de 2021.

Os dados pessoais recolhidos podem ser partilhados nos termos do regime legal de troca de informações aplicável à ASF, previsto no artigo 74.º do RJDS, onde se incluem autoridades e entidades de outros Estados membros, bem como autoridades competentes ou organismos de países não membros da União Europeia.

O tratamento dos dados pessoais pelas pessoas que exercem funções na ASF está limitado a certas categorias de profissionais para cuja atividade estes se revelam necessários.

e) Transferência de dados pessoais

Poderá existir uma transferência internacional dos dados pessoais recolhidos, com destino a países terceiros ou organizações internacionais, ao abrigo do regime indicado na alínea anterior e apenas nas seguintes situações:

i) Se a Comissão Europeia considerar que o país terceiro ou a organização internacional garantem um nível de proteção adequado para os direitos dos titulares dos dados; ou

ii) Se os países terceiros ou organizações internacionais apresentarem garantias adequadas, nos termos previstos no RGPD, atestando-se que os titulares dos dados gozam de direitos oponíveis e de medidas jurídicas corretivas eficazes, informação que a ASF comunicará aos titulares ou disponibilizará através de sítio na Internet.

f) Decisões individuais automatizadas

O tratamento dos dados pessoais recolhidos não importa decisões individuais automatizadas.

g) Medidas de segurança

A ASF, na prossecução das suas atividades, recorre a medidas de técnicas e organizativas que se mostrem mais adequados à proteção dos dados pessoais, em particular para prevenir riscos associados à destruição, difusão, perda e alteração acidentais ou ilícitas, tratamento ou acesso não autorizado, bem como contra qualquer outra forma de tratamento ilícito em respeito pela Diretriz n.º 1/2023 da Comissão Nacional de Proteção de Dados, tais como:

Garantir que os sistemas operativos de servidores e terminais se encontram atualizados, bem como todas as aplicações;

Utilizar controlos de acessos lógicos e de gestão de palavras-passe;

Utilizar encriptação segura especialmente no caso de credenciais de acesso, de dados especiais, de dados de natureza altamente pessoal ou de dados financeiros;

Utilizar controlos de segurança de rede e tecnologias de proteção contra ameaças;

Recorrer a controlos de acessos físicos e vigilância nas instalações;

Realizar ações de formação e sensibilização dos trabalhadores;

A ASF poderá adotar, além das mencionadas, outras medidas de segurança que considere adequadas à proteção de dados pessoais dos titulares.

h) Direitos

O titular dos dados tem direito de solicitar o acesso aos respetivos dados pessoais, bem como de solicitar a sua retificação, a limitação ou a oposição ao seu tratamento ou o seu apagamento, quando aplicáveis.

Em relação aos direitos de limitação, oposição e apagamento, o seu exercício poderá sofrer, de acordo com medida legislativa estabelecida nos termos dos n.os 1 e 2 do artigo 23.º do RGPD, limitações justificadas e proporcionais relacionadas com o interesse público prosseguido pela ASF no caso concreto.

i) Contactos

Estes direitos podem ser exercidos presencialmente ou por escrito junto do encarregado da proteção de dados da Autoridade de Supervisão de Seguros e Fundos de Pensões (E-mail: epd@asf.com.pt Correio postal: Encarregado da Proteção de Dados da ASF Avenida da República, 76,

1600-205 Lisboa).

j) Reclamação

O titular dos dados tem ainda direito a apresentar reclamação à autoridade de controlo (CNPD - Comissão Nacional de Proteção de Dados, www.cnpd.pt).

317170991