Reglamento de Ejecución (UE) 2022/1504 de la Comisión de 6 de abril de 2022 por el que se establecen normas detalladas para la aplicación del Reglamento (UE) n.o 904/2010 del Consejo en lo que respecta a la creación de un sistema electrónico central de información sobre pagos (CESOP) con el fin de luchar contra el fraude en el IVA

1 La Comisión desarrollará medidas técnicas para el establecimiento del CESOP con las funcionalidades siguientes: a) recibir datos de pago transmitidos por los Estados miembros; b) almacenar los datos de pago de forma segura por un período máximo de cinco años desde el final del año natural en que los Estados miembros hayan transmitido la información al sistema; c) corregir las anomalías y errores relacionados con los datos de pago, incluidas las duplicaciones del mismo pago; d) agregar los datos de pago relacionados con un mismo beneficiario; e) permitir las búsquedas y la visualización de los datos de pago en el CESOP; f) analizar los datos de pago y verificarlos cotejándolos con los datos almacenados e intercambiados de conformidad con el artículo 17, apartado 1, letras a), b), d), e) y f), y el artículo 32, apartado 2, letra b), del Reglamento (UE) n.o 904/2010; g) llevar a cabo análisis automáticos y señalar a los beneficiarios sospechosos; h) permitir a los funcionarios de enlace de Eurofisc llevar a cabo controles y análisis no automáticos; i) generar informes sobre los resultados de los análisis y controles llevados a cabo por el CESOP y los funcionarios de enlace de Eurofisc; j) facilitar infraestructuras para gestionar el control de acceso de usuarios en relación con los funcionarios de enlace de Eurofisc; k) permitir a los funcionarios de enlace de Eurofisc intercambiar directamente en el CESOP información relativa a la investigación y detección del fraude del IVA transfronterizo; l) facilitar la infraestructura técnica necesaria para que los Estados miembros gestionen los derechos de acceso de sus funcionarios de enlace de Eurofisc.

2 La Comisión llevará a cabo las tareas siguientes para el mantenimiento del CESOP: a) garantizar la operatividad del CESOP y de sus funcionalidades; b) llevar a cabo el mantenimiento fuera del horario de trabajo; c) acometer las actualizaciones técnicas necesarias para el buen funcionamiento y la mejora del CESOP; d) resolver problemas técnicos.

La Comisión llevará a cabo las tareas siguientes para la gestión técnica del CESOP: a) conservar y actualizar la lista de funcionarios de enlace de Eurofisc que tienen acceso al CESOP y su identificación única de usuario personal de conformidad con el artículo 5; b) implantar las medidas de seguridad organizativa y técnica a que se refiere el artículo 6; c) crear, conservar y mantener una lista de proveedores de servicios de pago que hayan comunicado datos de conformidad con el artículo 24 ter, apartado 1, del Reglamento (UE) n.o 904/2010, con arreglo a los datos facilitados por los Estados miembros; d) conceder a los funcionarios de enlace de Eurofisc con acceso al CESOP acceso automático a la lista mantenida de conformidad con la letra c); e) facilitar asistencia técnica a los funcionarios de enlace de Eurofisc cuando utilicen el CESOP; f) impartir formación a los funcionarios de enlace de Eurofisc en cuanto al uso del CESOP.

1 Los Estados miembros tomarán todas las medidas necesarias para garantizar que los sistemas electrónicos nacionales para la recogida de información sobre pagos establecidos de conformidad con el artículo 24 ter, apartado 2, del Reglamento (UE) n.o 904/2010 son funcionales y pueden recoger la información sobre pagos de conformidad con el artículo 24 ter, apartado 1, de dicho Reglamento.

2 Los Estados miembros transmitirán al CESOP únicamente la información sobre pagos que esté completa con todos los campos obligatorios con arreglo al artículo 243 quinquies de la Directiva 2006/112/CE y que se ajuste a los requisitos establecidos en el anexo del presente Reglamento.

3 La Comisión garantizará la interoperabilidad del CESOP con los sistemas electrónicos nacionales a los que se refiere el apartado 1.

El formulario electrónico normalizado al que se refiere el artículo 24 ter, apartado 1, letra b), del Reglamento (UE) n.o 904/2010 se presentará en un formato normalizado XML de conformidad con el cuadro de datos que figura en el anexo del presente Reglamento.

1 Los Estados miembros designarán a los funcionarios de enlace de Eurofisc que tendrán acceso al CESOP y comunicarán sus nombres y direcciones de correo electrónico a la Comisión.

2 Los Estados miembros informarán a la Comisión de cualquier cambio en la información facilitada con arreglo al apartado 1, incluidos los cambios de los funcionarios de enlace de Eurofisc, oportunamente y a más tardar treinta días después de que se haya producido el cambio.

3 La Comisión facilitará inmediatamente a los funcionarios de enlace de Eurofisc a que se refiere el apartado 1 una identificación única de usuario personal para el acceso al CESOP.

1 Los Estados miembros facilitarán a la Comisión información sobre la aplicación y las actualizaciones de sus propias medidas de seguridad a nivel nacional. Dicha información detallará las medidas adoptadas para garantizar que únicamente los funcionarios de enlace de Eurofisc a que se refiere el artículo 5 tienen acceso al CESOP y las medidas adoptadas para garantizar la encriptación de los datos transmitidos por los Estados miembros.

2 La Comisión, a más tardar el 30 de abril de cada año a partir del año siguiente al de la fecha de comienzo de la aplicación del presente Reglamento, informará a los Estados miembros de las medidas adoptadas para garantizar la seguridad del CESOP. La información indicará, como mínimo, lo siguiente: a) los incidentes de seguridad que se hayan producido durante el año anterior y el modo en que se han resuelto; b) los detalles de las medidas de seguridad adoptadas o los cambios en las medidas de seguridad actuales; c) una evaluación de las medidas de seguridad actuales, que dirima si la Comisión considera necesario introducir cambios en las mismas.

1 Los Estados miembros serán conjuntamente responsables del tratamiento, según la definición del artículo 4, punto 7, del Reglamento (UE) 2016/679, en el marco del CESOP. Las responsabilidades de los responsables del tratamiento del CESOP se determinarán en un acuerdo entre los responsables del tratamiento, que establecerá las normas para el ejercicio de los derechos del interesado y sus obligaciones en relación con el suministro de información a la que se refieren el artículo 13 y el artículo 14 del Reglamento (UE) 2016/679. Los Estados miembros serán responsables de lo siguiente: a) establecer las especificaciones técnicas del CESOP, y adaptarlas cuando sea necesario, para que la Comisión pueda: a) establecer y mantener el CESOP de conformidad con el artículo 1 del presente Reglamento; b) gestionar técnicamente el CESOP de conformidad con el artículo 2 del presente Reglamento; c) garantizar la interoperabilidad de los sistemas electrónicos nacionales a que se refiere el artículo 24 ter del Reglamento (UE) n.o 904/2010 con el CESOP, de conformidad con el artículo 3, apartado 3, del presente Reglamento; d) adoptar las medidas de seguridad a que se refiere el artículo 6, apartado 2, párrafo primero, del presente Reglamento; b) establecer las normas y procedimientos para la selección de los funcionarios de enlace de Eurofisc que tendrán acceso al CESOP; c) responder a las solicitudes de los interesados en lo que respecta al ejercicio de los derechos establecidos en el capítulo III del Reglamento (UE) 2016/679.

2 La Comisión será la encargada del tratamiento, según la definición del artículo 3, punto 12, del Reglamento (UE) 2018/1725, en el marco del CESOP. La Comisión: a) tratará los datos personales en nombre de los Estados miembros acorde a sus instrucciones y conservará la documentación relativa a dichas instrucciones; b) garantizará la confidencialidad de los datos personales cuando sean tratados en virtud del presente Reglamento; c) facilitará a los Estados miembros la infraestructura técnica necesaria para dar respuesta a las solicitudes a que hace referencia el apartado 1, letra c); d) asistirá a los Estados miembros en el cumplimiento de las obligaciones que les imponen los artículos 33 a 41 del Reglamento (UE) 2016/679; e) garantizará la supresión de todos los datos personales almacenados en el CESOP de conformidad con el artículo 24 quater, apartado 2, del Reglamento (UE) n.o 904/2010; f) pondrá a disposición de los Estados miembros toda la información necesaria para demostrar el cumplimiento de las obligaciones establecidas en el presente artículo y permitirá, además de contribuir a ellas, las auditorías, en particular las inspecciones, llevadas a cabo por los Estados miembros u otro auditor autorizado por ellos, respetando plenamente el Protocolo (n.o 7) del Tratado de Funcionamiento de la Unión Europea sobre los privilegios y las inmunidades de la Unión Europea.

El presente Reglamento entrará en vigor a los veinte días de su publicación en el Diario Oficial de la Unión Europea. Será aplicable a partir del 1 de enero de 2024.