ESAP (European Single Access Point) to unijna inicjatywa mająca na celu dalszą integrację europejskich usług finansowych i rynków kapitałowych poprzez zapewnienie łatwego, scentralizowanego elektronicznego dostępu do publicznie dostępnych informacji o podmiotach i ich produktach. Podstawą prawną jest rozporządzenie Parlamentu Europejskiego i Rady (UE) 2023/2859 z 13 grudnia 2023 r. ustanawiające europejski jednolity punkt dostępu, które stosuje się od 9 stycznia 2024 r. Zarządzającym systemem jest Europejski Urząd Nadzoru Giełd i Papierów Wartościowych (ESMA), który zgodnie z art. 1 ust. 1 rozporządzenia ma obowiązek ustanowić i uruchomić ESAP do 10 lipca 2027 r., kiedy to dostępna stanie się strona internetowa ESAP dla użytkowników końcowych.
Pomysł na budowę jednolitego punktu dostępu wywodzi się z komunikatu Komisji Europejskiej z września 2020 r. „Unia rynków kapitałowych dla obywateli i przedsiębiorstw – nowy plan działania”, w którym zaproponowano poprawę publicznego dostępu do informacji finansowych i niefinansowych spółek. ESAP nie zastępuje istniejących kanałów raportowania (takich jak ESPI), lecz tworzy dodatkowy, ustandaryzowany mechanizm agregacji i udostępniania informacji, które emitenci i tak muszą publikować na podstawie przepisów sektorowych, takich jak dyrektywa o przejrzystości (2004/109/WE), rozporządzenie MAR (596/2014), rozporządzenie prospektowe (2017/1129) czy rozporządzenie o krótkiej sprzedaży (236/2012). Co istotne, wprowadzenie ESAP nie nakłada na podmioty raportujące nowych obowiązków merytorycznych związanych ze sporządzaniem informacji, a zmienia jedynie sposób i format ich przekazywania w celu udostępnienia w jednym miejscu.
Jakie obowiązki mają emitenci w związku z ESAP?
Dla emitentów z rynku regulowanego kluczowe jest to, że wprowadzenie ESAP nie nakłada nowych obowiązków merytorycznych związanych ze sporządzaniem informacji ani nie tworzy nowej, odrębnej powinności sprawozdawczej, lecz nakłada obowiązek techniczny przekazania już istniejących, obowiązkowych informacji w odpowiednim formacie i z wymaganymi metadanymi.
Harmonogram wdrożenia jest rozłożony w czasie i różni się w zależności od aktu sektorowego. Pierwsza faza objęła emitentów papierów wartościowych dopuszczonych do obrotu na rynku regulowanym (na podstawie dyrektywy o przejrzystości), emitentów objętych rozporządzeniem prospektowym oraz podmioty raportujące na podstawie rozporządzenia o krótkiej sprzedaży. Obowiązki te weszły w życie 10 lipca 2026 r. Dla wielu innych aktów sektorowych (m.in. CRR, CRD, Solvency II, BRRD, MiFID II) obowiązek udostępnienia informacji w ESAP powstanie dopiero od 10 stycznia 2030 r., a dla części pozostałych (np. rozporządzenia o agencjach ratingowych czy PRIIPs) od 10 stycznia 2028 r.
W ramach pierwszej fazy wdrożenia emitenci są zobowiązani do przekazywania do UKNF, opatrzonych metadanymi i w odpowiednich formatach, informacji raportowanych na podstawie dyrektywy o przejrzystości, w tym informacji poufnych oraz transakcji osób pełniących obowiązki zarządcze, za pośrednictwem dotychczasowego systemu ESPI. Formularze ESPI zostały w tym celu dostosowane i uzupełnione o pola metadanych wymagane na potrzeby przekazania informacji do ESAP. Natomiast posłużenie się historycznymi formularzami pobranymi i przechowywanymi lokalnie będzie skutkować negatywnym wynikiem walidacji i koniecznością ponownego przesłania informacji w zaktualizowanym formularzu.
Jaką rolę odgrywa przy ESAP KNF?
UKNF pełni w polskim systemie funkcję jednostki gromadzącej dane (collection body) w rozumieniu rozporządzenia, odrębnie dla poszczególnych strumieni informacji objętych ESAP. Do zadań takiej jednostki należy: zbieranie informacji przekazanych przez emitentów, ich przechowywanie, przeprowadzanie automatycznych walidacji technicznych, a następnie bezpłatne udostępnianie informacji wraz z metadanymi punktowi ESAP za pośrednictwem interfejsu API, w wymaganych terminach. Jednostka gromadząca dane może odrzucić informację, która jest oczywiście nieodpowiednia, nadużywająca lub wykracza poza zakres przedmiotowy regulacji, a także musi zapewnić dostępność informacji w ESAP przez co najmniej dziesięć lat (lub nie dłużej niż pięć lat, gdy informacja zawiera dane osobowe).
Zgodnie z rozporządzeniem emitent (jako „podmiot” w rozumieniu ESAP) jest odpowiedzialny za kompletność i dokładność przekazywanej informacji oraz towarzyszących jej metadanych, w tym w szczególności za prawidłowe wskazanie, czy przekazywana informacja zawiera dane osobowe. Jednostka gromadząca dane, czyli w tym przypadku UKNF, przeprowadza wyłącznie automatyczne walidacje techniczne (m.in. zgodność formatu, kompletność metadanych, obecność wymaganej pieczęci elektronicznej) i w razie ich niespełnienia odrzuca zgłoszenie, informując o tym emitenta, który musi poprawić i ponownie przesłać informację bez zbędnej zwłoki.
W ramach pierwszej fazy wdrożenia UKNF zbiera dane raportowane na podstawie dyrektywy o przejrzystości za pośrednictwem systemu ESPI, dane raportowane na podstawie rozporządzenia prospektowego (raportowanie do ESAP w tym zakresie rozpoczyna się 15 października 2026 r.) oraz dane raportowane na podstawie rozporządzenia o krótkiej sprzedaży za pośrednictwem formularza na stronie internetowej KNF.
W jakich sytuacjach w tabelce metadanych należy wprowadzić dane osobowe?
Obowiązek odpowiedniego oznaczenia w metadanych wynika wprost z art. 5 ust. 6 rozporządzenia 2023/2859, zgodnie z którym podmioty są odpowiedzialne za identyfikację obecności danych osobowych w przekazywanej informacji oraz za wskazanie tego faktu w towarzyszących metadanych. Praktycznym odzwierciedleniem tego obowiązku w formularzach ESPI jest pole (checkbox) metadanych, w którym emitent zaznacza, czy przekazywana informacja zawiera dane osobowe w rozumieniu RODO.
Pole to należy zaznaczyć twierdząco zawsze wtedy, gdy treść zgłaszanej informacji, np. raportu bieżącego o transakcjach osób pełniących obowiązki zarządcze, informacji poufnej dotyczącej zmian personalnych w organach spółki czy innego raportu ESPI, zawiera dane pozwalające na identyfikację osoby fizycznej (np. imię i nazwisko, funkcję pełnioną w spółce, dane transakcyjne osoby fizycznej). Ma to bezpośrednie znaczenie dla sposobu przetwarzania informacji na poziomie ESAP: zgodnie z rozporządzeniem, w przypadku gdy metadane towarzyszące zgłoszeniu wskazują na obecność danych osobowych, jednostka gromadząca dane (a następnie ESMA) zobowiązana jest podjąć odpowiednie środki techniczne i organizacyjne, tak aby taka informacja nie była przechowywana w celu udostępnienia w ESAP ani udostępniana na ESAP dłużej niż pięć lat, chyba że przepisy sektorowe przewidują inaczej, w przeciwieństwie do standardowego, dziesięcioletniego okresu dostępności pozostałych informacji.
Nieprawidłowe oznaczenie tego pola, zarówno pominięcie wskazania danych osobowych, gdy są one faktycznie zawarte w treści zgłoszenia, jak i błędne zaznaczenie ich obecności, gdy zgłoszenie ich nie zawiera, nie jest weryfikowane merytorycznie przez UKNF w ramach automatycznych walidacji technicznych ESAP, ale rodzi ryzyko po stronie emitenta z perspektywy zgodności z RODO oraz prawidłowego wykonania obowiązku wynikającego z art. 5 ust. 6 rozporządzenia 2023/2859. Emitent pozostaje bowiem odpowiedzialny za kompletność i dokładność zarówno treści przekazywanej informacji, jak i towarzyszących jej metadanych, w tym za prawidłową identyfikację obecności danych osobowych.
