Las obligaciones comunes a los proveedores de servicios de criptoactivos (CASP)

El Reglamento MiCA (Markets in Crypto-Assets) establece un marco regulatorio para los mercados de criptoactivos en la Unión Europea. Su propósito principal es garantizar la protección de los inversores, la integridad del mercado y la estabilidad financiera. Para lograr estos objetivos, todas las personas físicas y jurídicas que actúen como Proveedores de Servicios de Criptoactivos (CASP) dentro de la Unión Europea deben adherirse a una serie de obligaciones comunes a todos los proveedores de servicios de criptoactivos, que abarcan desde los requisitos de autorización hasta la conducta en el mercado y la relación con los clientes.

La CNMV ha elaborado un esquema de las obligaciones comunes:

A continuación, se detallan las principales obligaciones comunes aplicables a los proveedores de servicios de criptoactivos, basadas exclusivamente en la información proporcionada en los textos de origen:

1. Obligaciones de los proveedores de servicios de criptoactivos (artículo 66 MiCA)

El artículo 66 establece los deberes esenciales que deben observar los CASPs, con el objetivo de garantizar una actuación profesional, la protección de los clientes y la transparencia en el mercado.

• Conducta profesional: Los CASP deben actuar con honestidad, imparcialidad y diligencia, velando siempre por los intereses de sus clientes.
• Información clara y veraz: Toda comunicación, incluida la publicitaria, debe ser objetiva, comprensible y no inducir a error. Se prohíbe exagerar o distorsionar los beneficios de los criptoactivos.
• Advertencia de riesgos: Es obligatorio informar sobre los riesgos asociados a los criptoactivos. Además, cuando se presten determinados servicios (como negociación o asesoramiento), debe facilitarse acceso a los libros blancos de los activos.
• Transparencia económica: Los precios, costes y comisiones deben estar claramente expuestos en el sitio web de forma accesible para los usuarios.
• Impacto ambiental: Debe informarse de manera visible sobre los efectos adversos de los procesos tecnológicos utilizados para validar transacciones, como el consumo energético. Esta información puede extraerse de los libros blancos.

2. Requisitos prudenciales (artículo 67 MiCA)

El artículo 67 establece las garantías financieras mínimas que deben mantener las empresas que prestan servicios con criptoactivos, con el fin de asegurar su estabilidad económica y proteger a los clientes frente a posibles riesgos.

Cada proveedor debe contar con una reserva financiera suficiente, que deberá ser al menos igual al capital mínimo exigido por el tipo de servicio que ofrece o al 25 % de sus gastos fijos del año anterior, tomando como referencia sus cuentas más recientes. Para las empresas nuevas, se aplican las previsiones de gastos incluidas en su solicitud de autorización.

Esta reserva puede estar constituida por fondos propios sólidos o por un seguro de responsabilidad profesional. En este último caso, la póliza debe cumplir requisitos específicos de duración, cobertura y solvencia, y proteger frente a riesgos como pérdidas documentales, fallos técnicos, negligencias o incumplimientos legales. El objetivo es garantizar que la empresa pueda responder adecuadamente ante sus clientes en caso de incidentes o perjuicios.

3. Reglas de gobernanza en los servicios de criptoactivos (artículo 68 MiCA)

El artículo 68 del Reglamento MiCA establece los estándares de gobernanza que deben cumplir las empresas que ofrecen servicios con criptoactivos. El objetivo es garantizar una gestión responsable, transparente y resiliente, alineada con las mejores prácticas del sector financiero.

La norma exige que los miembros del órgano de dirección cuenten con la honorabilidad, experiencia y conocimientos necesarios para ejercer sus funciones de forma eficaz, tanto individual como colectivamente. Estas exigencias también se aplican a los accionistas con participaciones significativas, cuyas influencias no deben comprometer una gestión prudente.

Las empresas deben adoptar políticas internas sólidas que aseguren el cumplimiento normativo y una gestión operativa eficaz. Esto incluye la adecuada formación del personal y una revisión periódica de los procedimientos, en particular los relativos a la protección del cliente y la integridad del mercado.

Se impone también la obligación de contar con planes de continuidad operativa y recuperación ante incidentes, en línea con el Reglamento sobre resiliencia digital (UE) 2022/2554. Asimismo, deben establecerse mecanismos para gestionar los riesgos, en especial los relacionados con el blanqueo de capitales y la protección de datos.

Finalmente, las entidades deben mantener un registro completo de todas sus operaciones, accesible para autoridades y clientes, con una conservación mínima de cinco años (ampliable a siete).

4. Información a las autoridades competentes (artículo 69 MiCA)

El artículo 69 complementa el marco establecido en el artículo 68 al imponer una obligación de transparencia activa por parte de los proveedores de servicios de criptoactivos. En concreto, estos deberán notificar sin demora a la autoridad competente cualquier modificación en la composición de su órgano de dirección, antes de que los nuevos miembros comiencen a ejercer sus funciones.

5. Guarda de los criptoactivos y fondos de clientes (artículo 70 MiCA)

El artículo 70 del Reglamento MiCA establece las obligaciones esenciales que deben cumplir los CASP cuando gestionan criptoactivos o fondos pertenecientes a sus clientes. El objetivo principal de estas disposiciones es garantizar la protección efectiva de los derechos de propiedad de los usuarios, especialmente en situaciones de crisis como una posible insolvencia del proveedor.

En concreto, se impone la obligación de evitar que los criptoactivos o los fondos de los clientes se utilicen para fines propios del proveedor, asegurando así una clara separación entre los activos de los clientes y los del prestador del servicio. Cuando, en el marco de su actividad, estos proveedores reciban fondos de clientes —distintos del dinero electrónico—, deberán depositarlos en una cuenta separada en una entidad de crédito o en un banco central, y hacerlo antes del final del siguiente día hábil. Esta cuenta deberá estar claramente diferenciada de cualquier otra cuenta en la que el proveedor mantenga fondos propios.

Adicionalmente, si el proveedor ofrece servicios de pago vinculados a sus actividades con criptoactivos, podrá hacerlo directamente o a través de un tercero, siempre que esté debidamente autorizado conforme a la normativa europea aplicable. En estos casos, deberá informar al cliente de manera clara sobre las condiciones del servicio, la normativa aplicable y quién es el proveedor efectivo del mismo.

Por último, se establece que estas obligaciones específicas sobre custodia y depósito de fondos no aplican a las entidades que ya están reguladas como bancos, entidades de pago o emisores de dinero electrónico, dado que ya están sujetas a regímenes de protección equivalentes.

6. Procedimiento de tramitación de reclamaciones (artículo 71 MiCA)

El artículo 71 del Reglamento MiCA impone a los CASP la obligación de contar con mecanismos internos sólidos para gestionar las reclamaciones que puedan presentar sus clientes. En concreto, se exige que estos procedimientos sean eficaces, transparentes y permitan resolver las quejas de forma ágil, justa y coherente. Esta obligación incluye la publicación de una descripción clara del proceso de reclamación, de modo que el cliente sepa cómo ejercer su derecho.

Los usuarios podrán presentar sus reclamaciones de forma totalmente gratuita, y los proveedores estarán obligados a informarles sobre esta posibilidad, facilitándoles además una plantilla estándar para canalizar sus quejas. Asimismo, deberán llevar un registro completo de todas las reclamaciones recibidas y de las medidas adoptadas para resolverlas.

Las reclamaciones deberán ser investigadas con prontitud y objetividad, y sus resultados deberán comunicarse al cliente en un plazo razonable.

7. Detección, prevención, gestión y comunicación de los conflictos de intereses (artículo 72 MiCA)

El artículo 72 del Reglamento MiCA establece un marco de actuación obligatorio para que los CASP puedan gestionar adecuadamente los conflictos de intereses que puedan surgir en el ejercicio de su actividad. Se exige a estos CASP la adopción de procedimientos eficaces que les permitan identificar, prevenir y gestionar situaciones en las que sus propios intereses puedan entrar en conflicto con los intereses de sus clientes.

Estos procedimientos deben adaptarse al tamaño, la complejidad y la gama de servicios que ofrece cada proveedor. Además, los conflictos identificados y las medidas adoptadas para gestionarlos deben comunicarse de forma clara y accesible a los clientes en la página web de la empresa. Esta comunicación debe realizarse en formato electrónico e incluir la información necesaria para que el cliente pueda tomar decisiones bien fundamentadas respecto a los servicios implicados.

Por otra parte, los proveedores deben revisar al menos una vez al año su política de conflictos de intereses y corregir cualquier deficiencia detectada.

8. Externalización (artículo 73 MiCA)

El artículo 73 del Reglamento MiCA regula la práctica de la externalización por parte de los CASP, es decir, el recurso a terceros para la ejecución de ciertas funciones operativas. Esta práctica, aunque común en muchas industrias, debe gestionarse cuidadosamente en el ámbito cripto para no comprometer ni la seguridad ni el cumplimiento normativo.

El texto exige que, aun cuando se externalicen funciones, el proveedor original sigue siendo el único responsable ante los clientes y las autoridades. No puede transferir ni diluir su responsabilidad jurídica, ni modificar las condiciones bajo las cuales obtuvo la autorización para operar. Además, debe asegurarse de que la externalización no interfiera en su relación con los clientes ni en las obligaciones que mantiene frente a ellos.

Las autoridades de supervisión deben tener acceso a la información relevante y realizar inspecciones en las instalaciones del tercero que presta los servicios externalizados. Por eso, los proveedores deben mantener la capacidad interna para supervisar continuamente a sus subcontratistas, evaluando la calidad del servicio, gestionando los riesgos y teniendo acceso directo a la información necesaria.

Una atención especial se da al cumplimiento de las normas de protección de datos de la Unión Europea, que deben reflejarse expresamente en los contratos celebrados con los terceros. Estos acuerdos deben formalizarse por escrito y prever, entre otras cosas, la posibilidad de rescisión por parte del proveedor, así como estrategias de salida y planes de contingencia ante situaciones imprevistas.

Finalmente, tanto los proveedores como los terceros involucrados deben estar en condiciones de facilitar a las autoridades competentes toda la información necesaria para verificar que la externalización cumple con los requisitos legales. Esta disposición busca garantizar que la delegación de funciones no se convierta en un punto ciego regulatorio ni en un riesgo para la estabilidad del sistema.

9. Liquidación ordenada de los CASP (artículo 74 MiCA)

Los CASPs que presten los servicios a que se refieren los artículos 75 a 79 del Reglamento MiCA tienen que disponer de un plan adecuado para respaldar una liquidación ordenada de sus actividades, incluida la continuidad o recuperación de cualquier actividad crítica realizada por dichos proveedores de servicios.

¿Necesitas más información sobre las obligaciones que deben cumplir los CASP? Contacta aquí con abogados expertos en blockchain y criptoactivos.