8 přílohy I směrnice (EU) 2015/2366 (služby informování o účtu)

Obecný pokyn 1: Všeobecné zásady

1.1 Tento soubor obecných pokynů je určen pro žadatele o registraci jakožto poskytovatele služeb informování o účtu. Vztahuje se na žadatele, kteří mají v úmyslu poskytovat služby informování o účtu. Má-li žadatel v úmyslu poskytovat mimo služeb informování o účtu i jiné služby, měl by požádat o povolení a řídit se obecnými pokyny uvedenými v části 4.1 určenými pro platební instituce.

1.2 Informace poskytované žadateli musí být pravdivé, úplné, přesné a aktuální. Všichni žadatelé by měli dodržovat všechna ustanovení obsažená v souboru obecných pokynů, který se na ně vztahuje. Požadovaná míra podrobnosti by měla odpovídat velikosti a vnitřní organizaci žadatele a rovněž povaze, rozsahu, složitosti a rizikovosti konkrétní služby nebo služeb, které má žadatel v úmyslu poskytovat. V každém případě, v souladu se směrnicí (EU) 2015/2366 (PSD2), musí být vedoucí osoby a osoby odpovědné za řízení platební instituce důvěryhodné a musí mít vhodné znalosti a zkušenosti pro provádění platebních služeb bez ohledu na velikost a vnitřní organizaci instituce a povahu, rozsah a složitost jejích činností a úkolů a povinností konkrétní funkce.

vnitřních postupů nebo dokumentů. Namísto toho by měl žadatel příslušné části vyčlenit a tyto předložit příslušnému orgánu.

1.4 Pokud by příslušné orgány požadovaly upřesnění poskytnutých informací, měl by žadatel tyto informace neprodleně upřesnit.

poskytovatele služeb informování o účtu jsou potřebné pro posouzení žádosti a bude s nimi příslušnými orgány nakládáno v souladu s povinností zachovávat služební tajemství stanovenou v PSD2, aniž by byly dotčeny platné právní předpisy Unie a vnitrostátní požadavky a postupy týkající se uplatňování práva na přístup, opravu, výmaz nebo zablokování údajů. Obecný pokyn 2: Identifikační údaje

2.1 Je-li žadatel fyzickou osobou, měly by identifikační údaje, jež má žadatel poskytnout, obsahovat tyto informace:

• a) jméno, adresu, národnost a datum a místo narození;
• b) kopii občanského průkazu nebo obdobného dokladu totožnosti;
• c) aktuální životopis;
• d) výpis z rejstříku trestů, který není starší 3 měsíců;
• e) jméno odpovědné kontaktní osoby (jména odpovědných kontaktních osob) v záležitostech dokumentace týkající se žádosti a řízení o udělení povolení a její kontaktní údaje.

2.2 Je-li žadatel právnickou osobou, měly by identifikační údaje, jež má žadatel poskytnout, obsahovat tyto informace:

• a) název společnosti žadatele a obchodní firma (je-li odlišný);
• b) informaci o tom, zda je žadatel již zapsán do obchodního rejstříku nebo zapsán teprve bude;
• c) případné vnitrostátní identifikační číslo žadatele;
• d) právní formu žadatele a stanovy a/nebo zakládací dokumenty, případně jejich navrhované znění, prokazující právní formu žadatele;
• e) adresu ústředí sídla žadatele;
• f) elektronickou adresu a internetové stránky žadatele, jsou-li k dispozici;
• g) jméno odpovědné kontaktní osoby (jména odpovědných kontaktních osob) v záležitostech dokumentace týkající se žádosti a řízení o udělení povolení a její kontaktní údaje;
• h) údaj o tom, zda žadatel podléhal nebo podléhá regulaci ze strany příslušného orgánu v odvětví finančních služeb;
• i) výpis z obchodního rejstříku nebo případné potvrzení z obchodního rejstříku o tom, že název, který společnost požaduje zapsat, je k dispozici;
• j) doklad o zaplacení všech poplatků nebo o složení peněžních prostředků k podání žádosti
• o registraci pro poskytovatele služeb informování o účtu, v závislosti na vnitrostátních právních předpisech.

Obecný pokyn 3: Plán činností

3.1. Plán činností, který má žadatel předložit, musí obsahovat tyto informace:

• a) popis dané služby informování o účtu, která má být poskytována, včetně vysvětlení, jakým způsobem žadatel určil, že daná činnost splňuje definici služeb informování o účtu uvedenou v čl. 4 odst. 16 PSD2
• b) prohlášení žadatele, že nebude mít v žádném okamžiku v držení peněžní prostředky klientů;
• c) popis poskytování služby informování o účtu, včetně:
• i. případných návrhů smluv mezi všemi zúčastněnými stranami;
• ii. podmínek poskytování služeb informování o účtu;
• iii. lhůt pro zpracování;
• d) případný odhadovaný počet různých provozoven, ze kterých má žadatel v úmyslu dané služby poskytovat;
• e) popis případných doplňkových služeb ke službám informování o účtu;
• f) prohlášení o tom, zda má žadatel v úmyslu poskytovat služby informování o účtu v jiném členském státě EU nebo v třetí zemi, jakmile mu bude registrace udělena;
• g) informace o tom, zda má žadatel v úmyslu zajišťovat nebo již zajišťuje další podnikatelské činnosti, jiné než služby informování o účtu uvedené v článku 18 směrnice (EU)

plánovaného rozsahu;

• h) informace předepsané obecnými pokyny Evropského orgánu pro bankovnictví (EBA) týkající se kritérií, podle nichž se stanoví minimální peněžní částka pojištění odpovědnosti za škodu způsobenou při výkonu povolání nebo jiné srovnatelné záruky podle čl. 5 odst. 4 směrnice (EU) 2015/2366 (EBA/GL/2017/08), pokud má žadatel v úmyslu poskytovat pouze služby pod bodem 8 (služby informování o účtu).

Obecný pokyn 4: Obchodní plán

4.1. Obchodní plán, který má žadatel předložit, musí obsahovat tyto informace:

• a) marketingový plán sestávající z:
• i. analýzy konkurenčního postavení společnosti;
• ii. popisu uživatelů služby informování o účtu v příslušném segmentu trhu informování o účtu, propagačních materiálů a distribučních kanálů;
• b) ověřené roční účetní závěrky za tři předchozí roky, jsou-li k dispozici, nebo souhrnný přehled o finanční situaci u žadatelů, kteří zatím roční účetní závěrky za předchozí roky nemají;
• c) kalkulaci předpokládaného rozpočtu na první tři účetní období, který prokazuje, že žadatel je schopen používat vhodné a přiměřené systémy, zdroje a postupy nezbytné pro řádné vykonávání činnosti; tato by měla zahrnovat:
• i. předpokládané výsledovky a rozvahy, včetně cílených scénářů a zátěžových scénářů a rovněž jejich základních předpokládaných údajů, například počtu klientů, tvorby cen, očekávaného růstu prahové hodnoty ziskovosti;
• ii. vysvětlení hlavních oblastí příjmů a výdajů, finančních dluhů a dlouhodobých aktiv;
• iii. schéma a podrobný rozpis odhadovaných peněžních toků po dobu dalších tří let.

Obecný pokyn 5: Organizační uspořádání

5.1. Je-li žadatel fyzickou osobou, musí popis organizačního uspořádání podniku žadatele obsahovat tyto informace:

• a) celkový předpokládaný počet zaměstnanců na dobu příštích tří let;
• b) popis příslušných opatření pro zajišťování provozní činnosti externími subjekty (outsourcingu), zahrnující:
• i. totožnost a zeměpisnou polohu externího poskytovatele;
• ii. totožnost osob v rámci poskytovatele služeb informování o účtu odpovědných za každou z činností zajišťovaných formou outsourcingu;
• iii. podrobný popis činností zajišťovaných formou outsourcingu a jejich hlavní charakteristiky;
• c) kopie návrhů ujednání o outsourcingu;
• d) případný popis využívaných poboček a zástupců, včetně:
• i. přehledu kontrol na dálku a kontrol na místě, které má žadatel v úmyslu u poboček a zástupců provádět;
• ii. systémů informačních technologií, procesů a infrastruktur, které zástupci používají k výkonu činností jménem žadatele;
• iii. politiky personálního výběru zástupců, postupů sledování a školení zástupců a případně i návrhu podmínek jejich zapojení;
• e) seznam všech fyzických nebo právnických osob, s nimiž je žadatel úzce propojen, s uvedením jejich totožnosti a povahy těchto propojení.

5.2. Je-li žadatel právnickou osobou, měl by popis organizačního uspořádání podniku žadatele obsahovat tyto informace:

• a) podrobné organizační schéma znázorňující každou divizi, oddělení nebo podobní

zejména těch, které jsou odpovědné za funkčnost vnitřní kontroly; schéma by mělo být doplněno o popis funkcí a odpovědností každé divize, oddělení nebo podobného strukturálního rozdělení;

• b) celkový předpokládaný počet zaměstnanců na dobu příštích tří let;
• c) popis příslušných opatření pro zajišťování činnosti externími subjekty (outsourcingu), který zahrnuje:
• i. totožnost a zeměpisnou polohu externího poskytovatele;
• ii. totožnost osob v rámci poskytovatele služeb informování o účtu odpovědných za každou z činností zajišťovaných formou outsourcingu;
• iii. podrobný popis činností zajišťovaných formou outsourcingu a jejich hlavní charakteristiky;
• d) kopie návrhů ujednání o outsourcingu;
• e) případný popis využívaných poboček a zástupců, včetně:
• i. přehledu kontrol na dálku a kontrol na místě, které má žadatel v úmyslu u poboček a zástupců provádět;
• ii. systémů informačních technologií, procesů a infrastruktur, které zástupci používají k výkonu činností jménem žadatele;
• iii. politiky personálního výběru zástupců, postupů sledování a školení zástupců a případně i návrhu podmínek jejich zapojení;
• f) seznam všech fyzických nebo právnických osob, s nimiž je žadatel úzce propojen, s uvedením jejich totožnosti a povahy těchto propojení.

Obecný pokyn 6: Mechanismy pro správu a řízení a vnitřní kontrolní mechanismy

6.1. Žadatel by měl poskytnout popis mechanismů pro správu a řízení a vnitřních kontrolních mechanismů zahrnující:

• a) přehled rizik zjištěných žadatelem, včetně druhu rizik a postupů, které žadatel za účelem posouzení těchto rizik a zabránění jejich vzniku zavede;
• b) různé postupy pro provádění zamýšlených pravidelných a stálých kontrol, včetně uvedení jejich četnosti a vyčleněného personálu;
• c) účetní postupy, podle nichž bude žadatel zaznamenávat a vykazovat své finanční údaje;
• d) totožnost osoby odpovědné (osob odpovědných) za funkčnost vnitřní kontroly, včetně pravidelných, stálých kontrol a kontrol dodržování předpisů, jakož i aktuálnosti životopisů;
• e) totožnost každého auditora, který není statutárním auditorem podle směrnice 2006/43/ES;
• f) složení vrcholného orgánu a případně jiného orgánu nebo výboru pro dohled;
• g) popis způsobu sledování a kontroly funkcí zajišťovaných formou outsourcingu, aby nedocházelo k zhoršování kvality vnitřních kontrol žadatelem;
• h) popis způsobu sledování a kontroly všech zástupců a poboček v rámci vnitřních kontrol žadatele;
• i) je-li žadatel dceřiným podnikem regulovaného subjektu v jiném členském státě EU, popis správy a řízení skupiny.

Obecný pokyn 7: Postup pro sledování a řešení bezpečnostních incidentů a stížností klientů souvisejících s bezpečností a přijímání následných opatření

7.1. Žadatel by měl poskytnout popis zavedeného postupu pro sledování, řešení a vyhodnocování

navazujících opatření, které má žadatel poskytnout, zahrnující:

• a) organizační opatření a nástroje k zabránění podvodům;
• b) bližší údaje o osobách a subjektech odpovědných za poskytování pomoci klientům v případě podvodů, technických problémů a/nebo řízení pohledávek;
• c) způsoby oznamování v případě výskytu podvodu;
• d) kontaktní místo pro klienty, včetně jména/názvu a e-mailové adresy;
• e) postupy pro oznamování incidentů, včetně jejich oznamování vnitřním nebo vnějším orgánům, včetně oznamování závažných incidentů příslušným vnitrostátním orgánům podle článku 96 PSD 2 a v souladu s obecnými pokyny EBA k oznamování incidentů podle uvedeného článku;
• f) používané nástroje ke sledování a navazující opatření a postupy s cílem zmírnit bezpečnostní rizika.

Obecný pokyn 8: Postup pro podávání, sledování a zaznamenávání citlivých údajů

• o platbách a omezování přístupu k nim

8.1. Žadatel by měl poskytnout popis postupu pro podávání, sledování a zaznamenávání citlivých údajů o platbách a omezování přístupu k nim, zahrnující:

• a) popis toků údajů označených jako citlivé údaje o platbách v rámci obchodního modelu poskytovatelů služeb informování o účtu;
• b) zavedené postupy používané k povolení přístupu k citlivým údajům o platbách;
• c) popis nástroje pro sledování;
• d) politiku přístupových práv s podrobným popisem přístupu ke všem příslušným částem a systémům infrastruktur, včetně databází a záložní infrastruktury;
• e) popis podávání shromážděných údajů;
• f) předpokládané vnitřní a/nebo vnější využití shromážděných údajů, a to i protistranami;
• g) systém informačních technologií a zavedená opatření technického zabezpečení, včetně šifrování a/nebo tokenizace;
• h) totožnost osoby (osob), orgánů a/nebo výboru (výborů) s přístupem k citlivým údajům
• o platbách;
• i) objasnění, jak budou zjišťována a řešena narušení;
• j) program roční vnitřní kontroly týkající se bezpečnosti systémů informačních technologií. Obecný pokyn 9: Opatření k zajištění kontinuity činnosti

informace:

• a) posouzení dopadu činnosti, včetně obchodních procesů a cílů obnovy činnosti, jako jsou časově omezené cíle obnovy činnosti, místně omezené cíle obnovy činnosti a chráněná aktiva;

klíčového softwaru a údajů, které mají být po havárii nebo narušení činnosti obnoveny;

• c) objasnění, jak bude žadatel řešit závažné události ovlivňující kontinuitu a narušení činnosti, například selhání klíčových systémů; ztrátu klíčových údajů; nepřístupnost provozoven a ztrátu klíčových osob;
• d) četnost, s jakou má žadatel v úmyslu testovat plány na zajištění kontinuity činnosti a obnovy po havárii, včetně toho, jakým způsobem budou výsledky těchto testování zaznamenávány.

Obecný pokyn 10: Bezpečnostní předpis

10.1. Žadatel by měl předložit bezpečnostní předpis obsahující tyto informace:

• a) podrobné posouzení rizik platebních služeb, které má žadatel v úmyslu poskytovat,

zavedených v zájmu odpovídající ochrany uživatelů platebních služeb před zjištěnými riziky;

• b) popis systémů informačních technologií, který by měl obsahovat:
• i. architekturu systémů a jejich síťových prvků;
• ii. systémy informačních technologií podniku sloužící k podpoře poskytované podnikatelské činnosti, například internetové stránky žadatele, mechanismus řízení rizik a podvodů a účetnictví klientů;
• iii. podpůrné systémy informačních technologií používané pro organizaci a správu poskytovatelů služeb informování o účtu, například účetní systémy, systémy pro plnění vykazovacích povinností, systémy pro personální řízení, systémy pro řízení vztahů s klienty, e-mailové servery a vnitřní databázové servery;
• iv. informace o tom, zda jsou tyto systémy již poskytovateli služeb informování
• o účtu nebo jejich skupinou používány, případně předpokládaný termín jejich zavedení;
• c) druh oprávněných připojení ze strany třetích osob, například partnerů, poskytovatelů služeb, subjektů ze skupiny a zaměstnanců pracujících distančně, včetně odůvodnění těchto připojení;
• d) u každého připojení uvedeného v písmenu c) zavedená logická bezpečnostní opatření a mechanismy s upřesněním kontroly, kterou bude platební instituce ve spojení s tímto přístupem provádět, včetně povahy a četnosti každé kontroly, například technické oproti

přezkumům, například využití aktivního adresáře odděleného od skupiny, otevření/zavření komunikačních linek, konfigurace vybavení k zajištění ochrany, generování klíčů nebo certifikátů k ověřování klientů, sledování systému, ověřování, důvěrnost komunikace, odhalování neoprávněných průniků, antivirové systémy a protokoly;

• e) logická bezpečnostní opatření a mechanismy, jimiž se řídí vnitřní přístup do systémů informačních technologií, které by měly zahrnovat:
• i. uvedení technické a organizační povahy a četnosti každého opatření, například zda je preventivní nebo detekční a zda se provádí v reálném čase;
• ii. jak je řešena otázka oddělení klientského prostředí v případech, kdy jsou prostředky informačních technologií žadatele sdíleny;
• f) fyzická bezpečnostní opatření a mechanismy provozoven a datového centra žadatele, jako jsou kontroly přístupu a zabezpečení prostor;
• g) zabezpečení platebních procesů, které by mělo zahrnovat:
• i. proces ověřování klientů používaný pro konzultační i transakční přístup;
• ii. vysvětlení, jak je zajištěno bezpečné doručování oprávněnému uživateli platebních služeb a integrita ověřovacích faktorů, například hardwarových tokenů a mobilních aplikací, v okamžiku prvního a dalších přihlášení;
• iii. popis systémů a postupů, které žadatel zavedl za účelem analyzování transakcí a odhalování podezřelých nebo neobvyklých transakcí.
• h) podrobné posouzení rizik souvisejících s platebními službami, včetně podvodů, ve vztahu ke kontrolám a opatřením uvedeným v žádosti za účelem zmírnění rizik, prokazující, že rizika jsou vyřešena;
• i) seznam hlavních písemných postupů týkajících se systémů informačních technologií žadatele nebo, v případě dosud nezformalizovaných postupů, předpokládaný termín jejich dokončení.

Obecný pokyn 11: Posouzení totožnosti vedoucích pracovníků a osob odpovědných za řízení poskytovatele služeb informování o účtu a jejich způsobilosti

11.1. Pro účely posouzení totožnosti vedoucích pracovníků a osob odpovědných za řízení poskytovatele služeb informování o účtu a jejich způsobilosti by měl žadatel poskytnout tyto informace:

• a) osobní údaje, včetně:
• i. celého jména, pohlaví, místa a data narození, adresy a státní příslušnosti a osobního identifikačního čísla nebo kopie průkazu totožnosti či obdobného průkazu;
• ii. bližších údajů o pozici, u níž se má posoudit, zda je daná pozice ve vrcholném orgánu výkonná, nebo výkonná není; měly by zahrnovat také následující údaje:

• b) případné informace o posouzení způsobilosti provedené žadatelem, které by mělo obsahovat bližší údaje o výsledku posouzení způsobilosti dané fyzické osoby provedené institucí, například příslušné zápisy ze zasedání správní rady nebo zprávy o posouzení způsobilosti nebo další dokumenty;
• c) doložení znalostí, dovedností a zkušeností, včetně životopisu obsahujícího bližší údaje
• o vzdělání a odborné praxi, s uvedením vysokoškolských kvalifikací, další relevantní odborné přípravy, názvu a charakteru všech organizací, pro které daná fyzická osoba pracuje nebo pracovala, a charakteru a doby trvání těchto vykonávaných funkcí se zdůrazněním činností týkajících se dané pozice;
• d) doložení důvěryhodnosti včetně bezúhonnosti, které by mělo zahrnovat:
• i. rejstřík trestů a relevantní informace o vyšetřování trestných činů a probíhajících trestních řízeních, příslušných občanskoprávních a správních věcech a disciplinárních opatřeních, včetně sesazení z funkce ředitele společnosti, konkurzního, úpadkového a podobného řízení, prokázané zejména úřední listinou nebo jiným objektivně spolehlivým zdrojem informací prokazujícím absenci odsouzení za trestný čin, neúčast ve vyšetřování a řízení, například ve vyšetřování třetích osob, svědectvím advokáta nebo notáře se sídlem v Evropské unii;
• ii. prohlášení o tom, zda jsou vedena trestní řízení nebo, zda daná osoba či organizace řízená danou osobou byla v postavení dlužníka účastna úpadkového nebo srovnatelného řízení;
• iii. informace týkající se:

Obecný pokyn 12: Pojištění odpovědnosti za škodu způsobenou při výkonu povolání nebo srovnatelná záruka

12.1. K doložení pojištění odpovědnosti za škodu způsobenou při výkonu povolání nebo srovnatelné záruky, v souladu s obecnými pokyny EBA týkajícími se pojištění odpovědnosti za škodu způsobenou při výkonu povolání (EBA/GL/2017/08) a čl. 5 odst. 2 a čl. 5 odst. 3 PSD2, by měl žadatel poskytnout tyto informace:

• a) pojistnou smlouvu nebo jinou rovnocennou listinu, dokládající existenci pojištění odpovědnosti za škodu způsobenou při výkonu povolání nebo srovnatelné záruky,

a který pokrývá příslušné závazky;

• b) dokumenty prokazující vypočtení minimální částky žadatelem způsobem, který odpovídá uvedeným obecným pokynům EBA, včetně všech příslušných prvků uvedeného vzorce.

1. Přehled

1.1 Odkazy

1.2 Identifikované požadavky

1.3 Související standardy

2. Identifikované požadavky

3. Související standardy

• EBA - Published by the European Banking Authority at https://www.eba.europa.eu/