4.2 Usmernenia k informáciám, ktoré musia poskytnúť žiadatelia o registráciu na poskytovanie iba služby uvedenej v bode 8 prílohy I k smernici (EÚ) 2015/2366 (služieb informovania o účte)

Usmernenie 1: Všeobecné zásady

1.1 Tento súbor usmernení sa vzťahuje na žiadateľov o registráciu poskytovateľov služieb informovania o účte. Týka sa to žiadateľov, ktorí zamýšľajú poskytovať iba služby informovania o účte. Ak žiadateľ zamýšľa poskytovať doplnkové služby k službám informovania o účte, má požiadať o povolenie a preš tudovať si usmernenia pre platobné inštitúcie, uvedené v oddiele 4.1.

1.2 Informácie, ktoré žiadatelia poskytujú, majú byť pravdivé, úplné, presné a aktuálne. Každý žiadateľ má splniť všetky ustanovenia v súbore usmernení, ktorý sa na neho vzťahuje. Úroveň p odrobností vyžadovaná pre dosiahnutie súladu má byť primeraná veľkosti a vnútornej organizácii žiadateľa, ako aj povahe, rozsahu, komplexnosti a rizikovosti konkrétnych služieb, ktoré žiadateľ zamýšľa poskytovať. V každom prípade, podľa smernice (EÚ) 2015/ 2366 členovia predstavenstva a osoby zodpovedné za riadenie platobnej inštitúcie musia mať dobrú povesť a primerané znalosti a skúsenosti na výkon platobných služieb, bez ohľadu na veľkosť a vnútornú organizáciu inštitúcie, na povahu, rozsah a komplexnosť jej činnosti a na povinnosti a zodpovednosť konkrétnej pozície.

konkrétne časti vnútorných postupov alebo dokumentov. Namiesto toho má žiadateľ príslušné časti vyňať a posk ytnúť príslušnému orgánu.

1.4 Ak príslušné orgány požiadajú o objasnenie informácií, ktoré im boli predložené, žiadateľ má poskytnúť takéto objasnenie bezodkladne.

1.5 Všetky údaje, ktoré sa podľa týchto usmernení požadujú pre registráciu poskytovateľov služieb in formovania o účte, sú potrebné na posúdenie žiadosti a príslušný orgán s nimi bude zaobchádzať v súlade so záväzkami týkajúcimi sa služobného tajomstva, uvedenými v revidovanej smernici o platobných službách, bez toho, aby boli dotknuté platné právne predpisy Únie a vnútroštátne požiadavky a postupy týkajúce sa výkonu práva na prístup, nápravu, zrušenie alebo vznášanie námietok. Usmernenie 2: Identifikačné údaje

2.1 Ak je žiadateľ fyzická osoba, identifikačné údaje, ktoré má poskytnúť, majú obsahovať tieto info rmácie:

• a) meno, adresu, štátnu príslušnosť, dátum a miesto narodenia,
• b) kópiu preukazu totožnosti alebo rovnocenného identifikačného dokladu,
• c) aktualizovaný životopis,
• d) výpis z registra trestov nie starší než 3 mesiace,
• e) mená osôb, ktoré zodpovedajú za činnosti súvisiace s dokumentáciou žiadosti a postupom udeľovania povolenia, a ich kontaktné údaje.

2.2 Ak je žiadateľ právnická osoba, identifikačné údaje, ktoré má poskytnúť, má obsahovať tieto informácie:

• a) názov spoločnosti žiadateľa a obchodné meno, ak je odlišné,

zakladania,

• c) vnútroštátne identifikačné číslo žiadateľa, ak existuje,
• d) právne postavenie žiadateľa, ako aj stanovy obchodnej spoločnosti a/alebo ustanovujúce dokumenty (prípadne ich návrhy), ktoré dokazujú právne postavenie žiadateľa,
• e) adresu ústredia a sídla spoločnosti žiadateľa,
• f) elektronickú adresu a webové sídlo žiadateľa, ak existuje,
• g) mená osôb, ktoré zodpovedajú za činnosti súvisiace s dokumentáciou žiadosti a postupom udeľov ania povolenia, a ich kontaktné údaje,
• h) informáciu, či žiadateľ niekedy bol alebo v súčasnosti je regulovaný príslušným orgánom v sektore finančných služieb,

osvedčenie z obcho dného registra, ktorým sa osvedčuje, že názov použitý spoločnosťou je k dispozícii,

• j) doklad o zaplatení všetkých poplatkov alebo o zložení finančných prostriedkov, ktoré sa prípadne vyžadujú podľa vnútroštátneho práva pri podávaní žiadosti o registráciu pos kytovateľa služieb informovania o účte.

Usmernenie 3: Plán podnikateľských činností

3.1. Plán podnikateľských činností, ktorý má poskytnúť žiadateľ, má obsahovať tieto informácie:

• a) opis služby informovania o účte, ktorú žiadateľ zamýšľa poskytovať, vrátane vysve tlenia postupu, ako žiadateľ určil, že táto činnosť zodpovedá vymedzeniu pojmu služieb informovania o účte v článku 4 ods. 16 smernice (EÚ) 2015/2366 (revidovaná smernica
• o platobných službách),
• b) vyhlásenie žiadateľa, že nikdy nebude mať v držbe finančné pr ostriedky,
• c) opis poskytovania služby informovania o účte vrátane:
• i. prípadných návrhov zmlúv medzi všetkými zainteresovanými stranami,
• ii. podmienok poskytovania služieb informovania o účte,
• iii. časov spracovania,
• d) odhadovaný počet prípadných rôznych priestorov, v ktorých žiadateľ zamýšľa poskytovať služby,
• e) opis všetkých prípadných doplnkových služieb k službe informovania o účte,
• f) vyhlásenie, či žiadateľ zamýšľa po registrácii poskytovať služby informovania o účte v iných členských štátoch alebo ďalších krajinách,
• g) informáciu, či žiadateľ zamýšľa v priebehu nasledujúcich troch rokov vykonávať alebo už vykonáva iné podnikateľské činnosti než služby informovania o účte, ako je uvedené v článku 18 smernice (EÚ) 2015/2366, vrátane opisu druhu a očakávaného objemu týchto činností,
• h) informácie uvedené v usmerneniach EBA týkajúcich sa kritérií toho, ako stanoviť minimálnu peňažnú sumu poistenia hmotnej zodpovednosti za škodu spôsobenú pri výkone činnosti alebo inej porovnateľnej záruky podľa článku 5 ods. 4 smernice (EÚ) 201 5/2366 (EBA/GL/2017/08), ak žiadateľ zamýšľa poskytovať iba službu uvedenú v bode 8 (služby informovania o účte).

Usmernenie 4: Podnikateľský plán

4.1. Podnikateľský plán, ktorý má poskytnúť žiadateľ, má obsahovať:

• a) marketingový plán pozostávajúci z:
• i. analýzy konkurenčného postavenia spoločnosti,
• ii. opisu používateľov služieb informovania o účte v príslušnom segmente trhu informovania o účte, marketingových materiálov a distribučných kanálov,
• b) overené ročné účtovné závierky za predchádzajúce tri roky, ak existujú, ale bo súhrn finančnej situácie v prípade tých žiadateľov, ktorí zatiaľ nevypracovali ročné účtovné závierky,
• c) odhad predbežného rozpočtu na prvé tri účtovné roky, ktorý preukazuje, že žiadateľ je schopný používať vhodné a primerané systémy, zdroje a postupy, k toré mu umožnia riadne fungovanie, pričom tento odhad má zahŕňať:
• i. odhad výkazu ziskov a strát a súvahy vrátane cieľových scenárov a stresových scenárov, ako aj ich základné predpoklady, ako napríklad počet klientov, stanovenie cien a očakávaný nárast prahu ziskovosti,
• ii. vysvetlenia základných línií príjmov a výdavkov, finančných dlhov a kapitálových aktív,
• iii. schému a podrobný rozpis odhadovaných peňažných tokov v nasledujúcich troch rokoch,

Usmernenie 5: Organizačná štruktúra

5.1. Ak je žiadateľ fyzická osoba, opis organizačnej štruktúry podniku žiadateľa má obsahovať tieto informácie:

• a) celkový odhad počtu zamestnancov na nasledujúce tri roky,
• b) opis relevantných prevádzkových zmlúv o externom vykonávaní činností (outsourcing), obsahu júci:
• i. identitu a zemepisnú polohu externého poskytovateľa,
• ii. totožnosť osôb v spoločnosti poskytovateľa služieb informovania o účte, ktoré sú zodpovedné za každú externe vykonávanú činnosť,
• iii. podrobný opis externe vykonávaných činností a ich základných charakteristík,
• c) kópie návrhov zmlúv o externom vykonávaní činností,
• d) opis prípadného využívania pobočiek a agentov vrátane:
• i. mapovania kontrol pobočiek a agentov na diaľku a na mieste, ktoré žiadateľ zamýšľa vykonávať,
• ii. IT systémov, postupov a infraštruktúry, ktorú využívajú agenti žiadateľa na vykonávanie činností v mene žiadateľa,
• iii. v prípade agentov, politiky výberu, postupov monitorovania a odbornej prípravy agentov a prípadne návrhu spôsobu ich zaangažovania,
• e) zoznam fyzických a právnických osôb, ktoré majú úzke prepojenie so žiadateľom
• o registráciu poskytovateľa služieb informovania o účte, s uvedením ich identity a povahy týchto prepojení.

5.2. Ak je žiadateľ právnická osoba, opis organizačnej štruktúry jeho podniku má obsahovať tieto informácie:

• a) podrobnú organizačnú schému, znázorňujúcu každú divíziu, oddelenie alebo podobnú štrukturálne oddelenú časť vrátane mien zodpovedných osôb, predovšetkým tých, ktoré sú poverené funkciami vnútornej kontroly, pričom schéma má byť doplnená opisom funkcií a povinností každej divíz ie, oddelenia alebo podobnej štrukturálne oddelenej časti,
• b) celkový odhad počtu zamestnancov na nasledujúce tri roky,
• c) opis relevantných zmlúv o externom vykonávaní činností, obsahujúci:
• i. identitu a zemepisnú polohu externého poskytovateľa,
• ii. totožnosť osôb v spoločnosti poskytovateľa služieb informovania o účte, ktoré sú zodpovedné za každú externe vykonávanú činnosť,
• iii. podrobný opis externe vykonávaných činností a ich základných charakteristík,
• d) kópie návrhov zmlúv o externom vykonávaní činností,
• e) opis prípadného využívania pobočiek a agentov vrátane:
• i. mapovania kontrol pobočiek a agentov na diaľku a na mieste, ktoré žiadateľ zamýšľa vykonávať,

vykonávanie činností v mene žiadateľ a,

• iii. v prípade agentov, politiky výberu, postupov monitorovania a odbornej prípravy agentov a prípadne návrhu spôsobu ich zaangažovania,
• f) zoznamu fyzických a právnických osôb, ktoré majú úzke prepojenie so žiadateľom, s uvedením ich identity a povahy týchto prepojení.

Usmernenie 6: Mechanizmy riadenia a vnútornej kontroly

6.1. Žiadateľ má poskytnúť opis mechanizmov riadenia a vnútornej kontroly obsahujúci:

• a) mapovanie rizík zistených žiadateľom vrátane druhu rizika a postupov, ktoré žiadateľ zavedie na posudzovanie takých rizík a predchádzanie takým rizikám,
• b) rôzne zamýšľané postupy na vykonávanie pravidelných a stálych kontrol vrátane ich frekvencie a vyčlenených ľudských zdrojov,
• c) účtovné postupy, ktoré bude žiadateľ využívať pri zaznamenávaní a poskytovaní svojich finančných informácií,
• d) totožnosť osôb zodpovedných za funkcie vnútornej kontroly vrátane pravidelnej a stálej kontroly a overovania súladu, ako aj ich aktuálne životopisy,
• e) totožnosť každého audítora, ktorý nie je štatutárnym audítorom podľa smernice 2006/ 43/ES,
• f) zloženie riadiaceho orgánu a prípadne akéhokoľvek iného orgánu dohľadu alebo výboru pre dohľad,
• g) opis spôsobu monitorovania a kontroly externého vykonávania funkcií, aby sa predišlo zníženiu kvality vnútornej kontroly žiadateľa,
• h) opis spôsobu monitorovania a kontroly všetkých agentov a pobočiek v rámci vnútornej kontroly žiadateľa,
• i) v prípade, že žiadateľ je dcérskou spoločnosťou regulovaného subjektu z iného členského štátu EÚ, opis riadiacich štruktúr skupiny.

Usmernenie 7: Postupy na monitorovanie, riešenie a sledovanie bezpečnostných incidentov a sťažností zákazníkov týkajúcich sa bezpečnosti

7.1. Žiadateľ má poskytnúť opis svojich zavedených postupov na monitorovanie, riešenie a sledovanie bezpečnostných incidentov a sťažností zákazníkov týkajúcich sa bezpečnosti, ktorý má obsahovať:

• a) organizačné opatrenia a nástroje na predchádzanie podvodom,
• b) podrobné údaje o osobách a orgánoch zodpovedných za pomoc zákazníkom v prípadoch podvodov, technických problémov a/alebo za správu nárokov,
• c) hierarchické vzťa hy v prípadoch ohlasovania podvodov,
• d) kontaktný bod pre zákazníkov vrátane mena a e-mailovej adresy,
• e) postupy oznamovania incidentov vrátane poskytovania týchto správ vnútorným alebo vonkajším orgánom a oznamovania závažných incidentov príslušným vnútroštátn ym orgánom podľa článku 96 revidovanej smernice o platobných službách a v súlade s usmerneniami EBA k oznamovaniu incidentov podľa uvedeného článku,
• f) používané nástroje na monitorovanie a zavedené opatrenia a postupy sledovania, určené na zmierňovanie bezpečnostných rizík.

Usmernenie 8: Zavedený postup na evidenciu, monitorovanie, sledovanie a obmedzovanie prístupu k citlivým platobných údajom

8.1. Žiadateľ má poskytnúť opis zavedeného postupu na evidenciu, monitorovanie, sledovanie a obmedzovanie prístupu k cit livým platobným údajom, obsahujúci:

• a) opis toku údajov klasifikovaných ako citlivé platobné údaje v kontexte obchodného modelu poskytovateľa služieb informovania o účte,
• b) zavedené postupy povoľovania prístupu k citlivým platobných údajom,
• c) opis nástroja na monitorovanie,
• d) politiku práva na prístup podrobne upravujúcu prístup ku všetkým relevantným komponentom infraštruktúry a systémom vrátane databáz a záložnej infraštruktúry,
• e) opis spôsobu evidencie zozbieraných údajov,
• f) očakávané vnútorné a/alebo vonkajšie použitie zozbieraných údajov vrátane použitia protistranami,
• g) IT systém a technické bezpečnostné opatrenia, ktoré boli zavedené, vrátane kódovania a/alebo používania tokenov,
• h) identifikáciu osôb, orgánov a/alebo výborov s prístupom k citlivým platobných údajom,
• i) vysvetlenie, ako sa budú odhaľovať a riešiť prípady porušenia,
• j) ročný program vnútornej kontroly vo vzťahu k bezpečnosti IT systémov. Usmernenie 9: Mechanizmy na zabezpečenie kontinuity činnosti

9.1. Žiadateľ má poskytnúť opis mechanizmov na zabezpečenie kontinuity činnosti, ktorý obsahuje tieto informácie:

• a) analýzu dopadu na podnikanie vrátane obchodných procesov a cieľov obnovy, ako sú časové zámery obnovy, ciele týkajúce sa bodov obnovy a chránených aktív
• b) určenie záložného miesta, prístupu k IT infraštruktúre a kľúčového softvéru a údajov pre obnovu po katastrofe alebo narušení,

zlyhanie kľúčových systémov, strata údajov, neprístupnosť objektov a strata kľúčových osôb,

• d) frekvenciu s akou žiadateľ zamýšľa vykonávať test kontinuity činnosti a plánov na obnovu po katastrofe vrátane spôsobu zaznamenávania výsledkov testovania.

Usmernenie 10: Dokument o bezpečnostnej politike

10.1. Žiadateľ má poskytnúť dokument o bezpečnostnej politike s týmito informáciami:

• a) podrobné posúdenie rizika týkajúceho sa platobných služieb, ktoré žiadateľ zamýšľa poskytovať, zahŕňajúce riziká podvodov, ako aj bezpečnostnú kontrolu a opatrenia na zmiernenie rizika prijaté s cieľom náležite chrániť používateľov platobných služieb pred zistenými rizikami,
• b) opis IT systémov, ktorý má zahŕňať:
• i. architektúru systémov a ich sieťové prvky,
• ii. podnikateľské IT systémy podporujúce vykonávané podnikateľské činnosti, ako je webové sídlo žiadateľa, nástroj riadenia rizík a predchádzania podvodom a účty zákazníkov,
• iii. pomocné IT systémy, ktoré poskytovateľ služieb informovania o účte používa v rámci organizácie a správy, ako napríklad účtovníctvo, zákonné systémy predkladania správ, riadenie zamestnancov, riadenie vzťahov so zákazníkmi, e - mailové servery a servery pre vnútornú evidenciu,
• iv. informáciu, či poskytovateľ služieb informovania o účte alebo jeho skupina už tieto systémy používa, prípadne odhadovaný termín ich zavedenia,
• c) druh povolených spojení so subjektmi zvonku, napríklad s partnermi, poskytovateľmi služieb, subjektmi skupiny a zamestnancami pracujúcimi na diaľku, vrátane odôvodnenia takých spojení,
• d) pre každé spojenie uvedené v bode c), zavedené logické bezpečnostné opatrenia a mechanizmy, špecifikáciu kontroly platobnej inštitúcie nad takým prístupom, ako aj povahu a frekvenciu každej kontroly, ako napríklad technická alebo organizačná kontrola, preventívna alebo odhaľovacia kontrola, monitorovanie v reálnom čase alebo pravidelné preskúmania, ako napríklad používanie aktívneho adresára oddeleného od skupiny, otvorené alebo uzavreté komunikačné linky, konfigurácia bezpečnostného zariadenia, generovanie kľúčov alebo osvedčení o autentifikácii klienta, monitorovanie systému, autentifikácia, dôvernosť komunikácie, odhaľovanie preniknutia, antivírové systémy a protokoly,
• e) logické bezpečnostné opatrenia a mechanizmy, ktoré regulujú vnútorný prístup do IT systémov, čo má zahŕňať:
• i. technickú a organizačnú povahu a frekvenciu každého opatrenia, ako napríklad, či ide o preven tívne alebo odhaľovacie opatrenie a či sa opatrenie vykonáva v reálnom čase,
• ii. ako sa rieši otázka oddelenia prostredia klienta v prípadoch, keď sú IT zdroje žiadateľa zdieľané,
• f) fyzické bezpečnostné opatrenia a mechanizmy v objektoch a v dátovom centre žiadateľa, ako sú kontroly prístupu a bezpečnosť prostredia,
• g) bezpečnosť platobných postupov, čo má zahŕňať:
• i. postup autentifikácie zákazníka využívaný v rámci prístupu pri konzultáciách a transakciách,
• ii. vysvetlenie, ako je zaistené bezpečné doručovanie oprávnenému používateľovi platobných služieb a integrita faktorov autentifikácie, napríklad hardvérových tokenov a mobilných aplikácií, v čase úvodnej registrácie aj jej obnovenia,
• iii. opis systémov a postupov, ktoré má žiadateľ zavedené na analýzu transakcií a identif ikáciu podozrivých alebo nezvyčajných transakcií,
• h) podrobné posúdenie rizika týkajúceho sa platobných služieb vrátane rizika podvodov, ako aj prepojenie na kontrolné opatrenia a opatrenia na zmiernenie rizika, vysvetlené v dokumentácii žiadosti a preukazujúce, že problematika rizík sa rieši,
• i) zoznam hlavných písomne zaznamenaných postupov týkajúcich sa IT systémov žiadateľa a v prípade postupov, ktoré ešte neboli formálne prijaté, odhadovaný termín ich ukončenia.

Usmernenie 11: Totožnosť a posúdenie vhodnosti členov predstavenstva a osôb zodpovedných za riadenie poskytovateľa služieb informovania o účte

11.1. Na účely doloženia totožnosti a posúdenia vhodnosti členov predstavenstva a osôb zodpovedných za riadenie poskytovateľa služieb informovania o účte má žiadateľ poskytnúť tieto informácie:

• a) podrobné osobné údaje, ktoré majú zahŕňať:
• i. úplné meno, pohlavie, miesto a dátum narodenia, adresu a štátnu príslušnosť, osobné identifikačné číslo alebo kópiu preukazu totožnosti, prípadne iného rovnocenného dokladu,
• ii. podrobné informácie o pozícii, pre ktorú sa požaduje posúdenie, či je pozícia riadiaceho orgánu výkonná alebo nie, a to má zahŕňať aj tieto informácie:

• b) informácie o prípadnom posúdení vhodnosti vykonanom žiadateľom, ktoré majú obsahovať podrobné údaje o výsledku každého posúdenia vhodnosti danej osoby vykonaného inštitúciou, ako sú napríklad zodpovedajúce zápisnice alebo správy
• o posúdení vhodnosti, prípadne iné dokumenty,
• c) dôkaz znalostí, zručností a skúseností, čo má zahŕňať životopis obsahujúci podrobné informácie o vzdelaní a odborných skúsenostiach vrátane akademických kvalifikácií, inej relevantnej odbornej prípravy, názvu a povahy všetkých organizácií, pre ktoré daná osoba pracuje alebo pracovala, ako aj povahu a trvanie vykonávaných funkcií, so zdôraznením predovšetkým všetkých činností v rozsahu posudzovanej pozície,
• d) dôkaz dobrého mena, čestnosti a bezúhonnosti, čo má zahŕňať:
• i. záznamy v registri trestov a relevantné informácie o vyšetrovaní trestnej činnosti a o trestnom konaní, príslušných občianskoprávnych a administratívnoprávnych veciach, ako aj o disciplinárnych konaniach, vrátane zlyhania vo funkcii člena predstavenstva spoločnosti, prípadov bankrotu, platobnej neschopnosti alebo podobných konaní, najmä prostredníctvom úradného osvedčenia alebo akéhokoľvek spoľahlivého zdroja informácií týkajúcich sa neexistencie odsudzujúceho rozsudku, vyšetrovania trestnej činnosti a trestného konania, ako je napríklad vyšetrovanie tretej strany, svedectvo právnika alebo notára so sídlom v Európskej únii,
• ii. vyhlásenie vzťahujúce sa na prípadné prebiehajúce trestné konanie alebo o tom, či osoba alebo organizácia, ktorú daná osoba riadila, bola v úlohe dlžníka účastníkom konkurzného konania alebo iného porovnateľného konania,
• iii. informácie týkajúce sa:

Usmernenie 12: Poistenie hmotnej zodpovednosti za škodu spôsobenú pri výkone činnosti alebo porovnateľná záruka

12.1. Ako dôkaz poistenia hmotnej zodpovednosti za škodu spôsobenú pri výkone činnosti alebo porovnateľnej záruky v súlade s usmerneniami EBA týkajúcimi sa poistenia zodpovednosti za škodu spôsobenú pri výkone činnosti (EBA/GL/2017/08) a v súlade s článkom 5 ods. 2 a 3 revidovanej smernice o platobných službách, žiadateľ má poskytnúť tieto informácie:

• a) poistnú zmluvu alebo iný rovnocenný dokument potvrdzujúci existenciu poistenia hmotnej zodpovednosti za škodu spôsobenú pri výkone činnosti alebo porovnateľnej

a preukazujúci pokrytie príslušných záväzkov,

• b) zdokumentovanie postupu, ako žiadateľ vypočítal minimálnu sumu tak, aby bola v súlade s uvedenými usmerneniami EBA, vrátane všetkých použiteľných zložiek vzorca uvedeného v dokumentácii.

1. Prehľad

1.1 Odkazy

1.2 Identifikované požiadavky

1.3 Súvisiace štandardy

2. Identifikované požiadavky

3. Súvisiace štandardy

• EBA - Published by the European Banking Authority at https://www.eba.europa.eu/