Blog
Pravidla monitoringu bankovních účtů a obchodní příležitost pro RegTech v SAE
Krátká odpověď
Pravidla Department for Work and Pensions (DWP) Spojeného království pro monitorování bankovních účtů jsou britská politika a v UAE se neuplatňují. Společnost v UAE, která získává data o účtech zákazníků z bank, potřebuje Open Finance Licence od Central Bank of the UAE (CBUAE) podle jejího Open Finance Regulation, s výslovným souhlasem zákazníka a s minimálním kapitálem 1 000 000 AED. Dodavatel softwaru, který pracuje na základě smlouvy s bankou, je jiný případ a jeho postavení závisí na tom, co produkt s daty dělá.
Rozhodující je hranice mezi dodavatelem softwaru a poskytovatelem přístupu k datům. Společnost, která licencované bance dodává nástroje pro monitorování nebo správu případů, je v jiné pozici než společnost, která data o účtech získává přímo od zákazníků. Central Bank of the UAE (CBUAE) dohlíží na banky a činnosti v oblasti otevřených financí a UAE Data Office dohlíží na osobní údaje podle federálního zákona o ochraně údajů.
Společným vláknem je souhlas. Federální právo zakazuje zpracování osobních údajů bez souhlasu jejich vlastníka, s omezenými výjimkami pro veřejný zájem a některé právní postupy. Podnik postavený na „monitorování“ musí být schopen prokázat, odkud tento souhlas pochází.
Co britský příklad zakladateli v SAE říká a co ne
Britská debata se týká vládního úřadu, který chce kontrolovat bankovní účty kvůli podvodům a chybám ve výplatách sociálních dávek. Jde o státní pravomoc stanovenou britskými právními předpisy a uplatňovanou vůči určité skupině žadatelů. Nic srovnatelného nedává soukromé společnosti ve SAE právo nahlížet na čí účet.
Britský případ vyvolává pro zakladatele otázku návrhu: kterou část monitorovacího řetězce by moje společnost vlastnila? Banky provádějí monitorování transakcí, protože k tomu mají povinnost. Softwarová společnost může vytvořit nástroje, které je zlevní a zpřesní. Nemůže si však od banky vypůjčit oprávnění data vidět.
Tato hranice určuje regulatorní cestu. Podle Open Finance Regulation (C 03/2025) vydaného CBUAE potřebuje společnost, která získává data o účtech zákazníků prostřednictvím bankovních rozhraní, Open Finance Licence, zatímco dodavatel pracující na základě smlouvy s bankou je jiný případ. Prezentace pro investory se často mýlí tím, že popisují produkt dodavatele jazykem regulované funkce.
Čtyři obchodní modely, které vypadají podobně, ale nejsou
Správa souhlasů a oprávnění. Produkt zaznamenává, s čím zákazník souhlasil, umožňuje souhlas odvolat a vede auditní stopu. Pracuje se záznamy o souhlasu, nikoli nutně s podkladovými daty o účtech. Je nejblíže pravidlům ochrany údajů, protože hlavní povinností je prokázat platný souhlas.
Monitorovací software prodávaný institucím. Správcem údajů je v praxi banka a dodavatel pracuje na základě její smlouvy. Otázky přístupu, uchovávání, trénování modelů na zákaznických datech a hlášení incidentů se řeší ve smlouvě o službách. Zda dodavatel potřebuje nějaké povolení, závisí na tom, co přesně dělá, a to je třeba ověřit u příslušného regulátora, nikoli předpokládat.
Analytika otevřených financí. Zde společnost čte data o účtech zákazníků přes bankovní rozhraní se svolením zákazníka. Právě zde má význam rámec otevřených financí CBUAE a je to model, který s největší pravděpodobností bude potřebovat vlastní povolení. Tuto oblast pokrývá samostatný průvodce o cestě poskytovatele otevřených financí.
Nástroje pro správu případů a regulatorní hlášení. Pomáhají compliance týmům zdokumentovat rozhodnutí. Důležitý detail je, zda nástroj pouze zaznamenává lidská rozhodnutí, nebo je začíná sám činit.
Skupina může provozovat několik z nich pod jednou značkou, ale smlouvy se liší.
Souhlas, právo na ochranu dat a otázka free zone
Federální zákon o ochraně osobních údajů se vztahuje na zpracování prováděné uvnitř SAE i mimo ně, zcela nebo zčásti elektronickými prostředky, a stanoví požadavky na přeshraniční předávání. UAE Data Office, přidružený ke Kabinetu SAE, vydává pokyny a vyřizuje stížnosti. Vlastníci údajů mohou žádat opravu a mohou zpracování omezit nebo zastavit.
U produktu pro monitorování nebo práci s daty z toho plynou tři praktické body. Souhlas musí být dostatečně konkrétní, aby pokrýval to, co software s daty skutečně dělá. Odvolání souhlasu musí fungovat v produktu, nejen ve smluvních podmínkách. A tok dat mimo UAE, například do cloudového regionu nebo k zahraniční mateřské společnosti, vyžaduje zdokumentovaný právní základ. Licencovaný poskytovatel open finance čelí přísnějším podmínkám. Open Finance Regulation vydaný CBUAE vyžaduje samostatný souhlas pro každý účel a odvolání souhlasu musí být stejně snadné jako jeho udělení. Vyžaduje také, aby byla data uložena v UAE, pokud CBUAE neschválila uložení v zahraničí a zákazník s tím nevyslovil písemný souhlas poté, co byl informován, kde budou data uložena a proč.
Umístění přidává další vrstvu. Stránka vlády UAE o ochraně údajů uvádí vedle federálního zákona také DIFC Data Protection Law (DIFC Law No. 5 of 2020) a Dubai Data Law (Law No. 26 of 2015). Společnost uvnitř finanční free zone proto může podléhat jinému režimu ochrany údajů než společnost na mainland a společnost obsluhující klienty v obou může čelit oběma. Federální stránka nevysvětluje, jak tyto režimy spolupůsobí, proto je třeba postavení vaší vlastní struktury potvrdit u orgánu free zone a příslušného regulátora dříve, než se zavážete k určité lokalitě.
Volba mezi mainland a free zone pro podnikání v oblasti dat a compliance
Společnost na mainland se hodí pro podnik, který prodává především bankám a firmám ve SAE a nechce územní omezení u toho, s kým uzavírá smlouvy. Společnost ve free zone může dobře fungovat pro technologický podnik s regionální zákaznickou základnou, pokud licencovaná činnost zóny odpovídá softwarovým a datovým službám a smlouvy jsou uzavřeny se správným subjektem.
Pro dodavatele RegTech jsou praktické zkoušky jiné než pro obchodní společnost. Dokáže licence přesně popsat vývoj softwaru a zpracování dat? Přijme nákupní oddělení banky tento subjekt jako dodavatele? Kde bude sídlit personál a jaká rezidenční víza pro zakládající tým dané místo podporuje? Kde budou data fyzicky hostována?
Nízká cena založení má malý význam, pokud je nutné licencovanou činnost později změnit, protože se ukázalo, že produkt zasahuje do regulovaných dat. Nejprve určete hranice produktu, poté porovnávejte lokality, což je pořadí popsané v části jak Velarozone funguje.
Na co se banka zeptá, než podepíše
Zakladatelé často berou bankovnictví jako úkol po založení společnosti. V tomto odvětví je to zároveň prodejní proces. Banka, která kupuje monitorovací software, nebo banka, která otevírá Váš vlastní firemní účet, bude chtít vidět ucelený obraz.
Počítejte s otázkami na to, kdo společnost vlastní a kdo ovládá kód, kde jsou uložena zákaznická data a kdo k nim má přístup, jak se model testuje a jak se řeší falešně pozitivní výsledky a co se stane po narušení zabezpečení. Pokud jde o vlastnictví, pokyny CBUAE očekávají, že banka identifikuje a ověří každou fyzickou osobu, která vlastní nebo ovládá 25 % či více společnosti, jež je jejím zákazníkem. Pokud 25 % nedosáhne nikdo, identifikuje místo toho vedoucího pracovníka. Banky se také zeptají, zda vaši lidé mají zkušenosti s compliance, protože produkt je tak důvěryhodný, jak důvěryhodný je tým, který za ním stojí.
Automatická upozornění vyvolávají zvláštní obavu. Pokud model označí účet a analytik toto označení jen přijme, je rozhodnutí fakticky automatizované. Regulovaní zákazníci dávají přednost nástrojům, které podporují zdokumentovaný lidský úsudek. Zabudovat to do pracovního postupu od začátku je levnější než dodatečná úprava poté, co se banka zeptá.
Cesta platformy RegTech pro KYC a AML se s monitorováním výrazně překrývá. Její kupující jsou stejné týmy compliance, takže platí stejná prověrka dodavatele.
Stručně řečeno
Co si z toho vzít
- Britská pravidla jsou jen spouštěčem. Společnost ve SAE by navrhovala podle datového práva SAE a očekávání CBUAE, nikoli podle pravomocí DWP.
- První strukturální volbou je dodavatel softwaru versus společnost, která přichází do styku s daty o účtech zákazníků.
- Federální právo o ochraně údajů činí ze souhlasu výchozí bod zpracování osobních údajů a federálním regulátorem je UAE Data Office.
- Umístění ve free zone může přinést samostatný režim ochrany dat, například zákon o ochraně údajů Dubai International Financial Centre (DIFC).
- Prodej bankám obvykle znamená projít jejich prověrkou dodavatelů (vendor due diligence), která před cenou testuje bezpečnost a řízení společnosti.
- Produkt nabízený jako způsob, jak obejít monitoring, není podnikání, které by banka ani regulátor v UAE chtěly mít poblíž sebe.
- Může společnost z UAE nabízet monitoring, s nímž zákazníci souhlasí, pokud data pocházejí z jejich banky?
- Možná, ale to je otázka open finance, nikoli otázka softwaru. Společnost, která na pokyn zákazníka získává data o účtech z bank, potřebuje Open Finance Licence od CBUAE a samotný souhlas přístup neopravňuje. Souhlas musí být výslovný, specifický pro daný účel a kdykoli odvolatelný. Data získaná tímto způsobem musí být uložena v UAE, pokud uložení v zahraničí neschválily CBUAE i zákazník.
- Potřebujeme licenci, pokud softwarem pouze zásobujeme banky?
- Záleží na tom, co software dělá. Nástroj, který funguje uvnitř prostředí banky a podle její smlouvy, je jiný případ než služba, která přijímá nebo přesouvá data zákazníků na vlastní účet. Sepište, co produkt dělá a co nedělá, a nechte tento popis ověřit u příslušného regulátora, protože označení produktu nic nerozhoduje.
- Který zákon o datech se použije, pokud sídlíme ve free zone?
- Význam mohou mít obě úrovně. Federální zákon o ochraně osobních údajů se vztahuje na zpracování v UAE i mimo ni a finanční free zones, například DIFC, mají vlastní zákon o ochraně údajů. Který z nich se na danou činnost vztahuje, závisí na tom, kde společnost sídlí a komu slouží, proto to ověřte u orgánu zóny.
- Můžeme produkt nabízet jako způsob, jak se zákazníci mohou vyhnout monitoringu?
- Ne. Banky a regulátoři to budou vnímat jako varovný signál a oslabí to argumentaci o souladu produktu s předpisy. Věrohodným postojem je, že produkt pomáhá zákazníkům porozumět tomu, jak se jejich data používají, a řídit to, a to v mezích zákona.
Zdroje
Odkud to pochází
Obecné informace vycházející z příručky CBUAE (CBUAE Rulebook), včetně nařízení o maloobchodních platebních službách a kartových schématech (C 15/2021) a usnesení vlády č. (134) z roku 2025 v publikovaném znění, nikoli právní ani daňové poradenství. Pravidla a pokyny se mění, proto před podáním ověřte aktuální znění a požadavky každé instituce.