Regulace a legislativa ve fintech sektoru: PSD2

Proč je regulace FinTechu klíčová

Finanční technologie (FinTech) urychlují inovace v oblasti platebních služeb, úvěrování, digitálního investování, pojistně-technických produktů i kryptoaktiv. Regulace a legislativa stanovují hranice bezpečnosti, ochrany spotřebitele, stability a integrity trhu. Projekty FinTech proto musí již ve fázi návrhu zahrnout právní rámce (compliance-by-design), řízení rizik a dohledové požadavky, jinak hrozí sankce, ztráta důvěry a nemožnost škálovat na regulovaných trzích.

Regulační cíle a principy

Bezpečnost a stabilita: minimalizace systémových rizik, řízení likvidity a kapitálu, provozní odolnost.
Ochrana spotřebitele: transparentnost, spravedlivé podmínky, prevence predátorských praktik, přístup k odškodnění.
Integrita trhu: AML/CFT, sankční režimy, governance a prevence střetů zájmů.
Podpora inovací: technologická neutralita, proporční regulace, sandboxy a pasportizace služeb.
Soukromí a data: důraz na ochranu osobních údajů, přenositelnost a bezpečný datový přístup.

Regulační mapování: základní domény FinTechu

Platební služby a elektronické peníze: poskytovatelé platebních služeb (PI), instituce elektronických peněz (EMI), AISP/PISP.
Úvěry a BNPL: P2P/P2B lending, dynamická cenotvorba, spotřebitelské úvěry a posuzování úvěruschopnosti.
Investiční služby: robo-poradenství, obchodní platformy, tokenizované cenné papíry.
Kryptoaktiva: směnárny, custody, emise tokenů (včetně stablecoinů), poskytovatelé peněženek.
InsurTech: distribuční zprostředkování, parametrické produkty, embedded insurance.
Data a identity: otevřené finance, eID/eIDAS, správa souhlasů, datová práva.

Evropský rámec: přehled klíčových předpisů

PSD2 (platební služby) – otevřené bankovnictví, přístup třetích stran (AIS/PIS), silné ověření klienta (SCA). Nástupnické reformy (PSD3/PSR) směřují k unifikaci pravidel a dohledu nad podvody.
EMD (elektronické peníze) – pravidla pro EMI, kapitál a ochranu prostředků (safeguarding/segregace).
MiCA (Markets in Crypto-Assets) – režim pro emitenty a poskytovatele služeb s kryptoaktivy (CASP), včetně kategorií ART a EMT (stablecoiny) a zvláštních požadavků pro „významné“ tokeny.
DORA (Digital Operational Resilience Act) – jednotná pravidla řízení ICT rizik, hlášení incidentů, testování odolnosti (TLPT), řízení třetích stran.
GDPR a ePrivacy – ochrana osobních údajů, právní základy zpracování, DPIA, přenositelnost a omezení profilování.
NIS2 – kybernetická bezpečnost a povinnosti pro vybrané finanční a digitální služby.
AMLD/AMLR + TFR – boj proti praní špinavých peněz a financování terorismu, cestovní pravidlo (travel rule) i pro krypto převody, povinnosti KYC/CTF a hlášení podezřelých transakcí.
MiFID II/MiFIR – investiční služby, kategorizace klientů, vhodnost/primerenost, transparentnost trhu.
AI Act – rámec pro systémy umělé inteligence (scoring, detekce podvodů), požadavky podle rizikovosti, správa modelů a vysvětlitelnost.
eIDAS 2 – evropská digitální peněženka (EUDI Wallet), kvalifikované důvěryhodné služby a vzdálená identifikace.
ECSP – evropské crowdfundingové platformy (investiční i úvěrové), pasportizace.
CCD2 – nová směrnice o spotřebitelských úvěrech (rozšíření i na BNPL), předsmluvní informace a posuzování úvěruschopnosti.

Licenční a pasportizační režimy (EU)

Payment Institution (PI) – platební služby, kapitálové požadavky podle druhu služeb, safeguarding klientských prostředků.
E-Money Institution (EMI) – vydávání elektronických peněz, přísnější kapitálové požadavky a pravidla pro float.
AISP/PISP – poskytovatelé informací o účtu a iniciace plateb; často s méně náročným kapitálovým rámcem, avšak s povinným pojištěním odpovědnosti.
CASP pod MiCA – obchodní místa, custody, směna, poradenství v oblasti kryptoaktiv; povolení u příslušného regulátora a možnost pasportizace v rámci EU.
ECSP licence – jednotná licence pro crowdfunding s přeshraničním pasportem.

UK a USA: stručné srovnání přístupů

Velká Británie: dohled FCA a PSR, specifické režimy pro e-peníze a platební instituce, Consumer Duty, otevřené bankovnictví (OBIE) a vlastní kryptoregulace. Aktivní regulační sandboxy a innovation hubs.
Spojené státy: fragmentace mezi SEC, CFTC, CFPB, OCC, FDIC a státními orgány; licencování Money Transmitter (včetně NYDFS BitLicense), regulace cenných papírů (Reg D, Reg CF, Reg A+), bankovní partnerství (BaaS) a přísné požadavky na compliance programy a fair lending.

Platební služby: SCA, podvody a safeguarding

SCA (silné ověření klienta) – kombinace faktorů (znalost, vlastnictví, inherence), výjimky (nízká hodnota, TRA, trvalé předplatné).
Safeguarding – segregace klientských prostředků (oddělené účty, pojištění/garance), kontrola denních smírů a nezávislé potvrzení.
Anti-fraud – monitoring transakcí, behaviorální biometrie, černé listiny, spolupráce mezi schématy (chargebacky, řešení sporů).

Úvěry, BNPL a posuzování úvěruschopnosti

Poskytování spotřebitelských úvěrů a BNPL vyžaduje transparentní informace, posouzení úvěruschopnosti bez diskriminace, transparentní poplatky a robustní procesy vymáhání v souladu s ochranou spotřebitele. AI modely pro scoring jsou regulovány (AI Act, pravidla fair lending) a musí být auditovatelné, vysvětlitelné a bez systematické zaujatosti.

Investiční služby a robo-poradenství

Vhodnost/primerenost – dotazníky, testy rizikového profilu, pravidelné přehodnocování.
Transparentnost nákladů – informace před a po poskytnutí služby (ex-ante / ex-post), pobídky, nejlepší provedení (best execution).
Algoritmické poradenství – governance modelů, validace a řízení změn, záznamy rozhodovací logiky.

Kryptoaktiva: MiCA, travel rule a custody

Licencování CASP – kapitálové požadavky, řízení střetu zájmů, povinnosti k trhu a zákazníkům, pravidla marketingu.
Stablecoiny – emitenti ART/EMT dodržují limity, rezervy, řízení likvidity a výkaznictví; u „významných“ tokenů přísnější dohled.
Travel rule – přenos identifikačních údajů o odesílateli a příjemci u převodů kryptoaktiv; screening sankcí a politicky exponovaných osob (PEP).
Custody – segregace aktiv klientů, správa klíčů (MPC/HSM), pojištění, postupy obnovy a insolvenční oddělení.

Ochrana osobních údajů a otevřené finance

GDPR – právní základy (smlouva, oprávněný zájem, souhlas), minimalizace dat, DPIA, práva subjektů údajů, přeshraniční přenosy, privacy-by-design.
Open Banking / Open Finance – bezpečné API, správa souhlasů, granularita a možnost odvolání, auditní stopy a nezávislé bezpečnostní testy.
eIDAS/eID – využití kvalifikovaných služeb důvěry, vzdálená identifikace a podpis, evropská peněženka identity.

AML/CFT a sankční režimy

KYC – rizikově orientovaný přístup, screening sankcí/PEP/negativních zpráv (Adverse Media), průběžná aktualizace, eKYC a vzdálená verifikace.
Monitoring – scénáře a detekce anomálií, hodnocení FPR/TPR, nezávislá validace modelů.
Reportování – SAR/STR, spolupráce s finanční zpravodajskou jednotkou (FIU), auditovatelné pracovní postupy a doby uchování dat.

Provozní odolnost: DORA a outsourcing

ICT řízení rizik – inventář aktiv, klasifikace informací, zálohování, testy obnovy (DR), plán kontinuity podnikání (BCP/BCM).
Incidenty – klasifikace, hlášení dohledu v zákonných lhůtách, analýza příčin a nápravná opatření.
Třetí strany – prověrky poskytovatelů cloudových služeb, smluvní SLA, právo auditu, řízení koncentrace rizik a exit plány.
TLPT – hrozbami řízené penetrační testy (red teaming) pro kritické funkce.

Spotřebitelská práva a etika designu

Transparentnost – srozumitelné poplatky, sazebníky, rizika produktů a přístup k zákaznické podpoře.
Reklamace – jasné postupy, lhůty, alternativní řešení sporů (ADR/ombudsman), pravidla chargebacků.
Dark patterns – zákaz manipulačních uživatelských rozhraní při udělování souhlasů a odhlašování.

Bezpečnost a standardy

PCI DSS – pokud zpracováváte platební karty (PAN), segmentace a tokenizace dat.
Šifrování – ochrana dat v klidu i při přenosu, správa klíčů (KMS/HSM), rotace klíčů, segregace tajemství.
Řízení identity a přístupů – vícefaktorová autentizace (MFA), princip nejnižších oprávnění (least privilege), oddělení povinností, auditní logy odolné vůči manipulaci.

AI a správa modelů ve FinTechu

Model Risk Management – životní cyklus modelů (vývoj – validace – monitoring), drift, spravedlnost (fairness) a vysvětlitelnost.
AI Act – klasifikace rizik (např. scoring jako vysoce rizikový), požadavky na data, dokumentaci a lidský dozor.
Etika dat – omezení profilování, analýzy předsudků (bias), možnost lidského přezkumu rozhodnutí.

RegTech a SupTech: jak si ulehčit compliance

RegTech – automatizace screeningů, orchestraci KYC, transakční monitoring, evidenci souhlasů, reportování dohledu.
SupTech – digitalizace dohledu (machine-readable reporting), standardizace API a otevřených formátů.

Implementační roadmapa pro FinTech produkt

Regulatorní určení rozsahu: identifikace jurisdikcí, licenčního režimu a pasportizace; gap analýza.
Governance: představenstvo, tři linie obrany, klíčové funkce (MLRO, DPO, CISO, CRO), politiky a postupy.
Compliance-by-design: SCA, safeguarding, KYC/AML, ochrana soukromí, auditní stopy integrované do architektury.
DORA připravenost: rámec ICT rizik, SLA s dodavateli, plán testování odolnosti, řízení incidentů.
Podání licence: obchodní plán, kapitál, outsourcované činnosti, fit & proper management, interní směrnice.
Kontinuální monitoring: KRIs, SLI/SLO, interní audit, compliance monitoring, reportování dohledu.

Časté chyby a jak se jim vyhnout

Podcenění licenční klasifikace (např. EMI vs. PI) a nesprávné mechanismy safeguarding.
Nedostatečná segregace klientských prostředků a nejasná insolvenční odolnost.
„Privacy“ řešená ex post; chybějící DPIA a správa souhlasů.
AML modely bez validace a správy, vysoké FPR/TPR bez zlepšování.
Opomenutí DORA požadavků u kritického outsourcingu (cloud), chybějící práva auditu.
Marketing „krypto-produktů“ bez jasné právní kvalifikace a upozornění na rizika.