Drodzy Członkowie, Oddajemy w Wasze ręce trzeci numer Newslettera Compliance. Tak jak w poprzednich wydaniach, staraliśmy się przedstawić artykuły oraz informacje z trzech sektorów rynku finansowego. Jak już informowaliśmy, na ostatnim Walnym Zgromadzeniu Członków Stowarzyszenia jednogłośnie przegłosowane zostało rozpoczęcie przez Stowarzyszenie działalności gospodarczej. Mamy nadzieję, iż stosowny wpis w rejestrze przedsiębiorców zostanie dokonany w ciągu najbliższych dwóch miesięcy i do końca bieżącego roku będziemy mogli przedstawić Wam plany Stowarzyszenia związane z możliwością prowadzenia działalności gospodarczej. Oczywiście będziemy wdzięczni za wszelkie Wasze sugestie w tym zakresie. Równocześnie, chciałbym serdecznie przywitać w naszym gronie nowych członków Stowarzyszenia. W chwili obecnej jest wśród nas już 127 reprezentantów polskiego rynku kapitałowego, bankowego i ubezpieczeniowego. Mamy nadzieję, że liczba ta stale będzie się powiększać. Życzę przyjemnej lektury i tak jak poprzednio, zapraszam do kontaktu w sprawie Newslettera pod adresem: biuro@compliancepolska.pl. Jarosław Nowacki / Członek Zarządu SCP HFT/ALGOTRADING: LAYERING & SPOOFING NA CENZUROWANYM Zmiana podejścia regulatorów do handlu algorytmicznego i określonych praktyk z nim związanych STR. 1 EMIR: KDPW_TR LOKALNE REPOZYTORIUM TRANSAKCJI Pierwszą wersję usługi repozytorium transakcji Krajowy Depozyt Papierów Wartościowych uruchomił 2 listopada 2012 STR. 2 IV DYREKTYWA AML PROPOZYCJA KOMISJI EUROPEJSKIEJ Chociaż od przedstawiania propozycji IV Dyrektywy AML minęło już kilka miesięcy (propozycję opublikowano w lutym 2013 r.), warto przypomnieć najważniejsze jej założenia STR. 3 FATF -NOWA METODOLOGIA W 2013 roku, FATF przyjął nową Metodologię w zakresie oceny zgodności z Rekomendacjami AML/CTF STR. 4 TRANSPOZYCJA PRZEPISÓW DYREKTYWY AIFMD W LUXEMBURGU Parlament w Luxemburgu uchwalił ustawę transponującą przepisy dyrektywy AIMFD STR. 5 MANCO Aby założyć Asset Management Company (ManCo) w Luxemburgu należy spełnić warunki ustawy o UCI z dnia 17 Grudnia 2010 roku STR. 11 PRZETWARZANIE DANYCH OSOBOWYCH UBEZPIECZAJĄCEGO/UBEZPIECZONEGO Regulacje w zakresie ochrony danych osobowych dotyczą również zakładów ubezpieczeń STR. 6 SPORY SĄDOWE W ZAKŁADZIE UBEZPIECZEŃ ROLA COMPLIANCE Co do zasady, w każdym zakładzie ubezpieczeń wszelkie kwestie prawne merytorycznie rozstrzygane są w dziale lub departamencie prawnym STR. 8 KONFERENCJA EIOPA w dniu 20 listopada 2013 r. we Frankfurcie nad Menem odbędzie się kolejna coroczna konferencja EIOPA STR. 10 LIPIEC I SIERPIEŃ W KNF MIESIĄCE DUŻYCH KAR W miesiącu lipcu i sierpniu KNF nałożył kilka znacznych kar za niedopełnienie obowiązków regulacyjnych STR. 13
HFT/ALGOTRADING LAYERING & SPOOFING NA CENZUROWANYM Michael Coscia jest jednym z traderów, którzy przekonali się w ostatnim czasie o zmianie podejścia regulatorów do handlu algorytmicznego i określonych praktyk z nim związanych. Coscia został niedawno ukarany przez nadzór amerykański - CFTC (Commodities and Futures Trading Commission) oraz nadzór brytyjski - FCA (Financial Conduct Authority) w sumie na kwotę około 3 milionów dolarów. Dodatkowo, Coscia musi zwrócić około 2,7 miliona dolarów, które zarobił. Layering / spoofing Coscia, aktywny na polu HFT / algotrading stosował metodę znaną jako layering and spoofing. Coscia opracował algorytm, który w uproszczeniu, składał zlecenia kupna / sprzedaży instrumentów finansowych (layering), a następnie natychmiast składał zlecenia anulacji poprzednio złożonych zleceń (spoofing). W zjawisku layering & spoofing chodzi więc de facto o składanie zleceń bez woli zawarcia transakcji. Takie zlecenia mają na celu sprowokowanie innych inwestorów do dokonania transakcji, a tym samym sprowokowanie ruchu ceny danego instrumentu finansowego. Po wycofaniu pierwszych zleceń, kolejne zlecenia mają na celu wykorzystanie zmienionej w wyniku poprzedniego zlecenia sytuacji rynkowej. Fałszywe zlecenia powodują zaburzoną percepcję rynku w zakresie potencjału ruchu cen oraz głębokości i płynności rynku. Podejście SEC Podobne podejście w zakresie algotrading wykazywała już wcześniej Securities and Exchange Commission w stosunku do brokerów umożliwiających podobne praktyki na rynkach regulowanych klientom spoza USA. Tak było m.in. w sprawie Hold Brothers On-Line Investment Services, gdzie za pośrednictwem rachunków inwestycyjnych klienci brokera dokonywali manipulacji na akcjach spółek będących w publicznym obrocie, właśnie z wykorzystaniem metody layering & spoofing. W sprawie Hold, broker zgodził się iść na układ z SEC i zapłacić 4 miliony dolarów. Odpowiedzialność brokerów Warto w tym miejscu zaznaczyć, że odpowiedzialność brokerów pojawia się nie tylko w sytuacji, gdy sami stosują nieuczciwe praktyki, dokonując transakcji na własnym kapitale, ale także w sytuacji gdy broker udostępnia dany rynek klientowi (DMA Direct Market Access), który z kolei dostęp ten wykorzystuje do nielegalnych praktyk. W realiach rynkowych UK i USA, broker odpowiadać więc będzie wobec regulatorów, jeżeli nie sprawuje wystarczającego nadzoru nad prowadzonymi przez siebie platformami DMA i tym samym umożliwia nielegalne praktyki. Jarosław Nowacki / Członek Zarządu SCP STR. 1
EMIR: KDPW_TR LOKALNE REPOZYTORIUM TRANSAKCJI Pierwszą wersję usługi repozytorium transakcji Krajowy Depozyt Papierów Wartościowych uruchomił 2 listopada 2012. KDPW_TR to odpowiedź KDPW na Rozporządzenie EMIR i wynikające z niego możliwości biznesowe dla podmiotów zajmujących się rozliczaniem i raportowaniem transakcji. Jak wspominałem w poprzednich wydaniach Newslettera, EMIR wprowadza obowiązek raportowania kontraktów na instrumentach pochodnych do repozytorium transakcji. Istotne jest przy tym to, że obowiązek nie dotyczy tylko rynku OTC, ale obowiązuje niezależnie od rynku, na którym transakcje zostały zawarte. Pomimo więc tego, że EMIR w głównej mierze dotyczy rynku pozagiełdowych instrumentów pochodnych, to pewne jego aspekty rozciągają się również na rynek regulowany, w tym obowiązek raportowania transakcji na instrumentach pochodnych z rynków regulowanych. KDPW_TR jako podmiot powiązany z KDPW_CCP rozliczającym transakcje na instrumentach pochodnych na rynku regulowanym, ma tym samym możliwość objęcia zakresem swych usług jednocześnie rynku OTC oraz rynku regulowanego. Dla lokalnych podmiotów objętych obowiązkiem raportowania wynikającym z EMIR, możliwość raportowania w jednym miejscu transakcji z rynku regulowanego oraz OTC jest niewątpliwie istotnym ułatwieniem, zwłaszcza że EMIR zakłada również możliwość raportowania transakcji w imieniu podmiotu obowiązanego przez CCP, co w przypadku instrumentów pochodnych z rynku regulowanego oznaczać może wygodne przerzucenie raportowania tych transakcji na KDPW_CCP. Ramy prawne KDPW_TR Ramy prawne dla funkcjonowania KDPW_TR ustanowione zostały nowelizacją ustawy z dnia 29 lipca 2005 r. o obrocie instrumentami finansowymi, która wprowadziła zapisy dotyczące nowacji rozliczeniowej. Na tej podstawie, Krajowy Depozyt Papierów Wartościowych może gromadzić i przechowywać informacje dotyczące transakcji, których przedmiotem są instrumenty finansowe, oraz informacje dotyczące tych instrumentów. Wejście w życie obowiązku raportowania Obowiązek raportowania nałożony przez EMIR wchodzi w życie po upływie 90 dni od dnia zarejestrowania przez ESMA pierwszego repozytorium dla danej klasy instrumentów finansowych i będzie początkowo dotyczył wyłącznie instrumentów pochodnych stopy procentowej oraz instrumentów kredytowych. Pozostałe kontrakty pochodne, w tym kontrakty z rynku regulowanego, najprawdopodobniej objęte zostaną obowiązkiem raportowania z dniem 1 stycznia 2014 r. Wniosek o rejestrację repozytorium w ESMA Wniosek o rejestrację repozytorium transakcji do celów związanych ze zgłaszaniem informacji o zawartych kontraktach pochodnych na podstawie EMIR został złożony przez KDPW w ESMA 2 maja 2013 r. Zgodnie z informacjami udostępnianymi przez KDPW, wniosek dotyczy autoryzacji KDPW_TR niezależnie od miejsca zawarcia kontraktu (rynek regulowany + OTC), w zakresie następujących klas instrumentów pochodnych: Towarowy instrument STR. 2
pochodny (CO); Kredytowy instrument pochodny (CR); Walutowy instrument pochodny (CU); Instrument pochodny na akcje (EQ); Instrument pochodny na stopę procentową (IR); Inny instrument pochodny (OT). Na chwilę zamykania niniejszego wydania Newslettera, nie była jeszcze znana data rozpatrzenia wniosku przez ESMA. Jarosław Nowacki / Członek Zarządu SCP V DYREKTYWA AML PROPOZYCJA KOMISJI EUROPEJSKIEJ Chociaż od przedstawiania propozycji IV Dyrektywy AML minęło już kilka miesięcy (propozycję opublikowano w lutym 2013 r.), warto przypomnieć najważniejsze jej założenia. Dyrektywie towarzyszyć będzie rozporządzenie, które określi nowe obowiązki informacyjne w zakresie transferu środków. Cel nowelizacji Nowelizacja Dyrektywy ma przede wszystkim na celu dostosowanie jej do aktualnych rekomendacji FATF. Istotną nowością jest propozycja wprowadzenia minimalnych sankcji administracyjnych za naruszenie obowiązków z zakresu AML dla osób prawnych i osób fizycznych. W przypadku osób prawnych wysokość sankcji ma wynosić 10% całkowitego rocznego obrotu podmiotu, zaś w przypadku osób fizycznych ma ona wynosić do 5.000 EUR i być dodatkowo powiązana z obowiązkiem podawania informacji o naruszeniach i osobach ukaranych do publicznej wiadomości. Obniżenie progu, obowiązki z zakresu oceny ryzyka Dyrektywa ma objąć swym zakresem, poza dotychczasowymi instytucjami obowiązanymi, także osoby handlujących towarami i przyjmujących za nie płatności gotówkowe w kwocie od 7500 EUR, co oznacza obniżenie aktualnie obowiązującego progu do 15 000 EUR. Ponadto, Dyrektywa zakłada wprowadzenie obligatoryjnych ocen ryzyka na trzech poziomach: europejskim, krajowym oraz instytucjonalnym, co będzie szczególnie istotne w przypadku grup działających na więcej niż jednym rynku i, jak się wydaje, uzasadnione z punktu widzenia zarządzania ryzykiem AML w grupach. Planowane zmiany w zakresie środków należytej staranności Dodatkowo, nowe regulacje zakładają zaostrzenia przepisów dotyczących stosowania uproszczonych środków należytej staranności. Dyrektywa zakłada brak automatycznego wyłączenia w stosunku do podmiotów lub produktów niskiego ryzyka, a także obowiązkowa analiza ryzyka poprzedzająca każdorazowo zastosowanie uproszczonych środków należytej staranności. Zmiany w zakresie tzw. PEP ów Nowe przepisy zakładają także obowiązek poszukiwania PEP ów wśród beneficjentów rzeczywistych oraz beneficjentów polis na życie, idąc tym samy w ślad za rekomendacjami FATF oraz najlepszymi praktykami w tym zakresie; co więcej, sama definicja PEP a obejmować ma STR. 3
nie tylko nierezydentów, ale także osoby sprawujące eksponowane stanowiska polityczne w kraju (tzw. PEP i krajowi). Definicja beneficjentów rzeczywistych Zmianie ulegnie także definicja beneficjenta rzeczywistego, w którego przypadku nastąpić ma dookreślenie, iż próg 25% odnosić ma się do każdego z poziomów własności, zarówno bezpośredniej jak i pośredniej jak również poprzez wprowadzenie możliwości wskazania osób sprawujących kontrolę nad danym podmiotem prześwietlanym pod kątem beneficjentów rzeczywistych. Ciekawym obowiązkiem nakładanym przez Dyrektywę z zakresu beneficjentów rzeczywistych jest także nałożenie na osoby prawne obowiązku posiadania informacji o swoich beneficjentach rzeczywistych, co przynajmniej w teorii ułatwi także przeprowadzanie identyfikacji przez podmioty obowiązane. Termin implementacji Planowany czas implementacji Dyrektywy to maksymalnie dwa lata od momentu jej uchwalenia, przy czym na tą chwilę nie można jeszcze oszacować dokładnej daty przyjęcia nowych przepisów; zakładać można jednak, iż nie nastąpi to wcześniej niż w 2014 roku. Jarosław Nowacki / Członek Zarządu SCP FATF -NOWA METODOLOGIA W 2013 roku, FATF przyjął nową Metodologię w zakresie oceny zgodności poszczególnych państw z Rekomendacjami AML/CTF oraz skuteczności funkcjonowania systemu AML/CTF ( Metodology for assessing technical compliance with the FATF Recommendations and the Effectiveness of AML/CTF systems). Przy jej użyciu, FATF będzie mógł stwierdzić, czy dane państwo stosuje się do standardów FATF oraz, czy system przeciwdziałania praniu brudnych pieniędzy i finansowania terroryzmu skutecznie w nim działa. Od momentu ustanowienia FATF, w 1989 roku, organ ten tworzy światowe standardy w walce z praniem brudnych pieniędzy i finansowaniem terroryzmu. Od samego początku, FATF dąży do całkowitej harmonizacji w taki sposób, by standardy odnoszące się do AML/CTF respektowane były przez wszystkie państwa. Ostatni przegląd przez FATF Zaleceń, w 2012 roku, miał na celu stworzenie lepszego zabezpieczenia oraz ochrony integralności systemu fiansowego w taki sposób, by państwa mogły dysponować lepszymi narzędziami przy zwalczaniu zjawiska prania brudnych pieniędzy oraz finansowania terroryzmu. Ocena FATF ma na celu weryfikację poziomu przestrzegania przez państwa wytycznych zawartych w Zaleceniach z 2012. Celem nowej Metodologii jest, po pierwsze, ocena zgodności z wymogami każdego z zaleceń poprzez analizę przepisów prawnych AML/ CTF danego kraju, kompetencji właściwych organów oraz stworzonych przez nich procedur, jako że właśnie to stanowi głównie trzon systemu AML/CTF. Ocena zgodności będzie czterostopniowa: zgodny, w dużej mierze zgodny, częściowo zgodny, niezgodny. Drugim zaś założeniem nowej Metodologii jest weryfikacja, w jaki sposób dane państwo osiąga pozytywne wyniki w tworzeniu stabilnego systemu AML/CTF oraz, czy regulacje danego kraju oraz ramy instytucjonalne przynoszą oczekiwany efekt. Poziom skuteczności działań powziętych przez państwa w walce z praniem brudnych pieniędzy oraz finansowaniem terroryzmu określony będzie w specjalnym sprawozdaniu FATF. FATF dokona swojej oceny w oparciu o kryterium poziomu skuteczności, tj.: wysoki poziom skuteczności, znaczny poziom skuteczności, umiarkowany poziom skuteczności oraz niski poziom skuteczności. Nowy sposób oceny w oparciu o nową Metodologie rozpocznie się w 2014 roku. Justyna Muryn / Członek SCP STR. 4
TRANSPOZYCJA PRZEPISÓW DYREKTYWY AIFMD W LU- XEMBURGU Dnia 12 lipca 2013 Parlament w Luxemburgu uchwalił ustawę transponującą przepisy dyrektywy AIMFD (The Alternative Investment Fund Managers Directive). W związku z powyższym, dnia 18 lipca 2013 CSSF (Luxemburski Nadzór Finansowy) opublikował dokument, w którym wskazuje podmiotom ubiegającym się o status AIFM (Alternative Investment Fund Manager) dalsze kroki, jakie powinny być przez nich podjęte, w celu dopełnienia wymogów ustawowych. Struktura aktu prawnego Ustawa składa się z 13 rozdziałów, z czego: Rozdziały od 1 do 11 prawie całkowicie odzwierciedlają tekst dyrektywy i zawierają przepisy odnoszące się do AIFM. Określają one w szczególności zasady uzyskania przez te podmioty zezwolenia, wymogi kapitałowe, sposób zarządzania (w tym zarządzania ryzykiem), jak również te, dotyczące oddelegowania funkcji, raportowania oraz depozytariusza. Rozdział 12 zawiera przepisy zmieniające ustawę z 2010 roku o UCI (Undertaking for Collective Investment law), ustawę z 2007 roku, dotyczącą SIF (Specialized Investment Fund) oraz ustawę z 2004 roku, odnoszącą się do SICAR (Investment Companies in Risk Capital). Zmiany te dotyczą głównie sposobu wyceny, zasad ujawniania informacji inwestorom oraz zasad powierzenia aktywów depozytariuszowi. Rozdział 12 zawiera również przepisy zmieniające prawo podatkowe, prawo bankowe oraz prawo spółek. Ostatni, 13 rozdział zawiera przepisy uchylające oraz przepisy końcowe. Zakres podmiotowy AIFM w świetle ustawy Zgodnie z ustawą regulowane mają być AIFM (Alternative Investment Fund Manager), a nie same AIF (Alternative Investment Fund), jednakże to wymaga uprzedniego dokonania klasyfikacji na poziomie AIF zanim określi się, które podmioty będą mogły ubiegać się o status AIFM. W związku z powyższym, na podstawie ustawy, AIF to każda instytucja zbiorowego inwestowania wraz z jej kompartymentami mająca siedzibę w Luxemburgu( lub zgodnie z art. 4 AIFMD na terytorium państwa członkowskiego lub w kraju trzecim), która podwyższa wartość kapitału w drodze inwestycji poczynionych przez inwestorów zgodnie z polityką inwestycyjną, w celu osiągnięcia przez nich korzyści, przy założeniu, iż inne przepisy prawa nie wymagają przy tym dodatkowego zezwolenia. Chodzi tu o zezwolenia wymagane na gruncie ustawy z 17 grudnia 2010 odnoszącej się do UCI. W celu stwierdzenia, czy dany podmiot kwalifikuje się jako AIF, powinien on dokonać własnej oceny, bazując na powyższych przesłankach ustawowych. AIFM O status AIFM może ubiegać się każda osoba prawna, której działalność polega na zarządzaniu jednym lub wieloma AIF zgodnie z definicją zawartą w ustawie z 12 lipca 2013 roku. Podobnie jak AIF, podmiot zarządzający funduszami musi również dokonać samooceny, w celu stwierdzenia, czy kwalifikuje się on jako AIFM. Na podstawie ustawy o status AIFM ubiegać się mogą: ManCo (Management Company) uregulowane przepisami ustawy z 17 grudnia 2010 roku o UCI- rozdział 15 i 16, zarządzane wewnętrznie SIF, SICAR, UCI oraz każda osoba prawna, której główną działalnością jest zarządzanie AIF w rozumieniu ustawy z 12 lipca 2013 roku. Rejestracja/Zezwolenie Każdy z podmiotów kwalifikujących się jako AIMF będzie musiał zostać zarejestrowany lub uzyskać stosowne zezwolenie wydane przez CSSF. O tym, czy AIMF ubiegać się będzie STR. 5
mogło o rejestrację, czy też o zezwolenie, decydują przepisy ustawy. Aby zostać zwolnionym z obowiązku uzyskania zezwolenia i ubiegać się jedynie o status zarejestrowanej AIFM, podmiot taki będzie musiał spełnić jedną z przesłanek dotyczących wymogu kapitałowego. Będzie to więc jednostka, która zarządza aktywami nie przewyższającymi w całości 100 tys. euro lub 500 tys. euro w przypadku, w którym AIF zarządzane przez AIFM nie podlegają lewarowaniu oraz nie skorzystano z prawa wykupu w ciągu pięciu lat od dnia początkowej inwestycji. Terminy Do dnia 16 Sierpnia 2013 roku, każdy z podmiotów, który kwalifikuje się jako AIFM, był zobowiązany zawiadomić o tym CSSF drogą mailową, podając przy tym swoją nazwę, adres siedziby, sposób zarządzania (wewnętrzny lub zewnętrzny ) oraz to, czy podlegać on będzie rejestracji, czy ubiegać się będzie o zezwolenie. Obecnie, po spełnieniu wyżej wymienionego obowiązku, AIFM będą miały prawie rok czasu (do 22 lipca 2014 roku), aby przedłożyć wymagane przez Nadzór Finansowy formularze i dokumenty, w celu uzyskania odpowiedniego statusu. Odpowiednie formularze dostępne są już na stronie CSSF. Justyna Muryn / Członek SCP PRZETWARZANIE DANYCH OSOBOWYCH UBEZPIECZA- JĄCEGO/UBEZPIECZONEGO PO WYGAŚNIĘCIU UMOWY UBEZPIECZENIA Regulacje w zakresie ochrony danych osobowych dotyczą również zakładów ubezpieczeń przetwarzających dane osobowych swoich klientów (lub potencjalnych klientów). Ustawa o ochronie danych osobowych (Dz. U z 2002r., nr 101, poz. 926 ze zm.) nakłada na administratora danych osobowych obowiązek przechowywania danych w postaci umożliwiającej identyfikację osób, których dotyczą, nie dłużej niż to jest niezbędne do osiągnięcia celu przetwarzania. Po osiągnięciu celu (np. wykonaniu zawartej umowy, upływie wskazanego w przepisach prawa okresu przechowywania danych) dane powinny zostać usunięte, zanonimizowane lub też przekazane podmiotowi uprawnionemu ustawowo do ich przejęcia od administratora (np. przekazane do archiwum państwowego). W tym celu administrator danych jest zobowiązany do stałego nadzorowania zawartości swoich zbiorów pod kątem konieczności usuwania danych zbędnych, albo do których przetwarzania przestał być upoważniony ustawowo lub w drodze umowy. Zasada czasowości znajduje doprecyzowanie w licznych przepisach określających wymagany okres przechowywania danych (np. przepisach księgowych, czy przepisach wskazujących na termin przedawnienia roszczeń) 1. Nad przestrzeganiem zasad przetwarzania danych osobowych powinien czuwać Administrator Bezpieczeństwa Informacji. Nierzadko zdarza się, że rolę tę pełni funkcja Compliance. Kilka etapów w zakresie przetwarzania danych osobowych W zakresie umowy ubezpieczenia jest kilka etapów, w których powstają obowiązki dotyczące legalnego przetwarzania danych osobowych. Za jeden z pierwszych etapów można uznać kontakt z potencjalnym klientem, przedstawienie oferty. Kolejnym może być wypełnienie wniosku o zawarcie umowy ubezpieczenia, a w późniejszym etapie (jeśli dojdzie do zawarcia umowy), przetwarzanie danych osobowych klienta w trakcie wykonywania przez niego umowy ubezpieczenia. 1. https://edugiodo.giodo.gov.pl/file.php/1/ UST/UST_03_05.htm STR. 6
Jak się wydaje ostatnim etapem jest przetwarzanie danych osobowych po wygaśnięciu umowy ubezpieczenia. Czy można przetwarzać dane klienta po wygaśnięciu umowy? Ubezpieczyciel może przetwarzać dane osobowe nawet po wygaśnięciu umowy. Inaczej mówiąc, brak kontynuowania lub wypowiedzenie umowy przez klienta nie jest jednoznaczne z zakazem dalszego przetwarzania jego danych osobowych przez zakład ubezpieczeń. Dla przykładu 2, do Biura Generalnego Inspektora Ochrony Danych Osobowych wpłynęła skarga klientki firmy ubezpieczeniowej. Jej zastrzeżenia wzbudził fakt, że po wygaśnięciu umowy ubezpieczenia typu autocasco firma nadal przetwarzała jej dane osobowe. Dlatego wnioskowała do GIODO, aby ten nakazał przedsiębiorcy zaniechania takiej działalności. Jednak jej skarga została odrzucona. Generalny Inspektor nie dopatrzył się bowiem naruszenia przepisów. Wskazanym przez GIODO argumentem przemawiającym za legalnością przetwarzania danych osobowych klienta po wygaśnięciu umowy ubezpieczenia jest art. 819 1 kodeksu cywilnego, zgodnie z którym roszczenia z umowy ubezpieczenia przedawniają się 2. http://prawo.rp.pl/artykul/1033956.html z upływem lat trzech. W praktyce bowiem, gdyby zakład ubezpieczeń usunął dane osobowe klienta, a ten w okresie trzech lat zwrócił się z roszczeniem w zakresie rozwiązanej umowy, zakład ubezpieczeń nie dysponowałby żadnymi danymi ani historią tego klienta. Generalny Inspektor Ochrony Danych Osobowych dodatkowo wskazuje (niezależnie od tez wskazanych powyżej), że zgodnie z ustawą o ochronie danych osobowych na wykorzystywanie danych w celu zawarcia lub wykonania umowy zgoda osoby, której dane dotyczą, w ogóle nie jest potrzebna. Do zgodnego z prawem przetwarzania danych osobowych wystarczy bowiem spełnienie jednego z pięciu warunków określonych w art. 23 ust. 1 ustawy o ochronie danych osobowych we wskazanym przepisie natomiast jako równorzędna ze zgodą została wskazana przesłanka polegająca na podjęciu czynności zmierzających do zawarcia umowy (np. wypełnienie wniosku o zawarcie umowy) oraz realizacja (art. 23 ust. 1 pkt 3 UODO) jak również przepis prawa określający uprawnienie lub nakładający na administratora danych obowiązek przetwarzania danych osobowych (art. 23 ust. 1 pkt 2 UODO w związku z art. 24 ustawy o działalności ubezpieczeniowej). Zatem pozyskiwanie od niej zgody na przetwarzanie danych w celu realizacji umowy jest zbędne. Jeśli firma gromadzi i wykorzystuje dane swojego klienta tylko na te potrzeby, nie powinna zwracać się o zgodę na przetwarzanie danych. Rola Compliance Z praktyki wynika, jak wskazano w artykule, że czasem funkcję Administratora Bezpieczeństwa Informacji pełni Compliance Officer lub formalnie koordynuje wszelkie kwestie dotyczące ochrony danych osobowych pomiędzy zewnętrzną firmą (ABI) a zakładem ubezpieczeń. Nie jest tajemnicą, że przetwarzanie danych osobowych klientów oraz potencjalnych klientów zakładów ubezpieczeń niejednokrotnie wymaga szczegółowej analizy - oceny legalności, celowości oraz czasowości przetwarzania danych, która niekiedy może przysporzyć problemów, w szczególności w przypadku kontroli GIODO. Ponadto, zakłady ubezpieczeń mogą mieć do- STR. 7
datkowo utrudnione zadanie oceny legalności przetwarzania danych osobowych, gdy korzystają z usług pośredników ubezpieczeniowych. Rola compliance w tym procesie wymaga nie tylko znajomości przepisów prawa i dobrej komunikacji z działem prawnym, ale również z działem reklamacji, w sytuacji, gdy skarga klienta wpłynęła do zakładu ubezpieczeń i konieczne jest sformułowanie pisma odpowiedniej treści, w zależności od danego stanu faktycznego. Omawiane zagadnienie jest tym bardziej istotne, że świadomość klientów/ potencjalnych klientów (nie tylko w zakresie produktów ubezpieczeniowych) o ochronie ich danych osobowych zmieniła się diametralnie od ostatnich kilku lat, a prywatność oraz bezpieczeństwo danych osobowych stały się bardzo popularnym tematem. Obecnie w przypadku, gdy instytucja finansowa pozwala sobie na kontakt z klientem (w szczególności w ramach działań marketingowych), intuicyjnie większość klientów zadaje pytanie o źródło pozyskania jego danych i podstawę prawną ich przetwarzania. Co więcej, obecnie trwające w UE prace nad zmianą prawa w zakresie zwiększenia ochrony klienta w powyższym zakresie (jeśli wejdą w życie) będą jeszcze bardziej rygorystyczne. Maciej Hajewski / Członek SCP SPORY SĄDOWE W ZAKŁA- DZIE UBEZPIECZEŃ ROLA COMPLIANCE Obecnie, z uwagi na liczne regulacje prawne (za wyjątkiem rynku ubezpieczeniowego, gdzie ciągle oczekuje się wejścia w życie dyrektywy Solvency II), większość instytucji finansowych na rynkach regulowanych z konieczności zatrudnia osoby pełniące funkcję compliance, powierzając tym samym odpowiedzialność za kwestie działania zgodnego z prawem i standardami etycznymi oraz regulacjami wewnętrznymi. Nierzadko jednak, zadania te pełni prawnik/ radca prawny w instytucji finansowej, jeśli przyjmie się założenie, że sama zgodność jest w istocie kwestią prawną i na nim spoczywa obowiązek udzielenie rekomendacji, czy zajęcia stosownego stanowiska. Niejednokrotnie zdarza się również, że rola compliance przynależy niejako do departamentu prawnego, bowiem funkcję tę pełni właśnie któryś z zatrudnionych prawników. Najłatwiej też ocenić umiejscowienie funkcji compliance poprzez drogę, jaką pokonuje przygotowany przez compliance raport. Jeśli skierowany jest do radcy prawnego, można zaryzykować twierdzenie, że wolą Zarządu było przyporządkowanie compliance do prawników, jeśli natomiast raportuje bezpośrednio do Zarządu, prawdopodobnie compliance jest bardziej niezależny. Trzecią opcją może być raportowanie jednocześnie bezpośrednio do Zarządu, jak i radcy prawnego. Żadne z powyższych rozwiązań ze swej istoty, nie jest ani dobre, ani złe. Wiele zależy bowiem od natury prowadzonego biznesu, otoczenia prawnego oraz cech i zdolności jednostek pełniących funkcję radcy prawnego oraz compliance. Odpowiedzialność za kwestie prawne Z drugiej strony, niewątpliwie naturalnym jest, że w każdym zakładzie ubezpieczeń wszelkie kwestie prawne (m.in. wydawanie opinii prawnych, prowadzenie toczących się postępowań administracyjnych, przygotowywanie i analiza prawna zawieranych umów) merytorycznie rozstrzygane są w dziale lub departamencie prawnym. Bez wątpienia ponadto, wszelkie ewentualne spory sądowe, w których zakład ubezpieczeń jest stroną, również merytorycznie przynależą do pracowników działu, czy też departamentu prawnego. Decyzje biznesowe w sytuacji, gdy zakład ubezpieczeń jest stroną pozwaną podejmowane są przez Zarząd zakładu ubezpieczeń, niemniej nie wydaje się rozsądne podejmowanie takich decyzji bez wspar- STR. 8
cia zatrudnionych prawników. Definitywne obsadzenie funkcji compliance w strukturze organizacyjnej zakładu ubezpieczeń zapewne przyniesie dyrektywa Solvency II, ale obecnie zdaje się większość zakładów ubezpieczeń zapewniła posiadanie funkcji compliance, skoro nadzór ubezpieczeniowy Komisji Nadzoru Finansowego uwzględnia tę funkcję jako kluczową dla podmiotów rynku ubezpieczeniowego. Celem niniejszego artykułu nie jest wskazywanie na obszary działań i zainteresowania compliance, ale warto wspomnieć, że chodzi tu m.in zapewnienie zgodności postępowania zakładu ubezpieczeń z przepisami prawa, regulacjami wewnętrznymi i przyjętymi przez ten podmiot standardami postępowania, dotyczącymi w szczególności: zapobiegania angażowaniu w działalność niezgodną z przepisami, zarządzania konfliktem interesów, tajemnicy zawodowej, wprowadzenia do oferty nowych produktów, czasem przetwarzania danych osobowych oraz szkolenia pracowników. Nie można jednak nie zauważyć, że w ostatnim czasie rola funkcji compliance, niewątpliwie stała się niezmiernie istotnym wzmocnieniem we wspieraniu spółek w wykrywaniu i zapobieganiu działania niezgodnego z prawem. Spory sądowe w zakładzie ubezpieczeń obszar istotny dla compliance? Powyżej wskazano, że miano właścicieli nad toczącymi się postępowaniami sądowymi przynależy do prawników/radców prawnych zakładów ubezpieczeń (za wyjątkiem sytuacji, w której usługi takie zostało zlecone na zewnątrz). Jednocześnie teoria i praktyka pokazują, że funkcję compliance często pełni osoba bez wykształcenia prawniczego. Przy założeniu jednak, że compliance jest jednocześnie prawnikiem, to czy nadal powinno istnieć jakiekolwiek zaangażowanie ze strony compliance w spory sądowe? Okazuje się, że wszelkiego rodzaju toczące się postępowania nie powinny być przez funkcję compliance lekceważone. I to nie tylko te postępowania, w których konkretny zakład ubezpieczeń jest stroną, ale również te, w których stroną jest inny zakład ubezpieczeń a rozstrzygnięcia w danej sprawie mogą mieć bezpośrednie znaczenie dla pozostałych podmiotów tego samego rynku. Koordynacja spraw istotnych zaangażowanie kilku departamentów W sytuacji wystąpienia jednego, bądź kilku postępowań sądowych o istotnym, nie tylko materialnym skutku dla zakładu ubezpieczeń, konieczna jest koordynacja dokonanych oraz planowanych działań wobec tych postępowań. Konieczne może okazać się zaangażowanie kilku departamentów do prac nad danym postępowaniem. Marketing będzie odpowiedzialny za współpracę z mediami w przypadku, gdy dana sprawa nabierze charakteru medialnego, dział/departament reklamacji i skarg może zweryfikować, czy zanim klient skorzystał z drogi sądowej, nie zwracał się do zakładu ubezpieczeń z roszczeniem oraz ilu klientów może z podobnym roszczeniem zwrócić się do zakładu ubezpieczeń. Zespół prawników samodzielnie lub z pomocą kancelarii zewnętrznej będzie przygotowywał linię obrony i zbierał argumenty na poparcie swoich tez. Z kolei, nic nie stoi na przeszkodzie, aby compliance koordynował te prace, tym bardziej jeśli w danym zakładzie ubezpieczeń funkcjonuje ciało w postaci komitetu compliance, audytu czy ryzyka, na których obecność compliance jest obowiązkowa. Można wtedy w formie kompleksowej i syntetycznej przedstawić Zarządowi aktualny stan prac, proponowane STR. 9
działania i problemy oraz kwestie wymagające podjęcia decyzji biznesowej. Monitorowanie zmian w otoczeniu prawno-regulacyjnym Przy uznaniu za uzasadnione i słuszne zaangażowanie compliance w toczące się postępowania sądowe, w których zakład ubezpieczeń jest stroną, do zadań compliance można zaliczyć również monitorowanie takich spraw, które bezpośrednio danego zakładu nie dotyczą, ale rozstrzygnięcie w danej sprawie może znacząco wpłynąć na prowadzenie działalności przez ten zakład ubezpieczeń. Rolą compliance w tym zakresie może być bieżące monitorowanie innych, istotnych spraw sądowych poprzez analizę mediów oraz sygnałów dochodzących od innych przedstawicieli tego samego segmentu rynku. Dla funkcji compliance w zakładzie ubezpieczeń bardzo znaczącym jest rejestr klauzul abuzywnych prowadzonych przez UOKIK. O ile można postawić tezę, że obecnie rejestr ten nie jest doskonały, jednakże jest wiążący a wpisane do rejestru klauzule mogą mieć zastosowanie do innego podmiotu, które tożsame klauzule stosuje. Raportowanie Kolejnym argumentem, który przemawia za koniecznością zaangażowania compliance w sprawy sądowe (oraz administracyjne) jest kwestia raportowania. Nie chodzi tu jedynie o udowodnienie Zarządowi, że compliance jest świadomy wszelkich spraw prawnych istotnych, ale również jeżeli compliance raportuje poza Zarząd (np. do spółki matki), co do zasady, znajomość toczących się spraw sądowych jest rzeczą naturalną. Z metodologii dotyczących compliance zdaje się wynikać, iż sprawy sądowe (litigation/court cases) są jednym z ważnych elementów pracy compliance. Znajomość wartości przedmiotu sporu, możliwości wygrania danego procesu oraz zmieniających się trendów w otoczeniu prawno-sądowym nie powinna pozostawać bez znaczenia dla akcjonariusza zakładu ubezpieczeń. Dużą rolą można przypisać funkcji compliance w tym procesie. Inne podejście szersza perspektywa compliance Na zakończenie warto dodać, że z charakterystyki compliance, osoba pełniąca tę funkcję powinna cechować się naturalną skłonnością do odnajdywania szerszej perspektywy danego problemu/kwestii i swoistego planowania na przyszłość. Nie trudno przypisać ogromną rolę zespołu prawników w prowadzeniu biznesu przez zakład ubezpieczeń, jednak z uwagi na pełnione zadania, często właśnie oczekiwania wobec compliance dotyczącą wychodzenia naprzeciw problemom i prowadzenia działań mitygujących i zapobiegających naruszeniu prawa. W przypadku sporów sądowych może to być np. dokonanie analizy, ilu innych klientów zakładu ubezpieczeń jest w podobnej sytuacji i byłoby chętnych również wytoczyć powództwo. Dla zakładów ubezpieczeń, sporów sądowych trudno jest uniknąć. Jednak ze względu na charakterystykę funkcji compliance i znaczenie dla zakładu ubezpieczeń, jej zaangażowanie w toczące się postępowania sądowe nie powinno być bagatelizowane, a w konsekwencji może przynieść nawet wymierne korzyści. Maciej Hajewski / Członek SCP KONFERENCJA EIOPA EIOPA (Europejski Urząd Nadzoru Ubezpieczeń i Pracowniczych Programów Emerytalnych) na swojej stronie internetowej poinformował, że w dniu 20 listopada 2013 r. we Frankfurcie nad Menem odbędzie się kolejna coroczna konferencja EIOPA. Tegoroczna konferencja będzie poświęcona trzem obszarom tematycznym dotyczącym: STR. 10
1) Strategicznych wizji rozwoju w obszarze ubezpieczeń życiowych i emerytalnych 2) Kierunków rozwoju EU w obszarze emerytur 3) Wdrożenia i wejścia w życie regulacji Solvency II Najciekawszym chyba tematem (ostatnim, ale nie mniej ważnym) będzie kwestia wdrożenia i wejścia w życie dyrektywy Solvency II. Dokładna agenda nie jest jeszcze znana, ale jak tylko się pojawi, w kolejnych wydaniach Newslettera nie zabraknie szczegółowych informacji w przedmiotowym zakresie. Informacje dla podmiotów zainteresowanych tematem konferencji i udziałem w niej dostępne są tutaj: https://eiopa.europa.eu/conferences-events/2013/eiopa-conference-2013/index. html Maciej Hajewski / Członek SCP MANCO Aby założyć Asset Management Company (ManCo) w Luxemburgu należy spełnić warunki określone w rozdziale 15 lub 16 ustawy o UCI z dnia 17 Grudnia 2010 roku oraz te zawarte w okólniku CSSF(Luxemburski Nadzór Finansowy) nr.12/546. Wymogi kapitałowe Minimalny kapitał początkowy jakim musi dysponować ManCo w dniu rejestracji to 125 000 euro. W przypadku ManCo zarządzającej aktywami UCITS (Undertakings for Collective Investment in Transferable Securities) kapitał początkowy powinien być zwiększony, jeżeli wartość wszystkich portfolio przewyższa 250 000 000 euro. W takiej sytuacji kapitał podstawowy 125000 euro zostaje podwyższony o 0,02 % kwoty stanowiącej wartość tych portfolio, ale nie może on jednocześnie przewyższać 10 000 000 euro. Do obliczenia tej wartości całkowitej potrzebna jest wartość wszystkich portfolio zarządzanych przez ManCo. Oddelegowanie funkcji ManCo Zarówno tzw. centralna administracja jak i siedziba ManCo muszą mieścić się w Luxemburgu. Przez centralną administrację należy rozumieć wszelkie funkcje związane z kontrolą, księgowością oraz czynnościami administracyjno-operacyjnymi takimi jak np. obliczanie NAV, nabywanie/zbywanie akcji lub jednostek uczestnictwa. Outsourcing funkcji z zakresu centralnego administrowania wymaga uzyskania uprzednio zezwolenia od CSSF. Istnieje możliwość oddelegowania również funkcji w ramach zarządzania inwestycjami. W tym przypadku jednak ManCo, chcąc je oddelegować innemu podmiotowi, musi spełnić następujące warunki: -ma obowiązek poinformowania CSSF o oddelegowaniu funkcji w obrębie zarządzania inwestycjami; -prospectus powinien zawierać informacje z wyszczególnieniem funkcji, które zostały oddelegowane wraz ze wskazaniem podmiotu, STR. 11
któremu będą przekazane; -główne funkcje w ramach zarządzania inwestycjami mogą być przekazane tylko do Asset Managerów działających na podstawie zezwolenia oraz znajdujących się pod nadzorem odpowiednich organów w krajach członkowskich lub spoza EU pod warunkiem, iż organy nadzorcze państw trzecich współpracują z organami nadzorczymi krajów członkowskich; -kluczowe funkcje w ramach doradztwa inwestycyjnego nie mogą być oddelegowane do banku depozytariusza. Audyt ManCo musi wyznaczyć niezależnego audytora, który musi posiadać doświadczenie zawodowe i działać na podstawie zezwolenia CSSF. Zarząd ManCo zobowiązana jest powołać zarząd, w skład którego wchodzić będą dyrektorzy (tzw. Board of Directors). Członkowie zarządu powinni posiadać duże doświadczenie oraz cechować się nieskazitelną reputacją. Zabronione jest łączenie ich funkcji z funkcją compliance, zarządzania ryzykiem oraz audytem wewnetrznym. Management ManCo musi dodatkowo powołać co najmniej dwóch menagerów (tzw. Conducting Officers), których głównym celem jest nadzorowanie jej działalności. Osoby powołane do tej funkcji powinny, podobnie jak członkowie zarządu, posiadać duże doświadczenie, być dyspozycyjne oraz posiadać dobrą reputację. Osoby takie powinny mieć ponadto dostęp do wszelkich środków w taki sposób, by mogły one realizować swoją funkcję. W celu zapewnienia należytego funkcjonowania ManCo, menagerowie zobowiązani są odbywać regularne zebrania (Management Committee), aby omówić bieżące czynności w ramach działalności ManCo (administracja centralna, kontrole wewnętrzne, zarządzanie ryzykiem) oraz te oddelegowane innemu podmiotowi. Podsumowanie oraz uwagi powinny być następnie przekazywane zarządowi. CSSF w stosunku do Conducting Officers wymaga, by ich stałe miejsce zamieszkania było w Luxemburgu. Dodatkowo okólnik CSSF 12/546 nakazuje również, by każde ManCo powołało Compliance Officera rezydującego w Luxemburgu. System IT CSSF wymaga, by system komputerowy w ManCo był scentralizowany oraz posiadał odpowiednie zabezpieczenia, w celu zapewnienia integralności, ochrony informacji poufnej oraz bezpieczeństwa. CSSF zezwala na outsourcing czynności w ramach IT w drodze pisemnej umowy, niemniej jednak wymaga, by w takiej sytuacji ManCo miała nieprzerwany dostęp do systemu i danych. Ponadto ManCo powinna wprowadzić BCP (Business Continuity Planning) oraz upewnić się, iż w przypadku oddelegowania funkcji IT innemu podmiotowi, on również go posiada. Justyna Muryn / Członek SCP STR. 12
LIPIEC I SIERPIEŃ W KNF MIESIĄCE DUŻYCH KAR W miesiącu lipcu i sierpniu KNF nałożył kilka znacznych kar za niedopełnienie obowiązków regulacyjnych. Karę 100.000 złotych KNF nałożył na Polskie Składy Węglowe, akcjonariusza spółki publicznej PSW Capital SA, za pięciokrotne naruszenie obowiązków informacyjnych wobec spółki i KNF związanych ze znacznymi pakietami akcji. Karę 50.000 złotych KNF nałożyło na Generali Towarzystwo Ubezpieczeń SA za niewypłacenie w ustawowym terminie odszkodowań z obowiązkowego ubezpieczenia odpowiedzialności cywilnej posiadaczy pojazdów mechanicznych oraz niewywiązanie się w ustawowym terminie z obowiązku poinformowania osoby występującej z roszczeniem, że odszkodowanie jej nie przysługuje lub przysługuje w innej wysokości niż określona w zgłoszonym roszczeniu. Za podobne uchybienia KNF ukarało również karą w wysokości 10.000 złotych Uniqa Towarzystwo Ubezpieczeń SA, karą w wysokości 15.000 złotych Towarzystwo Ubezpieczeń Wzajemnych TUW oraz kwotą 20.000 złotych MTU Moje Towarzystwo Ubezpieczeń. Jedną z większych kar - 500.000 złotych, KNF nałożył na PBG SA za niewykonanie obowiązków informacyjnych emitentów polegające na nieprzekazaniu KNF, spółce prowadzącej rynek regulowany i do publicznej wiadomości informacji poufnej o zawarciu przez jednostkę zależną od spółki z siedzibą na Cyprze, umowy zastawu na znajdujących się w jej posiadaniu akcjach spółki Rafako SA. Karę 250.000 złotych KNF nałożył na FAM Grupa Kapitałowa SA za niewykonanie obowiązków informacyjnych w związku ze sporządzeniem sprawozdania finansowego z uwagi na nieoszacowanie wartości odzyskiwanej niektórych wyłączonych z użytkowania aktywów trwałych spółek zależnych. Karę w takiej samej wysokości KNF nałożył na Atlantę Poland SA, za naruszenie obowiązku informacyjnego wynikającego ze stosowanie prze spółkę ustawy o rachunkowości, pomimo że spółka zobowiązana była do stosowania MSSR i MSSF oraz związanych z nimi interpretacji ogłoszonych w formie rozporządzeń KE. Karę 350.000 złotych KNF nałożył na Roves SA za niewykonanie obowiązków informacyjnych polegające na nieprzekazaniu KNF, spółce prowadzącej rynek regulowany oraz do publicznej wiadomości informacji poufnych oraz nienależytym wykonaniu obowiązku informacyjnego poprzez niezawarcie określonych informacji w raporcie bieżącym. SCP Stowarzyszenie Compliance Polska zostało powołane w 2011 roku. Uchwałę za jego powołaniem podjęło 49 członków założycieli reprezentujących banki, domy maklerskie, firmy prawnicze i doradcze. Obecnie Stowarzyszenie skupia ponad 127 członków i prawie 50 podmiotów działających na rynku polskim. www.compliancepolska.pl STR. 13