Odpověď ČNB na kvalifikovaný dotaz zda mohou úvěrové instituce využívat při svém podnikání tzv. cloud computing

Česká národní banka (ČNB) uveřejnila odpověď na kvalifikovaný dotaz, zda "Mohou úvěrové instituce využívat při svém podnikání tzv. cloud computing?". 

Odpověď ČNB:

Pojem „cloud computing“ je v odpovědi na tento dotaz použit ve smyslu modelu uplatňovaného v oblasti informačních a komunikačních systémů a technologií, který umožní získat síťový přístup ke konfigurovatelným výpočetním prostředkům (např. sítě, servery, datová úložiště, aplikace a služby), které jsou sdíleny větším množstvím uživatelů a jejichž kapacita je poskytována a opět uvolňována s minimální pracností a intervencí poskytovatele. 

Z výše uvedeného vymezení cloud computingu vyplývá, že v případě jeho využití úvěrovou institucí by se jednalo o funkcionalitu informačního a komunikačního systému úvěrové instituce [§ 7 odst. 1 písm. d) vyhlášky č. 163/2014 Sb.], přičemž požadavky na informační a komunikační systémy úvěrových institucí stanoví především část druhá hlava I vyhlášky, v rámci požadavků na řídicí a kontrolní systém úvěrové instituce. 

Pokud jde o využívání cloud computingu úvěrovými institucemi, právní předpisy upravující výkon činnosti úvěrových institucí toto nezakazují. Povinností úvěrové instituce však je zajistit i v případě využívání cloud computingu soulad výkonu svých činností se všemi relevantními požadavky právních předpisů.

Z vyhlášky vyplývá, že případné využívání cloud computingu úvěrovou institucí naplňuje veškeré znaky outsourcingu. Konkrétní způsob využívání cloud computingu úvěrovou institucí tedy musí být především v souladu s požadavky vyhlášky na využívání outsourcingu, včetně požadavků na řízení rizik spojených s využíváním outsourcingu. Pokud se úvěrová instituce rozhodne využívat cloud computing, vztahují se na takto vykonávané činnosti i další požadavky vyhlášky na řádný a obezřetný výkon činností úvěrové instituce. 

V souladu s § 9 vyhlášky je úvěrová instituce povinna i v případě využívání cloud computingu plnit požadavky vyhlášky na řídicí a kontrolní systém a jeho součásti také s přihlédnutím k povaze, rozsahu a složitosti činností a dalším relevantním skutečnostem. Tomu odpovídá, aby úvěrová instituce v případě využívání cloud computingu pro plné nebo částečné zpracování klientských dat nebo finančních transakcí atp. plně dodržovala všechny příslušné obezřetnostní požadavky vyhlášky. Případné přiměřené zmírnění je akceptovatelné pouze v ostatních případech, např. pokud jde o využití cloud computingu pro účely podpory spolupráce a sdílení informací v rámci úvěrové instituce. Vzhledem k dynamickému rozvoji informačních a komunikačních technologií je vysoce relevantní také požadavek téhož ustanovení vyhlášky přihlížet k vývoji prostředí, ve kterém úvěrová instituce podniká. 

Závěrem zmiňujeme, že úvěrová instituce je rovněž povinna, v souladu s § 10 odst. 3 písm. a) bod 1 vyhlášky, dodržovat i při využívání cloud computingu právní povinnosti, které jí vyplývají z jiných právních předpisů (mimo působnost České národní banky), např. pokud jde o pravidla ochrany osobních údajů a zajišťování kybernetické bezpečnosti.

Na tomto odkazu naleznete kompletní text odpovědi ČNB na kvalifikovaný dotaz