Caută.ro
RO | EN

Anexa nr. 12

Conținutul minim al acordurilor de externalizare

1. Acordul scris de externalizare a funcțiilor critice sau importante conține cel puțin clauze cu privire la următoarele aspecte:

a) o descriere clară a funcției externalizate care urmează să fie furnizată;

b) data de începere și data de încetare a acordului, după caz, și perioadele de preaviz pentru furnizorul extern și instituția de credit;

c) legea aplicabilă acordului;

d) obligațiile financiare ale părților;

e) dacă este permisă externalizarea în lanț și, în caz afirmativ, condițiile în care se realizează aceasta, respectiv:

(i) tipurile de activități care nu pot face obiectul externalizării în lanț, atunci când este cazul;

(ii) condițiile care trebuie respectate în cazul externalizării în lanț;

(iii) obligația furnizorului extern de a monitoriza serviciile pe care le-a subcontractat pentru a se asigura că toate obligațiile contractuale dintre furnizorul extern și instituția de credit sunt îndeplinite în permanență;

(iv) obligația furnizorului extern de a obține în prealabil o aprobare scrisă, specifică sau generală, din partea instituției de credit, pentru subcontractarea care implică prelucrarea datelor cu caracter personal, în acord cu prevederile art. 28 din Regulamentul (UE) 2016/679 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal și privind libera circulație a acestor date și de abrogare a Directivei 95/46/CE (Regulamentul general privind protecția datelor);

(v) obligația furnizorului extern de a informa instituția de credit cu privire la orice subcontractare planificată sau la orice modificare semnificativă a acesteia, în special în cazul în care acest lucru ar putea afecta capacitatea furnizorului extern de a-și îndeplini responsabilitățile în conformitate cu acordul de externalizare. Aceasta include modificările semnificative planificate ale subcontractanților și perioada de preaviz; în special, perioada de preaviz care urmează să fie stabilită trebuie să permită instituției de credit care externalizează să efectueze cel puțin o evaluare a riscurilor legate de modificările propuse și să se opună modificărilor înainte de intrarea în vigoare a subcontractării planificate sau a modificărilor semnificative ale acesteia;

(vi) dacă este cazul, dreptul instituției de credit de a se opune subcontractării planificate sau modificărilor substanțiale ale acesteia sau necesitatea aprobării explicite a acesteia;

(vii) dreptul instituției de credit de a înceta acordul în cazuri justificate, de exemplu în cazul în care subcontractarea crește în mod semnificativ riscurile pentru instituția de credit sau în cazul în care furnizorul extern subcontractează fără a notifica instituția de credit;

f) locația/locațiile (și anume regiunile sau țările) unde este furnizată funcția și/sau unde sunt păstrate și prelucrate date relevante, inclusiv eventuala locație de stocare, precum și condițiile care trebuie îndeplinite, inclusiv cerința de a notifica instituția de credit în cazul în care furnizorul extern propune schimbarea locației (locațiilor);

g) dispoziții privind accesibilitatea, disponibilitatea, integritatea, confidențialitatea și siguranța datelor relevante, respectiv:

(i) definirea cerințelor în materie de securitate a datelor și a sistemelor, dacă este cazul (de exemplu, în contextul externalizării serviciilor de tip cloud sau a altor servicii TIC);

(ii) obligația furnizorului extern de a proteja informațiile confidențiale, cu caracter personal sau considerate sensibile și de a respecta toate cerințele legale privind protecția datelor care se aplică instituției de credit (de exemplu, protecția datelor cu caracter personal și faptul că se respectă secretul bancar sau alte obligații legale de confidențialitate similare cu privire la informațiile clienților, dacă este cazul);

h) dreptul instituției de credit de a monitoriza permanent performanța furnizorului extern;

i) nivelurile serviciilor convenite, care trebuie să includă obiective de performanță cantitative și calitative precise pentru funcția externalizată, pentru a permite o monitorizare în timp util, astfel încât, dacă nu sunt respectate nivelurile serviciilor convenite, să se poată lua măsuri corective adecvate, fără întârzieri nejustificate;

j) obligațiile de raportare ale furnizorului extern către instituția de credit, inclusiv informarea de către furnizorul extern cu privire la orice evoluție care ar putea avea un impact semnificativ asupra capacității sale de a îndeplini eficace funcția externalizată în conformitate cu nivelurile serviciilor convenite și în conformitate cu legislația și cu cerințele aplicabile ce decurg din cadrul de reglementare, și, după caz, obligațiile de a prezenta rapoarte ale funcției de audit intern a furnizorului extern;

k) dacă furnizorul extern trebuie să încheie o asigurare obligatorie împotriva anumitor riscuri și, dacă este cazul, nivelul asigurării necesare;

l) cerințele de punere în aplicare și de testare a planurilor pentru situații neprevăzute și de continuitate a activității;

m) dispoziții care garantează că datele care sunt proprietatea instituției de credit pot fi accesate în cazul insolvenței, al rezoluției sau al întreruperii operațiunilor economice ale furnizorului extern;

n) obligația furnizorului extern de a coopera cu autoritățile competente și cu autoritățile de rezoluție ale instituției de credit, inclusiv cu alte persoane desemnate de acestea;

o) o trimitere clară la competențele autorității naționale de rezoluție, în special la art. 400-405 și art. 413-419 din Legea nr. 312/2015 privind redresarea și rezoluția instituțiilor de credit și a firmelor de investiții, precum și pentru modificarea și completarea unor acte normative în domeniul financiar, cu modificările și completările ulterioare, și mai ales, o descriere a „obligațiilor contractuale esențiale“ în sensul art. 402 din legea respectivă;

p) dreptul nerestricționat al instituțiilor de credit și al autorităților competente de a inspecta și de a audita furnizorul extern în ceea ce privește funcția externalizată, astfel cum se prevede la art. 230^18 din regulament;

q) drepturi de încetare, astfel cum se prevede la art. 230^19 din regulament.

2. Acordul scris de externalizare a funcțiilor care nu sunt critice sau importante conține cel puțin clauze cu privire la următoarele aspecte:

a) o descriere clară a funcției externalizate care urmează să fie furnizată;

b) dacă este permisă externalizarea în lanț și, în caz afirmativ, condițiile în care se realizează aceasta, respectiv:

(i) tipurile de activități care nu pot face obiectul externalizării în lanț, atunci când este cazul;

(ii) condițiile care trebuie respectate în cazul externalizării în lanț;

(iii) obligația furnizorului extern de a monitoriza serviciile pe care le-a subcontractat pentru a se asigura că toate obligațiile contractuale dintre furnizorul extern și instituția de credit sunt îndeplinite în permanență;

(iv) obligația furnizorului extern de a obține în prealabil o aprobare scrisă, specifică sau generală, din partea instituției de credit, pentru subcontractarea care implică prelucrarea datelor cu caracter personal, în acord cu prevederile art. 28 din Regulamentul (UE) 2016/679 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal și privind libera circulație a acestor date și de abrogare a Directivei 95/46/CE (Regulamentul general privind protecția datelor);

(v) obligația furnizorului extern de a informa instituția de credit cu privire la orice subcontractare planificată sau la orice modificare semnificativă a acesteia, în special în cazul în care acest lucru ar putea afecta capacitatea furnizorului extern de a-și îndeplini responsabilitățile în conformitate cu acordul de externalizare. Aceasta include modificările semnificative planificate ale subcontractanților și perioada de preaviz; în special, perioada de preaviz care urmează să fie stabilită trebuie să permită instituției de credit care externalizează să efectueze cel puțin o evaluare a riscurilor legate de modificările propuse și să se opună modificărilor înainte de intrarea în vigoare a subcontractării planificate sau a modificărilor semnificative ale acesteia;

(vi) dacă este cazul, dreptul instituției de credit de a se opune subcontractării planificate sau modificărilor substanțiale ale acesteia sau necesitatea aprobării explicite a acesteia;

(vii) dreptul instituției de credit de a înceta acordul în cazuri justificate, de exemplu în cazul în care subcontractarea crește în mod semnificativ riscurile pentru instituția de credit sau în cazul în care furnizorul extern subcontractează fără a notifica instituția de credit;

c) dispoziții privind accesibilitatea, disponibilitatea, integritatea, confidențialitatea și siguranța datelor relevante, respectiv:

(i) definirea cerințelor în materie de securitate a datelor și a sistemelor, dacă este cazul (de exemplu, în contextul externalizării serviciilor de tip cloud sau a altor servicii TIC);

(ii) obligația furnizorului extern de a proteja informațiile confidențiale, cu caracter personal sau considerate sensibile și de a respecta toate cerințele legale privind protecția datelor care se aplică instituției de credit (de exemplu, protecția datelor cu caracter personal și faptul că se respectă secretul bancar sau alte obligații legale de confidențialitate similare cu privire la informațiile clienților, dacă este cazul);

d) dreptul instituției de credit de a monitoriza permanent performanța furnizorului extern;

e) nivelurile serviciilor convenite, care trebuie să includă obiective de performanță cantitative și calitative precise pentru funcția externalizată, pentru a permite o monitorizare în timp util, astfel încât, dacă nu sunt respectate nivelurile serviciilor convenite, să se poată lua măsuri corective adecvate, fără întârzieri nejustificate;

f) obligația furnizorului extern de a coopera cu autoritățile competente și cu autoritățile de rezoluție ale instituției de credit, inclusiv cu alte persoane desemnate de acestea;

g) dreptul instituțiilor de credit și dreptul nerestricționat al autorităților competente de a inspecta și de a audita furnizorul extern în ceea ce privește funcția externalizată, astfel cum se prevede la art. 230^18 din regulament;

h) drepturi de încetare, astfel cum se prevede la art. 230^19 din regulament.

(la 14-08-2024, Actul a fost completat de Punctul 15. , Articolul I din REGULAMENTUL nr. 8 din 24 iulie 2024, publicat în MONITORUL OFICIAL nr. 809 din 14 august 2024 )

Sursă: legislatie.just.ro (Monitorul Oficial). Textul afișat este forma consolidată curentă.