Baza wiedzy
Praktyczne omówienie najnowszych zmian regulacji outsourcingu bankowego (cz. 1)
Dnia 29 września 2023 r. weszła w życie zasadnicza część zmian wprowadzonych ustawą z dnia 16 sierpnia 2023 r. o zmianie niektórych ustaw w związku z zapewnieniem rozwoju rynku finansowego oraz ochrony inwestorów na tym rynku, która to ustawa ze względu na wyjątkowo szeroki zakres przedmiotowy (nowelizuje aż 41 ustaw) okrzyknięta została „warzywniakiem”. Wśród zmian wprowadzonych ustawą znalazły się też długo postulowane zmiany przepisów o outsourcingu bankowym tj. zmiany art. 6a i n. Prawa bankowego („PB”). W tym i kolejnych wpisach postaram się szczegółowo omówić te zmiany, skupiając się przede wszystkim na ich konsekwencjach praktycznych.
1. Zmiana art. 6a ust. 1 pkt 1 lit. f PB (pośrednictwo w zawieraniu umów o instrument płatniczy lub o świadczenie usług bankowości elektronicznej)
Przepisy PB rozdzielają formy outsourcingu na pośrednictwo dokonywane w imieniu i na rzecz banku (art. 6a ust. 1 pkt 1 PB) oraz na outsourcing czynności faktycznych związanych z działalnością bankową (art. 6a ust. 1 pkt 2 PB). W ramach outsourcingu polegającego na pośrednictwie art. 6a ust. 1 pkt 1 PB listuje czynności, które mogą zostać przez bank powierzone insourcerowi. Powierzenie wykonywania w imieniu i na rzecz banku innych czynności niż wskazane na liście, przed nowelizacją wymagało uprzedniego zezwolenia KNF, a po nowelizacji wymaga wcześniejszej notyfikacji KNF, dokonywanej jednak w ramach sformalizowanej procedury (zob. szczegółowo na ten temat pkt 3 poniżej).
Zmiany w zakresie art. 6a ust. 1 pkt 1 lit. f PB sprowadzają się do rozszerzenia listy czynności, które mogą zostać przez bank powierzone insourcerowi w ramach outsourcingu polegającego na pośrednictwie, o:
czynności polegające na zawieraniu i zmianie z konsumentami i przedsiębiorcami umów o inny instrument płatniczy niż karta płatnicza (zawieranie i zmiana umów o kartę były na liście już wcześniej) oraz umów o świadczenie usług bankowości elektronicznej,
czynności polegające na zawieraniu i zmianie umów o kartę płatniczą z przedsiębiorcami innymi niż mikroprzedsiębiorca i mały przedsiębiorca (wcześniej przepis ograniczał się tylko do outsourcingu zawierania takich umów z konsumentami i mikroprzedsiębiorcami oraz małymi przedsiębiorcami) – w praktyce rozszerzono więc zakres przepisu o średnich i dużych przedsiębiorców.
W ramach ciekawostki warto zauważyć, że wraz z nowelizacją do przepisów PB po raz pierwszy zostało wprowadzone pojęcie „umowy o świadczenie usług bankowości elektronicznej”.
2. Zmiana art. 6a ust. 2 PB (outsourcing bankowy a umowa agencyjna z KC)
Art. 6a ust. 2 PB przewidywał do tej pory, że powierzenie przez bank wykonywania czynności, o których mowa w ust. 1 pkt 1 lit. a-j, następuje na podstawie umowy agencyjnej. Przepis ten został zawężony w ten sposób, że outsourcing czynności z ust. 1 pkt 1 lit. g-j, nie będzie już wymagał przyjęcia formy umowy agencyjnej.
Aby zrozumieć sens takiego zawężenia, w pierwszej kolejności spójrzmy na czynności wylistowane w art. 6a ust. 1 pkt 1 lit. g-j PB. W przepisach tych mowa jest o outsourcingu polegającym na:
przyjmowaniu wpłat, dokonywaniu wypłat oraz obsłudze czeków związanych z prowadzeniem rachunków bankowych przez dany bank,
dokonywaniu wypłat i przyjmowaniu spłat udzielonych przez dany bank kredytów i pożyczek pieniężnych,
przyjmowaniu wpłat na rachunki bankowe prowadzone przez inne banki,
przyjmowaniu dyspozycji przeprowadzania bankowych rozliczeń pieniężnych związanych z prowadzeniem rachunków bankowych przez dany bank.
Z drugiej strony, spójrzmy na definicję umowy agencyjnej z KC. Zgodnie z art. 758 § 1 KC, umowa agencyjna polega na tym, że agent zobowiązuje się, w zakresie działalności swego przedsiębiorstwa, do stałego pośredniczenia, za wynagrodzeniem, przy zawieraniu z klientami umów na rzecz dającego zlecenie przedsiębiorcy albo do zawierania ich w jego imieniu.
Kiedy zestawimy wskazaną definicję umowy agencyjnej ze wskazanymi wyżej czynnościami, łatwo zauważymy, że wykonywanie wskazanych wyżej czynności, wymienionych w art. 6a ust. 1 pkt 1 lit. g-j PB, najczęściej wcale nie polega na zawieraniu umów ani na pośredniczeniu w ich zawieraniu. Czynności z art. 6a ust. 1 pkt 1 lit. g-j PB stanowią bardziej czynności prawne dokonywane w wykonaniu uprzednio zawartych umów. Tym samym rzeczywiście, co do zasady wykonywanie czynności z art. 6a ust. 1 pkt 1 lit. g-j PB nie mieści się w zakresie umowy agencyjnej z KC.
Ze względu na powyższe, trzeba w pełni zgodzić się z ustawodawcą, że powierzanie insourcerowi przez bank wykonywania czynności wymienionych w art. 6a ust. 1 pkt 1 lit. g-j PB, wcale nie musi następować w reżimie umowy agencyjnej z KC. Nie oznacza to jednak, że takiej umowy outsourcingowej nigdy nie będzie można zawrzeć w reżimie umowy agencyjnej. Jeżeli w ramach konkretnej współpracy będziemy mieli jednak do czynienia ze spełnieniem przesłanek z definicji umowy agencyjnej, to taka umowa outsourcingowa będzie jednocześnie umową agencyjną z KC. Co więcej, będzie tak nawet niezależnie od tego, jak w praktyce strony taką umowę nazwą. To z jaką umową mamy do czynienia, zależy bowiem od faktycznego zakresu praw i obowiązków, a nie użytej przez strony terminologii.
W praktyce, biorąc pod uwagę przepisy z KC o umowie agencyjnej, których ideą jest przede wszystkim ochrona agenta (jako z założenia słabszej strony kontraktu), odejście w pewnym zakresie od narzucenia reżimu umowy agencyjnej z KC jest dobrą wiadomością dla banków outsourcujących czynności na zewnątrz. W takim przypadku odpada bowiem konieczność stosowania kilku problematycznych biznesowo, bezwzględnie obowiązujących przepisów, takich jak choćby art. 764(3) i 764(4) KC dotyczące świadczeń wyrównawczych.
3. Zmiana art. 6a ust. 1 lit. m oraz ust. 4-6 i 9 PB (pośrednictwo w wykonywaniu innych czynności niż wymienione wprost w PB)
Dotychczas zgodnie z art. 6a ust. 1 lit. m PB, bank mógł powierzyć insourcerowi wykonywanie w imieniu i na rzecz banku pośrednictwa w zakresie czynności wymienionych w art. 5 i 6, polegającego na wykonywaniu innych czynności niż literalnie wskazane w art. 6a ust. 1 pkt 1 PB, wyłącznie po uzyskaniu na takie powierzenie zezwolenia KNF. Art. 6a ust. 4 doprecyzowywał, że KNF może udzielić bankowi takiego zezwolenia, jeżeli powierzenie przez bank wykonywania tych innych czynności jest niezbędne do prowadzenia działalności bankowej w sposób ostrożny i stabilny lub istotnego obniżenia kosztów tej działalności. Przepisy normowały też stosunkowo szczegółową procedurę udzielenia zezwolenia, która co do zasady powinna trwać do 3 miesięcy (od dnia dostarczenia kompletu dokumentów) (art. 6a ust. 5, 6 i 9 PB sprzed nowelizacji).
Nowelizacja PB przyniosła zasadniczą zmianę w zakresie dotychczasowej procedury. W art. 6a ust. 1 pkt 1 lit. m PB ustawodawca zrezygnował bowiem z procedury wydawania przez KNF zezwolenia na powierzenie innych czynności, zastępując ją procedurą wcześniejszego zawiadomienia KNF o takim powierzeniu. Nowa procedura wcześniejszego zawiadomienia została szczegółowo uregulowana w znowelizowanym art. 6d PB, które obecnie dotyczy zarówno czynności z art. 6a ust. 1 pkt 1 lit. m PB, jak i tzw. outsourcingu zagranicznego (poza EOG). Pod kątem skomplikowania, zakresu dokumentów do przedłożenia oraz instrumentów prawnych do dyspozycji KNF (w tym możliwości wyrażenia sprzeciwu), procedura zgłoszenia wciąż bliższa jest przy tym procedurom udzielenia zezwolenia, aniżeli typowym procedurom zgłoszeniowym, które często mają charakter jedynie informacyjny.
Warto zwrócić też uwagę, że nowa procedura zgłoszeniowa, w przypadku outsourcingu krytycznych lub istotnych funkcji w rozumieniu Wytycznych outsourcingowych EBA (EBA/GL/2019/02) („Wytyczne EBA”), powinna być stosowana łącznie z obowiązkiem podjęcia dialogu z KNF zgodnie z pkt 58 Wytycznych EBA.
Szerzej o nowej procedurze zgłoszeniowej opowiem przy okazji omówienia znowelizowanego art. 6d PB.
Niezależnie od zmian czysto proceduralnych, nowelizacja nie przyniosła zmian merytorycznych w zakresie art. 6a ust. 4 PB, który istotnie ogranicza możliwości banków w powierzaniu innych czynności, o których mowa w art. 6a ust. 1 pkt 1 lit. m PB. Zgodnie ze znowelizowanym brzmieniem art. 6a ust. 4 PB (które zostało jedynie redakcyjnie dostosowane do pozostałych zmian), bank może powierzyć wykonywanie czynności, o których mowa w art. 6a ust. 1 pkt 1 lit. m PB, jeżeli jest to niezbędne do prowadzenia działalności bankowej w sposób ostrożny i stabilny lub do istotnego obniżenia kosztów tej działalności. Osobiście uważam, że użycie we wskazanym przepisie słowa „niezbędne” jest wadliwe (słowo to znajdowało się również w brzmieniu sprzed nowelizacji). Zwrot, że outsourcing jest „niezbędny do prowadzenia działalności bankowej w sposób ostrożny i stabilny lub do istotnego obniżenia kosztów działalności”, sugeruje bowiem, że bez tego outsourcingu nie byłoby możliwe prowadzenie działalności w sposób ostrożny i stabilny lub obniżenie kosztów tej działalności. Tymczasem ideą tego przepisu powinno być bardziej to, że owy outsourcing przyczynia się do prowadzenia działalności bankowej w sposób ostrożny i stabilny lub do istotnego obniżenia kosztów działalności, a zatem w istocie chodzi o to, żeby dzięki takiemu outsourcingowi działalności banku była w bezpieczniejsza lub istotnie mniej kosztowna.
4. Zmiana art. 6a ust. 7 i dodanie ust. 7a i 7b PB (zmiany w zakresie podoutsourcingu regulowanego)
Przed nowelizacją art. 6a ust. 7 PB był właściwie jedynym przepisem określającym zasady dotyczące podoutsourcingu. Dzielił on ten podoutsourcing na podoutsourcing zwykły (ust. 7 pkt 1) i awaryjny (ust. 7 pkt 2).
W zakresie istotniejszego w praktyce rodzaju, czyli podoutsourcingu zwykłego, art. 6a ust. 7 pkt 1 PB sprzed nowelizacji, stanowił, że jeżeli umowa outsourcingowa to przewiduje, insourcer może powierzyć innemu przedsiębiorcy lub przedsiębiorcy zagranicznemu, w drodze odrębnej umowy, wykonywanie określonych w umowie zawartej z bankiem czynności służących realizacji głównego świadczenia wynikającego z tej umowy, po uzyskaniu pisemnej zgody banku.
Z przepisu tego wyprowadzano wiele bardzo istotnych praktycznie wniosków. Podsumowując te najważniejsze:
Po pierwsze, zauważało się, że wskazany przepis definiując zakres podoutsourcingu regulowanego posługuje się pojęciem „czynności służące realizacji głównych świadczeń wynikających z umowy”. To powodowało istotny praktyczny problem w rozgraniczeniu jakie czynności służą realizacji głównych świadczeń wynikających z umowy outsourcingowej, a jakie nie (czasami problem ten starano się sprowadzić do tego, czy insourcer uzyskuje dostęp do tajemnicy bankowej, niemniej i to podejście w mojej ocenie było pewnym uproszczeniem). Problem ten spotęgował się jeszcze bardziej po wejściu w życie Wytycznych EBA, które wprowadziły własny zakres outsourcingu i podoutsourcingu regulowanego (na ten temat zob. Stanowisko KNF w sprawie GL Wytycznych z 2019 r.). W efekcie na etapie zawierania umowy outsourcingowej banki (i w praktyce również insourcerzy) dokonywały stosunkowo szczegółowych analiz przy kwalifikowaniu poszczególnych podwykonawców insourcera do danego rodzaju podoutsourcingu.
Po drugie, z art. 6a ust. 7 pkt 1 PB sprzed nowelizacji wyprowadzało się wniosek, że skoro podinsourcerowi można powierzyć wykonywanie „czynności służących realizacji głównych świadczeń wynikających z umowy”, to znaczy, że nie można mu powierzyć wykonywania wszystkich czynności z tej umowy (choć w doktrynie pojawiały się też poglądy odmienne). Podinsourcer mógł w efekcie wykonywać jedynie czynności o charakterze pomocniczym.
Po trzecie, z art. 6a ust. 7 pkt 1 PB sprzed nowelizacji w praktyce wyprowadzało się także wniosek, że skoro podinsourcerowi można powierzyć wykonywanie „czynności służących realizacji głównych świadczeń wynikających z umowy”, to znaczy, że powierzenie czynności niesłużących realizacji głównych świadczeń wynikających z umowy pozostaje poza reżimem podoutsourcingu regulowanego i dlatego jest one w pełni dopuszczalne zgodnie z podstawową zasadą swobody outsourcingu z art. 356 i 474 KC.
Po czwarte, mówiło się, że przepisy PB dopuszczają wyłącznie jeden poziom podoutsourcingu (a przynajmniej tak do sprawy podchodziła KNF, choć w doktrynie pojawiały się głosy, że taka zawężająca wykładnia niekoniecznie jest uzasadniona).
Po piąte, wobec obowiązku uzyskania uprzedniej pisemnej zgody banku na każdy podoutsourcing, w praktyce bank sprawował pełną kontrolę nad katalogiem podinsourcerów i jakiekolwiek zmiany w tym zakresie wymagały porozumienia insourcera z bankiem (przed wyrażeniem takiej zgody banki przeprowadzały w praktyce stosowane analizy ryzyka nowego potencjalnego podinsourcera, w tym zgodnie z Wytycznymi EBA).
Muszę zaznaczyć, że powyższe podsumowanie dotychczasowej wykładni przepisów o outsourcingu i tak jest pewnym uproszczeniem, ponieważ w praktyce na gruncie tych przepisów, występowało jeszcze wiele bardziej niszowych problemów, które jeszcze bardziej komplikowały ich praktyczne stosowanie.
W ramach nowelizacji przepisów o podoutsourcingu dokonano następujących zmian:
Po pierwsze, w art. 6a ust. 7 pkt 1 PB, definiującym zakres podoutsourcingu, zastąpiono dotychczasowy zwrot, że insourcer może powierzyć podinsourcerowi wykonywanie „określonych czynności służących realizacji głównego świadczenia wynikającego z tej umowy” na zwrot, że insourcer może powierzyć podinsourcerowi „wykonywanie czynności”.
Po drugie, dodano art. 6a ust. 7a PB, zgodnie z którym dalsze powierzanie przez podinsourcerów wykonywania czynności innym przedsiębiorcom lub przedsiębiorcom zagranicznym odbywa się z zachowaniem warunków, o których mowa w art. 6a ust. 7 PB.
Po trzecie, określając wymóg zgody banku na podoutsourcing, wyrażenie, że insourcer może powierzyć podinsourcerowi wykonywanie czynności „po uzyskaniu pisemnej zgody banku” zastąpiono wyrażeniem, że insourcer może powierzyć podinsourcerowi wykonywanie czynności „po uzyskaniu szczegółowej lub ogólnej pisemnej zgody banku”. Jednocześnie dodano art. 6a ust. 7b PB, zgodnie z którym w przypadku ogólnej pisemnej zgody insourcer informuje bank o wszelkich zamierzonych zmianach dotyczących dodania lub zastąpienia podinsourcerów, dając tym samym bankowi możliwość wyrażenia sprzeciwu wobec takich zmian.
Rozłóżmy te zmiany na czynniki pierwsze.
Ad 1 - zmiana zakresu przedmiotowego podoutsourcingu regulowanego
Pierwsza ze wskazanych wyżej kluczowych zmian w zakresie podoutsourcingu regulowanego polega na zastąpieniu dotychczasowego zwrotu, że insourcer może powierzyć podinsourcerowi wykonywanie „określonych czynności służących realizacji głównego świadczenia wynikającego z tej umowy” na zwrot, że insourcer może powierzyć podinsourcerowi „wykonywanie czynności”.
W praktyce wskazana zmiana prowadzi do rozszerzenia zakresu podoutsourcingu regulowanego. Przechodząc do konkretów:
Po pierwsze, należy zauważyć, że na gruncie poprzedniej wersji przepisu korzystanie przez insourcera z podwykonawców w zakresie mniej istotnych czynności niż czynności służące realizacji głównych świadczeń wynikających z umowy outsourcingowej, nie podpadało w ogóle pod reżim podoutsourcingu regulowanego. Z obecnego brzmienia przepisu wynika, że nawet takie mniej istotne czynności mogą podlegać reżimowi podoutsourcingu. Ograniczenie podoutsourcingu do czynności służących realizacji głównych świadczeń wynikających z umowy outsourcingowej zostało bowiem usunięte. Z drugiej strony w mojej ocenie nie można jednak powiedzieć, że po nowelizacji każde korzystanie przez insourcera z podwykonawców (w szerokim rozumieniu) będzie podlegało pod reżim podoutsourcingu regulowanego. Jako taki podoutsourcing wciąż co do zasady nie będzie można zakwalifikować usług takich poddostawców jak np. dostawy mediów, usługi związane z ogólnym prowadzeniem działalności insourcera itp. Przy dokonywaniu kwalifikacji warto posiłkować się przy tym white list z pkt 28 Wytycznych EBA.
W tym miejscu warto też zauważyć, że w wyniku omawianej nowelizacji zakres podoutsourcingu regulowanego z art. 6a ust. 7 PB literalnie będzie nawet szerszy niż w Wytycznych EBA. Pkt 77 tych wytycznych wskazuje bowiem, że podoutsourcing regulowany dotyczy wyłącznie outsourcingu funkcji krytycznych i istotnych i to tylko wówczas, gdy czynności zlecone w ramach podoutsourcingu jako takie również stanowią istotną część danej krytycznej lub istotnej funkcji. Ograniczeń takich nie znajdziemy zaś w znowelizowanym brzmieniu polskich przepisów o podoutsourcingu.
Po drugie, patrząc na znowelizowane brzmienie przepisów o podoutsourcingu regulowanym przez pryzmat wykładni językowej, wydaje się, że podoutsourcing polegający na podpowierzeniu całości zleconych funkcji nie jest już wprost niedopuszczalny. Oczywiście jego niedopuszczalność wciąż może wynikać z przeprowadzonych przez dany bank w konkretnej sytuacji analiz ryzyka (choćby tych przeprowadzanych zgodnie z Wytycznymi EBA), niemniej jednak, jeżeli w konkretnym przypadki taki model podoutsourcingu nie będzie generował istotnych ryzyk dla banku, a jednocześnie będzie on uzasadniony prawnie, operacyjnie i biznesowo, to modelu takiego nie powinno się z góry wykluczać.
Ad 2 – dalsze poziomy podoutsourcingu
W drugiej kolejności, omówmy najgłośniejszą zmianę spośród zmian w przepisach PB, a mianowicie zmianę w zakresie tzw. outsourcingu łańcuchowego. Zmiana ta polega na wprowadzeniu art. 6a ust. 7a PB. Zgodnie z tym nowododanym przepisem, dalsze powierzanie przez podinsourcerów wykonywania czynności innym przedsiębiorcom lub przedsiębiorcom zagranicznym odbywa się z zachowaniem warunków, o których mowa w art. 6a ust. 7 PB.
Zmiana ta jest o tyle przełomowa, że jak wskazano powyżej, na gruncie art. 6a ust. 7 pkt 1 PB sprzed nowelizacji, mówiło się, że przepisy PB dopuszczają wyłącznie jeden poziom podoutsourcingu. Celem wskazanej zmiany była zaś liberalizacja przepisów w tym zakresie. Potwierdza to w szczególności uzasadnienie do projektu ustawy nowelizującej, w którym czytamy, że:
„W art. 6a ustawy – Prawo bankowe dodanie ust. 7a, nawiązuje do Wytycznych EBA, umożliwiających podoutsourcing w zasadzie w pełnym zakresie. Negatywne skutki obecnie obowiązującego zakazu dalszego powierzenia czynności w ramach podoutsourcingu widoczne są zwłaszcza w obszarze działalności fintechowej i wiążą się ze znacznym ograniczeniem możliwości banków do korzystania z profesjonalnych dostawców w sektorze fintech i wykorzystywania najnowszych rozwiązań technologicznych. (…) Celem projektodawcy jest wprowadzenie możliwości stosowania podoutsourcingu nieograniczonego poziomowo przy zachowaniu odpowiednich norm ostrożnościowych.”.
Z powyższego wynika, że intencją ustawodawcy przy wprowadzeniu nowelizacji było dopuszczenie podoutsourcingu „w zasadzie w pełnym zakresie”, a więc na dowolnej liczbie poziomów łańcucha outsourcingowego. Do podobnych wniosków prowadzi lektura materiałów udostępnianych w ramach procesu legislacyjnego.
Biorąc pod uwagę wskazany cel, w mojej ocenie art. 6a ust.7a PB nie został jednak ujęty wystarczająco precyzyjnie.
Aby zobrazować ten brak precyzji, porównajmy brzmienie art. 6a ust. 7 pkt 1 PB sprzed nowelizacji (który był wówczas głównym przepisem normującym podoutsourcing) z brzmieniem art. 6a ust. 7a PB dodanego w ramach nowelizacji.
Art. 6a ust. 7 PB w brzmieniu sprzed nowelizacji:
Art. 6a ust. 7. Jeżeli umowa powierzająca wykonywanie czynności, o których mowa w ust. 1, to przewiduje, przedsiębiorca lub przedsiębiorca zagraniczny, o którym mowa w ust. 1, może powierzyć innemu przedsiębiorcy lub przedsiębiorcy zagranicznemu, w drodze odrębnej umowy, wykonywanie:
1) określonych w umowie zawartej z bankiem czynności służących realizacji głównego świadczenia wynikającego z tej umowy, po uzyskaniu pisemnej zgody banku, lub
2) (…).
Art. 6a ust. 7a PB dodany w ramach nowelizacji:
Art. 6a ust. 7a. Dalsze powierzanie przez przedsiębiorców lub przedsiębiorców zagranicznych, którym powierzono wykonywanie czynności zgodnie z ust. 7 pkt 1, wykonywania czynności innym przedsiębiorcom lub przedsiębiorcom zagranicznym odbywa się z zachowaniem warunków, o których mowa w ust. 7.
Zauważmy, że art. 6a ust. 7 PB w brzmieniu sprzed nowelizacji, stanowił więc w skrócie, że: „Jeżeli umowa outsourcingowa to przewiduje, insourcer może powierzyć podinsourcerowi, w drodze odrębnej umowy, wykonywanie określonych w umowie zawartej z bankiem czynności”. Czyli w jeszcze większym skrócie: „insourcer może powierzyć podinsourcerowi wykonywanie określonych czynności”. Właśnie z takiego brzmienia przepisu wyprowadzało się wówczas wniosek o braku możliwości dalszego podoutsourcingu. Logika była więc następująca: skoro przepis stanowił, że insourcer może powierzyć podinsourcerowi wykonywanie określonych czynności i jednocześnie przepisy nie stanowiły, że podinsourcer może powierzyć określone czynności kolejnemu podmiotowi, to znaczy, że dalsze powierzenie przez podinsourcera czynności nie jest dopuszczalne.
Gdyby analogicznej metodzie wykładni poddać nowododany art. 6a ust. 7a PB, to efekt byłby następujący: „Dalsze powierzanie przez przedsiębiorców lub przedsiębiorców zagranicznych, którym powierzono wykonywanie czynności zgodnie z ust. 7 pkt 1 (czyli przez podinsourcerów pierwszego stopnia), wykonywania czynności innym przedsiębiorcom lub przedsiębiorcom zagranicznym odbywa się z zachowaniem warunków, o których mowa w ust. 7 (chodzi przede wszystkim o to, aby umowa outsourcingowa to przewidywała oraz o to, aby bank wyraził ogólną lub szczegółową zgodę na dalszy podoutsourcing)”. W uproszczeniu wskazany przepis stanowi więc, że: „Dalsze powierzenie przez podinsourcerów pierwszego stopnia wykonywania czynności jest dopuszczalne pod określonymi warunkami”. Przepis mówi więc wprost o dalszym powierzeniu przez podinsourcerów pierwszego stopnia i nie wypowiada się już o dalszym powierzeniu przez podinsourcerów drugiego i kolejnego stopnia. Tym samym stosując dotychczasowe metody wykładni, wciąż można by więc twierdzić, że przepisy PB po nowelizacji wcale nie dopuściły możliwości korzystania z podoutsourcingu w pełnym zakresie tj. na dowolnej liczbie poziomów łańcucha outsourcingowego.
W mojej ocenie, biorąc pod uwagę w szczególności cały proces legislacyjny, intencja ustawodawcy nie powinna budzić wątpliwości i mimo wszystko bliższy jestem interpretacji, że przepisy PB po nowelizacji powinny być interpretowane w ten sposób, że dopuszczają one możliwość korzystania z podoutsourcingu na dowolnej liczbie poziomów łańcucha outsourcingowego. Nie zmienia to faktu, że nowododany art. 6a ust. 7a PB nie został ujęty wystarczająco precyzyjnie. Moim zdaniem dobrym pomysłem byłoby napisanie w jego treści wprost o możliwości korzystania z podoutsourcingu na dowolnej liczbie poziomów łańcucha outsourcingowego. Przykładowo w art. 6a ust. 7a PB można by dodać sformułowanie, że: „Zdanie pierwsze niniejszego ustępu stosuje się odpowiednio do powierzenia wykonywania czynności na kolejnych poziomach łańcucha outsourcingu.”.
Ad 3 – dodanie mechanizmu „ogólnej zgody” na podoutsourcing
W tym miejscu przejdźmy do analizy w mojej ocenie najbardziej problematycznej zmiany w zakresie podoutsourcingu, a mianowicie zmiany polegającej na tym, że:
w art. 6a ust. 7 pkt 1 PB określającym wymóg zgody banku na podoutsourcing, wyrażenie, że insourcer może powierzyć podinsourcerowi wykonywanie czynności „po uzyskaniu pisemnej zgody banku” zastąpiono wyrażeniem, że insourcer może powierzyć podinsourcerowi wykonywanie czynności „po uzyskaniu szczegółowej lub ogólnej pisemnej zgody banku”,
i jednocześnie w art. 6a PB dodano ust. 7b, zgodnie z którym w przypadku ogólnej pisemnej zgody insourcer informuje bank o wszelkich zamierzonych zmianach dotyczących dodania lub zastąpienia podinsourcerów, dając tym samym bankowi możliwość wyrażenia sprzeciwu wobec takich zmian.
Zgodnie z uzasadnieniem projektu nowelizacji wskazane zmiany miały na celu zwiększenie elastyczności w zakresie zarządzania podoutsourcingiem i wykorzystanie konstrukcji znanej z art. 28 RODO w ramach podpowierzania przetwarzania danych osobowych.
Przyjrzyjmy się zatem bliżej, nowej dla przepisów PB, konstrukcji zgody ogólnej na podoutsourcing.
Przede wszystkim, trzeba zauważyć, że zaadaptowanie do przepisów PB znanej z RODO konstrukcji zgody ogólnej i szczegółowej, powoduje analogiczne problemy jak na gruncie RODO. W praktyce stosowania RODO można spotkać się z różnym podejściem w zakresie mechanizmu wyrażania zgody ogólnej. Najbardziej restrykcyjne podejście zakłada, że przed wyrażeniem zgody ogólnej administrator powinien zostać zapoznany z kompleksową listą podprocesorów. W podejściu mniej restrykcyjnym wymóg ten jest łagodzony np. poprzez generyczne określenie kategorii aktualnych podprocesorów.
W przypadku przepisów PB przy ustalaniu optymalnej praktyki nie można pominąć brzmienia art. 6c ust. 3 PB oraz art. 111b PB. Zgodnie z art. 6c ust. 3 PB (w brzmieniu znowelizowanym) bank prowadzi ewidencję umów, o których mowa w art. 6a ust. 1, 7 i 7a (a więc outsourcingowych i podoutsourcingowych), zawierającą co najmniej dane identyfikujące przedsiębiorców lub przedsiębiorców zagranicznych, z którymi zostały zawarte umowy powierzające wykonywanie czynności, zakres powierzonych czynności i miejsce ich wykonywania oraz okres obowiązywania umów. Zgodnie zaś z art. 111b ust. 1 PB, bank obowiązany jest ogłaszać w sposób ogólnie dostępny informacje o przedsiębiorcach lub przedsiębiorcach zagranicznych, o których mowa w art. 6a ust. 1, 7 i 7a (a więc o wszystkich insourcerach i podinsourcerach), o ile przy wykonywaniu na rzecz jednostki organizacyjnej banku albo innego przedsiębiorcy lub przedsiębiorcy zagranicznego czynności, o których mowa w tych przepisach, uzyskują dostęp do informacji chronionych tajemnicą bankową.
Wobec wskazanych przepisów, trudno byłoby dopuścić sytuację, w której insourcer nie informuje banku przed rozpoczęciem współpracy o aktualnej i kompletnej liście podinsourcerów (i to podinsourcerów na wszystkich poziomach łańcucha outsourcingowego). To z kolei oznacza, że mechanizm ogólnej zgody banku na podoutsourcing w połączeniu z wyrażonym w nowododanym art. 6a ust. 7b PB mechanizmem zgłaszania bankowi wszelkich zmian w zakresie podoutsourcingu (z możliwością wyrażenia przez bank sprzeciwu), w praktyce oznacza jedynie uproszczenie dotychczasowej procedury. W istocie, jeżeli na gruncie przepisów sprzed nowelizacji insourcer wystąpił do banku o zgodę na zmianę w zakresie podoutsourcingu a bank zgody nie wyraził, to insourcer nie mógł wprowadzić planowanych zmian (a przynajmniej nie mógł dopuścić do wykonywania czynności nowego podinsourcera lub rozszerzyć zakresu wykonywanych przez dotychczasowego podinsourcera czynności). Z kolej po nowelizacji w przypadku ogólnej zgody banku, milczenie banku względem informacji o planowanych zmianach podoutsourcingu będzie oznaczało de facto akceptację za strony banku. W praktyce bank jednak nie będzie mógł przejść obojętnie obok zgłoszonej planowanej zmiany, bowiem po takim zgłoszeniu, będzie on zobowiązany do przeprowadzenia stosownej analizy ryzyka w zakresie planowanych zmian, w szczególności zgodnie z zasadami analiz ryzyka wynikającymi z Wytycznych EBA.
W efekcie omówionych zmian, dotychczasowa praktyka bankowa akceptacji zmian w zakresie podinsourcerów, w mojej ocenie, nie powinna ulec istotnej zmianie. Istotnej zmianie, w przypadku skorzystania z mechanizmu ogólnej zgody na podoutsourcing, ulegnie jedynie formalna procedura akceptacji, która nie będzie wymagała już złożenia przez bank oświadczenia woli w formie pisemnej.
5. Podsumowanie części 1
Jak widać, problemy i prawne i praktyczne związane z outsourcingiem bankowym można by mnożyć. Powyżej starałem się zarysować te kluczowe i w mojej ocenie najważniejsze, jeżeli chodzi o nowelizację art. 6a PB.
Jestem naprawdę bardzo ciekawy w jaką stronę pójdzie praktyka bankowa, zwłaszcza w zakresie dopuszczalności dłuższych łańcuchów outsourcingowych i wypracowania mechanizmów skutecznego nadzorowania tych łańcuchów. Warto bowiem zauważyć, że wydłużony łańcuch podoutsourcingu w połączeniu z rozszerzeniem zakresu przedmiotowego podoutsourcingu regulowanego oznacza o wiele większe praktyczne problemy po stronie banków oraz insourcerów w kontrolowaniu struktury podoutsourcingu. Brak należytej kontroli w tym zakresie może narazić insourcera na naruszenie umowy outsourcingowej, a bank na naruszenie przepisów PB i Wytycznych EBA w zakresie kontroli łańcucha outsourcingowego w ramach procesów zarządzania outsourcingiem.
_______
Autor artykułu
