Empresas financeiras lidam com duras leis de dados da China

Se este é o século asiático, para as instituições financeiras está se tornando o século da regulamentação asiática de proteção de dados. Se existe uma única barreira maior para a implementação de estratégias digitais, é a colcha de retalhos de mercados e regras dessa região em torno dos dados.

A China não está sozinha na construção de mais barreiras e regras destinadas a manter os dados dentro do país. Mas sua abordagem é a mais abrangente. E como a segunda maior economia do mundo, é grande demais para ser ignorada.

Bancos e gestores de ativos estão lutando com as regras de soberania de dados. Para o setor em geral, a situação provavelmente ficará mais difícil, não mais fácil, e isso reduzirá a capacidade das empresas de crescer ou atender seus clientes como gostariam.

Sua melhor resposta é envolver vários reguladores, descobrir o que é uma prioridade ou missão crítica quando se trata de compartilhar e proteger dados e encontrar um terreno comum – por mais estreito que seja.

A fragmentação das leis de dados

As regulamentações sobre dados ocuparam o centro das atenções numa recente conferência organizada pela Asia Securities and Investments and Financial Markets Association (ASIFMA). A mensagem: não há solução fácil para esse problema.

A indústria inicialmente esperava que as estruturas internacionais para privacidade de dados governassem os fluxos transfronteiriços.

Esses padrões, no entanto, foram desenvolvidos por instituições ocidentais ou de países ricos, como a OCDE. Os governos asiáticos e de mercados emergentes passaram a sentir que estavam sendo explorados, com dados brutos saindo de suas fronteiras para servidores no mundo desenvolvido, onde seriam processados, enriquecidos e valiosos.

Reguladores em muitos países começaram a escrever suas próprias regras.

“Isso resultou em tornar a privacidade de dados e dados transfronteiriços um risco importante para as instituições financeiras”, disse Tauseef Hussain, diretor de conformidade global e risco operacional do Bank of America em Cingapura.

Esta é apenas a fase inicial desta tendência, não a conclusão. Os reguladores continuam a alterar as suas regras para expandir o seu âmbito e aumentar a aplicação.

Desafios em toda a região aumentando

As instituições globais estão lutando para acompanhar. As definições de dados pessoais estão agora em todo o mapa, dificultando a construção de um ambiente de controle escalável para privacidade. A conformidade fica cada vez mais cara.

Além da conformidade, as empresas que dependem de modelos centrados na nuvem desenvolvidos nos EUA e na Europa seguem um modelo de negócio em que os dados são recolhidos, processados ​​e retidos em diferentes locais. Esse modelo já não funciona para um número crescente de mercados, o que significa que as operações das empresas também estão a ficar mais caras.

Alguns mercados emergentes, como a Malásia, não tinham capacidade para gerenciar adequadamente os controles de dados das empresas, então promulgaram leis muito restritivas, exigindo que qualquer offshoring fosse aprovado por autoridades caso a caso. Gradualmente, esses regimes podem evoluir para uma abordagem mais baseada em regras, mas ninguém sabe quando.

As empresas globais poderiam dar-se ao luxo de tratar exceções do tamanho da Malásia com soluções locais, uma vez que se trata de mercados pequenos. Mas então grandes países como a Índia aderiram ao exemplo. Estes países não só estão a promulgar regras amplas, como também o fazem sem orientação detalhada sobre como as empresas devem implementá-las – outra fonte de confusão para as empresas globais.

Hoje em dia, mesmo centros financeiros como Hong Kong e Singapura – o tipo de locais que normalmente se enquadrariam perfeitamente nos padrões globais – estão a criar as suas próprias regras de soberania de dados ou a estudá-las.

As empresas estão se esforçando para mostrar aos reguladores que levam a sério as preocupações relacionadas a dados e explicar em quais circunstâncias é fundamental que levem dados para o exterior. O argumento mais importante é que as empresas globais precisam relatar dados locais para seus reguladores em casa.

“Você pode mostrar como os dados exportados estão aprimorando a conformidade e o gerenciamento de risco da empresa e, portanto, estão ajudando o regulador local”, aconselhou Hussain.

As regras expansivas da China

Em nenhum lugar essa linha de raciocínio é mais importante – e mais difícil de difundir – do que a China.

Eugenie Shen, diretora administrativa e chefe do grupo de gerenciamento de ativos da ASIFMA em Hong Kong, diz que desde 2016 Pequim emitiu uma série de legislação cada vez mais desafiadora: leis de segurança cibernética, leis de segurança de dados e, este ano, leis de privacidade. Estes abrangem qualquer informação em formato eletrônico ou outros.

“Estamos falando de um universo amplo”, disse ela no evento da ASIFMA.

Isso cria problemas para as casas de fundos globais que operam na China continental, administrando carteiras locais e gerenciando o dinheiro dos clientes locais.

Empresas globais em um beco sem saída

Sua sede no país de origem geralmente espera que as subsidiárias forneçam muitos dados sobre atividades locais: atas de reuniões do conselho, relatórios gerenciais, informações financeiras e contábeis, relatórios de conformidade e informações pessoais de clientes.

Os gerentes de ativos globais e suas subsidiárias devem mostrar a seus próprios reguladores que estão operando de acordo com os interesses de seus clientes e cumprindo as verificações globais de KYC e antilavagem de dinheiro.

---

---

As equipes de investimento global também vão querer informações sobre as empresas listadas em seus portfólios – por um lado, eles precisam saber se seus níveis de propriedade podem desencadear requisitos de divulgação.

Na China, diz Shen, os gestores de ativos não podem compartilhar informações de clientes com sua sede. Mesmo os relatórios dos analistas de pesquisa, muitas vezes baseados em vasculhar informações publicamente disponíveis, não podem ser enviados a PMs no exterior. “Há uma preocupação de que, de alguma forma, compartilhar essas informações com entidades offshore possa prejudicar o interesse público ou o interesse de segurança nacional”, disse Shen.

Isto coloca as empresas globais numa situação difícil, porque a divulgação de tais informações aos seus próprios accionistas é geralmente exigida por lei nos países ocidentais, como a legislação sobre sociedades gestoras de participações bancárias dos EUA ou as regras fiscais.

A abordagem pública da China aos dados

Xun Yang, sócio da Llinks Law China em Xangai, diz superficialmente que as regras de dados da China são semelhantes às regulamentações de privacidade no Ocidente. Mas as autoridades chinesas enquadram a privacidade no contexto do interesse público e da estabilidade do mercado.

As empresas globais enfrentam dois conjuntos de regulamentações de dados na China. O primeiro é a proteção pessoal.

No Ocidente, o consentimento de um consumidor ou cliente é tudo o que é necessário para compartilhar seus dados. Esse não é o caso da China, que diz que há uma dimensão pública na exportação desses dados em massa.

O segundo conjunto de regras diz respeito a como os reguladores financeiros chineses supervisionam dados pessoais e transacionais, que não podem ser divulgados porque podem fornecer muitas informações a governos estrangeiros e multinacionais. Pequim não confia na ideia de separação legal ou fiduciária de interesses. (Pode não ajudar que os ocidentais se refiram a elas como “muralhas chinesas”.)

Muitas Chinas

Esta situação é complicada pela diversidade de reguladores chineses. Os serviços financeiros têm vários reguladores a nível nacional. Mas os governos provinciais e municipais também têm uma palavra a dizer.

“Há poucos detalhes sobre a implementação, sem cronogramas e visões diferentes entre os reguladores locais”, disse James Zhang, sócio de serviços financeiros da KPMG.

Portanto, os reguladores querem que todos os dados sejam armazenados em terra. “Não é impossível exportar esses dados, mas é muito difícil”, disse Yang.

Por outro lado, Pequim pretende atrair capital estrangeiro e negócios multinacionais e permanecer envolvido nos mercados globais. “Portanto, há uma saída”, acrescentou Yang.

Encontrar um terreno comum

Se os bancos estão lidando com dados pessoais de varejo, há muito pouca chance de que os reguladores permitam que essas informações viajem. Há margem de manobra se as empresas globais puderem mostrar que é para clientes institucionais ou corporativos, especialmente se forem bancos chineses ou empresas que já operam no exterior. Se eles estão listados nos EUA, Hong Kong ou outros mercados, eles já publicam muitas informações em seus relatórios anuais, o que pode ser suficiente.

As empresas globais também devem analisar os dados em questão e abandonar o hábito de simplesmente enviar tudo para um data center no exterior. Eles terão que descobrir quais problemas de conformidade enfrentarão em casa se não exportarem dados locais da China, o que podem manter em terra, o que provavelmente será considerado o mais sensível aos reguladores e o que eles acham que podem ganhar através do lobby.

Eles também precisam convencer as autoridades de que os controles da empresa são robustos, que ela respeita as leis da China e que possui um processo para lidar com hacks ou vazamentos de dados.

“Os reguladores considerarão a natureza da contraparte”, disse Zhang, da KPMG, o que dá às empresas a chance de argumentar. “A China não está tentando se desvincular do mundo, então acho que veremos algumas mudanças. Mas é uma situação dolorosa por enquanto.”

Fazendo o caso para os reguladores

Yang, da Llinks Law, diz que os reguladores chineses recebem bem as empresas que solicitam esclarecimentos. Eles compreendem que as suas regras são abrangentes e estão abertos a resultados práticos. Os reguladores podem não conceder uma isenção geral à deslocalização de dados, mas podem trabalhar com as empresas para encontrar uma forma de as ajudar a cumprir a legislação nos seus mercados nacionais.

Shen, da ASIFMA, disse: “Eu defendo os reguladores [da China] sobre por que precisamos de certas informações. Se eu não obtiver a informação, estou violando as leis estrangeiras. Então eu explico quais são essas leis. Trata-se de encontrar um equilíbrio.” Ela acrescentou que as regras chinesas reconhecem dados considerados críticos, portanto, não é um tamanho único. Os reguladores ainda não divulgaram detalhes sobre como estão classificando os dados, mas com o tempo esses detalhes ajudarão as empresas financeiras a descobrir quais dados podem tentar isentar.

“Tentamos preencher a lacuna”, disse Shen. “Espero que um dia possamos ter mesas redondas com as autoridades chinesas para uma discussão aberta.”