Finančna podjetja se spopadajo s strogimi kitajskimi zakoni o podatkih

Če je to azijsko stoletje, za finančne institucije postaja stoletje azijske regulacije varstva podatkov. Če obstaja ena največja ovira za izvajanje digitalnih strategij, je to splet trgov in pravil v tej regiji okoli podatkov.

Kitajska ni edina pri postavljanju več ovir in pravil za hrambo podatkov v državi. Toda njen pristop je najbolj širok. In kot drugo največje gospodarstvo na svetu je preveliko, da bi ga prezrli.

Banke in upravljavci premoženja se spopadajo s pravili o suverenosti podatkov. Za industrijo na splošno bodo razmere verjetno težje, ne lažje, kar bo zmanjšalo zmožnost podjetij, da rastejo ali nudijo storitve svojim strankam, kot si želijo.

Njihov najboljši odgovor je, da vključijo različne regulatorje, ugotovijo, kaj je prednostno ali kritično, ko gre za skupno rabo in zaščito podatkov, in najdejo skupno točko – ne glede na to, kako ozka.

Zakoni o razdrobljenosti podatkov

Regulations on data took center stage at a recent conference organized by the Asia Securities and Investments and Financial Markets Association (ASIFMA). The message: there’s no easy fix to this problem.

Industrija je sprva upala, da bodo mednarodni okviri za zasebnost podatkov urejali čezmejne tokove.

Te standarde pa so razvile zahodne institucije ali institucije bogatih držav, kot je OECD. Azijske vlade in vlade nastajajočih trgov so začutile, da jih izkoriščajo, pri čemer neobdelani podatki zapuščajo njihove meje in se preusmerjajo v strežnike v razvitem svetu, kjer jih bodo obdelali in obogatili ter naredili dragocene.

Regulatorji v mnogih državah so začeli pisati svoja pravila.

"To je povzročilo, da so zasebnost podatkov in čezmejni podatki postali ključno tveganje za finančne institucije," je dejal Tauseef Hussain, direktor globalne skladnosti in operativnega tveganja pri Bank of America v Singapurju.

This is just the early phase of this trend, not the conclusion. Regulators continue to amend their rules to expand their scope and increase enforcement.

Izzivi po vsej regiji naraščajo

Globalne institucije se trudijo slediti. Definicije osebnih podatkov so zdaj povsod na zemljevidu, kar otežuje izgradnjo razširljivega nadzornega okolja za zasebnost. Skladnost postaja vse dražja.

Beyond compliance, firms relying on cloud-centric models developed in the US and Europe follow a business model in which data is collected, processed, and retained in different places. That model no longer works for a growing number of markets, which means firms’ operations are also getting more expensive.

Nekateri nastajajoči trgi, kot je Malezija, niso imeli dovolj zmogljivosti za pravilno upravljanje nadzora podatkov podjetij, zato so sprejeli zelo restriktivne zakone, ki zahtevajo, da kakršno koli selitev v tujino odobrijo organi za vsak primer posebej. Postopoma se lahko takšni režimi razvijejo v pristop, ki bolj temelji na pravilih, vendar nihče ne ve kdaj.

Global firms could afford to treat Malaysia-sized exceptions with local solutions, as these are small markets. But then big countries like India joined suit. Not only are these countries enacting broad rules, but they do so without detailed guidance on how firms should implement them – another source of confusion for global businesses.

Today even financial hubs such as Hong Kong and Singapore – the sorts of places that would normally slot neatly into global standards – are either erecting their own data-sovereignty rules, or studying them.

Podjetja se trudijo, da bi regulatorjem pokazala, da resno jemljejo pomisleke, povezane s podatki, in pojasnila, v kakšnih okoliščinah je ključnega pomena, da podatke prenesejo v tujino. Najpomembnejši argument je, da morajo globalna podjetja o lokalnih podatkih poročati svojim regulatorjem doma.

»Pokažete lahko, kako izvoženi podatki izboljšujejo skladnost podjetja in obvladovanje tveganja ter tako pomagajo lokalnemu regulatorju,« je svetoval Hussain.

Kitajska ekspanzivna pravila

To razmišljanje ni nikjer bolj pomembno – in težje dostopno – kot Kitajska.

Eugenie Shen, generalna direktorica in vodja skupine za upravljanje premoženja pri ASIFMA v Hongkongu, pravi, da je Peking od leta 2016 izdal vse bolj zahtevno vrsto zakonodaje: zakone o kibernetski varnosti, zakone o varnosti podatkov in letos zakone o zasebnosti. Ti zajemajo vse informacije v elektronski ali drugi obliki.

“We’re talking about a broad universe,” she said at the ASIFMA event.

To ustvarja težave za globalne sklade, ki delujejo v celinski Kitajski, vodijo lokalne portfelje in upravljajo denar lokalnih strank.

Globalna podjetja v škripcu

Njihov sedež v matični državi običajno pričakuje, da bodo podružnice zagotovile veliko podatkov o lokalnih dejavnostih: zapisnike sestankov upravnega odbora, poslovodska poročila, finančne in računovodske informacije, poročila o skladnosti in osebne podatke strank.

Globalni upravljavci premoženja in njihove podružnice morajo lastnim regulatorjem pokazati, da delujejo v interesu svojih strank ter izpolnjujejo globalna preverjanja KYC in preverjanja proti pranju denarja.

---

---

Globalne naložbene ekipe bodo prav tako želele informacije o podjetjih, ki kotirajo na borzi, v svojih portfeljih – na eni strani morajo vedeti, ali lahko njihove stopnje lastništva sprožijo zahteve po razkritju.

Na Kitajskem, pravi Shen, upravljavci premoženja ne morejo deliti podatkov o strankah s svojim sedežem. Tudi poročil raziskovalnih analitikov, ki pogosto temeljijo na prečesanju javno dostopnih informacij, ni mogoče poslati premierjem v tujino. "Obstaja zaskrbljenost, da bi deljenje teh informacij z offshore subjekti lahko škodovalo javnemu interesu ali interesu nacionalne varnosti," je dejal Shen.

This puts global firms in a bind, because disclosing such information to their own shareholders is usually required by law in Western countries, such as US bank holding company law or tax rules.

Kitajski javni pristop do podatkov

Xun Yang, partner pri Llinks Law China v Šanghaju, pravi, da so kitajska pravila o podatkih na prvi pogled podobna predpisom o zasebnosti na Zahodu. Toda kitajski organi zasebnost postavljajo v kontekst javnega interesa in stabilnosti trga.

Globalna podjetja se na Kitajskem soočajo z dvema sklopoma podatkovnih predpisov. Prva je osebna zaščita.

Na Zahodu je za deljenje podatkov dovolj le privolitev potrošnika ali stranke. To ne velja za Kitajsko, ki pravi, da obstaja javna razsežnost izvoza takih podatkov v velikem obsegu.

Drugi sklop pravil se nanaša na to, kako kitajski finančni regulatorji nadzorujejo osebne in transakcijske podatke, ki jih ni mogoče objaviti, ker bi tujim vladam in multinacionalkam lahko dali preveč informacij. Peking ne zaupa ideji pravne ali fiduciarne ločitve interesov. (Mogoče ne pomaga, da zahodnjaki te zidove imenujejo "kitajski zidovi".)

Veliko kitajskih

Ta položaj je zapleten zaradi raznolikosti kitajskih regulatorjev. Finančne storitve imajo več regulatorjev na nacionalni ravni. Toda deželne in občinske vlade imajo tudi besedo.

"Malo podrobnosti o izvajanju, ni časovnih okvirov in različni pogledi med lokalnimi regulatorji," je dejal James Zhang, partner za finančne storitve pri KPMG.

Zato regulatorji želijo, da so vsi podatki shranjeni na kopnem. "Ni nemogoče izvoziti teh podatkov, je pa zelo težko," je dejal Yang.

On the other hand, Beijing does want to attract foreign capital and multinational business, and stay involved in global markets. “So there’s a way out,” Yang added.

Iskanje skupne trditve

Če imajo banke opravka z osebnimi podatki prebivalcev, je zelo malo možnosti, da bodo regulatorji dovolili, da te informacije potujejo. Obstaja manevrski prostor, če lahko svetovna podjetja pokažejo, da so za institucionalne ali poslovne stranke, zlasti če so to kitajske banke ali podjetja, ki že poslujejo v tujini. Če kotirajo v ZDA, Hongkongu ali drugih trgih, potem že v svojih letnih poročilih objavijo veliko informacij, kar bi lahko zadostovalo.

Globalna podjetja morajo prav tako preučiti zadevne podatke in se znebiti navade, da vse zgolj pošiljajo v čezmorski podatkovni center. Morali bodo ugotoviti, s kakšnimi težavami skladnosti se soočajo doma, če ne izvažajo lokalnih kitajskih podatkov, kaj si lahko privoščijo, da ostanejo na kopnem, kaj se bo verjetno štelo za najbolj občutljivo za regulatorje in kaj mislijo, da lahko zmagati z lobiranjem.

Prav tako morajo prepričati oblasti, da je nadzor podjetja močan, da spoštuje kitajske zakone in da ima vzpostavljen postopek za obravnavanje vdorov ali uhajanja podatkov.

"Regulatorji bodo upoštevali naravo nasprotne stranke," je dejal Zhang iz KPMG, kar daje podjetjem možnost, da argumentirajo svoj primer. »Kitajska se ne poskuša ločiti od sveta, zato mislim, da bomo videli nekaj sprememb. Ampak to je trenutno boleča situacija.«

Predložitev primera regulatorjem

Yang at Llinks Law says Chinese regulators welcome firms asking for clarifications. They understand their rules are wide-ranging, and they are open to practical outcomes. Regulators may not give a blanket exemption to data offshoring but they may work with firms to find a way to help them comply in their home markets.

Shen iz ASIFMA je dejal: »[Kitajski] regulatorjem trdim, zakaj potrebujemo določene informacije. Če ne dobim informacij, kršim tuje zakone. Zato pojasnjujem, kateri so ti zakoni. Gre za iskanje ravnovesja.” Dodala je, da kitajska pravila priznavajo podatke, ki se štejejo za kritične, zato niso enaka za vse. Regulatorji še niso objavili podrobnosti o tem, kako razvrščajo podatke, vendar bodo sčasoma te podrobnosti pomagale finančnim podjetjem ugotoviti, katere podatke lahko poskusijo izvzeti.

"Poskušamo premostiti vrzel," je dejal Shen. "Upam, da bomo nekega dne lahko imeli okrogle mize s kitajskimi oblastmi za odprto razpravo."