EU har i många år arbetat för att skapa dataregler för den inre marknaden (både personuppgifter och icke-personuppgifter). Under 2020 lanserades EU:s datastrategi och strategin för digitalisering av finanssektorn, och arbetet med att etablera standarder för insamling, hantering och spridning av data har fortsatt.

Mot bakgrund av detta introducerades ett förslag till Europaparlamentets och EU-rådets förordning om ett ramverk för tillgång till finansiella data kallad Financial Data Access (FIDA). Ramverket kompletterar dataförordningen, som trädde i kraft 11 januari 2024. Den här artikeln går igenom FIDA-ramverket: vad det är, dess syften, hur datadelning fungerar och FIDA:s potentiella inverkan på finansbranschen.

Vad innehåller den här artikeln?

• Vad är FIDA?
  
• Mål
  
• Tillämpningsområde
  
• Datadelning
  
• Leverantörer av finansiella informationstjänster
  
• Tidsplan för implementering
  
• Potentiell inverkan på finanssektorn
  

Vad är FIDA?

Den 28 juni 2023 lade EU-kommissionen fram ett förslag till FIDA-förordningen (Financial Data Access) för att förbättra tillgången till och delningen av finansiella data inom EU. FIDA-ramverket är en del av en bredare EU-strategi för att skapa ett system för öppna finansiella tjänster som gör det möjligt att dela användardata mellan banker, försäkringsbolag, investeringstjänster och andra finansiella enheter. Det bygger på open banking-reglerna från det reviderade betaltjänstdirektivet (PSD2), som syftar till att göra betaltjänster säkrare och bekvämare för medlemsländerna, samt dess efterföljare, PSD3.

FIDA är en del av den europeiska datastrategin – lanserad av EU-kommissionen – som enligt kommissionens meddelande den 19 februari 2020, syftar till att ”skapa ett gemensamt europeiskt dataområde – en verklig inre marknad för data som är öppen för data från hela världen – där såväl personuppgifter som icke-personuppgifter, inklusive känsliga affärsdata, är säkra och företag har enkel tillgång till en nästan oändlig mängd högkvalitativ industriell data, vilket ökar tillväxten och skapar värde, samtidigt som det mänskliga koldioxid- och miljöavtrycket minimeras”.

Det är viktigt att notera att ”tillgång till finansiella uppgifter avser åtkomst till och behandling av uppgifter mellan företag och mellan företag och kunder (inklusive konsumenter) på kundens begäran, inom ett brett spektrum av finansiella tjänster” på den europeiska finansmarknaden enligt förordningen.

Mål

Finanssektorn har historiskt sett haft utmaningar när det gäller att dela kunddata. Dataanvändare, till exempel företag som vill ha tillgång till kundinformation, har ofta haft svårt att få tag på data från de finansinstitut som samlar in, lagrar och bearbetar denna information. Dataåtkomsten har aldrig reglerats ordentligt och har ofta varit oövervakad. Dessutom var de tekniska gränssnitten som användes för att få tillgång till data sårbara för cyberhot, vilket skapade säkerhetsrisker.

Situationen har begränsat tillgången till finansiella data och inneburit betydande utmaningar för nya aktörer och mindre, innovativa tjänsteleverantörer, som kämpat för att erbjuda skräddarsydda produkter som uppfyller kundernas behov. Som ett resultat av detta har personer som sökt finansiella produkter och tjänster ofta fått betala högre avgifter utan att få den upplevelse de förväntat sig.

FIDA-ramverket syftar till att fungera på två nivåer:

• För det första, att förbättra datadelningen mellan aktörer inom finansiella tjänster, vilket gör det möjligt att utveckla finansiella produkter som bättre tillgodoser kundernas behov.
  
• För det andra, att säkerställa ett bättre skydd av kundernas integritet genom att kräva höga standarder för säkerhet och konfidentialitet av operatörerna, samt genom att säkerställa att uppgifter endast används med användarens samtycke.
  

EU-kommissionens förslag ligger i linje med den allmänna dataskyddsförordningen (GDPR), som fastställer allmänna regler för behandling av personuppgifter och säkerställer både skydd och fri rörlighet för personuppgifter. Dessutom kommer konsumenterna att skyddas mot missbruk och dataintrång, eftersom både dataägare och dataanvändare måste följa bestämmelserna i Digital Operational Resilience Act (DORA-förordningen), som trädde i kraft 16 januari 2023.

Tillämpningsområde

Enligt förslaget ska uppgifter om följande produktkategorier göras tillgängliga:

• Bolån, lån och konton (med undantag för betalningskonton enligt PSD2).
  
• Sparande, investeringar i finansiella instrument, försäkringsbaserade investeringsprodukter, kryptotillgångar, fastigheter och andra finansiella tillgångar – tillsammans med ekonomiska fördelar som härrör från dessa tillgångar, inklusive data som samlats in för bedömningar av lämplighet och ändamål.
  
• Pensionsprodukter
  
• Försäkringsprodukter enligt direktiv 2009/138/EG, med undantag för liv-, hälso- och sjukförsäkring, inbegripet information som samlats in för krav- och behovsprövningen och bedömningen av försäkringsproduktens lämplighet.
  
• Uppgifter som används för att bedöma ett företags kreditvärdighet, förutsatt att de samlas in i samband med en låne- eller kreditvärdighetsansökan.
  

Datadelning

Innan vi går in på detaljerna kring datadelning kommer här en kort ordlista för att klargöra de viktigaste aktörerna som är involverade i delning av finansiella data enligt FIDA-förordningen:

• Kund: En individ eller juridisk person som använder finansiella produkter och tjänster
  
• Datainnehavare: Ett finansinstitut (exklusive leverantörer av kontoinformationstjänster) som samlar in, lagrar och behandlar de uppgifter som nämns i artikel 2.1
  
• Dataanvändare: En av de entiteter (som nämns i artikel 2.2) som med en kunds godkännande har legitim åtkomst till kunddata
  

Enligt förslaget kommer datadelning att ske genom system för delning av finansdata (Financial Data Sharing Schemes – FDSS). Dessa system är ramavtal som upprättats av datainnehavare, dataanvändare och representativa kund- och konsumentorganisationer för att självreglera hanteringen av dataåtkomst bland FDSS-medlemmar.
I förslaget beskrivs också datainnehavarnas och dataanvändarnas skyldigheter när de får tillgång till kundernas finansiella data.

Datainnehavarnas skyldigheter

Datainnehavaren måste göra alla begärda data tillgängliga för kunden elektroniskt utan onödigt dröjsmål, kostnadsfritt, fortlöpande och i realtid.

Datainnehavaren ska också göra kundens data tillgängliga för en dataanvändare. För detta ändamål måste den personuppgiftsansvarige:

• Göra kundens data tillgängliga för användaren på ett standardiserat sätt och av minst samma kvalitet som den data som är tillgänglig för datainnehavaren
  
• Säkerställa säker kommunikation med dataanvändaren genom att upprätthålla en lämplig säkerhetsnivå vid behandling och överföring av kunddata
  
• Se till att dataanvändare kan bevisa att de har kundens godkännande att komma åt kunddata som innehas av dataägaren
  
• Ge kunderna en instrumentpanel för auktoriseringshantering så att de enkelt kan övervaka, förnya och återkalla dataanvändarnas auktoriseringar
  
• Respektera konfidentialiteten för affärshemligheter och immateriella rättigheter vid åtkomst till kunddata
  

Dataanvändares skyldigheter

En dataanvändare som tar emot kunddata måste i sin tur:

• Behandla kunddata endast för de specifika ändamål som är relaterade till tjänsten och som kunden uttryckligen har begärt
  
• Respektera konfidentialiteten för affärshemligheter och immateriella rättigheter vid åtkomst till kunddata
  
• Genomföra nödvändiga åtgärder för att säkerställa en adekvat säkerhetsnivå för lagring, behandling och överföring av icke-personuppgifter
  
• Inte använda kunddata i reklamsyfte, med undantag för direktmarknadsföring som följer EU-lagstiftning och nationell lagstiftning
  

Leverantörer av finansiella informationstjänster

FIDA introducerar en ny kategori av leverantörer av finansiella informationstjänster (FISP) som kan få tillgång till kunddata om de är auktoriserade av den behöriga myndigheten i en medlemsstat att tillhandahålla finansiella informationstjänster.

FISP-företag som bedriver verksamhet utanför den europeiska finansmarknaden men behöver få tillgång till finansiella data inom EU kan göra det utan att etablera ett företag eller en filial i EU. De måste dock skriftligen utse en fysisk eller juridisk person till sin rättsliga företrädare i en av de medlemsstater från vilken FISP-företaget avser att få tillgång till de finansiella uppgifterna.

Tidsplan för implementering

FIDA kommer att träda i kraft 24 månader efter att den röstats igenom som lag, med undantag för bestämmelserna om FDSS och auktorisationskraven för FISP, som kommer att träda i kraft 18 månader efter att förordningen träder i kraft.

Potentiell påverkan på finansbranschen

Implementeringen av FIDA, som syftar till att främja öppna finansiella tjänster, kommer utan tvekan att påverka finanssektorn. FIDA kommer att skapa betydande möjligheter för företag att erbjuda finansiella tjänster som är mer personliga och skräddarsydda efter kundernas behov.

Här är några potentiella effekter av FIDA-ramverket på finansbranschen:

• Ökat utbud av finansiella produkter och tjänster
  De finansiella data som delas inom ramen för FIDA kommer att göra det möjligt för tredjepartsutvecklare, fintech-företag och andra att skapa nya produkter och tjänster inom finans-, investerings- och försäkringsbranschen. Detta kan leda till ett ökat utbud av innovativa produkter och en förbättring av kvaliteten på de tjänster som tillhandahålls kunderna.

• Mer personliga tjänster
  Tillgång till finansiella data kan också leda till mer användarcentrerade och personliga tjänster, vilket ökar kundnöjdheten.

• Ökad konkurrens
  Tillgången till finansiella data som möjliggörs av FIDA kommer att göra det möjligt för nya aktörer (dvs. tredje part) att konkurrera med traditionella finansinstitut, vilket kan leda till lägre kostnader för produkter som erbjuds kunderna. Syftet med detta är att främja en rättvis och opartisk konkurrens.

• Frågor som rör dataskydd
  Det öppna utbytet av finansiella data som införs med FIDA-ramverket kan ge upphov till betydande säkerhets- och integritetsproblem. Operatörer kommer att behöva implementera effektiva IT-säkerhetsåtgärder och följa gällande dataskyddsbestämmelser för att förhindra dataintrång och upprätthålla kundernas förtroende.