Právní podpora fintechu v Evropě

Gregory Lutsenko

15.11.2025 | 6 minutové čtení

Aktualizováno: 16.10.2026

Jednotná „fintech licence“ v Evropě neexistuje: požadavky závisí na tom, co váš produkt skutečně dělá — zda převádí peníze, vydává elektronické peníze, poskytuje služby související s kryptoaktivy, nebo pouze zobrazuje údaje o účtech. Právní podpora fintechu proto začíná přesnou kvalifikací činnosti a dále zahrnuje získání povolení, compliance, smlouvy a vstup na další trhy.

COREDO od roku 2016 provází finanční a kryptoprojekty — od analýzy obchodního modelu až po přípravu dokumentů pro regulátora a AML podporu po spuštění.

Jak určit regulatorní režim pro fintech projekt

Regulátor hodnotí nikoli název produktu, ale služby, které klient získává. Slova „platforma“, „aplikace“ nebo „technologická společnost“ sama o sobě neodpovídají na otázku, zda je licence potřebná. Proto prvním krokem je podrobně popsat obchodní model: jaké operace se provádějí, čí peníze nebo aktiva společností procházejí a kdo jsou její klienti.

Pro hlavní oblasti fintechu v EU platí různé režimy:

Jedna společnost často spadá hned do několika režimů a hranice mezi nimi je třeba ověřit u každého produktu samostatně. Nařízení MiCA se například nevztahuje na kryptoaktiva, která se kvalifikují jako finanční nástroje: taková aktiva se posuzují podle příslušného režimu finančních služeb. MiCA se také nevztahuje na kryptoaktiva, která se kvalifikují jako vklady, a na řadu dalších kategorií.

I PSD2 má své výjimky: část služeb a operací je z její působnosti vyňata. Centrální banka Irska zdůrazňuje, že odpovědnost za správné uplatnění výjimky nese sama společnost a že v případě pochybností je třeba vyhledat právní poradenství. V Irsku je například u některých výjimek navíc třeba podat oznámení regulátorovi — konkrétně u výjimky pro omezenou síť při určitém objemu operací.

Platební služby a elektronické peníze: co platí nyní

Platební služby v EU dnes upravuje PSD2, transponovaná do národního práva každého státu. Směrnice samostatně vymezuje nové typy služeb: iniciování platby na pokyn klienta a poskytování souhrnných informací o jeho účtech u jedné nebo více bank. Centrální banka Irska například přijímá žádosti o povolení k činnosti platební instituce a instituce elektronických peněz, jakož i o registraci poskytovatele informací o účtech (AISP) a vydavatele elektronických peněz malého rozsahu.

Elektronické peníze jsou peněžní hodnota v elektronické podobě, která představuje pohledávku vůči vydavateli, je vydávána po přijetí peněžních prostředků za účelem provádění platebních transakcí a je přijímána i jinými osobami než samotným vydavatelem. Pokud váš produkt uchovává prostředky klientů, kterými lze platit třetím osobám, stojí za to ověřit, zda nevydáváte elektronické peníze. Ne každá peněženka znamená vydávání elektronických peněz, ale tuto otázku je třeba vyřešit před spuštěním.

Povolení podle PSD2 platí ve všech členských státech EU: platební instituce může poskytovat služby, k nimž má oprávnění, v jiných zemích na základě volného poskytování služeb nebo prostřednictvím pobočky. Národní režimy se však v detailech liší. V Irsku například neexistuje režim poskytovatele platebních služeb malého rozsahu a společnosti, které chtějí poskytovat platební služby, musí získat povolení k činnosti platební instituce. Zvolit režim a jurisdikci podle vašeho modelu pomáhá naše služba získání finančních licencí v EU.

Kryptoaktiva: povolení CASP podle MiCA

Nařízení MiCA stanoví obecné pravidlo: služby související s kryptoaktivy může v EU poskytovat pouze společnost s povolením poskytovatele těchto služeb (CASP), nebo určená finanční instituce, která splnila podmínky oznámení podle článku 60. Druhá cesta není dostupná každému. Je určena pro již regulované subjekty, například investiční podniky, a jen pro ty služby, které článek 60 umožňuje.

Přechodné období pro společnosti, které působily podle národních pravidel před 30. prosincem 2024, skončilo. Článek 143(3) MiCA jim umožňoval pokračovat v činnosti nejdéle do 1. července 2026, nebo do rozhodnutí o jejich žádosti, přičemž členské státy mohly tuto lhůtu zkrátit nebo ji vůbec nezavést. Společnost, která do konce přechodného období nezískala povolení CASP, musí přestat poskytovat služby, dokud povolení nezíská. Dřívější národní registrace VASP tedy dnes povolení podle MiCA nenahrazuje.

Co obsahuje žádost o povolení CASP

Žádost se podává příslušnému orgánu země registrace a její obsah podrobně vymezuje článek 62 MiCA. Patří do ní zejména:

• program činnosti: jaké služby bude společnost poskytovat, kde a jak je bude propagovat;
• popis systému správy a řízení, údaje o vedení a o osobách s kvalifikovanou účastí, potvrzení jejich dobré pověsti, a u vedení navíc i jejich kvalifikace;
• mechanismy vnitřní kontroly a řízení rizik, včetně rizik praní špinavých peněz a financování terorismu, a plán kontinuity podnikání;
• technickou dokumentaci systémů IKT a bezpečnostních opatření včetně jejich popisu pro neodborníky;
• postup oddělení kryptoaktiv a prostředků klientů a postup řešení stížností;
• politiky pro konkrétní služby — například politiku úschovy, pravidla obchodní platformy nebo politiku provádění pokynů;
• potvrzení obezřetnostních záruk podle článku 67.

Obezřetnostní požadavky na CASP se neomezují na jedinou částku základního kapitálu. Článek 67 požaduje trvale udržovat záruky alespoň ve výši vyšší z těchto dvou částek: minimálního kapitálového požadavku stanoveného pro daný druh služeb v příloze IV, nebo čtvrtiny fixních režijních nákladů za předchozí rok. Záruky lze vytvořit vlastními prostředky, pojistnou smlouvou nebo srovnatelnou zárukou, případně jejich kombinací.

Ještě jeden praktický aspekt: MiCA nepočítá s činností prostřednictvím agentů bez vlastního statusu. Pokud chce CASP přijímat a předávat pokyny klientů nebo poskytovat poradenství prostřednictvím třetí osoby, musí být tato osoba sama CASP.

Aby mohl CASP působit ve více zemích EU, zasílá orgánu své země seznam členských států, seznam služeb pro přeshraniční poskytování, datum zahájení jejich poskytování a seznam dalších činností mimo MiCA. Orgán tyto údaje předává kontaktním místům hostitelských států, jakož i ESMA a EBA. Přípravu žádosti, AML dokumentů a korespondenci s regulátorem přebíráme na sebe — je to součást naší služby získání kryptolicence (CASP).

DORA, GDPR a AML: povinnosti fintech společnosti po spuštění

DORA: digitální provozní odolnost

Nařízení DORA se uplatňuje od 17. ledna 2025. Harmonizuje požadavky na provozní odolnost pro 20 typů finančních institucí a vztahuje se i na poskytovatele služeb IKT. Pro společnost v působnosti DORA zahrnuje právní příprava:

• systém řízení rizik v oblasti IKT;
• postup řešení incidentů souvisejících s IKT a hlášení závažných incidentů orgánu dohledu;
• testování digitální provozní odolnosti;
• řízení rizik spojených s dodavateli služeb IKT a klíčové podmínky smluv s nimi.

Pro jednotlivé kategorie, například malé a neprovázané investiční podniky, stanoví článek 16 DORA zjednodušený systém řízení rizik v oblasti IKT. Nejde o výjimku z DORA: takové subjekty uplatňují mírnější, avšak stále povinnou verzi požadavků. Zda vaše společnost spadá do působnosti a v jakém rozsahu, se posuzuje v každém případě samostatně.

GDPR: údaje klientů

Zpracování osobních údajů při poskytování platebních služeb se řídí GDPR. Evropský sbor pro ochranu osobních údajů uvádí, že poskytovatel platebních služeb může být v závislosti na okolnostech správcem nebo zpracovatelem. Správcem je ten, kdo sám nebo společně s jinými určuje účely a prostředky zpracování, a role společnosti tedy závisí na konkrétních okolnostech zpracování.

Právní základ pro každý účel zpracování volí a odůvodňuje správce. Základ „plnění smlouvy“ je vhodný pouze pro zpracování, které je objektivně nezbytné pro konkrétní službu. Pokud je v jedné smlouvě spojeno několik samostatných služeb, nezbytnost se posuzuje u každé z nich samostatně. Poskytovatel informací o účtech musí například ve smlouvě přímo uvést, za jakými účely jsou údaje zpracovávány.

AML: současné povinnosti a nový balíček EU

V roce 2024 přijala EU nový balíček pravidel pro boj proti praní špinavých peněz: přímo použitelné nařízení pro soukromý sektor, směrnici o organizaci národních orgánů dohledu a nařízení o novém evropském orgánu AMLA. Podle sdělení Rady EU se nové nařízení začne uplatňovat tři roky po vstupu v platnost. Hlavní AML povinnosti společnosti proto nyní stanoví národní zákon země licence.

Například v Irsku musí platební instituce nebo instituce elektronických peněz mít systém AML/CFT kontroly odpovídající národnímu zákonu z roku 2010, a to již v okamžiku udělení povolení. Nový orgán AMLA nenahrazuje národní orgány dohledu ani finanční zpravodajské jednotky. Koordinuje jednotný systém dohledu a od roku 2028 začne přímo dohlížet především na vybrané finanční instituce s vysokým rizikem, které působí nejméně v šesti členských státech EU.

Vybudovat AML postupy od základu nebo předat výkon AML funkcí externímu týmu lze prostřednictvím naší služby AML podpora a outsourcing.

Jak se připravit na podání žádosti regulátorovi

Obsah žádosti závisí na druhu činnosti a na zemi, proto neexistuje jednotný kontrolní seznam pro celou EU. Dobrým oficiálním příkladem je dokument Centrální banky Irska, který budoucí platební instituce nebo instituce elektronických peněz vyplňuje před předběžnou schůzkou s regulátorem. V něm je třeba popsat:

1. obchodní model: regulovanou a neregulovanou činnost, klienty, trhy, prodejní kanály, prognózu počtu operací a plány využití evropského pasu;
2. finanční stabilitu: výkaz zisku a ztráty a rozvahu na první tři roky;
3. regulatorní kapitál: výši, zdroj a načasování vkladů, jakož i metodu výpočtu požadavků;
4. klíčová rizika a systém jejich řízení;
5. outsourcing, včetně přesunu funkcí uvnitř skupiny, a způsob kontroly nad předanými funkcemi;
6. ochranu prostředků klientů (safeguarding) a, pokud jsou stanoveni, bankovní partnery pro ni;
7. kontinuitu podnikání a postup ukončení činnosti;
8. složení představenstva, vedení, personální obsazení a strukturu vlastníků.

Jde o irský příklad, nikoli o jednotný standard pro celou EU, ale dobře ukazuje, co orgány dohledu očekávají. Centrální banka Irska zvlášť zdůrazňuje, že podrobně zkoumá politiky ochrany prostředků klientů, provozních a IT rizik, outsourcingu, kapitálu a úvěrového rizika. Dokumenty musí popisovat skutečný proces společnosti od začátku do konce, nikoli obecná tvrzení.

Smlouvy a vnitřní dokumenty fintech společnosti

Právní podpora fintechu nekončí podáním žádosti. Mnoho požadavků se naplňuje prostřednictvím smluv a vnitřních dokumentů, proto je vhodné je připravovat souběžně se žádostí:

• smlouvy s dodavateli služeb IKT — s klíčovými podmínkami, které DORA vyžaduje od subjektů ve své působnosti;
• smlouvy o outsourcingu a vnitroskupinových službách — se srozumitelným mechanismem kontroly nad předanými funkcemi;
• klientské podmínky a informace o zpracování osobních údajů — s jasnými účely zpracování a právními základy;
• postup řešení stížností, a u CASP také postup oddělení aktiv klientů: oba dokumenty jsou výslovně součástí žádosti podle MiCA.

Vstup na další trhy: evropský pas a Spojené království

Evropský pas umožňuje působit v jiných členských státech EU na základě jediného povolení, avšak pouze v rozsahu služeb, na které se povolení vztahuje, a podle stanoveného postupu. Pro CASP je to oznámení podle článku 65 MiCA, zatímco platební instituce působí v jiných zemích pouze se službami uvedenými v jejím povolení podle PSD2. Plány využití evropského pasu je vhodné zahrnout do obchodního modelu již od počátku: irský regulátor například žádá o jejich uvedení již ve fázi předběžné žádosti.

Spojené království je samostatný trh. Využívání evropského pasu mezi Spojeným královstvím a zeměmi EHP skončilo s koncem přechodného období po brexitu, 31. prosince 2020. Britský regulátor FCA doporučuje společnostem, které chtějí působit v EHP, dodržovat místní právní předpisy a v případě potřeby získat místní povolení. Britská povolení se proto posuzují samostatně od evropského pasu.

Jak COREDO provází fintech projekty v Evropě

S fintech společnostmi spolupracujeme na celé cestě — od prvního posouzení modelu až po compliance po získání licence:

1. Analýza a volba režimu. Studujeme obchodní model, určujeme typ licence a jurisdikci, projednáváme požadavky na kapitál, personál a infrastrukturu.
2. Příprava dokumentů. Připravujeme podnikatelský plán, AML/CFT postupy, organizační strukturu, finanční prognózy a dokumenty o zakladatelích a ředitelích, a pro EMI a platební instituce i popis produktu a IT architektury.
3. Podání a podpora při posuzování. Podáváme dokumenty regulátorovi, odpovídáme na jeho dotazy, provádíme opravy a doplnění.
4. Compliance po spuštění. Poskytujeme poradenství v oblasti AML, vypracováváme postupy nebo přebíráme výkon AML funkcí formou outsourcingu, přičemž konečná odpovědnost zůstává na společnosti.