§ 21
Kontrolní a bezpečnostní opatření pro zpracování a evidenci informací
(1) K zavedení kontrolních a bezpečnostních opatření pro zpracování a evidenci informací souvisejících s poskytováním investičních služeb obchodník s cennými papíry
a) stanoví podmínky přístupu pracovníků k informačnímu systému pro zpracování a evidenci informací obchodníka s cennými papíry (dále jen "informační systém") a údajům v něm zaznamenaným, rozsah přístupových práv a proces jejich stanovení, včetně způsobu rozhodování o rozsahu přístupových práv jednotlivých pracovníků a rozhodování o jejich změnách,
b) stanoví podmínky, za kterých budou do informačního systému ukládána data a prováděny jejich dovolené změny, podmínky nakládání s těmito daty a zajištění snadné zjistitelnosti jejich původního obsahu a provedených změn,
c) zabezpečuje ochranu informačního systému před přístupem a zásahy ze strany neoprávněných osob a před poškozením,
d) je schopen rekonstruovat data v případě, že došlo k poškození dat nebo informačního systému,
e) zabezpečí zpřístupnění informací a záznamů České národní bance, včetně záloh podle písmene d) tak, aby z nich mohla snadným způsobem rekonstruovat všechny klíčové fáze zpracování každého obchodu a zjistit jejich původní obsah před opravami nebo změnami.
(2) V souvislosti s uchováváním záznamů komunikace se zákazníkem obchodník s cennými papíry dále
a) používá a provozuje zařízení pro komunikaci v souvislosti s poskytováním investičních služeb podle § 4 odst. 2 písm. a) až e) zákona v případě, že ke komunikaci se zákazníkem dochází prostředky komunikace na dálku,
1. prostřednictvím konkrétně určených zařízení pro komunikaci včetně konkrétně určené telefonní linky a adresy pro elektronickou komunikaci,
2. pořizuje a uchovává záznamy komunikace na zařízení pro komunikaci a uchovává je v původní podobě,
3. má možnost pořídit úplný a původní záznam komunikace a možnost pořízení výstupu z těchto zařízení,
b) v souvislosti s přijetím pokynu jinak než způsobem podle písmene a) zachytí písemně nebo jiným průkazným způsobem údaje podle písmene c),
c) zajistí, aby záznam podle písmene a) bodu 2 obsahoval alespoň
1. datum a čas komunikace,
2. identifikaci stran komunikace, pokud je dostupná, a
3. obsah komunikace,
d) zabezpečuje správu zařízení pro komunikaci podle písmene a) pouze určeným správcem,
e) zabezpečuje nezměnitelnost záznamu komunikace podle písmene a).