ब्लॉग
बैंक खाता निगरानी नियम और यूएई में रेगटेक का अवसर
संक्षेप में उत्तर
यूनाइटेड किंगडम के डिपार्टमेंट फ़ॉर वर्क एंड पेंशंस (DWP) के बैंक-खाता निगरानी नियम ब्रिटिश नीति हैं और UAE में लागू नहीं होते। जो UAE कंपनी बैंकों से ग्राहकों के खाते का डेटा प्राप्त करती है, उसे सेंट्रल बैंक ऑफ़ द UAE (CBUAE) से उसके ओपन फ़ाइनेंस विनियमन के अंतर्गत ओपन फ़ाइनेंस लाइसेंस लेना होगा, जिसके लिए ग्राहक की स्पष्ट सहमति और AED 1,000,000 की न्यूनतम पूँजी आवश्यक है। बैंक के अनुबंध के अंतर्गत काम करने वाला सॉफ़्टवेयर विक्रेता एक अलग स्थिति है, और उसकी स्थिति इस पर निर्भर करती है कि उत्पाद डेटा के साथ क्या करता है।
निर्णायक बात सॉफ़्टवेयर विक्रेता और डेटा-एक्सेस प्रदाता के बीच की रेखा है। जो कंपनी किसी लाइसेंस प्राप्त बैंक को निगरानी या केस-प्रबंधन टूल उपलब्ध कराती है, उसकी स्थिति उस कंपनी से अलग है जो खाता डेटा सीधे ग्राहकों से प्राप्त करती है। Central Bank of the UAE (CBUAE) बैंकों और ओपन-फ़ाइनेंस गतिविधियों की निगरानी करता है, और UAE Data Office संघीय डेटा संरक्षण कानून के तहत व्यक्तिगत डेटा की देखरेख करता है।
सहमति साझा सूत्र है। संघीय कानून डेटा के स्वामी की सहमति के बिना व्यक्तिगत डेटा के प्रसंस्करण को प्रतिबंधित करता है, केवल जनहित और कुछ कानूनी प्रक्रियाओं के लिए सीमित अपवादों के साथ। जिस व्यवसाय की बुनियाद "निगरानी" पर है, उसे यह दिखा पाना होगा कि वह सहमति कहाँ से आई।
यूके की कहानी यूएई के संस्थापक को क्या बताती है और क्या नहीं
ब्रिटेन की बहस एक सरकारी विभाग के बारे में है जो कल्याणकारी भुगतानों में धोखाधड़ी और त्रुटि की जाँच के लिए बैंक खातों को देखना चाहता है। यह एक राज्य की शक्ति है, जो यूके के कानून द्वारा निर्धारित है और दावेदारों के एक विशिष्ट समूह पर लागू होती है। इसके समकक्ष ऐसा कुछ नहीं है जो यूएई की किसी निजी कंपनी को किसी के भी खाते की जाँच करने का अधिकार दे।
यूनाइटेड किंगडम का यह प्रसंग संस्थापक के सामने एक डिज़ाइन-संबंधी प्रश्न रखता है: निगरानी की श्रृंखला का कौन-सा हिस्सा मेरी कंपनी के पास होगा? बैंक लेन-देन की निगरानी इसलिए करते हैं कि वे ऐसा करने के लिए बाध्य हैं। कोई सॉफ़्टवेयर कंपनी ऐसे टूल बना सकती है जो इसे सस्ता और अधिक सटीक बनाएँ। वह डेटा देखने का बैंक का अधिकार उधार नहीं ले सकती।
वही रेखा नियामकीय मार्ग तय करती है। CBUAE के ओपन फ़ाइनेंस विनियमन (C 03/2025) के अंतर्गत, जो कंपनी बैंक इंटरफ़ेस के ज़रिए ग्राहकों के खाते का डेटा प्राप्त करती है, उसे ओपन फ़ाइनेंस लाइसेंस चाहिए, जबकि बैंक के अनुबंध के अंतर्गत काम करने वाला विक्रेता एक अलग स्थिति है। पिच डेक अक्सर तब गड़बड़ा जाते हैं जब किसी विक्रेता के उत्पाद का वर्णन किसी विनियमित कार्य की भाषा में कर दिया जाता है।
चार व्यावसायिक मॉडल जो एक जैसे दिखते हैं पर हैं नहीं
सहमति और अनुमति प्रबंधन। उत्पाद दर्ज करता है कि ग्राहक ने किस बात पर सहमति दी थी, उसे वापस लेने की सुविधा देता है और ऑडिट ट्रेल (audit trail) बनाए रखता है। यह सहमति के रिकॉर्ड संभालता है, ज़रूरी नहीं कि अंतर्निहित खाता डेटा भी। यह डेटा संरक्षण नियमों के सबसे निकट आता है, क्योंकि केंद्रीय दायित्व वैध सहमति को प्रदर्शित करना है।
संस्थाओं को बेचा जाने वाला निगरानी सॉफ़्टवेयर। व्यवहार में बैंक डेटा नियंत्रक (data controller) होता है और विक्रेता उसके अनुबंध के अंतर्गत काम करता है। पहुँच, प्रतिधारण, ग्राहक डेटा पर मॉडल प्रशिक्षण और घटना रिपोर्टिंग के प्रश्न सेवा अनुबंध में तय किए जाते हैं। विक्रेता को किसी प्राधिकरण की आवश्यकता है या नहीं, यह इस पर निर्भर करता है कि वह ठीक-ठीक क्या करता है, और इसे संबंधित नियामक से पुष्ट किया जाना चाहिए, मान नहीं लेना चाहिए।
ओपन-फ़ाइनेंस विश्लेषण। यहाँ कंपनी ग्राहक की अनुमति से बैंक इंटरफ़ेस के माध्यम से ग्राहक का खाता डेटा पढ़ती है। यहीं CBUAE का ओपन-फ़ाइनेंस ढाँचा मायने रखता है, और यही वह मॉडल है जिसे अपने स्वयं के प्राधिकरण की सबसे अधिक संभावना से आवश्यकता होगी। ओपन फ़ाइनेंस प्रदाता मार्ग पर अलग मार्गदर्शिका उस दायरे को समझाती है।
केस प्रबंधन और नियामक रिपोर्टिंग टूल। ये अनुपालन टीमों को निर्णय दर्ज करने में मदद करते हैं। महत्वपूर्ण बात यह है कि टूल केवल मानवीय निर्णयों को दर्ज करता है या स्वयं निर्णय लेना शुरू कर देता है।
एक समूह एक ही ब्रांड के अंतर्गत इनमें से कई चला सकता है, लेकिन अनुबंध अलग-अलग होते हैं।
सहमति, डेटा कानून और फ्री ज़ोन का प्रश्न
संघीय व्यक्तिगत डेटा संरक्षण कानून यूएई के भीतर या बाहर, पूर्णतः या आंशिक रूप से इलेक्ट्रॉनिक साधनों से किए गए प्रसंस्करण पर लागू होता है, और सीमा-पार हस्तांतरण के लिए आवश्यकताएँ निर्धारित करता है। UAE Data Office, जो यूएई मंत्रिमंडल से संबद्ध है, मार्गदर्शन तैयार करता है और शिकायतों का निपटारा करता है। डेटा स्वामी सुधार की माँग कर सकते हैं और प्रसंस्करण को सीमित या बंद करा सकते हैं।
निगरानी या डेटा उत्पाद के लिए तीन व्यावहारिक बिंदु सामने आते हैं। सहमति इतनी विशिष्ट होनी चाहिए कि वह उस हर कार्य को कवर करे जो सॉफ़्टवेयर डेटा के साथ वास्तव में करता है। सहमति की वापसी उत्पाद में काम करनी चाहिए, केवल शर्तों में नहीं। और जो डेटा प्रवाह UAE से बाहर जाता है, चाहे वह क्लाउड क्षेत्र के लिए हो या ऑफ़शोर मूल कंपनी के लिए, उसका दस्तावेज़ी आधार होना चाहिए। लाइसेंस प्राप्त ओपन फ़ाइनेंस प्रदाता पर कड़ी शर्तें लागू होती हैं। CBUAE का ओपन फ़ाइनेंस विनियमन हर उद्देश्य के लिए अलग सहमति माँगता है, और सहमति वापस लेना उसे देने जितना ही आसान होना चाहिए। यह भी अपेक्षित है कि डेटा UAE में संग्रहीत हो, जब तक कि CBUAE ने विदेश में भंडारण को अनुमोदित न किया हो और ग्राहक ने यह बताए जाने के बाद कि डेटा कहाँ और क्यों रहेगा, लिखित रूप में सहमति न दी हो।
स्थान एक और परत जोड़ता है। UAE सरकार का डेटा संरक्षण पृष्ठ संघीय कानून के साथ DIFC डेटा संरक्षण कानून (DIFC Law No. 5 of 2020) और दुबई डेटा कानून (Law No. 26 of 2015) को भी सूचीबद्ध करता है। इसलिए किसी वित्तीय फ्री ज़ोन (free zone) के भीतर की कंपनी मेनलैंड (mainland) की कंपनी से भिन्न डेटा व्यवस्था के अधीन हो सकती है, और दोनों में ग्राहकों को सेवा देने वाली कंपनी पर दोनों लागू हो सकती हैं। संघीय पृष्ठ यह नहीं बताता कि ये आपस में कैसे काम करती हैं, इसलिए स्थान तय करने से पहले आपकी अपनी संरचना की स्थिति की पुष्टि ज़ोन प्राधिकरण और संबंधित नियामक से करा लेनी चाहिए।
डेटा और अनुपालन व्यवसाय के लिए मेनलैंड और फ्री ज़ोन में से चुनाव
मेनलैंड कंपनी (mainland) ऐसे व्यवसाय के लिए उपयुक्त है जो मुख्य रूप से यूएई के बैंकों और कॉर्पोरेट को बेचता है और जिनसे अनुबंध करे उन पर कोई क्षेत्रीय सीमा नहीं चाहता। फ्री ज़ोन (free zone) कंपनी क्षेत्रीय ग्राहक आधार वाले तकनीकी व्यवसाय के लिए अच्छी तरह काम कर सकती है, बशर्ते ज़ोन की लाइसेंस गतिविधि सॉफ़्टवेयर और डेटा सेवाओं से मेल खाती हो और अनुबंध सही इकाई के साथ हों।
रेगटेक (RegTech) विक्रेता के लिए व्यावहारिक कसौटियाँ किसी ट्रेडिंग कंपनी से अलग होती हैं। क्या लाइसेंस सॉफ़्टवेयर विकास और डेटा प्रसंस्करण का सटीक वर्णन कर सकता है? क्या बैंक की खरीद टीम इस इकाई को आपूर्तिकर्ता के रूप में स्वीकार करेगी? कर्मचारी कहाँ बैठेंगे, और वह स्थान संस्थापक टीम के लिए निवास वीज़ा में से क्या समर्थन करता है? डेटा भौतिक रूप से कहाँ होस्ट किया जाएगा?
कम गठन-मूल्य का बहुत महत्व नहीं रहता यदि लाइसेंस की गतिविधि में बाद में संशोधन करना पड़े क्योंकि उत्पाद विनियमित डेटा को छूने वाला निकला। पहले उत्पाद की सीमा तय करें, फिर स्थानों की तुलना करें; यही क्रम Velarozone कैसे काम करता है में बताया गया है।
हस्ताक्षर से पहले बैंक क्या पूछेगा
संस्थापक अक्सर बैंकिंग को कंपनी पंजीकरण के बाद का काम मानते हैं। इस क्षेत्र में यह बिक्री की प्रक्रिया भी है। निगरानी सॉफ़्टवेयर खरीदने वाला बैंक, या आपका अपना कॉर्पोरेट खाता खोलने वाला बैंक, एक सुसंगत तस्वीर देखना चाहेगा।
इन प्रश्नों की अपेक्षा रखें: कंपनी का स्वामी कौन है और कोड पर नियंत्रण किसका है, ग्राहक डेटा कहाँ संग्रहीत है और उस तक कौन पहुँच सकता है, मॉडल का परीक्षण कैसे होता है और झूठे अलर्ट कैसे संभाले जाते हैं, और उल्लंघन के बाद क्या होता है। स्वामित्व के विषय में, CBUAE का मार्गदर्शन अपेक्षा करता है कि बैंक किसी कंपनी ग्राहक के 25% या उससे अधिक के स्वामी या नियंत्रक हर व्यक्ति की पहचान करे और उसका सत्यापन करे। जहाँ कोई भी 25% तक नहीं पहुँचता, वहाँ वह उसके बजाय वरिष्ठ प्रबंधक की पहचान करता है। बैंक यह भी पूछेंगे कि क्या आपके लोगों के पास अनुपालन का अनुभव है, क्योंकि उत्पाद की विश्वसनीयता उतनी ही है जितनी उसके पीछे की टीम की।
स्वचालित अलर्ट एक विशिष्ट चिंता खड़ी करते हैं। यदि कोई मॉडल किसी खाते को चिह्नित करता है और विश्लेषक उस चिह्न को बस स्वीकार कर लेता है, तो निर्णय व्यावहारिक रूप से स्वचालित हो जाता है। विनियमित ग्राहक ऐसे टूल पसंद करते हैं जो प्रलेखित मानवीय निर्णय का समर्थन करें। इसे शुरू से कार्यप्रवाह में बनाना, बैंक के पूछने के बाद बदलाव करने से सस्ता पड़ता है।
RegTech KYC और AML प्लेटफ़ॉर्म का मार्ग निगरानी से काफ़ी हद तक मेल खाता है। इसके खरीदार वही अनुपालन टीमें हैं, इसलिए वही विक्रेता-जाँच लागू होती है।
संक्षेप में
इससे क्या लेना है
- यूके के नियम केवल प्रेरक हैं। यूएई की कोई कंपनी यूएई के डेटा कानून और CBUAE की अपेक्षाओं के अनुसार अपना ढाँचा बनाएगी, DWP की शक्तियों के अनुसार नहीं।
- पहला संरचनात्मक चुनाव सॉफ़्टवेयर विक्रेता और ग्राहक खाता डेटा को छूने वाली कंपनी के बीच है।
- संघीय डेटा संरक्षण कानून व्यक्तिगत डेटा के प्रसंस्करण के लिए सहमति को शुरुआती बिंदु बनाता है, और UAE Data Office संघीय नियामक है।
- फ्री ज़ोन (free zone) में स्थित होने से एक अलग डेटा व्यवस्था लागू हो सकती है, जैसे Dubai International Financial Centre (DIFC) का डेटा संरक्षण कानून।
- बैंकों को बेचने का आमतौर पर मतलब उनकी विक्रेता जाँच-पड़ताल (due diligence) से गुज़रना होता है, जो कीमत से पहले सुरक्षा और शासन को परखती है।
- जिस उत्पाद को निगरानी से बचने के तरीके के रूप में पेश किया जाए, वह ऐसा व्यवसाय नहीं है जिसे यूएई का कोई बैंक या नियामक अपने पास चाहेगा।
- यदि डेटा ग्राहकों के बैंक से आता है, तो क्या यूएई की कोई कंपनी ऐसी निगरानी की पेशकश कर सकती है जिसके लिए ग्राहक सहमति देते हैं?
- संभवतः, लेकिन वह ओपन फ़ाइनेंस का प्रश्न है, सॉफ़्टवेयर का नहीं। जो कंपनी ग्राहक के निर्देश पर बैंकों से खाते का डेटा प्राप्त करती है, उसे CBUAE से ओपन फ़ाइनेंस लाइसेंस चाहिए, और केवल सहमति पहुँच को अधिकृत नहीं करती। सहमति स्पष्ट, उद्देश्य-विशिष्ट और किसी भी समय वापस ली जा सकने योग्य होनी चाहिए। इस तरह प्राप्त डेटा UAE में ही संग्रहीत होना चाहिए, जब तक कि CBUAE और ग्राहक दोनों ने विदेश में भंडारण को अनुमोदित न किया हो।
- यदि हम केवल बैंकों को सॉफ़्टवेयर बेचते हैं, तो क्या हमें लाइसेंस की आवश्यकता है?
- यह इस पर निर्भर करता है कि सॉफ़्टवेयर क्या करता है। जो टूल बैंक के परिवेश के भीतर उसके अनुबंध के अंतर्गत काम करता है, वह उस सेवा से अलग मामला है जो ग्राहक डेटा को अपने खाते पर प्राप्त करती या भेजती है। लिख लें कि उत्पाद क्या करता है और क्या नहीं करता, और इस विवरण को संबंधित नियामक से जँचवा लें, क्योंकि उत्पाद पर लगा लेबल कुछ तय नहीं करता।
- यदि हम फ्री ज़ोन (free zone) में हैं तो कौन-सा डेटा कानून लागू होता है?
- दोनों परतें मायने रख सकती हैं। संघीय व्यक्तिगत डेटा संरक्षण कानून यूएई के भीतर और बाहर के प्रसंस्करण तक पहुँचता है, और DIFC जैसे वित्तीय फ्री ज़ोन का अपना डेटा संरक्षण कानून है। किसी गतिविधि पर इनमें से कौन-सा लागू होगा, यह इस पर निर्भर करता है कि कंपनी कहाँ है और किसे सेवा दे रही है, इसलिए ज़ोन प्राधिकरण से जाँच कर लें।
- क्या हम उत्पाद को ग्राहकों के लिए निगरानी से बचने के तरीके के रूप में पेश कर सकते हैं?
- नहीं। बैंक और नियामक इसे चेतावनी का संकेत मानेंगे, और इससे उत्पाद का अनुपालन संबंधी पक्ष कमज़ोर पड़ता है। एक विश्वसनीय रुख यह है कि उत्पाद ग्राहकों को यह समझने और नियंत्रित करने में मदद करता है कि उनके डेटा का उपयोग कैसे होता है, कानून की सीमा के भीतर।
स्रोत
यह कहां से आता है
CBUAE Rulebook से ली गई सामान्य जानकारी, जिसमें Retail Payment Services and Card Schemes Regulation (C 15/2021) और 2025 का मंत्रिमंडल प्रस्ताव संख्या (134) प्रकाशित रूप में शामिल हैं; यह कानूनी या कर सलाह नहीं है। नियम और मार्गदर्शन बदलते रहते हैं, इसलिए जमा करने से पहले वर्तमान पाठ और प्रत्येक संस्था की अपनी आवश्यकताओं की पुष्टि करें।