Blog
Regels voor monitoring van bankrekeningen en de RegTech-mogelijkheden in de VAE
Het korte antwoord
De regels van het Britse Department for Work and Pensions (DWP) voor het monitoren van bankrekeningen zijn Brits beleid en gelden niet in de UAE. Een UAE-bedrijf dat klantrekeninggegevens bij banken ophaalt, heeft een Open Finance Licence van de Central Bank of the UAE (CBUAE) nodig op grond van de Open Finance Regulation, met uitdrukkelijke toestemming van de klant en een minimumkapitaal van AED 1.000.000. Een softwareleverancier die onder het contract van een bank werkt, is een ander geval, en zijn positie hangt af van wat het product met de gegevens doet.
Het beslissende feit is de scheidslijn tussen een softwareleverancier en een aanbieder van toegang tot gegevens. Een bedrijf dat monitoring- of dossierbeheertools levert aan een bank met een licentie bevindt zich in een andere positie dan een bedrijf dat rekeninggegevens rechtstreeks bij klanten ophaalt. De Central Bank of the UAE (CBUAE) houdt toezicht op banken en open finance-activiteiten, en het UAE Data Office houdt toezicht op persoonsgegevens op grond van de federale wet inzake gegevensbescherming.
Toestemming is de rode draad. De federale wet verbiedt het verwerken van persoonsgegevens zonder toestemming van de eigenaar ervan, met beperkte uitzonderingen voor het algemeen belang en bepaalde juridische procedures. Een bedrijf dat op "monitoring" is gebouwd, moet kunnen aantonen waar die toestemming vandaan komt.
Wat het Britse verhaal een oprichter in de VAE wel en niet vertelt
Het Britse debat gaat over een overheidsdepartement dat bankrekeningen wil controleren op fraude en fouten bij sociale uitkeringen. Dat is een staatsbevoegdheid, vastgelegd in Britse wetgeving, die wordt uitgeoefend tegenover een specifieke groep uitkeringsgerechtigden. Niets vergelijkbaars geeft een particulier UAE-bedrijf het recht om in andermans rekening te kijken.
Het Britse verhaal werpt voor een oprichter een ontwerpvraag op: welk deel van de monitoringketen zou mijn bedrijf in handen hebben? Banken voeren transactiemonitoring uit omdat ze daartoe verplicht zijn. Een softwarebedrijf kan tooling bouwen die dat goedkoper en nauwkeuriger maakt. Het kan het gezag van de bank om de gegevens in te zien niet lenen.
Die scheidslijn bepaalt de regelgevende route. Onder de Open Finance Regulation van de CBUAE (C 03/2025) heeft een bedrijf dat klantrekeninggegevens via bankinterfaces ophaalt een Open Finance Licence nodig, terwijl een leverancier die onder het contract van een bank werkt een ander geval is. Pitchdecks gaan vaak mis doordat ze een leveranciersproduct beschrijven in de taal van een gereguleerde functie.
Vier bedrijfsmodellen die op elkaar lijken en het niet zijn
Beheer van toestemming en machtigingen. Het product legt vast waarmee een klant heeft ingestemd, stelt de klant in staat die in te trekken en houdt de audittrail bij. Het verwerkt toestemmingsregistraties, niet noodzakelijkerwijs de onderliggende rekeninggegevens. Het staat het dichtst bij de regels voor gegevensbescherming, omdat de kernplicht het aantonen van een geldige toestemming is.
Monitoringsoftware die aan instellingen wordt verkocht. De bank is in de praktijk de verwerkingsverantwoordelijke en de leverancier werkt onder haar contract. Vragen over toegang, bewaartermijnen, modeltraining op klantgegevens en incidentmelding worden geregeld in de dienstverleningsovereenkomst. Of voor de leverancier enige autorisatie nodig is, hangt af van precies wat deze doet, en dat is een punt om bij de betrokken toezichthouder te bevestigen, niet om aan te nemen.
Open finance-analyse. Hier leest het bedrijf met toestemming van de klant rekeninggegevens van klanten via bankinterfaces. Hier is het open finance-kader van CBUAE van belang, en het is het model dat het meest waarschijnlijk een eigen autorisatie nodig heeft. De aparte gids over de route voor aanbieders van open finance behandelt die afbakening.
Tools voor dossierbeheer en wettelijke rapportage. Deze helpen compliance-teams beslissingen te documenteren. Het detail dat ertoe doet, is of de tool alleen menselijke beslissingen vastlegt of ze zelf gaat nemen.
Een groep kan er meerdere van onder 茅茅n merk aanbieden, maar de contracten verschillen.
Toestemming, datawetgeving en de vraag rond de free zone
De federale wet inzake de bescherming van persoonsgegevens is van toepassing op verwerking die binnen of buiten de UAE geheel of gedeeltelijk met elektronische middelen plaatsvindt, en stelt eisen aan grensoverschrijdende doorgifte. Het UAE Data Office, verbonden aan het UAE Cabinet, schrijft de richtlijnen en behandelt klachten. Eigenaren van gegevens kunnen om correctie vragen en kunnen de verwerking beperken of stopzetten.
Voor een monitoring- of dataproduct volgen drie praktische punten. De toestemming moet specifiek genoeg zijn om te dekken wat de software daadwerkelijk met de gegevens doet. Intrekking moet in het product werken, niet alleen in de voorwaarden. En een gegevensstroom die de UAE verlaat, voor een cloudregio of een moedermaatschappij offshore, heeft een gedocumenteerde grondslag nodig. Een gelicentieerde open financieringsaanbieder kent strengere voorwaarden. De Open Finance Regulation van de CBUAE vereist voor elk doel een afzonderlijke toestemming, en intrekking moet even gemakkelijk zijn als het geven van toestemming. Ook moeten de gegevens in de UAE worden opgeslagen, tenzij de CBUAE opslag in het buitenland heeft goedgekeurd en de klant schriftelijk heeft ingestemd nadat hem is verteld waar de gegevens komen te staan en waarom.
Locatie voegt een laag toe. De gegevensbeschermingspagina van de UAE Government noemt naast de federale wet ook de DIFC Data Protection Law (DIFC Law No. 5 of 2020) en de Dubai Data Law (Law No. 26 of 2015). Een bedrijf binnen een financi毛le free zone kan daardoor onder een ander gegevensregime vallen dan een bedrijf op de mainland, en een bedrijf dat klanten in beide bedient, kan met beide te maken krijgen. De federale pagina legt niet uit hoe deze op elkaar inwerken, dus de positie voor uw eigen structuur moet worden bevestigd bij de zone-autoriteit en de betrokken toezichthouder voordat u zich aan een locatie verbindt.
Kiezen tussen mainland en een free zone voor een data- en compliancebedrijf
Een onderneming op de mainland past bij een bedrijf dat vooral verkoopt aan UAE-banken en grote bedrijven en geen territoriale beperking wil op met wie het contracteert. Een free-zone-bedrijf kan goed werken voor een technologiebedrijf met een regionaal klantenbestand, mits de licentieactiviteit van de zone aansluit bij software- en gegevensdiensten en de contracten met de juiste entiteit worden gesloten.
Voor een RegTech-aanbieder zijn de praktische toetsen anders dan voor een handelsbedrijf. Kan de licentie softwareontwikkeling en gegevensverwerking nauwkeurig omschrijven? Zal de inkoopafdeling van een bank de entiteit als leverancier accepteren? Waar komt het personeel te zitten, en welke verblijfsvisa's voor het oprichtersteam ondersteunt die locatie? Waar worden de gegevens fysiek gehost?
Een lage oprichtingsprijs doet er weinig toe als de activiteit op de licentie later moet worden gewijzigd omdat het product gereguleerde gegevens bleek te raken. Leg eerst de productgrens vast en vergelijk daarna locaties; dat is de volgorde die wordt beschreven in hoe Velarozone werkt.
Wat een bank vraagt voordat zij tekent
Oprichters beschouwen bankieren vaak als een taak na de oprichting. Voor deze sector is het ook het verkoopproces. Een bank die monitoringsoftware koopt, of een bank die een zakelijke rekening voor uw eigen onderneming opent, wil een samenhangend beeld zien.
Verwacht vragen over wie het bedrijf bezit en wie de code beheert, waar klantgegevens worden opgeslagen en wie erbij kan, hoe het model wordt getest en hoe valse positieven worden afgehandeld, en wat er na een datalek gebeurt. Wat het eigendom betreft, verwacht de CBUAE-richtlijn dat een bank elke persoon identificeert en verifieert die 25% of meer van een zakelijke klant bezit of controleert. Als niemand 25% haalt, identificeert zij in plaats daarvan de senior manager. Banken vragen ook of uw mensen compliance-ervaring hebben, omdat het product slechts zo geloofwaardig is als het team erachter.
Geautomatiseerde meldingen geven een specifieke zorg. Als een model een rekening markeert en een analist die markering zonder meer overneemt, is de beslissing feitelijk geautomatiseerd. Gereguleerde klanten geven de voorkeur aan hulpmiddelen die een gedocumenteerd menselijk oordeel ondersteunen. Dat vanaf het begin in de werkwijze inbouwen is goedkoper dan het achteraf toevoegen nadat een bank erom vraagt.
De RegTech KYC- en AML-platformroute overlapt sterk met monitoring. De kopers zijn dezelfde compliance-teams, dus dezelfde leveranciersdiligence is van toepassing.
Kort samengevat
Wat hiervan te leren
- De Britse regels zijn slechts de aanleiding. Een UAE-bedrijf zou ontwerpen voor de UAE-wetgeving inzake gegevens en de verwachtingen van de CBUAE, niet voor de bevoegdheden van de DWP.
- De eerste structurele keuze is die tussen softwareleverancier en een bedrijf dat met rekeninggegevens van klanten in aanraking komt.
- De federale wet inzake gegevensbescherming maakt toestemming het uitgangspunt voor de verwerking van persoonsgegevens, en het UAE Data Office is de federale toezichthouder.
- Een locatie in een free zone kan een afzonderlijk gegevensregime met zich meebrengen, zoals de wet inzake gegevensbescherming van het Dubai International Financial Centre (DIFC).
- Verkopen aan banken betekent doorgaans dat u hun due diligence van leveranciers moet doorstaan, waarbij beveiliging en governance v贸贸r de prijs worden getoetst.
- Een product dat wordt aangeprezen als manier om monitoring te omzeilen, is geen onderneming die een bank of toezichthouder in de UAE in zijn buurt wil hebben.
- Kan een UAE-bedrijf monitoring aanbieden waarvoor klanten toestemming geven, als de gegevens van hun bank afkomstig zijn?
- Mogelijk, maar dat is de open-finance-vraag, geen softwarevraag. Een bedrijf dat op instructie van een klant rekeninggegevens bij banken ophaalt, heeft een Open Finance Licence van de CBUAE nodig, en toestemming alleen geeft geen toegangsbevoegdheid. De toestemming moet uitdrukkelijk zijn, specifiek voor het doel en te allen tijde intrekbaar. Gegevens die op deze manier zijn verkregen, moeten in de UAE worden opgeslagen, tenzij de CBUAE en de klant beide opslag in het buitenland hebben goedgekeurd.
- Hebben wij een licentie nodig als wij alleen software aan banken verkopen?
- Dat hangt af van wat de software doet. Een hulpmiddel dat binnen de omgeving van de bank draait en onder haar contract werkt, is een ander geval dan een dienst die klantgegevens voor eigen rekening ontvangt of doorgeeft. Leg schriftelijk vast wat het product wel en niet doet, en laat die beschrijving controleren door de betrokken toezichthouder, want het etiket op het product bepaalt niets.
- Welke gegevenswet is van toepassing als wij in een free zone zijn gevestigd?
- Beide lagen kunnen van belang zijn. De federale wet inzake de bescherming van persoonsgegevens reikt tot verwerking binnen en buiten de UAE, en financi毛le free zones zoals DIFC hebben een eigen wet inzake gegevensbescherming. Welke wet voor een bepaalde activiteit geldt, hangt af van waar het bedrijf is gevestigd en wie het bedient; stem dit dus af met de autoriteit van de zone.
- Kunnen wij het product aanprijzen als een manier voor klanten om monitoring te vermijden?
- Nee. Banken en toezichthouders zullen dat als een waarschuwingssignaal opvatten, en het ondermijnt het compliancebetoog voor het product. Een geloofwaardig standpunt is dat het product klanten helpt te begrijpen en te beheersen hoe hun gegevens worden gebruikt, binnen de wet.
Bronnen
Waar dit vandaan komt
Algemene informatie op basis van het CBUAE Rulebook, waaronder de Retail Payment Services and Card Schemes Regulation (C 15/2021), en Cabinet Resolution No. (134) of 2025 zoals gepubliceerd; dit is geen juridisch of fiscaal advies. Regels en richtlijnen veranderen, dus controleer de actuele tekst en de eigen vereisten van elke instelling voordat u indient.