Блог
Правила моніторингу банківських рахунків і можливості регтех в ОАЕ
Коротка відповідь
Правила моніторингу банківських рахунків британського Департаменту праці та пенсій (DWP) є британською політикою й не застосовуються в ОАЕ. Компанія ОАЕ, що отримує від банків дані про рахунки клієнтів, потребує Ліцензії на відкриті фінанси від Центрального банку ОАЕ (CBUAE) згідно з його Регламентом про відкриті фінанси, з явною згодою клієнта та мінімальним капіталом 1 000 000 AED. Постачальник програмного забезпечення, що працює за контрактом банку, є іншим випадком, і його становище залежить від того, що продукт робить з даними.
Вирішальне значення має межа між постачальником програмного забезпечення та провайдером доступу до даних. Компанія, яка постачає інструменти моніторингу або управління справами ліцензованому банку, перебуває в іншому становищі, ніж компанія, що отримує дані рахунків безпосередньо від клієнтів. Central Bank of the UAE (CBUAE) здійснює нагляд за банками та діяльністю у сфері відкритих фінансів, а UAE Data Office стежить за персональними даними відповідно до федерального закону про захист даних.
Згода це спільна нитка. Федеральний закон забороняє обробляти персональні дані без згоди їхнього власника, за обмеженими винятками для суспільного інтересу та певних правових процедур. Бізнес, побудований на «моніторингу», має вміти показати, звідки ця згода походить.
Що історія з Великої Британії говорить, а що не говорить засновнику в ОАЕ
Британська дискусія стосується державного відомства, яке хоче перевіряти банківські рахунки на предмет шахрайства та помилок у виплатах соціальної допомоги. Це державне повноваження, встановлене законодавством Великої Британії та застосовуване щодо певної групи отримувачів. Ніщо подібне не надає приватній компанії в ОАЕ права заглядати до чийогось рахунку.
Британська історія порушує для засновника питання проєктування: яку частину ланцюга моніторингу має контролювати моя компанія? Банки здійснюють моніторинг транзакцій, бо зобов'язані це робити. Компанія-розробник програмного забезпечення може створити інструментарій, який робить це дешевшим і точнішим. Вона не може позичити в банку його повноваження бачити ці дані.
Ця межа визначає регуляторний маршрут. За Положенням CBUAE про відкриті фінанси (C 03/2025) компанія, що отримує дані клієнтських рахунків через банківські інтерфейси, потребує ліцензії на відкриті фінанси, тоді як постачальник, що працює за договором із банком, це інший випадок. Інвестиційні презентації часто помиляються, описуючи продукт постачальника мовою регульованої функції.
Чотири бізнес-моделі, які схожі, але різні
Управління згодами та дозволами. Продукт фіксує, на що погодився клієнт, дає змогу відкликати згоду та веде аудиторський слід (audit trail). Він працює із записами про згоди, а не обов'язково з самими даними рахунків. Найближче він стоїть до правил захисту даних, оскільки головний обов'язок полягає в тому, щоб підтвердити чинність згоди.
Програмне забезпечення для моніторингу, яке продають установам. На практиці контролером даних (data controller) є банк, а постачальник працює за договором із ним. Питання доступу, зберігання, навчання моделей на даних клієнтів і повідомлення про інциденти вирішуються в договорі про надання послуг. Чи потрібен постачальнику якийсь дозвіл, залежить від того, що саме він робить, і це слід уточнювати у відповідного регулятора, а не припускати.
Аналітика відкритих фінансів. Тут компанія зчитує дані рахунків клієнтів через банківські інтерфейси з дозволу клієнта. Саме тут важлива рамкова система відкритих фінансів CBUAE, і саме ця модель найімовірніше потребуватиме власного дозволу. Периметр цього регулювання розглядається в окремому посібнику про маршрут провайдера відкритих фінансів.
Інструменти управління справами та регуляторної звітності. Вони допомагають службам комплаєнсу документувати рішення. Важливо одне: чи лише фіксує інструмент рішення, ухвалені людьми, чи починає ухвалювати їх сам.
Група може вести кілька таких напрямів під одним брендом, але договори будуть відрізнятися.
Згода, закон про дані та питання вільної зони
Федеральний закон про захист персональних даних застосовується до обробки, що здійснюється всередині ОАЕ або за їхніми межами, повністю чи частково електронними засобами, і встановлює вимоги до транскордонної передачі. UAE Data Office, пов'язаний із Кабінетом міністрів ОАЕ, готує роз'яснення та розглядає скарги. Власники даних можуть вимагати виправлення, а також обмежувати або припиняти обробку.
Для продукту моніторингу чи обробки даних із цього випливають три практичні моменти. Згода має бути достатньо конкретною, щоб охоплювати те, що програмне забезпечення фактично робить із даними. Відкликання згоди має працювати в самому продукті, а не лише в умовах. А потік даних, що залишає ОАЕ, наприклад до хмарного регіону або материнської компанії в офшорі, потребує задокументованої підстави. Ліцензований постачальник відкритих фінансових послуг стикається з суворішими умовами. Регламент CBUAE з відкритих фінансів вимагає окремої згоди для кожної мети, а відкликання має бути таким самим простим, як і надання згоди. Він також вимагає зберігати дані в ОАЕ, якщо CBUAE не схвалив зберігання за кордоном і клієнт не погодився на це письмово після того, як його поінформували, де саме й навіщо дані зберігатимуться.
Місце розташування додає ще один рівень. На сторінці про захист даних Уряду ОАЕ поряд із федеральним законом перелічено Закон DIFC про захист даних (DIFC Law No. 5 of 2020) та Закон Дубая про дані (Law No. 26 of 2015). Тому компанія у фінансовій вільній зоні (free zone) може підпадати під інший режим захисту даних, ніж компанія на мейнленді (mainland), а компанія, що обслуговує клієнтів в обох, може підпадати під обидва. Федеральна сторінка не пояснює, як вони взаємодіють, тому позицію для вашої власної структури слід підтвердити в адміністрації зони та відповідного регулятора, перш ніж ви визначитеся з місцем розташування.
Вибір між мейнлендом і вільною зоною для бізнесу з даними та комплаєнсом
Компанія на мейнленді (mainland) підходить бізнесу, який продає переважно банкам і корпораціям ОАЕ та не хоче територіальних обмежень щодо кола контрагентів. Компанія у вільній зоні (free zone) може добре підійти технологічному бізнесу з регіональною клієнтською базою за умови, що вид діяльності за ліцензією зони відповідає програмному забезпеченню та послугам з обробки даних, а договори укладаються з належною юридичною особою.
Для постачальника рішень у сфері регтех практичні критерії відрізняються від критеріїв торговельної компанії. Чи може ліцензія точно описувати розробку програмного забезпечення та обробку даних? Чи визнає закупівельна служба банку цю юридичну особу постачальником? Де працюватимуть співробітники і які резидентські візи для засновників підтримує це місце? Де фізично зберігатимуться дані?
Низька ціна заснування мало важить, якщо діяльність за ліцензією доведеться змінювати пізніше, бо продукт виявився пов'язаним із регульованими даними. Спершу визначте межу продукту, потім порівнюйте місця, у порядку, описаному в як працює Velarozone.
Про що запитає банк перед підписанням
Засновники часто сприймають банківське обслуговування як завдання після реєстрації компанії. У цій галузі це також процес продажів. Банк, що купує програмне забезпечення для моніторингу, або банк, що відкриває корпоративний рахунок вашої компанії, захоче побачити цілісну картину.
Очікуйте запитань про те, хто володіє компанією та хто контролює код, де зберігаються дані клієнтів і хто має до них доступ, як тестується модель і як опрацьовуються хибні спрацьовування, а також що відбувається після витоку даних. Щодо права власності: настанови CBUAE очікують, що банк ідентифікує та перевірить кожну фізичну особу, яка володіє компанією-клієнтом або контролює її на рівні 25% і більше. Якщо ніхто не досягає 25%, банк ідентифікує натомість вищого керівника. Банки також запитуватимуть, чи мають ваші працівники досвід у сфері комплаєнсу, оскільки продукт заслуговує на довіру лише настільки, наскільки заслуговує на неї команда за ним.
Автоматичні сповіщення викликають особливе занепокоєння. Якщо модель позначає рахунок, а аналітик просто приймає цю позначку, рішення фактично є автоматизованим. Регульовані клієнти віддають перевагу інструментам, що підтримують задокументоване рішення людини. Закласти це в робочий процес із самого початку дешевше, ніж дорозробляти його після запиту банку.
Маршрут для платформи RegTech KYC та AML значною мірою перетинається з моніторингом. Його покупцями є ті самі команди з комплаєнсу, тому застосовується та сама перевірка постачальників.
Коротко
Що потрібно взяти з цього
- Правила Великої Британії лише привід. Компанія в ОАЕ орієнтуватиметься на законодавство ОАЕ про дані та очікування CBUAE, а не на повноваження DWP.
- Перший структурний вибір: між постачальником програмного забезпечення та компанією, яка працює з даними рахунків клієнтів.
- Федеральний закон про захист даних робить згоду відправною точкою обробки персональних даних, а федеральним регулятором є UAE Data Office.
- Розташування у вільній зоні (free zone) може призвести до застосування окремого режиму захисту даних, наприклад закону про захист даних Dubai International Financial Centre (DIFC).
- Продаж банкам, як правило, означає проходження їхньої комплексної перевірки постачальників, яка оцінює безпеку та управління раніше за ціну.
- Продукт, який подають як спосіб обійти моніторинг, це не той бізнес, який банк або регулятор в ОАЕ захоче бачити поруч із собою.
- Чи може компанія в ОАЕ пропонувати моніторинг, на який клієнти дають згоду, якщо дані надходять із їхнього банку?
- Можливо, але це питання відкритих фінансів, а не питання програмного забезпечення. Компанія, яка отримує дані рахунків від банків за вказівкою клієнта, потребує ліцензії на відкриті фінанси від CBUAE, і сама лише згода не уповноважує на такий доступ. Згода має бути явною, конкретною щодо мети та такою, що її можна відкликати будь-коли. Дані, отримані таким чином, мають зберігатися в ОАЕ, якщо CBUAE і клієнт обидва не схвалили зберігання за кордоном.
- Чи потрібна нам ліцензія, якщо ми продаємо банкам лише програмне забезпечення?
- Це залежить від того, що робить програмне забезпечення. Інструмент, який працює в середовищі банку за його договором, це інший випадок, ніж сервіс, що отримує або переміщує дані клієнтів від власного імені. Запишіть, що продукт робить і чого не робить, і перевірте цей опис у відповідного регулятора, бо назва продукту нічого не вирішує.
- Який закон про дані застосовується, якщо ми у вільній зоні (free zone)?
- Значення можуть мати обидва рівні. Федеральний закон про захист персональних даних поширюється на обробку всередині ОАЕ та за їхніми межами, а фінансові вільні зони, як-от DIFC, мають власний закон про захист даних. Який із них регулює конкретну діяльність, залежить від того, де розташована компанія і кого вона обслуговує, тож звіртеся з адміністрацією зони.
- Чи можемо ми подавати продукт як спосіб для клієнтів уникнути моніторингу?
- Ні. Банки та регулятори сприймуть це як тривожний сигнал, і це підриває комплаєнс-аргументацію продукту. Переконлива позиція полягає в тому, що продукт допомагає клієнтам розуміти й контролювати, як використовуються їхні дані, у межах закону.
Джерела
Звідки це береться
Загальна інформація, взята з CBUAE Rulebook, зокрема з Retail Payment Services and Card Schemes Regulation (C 15/2021), та Постанови Кабінету Міністрів № (134) 2025 року в опублікованому вигляді; вона не є юридичною чи податковою консультацією. Правила й настанови змінюються, тому перед поданням перевірте чинний текст і власні вимоги кожної установи.