بلاگ
بینک اکاؤنٹ نگرانی کے قواعد اور متحدہ عرب امارات میں ریگ ٹیک کا موقع
مختصر جواب
برطانیہ کے ڈیپارٹمنٹ فار ورک اینڈ پنشنز (DWP) کے بینک اکاؤنٹ کی نگرانی کے قواعد برطانوی پالیسی ہیں اور متحدہ عرب امارات میں لاگو نہیں ہوتے۔ متحدہ عرب امارات کی جو کمپنی بینکوں سے صارفین کے اکاؤنٹ کا ڈیٹا حاصل کرتی ہے اسے سینٹرل بینک آف دی یو اے ای (CBUAE) سے اوپن فنانس ریگولیشن کے تحت اوپن فنانس لائسنس (Open Finance Licence) درکار ہے، جس کے لیے صارف کی واضح رضامندی اور کم از کم 1,000,000 درہم سرمایہ لازمی ہے۔ بینک کے معاہدے کے تحت کام کرنے والا سافٹ ویئر فروش ایک مختلف صورت ہے، اور اس کی پوزیشن اس بات پر منحصر ہے کہ مصنوعہ ڈیٹا کے ساتھ کیا کرتا ہے۔
فیصلہ کن بات سافٹ ویئر فراہم کنندہ اور ڈیٹا رسائی فراہم کنندہ کے درمیان حدِ فاصل ہے۔ جو کمپنی لائسنس یافتہ بینک کو نگرانی یا کیس مینجمنٹ کے ٹولز فراہم کرتی ہے، اس کی حیثیت اس کمپنی سے مختلف ہے جو اکاؤنٹ ڈیٹا براہِ راست گاہکوں سے حاصل کرتی ہے۔ Central Bank of the UAE (CBUAE) بینکوں اور اوپن فنانس سرگرمیوں کی نگرانی کرتا ہے، جبکہ UAE Data Office وفاقی ڈیٹا تحفظ قانون کے تحت ذاتی ڈیٹا کی نگرانی کرتا ہے۔
رضامندی مشترکہ دھاگا ہے۔ وفاقی قانون ڈیٹا کے مالک کی رضامندی کے بغیر ذاتی ڈیٹا کی پروسیسنگ کو ممنوع قرار دیتا ہے، صرف مفادِ عامہ اور بعض قانونی طریقۂ کار کے لیے محدود استثنا کے ساتھ۔ جس کاروبار کی بنیاد «نگرانی» پر ہو، اسے یہ دکھانے کے قابل ہونا چاہیے کہ وہ رضامندی کہاں سے آئی۔
برطانوی کہانی متحدہ عرب امارات کے بانی کو کیا بتاتی ہے اور کیا نہیں
برطانوی بحث ایک سرکاری محکمے کے بارے میں ہے جو فلاحی ادائیگیوں میں دھوکہ دہی اور غلطی کی جانچ کے لیے بینک اکاؤنٹس دیکھنا چاہتا ہے۔ یہ ریاست کا اختیار ہے، جو برطانوی قانون سازی سے طے ہوتا ہے اور دعویداروں کے ایک مخصوص گروہ پر استعمال ہوتا ہے۔ اس کے مساوی ایسا کوئی اختیار نہیں جو متحدہ عرب امارات کی کسی نجی کمپنی کو کسی کے بھی اکاؤنٹ میں جھانکنے کا حق دے۔
برطانیہ کی مثال ایک بانی کے سامنے یہ ڈیزائن سوال رکھتی ہے: نگرانی کی زنجیر کا کون سا حصہ میری کمپنی کی ملکیت ہوگا؟ بینک ٹرانزیکشن مانیٹرنگ اس لیے چلاتے ہیں کہ وہ ایسا کرنے کے پابند ہیں۔ ایک سافٹ ویئر کمپنی ایسی ٹولنگ بنا سکتی ہے جو اس عمل کو سستا اور زیادہ درست بنائے۔ لیکن وہ ڈیٹا دیکھنے کے لیے بینک کا اختیار مستعار نہیں لے سکتی۔
یہی لکیر ریگولیٹری راستے کا تعین کرتی ہے۔ CBUAE کے اوپن فنانس ریگولیشن (C 03/2025) کے تحت، جو کمپنی بینک انٹرفیسز کے ذریعے صارف کا اکاؤنٹ ڈیٹا حاصل کرتی ہے اسے اوپن فنانس لائسنس درکار ہوتا ہے، جبکہ بینک کے معاہدے کے تحت کام کرنے والا وینڈر ایک مختلف صورت ہے۔ پچ ڈیکس میں اکثر غلطی اس وقت ہوتی ہے جب کسی وینڈر پروڈکٹ کو ریگولیٹڈ فنکشن کی زبان میں بیان کر دیا جاتا ہے۔
چار کاروباری ماڈل جو ایک جیسے لگتے ہیں مگر نہیں ہیں
رضامندی اور اجازت کا انتظام۔ پروڈکٹ ریکارڈ کرتی ہے کہ گاہک نے کس بات پر اتفاق کیا، اسے واپس لینے کی سہولت دیتی ہے اور آڈٹ ٹریل (audit trail) برقرار رکھتی ہے۔ یہ رضامندی کے ریکارڈ سنبھالتی ہے، ضروری نہیں کہ بنیادی اکاؤنٹ ڈیٹا بھی۔ یہ ڈیٹا تحفظ کے قواعد کے سب سے قریب ہے، کیونکہ مرکزی ذمہ داری درست رضامندی کو ثابت کرنا ہے۔
اداروں کو فروخت کیا جانے والا نگرانی کا سافٹ ویئر۔ عملی طور پر بینک ڈیٹا کنٹرولر (data controller) ہوتا ہے اور وینڈر اس کے معاہدے کے تحت کام کرتا ہے۔ رسائی، برقرار رکھنے، گاہکوں کے ڈیٹا پر ماڈل کی تربیت اور واقعات کی رپورٹنگ کے سوالات سروسز معاہدے میں طے کیے جاتے ہیں۔ وینڈر کو کسی اجازت کی ضرورت ہے یا نہیں، اس کا انحصار اس پر ہے کہ وہ عین کیا کرتا ہے، اور اسے متعلقہ ریگولیٹر سے تصدیق کرنا چاہیے، فرض نہیں کرنا چاہیے۔
اوپن فنانس تجزیات۔ یہاں کمپنی گاہک کی اجازت سے بینک انٹرفیس کے ذریعے گاہک کا اکاؤنٹ ڈیٹا پڑھتی ہے۔ یہیں CBUAE کا اوپن فنانس فریم ورک اہم ہوتا ہے، اور یہی وہ ماڈل ہے جسے اپنی علیحدہ اجازت کی سب سے زیادہ ضرورت پڑنے کا امکان ہے۔ اوپن فنانس فراہم کنندہ کے راستے پر الگ رہنما اس دائرے کا احاطہ کرتا ہے۔
کیس مینجمنٹ اور ریگولیٹری رپورٹنگ کے ٹولز۔ یہ تعمیل کی ٹیموں کو فیصلے دستاویزی بنانے میں مدد دیتے ہیں۔ اہم تفصیل یہ ہے کہ ٹول صرف انسانی فیصلوں کو ریکارڈ کرتا ہے یا خود فیصلے کرنا شروع کر دیتا ہے۔
ایک گروپ ان میں سے کئی ایک ہی برانڈ کے تحت چلا سکتا ہے، لیکن معاہدے مختلف ہوتے ہیں۔
رضامندی، ڈیٹا قانون اور فری زون کا سوال
وفاقی ذاتی ڈیٹا تحفظ قانون متحدہ عرب امارات کے اندر یا باہر، مکمل یا جزوی طور پر برقی ذرائع سے کی جانے والی پروسیسنگ پر لاگو ہوتا ہے، اور سرحد پار منتقلی کے لیے تقاضے مقرر کرتا ہے۔ UAE Data Office، جو متحدہ عرب امارات کی کابینہ سے منسلک ہے، رہنمائی تیار کرتا ہے اور شکایات نمٹاتا ہے۔ ڈیٹا کے مالکان درستی کا مطالبہ کر سکتے ہیں اور پروسیسنگ کو محدود یا بند کروا سکتے ہیں۔
مانیٹرنگ یا ڈیٹا پروڈکٹ کے لیے تین عملی نکات سامنے آتے ہیں۔ رضامندی اتنی مخصوص ہونی چاہیے کہ وہ سافٹ ویئر کے ڈیٹا کے ساتھ حقیقی طور پر کیے جانے والے عمل کا احاطہ کرے۔ رضامندی واپس لینے کا عمل پروڈکٹ کے اندر کام کرنا چاہیے، صرف شرائط میں نہیں۔ اور جو ڈیٹا فلو UAE سے باہر جاتا ہے، چاہے کلاؤڈ ریجن کے لیے ہو یا آف شور پیرنٹ کے لیے، اس کی دستاویزی بنیاد ہونی چاہیے۔ لائسنس یافتہ اوپن فنانس فراہم کنندہ کو زیادہ سخت شرائط کا سامنا ہوتا ہے۔ CBUAE کا اوپن فنانس ریگولیشن ہر مقصد کے لیے الگ رضامندی کا تقاضا کرتا ہے، اور رضامندی واپس لینا اسے دینے جتنا آسان ہونا چاہیے۔ یہ بھی لازم ہے کہ ڈیٹا UAE میں محفوظ کیا جائے، الا یہ کہ CBUAE نے بیرون ملک اسٹوریج کی منظوری دی ہو اور صارف نے یہ جاننے کے بعد تحریری رضامندی دی ہو کہ ڈیٹا کہاں اور کیوں رکھا جائے گا۔
مقام ایک اضافی تہہ شامل کرتا ہے۔ UAE حکومت کا ڈیٹا پروٹیکشن صفحہ وفاقی قانون کے ساتھ DIFC ڈیٹا پروٹیکشن لا (DIFC Law No. 5 of 2020) اور دبئی ڈیٹا لا (Law No. 26 of 2015) کو بھی درج کرتا ہے۔ اس لیے مالیاتی فری زون (free zone) کے اندر کی کمپنی مین لینڈ (mainland) کی کمپنی سے مختلف ڈیٹا نظام کے سامنے جوابدہ ہو سکتی ہے، اور دونوں جگہ کلائنٹس کو خدمات دینے والی کمپنی کو دونوں کا سامنا ہو سکتا ہے۔ وفاقی صفحہ یہ واضح نہیں کرتا کہ یہ نظام آپس میں کیسے تعامل کرتے ہیں، اس لیے آپ کے اپنے ڈھانچے کے لیے صورتحال کی تصدیق مقام طے کرنے سے پہلے متعلقہ زون اتھارٹی اور ریگولیٹر سے کر لینی چاہیے۔
ڈیٹا اور تعمیل کے کاروبار کے لیے مین لینڈ اور فری زون میں سے انتخاب
مین لینڈ کمپنی (mainland) ایسے کاروبار کے لیے موزوں ہے جو بنیادی طور پر متحدہ عرب امارات کے بینکوں اور کارپوریٹس کو فروخت کرتا ہو اور جن سے معاہدہ کرے ان پر کوئی علاقائی حد نہ چاہتا ہو۔ فری زون (free zone) کمپنی علاقائی گاہک بنیاد رکھنے والے ٹیکنالوجی کاروبار کے لیے اچھی ثابت ہو سکتی ہے، بشرطیکہ زون کی لائسنس شدہ سرگرمی سافٹ ویئر اور ڈیٹا خدمات سے مطابقت رکھتی ہو اور معاہدے درست ادارے کے ساتھ ہوں۔
ریگ ٹیک (RegTech) وینڈر کے لیے عملی کسوٹیاں کسی ٹریڈنگ کمپنی سے مختلف ہیں۔ کیا لائسنس سافٹ ویئر کی ترقی اور ڈیٹا پروسیسنگ کو درستی سے بیان کر سکتا ہے؟ کیا بینک کی خریداری ٹیم اس ادارے کو سپلائر کے طور پر قبول کرے گی؟ عملہ کہاں بیٹھے گا، اور وہ مقام بانی ٹیم کے لیے رہائشی ویزے میں سے کیا سہارا دیتا ہے؟ ڈیٹا طبعی طور پر کہاں ہوسٹ ہوگا؟
کم فارمیشن قیمت کی اہمیت بہت کم رہ جاتی ہے اگر بعد میں لائسنس کی سرگرمی میں ترمیم کرنی پڑے کیونکہ پروڈکٹ ریگولیٹڈ ڈیٹا کو چھونے والی نکلی۔ پہلے پروڈکٹ کی حد طے کریں، پھر مقامات کا موازنہ کریں، اور یہی ترتیب Velarozone کیسے کام کرتا ہے میں بیان کی گئی ہے۔
دستخط سے پہلے بینک کیا پوچھے گا
بانی اکثر بینکاری کو کمپنی کے قیام کے بعد کا کام سمجھتے ہیں۔ اس شعبے میں یہ فروخت کا عمل بھی ہے۔ نگرانی کا سافٹ ویئر خریدنے والا بینک، یا آپ کا اپنا کارپوریٹ اکاؤنٹ کھولنے والا بینک، ایک مربوط تصویر دیکھنا چاہے گا۔
توقع رکھیں کہ آپ سے یہ سوالات پوچھے جائیں گے: کمپنی کا مالک کون ہے اور کوڈ پر کس کا کنٹرول ہے، کسٹمر ڈیٹا کہاں محفوظ ہے اور اس تک کس کی رسائی ہے، ماڈل کی جانچ کیسے ہوتی ہے اور غلط الرٹس (false positives) کو کیسے سنبھالا جاتا ہے، اور خلاف ورزی (breach) کے بعد کیا ہوتا ہے۔ ملکیت کے بارے میں، CBUAE کی رہنمائی کے مطابق بینک سے توقع کی جاتی ہے کہ وہ کمپنی کلائنٹ کے ہر اس فرد کی شناخت کرے اور اس کی تصدیق کرے جو 25% یا اس سے زیادہ کا مالک ہو یا اسے کنٹرول کرتا ہو۔ جہاں کوئی بھی فرد 25% تک نہ پہنچے، وہاں بینک اس کے بجائے سینئر مینیجر کی شناخت کرتا ہے۔ بینک یہ بھی پوچھیں گے کہ کیا آپ کے لوگوں کو کمپلائنس کا تجربہ ہے، کیونکہ پروڈکٹ اتنی ہی معتبر ہوتی ہے جتنی اس کے پیچھے موجود ٹیم۔
خودکار الرٹس ایک مخصوص تشویش پیدا کرتے ہیں۔ اگر کوئی ماڈل کسی اکاؤنٹ کو نشان زد کرے اور تجزیہ کار اس نشان کو محض قبول کر لے، تو فیصلہ عملاً خودکار ہو جاتا ہے۔ ریگولیٹڈ گاہک ایسے ٹولز کو ترجیح دیتے ہیں جو دستاویزی انسانی فیصلے کی حمایت کریں۔ اسے شروع ہی سے ورک فلو میں شامل کرنا، بینک کے پوچھنے کے بعد اضافہ کرنے سے سستا پڑتا ہے۔
RegTech KYC اور AML پلیٹ فارم کا راستہ مانیٹرنگ سے بہت زیادہ ملتا جلتا ہے۔ اس کے خریدار وہی کمپلائنس ٹیمیں ہیں، اس لیے وینڈر کی وہی جانچ پڑتال یہاں بھی لاگو ہوتی ہے۔
خلاصہ میں
اس سے کیا سیکھنا ہے
- برطانوی قواعد صرف محرک ہیں۔ متحدہ عرب امارات کی کمپنی متحدہ عرب امارات کے ڈیٹا قانون اور CBUAE کی توقعات کے مطابق ڈیزائن کرے گی، DWP کے اختیارات کے مطابق نہیں۔
- پہلا ساختی انتخاب سافٹ ویئر وینڈر اور گاہک اکاؤنٹ ڈیٹا کو چھونے والی کمپنی کے درمیان ہے۔
- وفاقی ڈیٹا تحفظ قانون ذاتی ڈیٹا کی پروسیسنگ کے لیے رضامندی کو نقطۂ آغاز بناتا ہے، اور UAE Data Office وفاقی ریگولیٹر ہے۔
- فری زون (free zone) میں مقام ایک الگ ڈیٹا نظام لا سکتا ہے، جیسے Dubai International Financial Centre (DIFC) کا ڈیٹا تحفظ قانون۔
- بینکوں کو فروخت کرنے کا عموماً مطلب ان کی وینڈر ڈیو ڈیلیجنس سے گزرنا ہوتا ہے، جو قیمت سے پہلے سیکیورٹی اور گورننس کو پرکھتی ہے۔
- جس پروڈکٹ کو نگرانی سے بچنے کے طریقے کے طور پر پیش کیا جائے، وہ ایسا کاروبار نہیں جسے متحدہ عرب امارات کا کوئی بینک یا ریگولیٹر اپنے قریب چاہے گا۔
- اگر ڈیٹا گاہکوں کے بینک سے آتا ہے تو کیا متحدہ عرب امارات کی کوئی کمپنی ایسی نگرانی پیش کر سکتی ہے جس پر گاہک رضامندی دیں؟
- ممکن ہے، لیکن یہ اوپن فنانس کا سوال ہے، سافٹ ویئر کا نہیں۔ جو کمپنی کسی کسٹمر کی ہدایت پر بینکوں سے اکاؤنٹ ڈیٹا حاصل کرتی ہے، اسے CBUAE سے اوپن فنانس لائسنس (Open Finance Licence) درکار ہوتا ہے، اور محض رضامندی اس رسائی کو جائز نہیں بناتی۔ رضامندی واضح ہونی چاہیے، مقصد کے لیے مخصوص ہونی چاہیے اور کسی بھی وقت واپس لی جا سکنی چاہیے۔ اس طرح حاصل کیا گیا ڈیٹا UAE میں ہی محفوظ کیا جانا چاہیے، سوائے اس کے کہ CBUAE اور کسٹمر دونوں نے بیرونِ ملک اسٹوریج کی منظوری دی ہو۔
- اگر ہم صرف بینکوں کو سافٹ ویئر فروخت کرتے ہیں تو کیا ہمیں لائسنس کی ضرورت ہے؟
- یہ اس پر منحصر ہے کہ سافٹ ویئر کیا کرتا ہے۔ جو ٹول بینک کے ماحول کے اندر اس کے معاہدے کے تحت کام کرتا ہے وہ اس سروس سے مختلف معاملہ ہے جو گاہکوں کا ڈیٹا اپنے کھاتے میں وصول کرتی یا منتقل کرتی ہے۔ لکھ لیں کہ پروڈکٹ کیا کرتی ہے اور کیا نہیں کرتی، اور اس بیان کو متعلقہ ریگولیٹر سے جانچ لیں، کیونکہ پروڈکٹ پر لگا لیبل کچھ طے نہیں کرتا۔
- اگر ہم فری زون (free zone) میں ہیں تو کون سا ڈیٹا قانون لاگو ہوگا؟
- دونوں پرتیں اہم ہو سکتی ہیں۔ وفاقی ذاتی ڈیٹا تحفظ قانون متحدہ عرب امارات کے اندر اور باہر کی پروسیسنگ تک پہنچتا ہے، اور DIFC جیسے مالیاتی فری زونز کا اپنا ڈیٹا تحفظ قانون ہے۔ کسی سرگرمی پر ان میں سے کون سا لاگو ہوگا، اس کا انحصار اس پر ہے کہ کمپنی کہاں ہے اور کس کو خدمات دیتی ہے، اس لیے زون اتھارٹی سے پوچھ لیں۔
- کیا ہم پروڈکٹ کو گاہکوں کے لیے نگرانی سے بچنے کے طریقے کے طور پر پیش کر سکتے ہیں؟
- نہیں۔ بینک اور ریگولیٹرز اسے خطرے کی علامت سمجھیں گے، اور یہ پروڈکٹ کے تعمیلی مقدمے کو کمزور کرتا ہے۔ ایک قابلِ اعتبار موقف یہ ہے کہ پروڈکٹ گاہکوں کو یہ سمجھنے اور قابو میں رکھنے میں مدد دیتی ہے کہ ان کا ڈیٹا کیسے استعمال ہوتا ہے، قانون کے دائرے میں۔
ذرائع
یہ کہاں سے آیا ہے
CBUAE Rulebook سے لی گئی عمومی معلومات، جن میں Retail Payment Services and Card Schemes Regulation (C 15/2021) اور 2025 کا کابینہ کا قرارداد نمبر (134) شائع شدہ صورت میں شامل ہیں؛ یہ قانونی یا ٹیکس مشورہ نہیں ہے۔ قواعد اور رہنمائی بدلتی رہتی ہے، اس لیے جمع کرانے سے پہلے موجودہ متن اور ہر ادارے کی اپنی ضروریات کی تصدیق کریں۔