銀行や信用組合などのデータプロバイダーは、間もなく顧客データを共有するための構造化されたアプリケーションプログラミングインターフェイス (API) を備えることが義務付けられる可能性があります。一方、そのデータを受け取るフィンテックやプラットフォームは、同意とデータの使用に関する独自の基準を満たす必要があります。これらの要件により、アメリカにおける金融データの移動方法が再構築されます。また、業界がスクリーンスクレイピングから離れ、許可された監査可能なデータ接続へと移行することが推進されます。
以下では、第 1033 条の内容について説明します。また、オープンバンキングの規則がデータプロバイダーとサードパーティーの間でどのように義務を分割しているか、そしてその関係の双方のビジネスがコンプライアンスを遵守するために何をすべきかについても説明します。
主なポイント
第 1033 条により、スクリーンスクレイピングではなく、構造化された API ベースの接続を通じて、顧客自身の金融データにアクセスし、サードパーティーと共有する法的権利が顧客に与えられます。
最終規則に基づき、銀行、信用組合、フィンテック、データアグリゲーターのそれぞれに、データアクセスと同意に関する個別のコンプライアンス義務が課せられます。
ビジネスは、該当するコンプライアンスの期限のかなり前に、現在のデータ共有方法、同意の文言、およびベンダーとの関係を監査する必要があります。
CFPB の第 1033 条とは？
第 1033 条はドッド＝フランク法の一条項であり、顧客自身の金融口座データにアクセスし、自身が選択したサードパーティーとそれを共有する法的権利を顧客に与えるものです。連邦裁判所は、2025 年の第 1033 条の施行を停止する仮差し止め命令を下し、この規則は現在見直しが行われています。
第 1033 条はどのような消費者の金融データ権を確立しますか？
第 1033 条は、顧客自身の金融データのいくつかのカテゴリーにアクセスし、銀行独自のインターフェイスを経由することなく、そのデータをサードパーティーに直接送る権利を顧客に与えます。これらのカテゴリーのいくつかを以下に示します。
取引履歴と口座残高: 少なくとも 24 カ月前までさかのぼる入金、出金、支払い
利用規約 (T&Cs): 利率、手数料体系、与信枠など
アカウントの本人確認のための情報: 名前、メールアドレス、電話番号など、アカウントに関連付けられた基本情報
請求書の支払いと支払いの開始の詳細: 今後の支払いに関連する情報
顧客は通常、サードパーティー自体を通じてこのデータ共有を認可し、いつでもその認可を取り消すことができます。データプロバイダーは、取り消しを簡単に行えるようにする必要があります。
第 1033 条に基づく金融機関とサードパーティーの主な要件
第 1033 条を施行するオープンバンキングの規則では、データプロバイダーとサードパーティーに対して異なる義務が設定されています。しかし、どちらも、アドホックな回避策ではなく、制御され監査可能なチャネルを通じてデータを移動できるようにするという同じ目標に向かっています。
データプロバイダーに対して、規則は以下を義務付けています。
専用のインターフェイス: データプロバイダーは、2 つの個別のインターフェイス (顧客向け (例: バンキングポータル) と認可されたサードパーティーの開発者向け (例: API)) を構築および維持する必要があります。
手数料なし: データプロバイダーは、対象となるデータへのアクセスについて顧客やサードパーティーに料金を請求することはできません。
連絡先情報: データプロバイダーは、顧客やサードパーティーに対し、対象となるデータへのアクセスに関する問い合わせの連絡先を含む特定の情報を提供する必要があります。
認可されたサードパーティーの場合、義務は逆の方向で機能します。
明示的な同意: サードパーティーは、顧客から明確で具体的な同意を得る必要があります。
データ利用の制限: サードパーティーは、顧客が認可した目的にのみデータを使用できます。
期間の制限: 認可は 1 年後に期限切れとなり、その後は更新する必要があります。
第 1033 条はオープンバンキングの環境をどのように変えるか？
アメリカでは 10 年以上にわたりスクリーンスクレイピングに依存してきました。顧客が銀行のログイン認証情報をサードパーティーのアプリに渡し、そのアプリがログインしてアカウントのページから直接データを取得します。これは機能しますが、脆弱です。銀行のサイトが再設計されると機能しなくなり、セキュリティチームはそれを不審なログインアクティビティとしてフラグを付け、返されるデータはその日のウェブページにたまたま表示されていたものと同程度の価値しかありません。
代わりに、第 1033 条はこのモデル全体を API ベースのアクセスへと推進します。データプロバイダーは、規則で指定されたデータフィールドを返す構造化されたエンドポイントを公開し、サードパーティーが認証情報の共有への依存をやめ、許可された限定的な接続に依存し始めるようにする必要があります。取り消された API 権限は、スクレイピングされたログインセッションとは異なり、クリーンな切断となります。これは、サードパーティーが最初から実際のパスワードを持っていなかったためです。
API ベースのアクセスへの移行がデータアグリゲーターに意味するもの
金融データアグリゲーター (つまり、銀行と顧客が使用するフィンテックアプリの間にある企業) は、この変化を直接感じています。彼らのビジネスは銀行のサイト全体でのインフラストラクチャーのスクレイピングに基づいて構築されてきましたが、規則により標準化された API へと推進されるため、スクレイパーのメンテナンスが減ることになります。
これがフィンテックプラットフォームに意味するもの
アカウントの確認、ローンのリスク評価、または予算管理機能についてアグリゲーターに依存しているフィンテックプラットフォームは、自らが API レイヤーに触れなくてもこの移行を感じることになります。受け取るデータの信頼性と品質もそれに伴って変化するためです。多くの場合一貫性なく届いていたデータが、定義されたフィールドを持つ定義されたインターフェイスを通じて届くようになります。そのデータに基づいてリアルタイムの決定を行うプラットフォーム (ローンの承認、アカウントの審査のフラグ付けなど) にとって、この一貫性は背後にある法的要件と同じくらい必要です。
ビジネスは第 1033 条に備えて何をする必要がありますか？
インターフェイスを構築しているか、インターフェイスを通じてデータを消費しているかにかかわらず、データ共有関係の双方のビジネスは、現在未定である該当の期限までに具体的な作業を行う必要があります。
これらは実行する必要がある手順のいくつかです。
現在のデータ共有方法のマッピング: ビジネスが現在、スクリーンスクレイピング、認証情報の共有、または非公式な API アクセスを通じて、顧客の金融データを送信または受信しているすべての場所を特定します。これらの関係のうち、規則の範囲に該当するものにフラグを付けます。
同意の文言の確認: 認可リクエストでは、顧客が何に同意しているのかを正確に理解できるように、その目的を明確に述べる必要があります。つまり、「アカウントへのアクセスが必要です」といった一般的な文言は通用しません。
データ保持の慣行の監査: データの最小化要件は、ビジネスが顧客データをどのくらいの期間、なぜ保持するのかについての具体的な答えを必要とすることを意味します。
サードパーティーやベンダーとの関係の評価: ビジネスは、パートナーが受け取ったデータをどのように処理しているかを理解する必要があります。
該当するコンプライアンスの期日の確認: ビジネスは、現在の CFPB のガイダンスに照らして特定のスケジュールを検証する必要があります。期限は機関の規模によってずらされており、法的な課題のなかで変更されています。
第 1033 条のコンプライアンスをサポートするツール
ビジネスで API インフラストラクチャーや同意管理をゼロから構築する必要はありません。いくつかのツールのカテゴリーが、規則で義務付けられている大部分の要件をカバーしています。
許可ベースのデータアクセスツール: スクリーンスクレイピングではなく、API を通じて金融機関に直接接続します。これにより、顧客の認可を受けた接続の下で、構造化されたアカウントデータと取引データが返されます。
同意および認可管理システム: 顧客が、いつ、どのような目的で何に同意したかを追跡します。これは、わかりやすい言葉での開示と簡単な取り消しに関する規則の要件を考慮すると重要です。
本人確認ツール: データプロバイダーが、リクエストがなりすましではなく、認可されたサードパーティーからのものであることを確認するのに役立ちます。これは、アカウントへのアクセスが物理的な支店との関係から API コールに移行した際の現実的なリスクです。
適切な組み合わせは、ビジネスがデータ関係のどちら側に位置するか、また既存のインフラストラクチャーのどれだけが古い連携手法ではなく API を通じてすでに実行されているかによって異なります。アカウントの確認や銀行振込にすでに決済代行業者を利用しているビジネスは、手動でのドキュメントのアップロードやスクレイピングされたログインセッションにまだ依存しているビジネスに比べて、再構築の必要性が少ないと思われます。
Stripe Financial Connections でできること
Stripe Financial Connections は、顧客の銀行口座に安全に接続し、財務データを取得できる一連の API です。これにより、革新的な金融商品とサービスの構築が可能になります。
Financial Connections でできること:
アカウント登録を簡素化: 手動による本人確認や口座確認を必要としない、シームレスで即時の銀行口座確認プロセスを提供します。
豊富な財務データにアクセス: 取引残高、取引、アカウントの詳細など、顧客の銀行口座に関する包括的な情報を取得できます。
継続課金を自動化: 顧客が継続的な支払いのため銀行口座を安全にリンクできるようにし、決済成功率を向上させます。
リスクマネジメントを強化: 顧客の財務データを分析して、クレジット、融資、その他の金融商品について、より多くの情報に基づき意思決定を行えます。
規制に準拠: Financial Connections は、本人確認 (KYC) とマネーロンダリング防止 (AML) の要件を満たすのに役立ちます。
自信を持ってイノベーションを起こす: 安全で信頼できる Financial Connections インフラの上に、新しい金融商品やサービスを構築できます。
この記事の内容は、一般的な情報および教育のみを目的としており、法律上または税務上のアドバイスとして解釈されるべきではありません。Stripe は、記事内の情報の正確性、完全性、妥当性、または最新性を保証または請け合うものではありません。特定の状況については、管轄区域で活動する資格のある有能な弁護士または会計士に助言を求める必要があります。