インド、デジタル融資の借り手データ保護に乗り出す

ここ10年ほどで、インドの消費者は購買力を向上させる手段としてデジタル融資の潜在力に気づきました。デジタル融資は、インドの業者にとって小売業の成長を促進する刺激剤として作用していますが、一方で、金融エコシステムの安定性を維持し、借り手の利益を保護するためには、つまるところ規制が必要であると見なされるようになりました。

第三者の無制限な関与、不適切な販売、データ・プライバシーの侵害、不公正な営業行為、法外な金利の請求、倫理に反する回収方法などの懸念に対処するため、2021年１月、インド準備銀行（以下、RBI）はデジタル融資に関する作業部会を設立し、オンライン・プラットフォームやアプリを通じた融資の枠組みを見直しました。

この作業部会は、金融サービスにおける革新を促進しつつ、成長する市場での秩序ある発展を確保するというバランスを取る方針で進められました。

2021年11月、作業部会による、デジタル融資エコシステムに関する規制についての勧告が提言されました。その後、RBIは業界関係者との広範な協議を経て、2022年８に実施計画と戦略を提示。続く2022年９月には「デジタル融資に関するガイドライン」として、インドでのデジタル融資の規制の枠組みを発表しました。

RBIがこの分野を規制するのは、作業部会によって特定された未規制のデジタル融資に関連する懸念を軽減し、デジタル融資エコシステムにおける国民からの信頼の低下を防ぐためです。

デジタル融資とは？

デジタル融資とはその名の通り、主に顧客の獲得、信用評価、融資の承認、資金の支払い、回収、関連する顧客サービス等を提供するため、主にシームレスなデジタル技術を活用して行われるリモートかつ自動化された融資プロセスのことです。

このエコシステムの中では、ローンやデジタル融資のサービスは、ユーザー・インターフェースを提供するスマートフォンやウェブ上でのアプリケーションによって、容易に利用できるようになっており、これを「デジタル融資アプリまたはプラットフォーム」（以下、融資アプリ）と呼んでいます。

RBIは、この仕組みで提供される融資サービスは、たとえその一部で顧客との直接的な接触がある場合でもデジタル融資の特性を損なうものではなく、デジタル融資と解釈すべきと明言しています。

エコシステムの参加者

RBIは上述のガイドラインを通じて、RBIがすでに規制している商業銀行やノンバンキング金融会社（以下、NBFC）――いずれも「規制対象機関」と呼ばれる――の活動に加え、これら規制対象機関と連携する未規制のフィンテック企業の活動も規制対象とします。

• 規制対象機関とは、借り手に対して融資や信用供与を行う機関のこと
• 未規制のフィンテック企業とは、このエコシステムに融資事業者の代理人として参加して、顧客獲得、引受サポート、価格設定サポート、サービス提供、モニタリング、回収など、融資事業者の機能の一つ以上を担う融資サービス提供プロバイダー（以下、LSP）のこと。LSPは規制対象機関のアウトソーシング・サービス提供者と見なされるため、規制対象機関がLSPを活用する場合、該当するRBIのアウトソーシング・ガイドラインを遵守しなければならない
• 借り手とは、規制対象機関がデジタル手段を通じて融資アプリ上で提供するローンやクレジットを利用する人のこと
• ガイドラインにより、RBIは、規制対象機関が融資アプリで提供するローンに関して、借り手の利益を保護することを意図している

デジタル融資のエコシステムでは、融資アプリは規制対象機関かLSPによって運営されます。

ガイドラインは規制対象機関とLSPに対して条件を課していますが、LSPに確実にガイドラインを遵守させる責任は規制対象機関にあります。通常、この遵守は契約上の取り決めを通じてなされるもので、規制対象機関が適切な義務を課すことになります。

ガイドラインの主なテーマ

このガイドラインは、LSPへの適切なデューデリジェンスや監督、手数料の透明性、信用供与に関して必要とされる開示など、規制対象機関に多くの要件を課すことで借り手を保護します。さらに、ガイドラインはデータセキュリティと借り手のデータや情報の保護に重点を置いています。

借り手データに焦点を当てる

このガイドラインは、借り手データに対して高いレベルの保護を提供しています。規制対象機関とLSPは、これらのデータをデジタル融資のルールの枠組みに沿いつつ、借り手の指示に従って取り扱う必要があります。

RBIは、規制対象機関が顧客の個人情報のデータ・プライバシーとセキュリティに責任を負うことを明言しています。借り手データの取り扱いに関するガイドラインの主要な条件は以下の通りです。

• 同意　ガイドラインは、貸付アプリが、関係する借り手の事前の明示的な同意に基づいて、必要に応じてのみ、借り手データの収集を義務付けられていると明言しています。借り手は、特定のデータの使用に同意するか拒否するかを選ぶ権利、第三者への開示を制限する権利、データの保存期間を決定する権利、同意を撤回する権利、データの削除を指示する権利を持っています。融資アプリのインターフェース上の各段階で、同意を得る目的が開示されなければなりません。コンプライアンスを証明するために、同意したことが確認できる監査記録を保持することが求められます。

これらの要件は、2023年公布のデジタル個人データ保護法を含む、インドで適用されるデータ保護法のもとで想定される個人データ処理の同意に基づく制度と概ね一致しています。

• 必要最小限のデータの取り扱い　LSPや融資アプリは、業務遂行に必要とされる名前、住所、連絡先など基本的な最小限のデータのみを保存することが認められています。借り手の個人情報を保存することはできません。
• データ共有　融資アプリを通じて第三者が借り手の個人データを収集する場合、その第三者の詳細を借り手に開示しなければなりません。いかなる第三者への個人データの共有も、借り手の事前の明示的な同意に基づいて行わなければなりません。
• スマートフォンの機能へのアクセス　ガイドラインは、融資アプリがファイルやメディア、連絡先リスト、通話履歴、通信機能など、スマートフォンの機能やデータにアクセスすることに一定の制限を課しています。融資アプリは、利用開始時の手続きと本人確認のためには、借り手の明示的な同意を得た上で、カメラ、マイク、位置情報などの機能に対して、一度だけアクセスできるように設定される必要があります。
• データ関連のポリシー　規制対象機関は、データの使用、保存、破棄、およびセキュリティ侵害への対応を規定するポリシーを策定する必要があります。これらのポリシーは融資アプリ上で開示されなければなりません。

ガイドラインから導かれるデータ関連の条件は、規制対象機関とLSP間の契約上の取り決めについて議論の的となる可能性があります。

インドのフィンテック企業は、既存顧客のために与信手段提供の仕組みを開設する際、規制対象機関と提携することが一般的な業界慣行となっています。商業的に見れば、契約上、フィンテック（LSP）は規制対象機関へ顧客を紹介する形になり、その結果、フィンテックの個々の顧客までが規制対象機関の顧客と見なされることになります。

このような状況では、LSPと解釈されるフィンテック企業が顧客データを保持したり保存したりすることに対して制限を課すことは、フィンテック企業にとって革新的な解決策を見つけ出さなければならないほど大きな障害となり得るでしょう。

また、信用サービスを提供するLSP事業と支払いサービス事業（例えば、決済代行業者やプリペイド決済手段の発行者）の両方を担うフィンテックのケースもあり得ます。

このようなケースでは、フィンテックは、融資データと支払いデータの両方を保存しアクセスすることができます。もし借り手がガイドラインで認められた権利に基づいてデータ削除を要求した場合、共有データ保管庫に個人のデータが保存されていれば、フィンテックは板挟みの状態になる可能性があります。

このような状況に対処するには、たとえ規制上の要件があったとしても、フィンテック企業は、融資データと支払いデータを分離し、混在しないようにすることが極めて重要になるでしょう。

これらのことから、規制対象機関とLSPは、借り手データの使用に関してなんらかの権利を主張できないことは明らかと思われます。借り手は、自らの同意を通じて規制対象機関とLSPがデータをどのように使用できるかを決定する権限を持っており、LSPにはさらに規制上の制約が課されることになります。

今後の展望

インドでは、ここ数年でデジタル融資が大きく成長しています。デジタル融資の仕組みを通じて発生する融資は、2028年までに全リテール融資の５%を占めると予測されています。

インドの信用システムを有利に運用するというRBIの使命を推進するため、RBIはガイドラインによって、金融の安定性をもたらし、借り手の利益を確実に保護するための枠組みを定めています。

信用と融資に適用される規制ガイドラインを遵守しない規制対象機関は、処分されることになります。一部の条件の特殊な性質を考えれば、RBIが積極的に構造や取り決めを精査し、コンプライアンスを監視する取り組みを強化することで、デジタル融資の分野は注目すべき領域となっていくでしょう。