قانون جدید CFPB برای داده‌های مالی شخصی: پایان «اسکرین اسکرپینگ» و آغاز بانکداری باز مبتنی بر API

برای بخش عمده‌ای از دو دهه، رونق فناوری مالی آمریکا بر اساس یک آسیب‌پذیری امنیتی آشکار بنا شده بود: مصرف‌کنندگان نام‌های کاربری و رمزهای عبور بانکی خود را در اختیار برنامه‌های شخص ثالث قرار می‌دادند. چه برای اتصال یک ابزار بودجه‌بندی، یک سرویس آماده‌سازی مالیات، یا یک پلتفرم پرداخت همتا به همتا، کاربران به طور معمول اعتبارنامه‌های اصلی خود را به جمع‌آوری‌کنندگان داده تسلیم می‌کردند. اکنون، یک اصلاح نظارتی گسترده توسط سازمان حمایت مالی مصرف‌کننده (CFPB) رسماً به آن دوران پایان می‌دهد و آن را با یک چارچوب امن و با مجوز مصرف‌کننده جایگزین می‌کند.[1][6]

راه‌حل تاریخی به عنوان «اسکرین اسکرپینگ» شناخته می‌شد—یک فرآیند خودکار که در آن یک سرویس شخص ثالث با استفاده از اعتبارنامه‌های واقعی مصرف‌کننده وارد حساب بانکی او می‌شد، در رابط کاربری طوری حرکت می‌کرد که گویی یک انسان است، و داده‌های تراکنش نمایش داده شده روی صفحه را کپی می‌کرد. در حالی که این روش موج اول نوآوری فین‌تک را ممکن ساخت، اما خطرات امنیتی عظیمی ایجاد کرد، منجر به قطعی‌های مکرر اتصال هنگام به‌روزرسانی وب‌سایت‌ها توسط بانک‌ها شد و کنترل اساسی مصرف‌کننده بر داده‌های برداشته شده را از بین برد.[2][6]

قانون حقوق داده‌های مالی شخصی CFPB، که بخش ۱۰۳۳ قانون داد-فرانک سال ۲۰۱۰ را اجرا می‌کند، اساساً این عمل را ممنوع می‌کند. در عوض، این قانون مؤسسات مالی را موظف می‌سازد که داده‌ها را از طریق رابط‌های برنامه‌نویسی کاربردی (API) امن ارائه دهند. یک API به عنوان یک پل دیجیتالی اختصاصی و استاندارد بین دو سیستم نرم‌افزاری عمل می‌کند و به آن‌ها اجازه می‌دهد تا قطعات خاصی از اطلاعات را بدون افشای اعتبارنامه‌های ورود کاربر مبادله کنند.[3][4]

مکانیک این انتقال API بر «توکن‌سازی» متکی است. تحت قانون جدید، هنگامی که یک مصرف‌کننده می‌خواهد حساب بانکی خود را به یک برنامه بودجه‌بندی متصل کند، به پورتال امن خود بانک هدایت می‌شود تا احراز هویت کند. سپس بانک یک توکن دیجیتال برای برنامه صادر می‌کند. این توکن فقط به داده‌های خاصی که مصرف‌کننده مجاز کرده است—مانند موجودی حساب جاری و سوابق تراکنش‌ها—اجازه دسترسی می‌دهد و مصرف‌کننده می‌تواند در هر زمان آن را لغو کند.[1][5]

فراتر از امنیت، این قانون برای شکستن آنچه اقتصاددانان «قفل شدن داده‌ها» می‌نامند، طراحی شده است. از نظر تاریخی، مصرف‌کنندگان تمایلی به تغییر به یک بانک جدید که نرخ بهره بالاتر یا کارمزد کمتری ارائه می‌دهد، نداشتند، زیرا این کار به معنای رها کردن سال‌ها سابقه تراکنش بود. با تضمین قانونی قابل حمل بودن داده‌ها، CFPB اطمینان می‌دهد که مصرف‌کنندگان می‌توانند سوابق مالی خود را به همان آسانی که یک شماره تلفن همراه را به یک اپراتور جدید منتقل می‌کنند، به یک رقیب ببرند.[3][6]

این قابل حمل بودن پیامدهای عمیقی برای دسترسی به اعتبار دارد. یک مصرف‌کننده با سابقه اعتباری سنتی ضعیف اکنون می‌تواند به راحتی به یک وام‌دهنده جدید اجازه دهد تا داده‌های جریان نقدی او—پرداخت‌های اجاره، قبوض آب و برق، و سپرده‌های درآمد ثابت—را برای تضمین وام مسکن یا وام خودرو تجزیه و تحلیل کند. از آنجا که داده‌ها از طریق APIهای استاندارد جریان می‌یابند، وام‌دهندگان می‌توانند این داده‌های اعتباری جایگزین را فوراً و به صورت امن دریافت و تأیید کنند.[2][6]

برای اطمینان از اینکه این اکوسیستم قابل دسترس باقی می‌ماند، قانون CFPB شامل یک الزام سختگیرانه مبنی بر «کارمزد صفر» است. مؤسسات مالی از دریافت هزینه از مصرف‌کنندگان یا برنامه‌های شخص ثالث برای ایجاد این اتصالات پایه API منع شده‌اند. این امر از استفاده بانک‌های قدیمی از کارمزدهای دسترسی به عنوان یک مانع رقابتی برای خفه کردن رقبای نوظهور فین‌تک جلوگیری می‌کند.[3][4]

این قانون همچنین محدودیت‌های شدیدی را در مورد نحوه استفاده اشخاص ثالث از داده‌هایی که جمع‌آوری می‌کنند، اعمال می‌کند. تحت چارچوب جدید، جمع‌آوری‌کنندگان داده و برنامه‌های فین‌تک محدود به استفاده انحصاری از داده‌های مصرف‌کننده برای محصول یا خدماتی هستند که مصرف‌کننده درخواست کرده است. آن‌ها صراحتاً از استفاده از آن داده‌ها برای اهداف ثانویه، مانند تبلیغات هدفمند یا فروش پروفایل‌ها به دلالان داده، بدون رضایت صریح و جداگانه منع شده‌اند.[1][3]

برای جلوگیری از «دسترسی زامبی»—جایی که یک برنامه سال‌ها پس از توقف استفاده مصرف‌کننده همچنان داده‌ها را دریافت می‌کند—CFPB محدودیت مجوز یک ساله را الزامی می‌کند. مصرف‌کنندگان باید هر ۱۲ ماه یکبار به طور فعال دسترسی را مجدداً تأیید کنند، و اطمینان حاصل شود که اشتراک‌گذاری داده‌ها یک انتخاب فعال و عمدی باقی می‌ماند، نه یک فرآیند پس‌زمینه فراموش شده.[3][4]

اجرای این قانون به صورت مرحله‌ای انجام می‌شود تا از شوک‌های سیستمی جلوگیری شود. بزرگترین مؤسسات مالی، آن‌هایی که بیش از ۵۰۰ میلیارد دلار دارایی دارند، موظف شدند ابتدا APIهای سازگار را مستقر کنند. بانک‌ها و اتحادیه‌های اعتباری با اندازه متوسط، مهلت‌های انطباق طولانی‌تری تا سال ۲۰۲۷ دریافت کرده‌اند، که نشان‌دهنده بار فنی مورد نیاز برای بازسازی سیستم‌های اصلی بانکداری قدیمی است.[1][4]

برای تسهیل این انتقال فنی گسترده، صنعت حول نهادهای استاندارد مانند تبادل داده‌های مالی (FDX) متحد شده است. FDX طرح‌های فنی برای این APIها را فراهم می‌کند و تضمین می‌کند که یک برنامه بودجه‌بندی مجبور نیست ۴۰۰۰ اتصال مختلف برای ۴۰۰۰ بانک مختلف بسازد، بلکه می‌تواند از یک زبان واحد و قابل تعامل برای درخواست داده استفاده کند.[5][6]

در سطح جهانی، این حرکت ایالات متحده را با استانداردهای بین‌المللی «بانکداری باز» همسو می‌کند. برای سال‌ها، ایالات متحده از حوزه‌های قضایی مانند بریتانیا و اتحادیه اروپا عقب بود، که بانکداری باز مبتنی بر API را از طریق دستورالعمل PSD2 در سال ۲۰۱۸ الزامی کردند. با این حال، رویکرد ایالات متحده، الزامات نظارتی را با استانداردهای فنی تحت رهبری صنعت ترکیب می‌کند.[2][6]

در حالی که مدافعان حقوق مصرف‌کننده به طور جهانی این قانون را ستوده‌اند، بانک‌های سنتی نگرانی‌هایی را در مورد مسئولیت‌پذیری مطرح کرده‌اند. اگر یک مصرف‌کننده به یک برنامه شخص ثالث اجازه دسترسی به داده‌های خود را بدهد و آن برنامه متعاقباً دچار نقض داده شود، بانک‌ها استدلال کرده‌اند که باید از پیامدهای نظارتی و اعتباری ناشی از آن مصون بمانند. قانون نهایی تلاش می‌کند با الزام اشخاص ثالث به رعایت استانداردهای سختگیرانه امنیت سایبری، این تعادل را برقرار کند.[1][6]

برای مصرف‌کننده عادی، این انتقال عمدتاً نامرئی اما بسیار تأثیرگذار خواهد بود. اصطکاک اتصال حساب‌ها کاهش می‌یابد، قابلیت اطمینان آن اتصالات بهبود می‌یابد و اضطراب ناشی از به اشتراک گذاشتن رمزهای عبور از بین می‌رود. مهم‌تر از آن، پویایی قدرت در بانکداری خرد در حال تغییر است.[2][6]

با تبدیل داده‌های مالی از یک دارایی اختصاصی که توسط بانک‌ها احتکار می‌شود به یک دارایی قابل حمل که متعلق به مصرف‌کننده است، CFPB در حال ایجاد زیرساختی برای یک سیستم مالی رقابتی‌تر، شفاف‌تر و امن‌تر است. دوران اشتراک‌گذاری داده با رویکرد «خریدار آگاه باشد» به پایان می‌رسد و با حق قانونی محافظت شده برای تحرک مالی جایگزین می‌شود.[3][6]