Aturan perbankan terbuka membantu konsumen. Mengapa bank menentangnya?

Ketika Kongres memberlakukan reformasi keuangan setelah krisis keuangan tahun 2007, Kongres memberikan hak kepada konsumen untuk membagikan data keuangan mereka kepada pihak ketiga yang mereka pilih. Hak tersebut mendasari pertumbuhan dan evolusi pesat ekosistem berbagi data di AS yang mencakup bank-bank besar, agregator data, dan penerima data pihak ketiga — untuk mengantisipasi pembuatan peraturan yang diamanatkan oleh Kongres oleh CFPB — telah berkolaborasi untuk menjadikan ekosistem tersebut aman dan mudah diakses.

Namun dalam menantang biro baru-baru ini dikeluarkan hak data aturan melalui a Gugatan Institut Kebijakan Bank dan di pengadilan opini publikbank-bank besar secara efektif mencoba untuk menghilangkan hak-hak konsumen sambil mengklaim bertindak atas nama perlindungan konsumen.

Kami sudah sangat menantikan aturan biro tersebut. Mengingat fokus organisasi kami pada kesehatan finansial untuk semuakami telah lama menyadari kekuatan data yang memungkinkan konsumen mengelola kehidupan finansial mereka dengan lebih baik, dan kekuatan mandat berbagi data untuk mendorong persaingan yang lebih besar di pasar jasa keuangan. Oleh karena itu, pada tahun 2016, ketika bank dan agregator sedang berdebat mengenai screen-scraping, kami berkonsultasi dengan pakar industri dan mengeluarkan keputusan tersebut. seperangkat prinsip pertama untuk berbagi data keuangan konsumen dengan aman dan bertanggung jawab.

CFPB segera mengangkat masalah ini dan menerbitkannya prinsipnya sendiri pada tahun 2017, dengan tujuan eksplisit untuk “melindungi kepentingan konsumen” seiring dengan berkembangnya ekosistem data. Pada tahun 2020, di bawah pemerintahan Trump, biro tersebut memulai proses pembuatan peraturan formal dengan mencari masukan publik mengenai Pemberitahuan Awal tentang Usulan Pembuatan Peraturan.

Dalam umpan baliknya kepada biro, ungkap BPI bahwa pihaknya “mendukung upaya CFPB untuk memastikan konsumen tetap memiliki akses tersebut” dan mengatakan bahwa CFPB “memiliki peluang untuk meningkatkan perlindungan yang berlaku bagi pembagian data keuangan resmi konsumen, sehingga memungkinkan transparansi lebih lanjut mengenai data mereka bagi konsumen.” BPI mendesak CFPB untuk menghindari “kerangka kerja yang terlalu preskriptif untuk menerapkan Pasal 1033” karena kerangka tersebut “akan berdampak membatasi inovasi dan mencegah solusi terbaik yang ditentukan oleh para peserta dalam ekosistem ini.”

Aturan yang pada akhirnya diumumkan oleh CFPB mengikuti pendekatan ini, dengan mengartikulasikan prinsip-prinsip inti sekaligus mendorong pengembangan berkelanjutan dari apa yang disebut aturan tersebut sebagai “standar konsensus” yang dapat memandu lembaga keuangan dalam mengisi rinciannya. Namun, pada hari yang sama ketika CFPB menerbitkan aturan tersebut, BPI mengajukan a Keluhan 54 halaman Hal ini sangat menyentuh inti peraturan dengan mengklaim bahwa Pasal 1033 Undang-Undang Dodd-Frank tidak pernah dimaksudkan untuk memungkinkan konsumen mengarahkan bank mereka untuk membagikan data mereka kepada fintech atau pihak ketiga lainnya. BPI kini mengklaim CFPB tidak memiliki kewenangan untuk memaksa bank membagikan data konsumen.

Argumen BPI menyerang landasan hukum inti yang mendasari pembagian data dan bertentangan langsung dengan ketentuan Dodd-Frank bahwa perwakilan konsumen dapat mewakili konsumen dalam menggunakan hak-hak mereka. Jika posisinya menang, bank akan mengambil alih kendali data yang menjadi hak nasabahnya, sehingga bank harus menentukan bagian data konsumen mana yang akan diberikan oleh bank, kepada perwakilan nasabah yang mana, dan dalam kondisi apa.

Preferensi bank terhadap status quo dapat dimengerti, karena hal ini memungkinkan mereka mendapatkan perjanjian ganti rugi dan jaminan lainnya dari agregator dan penerima data pihak ketiga sebelum mengizinkan akses ke API bank. Status quo juga memungkinkan mereka untuk menyembunyikan informasi yang mungkin tidak ingin mereka bagikan, seperti kredensial pembayaran serta syarat dan ketentuan produk, yang mungkin memudahkan pesaing untuk memburu nasabah bank.

Dalam pengaduan hukum dan pernyataan publiknya, BPI menggambarkan ekosistem pasca-peraturan sebagai ekosistem yang sangat tidak aman bagi konsumen, sehingga bank harus menanggung kerugian akibat penipuan, pencurian, dan pelanggaran privasi terhadap nasabahnya akibat praktik keamanan data yang buruk dan tidak diatur. di agregator dan penerima data pihak ketiga, tanpa bantuan atau pengalihan tanggung jawab.

Namun peraturan tersebut mengatasi kekhawatiran ini. Hal ini mengharuskan pihak ketiga mana pun yang mencari akses ke data konsumen untuk menyatakan kepatuhannya terhadap standar keamanan informasi dan minimalisasi data. Sekalipun ada pihak ketiga yang melakukan sertifikasi, bank dapat menolak akses data jika bank mempunyai alasan untuk meyakini bahwa pihak ketiga tersebut gagal menjaga keamanan data yang memadai. Dan, aturan tersebut mengizinkan bank untuk mengandalkan standar industri dalam memberikan masukan terhadap penilaian tersebut.

Ini merupakan pendekatan peraturan yang ringan dan telah terbukti efektif di tempat lain dan BPI sendiri pernah memperjuangkannya. (Contohnya jaringan kartu kredit, yang mengharuskan pedagang yang menangani informasi pembayaran sensitif untuk mendapatkan sertifikasi bahwa mereka mematuhi praktik keamanan data tertentu.) Selain itu, peraturan tersebut menerapkan pembatasan yang jauh lebih ketat dibandingkan status quo mengenai berapa banyak data konsumen yang dapat diperoleh pihak ketiga, bagaimana cara mereka memperolehnya. dan berapa lama mereka dapat menggunakannya, dan sejauh mana mereka dapat membagikannya.

BPI juga mengecam aturan tersebut karena gagal melarang langsung pengikisan layar. Namun melakukan hal ini akan menghilangkan akses data di sebagian besar institusi yang belum menerapkan API berbagi data. Sebaliknya, aturan tersebut mengamanatkan penerapan API di antara lembaga-lembaga regional dan menengah yang mungkin tidak akan menerapkannya jika tidak, sehingga memberikan lebih banyak konsumen akses data yang aman, dan hal ini memberikan sinyal kuat bahwa screen-scraping akan menjadi praktik yang tidak adil jika data di pertanyaan tersedia melalui API. Sederhananya, akan ada lebih sedikit screen-scrapping jika aturan sudah diterapkan dibandingkan tanpa aturan tersebut.

Mungkin aspek yang paling membingungkan dari gugatan BPI adalah klaimnya bahwa ketergantungan peraturan tersebut pada badan penetapan standar industri merupakan “outsourcing” yang tidak tepat dalam pengawasan peraturan. Hanya beberapa minggu sebelum gugatan diajukan, Financial Data Exchange, sebuah upaya kolaboratif antara bank, agregator, dan pengguna data terbesar, telah mengajukan permohonan pengakuan oleh CFPB sebagai organisasi penetapan standar untuk melanjutkan pekerjaan yang telah dilakukannya. tahun untuk mengembangkan format data standar, spesifikasi dan protokol untuk berbagi data yang diizinkan konsumen.

Industri hampir secara universal lebih memilih pendekatan regulasi berbasis prinsip dibandingkan aturan yang sangat preskriptif. Dan dalam kasus ini, CFPB mendengarkan dengan jelas. Daripada berusaha “untuk membuang sistem (berbagi data) yang berkembang dan didorong oleh industri dan menggantinya dengan kerangka kerja yang rumit, mahal, dan pada dasarnya tidak aman,” biro tersebut telah mengamati dan belajar dengan cermat – dan aturan tersebut berupaya untuk dipertahankan, memperluas dan menambah konsistensi — berbagai sistem dan perlindungan yang telah dinegosiasikan oleh bank-bank terbesar dan agregator data.

Oleh karena itu, pimpinan biro yang ditunjuk oleh pemerintahan baru sebaiknya memandang argumen konsumeris palsu bank dengan skeptis. Sebaliknya, kami mendorong para pemimpin baru untuk menerapkan peraturan dan pendekatan berbasis prinsip. Hasil terburuknya adalah pengadilan atau direktur CFPB yang baru akan menerima setiap klaim yang dibuat dalam strategi hukum BPI yang “segalanya kecuali wastafel dapur”. Konsumen akan kehilangan hak yang diperoleh dengan susah payah dan sangat penting untuk meningkatkan kesehatan keuangan mereka.