KYC и проверка возраста могут включать похожие проверки, но отвечают на разные вопросы. Разберёмся, как платформе определить, что именно ей действительно необходимо проверять.
Пользователь загружает документ, удостоверяющий личность. Его имя подтверждено, дата рождения указана в документе, а проверка успешно завершена.
Означает ли это, что платформа выполнила KYC? Подтвердила возраст пользователя? Или только проверила его личность?
Эти вопросы кажутся похожими, но это не одно и то же.
Это различие важно, поскольку цифровым платформам всё чаще приходится определять, кто может создавать аккаунт, получать доступ к определённому контенту, продавать услуги, получать платежи или пользоваться функциями с возрастными ограничениями. Если считать любую проверку процедурой KYC, это может привести к ненужным проверкам. Если же считать проверку возраста полноценным подтверждением личности, возникает противоположная проблема.
Лучше начать с простого вопроса: что именно платформе необходимо установить о конкретном человеке?
KYC, или Know Your Customer («Знай своего клиента»), тесно связан с процедурой надлежащей проверки клиентов. Его задача — установить, кто является клиентом, а там, где применяется соответствующая нормативная база, помочь оценить риски, связанные с этим клиентом или деловыми отношениями с ним.
В рамках типичных требований к надлежащей проверке идентификация клиента и подтверждение его личности могут включать полное имя, дату рождения и адрес проживания. В зависимости от обстоятельств также может потребоваться понимание цели и предполагаемого характера деловых отношений, установление бенефициарных владельцев и применение дополнительных мер при повышенном риске.
Поэтому выбор платформы для KYC-проверки не должен сводиться к одному вопросу: «Может ли она проверить удостоверение личности?» Сначала платформе необходимо понять, какие проверки действительно требуются для её деятельности и зачем.
Не каждый сайт, маркетплейс, платформа для авторов или SaaS-сервис автоматически обязан проводить KYC только потому, что у него есть пользователи. Формальные обязательства по надлежащей проверке клиентов зависят от осуществляемой деятельности, применимой нормативной базы и характера деловых отношений.
Обеспечение достоверности возраста направлено на установление или оценку возраста пользователя либо на определение того, достиг ли он установленного возрастного порога. Проверка возраста является одним из подходов в рамках этого более широкого процесса.
Сервису может быть необходимо определить только то, является ли пользователь совершеннолетним, прежде чем предоставить ему доступ к определённому контенту или функциям. В таком случае необходимая информация может сводиться к одному вопросу: «Этому человеку уже исполнилось 18 лет?»
Это не обязательно означает, что сервису нужно знать полную личность человека.
Актуальные рекомендации по обеспечению достоверности возраста предусматривают несколько подходов, позволяющих определить, является пользователь взрослым или ребёнком. Среди них могут быть сервисы цифровой идентификации, оценка возраста по лицу, сопоставление с удостоверением личности с фотографией, проверки с использованием банковской карты, возрастные проверки через мобильного оператора и открытый банкинг. Простого указания пользователем даты рождения недостаточно в ситуациях, где требуется высокоэффективное обеспечение достоверности возраста.
Для продуктовых команд это принципиальное различие. Цель обеспечения достоверности возраста — получить необходимый результат, а не обязательно запросить у пользователя паспорт.
Представим, что платформа получает надёжный результат процедуры определения возраста:
«Пользователь старше 18 лет: да».
Этого результата может быть достаточно для функции с возрастным ограничением. Однако сам по себе он не обязательно сообщает платформе подтверждённое юридическое имя пользователя, его адрес проживания или другие идентификационные сведения.
Принципы защиты данных предполагают, что организации, использующие механизмы определения возраста, должны учитывать соразмерность и минимизацию данных. Платформе следует внимательно оценить, действительно ли ей необходимо устанавливать полную личность человека, если фактическая цель состоит только в подтверждении достижения определённого возраста.
Поэтому хорошо спроектированную платформу для проверки пользователей следует рассматривать в контексте конкретного вопроса, на который бизнесу необходимо получить ответ. Проверка не должна становиться поводом для сбора дополнительных персональных данных без определённой цели.
Обратное заблуждение встречается не реже.
Предположим, SaaS-платформа подтвердила подлинность документа и установила, что предъявивший его человек действительно является владельцем документа. Теперь у платформы могут быть убедительные доказательства личности этого человека.
Но это не означает автоматически, что она выполнила все элементы надлежащей проверки клиента, которые могут применяться в рамках регулируемых деловых отношений.
KYC может выходить за рамки подтверждения личности. В зависимости от применимых требований и уровня риска надлежащая проверка клиента может включать понимание цели деловых отношений, установление бенефициарных владельцев, постоянный мониторинг или усиленные проверки.
Таким образом, проверка личности может быть частью KYC, но эти понятия не являются синонимами.
Это различие особенно важно при рассмотрении проверки личности для SaaS-платформ. У программного сервиса могут быть законные основания проверять определённых пользователей для обеспечения целостности аккаунтов, предотвращения мошенничества, контроля доступа или достижения другой конкретной бизнес-цели, при этом такая проверка не становится автоматически регуляторной процедурой KYC.
Начните с самого сервиса.
Зависит ли доступ к определённому контенту, функциям или взаимодействиям от достижения пользователем определённого возраста? Подпадает ли сервис под правила, требующие эффективного способа отличать взрослых от детей? Необходимо ли платформе предоставлять разные возможности или меры защиты для различных возрастных групп?
Если основной вопрос заключается в том, достиг ли пользователь определённого возрастного порога, речь идёт об обеспечении достоверности возраста.
Необходимый метод по-прежнему зависит от контекста. Сервис с низким уровнем риска и сервис, предоставляющий доступ к контенту с возрастными ограничениями, не обязательно требуют одинаковой степени уверенности.
Для сервисов, на которые распространяются обязанности по обеспечению онлайн-безопасности в отношении определённых видов вредоносного или порнографического контента, высокоэффективная система определения возраста должна правильно устанавливать, является пользователь взрослым или ребёнком. Регуляторные рекомендации оценивают такие подходы по критериям, включающим техническую точность, устойчивость, надёжность и справедливость.
Это существенно отличается от размещения на странице регистрации флажка «Мне уже исполнилось 18 лет».
Первый вопрос — подпадает ли бизнес или конкретная деятельность под нормативную базу, требующую надлежащей проверки клиентов.
Если такие обязательства применяются, идентификация клиента и подтверждение его личности становятся частью более широкого процесса. Необходимые проверки могут различаться в зависимости от клиента, операции, деловых отношений и уровня риска.
Цифровая проверка также может играть определённую роль. Регулируемые организации могут, при соблюдении соответствующих требований, использовать отвечающие установленным условиям сервисы цифровой проверки личности в рамках надлежащей проверки клиентов. Использование такого сервиса не заменяет более широкие обязательства по надлежащей проверке, которые могут применяться.
Платформе не следует исходить из предположения, что каждый пользователь должен проходить KYC. Продавец на маркетплейсе, подписчик, который читает контент, и клиент, вступающий в регулируемые финансовые отношения, могут требовать совершенно разных подходов к проверке.
В некоторых случаях эти требования пересекаются.
Представим платформу, которая предоставляет функции с возрастными ограничениями и одновременно осуществляет регулируемую деятельность, к которой применяются требования надлежащей проверки клиентов. В таком случае один и тот же путь пользователя может включать требование по подтверждению возраста и отдельное требование KYC или надлежащей проверки клиента.
Платформе может потребоваться ответить на два отдельных вопроса:
Информация, полученная в ходе одного процесса, иногда может использоваться и в другом. Очевидный пример — проверенный документ, удостоверяющий личность и содержащий дату рождения. Но совпадение части доказательств не означает, что цели двух процессов одинаковы.
Это различие важно при проектировании процесса проверки. Вместо того чтобы запрашивать у каждого пользователя максимально возможный объём информации, платформа может определить, что именно необходимо установить на каждом этапе, и выбрать соразмерный метод.
Перед выбором технологии или добавлением ещё одного этапа регистрации продуктовым и комплаенс-командам стоит задать четыре практических вопроса:
Ответы на эти вопросы до выбора метода проверки помогают избежать распространённой ошибки: сначала создать максимально вмешивающийся в частную жизнь процесс, а уже потом решать, для чего он нужен.
KYC, проверка личности и проверка возраста могут использоваться рядом друг с другом в одном процессе регистрации. Они даже могут опираться на одни и те же доказательства. Но это не делает их взаимозаменяемыми.
Платформе может понадобиться один из этих процессов, несколько из них или разные проверки для разных групп пользователей.
Разумный исходный вопрос — не «Как много мы можем проверить?»
А «Что нам необходимо знать, зачем нам это знать и какой способ установить это будет соразмерным?»