インドのフィンテック規制と決済ライセンス：RBIの最新ガイドライン対応
インドはデジタル決済の急速な普及を背景に、フィンテック市場が世界有数の規模へと急成長を遂げています。統合決済インターフェース（UPI）などの決済インフラがデジタル経済を牽引する一方で、インド準備銀行をはじめとする規制当局は、金融システムの安定性と消費者保護を確保するために規制を年々厳格化しています。インド市場への参入や事業拡大を目指す外資系企業にとって、決済アグリゲーターに関する厳格な決済ライセンスの取得要件や、データの国内保存義務、さらには最新のe-KYC（電子本人確認）による顧客確認の手順を正確に把握しておく必要があります。
本記事では、2025年の最新システム更新に伴うコンプライアンス要件やインド特有の規制環境について詳しく解説し、インドでビジネスを展開する上で不可欠な最新の法令情報を提供します。
この記事の目次
インドの決済アグリゲーターに関する規制と決済ライセンス要件
インドで決済サービスを提供する企業に対しては、インド準備銀行（RBI）が主導して厳格な規制の枠組みが築かれています。2025年9月15日にRBIは決済アグリゲーターの規制に関する包括的なマスターディレクションを発出しました。このマスターディレクションは、2020年および2021年に発行された旧来のオンライン決済に関するガイドラインや2023年のクロスボーダー決済に関する指令を統合したものです。決済アグリゲーターのビジネスモデルの実態に合わせ、決済アグリゲーターを明確に3つのカテゴリーに分類して規制対象としています。
| 決済アグリゲーターの分類 | 概要および規制対象となる業務内容 |
| PAオンライン（PA-O） | 電子商取引や非対面取引におけるデジタル決済を処理する決済アグリゲーター |
| PAクロスボーダー（PA-CB） | 電子商取引（e-commerce mode）を通じて行われる、外国為替管理法（FEMA）上禁止されていない経常勘定取引に係るクロスボーダー決済を処理する決済アグリゲーター（インワード取引を扱うPA-CBとアウトワード取引を扱うPA-CBの2区分） |
| PAフィジカル（PA-P） | POS端末などを用いて決済手段と受け入れデバイスが物理的に近接している対面決済を処理する決済アグリゲーター |
外資系企業のフィンテック参入における決済ライセンス取得の最大のハードルとなるのが資本要件です。RBIの規定によれば、PAライセンスの申請時点で最低1億5,000万ルピーの純資産を有している必要があります。さらに認可取得から3会計年度末までに最低2億5,000万ルピーの純資産を達成し、以降もその水準を継続的に維持することが義務付けられています。
日本の資金決済法と比較すると、資金移動業は第一種から第三種に分類され、取り扱う送金額や業務内容に応じて要件が異なりますが、インドの規制は決済の形態に基づく厳密なライセンス区分を行っている点に特徴があります。日本の資金移動業には法定の最低資本金額そのものが置かれておらず、資金決済法は「資金移動業を適正かつ確実に遂行するために必要と認められる財産的基礎」という定性的な要件（第40条第1項第3号）と、未達債務の額に連動する履行保証金の供託（第43条）によって利用者資金を保全する設計を採っています。これに対しインドのフィンテック規制は、決済アグリゲーターに申請時1億5,000万ルピー・3会計年度末までに2億5,000万ルピーという具体的な純資産額を課しており、スタートアップや外資系企業に対して初期段階から高い財務的健全性を要求する点で、市場参入の大きな障壁となっています。
新たなコンプライアンス要件として、銀行以外のすべての決済アグリゲーターはインド金融情報機関（FIU-IND）への登録が義務付けられており、2002年資金洗浄防止法（PMLA）に基づく報告義務を遵守しなければなりません。また、加盟店に対する継続的な取引モニタリングが義務化され、加盟店の事業プロファイルと矛盾する疑わしい取引を検知するシステムの構築が求められています。加盟店の資金を管理するエスクロー口座の運用についてもルールが設定されており、これらの事業者は加盟店から回収した資金をインドのスケジュール商業銀行に開設した専用のエスクロー口座で保持し、当該口座を認可された決済アグリゲーター業務以外に流用することは禁じられています。
インド準備銀行が求めるデータ国内保存義務とシステム更新の要件
インドのフィンテック規制において最も議論を呼び、かつ多国籍企業にとって技術的および法務的な負担となっているのが、決済システムデータの国内保存義務です。RBIは2018年4月6日に「決済システムデータの保存」に関するサーキュラーを発出し、すべての決済システム事業者に対して、決済システムに関連する全データをインド国内のシステムにのみ保存することを義務付けました。その後2019年6月に発表されたFAQにより、この規制の詳細な運用方針が明確化されています。
この規制が要求するデータの範囲は非常に広く、顧客の名前や携帯電話番号、メールアドレス、Aadhaar番号、PAN（永久アカウント番号）などの顧客データから、決済の送信元および宛先システム情報、タイムスタンプ、金額などのエンドツーエンドのトランザクション詳細のすべてが含まれます。
日本の個人情報保護法（APPI）と比較すると、留意すべき重要な違いがあります。日本では個人情報保護法が、外国にある第三者への個人データの提供について本人の同意取得や相当措置の継続的実施の確保を求めています（同法第28条）。もっとも同法も資金決済法も、決済データを物理的に日本国内のサーバーにのみ保存しなければならないという絶対的なデータローカライゼーション規制は設けていません。これに対し、インドの規制は完全なデータ主権の確立を目指した厳格なアプローチをとっています。
海外でのデータ処理自体が禁止されているわけではありません。RBIのFAQによれば、決済システム事業者が希望する場合、インド国外で決済トランザクションの処理を行うことは認められています。しかし、処理が完了した後、そのデータは処理から1営業日または24時間以内のいずれか早い方の期限までに国外のシステムから完全に消去され、インド国内に持ち帰って保存されなければならないという運用要件が課されています。国際的な決済ネットワークを運営する外資系企業にとっては、グローバルなシステムアーキテクチャの更新を余儀なくされる規定であり、コンプライアンス違反に対する罰則のリスクを常に考慮したシステム設計が求められます。
クロスボーダー決済のトランザクションデータは、海外部分と国内部分で構成されます。このうち国内部分のコピーを必要に応じて海外に保存することは例外的に認められていますが、それでも完全なデータセットはインド国内でアクセス可能でなければなりません。
インドにおけるデジタル貸付の厳格な規制とデフォルト損失保証
デジタル決済の急速な普及と並行して、インドではアプリを通じた小口融資などのデジタル貸付市場が急拡大しました。これに伴い、不適切な取り立てや透明性の欠如といった消費者問題が顕在化したため、RBIは2022年9月にデジタル貸付ガイドラインを発出し、その後も段階的に規制を強化してきました。現在は、これらを統合した2025年5月8日付の「デジタル貸付指令（Reserve Bank of India (Digital Lending) Directions, 2025）」が適用されています。
同指令における最も重要な規制事項の一つは、資金移動の透明性の確保です。貸付取引における資金の流れは、法令・規制上の要請に基づく実行、規制対象事業体（RE）間の共同貸付に係る資金移動、特定の使途に限定された実行といった例外を除き、借り手と貸し手（銀行やノンバンク等の規制対象事業体）の銀行口座間で直接実行されなければなりません。貸付サービス提供者（LSP）の口座を含め、第三者のパススルー口座やプール口座を経由させることは認められておらず、資金の流れを第三者が直接・間接に支配することも禁じられています。同指令は、貸付サービス提供者（LSP）の定義に付した注記において、純粋に決済アグリゲーター業務のみを提供する事業者を本指令の適用対象外としており、決済アグリゲーターの利用それ自体を禁じているわけではありません。ただし、決済アグリゲーターが同時にLSPの役割も担う場合には、同指令の規律に服することになります。
さらに、フィンテック企業が金融機関と提携して融資サービスを提供する際に用いられるデフォルト損失保証（DLG）についても、2023年6月8日付のガイドラインにより上限が設けられ、現在はその内容が2025年5月8日付のデジタル貸付指令第VI章（第18〜28項）に統合されています。DLGとは、借り手が債務不履行に陥った場合に、プラットフォームを提供するフィンテック企業が金融機関に対し、あらかじめ特定されたローンポートフォリオの一定割合を上限として債務不履行による損失を補償する契約上の仕組みです。RBIの規制により、DLGのカバー総額は、あらかじめ特定されたローンポートフォリオ（DLGセット）から実際に実行された融資額の5パーセントを超えてはならないと定められています。また、クレジットカードに関するDLGの提供は一切認められていません。
日本の貸金業法の下では、業として保証を行う保証業者が貸付けについて信用保証を行うスキームが制度上の前提とされ（同法第12条の8第6項）、銀行法も債務の保証を銀行の付随業務として明文で認めています（銀行法第10条第2項第1号）。いずれの法律にも、保証割合に関する一律のパーセンテージ上限を定める規定は置かれていません。しかし、インドではプラットフォーマーによる無秩序な信用補完を直接的に規制し、フィンテック企業が過度な信用リスクを負うことを防ぐことで、システミックリスクを抑制するという意図があります。
e-KYC要件とAadhaarを巡るインド最高裁判所の判例
インドにおけるフィンテックサービスの根幹を支えているのが、生体認証付き国民IDシステムであるAadhaarを利用した電子本人確認（e-KYC）です。UIDAI（インド固有識別番号庁）の公表値によれば、2026年6月末時点でAadhaarは累計約14億4,800万件が発行され、生存者ベースの推計でも約13億4,800万件、人口普及率は94.59パーセントに達しています。しかし、このAadhaarの利用に関しては重大な司法判断が下されており、外資系企業がインドでサービスを展開するにあたってKYCプロセスの設計に多大な影響を与えています。
争点となったのはAadhaarの強制的な利用が個人のプライバシー権を侵害するか否かという点でした。インド最高裁判所は2018年9月26日に画期的な判決を下しました（判例：Justice K.S. Puttaswamy (Retd.) and Anr. vs. Union of India and Ors., Writ Petition (Civil) No. 494 of 2012 ほか併合事件、5人法廷）。
この裁判で最高裁判所は、Aadhaar法そのものの合憲性は支持したうえで、Aadhaar法第57条のうち、民間企業（法人）や個人が契約に基づいてAadhaarによる認証を求めることを認めていた部分に限って違憲と宣言しました。同条の残りの部分についても、身元確認の目的は法律の裏付けを要するという限定を付す形で読み替えられています。なお第57条そのものは、その後2019年のAadhaar法等改正法（2019年法律第14号第25条、2019年7月25日施行）により削除されており、現行法に同条は存在しません。
最高裁判所は、プライバシーが憲法上の基本的権利であることを前提に、法律の裏付けの存在、正当な目的、手段の適合性、必要性、狭義の比例性からなる比例性審査を適用しました。そのうえで、契約に基づいて民間企業がAadhaarによる認証を求めることは、そもそも法律の裏付けを欠き、審査の第一の要件を満たさないため違憲であると結論付けました。
この判決を受けて、インド政府は2019年にAadhaar法および資金洗浄防止法（PMLA）を改正しました。改正法により、銀行や通信事業者などの特定の事業者は、顧客が自発的に同意した場合に限り、Aadhaarを使用したオフライン検証または認証をKYCの手段として利用できることが明確化されました。同時に、顧客がAadhaarの提供を拒否した場合でも、パスポートや運転免許証など他の公式に有効な文書（OVD）による身元確認という代替手段を必ず提供しなければならず、Aadhaarを提出しないことを理由にサービスを拒否することは禁止されました。
日本における犯罪による収益の移転防止に関する法律に基づくe-KYCでは、同法施行規則第6条第1項第1号が非対面での本人特定事項の確認方法を列挙しており、本人の容貌の画像とマイナンバーカード等のICチップ（半導体集積回路）に記録された情報の送信を受ける方法（同号ヘ）や、本人の容貌と運転免許証等の写真付き本人確認書類の画像の送信を受ける方法（同号ホ）が認められています。もっとも日本の制度は特定のIDの利用を前提とせず、複数の本人確認書類を並列に位置づけている点で、単一の中央集権的なIDを軸とするインドとは設計思想が異なります。インドでは、Aadhaarという生体認証データベースの存在が、プライバシー保護と民間利用の境界線についてデリケートな法規制を生み出しています。
RBIはこの状況に対応するため、KYCに関するマスターディレクションを改訂し、V-CIP（Video based Customer Identification Process）と呼ばれるビデオ通話を通じた顧客確認プロセスを導入しました。V-CIPは、対面での確認を行うことなくデジタル経由で安全に顧客をオンボーディングするための同意ベースの代替手段です。また、Aadhaarのワンタイムパスワードを用いた非対面でのe-KYCも認められていますが、この方法で開設された口座には、全預金口座の残高合計が10万ルピーを超えてはならない、一会計年度内の総入金額が20万ルピーを超えてはならないといった厳しい利用制限が課せられます。インドで顧客獲得を拡大するためには、こうしたAadhaarの自発的利用の原則と代替手段の用意、そしてV-CIPを活用した安全なインフラの構築など、コンプライアンス要件を満たしたシステム運用が欠かせません。
まとめ
インドにおけるフィンテックビジネスは、デジタル決済の急速な普及により大きな潜在市場を提供する一方で、RBIによる高度かつ厳格な規制環境を乗り越えなければならないという二面性を持っています。2025年の最新マスターディレクションが求める決済アグリゲーターへの多額の資本要件と、物理的決済やクロスボーダー決済といった決済ライセンス区分への対応は、新規参入の大きなハードルとなります。また、決済システムデータをインド国内にのみ保存することを求める国内保存義務、デジタル貸付におけるデフォルト損失保証の5パーセント上限規制、そして最高裁判決を受けた2019年改正に基づくAadhaarの自発的利用を前提とした適法なe-KYCおよびV-CIPの実装など、対応すべきコンプライアンス要件は多岐にわたります。
日本の法規制とは根幹の設計思想が異なる部分も多く、現地法令の最新動向を正確に把握し、システムのアーキテクチャレベルから法務的な要件を組み込むことが事業成功の鍵となります。規制当局は違反に対して事業停止を含む厳しい処分を辞さない姿勢を示しており、法令遵守は経営の最重要課題として位置付けられなければなりません。これらのインド独自の複雑な法規制を遵守するためには、現地の法令や実務に精通した専門家による法務サポートが不可欠です。
モノリス法律事務所は、ITおよびテクノロジー関連法務に特化した高度な専門性を有しており、インドの法律事務所との強力な提携ネットワークを通じて、現地法令や現地における手続きに迅速かつ確実に対応することができます。インド特有の複雑な法令解釈から、決済ライセンス取得に向けた戦略的なアドバイス、現地の商慣習を踏まえた契約書の作成、さらには最新の規制アップデートに適合したシステムのコンプライアンス検証に至るまで、インドでビジネスを展開する企業の皆様を包括的にサポートいたします。
モノリス法律事務所は、インド法務に関する調査および情報提供を目的として、現地法律事務所Quest IP Attorneysと非独占的な提携関係（Associate Firm / Correspondent Firm）にあります。
カテゴリー: IT・ベンチャーの企業法務
