2021年8月20日，经第十三届全国人大常委会第三十次会议审议后，《中华人民共和国个人信息保护法》（以下简称“《个保法》”）获得通过并公布，并将于2021年11月1日起生效实施。这是中国第一部专门规范个人信息保护的法律，对我国公民的个人信息权益保护以及各组织的数据隐私合规实践都将产生直接和深远的影响。

为何支付行业需要重点关注《个保法》？

支付业务属性决定其必须处理大量用户个人信息甚至敏感信息。因此《个保法》对于支付行业的影响范围主要会涵盖以下几方面：商业银行等金融机构、第三方支付机构等非金融机构、支付及安全技术服务机构等此类涉及到交易数据处理的机构。以上各类机构及公司需要严格按照《个保法》中关于个人信息处理及敏感个人信息处理的要求检查相应业务及系统流程，确保相关数据信息的获取、处理、存储和应用等符合监管法规的要求。

例如支付清算机构为银行业金融机构、第三方支付机构提供转接清算服务，需处理包括身份证号、短信验证码、银行账号等身份认证信息，付款金额等交易信息以及自然人商户信息等。从某种程度上说，清算业务本身就是对个人信息的处理业务。此外，支付清算机构还需要按照人民银行相关监管要求，在履行包括风险监控、交易信息分析等职责时，同样涉及到处理大量个人信息需要按照《个保法》中相关规定进行合规处理。

实际支付业务中所涉及个人信息及敏感个人信息

支付业务中由于风险管控的需要，通常面临尽职调查、反欺诈、反洗钱等问题，需要收集大量交易方的个人信息，以实现对用户、用户设备的身份识别和认证。此类业务中涉及到的个人信息包括但并不限于如下内容：

• 客户尽职调查：客户身份认证以及实益所有权识别 、制裁名单筛查、负面信息、CDD 陈述 vs. 实际业务活动、交易监控、交易警报、调查案件、可疑交易报告等。
• 反欺诈：设备信息（如设备id、设备硬件参数、软件配置等）、用户身份标识、用户操作系统标识、浏览器标识、cookie、支付信息（支付方式、支付帐号或卡号）、交易信息（购买商品或服务名称、规格、价格等）、联系信息（姓名、国家、地址、邮编、电话）等
• 反洗钱：包括客户身份信息及资料、账户交易流水、大额和可疑交易报告、客户风险等级、可疑案例监测模型、黑名单信息、洗钱风险评估相关内容、反洗钱分类评级结果、反洗钱协查信息等等。

针对于以上支付行业涉及的个人信息的内容，此次《个保法》的出台对于此类信息的处理规则、合规管理以及处罚等方面均作出了明确规定，具体如下：

（一）处理个人信息的基本规则

《个保法》第二章规定了个人信息处理的八大规则，涵盖处理个人信息的合法性基础、处理个人信息的告知与同意要求，个人信息处理的不同场景（共同处理、委托处理），个人信息处理的不同方式（共享、公开）等。

对于支付业务来说，首先应当在合法的基础上处理个人信息：例如应当取得个人的同意，遵循相关的法律法规（《非银行支付机构条例（征求意见稿）》、《中华人民共和国反洗钱法（修订草案公开征求意见稿）》）合同，规章制度等，在合理的范围内处理个人信息；

其次要遵循个人信息告知与同意的要求：个人信息处理者在处理个人信息前，应以显著的方式、清晰易懂的语言向个人告知特定事项，但根据法律、行政法规规定应当保密或者不需要告知的情形除外。

（二）处理敏感个人信息的特殊规定

《个保法》对敏感个人信息的处理规则专门进行规定。在支付业务中，个人敏感信息可能会体现在：个人的身份信息，支付信息，交易信息等。据此在处理这些信息时应当需要遵守的规则主要包括：

1. 需要取得个人的单独同意；法律、行政法规另有规定需取得书面同意的，或者规定处理敏感个人信息应取得相关行政许可或者作出其他限制的，从其规定。
2. 在告知内容方面，需特别向个人告知处理敏感个人信息的必要性以及对个人权益的影响。

（三）个人信息跨境提供规则

《个保法》明确了个人信息跨境提供的基本规则，主要包括以下方面：

法定条件。《个保法》规定向境外提供个人信息应首先满足“因业务等需要，确需向中国境外提供个人信息”的前提，同时还应具备下列条件之一：

• 通过国家网信部门组织的安全评估；
• 经专业机构进行个人信息保护认证；
• 按照国家网信部门制定的标准合同与境外接收方订立合同；
• 法律、行政法规或者国家网信部门规定的其他条件。此外，如果中国缔结或者参加的国际条约、协定对向境外提供个人信息的条件等有规定的，可以按照其规定执行。

对于支付行业来说，主要会涉及个人信息的的场景是将境内用户的个人信息提供给境外机构或者是企业，这就需要首先告知同意要求,应当向个人告知境外接收方的名称或者姓名、联系方式、处理目的、处理方式、个人信息的种类以及个人向境外接收方行使本法规定权利的方式和程序等事项，并取得个人的单独同意。其次，需要设定保护标准。具体来讲个人信息处理者应当采取必要措施，保障境外接收方处理个人信息的活动达到本法规定的个人信息保护标准。此外，对于其他特定出境情形，《个保法》规定了个人信息处理者向外国司法或者执法机构提供存储于中国境内的个人信息应经中国主管机关批准，并对损害中国公民个人信息权益的境外组织与个人采取负面清单要求。此外，《个保法》还针对在个人信息保护方面对我国采取歧视性的不合理措施的其他国家和地区的规定了对等采取措施的要求。

（四）强化个人信息处理者的合规管理义务

还需要注意的是，《个保法》还明确了个人信息处理者的合规管理和保障个人信息安全等义务，具体包括：

• 要求其按照规定事前采取必要措施确保个人信息处理活动的合规性与安全性；
• 指定个人信息保护负责人对信息处理活动进行监督；
• 定期对其个人信息处理活动进行合规审计；
• 对处理敏感个人信息、自动化决策、向境外提供个人信息等高风险处理活动，应事前进行风险评估并对处理情况进行记录；
• 针对个人信息泄露等安全事件履行通知和补救义务等。

以上要求需要在实际业务流程中以业务动作、系统功能等方式进行落实。

（五）明确对于个人信息泄露行政处罚与法律责任

此次《个保法》对违法行为加大惩处力度，设置了严格的法律责任。

例如，违反本法规定处理个人信息，或者处理个人信息未履行本法规定的个人信息保护义务的，情节严重的，由省级以上履行个人信息保护职责的部门责令改正，没收违法所得，并处五千万元以下或者上一年度营业额百分之五以下罚款，并可以责令暂停相关业务或者停业整顿、吊销相关业务许可或者营业执照。

《个保法》同时对侵害个人信息权益的民事赔偿、刑事责任以及公益诉讼做出规定。具体而言，处理个人信息侵害个人信息权益造成损害，个人信息处理者不能证明自己没有过错的，应当承担损害赔偿等侵权责任。违反《个保法》规定构成犯罪的，追究刑事责任。个人信息处理者侵害众多个人的权益的，人民检察院、法律规定的消费者组织和由国家网信部门确定的组织可以依法向人民法院提起诉讼。

总结：

对于涉及金融及跨境支付行业的企业，还应结合相应行业的特点以及监管的特别要求，例如对于个人数据隐私的保护还需要参考《网络安全法》，《非银行支付机构条例（征求意见稿）》以及《中华人民共和国反洗钱法（修订草案公开征求意见稿）》《信息安全技术公共及商用服务信息系统个人信息保护指南》（国标GB/Z28828-2012）等，进行相应的合规整理工作。

相关参考文章：

http://www.junhe.com/legal-updates/1539

https://baijiahao.baidu.com/s?id=1708861305595479015&wfr=spider&for=pc

https://mp.weixin.qq.com/s/uJ5FSqmAB5bQU81KLPbmOQ

https://mp.weixin.qq.com/s/Fu6opV2qrAfVR83oodsB2g

https://www.tc260.org.cn/front/postDetail.html?id=20210105154506

…

【前言】2021年《金融机构客户尽职调查和客户身份资料及交易记录保存管理办法（修订草案征求意见稿）》对于“尽职调查”进行了全新的解读，中付技术将征求意见稿的重点变化总结八点，将在后续同系列三篇文章中针对不同的变化内容进行详细解读。

本文为“尽职调查”系列文章第一篇，基于中付技术专家丰富的项目及行业经验,以及对于国内反洗钱监管动向的深刻理解，梳理出金融机构在进行尽职调查时所需要关注的重点，陈列调查材料清单，举例某银行强化尽职调查所需要的在材料清单，希望可以帮助金融机构未雨绸缪，提高机构洗钱风险管理的全面性、有效性和合规性。

一：调查内容

本次《修订草案》最重要的变化在于用“客户尽职调查”取代“客户身份识别”。“客户身份识别”往往只需要了解客户“是谁”，而“客户尽职调查”需要对于客户进行全生命周期的管理。身份识别作为尽职调查的第一步，应当做到细致且全方位，因此调查中应当关注哪些方面？每一方面需要重点调查哪些内容？据此可参考以下：

1.公司业务基本情况

公司资质/股东/高管情况

取得公司设立时的政府批准文件、营业执照、公司章程、合资协议、评估报告、审计报告、验资报告、工商登记文件等资料。了解公司名义股东与实际股东是否一致，股东及亲属的任职情况，投资情况；调查股东的出资情况；调查高管人员的任职情况、任职经历及对外投资情况，个人经历，任职情况，债务情况等。

行业及竞争概况

了解公司所属行业的市场环境、市场容量、市场细分、市场化程度、进入壁垒、供求状况、竞争状况、行业利润水平和未来变动情况。针对于跨境企业的出口业务情况，相关产品进口国的有关进口政策、贸易磨擦以及进口国同类产品的竞争格局等情况。

主要客户

获取或编制公司报告期对主要客户的销售额占年度销售总额的比例及回款情况，分析其主要客户的回款情况。如果存在会计期末销售收入异常增长的情况，需追查相关收入确认凭证，判断是否属于虚开发票、虚增收入的情形。

关联销售

调查主营业务收入、其他业务收入，关注高管人员和核心技术人员、主要关联方或持有公司5%以上股份的股东在主要客户中所占的权益。抽查不同时点的关联销售合同，如果存在异常，分析关联销售定价是否合理，是否存在大股东与公司之间的利润输送或资金转移现象。

2. 财务调查

财务报告/公司资产状况

合并、分部、参股事项的核查，存在重要并购事项的特殊核查，分析公司的财务风险和经营风险。关注控股股东、实际控制人或关联方占用资金的相关费用情况。核查定期存款账户、保证金账户、非银行金融机构账户等非日常结算账户。抽查货币资金明细账，分析是否存在合理的业务背景。

销售收入

判断是否存在提前或延迟确认收入或虚计收入的情况；核查期末收到销售款项是否存在期后不正常流出的情况；关注交易产生的经济利益是否真正流入企业；核查公司的产品销售核算与经销商的核算是否存在重大不符等。

对外投资

查阅公司股权投资的相关资料；取得被投资公司的营业执照、报告期的财务报告、投资协议等文件，对于依照法定要求需要进行审计的被投资公司，应该取得相应的审计报告。

银行借款

了解银行借款状况，公司在主要借款银行的资信评级情况，是否存在逾期借款，有逾期未偿还债项的等。

3. 法律情况

独立性情况

考察组织结构、公司治理、内部控制、独立性情况，调查公司高管人员是否在控股股东、实际控制人及其控制的其他企业中担任除董事、监事以外的其他职务等。调查公司是否设立独立的财务会计部门、建立独立的会计核算体系，具有规范的财务会计制度和对分公司、子公司的财务管理制度，是否独立进行财务决策、独立在银行开户、独立纳税等，判断其财务独立性。

同业竞争与关联交易情况

调查公司控股股东或实际控制人及其控制的企业实际业务范围、业务性质、客户对象、与公司产品的可替代性等情况，调查公司高管人员及核心技术人员是否在关联方单位任职等情况。调查关联交易中定价依据是否充分，定价是否公允，与市场交易价格或独立第三方价格是否有较大差异及其原因。

诉讼、仲裁或处罚

调查是否具有对财务状况、经营成果、声誉、业务活动、未来前景等可能产生较大影响的诉讼或仲裁事项以及可能产生的较大影响。

二：案例：香港某银行强化尽职调查调查清单

在以上条件都满足后，客户的准入也仅是带着“低风险”的标签进入的，或者说满足了基础的客户尽职调查“标准”要求。对于被评定为高风险的客户，金融机构还需要其提供额外证明材料以进行强化尽职调查，以下为某银行对于被香港监管部门列定位EDD的非银行支付机构进行调查时要求提供文件：

（注：因各银行/金融机构对于强化尽职调查所需文件要求存在差异，故以下材料清单仅供参考）

三、结语

在数字社会的大背景下，对于客户的调查离不开大数据的支持和辅助，数据给我们提供了一定的参考和决策方面的支持，源自于系统可以覆盖人工不具备的对多维数据的运算和处理能力。中付技术全球风险名单系统能够提供基于实时更新的全球权威数据来源风险情报的筛查、搜索服务。中付技术拥有多名专业研究人员和分析师。结合最先进技术和专业知识，帮助金融机构简化客户和第三方筛查流程。同时系统中的数据经过完整的结构化、聚合和去重，因此无论是本地部署、基于云端还是第三方解决方案，都可根据金融机构要求的方式传送，与各种工作流程筛查平台轻松融合实现简化客户引导、“了解你的客户（KYC）”和第三方风险尽职调查的筛查流程，旨在为国内外金融机构提供更加全面以及安全的服务。

不论是线下的实地探访调查，抑或线上的数据分析识别，调查本身是一个由“客观”到“主观”的过程。我们基于对客观现象、数据、信息等细颗粒度的元素，共同组合形成对客户风险的认知与判断，而如何实现从“客观”到“主观”这一过程，对未来风险的描绘更为准确，仍是一个需要不断探索和思考的过程。

文章部分信息参考：

https://zhuanlan.zhihu.com/p/108543269

https://mp.weixin.qq.com/s/0msGeeZ_egBCGqtNbJiWUA

…

…

…

…