附导读 | 非银行支付机构监管新规实施细则公开征求意见｜iLaw

2023年12月，《非银行支付机构监督管理条例》（以下简称“《条例》”）公布，自2024年5月1日起施行。为保障《条例》落地实施，2024年4月22日，中国人民银行就《非银行支付机构监督管理条例实施细则（征求意见稿）》（以下简称“《实施细则》”）公开征求意见，征求意见截至2024年5月22日。

《条例》与《实施细则》适用于在中国境内依法设立的非银行支付机构[注]，中国境外的非银行机构拟为境内用户提供跨境支付服务的，应当依照条例规定在境内设立非银行支付机构，国家另有规定的除外。

《条例》对非银行支付机构的设立、变更、终止及相关支付业务开展规则、监督管理义务等进行了规定，包括网络安全、数据安全及消费者权益保护相关义务。《实施细则》对照《条例》，进一步细化网络安全、数据安全及消费者权益保护方面的相关规定。《条例》及《实施细则》的以下相关内容，值得予以关注。

1. 组织与制度建设

结合《条例》第17条，《实施细则》第11、15、50、58-60条，非银行支付机构在拟设立初期及运营的全生命周期中，均应当明确相关组织与制度设置，包括但不限于组织机构设置方案、合规管理制度、内部控制制度、业务管理制度、风险管理制度、突发事件应急预案以及用户权益保障机制。其中，突发事件应急预案应当包括支付业务系统连续性保障应急预案、用户信息泄露风险应急预案及其他可能危及非银行支付机构正常经营，损害用户合法权益的风险事件应急预案；用户权益保障机制包括用户信息安全保护机制、重要信息披露机制、投诉处理机制、损失赔付机制、支付业务终止过程中用户权益保障方案等保障用户财产安全权、知情权、自主选择权、公平交易权、受尊重权、信息安全权等基本权利的内控制度和工作机制。

终止支付业务时，非银行支付机构亦须提交用户合法权益保障方案、支付业务信息处理方案、重大和突发事件应急预案及与承接方签订的支付业务信息和用户身份信息移交协议等作为支付业务终止方案的部分内容。其中，用户合法权益保障方案应当包含对用户知情权、隐私权和选择权的保护措施，明确告知用户终止支付业务的原因、停止受理用户委托支付业务的时间、拟终止支付业务的后续安排；明确用户身份信息的接收机构和移交安排、销毁方式和监督安排；明确备付金处理方案。支付业务信息处理方案应当明确支付业务信息的接收机构和移交安排、销毁方式和监督安排。

2. 支付业务系统、设施和技术部署

具备必要和独立的业务系统、设施和技术，按照强制性国家标准以及相关网络、数据安全管理要求，确保支付业务处理的及时性、准确性和支付业务的连续性、安全性、可溯源性。其中：

• 系统：业务系统及其备份应当存放在境内。（《条例》第18条）

• 设施：原则上应当与非银行支付机构主要经营场所所在地位于同一省、自治区、直辖市内。（《实施细则》第18条）

• 技术标准：应符合中国人民银行规定的业务规范、技术标准和安全要求。（《实施细则》第18条）

3. 法定数据处理义务履行

• 用户身份核实及风险管理：建立持续有效的用户尽职调查制度，按照规定识别并核实用户身份，了解用户交易背景和风险状况，并采取相应的风险管理措施。（《条例》第21条）

• 交易信息报送：向清算机构及时报送真实、准确、完整的交易信息。（《条例》第30条）

• 监管配合：有关机关依照法律、行政法规的规定，查询用户资料、交易记录及其持有的支付账户余额或者预付资金余额，或者冻结、扣划用户资金的，非银行支付机构应当予以配合。（《条例》第31条）

4. 用户资料、交易记录等数据存储

• 存储地点：为境内交易提供支付服务的，应当在境内完成交易处理、资金结算和数据存储。（《条例》第19条）

• 存储期限：（1）一般情况：用户身份资料自业务关系结束后或者一次性交易结束后至少保存5年，交易记录自交易结束后至少保存5年。法律、行政法规对用户资料和交易记录有更长保存期限要求的，从其规定。（2）特殊情况：司法部门正在调查的可疑交易或者违法犯罪活动涉及用户资料，且相关调查工作在规定的最低保存期届满时仍未结束的，非银行支付机构应当将其保存至调查工作结束。（《实施细则》第62条）

5. 数据传输限制

• 委托处理：不得将涉及资金安全、信息安全等的核心业务和技术服务委托第三方处理。（《条例》第21条）

• 关联公司共享：与关联公司共享用户信息的，应当告知用户该关联公司的名称和联系方式，并就信息共享的内容以及信息处理的目的、期限、方式、保护措施等取得用户单独同意；与关联公司就上述内容以及双方的权利义务等作出约定，并对关联公司的用户信息处理活动进行监督，确保用户信息处理活动依法合规、风险可控。（《条例》第32条）

• 跨境处理：遵守数据跨境流动的有关规定。（《条例》第19、33条）

此外， 《条例》第20条亦要求非银行支付机构与用户签订并公示支付服务协议，明确非银行支付机构与用户的权利义务等事项，拟变更协议内容的，应在公示位置公告满30日后方可变更，并以数据电文等书面形式与用户就变更的协议内容达成一致。

对于违反前述义务的，《条例》基于违反事项差异设置了不同罚则，严重者可被限制部分支付业务或者责令停业整顿，直至吊销其支付业务许可证。根据《实施细则》第76条，针对《条例》及《实施细则》关于非银行支付机构设立条件以及净资产与备付金日均余额比例的规定，合规过渡期为实施细则施行日至非银行支付机构支付业务许可证有效期截止日，过渡期不满12个月的，按12个月计。《条例》施行前已按照有关规定设立的非银行支付机构，应当在过渡期结束前达到前述规定要求，过渡期结束达不到规定的，应当终止支付业务。其他规定则自《实施细则》施行之日起执行。

了解更多，请点击文末“阅读原文”。

注：根据《条例》第2条，非银行支付机构，是指在中华人民共和国境内依法设立，除银行业金融机构外，取得支付业务许可，从事根据收款人或者付款人提交的电子支付指令转移货币资金等支付业务的有限责任公司或者股份有限公司。

1. 

2. 

3. 

4. 

5. 

6. 

7.

8. 

■

THE END.