图片来源：图虫创意

央行杭州中心支行最近对支付宝的一则处罚公告，引轩然大波。

支付宝（中国）网络技术有限公司（以下简称“支付宝”）因客户权益、产品宣传、个人信息保护三方面违规合计被罚18万元。今年以来，第三方支付市场强监管高压态势延续，多家第三方支付机构“触红线”，不过，涉用户信息保护被罚，支付宝尚属首例。

券商中国记者不完全统计，今年以来，央行各分行、支行公布的第三方机构罚单至少已有17张，14家支付公司“踩雷”，其中，中汇电子支付有限公司及旗下三家分公司，更是收到4张罚单；这之中，机构和个人罚金累积324万元。

个人金融信息收集不符合"最少必须"

相信不少人还记得年初晒满了朋友圈的支付宝“年度账单”——不过它在爆发式刷屏后，一度被撤销，因为它在首页的用户征信等金融信息获取协议为默认勾选，被疑涉嫌侵犯用户隐私。随后，支付宝迅速反应，立刻改动调整。

不过，4月8日，央行杭州中心官网显示，在这三个方面，支付宝违规了：

1.客户权益方面：

（1）金融消费者知情权保障不充分；（2）消费者的自主选择权保障不充分。

2.产品宣传方面：

（1）在视频宣传中开展引人误解的宣传；（2）在支付宝官方微博中开展引人误解的宣传；（3）处理完毕的投诉占比计算不实，导致对外公布的数据与实际不符。

3.个人信息保护方面：

（1）个人金融信息收集不符合最少、必需原则；（2）个人金融信息使用不当。

根据《非金融机构支付服务管理办法》、《中华人民共和国消费者权益保护法》，央行杭州中心支行对其累计罚款18万元。

尤其值得注意的是，这还是涉及到第三方支付规范上，首提“个人金融信息收集最少、必需原则”。

券商中国记者查阅资料发现，在涉及用户个人信息安全及权益保护上，除了《消费者权益保护法》，一项重要法规为2017年6月1日正式施行的《网络安全法》，明确禁止收集与其提供服务无关的个人信息，且需遵循“合法、正当、必要的原则”，而将于2018年5月1日开始施行的国家标准《信息安全技术/个人信息安全规范》解释，个人信息保存时间最小化、个人信息收集最小化，为如果“没有这些信息，产品或服务的功能无法实现”，且自动采集个人信息为最低频率、间接获取个人信息应为最少数量。

▲国家标准个人信息安全规范解释

蚂蚁金服如何回应？

从央行杭州中心支行的处罚来看，还是涉及到第三方支付规范上，首提“个人金融信息收集最少、必需原则”。

对此，蚂蚁金服方面回应称，“已第一时间启动逐项改进计划，目前各项改进措施已经落实完毕，并得到了监管部门的认可，会在今后的工作中更加严格要求自己。”

今年第三方支付罚单17张，罚金324万

据公开报道，这已经是支付宝自2017年以来第三次“挨罚”，去年上半年，支付宝和财付通两大巨头首次被罚，两家均因违反《非银行支付机构网络支付业务管理办法》被罚3万元；去年11月，支付宝因跨境外汇支付服务经营范围问题、跨境外汇支付服务国际收支统计申报问题，被处以罚款60万元。

自2016年以来，央行系统对第三方支付机构的监管力度和违规处罚明显加强。截至目前，央行官网显示，已注销28张各类型业务第三方支付“牌照”；而今年以来，券商中国记者统计，央行各分行、支行公布的第三方机构罚单至少已有17张，这之中，机构和个人罚金累积324万元。而据第三方机构统计，央行系统2017年对第三方支付机构发出的罚单是109张，而这一数字在2016年是34张。

从上表可以看到，共计有14家支付公司“踩雷”，其中，中汇电子支付有限公司及旗下三家分公司，更是收到4张罚单，违规行为分别是未按规定建立有关制度办法或风险管理、危害支付市场、违反《非银行支付机构网络支付业务管理办法》相关规定、银行卡收单违规，以及未按规定履行客户身份识别任务。

非银机构支付违规被罚最多，违反洗钱法罚金最高

今年17张罚单的违规事由来看，第三方支付机构因违反非银机构支付管理办法被罚的案例最多，多达4起，其次是违反支付结算业务规定和银行卡收单业务的规定，5家第三方支付公司违规。而从罚单金额来看，第三方支付机构涉反洗钱规定的行为，罚金最高。

比如今年1月，重庆钱宝科技作为支付机构未按反洗钱规定履行客户身份持续识别义务、未按规定报送客户可疑交易报告等，违反《反洗钱法》第三十二条，被罚190万元，两名责任人还分别处以2万、3万元罚款。深圳瑞银信息技术有限公司山西分公司、中汇电子山西分公司均因未按照《支付机构反洗钱和反恐怖融资管理办法》相关规定，分别被罚25万、20万，相关高管也挨罚。

备付金也是值得关注的一大焦点。此前，客户备付金利息是机构的重要一块收入来源，但2017年1月起，央行明确支付机构备付金新规，机构需按比例交存备付金，且对存管的金额，商业银行将不再计息，对机构影响不小。罚单显示，中汇电子、青岛百森通支付有限公司均因客户备付金问题分别被罚3万元。

一大波第三方支付管理新规在路上

这两年以来，第三方支付的一大波监管新规在路上，且多起新规将在今年上半年正是施行：

2017年12月，央行下发《关于规范支付创新业务的通知》（简称“281号文”），涉及支付创新业务、收单业务、代收业务、支付业务系统接口等诸多方面，其中明令禁止收单业务广告内容不得使用或者变相使用“零扣率”、“低扣率”、“费率自由定义”、“商户滚动切换”、“一机多商户”、“T+0”、“D+0”、“即时到账”、“刷单”、“套现”等涉嫌不正当竞争，误导消费者或者违法违规行为的文字。

同时，加强收单业务受理终端管理、规范小微商户收单业务管理、加强代收业务管理、加强支付业务系统接口管理，“严禁银行、支付机构、清算机构支持或者变相支持无证机构经营支付业务”。

2018年3月16日，央行官网发文“依法严惩违法违规行为 维护支付清算市场秩序”，将持续加强支付结算市场监管，从严惩处支付结算违法违规行为，保障支付市场的持续、稳定和健康发展。

央行印发《非银行支付机构反洗钱现场检查数据接口规范（试行）》，自2018年3月1日起，中国人民银行及其分支机构组织实施反洗钱现场检查项目，被查非银行支付机构应按接口规范提供现场检查所需数据。

央行印发《条码支付业务规范（试行）》称，银行、支付机构开展条码支付业务涉及跨行交易时，应当通过人民银行跨行清算系统或者具备合法资质的清算机构处理，自2018年4月1日起实施。

央行《关于进一步加强无证经营支付业务整治工作的通知》（即217号文）要求，“二清”整顿将在2018年6月底前进入处罚与总结阶段。

央行结算司发布《关于将非银行支付机构网络支付业务由直连模式迁移至网联平台处理的通知》银支付[2017]209号文，规定自2018年6月30日起，支付机构受理的涉及银行账户的网络支付业务全部通过网联平台处理。

当前，随着217号文、218号文和296号文的逐步实施与落地，网联、银联发力条码支付合规清算，网联率先跑通，银联协议签署，“630断直连”也在逼近，第三方支付行普遍的感受是，扫码支付市场面临改革，无证经营在清退，而监管持续收紧、严查合规、竞争白热化之下，市场必然将只剩下规模大、实力强的玩家。