周亮等：浅析《非银行支付机构监督管理条例》对跨境支付业务影响

原标题：周亮等：跨境支付业务新挑战——浅析《非银行支付机构监督管理条例》对跨境支付业务的影响

2024年5月1日，《非银行支付机构监督管理条例》（以下简称“《条例》”）正式生效，该《条例》加强了对非银行支付机构的监管，并为非银行支付业务提供更明确的操作指南。本文中，我们将基于为非银行支付机构提供跨境支付业务的法律服务经验，从市场准入、反洗钱及数据合规等角度分享对《条例》等法规的理解，以及对境外非银行支付机构在境内开展跨境支付业务的思考。

一、境外非银行支付机构开展跨境支付业务监管要求提升

01 新设境内非银行支付机构门槛提高

《条例》加强了对境内非银行支付机构的全链条、全周期监管，重点内容包括：（1）境外机构须向人民银行申请并取得支付业务许可，设立境内分支机构，才能在境内合法开展跨境支付服务业务；（2）新设机构应持续开展支付业务，无正当理由连续两年不开展业务的，将被注销业务许可；（3）新设机构的股东应以自有资金实缴出资，且最低数额不得低于人民币1亿元；（4）同一股东不得直接或者间接持有两个及以上同一业务类型的非银行支付机构10%以上股权或者表决权，同一实际控制人不得控制两个及以上同一业务类型的非银行支付机构；（5）非银行支付机构变更名称、注册资本等重大事项，需经过中国人民银行的批准后再办理工商变更登记。

从以上要求不难看出，《条例》在支付机构设立、变更、终止等行政许可事项都作出了更严格、更详细的要求，在注册资本、主要股东、实控人、高管人员等方面规定了具体准入条件。境外非银行支付机构在境内新设分支机构的门槛有所提高，《条例》为境外非银行支付机构在境内开展业务提出更严格的要求。

02 反洗钱及反恐怖融资监管更严格

根据《条例》第十八条和第三十一条等规定，非银行支付机构应当具备必要且独立的业务系统、设施和技术，妥善保存用户资料和交易记录，确保支付业务处理具有及时性、准确性、连续性、安全性和可溯源性。由此可见，《条例》加强了对非银行支付机构业务流程中涉及的资金的合规监管，对反洗钱及反恐怖融资的监管力度进一步提升。

因此，境外非银行支付机构开展跨境资金支付业务时，应当格外注重资金流向的合规性审查，尽到高度勤勉义务，以避免跨境流动资金被用于洗钱、恐怖融资等非法用途。

03 用户数据的跨境传输需进行安全评估并取得用户单独同意

根据《条例》第三十三条和《数据出境安全评估办法》第四条等规定，非银行支付机构相关网络设施、信息系统等被依法认定为关键信息基础设施的，其在境内收集和产生的个人信息的处理应当在境内进行。确需向境外提供的，应当取得用户单独同意，并通过所在地省级网信部门向国家网信部门申报数据出境安全评估。

我们理解，跨境支付系统属于金融领域的信息服务类网络设施，开展业务时将涉及存储和加工大量的用户个人信息、金融账户数据，关乎数据及金融安全，因此此类设施很可能会被依法认定为“关键信息基础设施”，非银行支付机构作为此类设施的开发者、所有者、运营者，也很有可能被认定为“关键信息基础设施运营者”。根据前述规定，非银行支付机构在境内开展跨境支付业务时如需将用户数据传输至境外，必须经过用户的单独同意且完成数据出境安全评估，否则可能会面临来自监管部门的行政处罚。

二、对境外非银行支付机构开展跨境支付业务的合规性建议

《条例》对于非银行支付机构的业务开展提出更严格的监管要求，为监管机关在非银行支付领域进一步展开监管审查提供了制度依据。有鉴于此，我们为目前正在境内开展跨境支付业务或有意开展跨境支付业务的非银行支付机构作出以下实操建议：

01 通过与境内支付机构合作方式开展跨境支付业务

截止目前，获准在中国境内开展非银行支付业务的主体数量已有且仅有182家[1]。如上文所述，《条例》对境外非银行支付机构在境内开展跨境支付服务的合规性要求逐步提升，新设非银行支付机构的难度进一步加大。因此，境外非银行支付机构可以考虑与境内已获跨境支付业务许可的支付机构开展合作的方式，进入中国市场。

在此情况下，虽然境外支付机构未直接参与境内支付业务，但也需做好境外业务和境内业务的隔离。例如，境外机构在开发面向境内用户的平台名称时，或进行业务宣传时不得包括“支付”字样，确保境内展业的合法合规。

02 加强反洗钱及反恐怖融资审查

非银行支付机构进行跨境资金支付业务时，无论其是否参与境内支付业务，都应履行严格的反洗钱等尽职调查义务。例如，在开展业务时对客户进行全面尽职调查，采取合理措施识别、核验客户真实身份，及时完善客户KYC信息及风险状况，确定并适时调整客户风险等级；在交易进行中对交易的真实性、合法性及其与外汇业务的一致性进行审查；对具体业务做到保存相关证据，确保交易流程能够与卖方、买方、交易金额、交易种类相对应；在技术支持和系统维护方面，及时更新自查业务流程合规和风险防范措施，完善业务系统、支付账户、备付金、支付指令等管理措施和技术支持，确保跨境支付业务的合规性、安全性和可溯源性，依法履行反洗钱、反恐怖融资等义务。

03 切实履行个人信息保护以及跨境数据传输的合规义务

境外非银行支付机构应依据《条例》及《数据出境安全评估办法》等规定，切实履行个人信息保护以及跨境数据传输的合规义务。鉴于支付机构在相关跨境支付业务中通常需要收集客户信息并向客户提供服务，我们建议相应地落实有关法律的合规审查要求以及数据跨境传输安全评估，并且在需要将数据传送出境的情形下通过短信、网页弹窗等方式取得用户的单独同意，依法依规地向境外进行数据传输。

三、结语

《条例》建立了对非银行支付业务全链条的规范要求，收紧了对新设境内非银行支付机构的准入门槛，加强了对非银行支付机构的反洗钱审查，并进一步明确了境内运营过程中收集数据的跨境传输合规标准。境外非银行支付机构开展跨境支付业务时，应选择符合自身需求的业务模式，在资金和数据跨境流动方面及时更新并遵循最新的监管规定，以确保自身的运营符合合规要求，实现稳定且合规的境内展业。

特别声明：

大成律师事务所严格遵守对客户的信息保护义务，本篇所涉客户项目内容均取自公开信息或取得客户同意。全文内容、观点仅供参考，不代表大成律师事务所任何立场，亦不应当被视为出具任何形式的法律意见或建议。如需转载或引用该文章的任何内容，请私信沟通授权事宜，并于转载时在文章开头处注明来源。未经授权，不得转载或使用该等文章中的任何内容。