从宁波8万元误转账案看不当得利与个人信息保护的双重风险

一、当81060元突然出现在你的账户里
2026年4月2日，浙江宁波的肖先生收到一笔81060元的陌生转账。钱从天而降，他没有惊喜，只有警觉。肖先生当即前往居住地派出所备案，警方提示：大额来路不明资金可能带来金融安全风险，建议他在找到转账来源前暂时不要使用该支付账户。

三天后，真相浮出水面。肖先生接到宁波阪急CELINE店来电，对方称店员操作失误，误将他的收款码发给了交易客户，导致客户将本应支付给商家的货款转入了他的账户。原来，肖先生此前曾在该店购物后退货，向店长发过收款码用于退款——他没想到，这张收款码被商家一直留存，并在此次交易中被店员误用。
在派出所值班人员的见证下，肖先生将81060元转至店长的私人账户。事后，CELINE中国客户服务中心发来邮件致歉，称已永久删除其收款码，并对涉事员工予以处分。
问题似乎解决了，但肖先生并不认可。“只是简单的道歉，没有完整说明发生失误的全流程，没有解释我的金融信息安全泄露风险，没提追责员工，也没提合理的补偿。”他的担忧不无道理：一个奢侈品品牌，竟然随意留存储存客户的收款码长达数日甚至更久，这意味着什么？商家道歉了，但法律上的问题远未厘清。
这个看似简单的“误转账”事件，从两个维度展开深度法律分析：钱的层面——肖先生有无义务返还这笔钱？信息的层面——商家留存收款码是否违法？希望帮助大家在面对类似事件时，既知道“该怎么做”，也理解“为什么这么做”。
二、法律第一问：这笔钱，肖先生可以不还吗？
很多人可能会想：钱是别人打错的，又不是我骗来的，凭什么一定要还？
法律对这个问题的回答非常明确：必须返还。
《中华人民共和国民法典》规定：“得利人没有法律根据取得不当利益的，受损失的人可以请求得利人返还取得的利益。”这就是法律上的“不当得利”制度。
要构成不当得利，需要满足三个条件：一方获得利益（肖先生账户多了81060元）；他方遭受损失（商家或其客户损失了81060元）；获得利益没有法律依据（肖先生与付款客户之间没有任何交易关系，也没有赠与等合法依据）。肖先生的情况，完全符合这三个要件。
值得一提的是，如果肖先生拒绝返还，法律后果会随之升级。《民法典》规定，得利人知道或者应当知道取得利益没有法律依据的，受损失的人可以请求得利人返还取得的利益并依法赔偿损失。也就是说，在商家告知实情后，如果肖先生仍然拒不返还，法律上他将从“善意得利人”转变为“恶意得利人”，不仅要返还本金，还可能承担利息等损失。如果金额较大且拒不返还，甚至可能触犯《刑法》规定的侵占罪。
不是你的钱，终究不是你的钱。
肖先生的处理方式是值得称道的——他没有轻信商家单方面的说法就直接转账，而是选择在派出所的见证下完成返还，最大限度地保护了自己的安全。这个细节非常值得普通人借鉴：面对误转账，不要私下解决，通过警方或银行等官方渠道核实后再操作，是最稳妥的方式。
三、法律第二问：商家留存收款码，到底错在哪？
如果说“必须还钱”是常识，那么“商家不该留存收款码”可能才是本案最容易被忽视的法律核心。
收款码是单纯的二维码吗？从法律角度看，答案是否定的。根据《中华人民共和国个人信息保护法》的规定，敏感个人信息包括生物识别、特定身份、医疗健康、金融账户、行踪轨迹等信息。收款码虽然表面上只是一个二维码图案，但它背后直接关联着用户的金融账户——用户的真实姓名、绑定手机号、银行账户信息等。因此，收款码承载的信息在法律上应受到敏感个人信息的特殊保护。
《个人信息保护法》明确规定，处理个人信息应当遵循合法、正当、必要原则，应当具有明确、合理的目的，并与处理目的直接相关。换言之，商家只能为实现特定目的而收集必要的信息，且必须取得消费者的同意。
回到本案：肖先生向店长发送收款码，目的是办理退货退款。这个目的完成后，商家便不再具有继续处理（包括存储）该收款码的法律依据。商家将收款码长期保留，并在此后的其他交易中再次使用，这一行为已经超出了“必要”范围，缺乏合法依据。
更严重的是，商家擅自存储的收款码还被店员“误用”于另一笔交易，导致客户将货款错转至肖先生账户。这说明商家的信息管理存在明显的制度缺陷。商场方面承认“涉事店铺收银人员收银流程失误是事实”，并表示将“督促品牌及店铺整改，规范信息管理流程”——这从侧面印证了商家在流程上的失当。
法律后果是什么？根据《个人信息保护法》，违反本法规定处理个人信息，或者处理个人信息未采取必要保护措施的，由履行个人信息保护职责的部门责令改正，给予警告，没收违法所得；拒不改正的，并处一百万元以下罚款；情节严重的，处五千万元以下或者上一年度营业额百分之五以下罚款。本案中，商家已主动删除肖先生的收款码并对涉事员工予以处分，暂未引发行政处罚。但这并不意味着问题不存在——肖先生感到不安，恰恰是因为他没有得到对信息安全风险的明确交代，而这一点是道歉邮件未能覆盖的空白。
四、超出“不当得利”的思考：当你收到一笔陌生转账，该怎么办？
肖先生案给我们最大的启示是：面对陌生转账，第一时间报警备案是绝对正确的选择。
为什么要这么做？因为除了“商家误操作”，还有另一种更危险的场景：诈骗洗钱。山东警方曾披露过一起典型案例：青岛刘女士账户中突然多出16万元，随后有人来电称“误转账”要求返还。经警方调查发现，这笔钱实为诈骗分子骗取其他受害人的涉案资金，诈骗分子企图利用刘女士进行二次转账以洗白赃款。如果刘女士按对方要求将钱转至指定账户，不仅资金无法追回，还可能涉嫌帮助信息网络犯罪活动罪。
因此，面对“天降横财”，正确的操作步骤是：
第一步：冷静判断，不轻信。 不要被“误转账”的说辞打动，也不要被对方催促的语气影响判断。
第二步：报警备案，保留证据。 保存所有转账记录、对方联系方式、通话记录。在警方见证下处理后续事宜，是最安全的做法。肖先生先后两次前往派出所备案和见证返款，堪称教科书式操作。
第三步：确认事实，谨慎返还。 通过警方或银行核实转账方的真实身份和款项来源，确认无误后再返还。绝对不要向私人账户转账——本案中肖先生将款项转至店长私人账户虽在警方见证下完成，但原则上返还误转账项应通过原路径退回或银行正规渠道处理，以避免后续争议。
第四步：关注信息安全。 如果你的收款码曾被他人持有，可以考虑联系支付平台更换收款码。长期使用同一静态收款码，存在被记录追踪和信息泄露的风险。
五、谁来守护我们的“支付信息安全”？
回到本案，商家已经道歉了，员工被处分了，收款码被删除了——一切似乎尘埃落定。但真正需要反思的，是整个社会对支付信息安全的重视程度。
肖先生的一句追问令人深思：“没有解释我的金融信息安全泄露风险。”这句话道出了无数消费者的心声。当商家轻描淡写地将“留存收款码”解释为“管理失误”时，消费者需要的不仅是一句道歉，更是对风险的如实告知和对制度漏洞的彻底修补。
对于商家而言，这起事件是一面镜子。收款码涉及消费者的金融账户信息，属于法律严格保护的敏感个人信息。商家在交易完成后应当及时删除相关信息，而非随意保留“备用”。内部管理制度的不完善，不该由消费者的隐私安全来买单。
对于支付平台而言，是否可以为用户提供更精细的收款码管理工具？比如：收款码有效期设置、使用记录追踪、异常交易预警等功能。技术进步应当为信息安全提供更强有力的支撑。
对于每一个普通人而言，这起事件提醒我们：收款码并非“扫一扫就完事”的简单工具。它背后关联的是我们的金融账户、身份信息和财产安全。日常交易中，尽量避免将收款码随意发给陌生人；若必须提供，建议使用临时收款码或通过平台正规渠道完成交易。同时，关注支付平台的隐私政策和安全设置，定期检查账户安全状态。
结语
肖先生收到81060元误转账后，选择报警、在警方见证下返还，是一个普通公民在法治社会中作出的正确选择。但这起事件不应止于“好人好事”的浅层叙事，它更应引发我们对不当得利制度的理解、对个人信息保护的重视！
“天降横财”的背后，往往隐藏着法律的风险与责任的重量。唯有心存敬畏、依法行事，才能在这个信息流动越来越快的时代，守住自己的权益与底线。