《数据安全法》之支付行业解读

从2020年6月28日公布草案，到2021年6月10日通过，《数据安全法》历经三次审议，并将于2021年9月1日正式施行。该法为我国部数据安全领域的专门法律，相较于《网络安全法》则更强调数据安全保护和行业发展并重，相较于《个人信息保护法》则更关注数据宏观层面的安全和数据处理的规范，为网络、信息及数据安全构筑更加和完善的法律框架，也标志着我国数据安全进入“法制”时代。

作为支付行业，大量存储着个人支付的敏感数据，人民银行作为监管机构也多次通过行业标准规范支付机构的数据采集、存储与使用等不同阶段，且作为支付机构每年续牌、年审的必要审查要素，进一步规范支付机构对于支付数据的安全管理。但是随着我国经济飞速发展，数据安全管理呈现多维度交叉、多领域复合、多行业混合的情况，单一监管机构的监管方式难以满足数据安全的统筹管理，因此《数据安全法》的发布也就将促使从设计层面强化数据安全管理，形成合力加强我国数据安全形势。

下文将对《数据安全法》中相应条款进行深入解读，并根据当下支付行业的现状来预判未来监管趋势，供读者参考。

一、支付与金融行业加速分离

《数据安全法》中第六条“各地区、各部门对本地区、本部门工作中收集和产生的数据及数据安全负责。工业、电信、交通、金融、自然资源、卫生健康、教育、科技等主管部门承担本行业、本领域数据安全监管职责。公安机关、安全机关等依照本法和有关法律、行政法规的规定，在各自职责范围内承担数据安全监管职责。网信部门依照本法和有关法律、行政法规的规定，负责统筹协调网络数据安全和相关监管工作。”

该条款明确了金融、科技、电信等监管部门的数据安全监管职责。引用《数据安全法》中对于数据安全的定义“通过采取必要措施，确保数据处于有效保护和合法利用的状态，以及具备保障持续安全状态的能力。”与过去行业监管部门对于数据安全的监管侧重于有效保护、存储以及持续安全管理，而针对“合法利用”相对薄弱。“合法利用”的背后其折射出未来监管部门对于“合法”这个定义的进一步规范和明确，甚将通过新增“许可证”的形式来加以合法化处理。

例如前期热议的互联网公司通过自身采集的个人数据，通过加工向金融机构“”客户完成助贷、信用卡申领，监管部门也发文进行了明确，需要具有“个人征信牌照”的机构才能从事金融机构的个人数据处理加工服务。通过该事件，明显地可以看出《数据安全法》在支付金融领域的重大影响。以该事件为例，可以进行如下的猜想：

1.银行、金融机构采购、采集个人数据只能通过具有“个人征信牌照“的机构，进而进一步提高银行获取个人数据的门槛，洗牌大量灰色产业数据公司；

2.支付机构通过自身积累的个人支付数据，将不得被广泛利用形成各种“广告”、“精准”、“人群画像”等服务，进一步打击支付机构在该领域的灰色收入，让支付机构回归服务的征途；

3.未来将对广告行业以及广告投放的“精准”做严格控制，目前我国广告呈现泛滥扰民的程度，与国外相比存在较大的治理空间，规范广告行为短期内将立竿见影，但对于广告为主收入的互联网公司将短期内造成较大的影响。

二、数据安全标准加速与国际接轨

《数据安全法》中第十一条“积极开展数据安全治理、数据开发利用等领域的国际交流与合作，参与数据安全相关国际规则和标准的制定，促进数据跨境安全、自由流动。”随着人民币国际化进程的加速，我国数据安全治理、规范也需要加速与国际进行对齐。众所周知，欧美等针对数据安全有着非常严格的使用、存储等限制，作为支付行业从业人员较为熟悉的应该是PCI 3.0安全标准，国内支付数据安全标准与PCI 3.0相比存在较大的差距。但是透过《数据安全法》可以看出，对于数据安全治理已经成为战略层面高度，并将加速行业数据安全规范的升级，并通过产业升级、技术升级等方式，参与国际安全标准制定，进一步提高我国在国际领域的话语权。

作为支付机构，明显可以预见，支付机构安全管理的成本投入将呈现几何级别的增长，对于中小支付机构如无法满足数据安全管理要求，将被勒令暂停开展业务并可能因为没有收入来源而面临破产清算的窘境。这或许将是中小机构难熬的一年，可以预见到2021年底2022年初大量中小支付机构将主动退出支付行业。

三、数据安全创新利用未来可期

《数据安全法》中第十六条“支持数据开发利用和数据安全技术研究，鼓励数据开发利用和数据安全等领域的技术推广和商业创新，培育、发展数据开发利用和数据安全产品、产业体系。“从层面，鼓励数据安全领域的技术创新和商业化应用，并将数据安全作为一个独立的产业体系来看待，可见整个数据安全产业将迅速蓬勃发展，在确保个人数据安全的同时，又能有效地投入商业化应用，未来可以预见多种形式的数据应用产品，将进一步促进我国数字化转型的进程，成为我国数字化转型扎实的奠基石。

回首以“区块链”技术为核心的数据安全应用产品如雨后春笋般不断涌现，以我国的数字人民币为例，其采用的就是区块链技术来确保个人数字人民币使用的隐私保护。“区块链”技术作为近期较为成熟的数据安全领域的核心拳头技术，未来将在我国多个领域开花。作者认为支付机构深耕“区块链”技术，在现有的传统领域继续发挥支付机构技术实力，加速传统行业的数字化转型，将是支付机构未来的一条康庄大道。

四、总结

《数据安全法》是从战略高度提出对于数据安全要求、数据安全产业发展和数据安全管理的纲领性文件，未来将驱动各相关领域针对该法案制定相关管理细则，并驱动落地数据安全管理的升级，也喻示我国数据安全步入“法治”时代，任何人在数据安全领域违法将受到法律的制裁，将在很大程度上根治数据领域的灰色产业。 

支付机构起于草莽，闯闯荡荡十年间彻底改变了我国传统行业的支付方式，为我国带来了便捷的支付方式。但是不能留恋于过去的辉煌，我国已经进入数字化转型时代，数据安全更是数字化转型的重要保障，积极探索数据安全，跟进发展方向重新焕发支付机构新的辉煌。