久久亚洲中文字幕精_精品国产一区二区三区不卡_99久久久无码国产精品免费手机_国产亚洲精品久久久久动漫

第三方支付客戶個(gè)人信息風(fēng)險(xiǎn)與保護(hù)措施發(fā)布者：本站     時(shí)間：2020-05-02 15:05:36

隨著互聯(lián)網(wǎng)經(jīng)濟(jì)的快速發(fā)展與變更, 第三方支付從單一提供快捷支付功能與信用中介的定位一躍成為互聯(lián)網(wǎng)經(jīng)濟(jì)的主角, 在推動電子商務(wù)發(fā)展與傳統(tǒng)行業(yè)的互聯(lián)網(wǎng)化方面起到重要作用。根據(jù)艾瑞咨詢的《2017年中國第三方支付市場監(jiān)測報(bào)告》, 2016年我國第三方支付交易規(guī)模達(dá)到近80萬億元, 同比增長率接近300%;2016年移動支付占第三方支付總交易規(guī)模的74.7%, 結(jié)構(gòu)上向移動端遷移。由于第三方支付尤其是移動支付的火熱, 個(gè)人信息泄露問題也漸漸占據(jù)了大眾的視野。2013年3月, 支付巨頭支付寶便爆出轉(zhuǎn)賬信息泄露事件, 有網(wǎng)友發(fā)現(xiàn), 通過谷歌搜索特定關(guān)鍵詞可以查到許多支付寶用戶的詳細(xì)轉(zhuǎn)賬信息, 盡管支付寶公司及時(shí)修復(fù)了漏洞, 但這一事件還是讓公眾對第三方支付公司的信息安全維護(hù)能力存疑。除了外部的攻擊, 企業(yè)內(nèi)部的管理不善, 或企業(yè)對個(gè)人信息的過度采集和使用, 同樣可能侵犯用戶的個(gè)人信息權(quán)利。今年1月, 支付寶發(fā)布了年度賬單, 不同于以往, 今年的年度賬單卻因?yàn)橐圆幻黠@的方式令用戶被動授權(quán)其平臺的《芝麻服務(wù)協(xié)議》而引起網(wǎng)友不滿。盡管支付寶官方及時(shí)承認(rèn)錯(cuò)誤, 并提供了取消授權(quán)的方法程序, 但這也表明互聯(lián)網(wǎng)企業(yè)對于個(gè)人信息趨之若鶩。由于第三方支付的賬戶一般包含可識別個(gè)人的身份信息, 銀行卡信息和消費(fèi)記錄等, 同時(shí), 第三方支付賬戶往往也儲存了用戶一定數(shù)量的金錢, 這使關(guān)注第三方支付中用戶的個(gè)人信息安全尤為重要。

1、 第三方支付的概念、分類和主體

第三方支付是指具備一定實(shí)力和信譽(yù)保障的獨(dú)立機(jī)構(gòu), 采用與各大銀行簽約的方式, 通過與銀行支付結(jié)算系統(tǒng)接口對接而促成交易雙方進(jìn)行交易的網(wǎng)絡(luò)支付模式。為了加強(qiáng)對支付企業(yè)的管理、穩(wěn)定金融秩序, 中國人民銀行制定了《非金融機(jī)構(gòu)支付服務(wù)管理辦法》 (以下簡稱《辦法》) 并于2010年9月1日實(shí)施。根據(jù)《辦法》, 僅有獲得中國人民銀行核發(fā)的非金融行業(yè)從業(yè)資格證書者可以開展支付服務(wù)。根據(jù)央行公布的第五批非銀行支付機(jī)構(gòu)《支付業(yè)務(wù)許可證》的續(xù)展結(jié)果, 截至2018年1月, 支付牌照剩余243張[1]。

當(dāng)前學(xué)界對第三方支付的分類并未達(dá)成共識。中國人民銀行發(fā)布的《非金融機(jī)構(gòu)支付服務(wù)管理辦法》將非金融機(jī)構(gòu)支付服務(wù)分為網(wǎng)絡(luò)支付、預(yù)付卡發(fā)行與受理、銀行卡收單三類, 但有學(xué)者認(rèn)為這一分類方法無法體現(xiàn)各種支付業(yè)務(wù)的本質(zhì)特征和風(fēng)險(xiǎn)特點(diǎn)[2]。

若僅以企業(yè)支付業(yè)務(wù)為依據(jù), 根據(jù)艾瑞咨詢發(fā)布的《2017年中國第三方支付市場監(jiān)測報(bào)告》, 第三方支付業(yè)務(wù)類型包括線上支付、線下支付、賬戶來往、經(jīng)營輔助、跨境支付和借貸理財(cái)?shù)葞状箢?。一些國?nèi)大型支付企業(yè)———如支付寶、財(cái)付通和拉卡拉———的業(yè)務(wù)范圍均涵蓋以上幾項(xiàng)。同時(shí), 也有部分第三方支付企業(yè)以其中個(gè)別項(xiàng)目為主要業(yè)務(wù)。如匯付天下、聯(lián)動優(yōu)勢、銀聯(lián)商務(wù)等以借貸理財(cái)為主, 其業(yè)務(wù)特點(diǎn)是以云計(jì)算和大數(shù)據(jù)為依托, 專注于為客戶提供最佳理財(cái)策略;聯(lián)迪商用和易寶支付則在經(jīng)營輔助方面見長, 業(yè)務(wù)內(nèi)容主要是為行業(yè)提供定制型支付解決方案;跨境支付企業(yè)有寶付和連連支付, 以為境內(nèi)外企業(yè)或個(gè)人提供跨境支付及跨境支付解決方案為主。

作為互聯(lián)網(wǎng)經(jīng)濟(jì)的引擎, 互聯(lián)網(wǎng)支付企業(yè)也具有許多互聯(lián)網(wǎng)企業(yè)的特點(diǎn), 如具備較強(qiáng)的技術(shù)背景、扎根于大量用戶數(shù)據(jù)等;此外, 由于第三方支付平臺往往有資金沉淀、移動互聯(lián)網(wǎng)不斷普及, 第三方支付企業(yè)也往往將金融服務(wù)納入自身的業(yè)務(wù)范圍, 并向移動端進(jìn)行業(yè)務(wù)布局。

2、 第三方支付用戶個(gè)人信息風(fēng)險(xiǎn)分析

2.1、 第三方支付中涉及的個(gè)人信息內(nèi)容

2.1.1、 個(gè)人身份信息

個(gè)人身份信息往往由用戶在注冊賬戶時(shí)提供。由于第三方支付企業(yè)支付活動需通過銀行開展, 支付賬戶一般需提供個(gè)人的姓名、身份證、手機(jī)號碼與銀行卡號碼等個(gè)人身份信息。

2.1.2、 設(shè)備信息

出于維護(hù)賬戶資金安全與支付安全的目的, 第三方支付需要收集用戶使用設(shè)備的信息, 以確認(rèn)賬號登錄與使用者為本人。從支付寶、財(cái)付通和銀聯(lián)商務(wù)等第三方支付企業(yè)的隱私條款來看, 其所收集的設(shè)備信息大致包括硬件型號、設(shè)備MAC地址、操作系統(tǒng)類型、設(shè)備識別碼等。以上部分信息具有唯一性, 在一定條件下具備識別信息主體的可能。

2.1.3、 消費(fèi)或產(chǎn)品使用記錄

第三方支付用戶在使用其支付賬號進(jìn)行消費(fèi)時(shí), 必然產(chǎn)生一定的消費(fèi)記錄或使用痕跡, 如消費(fèi)內(nèi)容、消費(fèi)金額、消費(fèi)習(xí)慣等。而各大第三方支付企業(yè)均在相關(guān)服務(wù)協(xié)議或隱私條款中明確表示將使用cookies追蹤用戶使用痕跡, 大多數(shù)企業(yè)允許用戶拒絕cookies, 并給出關(guān)閉cookies的程序, 但也提示拒絕該項(xiàng)功能將降低用戶體驗(yàn);也有部分企業(yè)排除用戶關(guān)閉cookies的權(quán)利, 如蘇寧支付在其隱私條款里表明其將使用cookies收集用戶信息, 且并未表明允許用戶拒絕該項(xiàng)功能。

此外, 由于占據(jù)了交易活動的關(guān)鍵環(huán)節(jié), 第三方支付企業(yè)往往以此構(gòu)建第三方合作網(wǎng)絡(luò)。典型的第三方支付平臺, 如支付寶、財(cái)付通均在其平臺上連接眾多熱門第三方應(yīng)用, 如滴滴打車、美團(tuán)外賣、機(jī)票購買等;而諸如拉卡拉等為商戶提供POS機(jī)收款服務(wù)的支付企業(yè)也可能通過其系統(tǒng)接收到的支付指令獲取用戶的消費(fèi)信息。當(dāng)前, 關(guān)于支付用戶使用支付平臺或支付企業(yè)上第三方應(yīng)用時(shí)產(chǎn)生的權(quán)利義務(wù)關(guān)系并沒有明確的規(guī)范, 眾多第三方支付企業(yè)均默認(rèn)將一些用戶個(gè)人信息與平臺上第三方應(yīng)用進(jìn)行共享, 且未給用戶提供充分選擇權(quán)。

2.1.4、 生物特征

對用戶生物特征的收集是傳感技術(shù)日趨發(fā)達(dá)、企業(yè)為用戶提供快捷授權(quán)口令的結(jié)果。第三方支付中涉及的生物特征主要有指紋、瞳孔及臉部特征等, 支付企業(yè)企圖通過指紋技術(shù)或人臉識別技術(shù)讓用戶可以更快捷地完成授權(quán)與支付, 這一授權(quán)方式因具有高效性和安全性而可能成為主流, 但需以企業(yè)合理保護(hù)用戶個(gè)人信息為前提。當(dāng)前, 支付寶、財(cái)付通、蘇寧支付等支付企業(yè)均有指紋支付和人臉識別支付;拉卡拉手環(huán)作為支付工具, 則具備心率識別等額外的信息收集手段。

2.2、 第三方支付中的用戶個(gè)人信息風(fēng)險(xiǎn)

2.2.1、 支付場景廣泛, 風(fēng)險(xiǎn)發(fā)生率高

隨著人們網(wǎng)絡(luò)支付習(xí)慣的養(yǎng)成和移動互聯(lián)網(wǎng)的普及, 支付場景也開始擴(kuò)大其覆蓋面。主流支付企業(yè), 如支付寶、財(cái)付通、拉卡拉、快錢等均以生活或娛樂場景為依托, 構(gòu)建全面支付場景, 具體包括醫(yī)療、交通、出行、餐飲、購物和旅游等。廣泛遍布的消費(fèi)場景使第三方支付用戶個(gè)人信息“處處留痕”, 且不同場合網(wǎng)絡(luò)安全程度也有所差異, 一些公共場所Wi Fi安全級別不高, 容易給支付用戶造成個(gè)人信息被竊取的危險(xiǎn)。

2.2.2、 隱私信息密集

從前述第三方支付涉及的個(gè)人信息內(nèi)容來看, 第三方支付企業(yè)在運(yùn)營過程中收集的個(gè)人信息內(nèi)容多為隱私性較強(qiáng)的個(gè)人信息, 如個(gè)人身份信息、生物特征。此外, 無論是用戶的設(shè)備信息還是用戶使用相關(guān)互聯(lián)網(wǎng)產(chǎn)品產(chǎn)生的記錄, 均可在某種條件下識別用戶身份或推算用戶的消費(fèi)習(xí)慣。這些隱私信息的集中使第三方支付賬戶具有一般網(wǎng)絡(luò)賬戶所不具備的價(jià)值, 聯(lián)系到支付賬戶的財(cái)產(chǎn)屬性, 第三方支付賬戶也更容易成為不法分子攻擊的目標(biāo)。

2.2.3、 支付終端安全性不足

由于移動支付的便捷, 第三方支付在結(jié)構(gòu)上向移動端遷移。普遍的移動支付是通過用戶的個(gè)人智能手機(jī), 通過掃描二維碼完成支付。這一支付方式因其便捷性受到廣大用戶的認(rèn)可。但智能手機(jī)的防火墻無法跟PC端相媲美, 也沒有支付機(jī)構(gòu)那么強(qiáng)大的后臺作安全支撐, 這使智能手機(jī)更容易成為網(wǎng)絡(luò)犯罪的突破口。針對智能手機(jī)的入侵犯罪主要包括提供虛假二維碼、利用社會工程學(xué)盜取驗(yàn)證碼等。

2.2.4、 數(shù)據(jù)跨境流通的風(fēng)險(xiǎn)

一方面, 在持續(xù)深化改革開放、加強(qiáng)一帶一路建設(shè)的背景下, 我國眾多電商平臺走上了跨境電商的道路。如天貓的天貓國際, 京東的全球購以及洋碼頭和全球購等。根據(jù)支付寶和財(cái)付通的隱私政策, 跨境業(yè)務(wù)將產(chǎn)生數(shù)據(jù)的境外傳輸。另一方面, 境外交易數(shù)據(jù)將直接存儲在境外, 或根據(jù)當(dāng)?shù)胤蛇M(jìn)行存儲。這對數(shù)據(jù)的加密和儲存安全提出了更高的要求, 也給數(shù)據(jù)主權(quán)提出了一定的挑戰(zhàn)。

2.2.5、 第三方不當(dāng)利用

從第三方支付企業(yè)的發(fā)展趨勢來看, 第三方應(yīng)用已然成為支付企業(yè)的“標(biāo)配”。國內(nèi)占據(jù)市場份額最高的兩大支付企業(yè)———支付寶與財(cái)付通———均在其平臺上連接了手機(jī)充值、滴滴出行、餓了么、美團(tuán)外賣、京東、淘寶等涵蓋生活消費(fèi)內(nèi)容的熱門第三方應(yīng)用;而其他金融型支付企業(yè)或行業(yè)解決方案提供者也都有較多合作伙伴。第三方支付用戶在使用其中一些第三方應(yīng)用時(shí)將不可避免地在第三方應(yīng)用和支付平臺上產(chǎn)生相應(yīng)數(shù)據(jù), 內(nèi)容大致包括身份信息、賬戶信息、消費(fèi)記錄等。而由于當(dāng)前缺少對第三方權(quán)利義務(wù)關(guān)系的規(guī)范, 各大支付企業(yè)均默認(rèn)將用戶的部分個(gè)人信息與第三方合作企業(yè)共享, 并明確表示用戶在使用平臺第三方應(yīng)用時(shí)受第三方的隱私政策約束。此種做法既有變相交換用戶個(gè)人數(shù)據(jù)的嫌疑, 也讓用戶個(gè)人信息面對更多傳輸、存儲的風(fēng)險(xiǎn)。

2.3、 第三方用戶個(gè)人信息風(fēng)險(xiǎn)成因

2.3.1、 企業(yè)利益追求與自我約束不足

在這個(gè)大數(shù)據(jù)時(shí)代, 數(shù)據(jù)就意味著價(jià)值, 以至于有人將數(shù)據(jù)比喻為“金礦”, 而企業(yè), 無疑就是這個(gè)礦產(chǎn)的挖掘者。像煤礦資源一樣, 當(dāng)這個(gè)挖掘者貪得無厭時(shí), “礦產(chǎn)”的挖掘就將給擁有者和開發(fā)者帶來災(zāi)難。以第三方支付企業(yè)的締約行為和隱私條款設(shè)置為例, 當(dāng)前第三方支付企業(yè)有以下行為可能給用戶造成個(gè)人信息安全風(fēng)險(xiǎn):

首先, 隱私政策設(shè)置不合理。以國內(nèi)第三方支付市場份額最高的支付寶和財(cái)付通的隱私政策為例, 其隱私政策的設(shè)置對消費(fèi)者存在的不利主要有:保存時(shí)效問題、用戶權(quán)利受限、平臺第三方不受平臺隱私政策約束和未成年人保護(hù)條款缺乏可執(zhí)行性。

保存時(shí)效問題是指企業(yè)對其所收集用戶個(gè)人數(shù)據(jù)保存時(shí)間的規(guī)定不充分或不合理?！吨Ц秾氹[私政策》與《財(cái)付通隱私政策》均未表明用戶個(gè)人信息的具體保存時(shí)限。齊愛民認(rèn)為, 保存時(shí)限原則是指為任何目的處理的個(gè)人資料都不得超過該目的所需要的時(shí)間而繼續(xù)保存[3]。而根據(jù)支付寶與財(cái)付通的隱私政策, 平臺對個(gè)人信息收集的主要目的為身份驗(yàn)證和業(yè)務(wù)開展, 因此, 平臺應(yīng)在完成相應(yīng)的驗(yàn)證目的之后, 根據(jù)法律規(guī)定保存日志相應(yīng)的期限, 并在期限后將數(shù)據(jù)刪除。

用戶權(quán)利受限指用戶應(yīng)有的個(gè)人信息自決權(quán)并未得到充分落實(shí)。個(gè)人信息自決權(quán), 是指網(wǎng)絡(luò)用戶決定自己的個(gè)人信息是否被收集、被如何收集以及被如何處理使用。但在大多數(shù)網(wǎng)絡(luò)服務(wù)協(xié)議中, 用戶必須完全同意網(wǎng)絡(luò)服務(wù)提供商的服務(wù)協(xié)議與隱私條款才能使用其產(chǎn)品或服務(wù), 用戶不具有協(xié)商的余地, 不得不讓步并授權(quán)。從當(dāng)今網(wǎng)絡(luò)服務(wù)定制化、個(gè)性化的發(fā)展趨勢來看, 互聯(lián)網(wǎng)企業(yè)具備為用戶提供差異化選擇的能力。因此, 傳統(tǒng)上“使用即授權(quán)”以及以網(wǎng)絡(luò)格式條款簡單粗暴地“和諧”用戶權(quán)利的網(wǎng)絡(luò)締約方式值得重新考量。

平臺第三方不受平臺隱私政策約束。從支付寶、財(cái)付通和銀聯(lián)商務(wù)等支付企業(yè)的隱私政策來看, 其支付平臺上第三方應(yīng)用不受支付平臺隱私政策約束, 前文已述, 此類做法可能將用戶權(quán)利置于真空狀態(tài), 不利于用戶個(gè)人信息的保護(hù)。

未成年人保護(hù)條款缺乏可執(zhí)行性?！吨Ц峨[私政策》與《財(cái)付通隱私政策》均有獨(dú)立的針對未成年人隱私保護(hù)的聲明, 但二者的聲明均僅限于提醒未成年人用戶在監(jiān)護(hù)人的監(jiān)督下使用該產(chǎn)品, 此外, 沒有相應(yīng)的措施保障未成年人權(quán)益。由于未成年人認(rèn)知能力、社會經(jīng)驗(yàn)與自制能力的不足, 其在使用互聯(lián)網(wǎng)產(chǎn)品服務(wù)與消費(fèi)時(shí)可能缺乏明確的認(rèn)識, 不能充分保護(hù)自身權(quán)益、行使自身權(quán)利, 所以, 未成年人權(quán)利應(yīng)受到特別的保護(hù)。在保護(hù)未成年人信息方面, 企業(yè)應(yīng)承諾對未成年個(gè)人信息做最小范圍的合理合法的應(yīng)用;同時(shí), 應(yīng)充分明確未成年人權(quán)利、提請對方及其監(jiān)護(hù)人的關(guān)注, 采取一定的技術(shù)手段, 在使用中過濾未成年人個(gè)人信息, 防止未成年人個(gè)人信息被同等使用。

雖然以上存在的問題均是從支付寶與財(cái)付通隱私政策所提取, 但通過檢視其他支付企業(yè)的隱私政策或服務(wù)協(xié)議可以發(fā)現(xiàn), 其他第三方支付企業(yè)也存在類似問題。以上問題也可算第三方支付企業(yè)的典型問題。

其次, 隱私條款提示不明顯。隱私條款提示不明顯早已有之, 并非支付企業(yè)的“專利”, 但第三方支付企業(yè)似有將其“發(fā)揚(yáng)光大”之勢。一些企業(yè)采取以縮小字體、放置在邊緣位置、淺色顯示和默認(rèn)勾選的方式讓用戶在注冊賬戶時(shí)易于忽略隱私條款。此外, 隱私條款內(nèi)容繁瑣、語言生澀也是用戶避開隱私條款的主要原因之一。前文所述《芝麻服務(wù)協(xié)議》便是此類典型。從支付寶《芝麻服務(wù)協(xié)議》的隱形默認(rèn)勾選事件可以看出, 企業(yè)對個(gè)人信息資源趨之若鶩, 且未充分規(guī)范與用戶達(dá)成合意的形式。

2.3.2、 法律規(guī)范與監(jiān)管不足

法律規(guī)范的不足主要表現(xiàn)在個(gè)人信息保護(hù)立法不足以及針對第三方支付等具有傳統(tǒng)行業(yè)或一般互聯(lián)網(wǎng)服務(wù)所不具備的特殊性的行業(yè)的針對性規(guī)范不足。一方面, 由于國內(nèi)學(xué)界對個(gè)人信息的研究起步較晚, 我國對個(gè)人信息保護(hù)的立法明顯滯后于時(shí)代的發(fā)展。直接保護(hù)個(gè)人信息的法律較少, 有關(guān)條款也分散在《憲法》、《民法總則》中, 專門的《個(gè)人信息保護(hù)法》尚未出臺[4], 盡管在2017年正式出臺了《網(wǎng)絡(luò)安全法》, 但個(gè)人信息的保護(hù)還未落到實(shí)處, 個(gè)人信息泄露、個(gè)人信息被買賣的現(xiàn)象仍時(shí)有發(fā)生;而在互聯(lián)網(wǎng)經(jīng)濟(jì)紅利兌現(xiàn)后, 不少學(xué)者也主張采用寬松的個(gè)人信息立法規(guī)范, 以促進(jìn)數(shù)據(jù)自由流通, 充分發(fā)揮大數(shù)據(jù)技術(shù)的經(jīng)濟(jì)驅(qū)動力。個(gè)人信息權(quán)益和經(jīng)濟(jì)發(fā)展利益的沖突, 也成了個(gè)人信息保護(hù)難以和經(jīng)濟(jì)發(fā)展進(jìn)行平衡的重要原因。另一方面, 第三方支付領(lǐng)域的針對性立法也較少。除前述法律對個(gè)人信息保護(hù)制定了統(tǒng)一標(biāo)準(zhǔn)外, 僅有《銀行法》、央行發(fā)布的《非金融機(jī)構(gòu)支付服務(wù)管理辦法》等有少量對個(gè)人信息保護(hù)要求, 但總體上仍以規(guī)范金融秩序和資金安全為主, 對個(gè)人信息保護(hù)的專門規(guī)定較少。法律規(guī)范的不足在第三方支付實(shí)踐中有明顯體現(xiàn), 前述第三方應(yīng)用對個(gè)人信息的收集和應(yīng)用得不到規(guī)范和限制便是其中之一;除此之外, 企業(yè)過多收集用戶信息、使用途徑和目的不明、用戶自決權(quán)得不到具體落實(shí)均是法律規(guī)范不足的表現(xiàn)。

除法律規(guī)范不足外, 監(jiān)管不力也是互聯(lián)網(wǎng)企業(yè)敢于“越界”或“打擦邊球”的主要原因之一。盡管個(gè)人信息安全問題日漸引起人們的重視, 相關(guān)法律法規(guī)和執(zhí)行辦法也相繼出臺, 但個(gè)人信息泄露問題仍時(shí)有發(fā)生, 究其原因, 主要有: (1) 相關(guān)執(zhí)法部門缺乏內(nèi)在動力, 往往僅在引起社會關(guān)注的重大侵權(quán)案件發(fā)生時(shí)才開展執(zhí)法行動; (2) 執(zhí)法部門過多, 執(zhí)行標(biāo)準(zhǔn)不一[5]。當(dāng)前, 涉及個(gè)人信息保護(hù)的部門包括公安部、工信部、中宣部等[6]。在缺乏統(tǒng)一立法領(lǐng)導(dǎo)的背景下, 多部門管理不僅沒有形成多邊合作, 全方位遏制個(gè)人信息侵權(quán)行為, 還導(dǎo)致了執(zhí)法權(quán)限不明、執(zhí)法過程推諉的現(xiàn)象, 使侵犯個(gè)人信息的違法犯罪活動甚囂塵上。