网易支付被重罚背后，警惕数据安全红线！

　　北京商报讯（记者 刘四红）一张超200万元的监管罚单，让网易支付再度走入行业视野。6月8日，据人民银行浙江省分行发布的行政处罚信息，网易支付（杭州）有限公司（以下简称“网易支付”）因违反账户管理规定、违反清算管理规定、违反数据安全管理规定、未按照规定开展客户尽职调查，被警告，并处220.4万元罚款。

　　此次罚单仍采用双罚制，网易支付技术中心余某对违反数据安全管理规定负有责任，被处4.5万元罚款；网易支付反洗钱中心朱某对未按照规定开展客户尽职调查负有责任，被处2.4万元罚款。

　　公开信息显示，网易支付是广州网易计算机系统有限公司旗下的第三方支付平台，成立于2010年7月，注册资本2.7亿元，法定代表人刘庆生。

　　作为网易生态内重要的第三方支付载体，网易支付覆盖场景多元，除基础转账、银行卡支付、生活缴费等通用金融服务外，还深度绑定网易游戏、藏宝阁、话费及点卡充值等集团核心业务，依托母公司庞大的互联网流量，积累了海量用户身份信息、交易流水、消费行为等核心数据。

　　针对此次被罚事件，北京商报记者向网易支付及网易方面采访，但截至发稿，未获得后者回应。

　　业务场景越丰富，数据体量越庞大，在业内看来，此次处罚中，数据安全违规被单独列为主要处罚事由，并直接追究技术条线负责人责任，成为本次罚单最值得行业警惕的关键点。

　　正如博通咨询首席分析师王蓬博分析，网易支付的罚单中，和以往支付机构处罚的不同在于，这次不只是常见的账户、清算、反洗钱问题，而是将数据安全管理违规纳入处罚事由，同时同步追责技术中心相关负责人，这类组合处罚在过往同类罚单中并不多见。

　　“以往监管处罚多聚焦账户、清算、客户尽职调查等业务端问题，数据安全相关问题很少直接列为主罚事项，也极少单独追究技术条线人员责任。这次监管把技术负责人纳入追责范围，也意味着数据合规不再只是业务部门的要求，技术架构、运维管理全链条都要承担相应责任。”王蓬博补充道。

　　王蓬博进一步分析，一般来说，支付机构触发数据安全类处罚，一是用户交易、身份等核心数据采集、存储、传输不符合规范，二是数据防护体系存在漏洞，未落实分级分类管理要求，三是违规向第三方流转、泄露平台数据。

　　网易支付罚单背后，也折射出整个第三方支付行业长期存在的合规顽疾。素喜智研高级研究员苏筱芮提到，网易支付此次被罚，是今年以来支付行业高压态势不减的典型缩影，暴露出支付机构的合规短板。另结合反洗钱这一高频罚单事项看，支付机构在其发展过程中体现出“重业务、轻合规”的倾向，一方面，合规投入并不能转化为支付机构收入，往往会被一些支付机构轻视，甚至主动放松要求；另一方面，随着新兴科技的发展，洗钱手段呈现日益隐蔽与智能化趋势，而部分支付机构科技能力薄弱，监测模型滞后，难以适应当下发展环境。

　　另外，苏筱芮称，数据安全管理相关罚单虽然近年来在行业较少出现，但足以引起支付机构的充分重视。网易支付依托网易这一互联网平台，背后牵扯到海量用户数据的采集、存储与使用，在网易生态内还承担着多场景数据共享的角色，场景多元且规模量大。要确保数据安全合规，支付机构必须从数据分类分级、加密存储、访问控制、“最小必要原则”等方面全面推进，在数据安全与业务效率之间寻求商业平衡。

　　值得一提的是，网易支付曾是网易金融的核心产品之一，早在2015年，网易金融事业部成立，主要业务分为第三方支付、互联网理财、消费贷款三个业务板块，产品包括网易支付（网易宝）、网易理财、网易小贷。但随着行业变化，网易理财于2018年底全面退出，网易小贷于2019年前后被“卖身”至连连支付，目前网易金融板块仅剩网易支付，且从与网易的生态链接来看，业务表现并不突出。

　　“关注到网易支付牌照距离到期仅余一年时间，机构需在此窗口期抓紧整改。”苏筱芮指出，网易支付应对此给予重视，在完成合规整改的同时，也要与母公司双方形成数据安全框架下的数据共享与业务协作机制，将合规挑战转化为协同发展的契机。

　　“后续建议网易支付与网易进一步强化内部合规一体化管理，将支付合规要求融入整体技术架构设计，依托技术优势补齐合规短板，同时在业务协同过程中严守监管底线，稳步推进场景与技术的融合落地。”王蓬博同样称。