完善制度规范 惩治第四方支付违法犯罪(2)

　　明确收单机构与第四方支付服务商之间的权利义务。一方面,要强化收单主体的审核职责。收单机构出于对第四方支付服务商的依赖,常常由服务商录入商户基本信息后自行审核。但服务商可能存在形式审核、伪造商户、篡改资料等情况,容易造成不法账户接入合法支付体系。因此,收单机构应事先全面审核支付系统的安全性,通过协议明确彼此权利义务,采取有效技术规避服务商滥用支付渠道或隐匿、篡改、伪造交易信息。另一方面,要形成收单机构和第四方支付之间的合作与监督关系。收单机构通过第四方支付服务商来合法拓展业务规模;第四方支付机构则凭此获取合理的佣金报酬,不得以资金结算、资质审核、密钥管理等核心支付业务牟利。 
　　完善第三方支付账户权限划分。为有效控制支付渠道滥用和保障客户合法权益,应完善第三方支付账户权限的划分。实际上,《办法》已规定了支付机构的反洗钱义务,“支付机构明知或应知客户利用其支付业务实施违法犯罪活动的,应停止为其办理支付业务”。2016年《非银行支付机构网络支付业务管理办法》也要求第三方支付机构“建立交易风险管理制度和交易监测系统,对疑似风险和非法交易及时采取调查核实、延迟结算、终止服务等必要控制措施”。但是,法律规定只有央行、公检法机关、税务机关等特定机关才具有查询、冻结、扣划资金等权限。所以,一方面应有限度地给予第三方支付机构冻结资金的权限,如可视不同情况冻结资金1至3个月,这样既能打断网络赌博平台等非法平台的资金链,又能给予公安机关等部门一定的侦查时间;另一方面,应健全风险准备金和客户损失赔付机制,缩短账户申诉流程,及时处理客户投诉,最大程度保障账户所有者的合法权益。 
　　建立交易信息安全保障制度。第四方支付汇集了大量用户信息、商户信息和交易信息,因此亟待建立第四方支付服务商的信息安全保障制度,避免信息泄露、留存或贩卖。一是应明确第四方支付场景下的公民个人信息范围,建立身份信息、金融信息、地理信息等具体信息种类的判断标准,有效维护交易各方的信息安全。二是服务商应采取加密存储、访问控制、信息审计等措施防范拖库撞库攻击,并在应用软件上支持页面回退清除敏感信息机制,同时还要在应用软件退出时自动清除非必要数据,以维护客户信息的保密性。三是第三方支付机构应通过支付标记化技术,定期开展敏感信息安全的内部设计,注意支付接口的审核和安全,协同第四方支付服务商把好“安全关”。 
　　明晰司法适用标准。第四方支付服务商往往以技术中立为由为自己辩护,对此应确立共同犯罪中“明知”的判断标准。以网络赌博为例,《关于办理网络赌博犯罪案件适用法律若干问题的意见》规定,行为人明知别人在网络赌博,仍为赌博网站提供资金支付结算服务,收取服务费数额在1万元以上或者帮助收取赌资20万元以上的,可认定为开设赌场罪的共同犯罪。其“明知”判断标准在于是否收取“明显异常”的服务费。同理,第四方支付服务商是否“明知”取决于其收费标准是否“明显过高或过低”。目前第三方支付的服务费标准往往在0.1%至1%之间,而不法第四方支付服务商为赌博网站提供的服务费却可达5%至7%左右,足可构成“明显过高”。在利用虚拟货币、虚拟物品进行洗钱的场景中,服务商会采取远低于正常市场价格的做法进行大批量交易,基于法秩序的统一,我们可参照公司法关于“关联交易损害公司利益”的司法解释和合同法关于“房屋买卖合同”的规定,将低于市场价格70%的做法界定为明显低于市场价格,构成“明显过低”。 
　　完善刑事立法。以第四方支付的统筹治理为例,支付账户是非法结算资金的必要工具,而有效管理账户、资金的前提是全面遏制非法使用公民个人信息的行为。但当前我国的侵犯公民个人信息罪只包括非法获取、出售及提供公民个人信息三种行为,并没有包括非法使用公民个人信息这一行为类型,而非法使用公民个人信息的行为既不能通过法律解释纳入侵犯公民个人信息罪,也无法以妨害信用卡管理罪、信用卡诈骗罪、合同诈骗罪等涉及非法使用公民个人信息的罪名加以处理。实际上非法获取、出售、提供的最终落脚点在于非法使用公民个人信息,可见非法使用行为直接涉及信息主体的各项权益,具有严重的法益侵害性;民法总则第111条、网络安全法第41条、消费者权益保护法第29条都明确禁止非法使用公民个人信息,说明“使用”行为在相关前置法中也作为独立行为加以评价,将其入罪有利于法秩序的统一。因此,应将非法使用公民个人信息、情节严重的行为作为一种独立的行为类型,与非法获取、出售及提供公民个人信息的行为类型相并列,共同纳入侵犯公民个人信息罪的规制范围,以实现对公民个人信息刑法保护的全覆盖。