一次性泄露超5000条客户信息应报告

【实习记者 许予朋】

7月23日，为进一步规范非银行支付机构重大事项报告行为，央行印发《非银行支付机构重大事项报告管理办法》（以下简称《办法》）。

随着支付市场快速发展，支付机构业务覆盖面持续扩大和涉及客户数量持续增多，各类突发情形所引发的支付风险事件，可能对支付机构、支付行业以及金融消费者产生较大影响。

去年7月，央行在发布《办法》征求意见稿时指出，将支付机构各类重大经营变化事项和突发情况纳入重大事项进行管理，做到风险“早发现、早预警、早处置”，能够增强央行风险监测分析能力及监管主动性，为风险事件的研判、处置提供有力支撑。

《办法》确定了非银行支付机构需报告的重大事项范围，包括：首次公开发行或者增发股票的；提供支付创新产品或者服务、与境外机构合作开展跨境支付业务或与其他机构开展重大业务合作的；拟在境外投资设立分支机构、控股附属机构的；重要负责人拟抵押、质押、托管支付机构股权或者超过净资产10%的重要资产的；累计对外提供的有效担保超过净资产30%的；对外投资超过净资产5%的；支付业务设施发生重大调整或变更外部重点合作机构等情况。

《办法》指出，支付机构发生风险事件或者突发情况的，应当按照央行相关规定及时报告。其中，发生信息泄漏一次性涉及客户信息数据超过5000条或者客户数量超过500户的，以及支付业务中断超过2小时（征求意见稿为“30分钟”）或者影响支付业务笔数超过10万笔的，涉嫌利用支付机构渠道从事欺诈、洗钱、非法集资、网络赌博等情况，属于“一类事项”，应当在事项发生后2小时内通过电话、传真或者电子邮件等形式向所在地央行分支机构及时报告，并在事项发生后2个工作日内向所在地央行分支机构提交书面报告。

当支付机构涉及涉案金额超过净资产10%的重大诉讼、仲裁纠纷，超过净资产10%的重要资产被查封或者冻结时，或发生信息泄露一次性涉及客户信息数据不超过5000条，且涉及客户数量不超过500户时，或支付业务中断不超过2小时且影响支付业务笔数不超过10万笔时，则需按照“二类事项”的规则进行汇报：在事项发生后24小时内通过电话、传真或者电子邮件等形式向所在地央行分支机构及时报告，并在事项发生后5个工作日内向所在地央行分支机构提交书面报告。

《办法》要求，央行分支机构应当将支付机构重大事项报告执行情况纳入支付机构年度分类评级考核。同时，支付机构应当健全重大事项报告、风险事件防控、处置等工作机制，明确重大事项报告、风险事件处置责任部门和应急处置流程、措施，提高风险预警、监控和处置能力。

据悉，《办法》将自2021年9月1日起施行。支付机构应自《办法》施行之日起10个工作日内向法人所在地央行分支机构首次报送本支付机构实际控制人、受益所有人的基本信息及对应的控制关系、受益关系等情况。