金融法学家第9辑：数据保护和信息安全

1.《欧盟网上支付安全指引》（PSD）

基于2007年欧盟出台的《支付服务指令I》（PSD I）和《支付服务准则》，欧盟又于2014年12月19日发布了《欧盟网上支付安全指引》[25]，并在2016年1月13日发布了《欧盟支付指令II》[26]（PSD II）。《指令II》于2018年1月13日在各个欧盟成员国正式生效。除了前述《指令II》旨在填补跨境银行卡、互联网和手机支付等支付市场重要领域的空白，应对快速增长的零售支付和新支付服务和扩展被监管主体范围外，《指令II》在数据保护和信息安全方面要求被监管主体建立健全信息管理系统；增加突发事件的即时申报制度和系统恢复要求；此外《指令II》对于网上支付和账户访问增加了客户动态授权双认证的安全性要求。

此外，欧洲银行业管理局还根据《指令II》通过统一下列技术和商业标准保证整个欧盟地区支付服务的便捷与安全：

·支付服务机构需在各自注册国申请支付服务牌照，为此需要提供经营模式说明、商业计划、适格业务领导人、注册资本金等信息

·欧洲金融监管机构统一进行支付服务机构的中央注册系统开发、上线与维护

·跨领域和跨境经营的支付机构需提交合作方法、途径、技术细节等信息，尤其是合作范围和数据的处理方式

·在本国之外其他欧盟成员国经营的支付服务机构需提供交易金额、服务种类和网点数等信息来决定具体国家协议的合规性

·支付安全措施的建立和执行标准

·支付服务准入认证和支付过程参与者之间通信的技术安全监管标准(www.xing528.com)

2.《欧盟电子交易身份电子识别和征信服务条例》（简称：eIDAS）[27]

为了让消费者在欧盟统一市场上的零售金融服务中能有更多的选择并能获得更好和更安全的服务，以及为了在整个欧盟建立一个支持数字创新的监管环境，欧盟委员会于2014年发布《欧盟电子交易身份电子识别和征信服务条例》（eIDAS），eIDAS取代了其1999年颁布的《欧盟电子签名法指令》（1999/93/EC号）。eIDAS旨在通过电子识别完成欧盟内部市场跨境交易的身份识别、交易认证和征信服务。eIDAS从电子签名的辨识度、安全级别等规定了合格的电子签名应具有的有效性，欧盟成员国之间电子签名系统互认、合规电子签名的法律效力、使用电子签名业务的监管机构，法律责任等四方面规定了电子签名作为个人身份信息的保护和安全的要求。

此外，eIDAS也是欧盟委员会于2017年3月22日发布的《欧盟消费金融服务行动计划》（Consumer Financial Services Action Plan：Better Products，More Choice）[28]中12条行动计划中的一项重要措施。

3.《欧盟数据保护基本法》（简称：DSGVO）：

《欧盟数据保护基本法》于2016年5月25日发布，自2018年5月25日起适用。为了确保个人信息不被滥用，该《基本法》具体规定了授权使用个人信息的要求和基本原则；个人信息相关人的权利：例如，知情权、取消信息处理权等；对数据处理机构在数据保护方面的要求，例如：数据保护专员机制；跨境数据传输的技术安全要求；数据安全监管机构的职能；国际监管机构间的合作；违规罚款。

4.《德国网上支付最低安全要求》（简称：MaSI）[29]

基于《欧盟网上支付安全指引》[30]，德国于2015年5月5日发布了《德国网上支付最低安全要求》（简称：MaSI）。该《最低安全要求》具备法律效率。内容上要求各个被监管机构从组织架构上设立职能独立的“信息科技安全专员”；技术上要满足加强的身份认证；在网站上实时对客户普及网上支付风险知识和避免网上支付风险的方法。