今年3月，央行下发了《关于进一步加强支付结算管理防范电信网络新型违法犯罪有关事项的通知》即85号文。在85号文不足10页的篇幅中却内容满满，6大类21点举措吹响了中国金融支付行业反欺诈反洗钱整改的号角。

反欺诈反洗钱是保证金融安全、支付安全的重要工作。在85号文中，央行要求加强对“条码支付受理移动终端”的管理，并且加强账户实名制管理、加强转账管理，加强对反欺诈反洗钱的打击。

双重监管，金融支付App的“两难”

央行下发85号的时期正值两会结束不久，在两会上最引人瞩目的话题无疑是个人信息安全保护。两会之后各部门陆续下发了多份针对数据安全、个人隐私安全的法规办法，其中包括《数据安全管理办法（征求意见稿）》、《移动互联网应用基本业务功能必要信息规范》和近日发布的《App收集个人信息基本规范（草案）》。

其中《数据安全管理办法（征求意见稿）》第十一条规定直接限制了网络运营者对用户个人信息的收集范围，网络运营者只能收集业务运行需要的用户个人信息，不能使用“提升用户体验、定向推送信息”等理由强迫、误导用户同意收集个人信息，且不能因为用户不提供额外个人信息停止核心业务的使用。

哪些信息属于业务所必须的个人信息呢？《移动互联网应用基本业务功能必要信息规范》给出了答案。网络支付业务的必要信息有6种：手机号码、账户信息、身份信息、银行账户信息、交易信息、交易身份验证信息；金融借贷业务的必要信息有7种：手机号码、账户信息、身份信息、银行账户信息、个人征信信息、紧急联系人信息、借贷交易记录。

在近日发布的《App收集个人信息基本规范（草案）》中，则是比上表多了交易信息和网络日志两项。无论是哪一份文件，都没有将地理位置信息、用户通讯录和设备唯一标识码作为业务必要信息。也就是说按照上述两份规范，金融支付App不应该收集用户地理位置信息。

但是根据央行发布的85号文，收单机构应对“条码支付受理移动终端”的位置进行实时监测而且要可以上报。

地理位置信息是反欺诈反洗钱监管与个人信息安全监管双重监管下金融支付机构遇到的麻烦之一。读取用户通讯录权限和收集设备唯一标识码则是另外一个麻烦。在金融支付反欺诈反洗钱的过程中，有一个非常重要的步骤就是对恶意账号的识别，如何完成对恶意账号的识别呢？用户通讯录和设备唯一标识码就是识别过程中最常用到的信息。

金融支付机构通过大数据和人工智能技术对收集到的用户通讯录、设备唯一标识码、用户行为信息进行识别，再配合黑名单、交易信息、网络日志的同步识别筛选来判断一个账号是不是恶意账号，这对于反欺诈风控是非常重要的一步。

现在用户通讯录和设备唯一标识码成为了收集用户个人信息的准禁区，以后风控该怎么做？

双重监管或将带来行业洗牌

地理位置信息、用户通讯录和设备唯一标识码是金融支付App面临难题的代表。实际上金融支付App要解决三个问题：1.加强反欺诈反洗钱能力，做好风控；2.规范对用户个人信息的采集、使用；3.保证金融信息安全。

想要同时解决这三个问题需要极其强大的技术能力和业务水平，但是目前的监管就是要求金融支付机构同时解决这三个问题。不少人认为，既要保证最低限度的个人信息收集又要加强现有风控水平几乎是不可能做到的事情。

但是保证用户个人信息安全和加强反欺诈反洗钱之间真的存在矛盾吗？在电信网络欺诈中，精准的个人信息发挥着不可替代的作用，一方面可以用于攻破金融支付机构的安全策略，另一方面可以取信受害人，实施精准诈骗。

根据腾讯近日发布的《电信网络诈骗治理研究报告》，个人信息泄露正是电信网络欺诈无法杜绝的主要原因之一。可以说，保护用户个人信息安全和加强反欺诈反洗钱其实是紧密相关的，甚至可以说互为表里。因此两个事情必然要一起进行才可以起到最好的效果。

另外，保护个人信息安全和反欺诈反洗钱在法律法规上并没有矛盾。用户身份信息、交易信息等关键风控信息属于业务必须信息，而地理位置信息、设备唯一标识码等信息可以通过弹窗等方式向用户申请使用。

对于个人信息保护来说，用户个人信息不是不可以获取，而是获取用户个人信息必须遵循合法、正当、必要的原则，公开收集、使用规则，明示收集、使用信息的目的、方式和范围，并经被收集者同意。也就是说，在反欺诈反洗钱所必须的情况下，是可以依法收集、使用部分个人信息安全。

当然，不是所有公司都可以满足解决问题所需技术能力和业务水平，如果真的不能解决问题，被行业所淘汰也不是没有可能的。

“时代变了，大人”

无疑，时代正在发生变化。在双重监管开始之前，不少金融借贷公司“两头吃”，一边放贷，一边卖用户个人信息，支付机构则是在违法违规的边缘疯狂试探，大赚灰色收入。现在时代发生了变化，而且发生了巨大的变化，金融支付机构也必须直面这些变化，如果还抱着上个时代的态度，只会被时代所淘汰。

移动金融App安全讨论群，请添加群主微信：gogol_ling，备注公司+姓名+职务+安全进群。