《反电信网络诈骗法》对于互联网企业的九大义务

2022年9月2日，十三届全国人大常委会第三十六次会议表决通过《中华人民共和国反电信网络诈骗法》，自2022年12月1日起施行。2015-2020年，公安机关以电诈为主的诈骗案件立案数分别为104万件、97万件、92万件、115万件、143万件、191万件。2020年，诈骗案件数量首次超过盗窃，成为中国当前的第一大犯罪。中国司法大数据研究院发布的《涉信息网络犯罪特点和趋势司法大数据专题报告》显示，2017-2021年，涉信息网络犯罪中诈骗罪占比最高，达到36.53%，近五年全国电信网络诈骗案件共涉及被告人22.34万名。这一系列数据都表明电信网络诈骗对我国国家、社会及公民发展都产生了严重的负面影响，在这一背景下《反电信网络诈骗法》应运而生。

本法的亮点之一是第四章“互联网治理”，本章主要规定了互联网企业在反电信网络诈骗工作当中应当尽到的义务，此种将行政管理职责由国家转移至市场主体，通过专章规定市场主体第三方义务以控制犯罪的立法形式在我国尚属首次，第四章与其他章的个别规定相结合，共同构建了互联网企业在电信网络诈骗犯罪治理中的主体责任，《反电信网络诈骗法》（以下简称“本法或《反电诈法》”）作为由全国人大常委会制定的法律，这将对互联网企业将产生较大的影响。

本文从互联网企业角度出发，对新法的相关规定解读如下：

01规定&解读

一、建立反电诈内控制度 新业务涉诈风险安全评估

【法律规定】第六条第五款规定：“互联网服务提供者承担风险防控责任，建立反电信网络诈骗内部控制机制和安全责任制度，加强新业务涉诈风险安全评估。”

【解读】本条在总则中明确提出了互联网企业对于反电信网络诈骗的总体义务为风险防控义务，为履行风险防控义务，要求互联网企业建立反电信网络诈骗内控机制和安全责任制度，在新业务开展之前进行涉诈风险安全评估。

对企业而言，机制、制度的建立应当留痕，涉诈风险评估可以由法务部门或外部律师出具涉诈风险评估报告，针对潜在风险制定合理的应对措施。本条作为总则性规定，是否履行反电诈义务，很可能成为后续企业是否需要承担行政责任甚至是刑事责任的抗辩事由。

二、强制实名认证

【法律规定】第二十一条：电信业务经营者、互联网服务提供者为用户提供下列服务，在与用户签订协议或者确认提供服务时，应当依法要求用户提供真实身份信息，用户不提供真实身份信息的，不得提供服务。

【解读】本法颁布实施之前，我国法律中关于实名认证效力最高且违反需要承担法律责任的规定是《网络安全法》第24条、61条，其中只要求提供网络接入、域名注册、信息发布与即时通讯服务的互联网企业在提供上述服务时履行对用户的实名认证义务。同时，在游戏、直播等领域内有一系列部门规章、规范性文件等对于实名认证提出了要求。

而《反电诈法》规定具体需要进行实名认证的服务共4大类、13小类，具体包括：互联网接入服务、网络地址转换服务、域名注册服务、服务器托管服务、空间租用服务、云服务、内容分发服务、信息/软件发布服务、即时通讯服务、网络交易服务、网络游戏服务、网络直播服务、广告推广服务，极大拓展了需要进行实名认证的网络服务的范围，基本涵盖了互联网服务的方方面面，即互联网企业面向用户提供的几乎一切信息网络服务都需要用户进行实名认证。

此次《反电诈法》从狭义的法律层面对互联网服务进行归纳，以强制性规定的方式要求互联网服务实行全面的实名认证，正式确立了我国信息网络领域中“不实名，无服务”的原则。

三、涉诈账号监测、识别、处置和申诉救济

【法律规定】第二十二条：互联网服务提供者对监测识别的涉诈异常账号应当重新核验，根据国家有关规定采取限制功能、暂停服务等处置措施。

互联网服务提供者应当根据公安机关、电信主管部门要求，对涉案电话卡、涉诈异常电话卡所关联注册的有关互联网账号进行核验，根据风险情况，采取限期改正、限制功能、暂停使用、关闭账号、禁止重新注册等处置措施。

第二十五条：电信业务经营者、互联网服务提供者应当依照国家有关规定，履行合理注意义务，对利用下列业务从事涉诈支持、帮助活动进行监测识别和处置：（一）提供互联网接入、服务器托管、网络存储、通讯传输、线路出租、域名解析等网络资源服务；（二）提供信息发布或者搜索、广告推广、引流推广等网络推广服务；（三）提供应用程序、网站等网络技术、产品的制作、维护服务；（四）提供支付结算服务。

本法第三十二条：“依据本法第十一条、第十二条、第十八条、第二十二条和前款规定，对涉诈异常情形采取限制、暂停服务等处置措施的，应当告知处置原因、救济渠道及需要提交的资料等事项，被处置对象可以向作出决定或者采取措施的部门、单位提出申诉。作出决定的部门、单位应当建立完善申诉渠道，及时受理申诉并核查，核查通过的，应当即时解除有关措施。”

【解读】本法为互联网企业设置的涉诈账号监测、识别与处置义务共有两条，为二十二条、二十五条第二款，分别规定了对涉诈账号本身及电诈上下游帮助行为的监测、识别与处置。

在企业自主履行上述义务过程中，若发现潜在涉诈风险应当对可疑账号进行详细复核，复核不能排除合理怀疑的应当及时采取处置措施。需要注意的是，在企业自主履行核验、监测、识别义务的情况下，对涉诈账号的处置措施应当严格遵守法律规定，即只能是限制功能、暂停服务，而不能采取其他措施，以防处置错误之后给企业带来的民事法律责任。

对涉诈账号及支持、帮助涉诈行为进行风险防控，除了依靠企业自身的技术手段之外，其他合法用户的投诉举报也是重要的线索来源，所以企业应当建立完善的投诉举报制度，畅通投诉举报渠道，并对投诉举报线索及时跟进、核实与反馈，多措并举，切实履行好犯罪控制的主体义务。

当互联网企业作出涉诈处置决定时，应当向被处置对象明确告知：处置原因、救济渠道、获取救济需要提交的资料、申诉方式。这就要求企业建立完善的客户服务制度，增强涉诈风险识别能力，提高识别准确度，制定明确可行的复核制度。如果企业仅抱着“宁可错杀一千，绝不放过一个”的态度进行反诈工作，可能会引发大量民事诉讼，增加企业诉累与生产经营成本，引发负面舆论，不利于企业发展。

四、分发渠道的APP实质审核义务

【法律规定】第二十三条：“设立移动互联网应用程序应当按照国家有关规定向电信主管部门办理许可或者备案手续。

为应用程序提供封装、分发服务的，应当登记并核验应用程序开发运营者的真实身份信息，核验应用程序的功能、用途。

公安、电信、网信等部门和电信业务经营者、互联网服务提供者应当加强对分发平台以外途径下载传播的涉诈应用程序重点监测、及时处置。”

【解读】本条是对互联网企业如何对APP进行管理的规定，与今年8月1日起施行的《移动互联网应用程序信息服务管理规定》相比，《反电诈法》提出了更高的要求。本条第一款强调了设立APP必须取得ICP许可或进行ICP备案，属于注意性规定。

本条第二款中提到了APP封装服务，第三款中又特别提到了APP分发平台以外途径，结合近年来提供“超级签”等服务以帮信罪被定罪量刑的案例不断增加的情况，说明国家已经注意到了许多违规涉诈APP都是通过封装的方式在用户之间传播，今后会加大对此类活动的监管与打击力度。

《移动互联网应用程序信息服务管理规定》第二十条对APP分发平台提出的管理要求为形式审查，而本条第二款规定分发平台对APP功能、用途进行核验为实质审查，对APP分发平台履行法律义务的要求进一步提升。在这种情况下，不管是为APP提供封装服务还是分发服务，应当从对APP提供者的实名核验、APP内容的审查两方面来履行义务，防范自身法律风险。应当采取复合验证等措施，对申请上架的应用程序提供者进行基于移动电话号码、身份证件号码或者统一社会信用代码等多种方式相结合的真实身份信息认证；同时采用机器审核与人工审核相结合的方式对APP内容进行审查，并保证留痕可查。

五、域名管理：核验、记录留存、可溯源

【法律规定】本法第二十四条规定：“提供域名解析、域名跳转、网址链接转换服务的，应当按照国家有关规定，核验域名注册、解析信息和互联网协议地址的真实性、准确性，规范域名跳转，记录并留存所提供相应服务的日志信息，支持实现对解析、跳转、转换记录的溯源。”

【解读】本条是关于互联网域名服务提供者的义务规定，其中主要是核验、记录留存、可溯源三项义务。此前，我国关于域名服务提供者的义务主要规定于《互联网域名管理办法》中，其中对核验义务、记录留存义务及相应法律后果均有明确规定，本法除这两种义务之外又增加了可溯源义务，可溯源义务实质上是对核验义务、记录留存义务履行质量的要求。

在包括电信网络诈骗在内的涉信息网络犯罪刑事诉讼中，电子数据是重要的证据种类，本条规定可以看作是对第二十六条司法配合协助义务在域名服务领域的补充。

六、司法配合协助 反诈线索报告

【法律规定】本法第二十六条规定：“公安机关办理电信网络诈骗案件依法调取证据的，互联网服务提供者应当及时提供技术支持和协助。

互联网服务提供者依照本法规定对有关涉诈信息、活动进行监测时，发现涉诈违法犯罪线索、风险信息的，应当依照国家有关规定，根据涉诈风险类型、程度情况移送公安、金融、电信、网信等部门。有关部门应当建立完善反馈机制，将相关情况及时告知移送单位。”

【解读】本条第一款是注意性规定，根据《警察法》等相关法律规定，配合公安机关调查、给予支持和协助本就是每个公民应尽的义务，在本法颁布之前互联网企业对公安机关办案需求也大都是极为配合的。值得注意的是第二款，当互联网企业发现涉诈违法犯罪线索或风险，应当向有关行政监管部门汇报。此种义务类似于未成年人保护制度中的“强制报告义务”，互联网企业发现涉诈风险或线索时，除了应当履行本法第二十二条规定的义务，还应当同时进行报告。

至此，《反电诈法》第四章专门针对互联网企业义务的规定结束，但在第五章“综合措施”中也存在一些条文与互联网企业密切相关。

七、反诈案件，个人信息溯源调查

【法律规定】本法第二十九条规定：“个人信息处理者应当依照《中华人民共和国个人信息保护法》等法律规定，规范个人信息处理，加强个人信息保护，建立个人信息被用于电信网络诈骗的防范机制。

履行个人信息保护职责的部门、单位对可能被电信网络诈骗利用的物流信息、交易信息、贷款信息、医疗信息、婚介信息等实施重点保护。公安机关办理电信网络诈骗案件，应当同时查证犯罪所利用的个人信息来源，依法追究相关人员和单位责任。”

【解读】本条是对互联网企业个人信息保护义务的规定。根据本法第二十一条的规定，几乎一切互联网服务提供者都需要对用户履行实名认证义务，即可能掌握可以识别特定自然人身份的信息（身份证号），属于个人信息处理者，需要遵守《个人信息保护法》中关于个人信息处理者义务的全部规定。

本条第二款中值得特别注意，首先，第二款中所列“物流信息”中可能包含公民行踪轨迹信息，“交易信息、贷款信息”中可能包含公民金融账户信息，“医疗信息、婚介信息”中可能包含公民医疗健康信息或生物识别信息，根据《个人信息保护法》，以上信息均构成敏感个人信息，需要遵守敏感个人信息处理规则。

此外，本款中强调了公安机关办理电诈刑事案件时“应当”查证犯罪所利用的个人信息来源，这说明今后办理电信网络诈骗案件时，对电诈和个人信息泄露问题进行“一案双查”将成为常态化。若电诈犯罪分子利用的个人信息来源于企业，常见情况一是企业或企业中工作人员利用自己获取的公民个人信息牟利，二是企业未对获取的公民个人信息严格按照《个人信息保护法》《网络安全法》《数据安全法》等规定采取保护措施或保护措施不到位而导致信息泄露。在第一种情况下，企业或企业工作人员可能涉嫌侵犯公民个人信息罪，在第二种情况下，企业可能会受到高额行政处罚。故互联网企业在履行反电信网络诈骗相关义务的同时也要注重个人信息保护与数据合规工作，不可偏废。

八、反诈宣传提示

【法律规定】本法第三十条规定：“电信业务经营者、银行业金融机构、非银行支付机构、互联网服务提供者应当对从业人员和用户开展反电信网络诈骗宣传，在有关业务活动中对防范电信网络诈骗作出提示，对本领域新出现的电信网络诈骗手段及时向用户作出提醒，对非法买卖、出租、出借本人有关卡、账户、账号等被用于电信网络诈骗的法律责任作出警示。”

【解读】本条规定了互联网企业的反诈宣传义务。具体的宣传内容主要有两点：一是对防范电信网络诈骗的宣传，二是对非法出租、出借本人有关卡、账户、账号被用于电信网络诈骗可能需要承担法律责任的警示。

本条属于倡导性规定，企业未履行到位也不需要承担法律后果，但基于《反电诈法》的法律位阶，国家对反电信网络诈骗工作的重视以及企业承担社会责任的需要，建议企业在进行反诈合规工作时对该项义务也积极履行。

反诈宣传提示义务可以通过在用户注册、使用互联网服务时于显著位置进行提示、在用户协议中提示、在用户需要进行银行卡绑定或支付时提示等方式履行。需要注意的是，互联网企业尽量避免采用短信提醒的方式履行反诈宣传提示义务，如确需通过短信方式履行，需要遵守《通信短信息服务管理规定》的相关规定，否则可能被工信部门行政处罚。

九、不得非法买卖、出租账号、帮助实名

【法律规定】本法第三十一条规定：“任何单位和个人不得非法买卖、出租、出借电话卡、物联网卡、电信线路、短信端口、银行账户、支付账户、互联网账号等，不得提供实名核验帮助；不得假冒他人身份或者虚构代理关系开立上述卡、账户、账号等。”

【解读】对互联网企业而言，本条规定最重要的影响在于互联网账号禁止非法转移使用权。结合强制实名规定来看，国家强调通过一号一人的对应关系来规范网络空间秩序，便利网络灰黑产打击。

微信号、QQ号等账号禁止转移使用权是确定的，在江苏省高院发布的程某某诉赵某某买卖微信账号合同纠纷案（2021）参阅案例18号中，明确微信账号买卖合同无效，其理由主要有三点：（1）微信账号为公民个人信息载体，买卖微信账号构成买卖他人个人信息，违反法律的禁止性规定；（2）根据《微信软件许可及服务协议》，协议中明确约定了不得转让微信账号使用权，双方在明知协议的情况下达成买卖合同构成恶意串通，损害了第三人合法权益，根据《民法典》第154条合同无效；（3）买卖微信号的行为危害社会公共利益。

但我们认为，本条规定并不代表一切互联网账号（如网络游戏账号）使用权转移行为均属无效，需要分情况讨论。在(2022)陕0113民初2757号、(2021)苏03民终10186号、(2020)豫16民终1205号等多份判决书中均可以看到，网络游戏账号和装备具有一定的使用价值和交换价值，属于虚拟财产的范畴，在法律允许范围内进行转让、交易并非法律所禁止的裁判观点。同时，在(2019)粤0305民初12900号、(2016)京0107民初5922号等判决书中可以看到，即使互联网企业在用户协议中约定了互联网账号禁止转让等条款，但买卖双方基于真实自愿的合意达成的买卖合同并不因违反协议而当然构成恶意串通行为。

综上，我们认为，结合《反电诈法》的立法目的来看，当某一互联网账号中不包含或关联其他自然人的个人信息，账号使用权转移的行为不侵害他人的合法权益、不影响他人的信赖利益，也不会增加其他自然人受到电信网络诈骗风险的情况下，转移互联网账号使用权不属于“非法”，不包含在本条禁止的范围之内。

02法律责任

1.刑事法律责任：拒不履行信息网络安全管理义务罪刑事法律风险对企业来说可谓是“生命不可承受之重”，《反电诈法》又为互联网企业设定了许多新的犯罪控制义务，在诸多刑事罪名中，拒不履行信息网络安全管理义务罪无疑是悬在互联网企业头上的“达摩克里斯之剑”。

【法律规定】《刑法》第二百八十六条之一 网络服务提供者不履行法律、行政法规规定的信息网络安全管理义务，经监管部门责令采取改正措施而拒不改正，有下列情形之一的，处三年以下有期徒刑、拘役或者管制，并处或者单处罚金：

（一）致使违法信息大量传播的；

（二）致使用户信息泄露，造成严重后果的；

（三）致使刑事案件证据灭失，情节严重的；

（四）有其他严重情节的。

单位犯前款罪的，对单位判处罚金，并对其直接负责的主管人员和其他直接责任人员，依照前款的规定处罚。

《反电诈法》作为全国人大常委会制定的法律，为互联网企业设定的反电信网络诈骗义务属于法律规定的信息网络安全管理义务，但上文中的第8、第10项义务不属于命令性规范或禁止性规范，不在此列。两高《关于办理非法利用信息网络、帮助信息网络犯罪活动等刑事案件适用法律若干问题的解释》第三条至第六条详细规定了本罪的入罪条件。企业特别需要注意的是，《反电诈法》第六章中规定了许多违反本法规定的行政处罚措施，若企业已经被司法行政机关进行了第一次行政处罚，后续依然存在违法行为，被认定为构成拒不履行信息网络安全管理义务罪的可能性将大大增加。

2.行政法律责任：最高五百万罚款《反电诈法》中对互联网企业未履行法定义务的行为规定了处罚措施，以表格形式总结如下：

1. 法律规定	处罚
   （1）未落实国家有关规定确定的反电信网络诈骗内部控制机制的；（2）未履行网络服务实名制职责，或者未对涉案、涉诈电话卡关联注册互联网账号进行核验的；（3）未按照国家有关规定，核验域名注册、解析信息和互联网协议地址的真实性、准确性，规范域名跳转，或者记录并留存所提供相应服务的日志信息的；（4）未登记核验移动互联网应用程序开发运营者的真实身份信息或者未核验应用程序的功能、用途，为其提供应用程序封装、分发服务的；（5）未履行对涉诈互联网账号和应用程序，以及其他电信网络诈骗信息、活动的监测识别和处置义务的；（6）拒不依法为查处电信网络诈骗犯罪提供技术支持和协助，或者未按规定移送有关违法犯罪线索、风险信息的。	情节较轻：给予警告、通报批评，或者处五万元以上五十万元以下罚款情节严重：处五十万元以上五百万元以下罚款，并可以由有关主管部门责令暂停相关业务、停业整顿、关闭网站或者应用程序、吊销相关业务许可证或者吊销营业执照，对其直接负责的主管人员和其他直接责任人员，处一万元以上二十万元以下罚款
   互联网服务提供者未依照国家有关规定，未履行合理注意义务，未对利用下列业务从事涉诈支持、帮助活动进行监测识别和处置：提供互联网接入、服务器托管、网络存储、通讯传输、线路出租、域名解析等网络资源服务；（二）提供信息发布或者搜索、广告推广、引流推广等网络推广服务；（三）提供应用程序、网站等网络技术、产品的制作、维护服务；（四）提供支付结算服务。	情节较轻：给予警告、通报批评，或者处五万元以上五十万元以下罚款情节严重：处五十万元以上五百万元以下罚款，并可以由有关主管部门责令暂停相关业务、停业整顿、关闭网站或者应用程序，对其直接负责的主管人员和其他直接责任人员，处一万元以上二十万元以下罚款
   非法买卖、出租、出借电话卡、物联网卡、电信线路、短信端口、银行账户、支付账户、互联网账号等，或提供实名核验帮助；假冒他人身份或者虚构代理关系开立上述卡、账户、账号等。	没收违法所得，由公安机关处违法所得一倍以上十倍以下罚款，没有违法所得或者违法所得不足二万元的，处二十万元以下罚款；情节严重的，并处十五日以下拘留