支付巨头迎来“1000万人”考题！

网信办拟设“大型个人信息处理者”清单，支付宝、微信支付离认定有多近？

8月7日，国家网信办就《大型个人信息处理者个人信息保护规定（征求意见稿）》公开征求意见。这份文件提出建立大型个人信息处理者申报和认定机制，最终形成清单并向社会公告。

哪些支付机构可能进入这张清单？

蚂蚁集团最新官方资料显示，支付宝为超10亿用户、8000万商家提供支付服务保障；腾讯最新财报没有单独披露微信支付用户数，截至2026年3月底，微信及WeChat合并月活账户达到14.32亿。

另一边，拉卡拉2025年披露的境内综合收单体系活跃商户已超过1000万家，最新半年报显示其2026年上半年活跃商户继续实现两位数增长；汇付天下官网披露的小微商户规模也已达到千万级。

这些公开数据从不同侧面展示了大型支付平台和支付机构的业务覆盖，但新稿统计的是一个具体个人信息处理者当前处理个人信息涉及的自然人数。

在支付行业，这个数字既可能来自个人支付用户，也可能藏在庞大的商户网络背后。

亿级用户、千万商户，1000万人怎么算？

支付宝公开披露的支付服务用户已经超过10亿。按照新稿口径，认定时统计的则是具体个人信息处理者当前处理个人信息涉及的自然人数。

腾讯2026年一季度财报显示，截至3月底，微信及WeChat合并月活账户达到14.32亿。财报披露的是微信生态整体规模，并未单独公布微信支付当前用户数量。

《微信支付用户服务协议》明确，微信支付由财付通支付科技有限公司提供，支付过程中会处理姓名、身份证号、手机号、银行卡信息、交易订单和交易记录等个人信息。

亿级用户之外，大型收单机构的商户网络同样涉及规模庞大的自然人信息。

拉卡拉2025年披露的境内综合收单体系活跃商户已经超过1000万家。最新半年报进一步显示，2026年上半年公司活跃商户继续实现两位数增长，但没有公布最新的活跃商户绝对数量。

按照现行客户尽职调查规则，非银行支付机构为特约商户提供收单服务，需要登记特约商户及其法定代表人或者负责人的身份基本信息，并留存相关身份证明。

拉卡拉自身的个人信息规则也明确，企业注册支付账户时会涉及法定代表人、负责人或者授权经办人的姓名、身份证号、身份证照片等信息。

大型收单机构即便没有亿级个人账户体系，千万级商户网络背后同样存在大量自然人信息。

商户数与自然人数并非一一对应。

同一个人可能关联多个商户，一个商户也可能对应多名需要识别的自然人。拉卡拉已经披露的千万级活跃商户规模，是很强的规模信号，却还不能直接换算成1000万不同自然人。

汇付天下同样披露了千万级商户规模，其官网显示累计小微商户已达到千万级。与拉卡拉不同，这一数据属于累计口径。

现行反洗钱规则要求，客户身份资料在业务关系结束后仍有法定保存期限；《个人信息保护法》所称的个人信息处理也包括存储。商户停止合作后，其经营者、负责人等身份资料仍可能继续处于依法保存状态。

累计小微商户与当前处理的去重自然人数之间还存在时间和重复统计差异，公开资料没有进一步拆分。

从支付宝的支付服务用户，到微信的亿级活跃账户，再到拉卡拉、汇付天下的千万级商户网络，大型支付机构涉及的个人信息并不只有一种来源。个人支付、商户准入、经营管理和风险控制，都可能形成大规模自然人信息处理。

新稿的适用对象不再局限于大型网络平台，大型收单和商户服务机构也因此值得重新审视。

谁算“大型”？1000万人还不够

征求意见稿列出了三方面认定条件。

第一项是处理1000万人以上自然人个人信息。第二项包含两条并列路径，提供涉及个人信息处理的重要网络服务，或者经营范围涵盖多种业务且涉及个人信息处理。第三项则要求个人信息处理活动对国家安全、经济运行、社会稳定、公共健康和安全等具有重要影响。

1000万人回答的是处理规模有多大，后两项回答的则是业务性质和个人信息处理活动的影响。

第三条进一步明确，处理1000万人以上自然人个人信息，并且自评估认为符合第二项、第三项条件的处理者，应当申报认定。之后还要经过省级网信部门完备性查验、提出初步认定意见，最终由国家网信部门会同有关部门依据认定条件研究确定清单并公告。

大型支付平台连接消费者、商户、银行账户和大量交易场景，与“重要网络服务”这一条件有较强的业务关联。征求意见稿目前没有划定“重要网络服务”的具体行业范围，支付服务在其中如何认定仍待明确。

另一条路径是“经营范围涵盖多种业务且涉及个人信息处理”。支付宝、微信等生态覆盖业务较多，具体认定则落在相应个人信息处理者自身的经营范围及相关个人信息处理活动。

大型支付机构则要看其业务是否符合上述两种情形，商户数和交易额只能反映业务规模。

支付监管早已关注大型支付网络发生风险后的系统性影响。人民银行相关制度会特别考察金融基础设施、直接服务大量自然人的网络以及与支付交易密切相关的网络，《非银行支付机构监督管理条例》也为系统重要性支付机构的差异化监管留下制度安排。

但新稿考察的对象更具体——个人信息处理活动本身是否对国家安全、经济运行、社会稳定等具有重要影响。

上述支付体系中的具体个人信息处理者是否符合第三项，要看其个人信息处理活动本身会产生多大影响。

2025年公开征求意见的两份规则都围绕“大型网络平台”展开。到了2026年，国家网信部门将两份文件整合完善形成“大型个人信息处理者”新稿，同时又单独规定“提供网络平台服务的大型个人信息处理者”需要履行相应的平台治理义务。

从文本结构看，新稿的适用对象已经不再局限于大型网络平台。这也是大型收单和商户服务机构值得重新审视的原因。它们未必拥有亿级个人钱包，却可能通过千万级商户网络持续处理大规模自然人信息。

从现有公开资料看，支付宝、微信支付的业务规模和个人信息处理场景都与新稿具有较高相关性，但是否最终进入清单，还取决于具体主体处理的自然人数、后两项认定条件以及正式认定程序。

1000万人只是第一道门。

进入清单之后，支付机构要多做什么？

支付机构原本就处在较完整的监管体系中，客户尽调、商户实名管理、反洗钱、交易监测、网络安全和交易记录保存等早已是日常要求。

现行个人信息保护制度已经涵盖负责人、影响评估和合规审计等要求。处理1000万人以上个人信息的处理者，目前还适用每两年至少开展一次个人信息保护合规审计等规定。

新稿对组织治理、数据基础设施、影响评估备案和外部监督提出了更具体要求。

数据存储和数据中心管理是其中一项直接变化。征求意见稿要求，大型个人信息处理者将在境内运营中收集和产生的个人信息存储在境内，并对数据中心所在地和管理机构提出要求。委托第三方数据中心处理个人信息，也要通过合同约束存储地点、安全措施以及双方责任。

产品上线流程也会发生变化。

新稿规定，大型个人信息处理者上线涉及自动化决策、敏感个人信息处理等可能对个人权益有重大影响的产品、服务或者功能，应当事前开展个人信息保护影响评估，并在评估完成后15个工作日内备案。

风险评分、反欺诈、营销推荐等场景早已使用自动化技术，金融账户本身又属于敏感个人信息，AI也正在进入支付授权、风控和交易过程。

支付宝AI支付开放平台目前披露，AI付服务用户已经超过1亿，Agent支付笔数超过3亿，底层复用了支付宝成熟的收单、风控和资金安全体系。

支付宝AI付已经进入大规模真实交易场景。对进入清单的支付机构而言，涉及自动化决策、敏感个人信息处理并可能对个人权益产生重大影响的产品，上线前将面对相应的评估和备案要求。

公司治理要求也更加具体。

征求意见稿要求，大型个人信息处理者指定一名管理层成员担任个人信息保护负责人。被认定之后六个月内，还需要成立个人信息保护监督委员会，成员不少于7人，其中外部成员占比不得低于三分之二，负责人由外部成员担任。

个人信息保护因此可能进一步进入管理层决策和外部监督层面。

支付账户、商户关系、经营者身份、交易和风控数据，已经让大型支付机构成为个人信息高度密集的业务主体。

对深度参与日常交易的大型支付机构而言，新稿带来的影响将从隐私政策和个人信息合规，进一步延伸到数据基础设施、产品上线流程和公司治理。

这里是支付之家。我们关注支付表象之下的规则差异与逻辑变化，提供支付科技领域增量信息。观点内容仅供参考。