1. 引言
在移动支付普及的情况下，免密支付已经成为各大电商平台提升交易效率的重要手段。免密支付指用户在网络交易前开通授权，在之后的小额交易中无需再次输入密码，并可完成交易。这种支付方式极大地提升了支付效率。
免密支付虽然简化了支付流程，提升了用户体验，但也带来了一系列的法律难题，例如：账户被盗刷、平台责任界定不清、维权途径不足等问题。因免密支付引发的法律纠纷，暴露了第三方支付平台在免密支付上的安全保障义务履行不足问题，这需要在法律上加以立法规制。对第三方支付平台在电商交易中免密支付的安全保障义务进行明确界定，有助于完善保护消费者权益的法律法规，增强消费者对移动支付的认同感，推动移动支付行业在法律轨道上健康有序发展。
2. 研究概述
2.1. 免密支付的定义与特征
免密支付指第三方支付平台在高频次的小额交易场景下为用户推出的一种“先授权、后付款”的支付模式，用户只要在首次开通免密支付前输入支付密码或者进行人脸识别验证，后续的小额交易中均将在预设的金额范围内进行自动扣款，无需再次进行输入支付密码等步骤就能完成交易。
免密支付具有以下特征。第一，授权性。用户在首次开通免密支付前需要在第三方支付平台进行有效授权，需完成同意勾选、指纹验证或者人脸识别验证等步骤，以确保开通免密支付是用户真实的意思表示。第二，便捷性。免密支付简化了支付流程，用户平均只需在1秒内就能完成交易，比通常的移动支付方式快捷了很多。第三，限额性。免密支付有限额的规定，对单笔交易、每日累计交易都会有支付上限。并且支付上限会随着信用分等评价因素进行动态调整。但支付上限在动态调整中不会超过预设的最大值。第四，自动性。在达到免密支付的条件时后台会自动进行扣款并回执，用户无需进行任何的操作，交易就能完成。
2.2. 研究现状
随着我国进入数字经济时代，免密支付已经应用至国内众多头部电商交易场景，淘宝、拼多多、京东等将其设置为“先用后付”“秒杀抢购”的默认选项，抖音、快手在直播带货过程中也加入了“0秒付”选项，外卖、在线打车等即时零售也将免密支付作为订单闭环的前置条件。免密支付在国内电商巨头中的渗透率已呈现井喷式增长，成为更多用户在电商交易中的重要支付选择。
第三方支付平台在电商交易中扮演着日益重要的角色，其安全保障义务问题引起了学界的广泛关注。在平台责任与法律规制方面，王利明(2022)指出，迈入数字时代后，数字财产的无形性对传统民法“物必有体”的观念提出了挑战，民法需要从注重有形财产保护到注重无形财产保护，构建对数字权益的有效保护规则。王利明主张构建以《民法典》第127条为基础的新型数据财产权利体系，并强调在数据利用中应优先保护个人信息权益，以实现人格尊严与数据流通的平衡[1]。
在消费者权益保护方面，贾薛飞(2019)系统分析了第三方支付中消费者面临的资金安全风险、个人隐私风险、知情权风险以及权利救济难问题，提出应从完善消费者个人隐私安全保护机制、消费者资金安全保障机制、第三方支付机构信息披露机制、第三方支付纠纷解决机制促进消费者权益问题的解决[2]。庞湃(2019)则通过“支付宝侵犯消费者多项权益案”入手，分析消费者的知情权、自主选择权及个人信息等权利频繁受到侵犯且维权困难的问题，并结合案例中行政处罚的力度进行考察。最后结合国际经验提出可操作性的建议，以更好促进消费者权益保护[3]。
在个人信息保护层面，齐雪含(2023)提出第三方支付的主要法律问题在于消费者对其个人信息的被利用程度不完全知晓和消费者对侵权的举证存在困难，提出应提高对第三方支付企业披露要求、在裁判中适当对举证责任进行分配等完善措施[4]。樊芸(2021)则从实务角度指出，免密支付在使用过程中资金安全隐患、个人信息泄露、账单混淆等问题，提出应以完善“免密支付”确认及披露要求的法规、加强第三方支付平台的清理整顿、加强网络安全法和电子商务法执法检查、适当扩大平台的保证责任与连带责任以更好保护消费者权益[5]。
综上所述，国内学者关于在平台责任与法律规制、消费者权益保护、个人信息保护等不同维度的研究为本文奠定了一定的理论基础。
3. 第三方支付平台的安全保障义务分析
3.1. 平台的安全保障义务来源
3.1.1. 约定义务
第三方支付平台的安全保障义务首先来源于与用户签订的服务合同。用户进行授权时会签订《支付服务协议》，在选项中勾选同意即合同成立生效。在《支付服务协议》的履行过程中，第三方支付平台会从用户与电商平台交易中收取手续费等作为收益，收益的对价则为支付平台需承担“妥善保管并依指令转移资金”的主给付义务和“防止用户信息被盗刷、泄露”的从给付义务。在由免密支付引起的法律纠纷中，法院首先会根据双方签订的服务合同来确定第三方支付平台是否履行了应尽的义务，有没有采取积极措施防止用户权益受损。所以，双方签订的合同是判断第三方支付平台有没有充分履行安全保障义务的先决性条件，也是用户请求赔偿损失的民事权利基础。
3.1.2. 法定义务
(1) 《民法典》
《民法典》第一千一百九十四条至第一千一百九十七条规定，网络服务提供者在他人对用户权利实施侵害时，未采取相应措施防止损失扩大的，应当承担相应的侵权责任。第三方支付平台在网络交易中提供支付结算、资金转移、账号管理等技术服务，具备典型的“网络技术服务提供者”属性，因此，应视为网络服务提供者。用户权益在受损的情况下，平台有相应的保护义务。
根据《民法典》第一千一百九十八条，宾馆、商场等经营场所、公共场所的经营者、管理者或者群众性活动的组织者，未尽到安全保障义务，造成他人损害的，应当承担侵权责任。该条款一般情况下将安全保障义务限定于有形空间和群众性活动，即现实的社交活动场所，对是否适用于网络空间，司法实践中还存在争议。笔者认为，当今时代是互联网的时代，网络空间已经成为消费者重要的电商交易场所，网络空间不是法外之地，应将《民法典》第一千一百九十八条规定适用于网络空间，以提升救济效率。在数字时代，之所以强调权益保护的效率性，主要原因在于，数据等无形财产在遭受侵害后，需要及时进行救济。在有形财产的保护中，主要是考虑保护的完整充分，但是在数字时代，借助于网络技术的应用，损害后果可能迅速蔓延，造成的后果难以弥补，因此在保护方法中更应重视效率[1]。
(2) 《中华人民共和国网络安全法》
《网络安全法》第二十一条规定国家实行网络安全等级保护制度。网络运营者应当遵照相关的网络安全等级保护制度，履行相应的网络安全保护义务，防止网络数据泄露或者被窃取、篡改。第七十六条将网络服务提供者界定在网络运营者范围之内，因此，第三方支付平台也属于网络运营者，具有相应的网络安全保障义务。免密支付极易产生“盗刷”情形，用户的数据和资金不知不觉就被盗用，保护好用户资金数据安全，是平台履行好安全保障义务的关键。第三方支付相比于传统的线下业务，最大的特点就是其资金交易等全部操作都处于虚拟的网络环境中，在这个过程中，由于平台的系统漏洞或黑客入侵等技术性问题，会导致消费者一些重要交易信息如平台的账户密码、银行卡号和密码的泄露，从而严重威胁消费者的资金安全[3]。
(3) 《个人信息保护法》
《个人信息保护法》第九条规定个人信息处理者应保障好个人信息的安全，要积极采取必要措施来防范侵害个人信息的违法活动。第五十一条则对信息处理规则作出更为细致的规定，例如，个人信息处理者应根据不同情况采取加密、去识别化等技术措施，对个人信息应进行分类管理等。在免密支付的情形下，用户的授权信息、生物识别信息、资金数据信息等均属于个人的敏感信息，这就要求第三方支付平台必须依据《个人信息保护法》的规定对用户数据信息进行更为严格的分级分类管理，以保障个人信息安全。
3.2. 平台在免密支付中的具体义务内容
第三方支付平台在免密支付中需要承担的具体法律义务如下：
第一，风险告知义务。平台在用户首次开通免密支付前应采取弹窗、加粗字体、语音朗读等显著方式向用户提醒相关条款，应一次性披露免密支付的适用规则、数额限定、潜在盗刷风险、关闭路径以及平台先行赔付政策。禁止对履行风险提示义务的页面进行折叠，禁止用户默认勾选同意选项。确保用户开通免密支付是其真实意思表示，确定用户已进行有效授权。如未履行上述的风险告知步骤，平台应对用户后续的数据泄露、资金损失等承担赔偿责任。
第二，身份验证义务。用户在开通或者关闭免密功能时，平台应该结合通过支付密码、人脸识别、指纹识别、短信验证等方式验证用户身份，防止用户手机丢失、账号被盗取等被他人擅自开启免密支付功能。平台要确保用户每次开通免密支付的授权都是用户真实意思表示，并作好备案记录。
第三，交易监控义务。支付系统应综合运用设备指纹、位置定位、AI风控检测等对免密支付交易进行风险检测，一旦发现交易异常应立即拦截并向用户发送短信、发送弹窗或者进行人脸识别复核。同时，要向用户同步发送可疑信息，将盗刷行为在到账前就被有效阻断。
第四，信息保护义务。第三方支付中个人信息的法律保护，首先通过《个人信息保护法》进行规定。在《个人信息保护法》中，明确了个人信息的法律保护价值，其规定也通用于涵盖涉及个人信息的多个领域[4]。根据《个人信息保护法》的规定，平台需对用户的支付标识、银行卡号、生物识别信息等敏感信息采取加密保存、脱密传输、分级管理等处理方式，以防止数据内部泄露及遭外部攻击。在发生数据安全事故时，应立即向主管部门报告，并通知用户，以防止损害扩大。
第五，纠纷处理义务。平台应开通一键锁卡、在线赔付功能，在收到用户投诉后24小时内先行垫付盗刷资金，待查到侵权人后，再向侵权人追偿。以确保用户通过低成本、高效率的纠纷解决机制维权，把损失降到最低。
4. 免密支付中存在的法律问题
4.1. 授权机制不明确，用户意思表示真实性存疑
实践中，多数支付平台将免密支付功能嵌入到银行卡绑定、优惠劵领取和开通会员流程中，通过默认勾选、弱显提示、暗含于下一步操作等方式，一次性获取用户对持续扣款的概括授权。许多用户往往等到账户资金被盗刷时才发现自己对免密支付已进行授权。在司法裁判实际运用过程中，各地法院对平台是否履行充分提醒义务、用户是否进行充分有效授权的认定标准不一。平台常常以用户事实上已勾选“同意”选项为由进行抗辩，而用户对勾选“同意”事项非自己真实意思表示又难以举证，所以用户在诉讼中往往面临败诉风险。
4.2. 平台责任界定模糊，司法裁判标准不一
现行法律规范对免密支付纠纷多作出的是原则性规定，缺乏具体细则的规定，因此，导致司法实践中关于平台责任的认定标准不一。一方面，关于举证责任的分配不够合理。用户缺乏获取系统日志等专业证据的能力，而平台常以格式条款中的用户“同意”为由作为抗辩依据。这造成了双方诉讼地位的失衡。另一方面，关于责任的划分尺度存在较大分歧。由于缺乏明确的归责标准，各地法院对平台保护义务、用户注意义务履行程度的认定存在分歧，导致出现了“平台全额赔付、用户自行承担、按比例分担”的不同处理方式。这种裁判不统一的现象，在一定程度上削弱了法律的可预期性，也使消费者的维权面临不确定性。
4.3. 消费者知情权与选择权弱化，维权渠道不畅
在免密支付模式下，消费者的知情权被进一步弱化。平台常把核心授权信息折叠于多级交互页面之后，或者采取低对比度文字、非通用性术语进行描述，致使用户仅能获知“免密支付”的表层信息，对背后的扣款限额、累计额度、触发条件、关闭路径等全然不知。更有甚者，平台对免密支付关闭流程设置远复杂于开通流程的验证步骤，如要关闭，需经过极其繁琐复杂的程序，没有明显的教程和提示，不熟悉操作的消费者根本不知道怎么关闭[5]，这种人为制造的退出障碍使用户在账户数据被盗之时都未能察觉自己已经让渡了“无感扣款”的持续性授权。与此同时，消费者的知情权与选择权也遭受双重挤压。部分电商平台将开通免密支付与获取“新人红包”“会员折扣”等优惠进行绑定，以勾选同意协议作为享受优惠的前置性条件。用户若拒绝则被排除于优惠范围之内，这实质上构成对消费者意思自治的不正当干扰。
维权困难进一步加剧用户的损失。互联网金融因其虚拟性、跨地域性等特征，导致交易中的责任主体多元且不明晰，进而提升了消费者的维权成本，最终使其面临救济渠道不畅、合法权益难以得到有效保障的困境[2]。在发现资金数据异常后，用户常被要求出具设备识别码、网络日志等专业性证据，普通用户通常缺乏识别、获取这些专业门槛证据的能力，最终因“举证不能”而承担不利后果。即便用户克服困难提供了这些证据，平台也会以免责格式条款、冗长的内部审核流程进行抗辩。因此，投入与产出不相匹配的诉讼成本往往使用户放弃维权。
5. 完善第三方支付平台安全保障义务的建议
5.1. 明确平台责任边界，强化授权与举证机制
为更好明确第三方支付平台在免密支付中的法律职责，应对平台的责任作出“清单式”划定。第一，确立“有效授权”的标准。平台应以弹窗提示、双因子验证等显著方式履行提醒义务。平台未履行该义务的，视为用户未有效授权，平台不能对用户开通免密支付功能。若后续发生纠纷，平台应先行承担赔付责任。与此同时，消费者也应承担一定的合理注意义务。若平台能够提供用户存在故意或者重大过失的证据，例如在收到平台风险提示后未及时采取必要措施防范风险发生等，则可根据“过错相抵”原则相应减轻平台的责任，以此构建更加公平的责任分配机制。第二，实行举证责任倒置。在用户资金发生变动时，由平台承担证明资金变动是用户本人或者授权他人进行操作，不能证明的，由平台承担举证不能的不利后果。第三，实行额度场景双规制。平台应严格执行目录所列的单笔交易限额和日累计交易限额，不得擅自调整。交易超出目录设定的限额标准应及时将其退回用户进行人工认证。第四，赋予用户“一键暂停”的选择权。平台应为用户关闭免密支付功能提供便利，用户有权随时关闭免密支付功能，平台不能以任何方式对关闭流程设置障碍。
5.2. 强化技术安全措施，构建“零信任”防护体系
应通过“零信任”安全架构强化免密支付的技术治理体系。鉴于不同技术原理所对应的风险特征存在差异，防护措施亦应具有针对性。对于基于协议代扣的“先用后付”等模式，其风险核心在于授权的持续性与扣款的无感化。因此，技术防护应侧重于事前严格的身份验证与事中及时的扣款提醒，以增强用户对交易过程的感知与控制。而对于基于支付标记化或小额免密的技术，其风险主要集中于设备安全与交易行为异常。针对此类风险，应从以下三个层面构建防护机制：第一，在交易层面，平台应整合设备指纹、人脸识别、位置信息等多维特征，构建动态风险识别模型，对每笔交易进行实时评估。一旦系统判定风险等级超过阈值，即自动触发人工认证流程，要求用户通过密码、指纹或人脸方式进行二次验证。第二，在数据层面，应对支付令牌、标记等敏感信息实施端到端加密与分布式存储，并将核心密钥托管于经国家认证的硬件安全模块中，从技术上防范数据泄露风险。第三，在运维层面，应建立全天候数据监测与响应机制，运用人工智能技术持续学习并识别盗刷行为模式，一旦检测到交易异常，立即启动账户冻结与资金保护，并同步通知用户。
5.3. 完善法律法规与监管机制，构建多元纠纷解决路径
首先，应提升规范非银行支付机构监督管理的立法位阶。我国目前主要规范非银行支付机构监督管理的法规是《非银行支付机构监督管理条例》，由国务院于2023年颁布，2024年施行，性质属于行政法规。该法规尚未对免密支付作出针对性规定，为更好保护电商交易中免密支付用户的合法权益，应提升规范非银行支付机构监督管理的立法位阶，由全国人大常委会出台《非银行支付机构监督管理法》，并设置“免密支付”专节，对授权标准、限额标准、举证责任、先行赔付等事项作出具体规定，为司法裁判提供清晰明确的法律依据。在该专节中，应充分考虑前述基于技术原理的风险差异，对不同类型的免密支付业务提出差异化的合规要求。
其次，应强化监管职能，由中国人民银行牵头建立动态备案与实时监控机制。随着电子商务的快速发展，第三方支付作为电子商务的重要组成部分，也在不断发展和完善。然而，随着第三方支付规模的不断扩大，行业监管也变得愈加重要[6]。第三方支付平台在调整免密支付的业务参数、适用场景、限额额度前，应事先向相关监管机构履行备案登记程序。监测系统应对交易的次数、数额、地理位置进行实时动态追踪，对异常情况自动预警。监管机构若发现第三方支付平台存在违法操作情形，要立即要求其进行整改。拒不整改的，可对平台进行罚款、对主要责任人采取行业禁入等惩戒手段。监管机构要重视监控第三方支付机构的账户，如果发现问题则要及时冻结其账户内资金，并实时监控其网络平台[7]。
最后，应构建多元化纠纷解决机制，由银保监会和消费者协会牵头设立全国性支付业务纠纷调解中心，建立以自愿、高效、专业为原则的调解体系，努力将支付矛盾纠纷化解在基层。该机制应关注消费者在维权过程中的举证困难问题，通过专业调解员的介入，平衡其在与平台交涉时的弱势地位。在调解过程中，应当充分保障当事人的意思自治，经双方当事人达成的调解协议，可以依法向人民法院申请司法确认。经人民法院司法确认后，调解协议就被赋予强制执行力，避免矛盾纠纷反复。
6. 结论
免密支付作为电子商务领域提升交易效率的重要手段，其应用已对传统移动支付方式产生重要影响。然而，免密支付在带来便捷性的同时，也带来了诸如用户授权机制不完善、平台责任边界不清、消费者权益保护不足等问题。为解决这些问题，本文通过对第三方支付平台在免密支付中的安全保障义务进行深入分析，指出其义务来源即来自约定义务、也来自法定义务，具体而言包括风险告知义务、身份验证义务、交易监控义务、信息保护义务、纠纷处理义务。
为解决免密支付带来的法律问题，应从明确平台责任边界、强化技术安全措施、完善法律法规与监管机制三个层面入手，构建“法律–技术–监管”三元协同的治理路径。其一，在义务配置维度，通过“有效授权”的实质标准、举证责任倒置、额度与场景双轨制管控及“一键暂停”选择权之设定，确立平台责任的可预见边界；其二，在技术治理维度，引入“零信任”安全架构，通过多因子身份验证、端到端加密与分布式存储等技术措施，实现风险的事前阻断与事中控制；其三，在规范与监管维度，推动制定《非银行支付机构监督管理法》并设“免密支付”专节，建立动态备案与实时监测衔接机制，依托行业调解的多元纠纷解决机制，努力达成法律规范与技术治理的良性互动与功能互补。
综上所述，唯有在法治轨道内明确各方权责，强化平台义务履行，完善消费者权益保障机制，才能有效平衡支付效率与交易安全，推动免密支付在电子商务中健康、有序、可持续发展，最终实现技术创新与法律保障的协同共治。