印度储备银行（RBI）对Mastercard未将印度支付数据本地化存储实施业务限制案（2021年）

【案件背景】
印度储备银行（Reserve Bank of India, RBI）于2018年4月6日发布《支付系统数据存储》通函（Circular on Storage of Payment System Data），要求所有支付系统运营商（包括银行卡网络、支付网关、移动钱包等）必须将在印度境内产生的全部支付数据（端到端交易详情、客户信息、支付指令等）'仅存储在印度境内'（store data only in India）。该通函给予各运营商6个月的合规过渡期（截止2018年10月15日），此后RBI陆续对违反者采取执法行动。Mastercard是全球第二大银行卡清算网络，在印度发放了数亿张信用卡和借记卡。

【违法事实】
RBI调查认定Mastercard存在以下违反数据本地化要求的行为：1）Mastercard未能按照2018年4月通函的要求，在2018年10月15日之前将其处理的所有印度支付交易数据完成向印度境内存储设施的完全迁移；2）Mastercard虽然声称已启动本地化工作，但RBI审查发现仍有相当比例的印度卡交易数据（包括交易金额、商户信息、卡号等）被复制或路由至位于美国和其他国家的全球数据中心，不符合'仅存储在印度'的严格标准；3）从2018年10月到2021年7月，Mastercard在近三年的时间内始终未能完全满足RBI的合规要求，RBI认为这一拖延时间已远超合理的合规过渡期限。

【处罚决定】
RBI于2021年7月14日发布正式命令，依据《支付与结算系统法》（Payment and Settlement Systems Act, 2007）第17条，对Mastercard Asia/Pacific Pte. Ltd.实施如下限制措施：自2021年7月22日起，禁止Mastercard在印度境内新发（onboarding）任何新的借记卡、信用卡或预付卡客户（即停止发行新卡）。该禁令不影响Mastercard现有持卡人的正常使用，但实质上切断了Mastercard在印度快速增长的消费金融市场中的增量业务。Mastercard被要求提交经董事会批准的全面整改方案，在RBI确认完全合规后方可申请解除禁令。经过一年多的整改，Mastercard于2022年6月方获RBI解除禁令恢复新卡发行业务。

【典型意义】
本案是全球范围内因数据本地化违规而被施加业务禁令而非单纯罚款的标杆性案例，其影响远超金钱处罚。第一，RBI展示了对数据本地化零容忍的监管态度——'业务限制'比'金钱罚款'的威慑力更强，直接触及企业核心商业利益；第二，'仅存储在印度'的要求极为严格，不是'同步副本'或'主备方案'就能满足，而是要求印度支付数据的完整集合的唯一存储地点在印度境内；第三，对全球支付卡网络而言，数据本地化意味着必须重构全球数据路由和处理架构，这不仅是技术挑战，更涉及巨大的资本投入和商业模式调整；第四，RBI执法不区分本国企业和外国企业——此前RBI已对American Express、Diners Club等同样实施过业务禁令，体现了监管的公平性和一致性。本案直接推动了全球支付行业对数据主权和数据本地化战略的重新评估。