印度储备银行（RBI）对American Express未完成印度支付数据本地化实施发卡禁令案（2021年）

【案件背景】
与Mastercard案同一背景下，印度储备银行（RBI）2018年4月发布支付数据本地化通函后，American Express作为在印度运营的国际银行卡网络之一（在印度拥有超过150万持卡人），同样被要求在2018年10月15日前完成全部印度支付数据的本地化存储。Amex虽然在印度拥有发卡和商户收单业务，但其全球数据处理长期以来以美国为主要数据中心。

【违法事实】
RBI调查发现：1）截至2021年4月（通函截止日后约30个月），American Express仍未将印度支付系统的全部交易数据完全本地化存储在印度境内；2）Amex提交的合规方案依赖于'同步复制'模式——即将印度交易数据在印度存储一个副本，但主处理仍在美国完成，RBI认定该架构不符合'仅存储在印度'的强制性要求；3）Amex辩称其高端持卡人多为国际旅行者，将数据存储在印度会影响其全球统一的反欺诈监测和客户服务能力，但RBI未接受这一商业理由作为豁免依据；4）Amex在过渡期内未展示充分的整改进展，RBI认为其合规努力不充分且拖延严重。

【处罚决定】
RBI于2021年4月23日发布命令，依据《支付与结算系统法》第17条，自2021年5月1日起禁止American Express在印度境内新发任何银行卡。该禁令不溯及已有持卡人，但完全切断了Amex在印度消费金融市场中获取新客户的能力。印度是Amex在亚洲最重要的增长市场之一，禁令对其印度业务造成重大冲击。经过约16个月的整改，Amex于2022年8月提交了被RBI认可的完全合规方案后，禁令方获解除。

【典型意义】
Amex案与Mastercard案前后呼应，共同确立了RBI在数据本地化执法上的坚定立场。本案特别重要的启示在于：第一，'同步复制'或'主备分离'的混合存储模式不被RBI接受——监管要求的是以印度为唯一的、排他性的数据存储地点；第二，即便企业的商业模式深度依赖全球数据处理架构（如反欺诈、跨境旅行服务），也不构成数据本地化义务的豁免条件——企业需要重新设计其数据架构而非寻求豁免；第三，RBI连续对Visa（已合规）、Mastercard和American Express三家最大的国际卡组织采取行动，表明在数据主权问题上不存在'太大而不能管'的情况，所有支付系统参与者不论规模和影响力均须平等履行数据本地化义务。