西班牙支付网关牌照：是否需要？

支付网关（payment gateway）是将商户与支付生态（收单机构、银行卡组织、银行）连接起来，用于授权和处理交易的技术。在最基本的形态下，它只传输并保护数据，不持有资金。

关键问题不在技术，而在监管：只要它在某个环节持有资金或发起支付，就不再只是单纯的技术支持。

视情况而定。如果它是全程不持有资金、仅提供支持的技术服务提供商，则依据PSD2和第19/2018号皇家法令-法，属于排除授权的对象。

如果它接触资金、归集资金或发起支付，就是在提供支付服务，需要获得授权（支付机构）、登记（PISP），或作为已获授权机构的代理人开展业务。

当其职能仅限于技术支持——数据处理与存储、认证、网络、终端——并且不持有待转移的资金。这一排除情形规定在PSD2和第19/2018号法令-法中。

重要提示：该排除情形不包括支付发起和账户信息服务；即使服务商不持有资金，这两类服务也受监管。

区别在于是否接触资金以及是否持有授权：

• 技术型网关只传输数据，不持有资金：无需授权。
• 聚合商或支付服务商收取资金后再向商户结算：属于提供支付服务。
• 支付机构持有西班牙银行颁发的自有牌照，可提供支付服务，并在落实资金保障的前提下管理资金。

PISP（支付发起服务提供商）在开放银行框架下，通过客户的银行账户发起支付指令。与技术型网关不同，它受监管——需要在西班牙银行登记——即使不持有资金也不例外。

许多现代支付网关都包含支付发起功能，因而落入了受监管的范围。

强客户认证（SCA）是PSD2的一项要求：在电子支付中，须通过至少两个相互独立的要素（所知、所有或所是）验证用户身份。该要求在欧盟第2018/389号授权条例中作了细化，并允许若干豁免。

网关必须支持SCA并正确处理豁免情形，以免增加支付摩擦或承担欺诈责任。

如果网关提供支付服务，则根据第10/2014号法律属于反洗钱义务主体：必须落实风险评估、客户尽职调查（KYC）、交易监控，指定SEPBLAC代表，并报告可疑交易。

纯技术型服务商如果不提供支付服务，则不会因该项业务而成为反洗钱义务主体。

可以。取得自有牌照之外的另一种选择，是作为已获授权的支付机构的代理人，在相应登记簿中登记，并由该机构承担责任。

这是更快上线或验证商业模式的常见路径，但需要一份严谨的合同，以及由主办机构监督的内控措施。

PCI DSS（支付卡行业数据安全标准，Payment Card Industry Data Security Standard）是银行卡行业的数据安全标准，凡存储、处理或传输银行卡数据者都必须遵守。它不是牌照，而是银行卡组织提出的合同性要求，但对安全运营支付网关不可或缺。

即2018年11月23日关于支付服务及其他金融领域紧急措施的第19/2018号皇家法令-法，它将PSD2（欧盟第2015/2366号指令）转化为西班牙国内法。该法令规定了谁可以提供支付服务、支付机构、支付发起、账户信息服务以及适用范围的排除情形。

这是PSD2中的一项排除情形，适用于仅能用于在有限的供应商网络内，或就范围非常特定的产品购买商品或服务的支付工具（例如某连锁品牌的礼品卡）。超过一定门槛后，必须向西班牙银行报告。它与商业代理人豁免不同。

PSD3和《支付服务条例》（PSR）正处于立法程序的最后阶段（2025年底达成政治协议，2026年形成妥协文本，预计2027年前后实际适用）。它们将取代PSD2，把支付机构与电子货币机构合并为单一类别，强化SCA和欺诈责任，并扩大开放银行。建议在此背景下设计您的项目。

这是决定一切的问题。如果资金在到达商户之前经过网关的账户，或由网关归集并结算，则网关持有资金并提供支付服务。如果资金直接从付款人流向收单机构/商户，网关仅传输数据，则不持有资金。

西班牙支付服务的监管机构是西班牙银行（Banco de España），由其授权并维护支付机构、代理人以及支付发起和账户信息服务提供商的登记簿。纯技术型服务商无需就该业务登记，但建议记录其被排除在监管范围之外的理由。