銀行業(yè)金融機構消費者個人信息保護的建議

□ 周金龍

近年來隨著個人信息被侵害案件的頻發(fā)，我國法律也加大了對消費者個人信息的保護力度與侵害懲處力度。為此，銀行業(yè)金融機構需要高度重視消費者個人信息保護工作，盡快熟悉相關規(guī)制，反思自身工作的不足，有所為有所不為，將保護消費者個人信息作為一項重要工作來抓。

一、存在的問題

（一）法律制度方面。

1.“個人信息”定義不明確，增加了銀行業(yè)金融機構的操作難度。雖然《民法總則》第111條規(guī)定“自然人的個人信息受法律保護。任何組織和個人需要獲取他人個人信息的，應當依法取得并確保信息安全，不得非法收集、使用、加工、傳輸他人個人信息，不得非法買賣、提供或者公開他人個人信息”，但“個人信息”范圍如何確定，該法并無規(guī)定，實踐中也存在爭議。2017年5月9日公布的《關于辦理侵犯公民個人信息刑事案件適用法律若干問題的解釋》，明確“公民個人信息”范圍只及于刑法領域，是否能直接適用于民法領域，存在不確定性；且該司法解釋對“個人信息”范圍也只是采取列舉式描述，對于債務狀況、婚姻狀況、家庭成員狀況、學歷狀況等在列舉之外的內容是否屬于個人信息，沒有涉及。可以預料，保護規(guī)則的不明確，將不利于銀行業(yè)金融機構的行為預判，銀行業(yè)金融機構容易處在兩難之中，隨之產生的爭議和處理成本也會增加。

2.“個人信息”的權利人與相關利益群體存在法律保護沖突。如目前很多銀行業(yè)金融機構存在著和擔保機構的業(yè)務合作，合作協(xié)議約定擔保機構為債務人的債務提供連帶擔保，同時約定擔保機構有權了解被擔保債務人的債務信息。筆者認為約定擔保機構的這一權利是公平的，因為承擔保證義務的擔保機構了解被擔保債務信息，屬于權利義務的對等，且如不約定這一權利，擔保機構就難以提前準備承擔保證義務的資金，也就難以承擔保證義務，也將最終影響銀行業(yè)金融機構的權利實現。對于一般的擔保業(yè)務，有些銀行業(yè)金融機構也以合同的形式約定了擔保人的權利。如某銀行制式文本《金穗信用卡（個人卡）保證合同》“第二條保證人的權利”項下“保證人有權向債權人了解其所擔保的債務情況，有權向債權人咨詢關于信用卡申請使用的相關合同”。按此約定，則保證人有權了解其所擔保的債務情況，也就有權了解債務人的債務信息，既然屬于保證人的權利，就不需要征得債務人同意。而如果債務信息屬于“個人信息”，則銀行業(yè)金融機構又負有保護債務信息的義務。面對擔保人了解債務情況的要求，銀行該如何作為？更深一步思考，如何擺置“個人信息”權利人和相關利益群體的權利沖突，將是銀行業(yè)金融機構需要考慮的問題。

3.“個人信息”保護的法律規(guī)定不完善。如法律沒有規(guī)定個人信息的保護期限，如果一味地要求永久保存，銀行業(yè)金融機構需付出成本，而這一成本如果均由自身承擔，缺乏分擔，對銀行業(yè)金融機構是不公平的。如個人信息保護是否應分為民事信息和商事信息，對于自然人的債權債務信息，是否不納入個人信息范圍，任何人均可以任意查詢，國家機關也將搭建平臺便利查詢，從而提高交易的通明度，促進交易。另外，個人屬處的群體信息，是否與個體適用同樣的保護尺度；對于研究機構和民間智庫是否可以為了研究需要，從基于促進社會發(fā)展的目的，規(guī)定可以查詢個人信息等等。

（二）宏觀環(huán)境方面。銀行業(yè)跨界合作對個人信息保護提出新挑戰(zhàn)。目前銀行業(yè)跨界合作時代來臨，如中信銀行繼宣布與順豐集團開展“銀行+物流”跨界合作后，又將與當當網開展合作；郵政儲蓄銀行引入戰(zhàn)略投資者，借助騰訊的專業(yè)優(yōu)勢，強化在互聯網金融領域的戰(zhàn)略布局。跨界合作既要確保各合作伙伴之間合作資源信息的完整、順暢傳遞，又要構建客戶資料信息防火墻以防止信息泄露，更要強化科技保障，促進交易數據信息安全，弱化跨界帶給銀行的聲譽風險。這就產生了資源信息共享的尺度把握問題、信息保護的技術支持問題、操作層面的制度建設問題，這三個問題都對銀行業(yè)金融機構的個人信息保護提出了要求。

（三）銀行業(yè)金融機構的內部管理方面。一是個人信息收集、使用不夠規(guī)范。部分機構未經同意收集信息、未經授權查詢個人征信報告；收集信息范圍過大，不符合“最少必須”原則；在內部接觸和使用個人信息時，未實施嚴格的審批和責任制度，缺乏必要的權限控制和跟蹤管理；未嚴格執(zhí)行崗位職責與權限相匹配的操作制度，未合理限制各類操作人員的信息接觸面。二是對外提供信息不規(guī)范。部分機構未按規(guī)定對外包服務機構和網絡特約商戶開展安全評估，向外包公司提供個人信息時未向信息主體明確告知；與外包服務商簽訂的保密協(xié)議中，未明確規(guī)定其對保護個人信息的職責和保密義務，未制定風險事件發(fā)生后的止損措施。三是個人信息保管不規(guī)范。部分機構未制定或未能及時修改信息安全技術防范措施，未對信息系統(tǒng)進行風險評估；信息系統(tǒng)技術防護措施不嚴格，未采取有效技術手段防范業(yè)務網絡用戶使用U盤、連接外部網絡的行為。四是對員工的信息保護教育培訓不到位。部分機構未將個人信息保護等內容納入教育培訓計劃，對接觸個人信息的人員未進行專項培訓，也無相應考核結果。五是個人信息保護工作不規(guī)范。部分機構未明確個人信息保護工作的主管部門、崗位設置、職責以及權限劃分；未制定專門的操作規(guī)程、檢查制度、責任追究制度及應急預案；未開展個人信息泄露應急演練。收集消費者個人信息時，未通過書面提醒方式進行明確告知和警示；未告知客戶相關信息的使用目的和范圍；未將有關保護個人信息納入員工培訓教育中；未明確員工為客戶信息保密的相關義務；未與外包機構約定信息泄露后雙方應承擔的法律責任及合作終止后客戶信息的處置方式。

二、建議

（一）明晰泄露個人信息的法律責任。

1.民事責任。在銀行業(yè)金融機構與消費者訂立的相關業(yè)務合同中，如果包含消費者個人信息保密方面的約定，在此情況下，若未經消費者許可擅自對外提供個人信息，則明顯違反了合同約定。即使沒有保密方面的專門約定，但根據《合同法》第60條規(guī)定：“當事人應當遵循誠實信用原則，根據合同的性質、目的和交易習慣履行通知、協(xié)助、保密等義務”，銀行業(yè)金融機構仍應為消費者個人信息進行保密，如不當泄露個人客戶信息，則極有可能承擔違約責任。《合同法》第107條規(guī)定：“當事人一方不履行合同義務或者履行合同義務不符合約定的，應當承擔繼續(xù)履行、采取補救措施或者賠償損失等違約責任”。除此以外，銀行業(yè)金融機構如果因違反客戶個人信息保密義務侵害了客戶隱私權，根據《侵權責任法》還可能被要求承擔停止侵害、消除影響、恢復名譽、賠禮道歉、賠償損失等侵權責任。

2.行政責任。根據《治安管理處罰法》第42條規(guī)定，偷窺、偷拍、竊聽、散布他人隱私的，處五日以下拘留或者五百元以下罰款；情節(jié)較重的，處五日以上十日以下拘留，并處五百元以下罰款。而《儲蓄管理條例》、《征信業(yè)管理條例》、《商業(yè)銀行法》等金融法規(guī)更是對違規(guī)泄露客戶個人信息行為明確了行政處罰，如《征信業(yè)管理條例》第38條規(guī)定，征信機構、金融信用信息基礎數據庫運行機構違反本條例規(guī)定，違法提供或者出售信息，由國務院征信業(yè)監(jiān)督管理部門或者其派出機構責令限期改正，對單位處5萬元以上50萬元以下的罰款；對直接負責的主管人員和其他直接責任人員處1萬元以上10萬元以下的罰款。如果銀行業(yè)金融機構違反上述法規(guī)相關規(guī)定，就有可能受到行政部門處罰。根據《中國銀監(jiān)會行政處罰辦法》，對銀行不當泄露客戶個人信息，可能受到行政處罰包括以下兩類：一是對銀行單位的處罰，包括警告、罰款、沒收違法所得、停業(yè)整頓、吊銷金融許可證等;二是對責任人員的處罰，包括警告、罰款、沒收違法所得、取消董（理）事、高級管理人員一定期限直至終身的任職資格、禁止一定期限直至終身從事銀行業(yè)工作等等。

3.刑事責任。為了打擊愈加猖狂的侵犯公民個人信息行為，我國《刑法》進一步加大對侵犯公民個人信息行為的處罰力度。2015年11月1日實施的《刑法修正案(九)》將《刑法》第253條之一修改為：“違反國家有關規(guī)定，向他人出售或者提供公民個人信息，情節(jié)嚴重的，處三年以下有期徒刑或者拘役，并處或者單處罰金；情節(jié)特別嚴重的，處三年以上七年以下有期徒刑，并處罰金。違反國家有關規(guī)定，將在履行職責或者提供服務過程中獲得的公民個人信息，出售或者提供給他人的，依照前款的規(guī)定從重處罰。竊取或者以其他方法非法獲取公民個人信息的，依照第一款的規(guī)定處罰。單位犯前三款罪的，對單位判處罰金，并對其直接負責的主管人員和其他直接責任人員，依照各該款的規(guī)定處罰。”。此次修改擴大犯罪主體的范圍，同時，增加規(guī)定出售或者非法提供個人信息情節(jié)嚴重的犯罪。如果銀行業(yè)金融機構在業(yè)務發(fā)展過程中，為營銷客戶、獲取存款或者其它目的，未經過客戶授權，不當提供客戶個人信息，就極有可能違反上述《刑法》規(guī)定。

（二）遵循《中國人民銀行金融消費者權益保護實施辦法》的相關內容。雖然法律對個人信息保護不夠完善，但銀行業(yè)金融機構還是可以運用現有規(guī)制，開展工作。如《中國人民銀行金融消費者權益保護實施辦法》單獨設立了“個人金融信息保護”章節(jié)，強化個人金融信息保護的重要性，要求金融機構至少每半年排查一次個人金融信息安全隱患；建立個人金融信息數據庫分級授權管理機制，合理確定本機構員工調取信息的范圍、權限及程序。明確禁止金融機構以下行為：一是收集與業(yè)務無關的信息或者采取不正當方式收集信息；二是非法復制、非法存儲、非法使用、向他人出售或者以其他非法形式泄露個人金融信息；三是以概括授權的方式，索取與金融產品和服務無關的個人金融信息使用授權或者同意；四是將金融消費者授權或者同意其將個人金融信息用于營銷、對外提供等作為與金融消費者建立業(yè)務關系的先決條件（該業(yè)務關系的性質決定需要預先做出相關授權或者同意的除外）；五是向境外提供境內個人金融信息（除法律法規(guī)及中國人民銀行另有規(guī)定外）。同時明確規(guī)定“金融機構保護消費者個人金融信息安全的義務不因其與外包服務供應商合作而轉移、減免”。

（三）規(guī)范管理行為，保障消費者個人信息安全。

1.嚴格落實個人信息安全管理責任。銀行業(yè)金融機構要層層落實責任，有效防范和處置消費者信息泄露和濫用風險，包括明確各級行、各部門及條線信息安全管理的領導責任，明確全體員工的崗位責任。

2.建立客戶信息安全保護制度。一是建立個人信息收集制度，在獲得消費者授權的情況下，遵循合法、合理、必要原則收集個人信息。二是建立個人信息數據庫分級授權管理制度，合理確定本機構員工調取信息的范圍、權限和程序，采取有效措施確保個人信息在內部使用及對外提供等流轉環(huán)節(jié)的安全，防范信息泄露風險。三是建立個人信息保護的監(jiān)控制度，形成專項檢查的常態(tài)化機制，常態(tài)化地檢查客戶信息收集、存儲、使用等各環(huán)節(jié)中存在的風險隱患，采取有效完善措施。四是建立信息采集、保存、使用的崗位分離制度。五是建立消費者信息安全管理考評制度，將信息安全管理工作情況納入各機構年度工作評價中，對存在客戶信息泄露隱患或風險事件的機構，真正實現一票否決，切實發(fā)揮評價結果的激勵約束作用。

3.暢通客戶投訴渠道。建立投訴熱線，提高社會公眾的知曉度，使廣大社會公眾在察覺自身信息遇到泄露時，能改變“只要不上當就好”的被動狀態(tài)，主動將信息泄露問題向銀行業(yè)金融機構及監(jiān)管機構反映，通過相關部門的核查和分析，摸準責任人，將信息泄露問題扼殺在源頭。做好與客戶的反饋，建立良好的溝通和合作渠道。

4.將保護消費者信息安全內化為銀行業(yè)金融機構的企業(yè)文化。構建全行統(tǒng)一的個人信息安全文化，對檢查發(fā)現問題，結合溝通反饋情況現場對當事人進行教育，問題集中、性質惡劣的堅持現場召開有上級主管部門參加的案例分析會；對先進典型，充分利用各種載體及時進行宣傳，擴大示范引領效應；對內外典型案例，引導員工開展集中學習和自我學習，幫助員工分析問題成因，提升制度執(zhí)行意識。