商业银行个人金融信息保护机制构建

彭志贞 林庆管

商业银行个人金融信息既是商业银行业务的基础性财富，也是个人客户的重要隐私。产生个人金融信息的范围涉及商业银行各类业务，如何收集、保管、使用个人金融信息，不仅影响商业银行自身业务的开展，也关系个人客户隐私权益的保护，故无论是从企业角度亦或在国家层面，均有建立商业银行个人金融信息保护机制的重要性及迫切需要。本文结合我国商业银行个人金融信息保护工作的现状，分析商业银行个人金融信息的概念、范围及特征，并从操作层面阐述商业银行个人金融信息保护机制构建的原则、制度等内容，以构建一套我国商业银行通用的个人金融信息保护机制。

一、商业银行个人金融信息概述

商业银行个人金融信息是指商业银行在开展业务过程中所获取、加工、保管和使用的，有关个人客户的身份、财产、账户、信用、行为和习惯等私人信息①。根据中国人民银行《关于银行业金融机构做好个人金融信息保护工作的通知》（银发【2011】17号）规定，商业银行个人金融信息的范围主要包括以下内容：一是个人身份信息，包括个人姓名、性别、国籍、民族和身份证件种类号码及有效期限、职业、联系方式、婚姻状况、家庭状况、住所或工作单位地址及照片等；二是个人财产信息，包括个人收入状况、拥有的不动产状况、拥有的车辆状况、纳税额和公积金缴存金额等；三是个人账户信息，包括账号、账户开立时间、开户行、账户余额和账户交易情况等；四是个人信用信息，包括信用卡还款情况、贷款偿还情况以及个人在经济活动中形成的，能够反映其信用状况的其他信息；五是个人金融交易信息，包括银行业金融机构在支付结算、理财和保险箱等中间业务过程中获取、保存、留存的个人信息和客户在通过银行业金融机构与保险公司、证券公司、基金公司和期货公司等第三方机构发生业务关系时产生的个人信息等；六是衍生信息，包括个人消费习惯、投资意愿等对原始信息进行处理、分析所形成的反映特定个人某些情况的信息；七是在与个人建立业务关系过程中获取、保存的其他个人信息。

从上述概念和范围看，个人金融信息涉及商业银行各类金融服务品种，尤其是在个人储蓄金融业务、个人信贷资产业务、银行卡业务等最为集中。商业银行个人金融信息是个人信息的一部分，也是其最具价值的内容之一。

二、我国商业银行个人金融信息保护现状

长期以来，我国对个人信息的保护缺乏足够的重视，无论是在制度设计还是操作层面上，对个人信息保护都相当薄弱。

商业银行个人金融信息作为个人信息的一部分，国家在制度层面对个人金融信息的保护相对完善，如《商业银行法》、《个人存款账户实名制规定》等规定商业银行对客户信息保密；中国人民银行《个人信用信息暂行管理办法》更是我国第一个专门针对个人信用信息保护的法律规章，为进一步制定个人金融信息保护法规奠定了基础；2011年初，中国人民银行还专门下发了《关于银行业金融机构做好个人金融信息保护工作的通知》（银发【2011】17号），对个人金融信息进行了明确界定并对商业银行提出了一系列要求。虽然国家对商业银行个人金融信息的保护规定相对完善，但现实中，商业银行对个人金融信息的保护方面仍存在诸多问题，国家对个人金融信息的保护机制构建尚待加强和完善。

其一，保护意识淡薄，制度贯彻乏力。出于整个社会对个人信息保护观念淡薄的惯性，商业银行大部分员工在对个人金融信息的保护方面也缺乏重视和动力。其一方面对个人金融信息的范围缺乏全面的认识，一般停留在将个人金融信息等同于个人存款数额等金钱信息，而对客户的交易习惯、信用情况等不加以重视；另一方面是对泄露个人金融信息的法律后果不够重视，并未认识到个人金融信息关乎个人的人格权、财产权，泄露个人金融信息将导致对个人权益的侵害，乃至对整个社会造成不利影响。

其二，流程制约缺乏，操作监督缺失。如前面所述，因保护意识的淡薄，商业银行在进行业务设计时往往忽略对个人金融信息的保护，存在业务流程长资料接触人员多、单人操作随意收集使用信息、通过第三方收集信息或外包业务中将信息交给承包方等等情况，从而使个人金融信息的收集、使用丧失合理的制约与监督，造成个人金融信息的滥用与流失。如个人信贷业务、机构信贷业务（机构信贷业务中包含自然人股东、法定代表人、高管等个人资料）等资产类业务，由于涉及的环节较多，从业务申请到流程审批再到贷后管理，基本上每个环节都存在复制留存信贷资料的情况，且这些资料一般随业务员保管，这无疑增加了个人金融信息外泄的可能，当发生个人金融信息外泄时也将增加对责任认定及追究的难度。

其三，违背合理原则，收集使用过度。合法合理原则是商业银行在收集、使用个人金融信息时应严格遵守的原则之一，以确保个人金融信息不被窥视和滥用。但在商业银行具体业务中，出于思维惯性及业务方便考虑，在流程设计及业务开展中，往往存在过度收集客户个人金融信息以及以办理业务为前提胁迫客户授权商业使用其信息的情况。

三、商业银行构建个人金融信息保护机制的原则

在构建自身个人金融信息保护机制的过程中各家商业银行面临的境况迥异，采取的措施可能不尽相同，但应遵循以下普遍性原则，作为流程设计及业务开展的依据。

（一）合法合理原则

合法合理原则是指在收集、使用个人金融信息时应遵循相关法律规定，符合业务特点要求，合理利用信息资源。具体要求是：

其一，在收集客户信息时应根据业务办理的需要来进行，不得收集与业务办理无关的信息或采取不正当方式收集信息。

其二，收集到的客户信息一般仅用于产生该信息的金融业务，与该业务范围对口一致。在利用现有客户信息进行产品营销时，最好在进行客户维护的同时进行，若客户对此反感，应即刻停止相关行为。

其三，在对个人金融信息进行使用时应将信息用于产生该信息的相关业务，在未征得信息所有人同意的情况下，不得向其他第三方提供。

合法合理原则是对个人金融信息使用的限制性要求，体现了对个人金融信息保护时应掌握的度，是个人金融信息保护机制的出发点和核心。

（二）分级管理原则

分级管理原则是指在进行个人金融信息保护管理工作时，根据个人金融信息的内容、性质将个人金融信息划分为不同的业务种类和安全等级，并采取相应的保护措施。具体包含两个层面的内容：

一是个人金融信息也是商业银行的商业秘密，可以参照《中央企业商业秘密保护暂行规定》等法律规定将个人金融信息划分为不同的商密等级，规定不同商密等级的查看范围和程序，从而降低泄密的风险和危害。

二是个人金融信息应根据其产生地点将其限定在产生机构及其隶属上级部门范围内的查看、使用，平行机构无权查看或使用。当然，这一层面的限定应是相对的，对于如不良信用信息等应是共享的。

分级管理原则对于提高保护效力、划分责任主体、节约保护成本等具有积极的意义，这也是现代信息安全常遵守的原则之一。

（三）权限制衡原则

权限制衡原则是指在个人金融信息的保护过程中（尤其是对个人金融信息的查询和使用），对相关人员的权限进行限定，并使之相互牵制，以达到监督制衡的目的。权限制衡原则应体现在事前、事中、事后三个环节：

事前环节体现为个人金融信息使用部门与管理部门的分离，即使用部门欲查询、使用个人金融信息，应根据信息的安全等级报使用部门与管理部门的共同上级审批同意后，管理部门才能进行相应的操作。

事中环节则要求信息保管部门在提供个人金融信息或使用部门在使用信息的过程中应实行双签制度，即设置双人以上签名以监督个人金融信息的合理使用。

事后环节则是要求商业银行设置相应的监督管理部门对业务部门收集、保管、使用个人金融信息的情况进行监督，以确保个人金融信息保护制度的贯彻落实。

（四）流程可溯原则

流程可溯原则是指个人金融信息的收集、保管、使用，应具有明确的节点记录，即能清晰反映个人金融信息的流向，并具有可查性。主要有以下两个方面的要求：

其一，对于电子系统，系统应具有清晰记录每一操作行为的功能，并能清晰表明行为主体及活动的主要内容。

其二，对于非电子系统，商业银行应建立健全规范的书面交接手续，以明确个人金融信息的使用情况及最终流向，从而清晰表明泄露信息的环节。

流程可溯原则明确了责任主体，对责任的承担与追究具有积极的作用，也是防范信息外泄的重要手段之一。

四、商业银行个人金融信息保护机制的构建

个人金融信息的保护除了国家从立法层面进行专项规定外，商业银行亦应从内部管理方面建立一系列规章制度，形成一套行之有效的个人金融信息保护机制，并在具体业务中加以贯彻执行。笔者认为，商业银行个人金融信息保护机制应涵盖个人金融信息的收集、保管、使用及监督等方面。

（一）个人金融信息收集机制

个人金融信息的收集应严格执行合法合理的原则，通过合法正当的途径收集与业务适当的个人金融信息，为掌握好这一尺度，商业银行应建立相应的制度以确保在这一阶段工作的适当性：

一是收集途径的合法性。收集个人金融信息时应采用符合法律规定的方式来进行，如通过业务办理、客户自愿提交、有权部门提供等方式获得客户个人金融信息，而不能采取私下买卖、秘密收集等非法手段获得个人金融信息。

二是收集程度的适当性。收集个人金融信息应是出于业务办理需要，且收集的深度和广度应与所办业务向匹配，而不得收集与办理业务无关的信息。为确保这一原则在日常工作中的落实，商业银行应根据相关法律规定、业务习惯等制定相应的业务办理制定，规定办理业务需收集的客户信息。若需收集与业务有关联性但并非必要的信息或授权内容的，应在同一文件中将其区分为选填项，或制作为单独的文件交客户额外确认。

三是收集过程的私密性。在收集个人金融信息的过程中应确保信息的安全，避免在收集环节出现信息的泄露与扩散。为此，商业银行应采取相应的措施加以保障，如通过设置等候线、柜台屏风等物理设施确保客户向商业银行提供其个人信息的私密与安全。

（二）个人金融信息保管机制

基于个人金融信息的重要性及私密性，商业银行应采取坚实的措施来确保个人金融信息保管系统本身的安全。

其一，建立存储系统并确保其本身安全。对于电子存储系统，应采取质量稳定、坚固的存储设备，并进行足够、及时的备份。对于书面文档，则需建立集中文件档案仓库，并做好仓库的防火、防盗等安全措施，对于未能及时移送档案仓库的，应建立专项文件夹，专人保管。

其二，做到存储系统与生产系统的隔离。为进一步确保数据的安全，应在数据存储系统与应用系统间建立防火墙，应用系统若需调用、修改存储系统的数据，应进行必要的授权。

（三）个人金融信息使用机制

商业银行在使用个人金融信息时应严格遵循合理使用的原则，构建以下信息使用的制度：

一是授权使用制度。授权使用制度包含两个层面的内容，即客户授权使用及银行内部的使用授权，前者是指商业银行收集的个人金融信息应基于客户办理业务的需要，当商业银行将信息用于非产生该信息的业务或向第三方时，应另外取得客户的额外授权。后者则指商业银行应根据权限制衡原则合理设置信息使用权限，信息使用部门在使用个人金融信息时，应根据内部的权限设置取得保管部门的授权，使用部门也应对具体使用人进行相应的使用授权，以确保信息的合理使用。

二是合理使用制度。商业银行获取的个人金融信息原则上应只是用于产生该信息的相关业务，而不能用于与产生该信息无关的其他业务甚或提供给第三方使用。对于商业银行利用现有的客户资料进行其他用途的再利用，我们认为应把握好一个度，那就是只能是进行内部上的整合且出于服务客户的考虑，如进行内部的统计分析或客户资产交易习惯的分析以更好维护客户等，当向客户营销本行相关金融产品时，若客户提出明确反对，则应终止该类营销活动。

（四）业务外包机制

对于外包业务，商业银行应根据《银行业金融机构外包风险管理指引》的相关规定做好个人金融信息的保护工作，在具体业务中应注重以下三个方面的内容：

第一，完善服务提供商准入制度。外包业务中除了商业银行加强对个人金融信息保护的工作外，更重要的在于服务提供商对这些信息的保护意识、保护能力及责任承担能力，因此应严格外包业务服务提供商的准入条件，将服务提供商对个人金融信息的保护能力作为重要的准入条件之一，对其资质、实力及业务经验进行严格审查，选择最优的服务提供商。服务提供商确定后，应与其签订服务外包合同，从保护银行商业秘密及客户信息的角度对服务方式进行约定，同时要求服务提供商作出保密承诺，并约定违反保密承诺的责任承担。

第二，遵循“三指定”原则。对于涉及商业银行商业秘密和个人金融信息的外包业务，原则上应遵守“三指定”原则，即指定的服务人员到商业银行指定的地点使用指定的设备提供服务，并在服务场所安装监控设备。服务提供者在服务过程中禁止摘抄资料和携带资料离开工作场所，同时采取技术手段禁止设备外接其他网络和存储设备。对于须带出商业银行工作场所的（如电子设备维护等），商业银行应采取必要的技术手段对个人金融信息进行分割、“粉碎”后才让服务提供商带离，以防止个人金融信息的泄露和扩散。

第三，完善资料交接及销毁制度。对于须向外包服务提供者移交资料的，商业银行应严格履行交接登记手续，只向指定的交接人员移交资料以防止资料扩散。外包服务完成后，服务提供商在提交服务成果外，还须按时将资料退回给商业银行或在商业银行的监督下进行销毁。

（五）信息保密机制

这里指的信息保密制度是指商业银行根据个人金融信息的重要性划分涉密等级和接触人员，并与工作人员进行保密责任的约定和教育。具体包括以下几个层面内容：

其一，信息等级划分。对于个人金融信息，商业银行应该根据产生主体、信息内容、影响范围等方面的重要程度将个人金融信息划分为不同的等级，参照国家保密法等法律规定将其界定为不同的密级，以为后续保密工作的开展提供依据。

其二，接触范围控制。针对个人金融信息保密等级的不同，商业银行可对接触员工的范围进行限定，如通过员工认证码与具体员工捆绑，并赋予员工认证码以查看、使用个人金融信息的不同权限，只有通过员工认证码才能查看、使用对应等级的个人金融信息。

其三，保密责任约定。商业银行在与员工签订的劳动合同，应约定了保密条款，对于从事涉密岗位的，还应签订专项保密协议，明确相关业务人员保护个人金融信息的职责和后果。

其四，保密教育与监督检查。商业银行应加强对员工在保护个人金融信息方面的培训教育，尤其是对新进行柜员应开展这方面的警示教育。同时加强监督检查，对发现的问题应及时进行惩处并加以通报，以起到警示作用。

综上，商业银行个人金融信息是商业银行一项重要而庞杂的无形资产，也紧密关系到个人隐私权利。当前，我国对个人金融信息保护的现状不容乐观，而商业银行作为个人金融信息最主要的生产、聚集机构，其应承担更多的社会责任，构建一套符合自身境况的个人金融信息保护机制，从源头做好对个人金融信息的保护工作。在构建个人金融信息保护机制的过程中，商业银行除因地制宜地制定严密的规章制度外，还应充分利用现代信息技术的先进科技，从技术层面构建严密的个人金融信息保护网。

①这里的私人信息即包括商业银行为自然人客户办理业务所获得的个人客户信息，也包括商业银行为企业客户办理业务中所获得的该企业客户法人、高管等有关自然人信息。