一、个人信息保护的银行合规风险
上篇（传送门）简单阐述了个人信息的相关规定和对银行的合规要求，下篇对相关法律责任分述如下：
（一）民事责任
《民法典》首次将人格权单独成编，足见我国民事法律对人格权的保护上升到新的高度，而隐私权和个人信息作为《民法典》规定的人格权的重要组成部分，也与民事主体的生命权、身体权、健康权、姓名权、肖像权、名誉权等一样受到保护。银行类金融机构作为《民法典》个人信息保护责任主体，如未在处理个人信息时遵循合法、正当、必要原则，未依法征得个人信息主体或其监护人的同意，未公开处理信息的规则，未明示处理信息的目的、方式和范围，或者违法、违约处理个人信息，均可能导致对个人信息权益的侵害。
- 人格权保护禁令
《民法典》第997条规定，民事主体有证据证明行为人正在实施或者即将实施侵害其人格权的违法行为，不及时制止将使其合法权益受到难以弥补的损害的，有权依法向人民法院申请采取责令行为人停止有关行为的措施。这一规定就是所谓的“人格权保护禁令”。若银行类金融机构侵害客户的个人信息权益，被侵害的客户即可向法院申请颁发该禁令，对侵权行为采取紧急措施。申请禁令需要符合的要件：一是银行正在实施或者即将实施侵害客户个人信息权益的行为；二是如不及时制止将会使损害后果迅速扩大或难以弥补；三是被侵害的客户有证据证明银行正在实施或者即将实施相关侵害行为。通常来说，被侵害的个人信息主体必须证明侵害个人信息的行为已经发生并将持续发生，且此种情形具有急迫性。如果银行在处理客户个人信息时存在制度漏洞或监管漏洞，导致客户信息可能面临危害，则客户在发现漏洞或漏洞造成损失后，会向法院申请人格权保护禁令，该禁令可能对银行的日常运营造成重大影响，并存在受到行政监管机构监察、处罚的风险。 - 第三方导致的民事责任
银行与第三方信息处理机构的数据处理协议也容易导致银行的合规风险。这是因为，银行与第三方信息处理机构之间的协议，仅能作为二者之间的法律责任分配的方式，如果第三方造成客户个人信息权益受到侵害，客户仅会依据其与银行之间的金融服务协议关系，就自身所受侵害，向银行追责，从而导致银行的涉诉风险。银行只有在承担相应的民事责任后，才能向第三方追偿，但此等追偿可能由于第三方机构信誉、资产等因素而不具有稳定的实现可能性。 - 民事责任承担方式
银行类金融机构如果造成对个人信息权益的侵害，须视侵害的具体情况和产生的具体后果，以停止侵害、排除妨碍、消除危险、恢复原状、赔偿损失、支付违约金等方式承担相应的违约责任或侵权责任。
《民法典》规定了个人信息处理者无需承担民事责任的三种情形：（一）在自然人或者其监护人同意的合理范围内；（二）合理处理该自然人自行公开的或者其他已经合法公开的信息，但是该自然人明确拒绝或者处理该信息侵害其重大利益的除外；（三）为了维护公共利益或者该自然人合法权益，合理实施的其他行为。但细读此条款，即使符合上述三种情形之一，处理个人信息仍需满足“合理性”要求，而就“合理性”的含义，《民法典》没有给出更多的解释。因此，仅仅符合上述三种情形之一，银行的民事责任并不能豁免，银行在取得客户同意、处理已公开信息，或者为维护公共利益或客户合法利益处理某些信息时，也需要遵循《规范》的七大原则及相应操作指引，切勿越出合理范围。 - 民事诉讼中的举证责任
在侵害个人信息权益民事案件中，以往的司法实践对举证责任的分配并不一致，导致法院对被告企业是否存在侵权行为的判断有不同的结果。大体来说，部分判例贯彻“谁主张、谁举证”传统举证责任分配原则，此类案件中原告往往很难举证被告实际发生了泄露个人信息的行为，因此败诉。在“苏宁易购案”[1]和“京东案”[2]中，法院都主张由原告对侵权责任的构成要件承担举证责任，由于原告仅能证明损害事实，无法证明被告确实实施了侵权行为，及侵权行为与损害事实的因果关系，最终法院没有支持原告的诉讼请求。但也有一些法院通过适用“过错推定”原则将举证责任倒置给了被告企业，从而得出有利于原告的判决，例如“四川航空案”[3]审理法院认为，由于原告举证能力有限，根据公平原则和诚实信用原则要求被告企业对其已经履行了个人信息安全保护义务承担举证责任。
但最值得企业关注的是最高人民法院发布的第一批涉互联网典型案例中所列的“去哪儿网案”[4]，作为个人信息保护领域的典型案例，法院根据《最高人民法院关于适用<中华人民共和国民事诉讼法>的解释》第108条“对负有举证证明责任的当事人提供的证据，人民法院经审查并结合相关事实，确信待证事实的存在具有高度可能性的，应当认定该事实存在”，对信息泄露可能相关人进行主动筛选排除，并结合案涉事件发生前后的多家新闻报道，认定东航、趣拿公司存在泄露原告隐私信息的高度可能，判决东航、趣拿公司在其官网上连续三天向原告赔礼道歉。此案中，法院并未严格遵循“谁主张，谁举证”的原则。对于同样负有高度个人信息保障义务的银行来说，此案的裁判方式具有重大参考价值。如果银行未能证明其采取了必要措施履行该义务，且遭泄露的信息并非其他企业组织掌握的“个人金融信息”，则法院判决银行承担民事责任的可能性较大。
因此，银行建立相应制度，保留合法、合规履行 “个人信息”（包括但不限于个人金融信息）相关安全保障义务的证据，能够有效降低相关民事诉讼带来的责任风险。
（二）行政责任
基于个人金融信息的敏感性，中国人民银行早在2011年1月21日就发布了《中国人民银行关于银行业金融机构做好个人金融信息保护工作的通知》（同年5月1日实施）以部门规范性文件的形式对金融行业的个人信息保护进行规范。此举可以说是国内关于个人信息保护行政立法的先驱，不仅早于工信部2012年3月15日实施的《规范互联网信息服务市场秩序若干规定》，也早于2012年12月28日公布的《全国人大常委会关于加强网络信息保护的决定》。
2012年3月15日，央视315晚会曝光了有关商业银行员工向不法分子出售客户个人金融信息，并导致大量客户总计3000余万元存款被盗的事件。12天之后，3月27日，中国人民银行公布并实施了《中国人民银行关于金融机构进一步做好客户个人金融信息保护工作的通知》，从制度、技术及员工教育三个维度要求金融机构强化对个人金融信息的保护力度。
2020年3月4日，央行再度发布《中国人民银行关于发布金融行业标准做好个人金融信息保护技术管理工作的通知》，作为该通知的核心内容，《个人金融信息规范》重磅发布。
虽有上述规范性文件在先，仅2020年仍有多家银行因个人信息保护存在违规行为，被中国银保监会、中国人民银行处罚。如：
2020年5月9日，中国银保监会消费者权益保护局发布银保监消保发〔2020〕5号《中国银保监会消费者权益保护局关于某银行侵害消费者合法权益的通报》，指出某银行在未经客户本人授权的情况下，向第三方提供个人银行账户交易明细，违背为存款人保密的原则，涉嫌违反《中华人民共和国商业银行法》和银保监会关于个人信息保护的监管规定，严重侵害消费者信息安全权，损害了消费者合法权益。
此外，重庆富民银行也因“侵害消费者个人信息依法得到保护的权利”、杭州银行南京分行因“违规查询和使用客户个人信息”被处以警告、罚款，相关责任人员也被处以罚款。
可见，目前行政监管机构对银行个人信息保护的违规行为的处罚力度正在进一步加大，可以预见的是，在《民法典》生效后，个人信息保护将成为银行内部控制与核查的重点。
（三）刑事责任
《刑法修正案（九）》将《刑法》第253条之一修改为：“违反国家有关规定，向他人出售或者提供公民个人信息，情节严重的，处三年以下有期徒刑或者拘役，并处或者单处罚金；情节特别严重的，处三年以上七年以下有期徒刑，并处罚金。违反国家有关规定，将在履行职责或者提供服务过程中获得的公民个人信息，出售或者提供给他人的，依照前款的规定从重处罚。窃取或者以其他方法非法获取公民个人信息的，依照第一款的规定处罚。单位犯前三款罪的，对单位判处罚金，并对其直接负责的主管人员和其他直接责任人员，依照各该款的规定处罚。”根据此条，只有违法向他人出售或者提供公民个人信息，且情节严重，才构成侵犯公民个人信息罪。因此，银行类金融机构及其负责人，如非故意向他人泄露客户个人信息，一般不会构成该罪；如故意为之，侵犯客户的个人信息，特别是造成严重后果或者恶劣社会影响的，一般应承担刑事责任。例如，前述中信银行泄露王越池个人信息案，除行政处罚外，直接负责人因侵犯公民个人信息，涉嫌犯罪，已移送同级公安机关。
可见，银行等金融机构本身因其系统漏洞、管理漏洞，造成客户的个人信息受到侵害，承担刑事责任的可能性较小。但如银行工作人员故意泄露客户个人信息，特别是重要的交易信息，造成严重后果，承担刑事责任的可能性仍然存在，这也会给银行的声誉资产带来巨大伤害。
二、银行实务中个人信息保护的对策
由于《民法典》暂未生效、《数据安全法》以及《个人信息保护法》尚未发布，未来的立法趋势我们暂时难以给出定论，但通过对现行（含即将生效）的法律、国家标准、行业规范等进行的调查，我们尝试对银行提出如下初步建议。
（一）对个人信息来源的合规保障
银行等金融机构在其日常运营中，通常会自行或通过其他第三方机构大量收集客户个人信息，特别是个人金融信息、支付敏感信息。但如违规收集客户信息、或将不合规来源的个人信息用于业务运营，可能会导致相应的民事责任和行政责任。实践中，银行自行收集个人信息时，往往能够贯彻相关监管要求；但往往会忽视对第三方机构信息来源的合规审查，特别是考虑到现行有效的相关法律尚未明确银行该如何审查此类信息来源的合规性，建议先依据《规范》和《个人金融信息规范》建立对个人信息来源的合规性筛查制度，如严格审查第三方个人信息收集机构的资质、有无个人明示授权等。
审查银行内部的个人信息保护政策是否符合《规范》的要求，比如：各业务功能收集的个人信息是否为“最小必要”；客户对银行收集信息的目的、方式和范围等规则是否有清晰明确的认知；银行是否对此类认知进行了相应记录等。
（二）对内部控制与核查机制的健全
健全银行的内部控制与核查机制，是防止个人信息保护漏洞的重中之重。从实际案例来看，多数行政处罚案件，均是由于银行内部的控制和核查机制失灵，部分工作人员或外部人员钻了漏洞，造成客户个人信息权益受到侵害。尽管目前对于银行个人信息保护违规的行政处罚力度尚处于较低水平，但从国际立法趋势来看，未来处罚力度会加大，因此建议如下： - 银行健全个人信息保护合规机制，应设置独立履职的专职负责信息安全的人员和机构，并应直接向银行最高管理层汇报。
- 建立符合《个人金融信息规范》、《金融数据安全数据安全分级指南（送审稿）》要求的个人金融信息分级分类保护制度，特别是重要数据识别和特别保护制度。
- 个人信息存储、处理和分析应严格把控在中国境内；如因业务需要向境外机构传输个人信息，也应当取得个人信息主体的明示同意以及行业主管部门的认可，并在信息出境前做好安全评估工作，确保境外机构数据安全保护能力达到国家、行业有关部门与金融业机构的安全要求；还需要与境外数据处理机签订协议、对其现场核查，确保境外机构保证个人信息安全，并能在紧急情况下及时删除相关数据。
（三）对第三方信息处理机构的合规审查
由于银行类金融机构并非专业的信息处理机构，在信息收集、处理、分析的过程中，特别是在互联网平台上，常常依赖外部第三方信息处理机构，而此类机构是否合规也将成为银行必须关注的问题。银保监会通过《商业银行互联网贷款管理暂行办法》，对银行与第三方机构的数据合作进行了规制。按此《办法》要求，银行应当通过适当方式确认合作的第三方机构数据来源的合法合规性；也明确要求此类机构应当具有对外提供数据的相应资格，且已经取得个人信息主体本人的明示授权。
但实践中，目前缺乏对第三方信息处理机构的有效监管、其也不在银行自身的控制与审核机制之下，很容易导致违规收集个人信息或个人信息泄漏。虽然第三方机构是导致信息泄露的主体，但银行作为金融消费的服务提供方，在发生此类问题时，仍需直接承担相应的民事责任或行政责任。因此，相对于银行自行收集和处理个人信息而言，与第三方进行数据共享合作的合规风险仍然较大，银行在与第三方机构开展合作时应秉持高度审慎的原则。
（四）对个人信息处理人员的合规培训
实践中，银行被处罚主要是因银行职员泄密所致。银行工作人员缺乏对个人信息的尊重、对相关法规的了解，是发生泄露客户信息的主要原因，这都与合规培训不足有关。
针对此类问题，可以在银行内部设立专门的合规培训部门，进行定期合规培训，提高员工对个人信息分类、保护相关法律法规的认识，要求员工熟悉银行内部的风险管控机制，从而降低出现违规问题的风险。
* 感谢北京安理（上海）律师事务所实习生魏乔冰持续十天的资料收集、整理工作，感谢北京安理（上海）律师事务所律师助理徐梦琦对本稿整理的贡献。
参考文献
[1]《原告李洋与被告江苏苏宁易购电子商务有限公司隐私权纠纷一审民事判决书》，江苏省南京市玄武区人民法院，（2016）苏0102民初1123号。
[2]《赵亚琼等与北京京东叁佰陆拾度电子商务有限公司隐私权纠纷一审民事判决书》，北京市大兴区人民法院，（2017）京0115民初15827号。
[3]《林念平与四川航空股份有限公司侵权责任纠纷二审民事判决书》，四川省成都市中级人民法院，（2015）成民终字第1634号。
[4]《庞理鹏与北京趣拿信息技术有限公司等隐私权纠纷二审民事判决书》，北京市第一中级人民法院，（2017）京01民终509号。