从银行合规看个人信息保护 ——民法典时代的现状与建议（上篇）

引言
2017年6月1日起生效的《网络安全法》在“网络运营者”对个人信息的收集、存储、使用等方面都提出了与GDRP等境外法规类似的法定义务；2020年5月28日，中国法制史上具有划时代意义的《民法典》出台，其中隐私权和个人信息保护独立成章（第1032条-第1039条），成为《民法典》的一大亮点，也意味着个人信息的保护范围、义务主体的扩大。
为了落实个人信息保护义务的具体要求，国家标准化管理委员会于2020年3月6日更新了《信息安全技术个人信息安全规范》（GB/T 35273-2017更新为GB/T 35273-2020）（以下简称“《规范》”），对个人数据的收集、存储、使用、共享、转让、公开披露等各个环节，提出了更为细致的合规要求。虽然《规范》为国家推荐性标准而非国家强制性标准，但在我国个人信息保护法尚未出台的情况下，《规范》作为我国目前唯一一部全面阐述个人信息保护各个环节的详细操作指引，对指导实践有着重大意义。
银行作为最主要的金融机构，其个人信息管理不仅应符合上述法定义务和规范要求，还要遵守更为严格的行业监管要求。2020年2月13日，中国人民银行发布了《个人金融信息保护技术规范》（以下简称“《个人金融信息规范》”），将个人金融信息按敏感程度从高到低分为C3、C2、C1三类。对实务操作提出了更为严格的挑战。本文将尝试在阐述《民法典》、《规范》、《个人金融信息规范》相关法律规则的基础上，给出初步建议。
根据2020年立法工作计划，今年将出台《数据安全法》以及《个人信息保护法》，可以说已经形成水到渠成之势，值此数据和个人信息保护立法风起云涌之际，本稿分别以上篇（个人信息与个人金融信息的概念；个人信息保护的“三层阶梯”——立法现状）和下篇（个人信息保护的银行合规风险）抛砖引玉，期待金融领域和数据领域的专家同仁指正。
一、个人信息与个人金融信息的概念
（一）个人信息
《民法典》第1034条第2款规定：“个人信息是以电子或者其他方式记录的能够单独或者与其他信息结合识别特定自然人的各种信息，包括自然人的姓名、出生日期、身份证件号码、生物识别信息、住址、电话号码、电子邮箱、健康信息、行踪信息等。”这与《网络安全法》中的关于“个人信息”的表述虽有细微不同，但内涵一致，都以“可识别出特定自然人”作为判断标准，与境外相关法规保持了一致。
《民法典》作为调整平等民事主体之间法律关系的基本法，为个人信息保护设立专章（第四编第六章），不仅明确了个人信息是受法律所保护的法益（第1034条），处理个人信息应当遵循合法、正当、必要三大原则（第1035条）， “信息处理者”对个人信息安全承担着保障义务（第1038条），更将个人信息中的“私密信息”提升到“隐私权”的高度加以保护（第1034条第3款）。
作为落实上述法定义务的技术标准，《规范》根据个人信息泄露导致的危害程度不同，将个人信息分为“个人敏感信息”和“非敏感信息”，前者是指一旦泄露、非法提供或滥用可能危害人身和财产安全，极易导致个人名誉、身心健康受到损害或歧视性待遇等的个人信息（《规范》3.2），对“个人信息控制者” 的要求更为严格。
实践中，《民法典》中的“私密信息”与《规范》中的“个人敏感信息”，两者存在交叉和区别：交叉部分，例如用户支付时的身份识别信息，通常属于不能向他人透露的私密信息，且其泄漏可能危害用户的财产安全，将同时适用两者的义务要求，此类信息应引起包括银行在内的“信息处理者”及“个人信息控制者”的高度注意；区别部分，例如14 岁以下（含）儿童的个人信息，根据《规范》，此类信息属于个人敏感信息（例如姓名、生日、年龄），但不一定属于不愿被人知晓的私密信息(家长经常在参与辅导班时自愿披露这些信息)，不属于私密信息的个人敏感信息只适用于《规范》对个人敏感信息的保护，不适用于《民法典》对隐私权的保护。
（二）个人金融信息
从金融监管角度，银行对“个人金融信息”的保护是重中之重。“个人金融信息” （personal financial information），在《中国人民银行金融消费者权益保护实施办法》第28条（该办法称为“消费者金融信息”）、《个人金融信息（数据）保护试行办法（初稿）》、《个人金融信息规范》均有规定。《个人金融信息规范》中的定义是：金融业机构通过提供金融产品和服务或者其他渠道获取、加工和保存的个人信息，包括账户信息、鉴别信息、金融交易信息、个人身份信息、财产信息、借贷信息及其他反映特定个人某些情况的信息。此外，《个人金融信息规范》还将“支付敏感信息”作为重要一环单独列出并给出定义。“支付敏感信息”（payment sensitive information）是指支付信息中涉及支付主体隐私和身份识别的重要信息，包括但不限于银行卡磁道数据或芯片等效信息、卡片验证码、卡片有效期、银行卡密码、网络支付交易密码等用于支付鉴权的个人金融信息。
个人金融信息作为个人信息的重要组成部分，与私密信息、个人敏感信息均存在交叉部分。简单而言，例如账户信息、个人身份信息、财产信息、借贷信息等，一般均属于权利主体不愿意披露给他人的信息，属于隐私权保护的私密信息；而支付敏感信息的泄露可能对个人的财产权利造成较大危害，因此属于个人敏感信息。由此可见，个人金融信息同样受到《民法典》的保护和《规范》的规制，且由于其与个人财产权的直接关联，保护不当更易产生严重后果，因此更需引起重视。
二、个人信息保护的“三层阶梯”——立法现状
通过以上对 “个人信息”、“个人私密信息”、“个人敏感信息”、“个人金融信息”等概念相关法律规定的概述可知，当前国内有关个人信息安全的立法，呈现出从宏观到微观“三层阶梯”式的监管层级，即法律、国家标准、行业规范三个层级。银行等金融机构在进行个人信息合规方面的工作前，首先应理解三个层级规定的具体内容，进而建立更为严谨的内部合规体制。
（一）法律
首先，《民法典》第六章专章规定了自然人的个人信息保护。《民法典》将个人信息保护的责任主体统称为“信息处理者”，包含任何处理个人信息的组织或者个人。银行作为处理大量客户个人金融信息的组织，自然成为《民法典》规制的个人信息保护责任主体。
《民法典》第1035条规定，处理个人信息的，应当遵循合法、正当、必要原则，不得过度处理，并符合下列条件：（一）征得该自然人或者其监护人同意，但是法律、行政法规另有规定的除外；（二）公开处理信息的规则；（三）明示处理信息的目的、方式和范围；（四）不违反法律、行政法规的规定和双方的约定。
第1038条规定，信息处理者不得泄露或者篡改其收集、存储的个人信息；未经自然人同意，不得向他人非法提供其个人信息，但是经过加工无法识别特定个人且不能复原的除外。信息处理者应当采取技术措施和其他必要措施，确保其收集、存储的个人信息安全，防止信息泄露、篡改、丢失；发生或者可能发生个人信息泄露、篡改、丢失的，应当及时采取补救措施，按照规定告知自然人并向有关主管部门报告。
其次，《网络安全法》和《数据安全法（草案）》等现行或即将通过的法律也对个人信息保护提出了严格的要求。比如，《网络安全法》第40条规定，网络运营者应当对其收集的用户信息严格保密，并建立健全用户信息保护制度。银行在大规模发展网上银行、电子银行，开发应用程序平台方便客户办理业务的同时，其本身也成为了“网络运营者”，应当按照《网络安全法》的要求，采取技术措施和其他必要措施，保护客户的个人信息，履行作为网络运营者的个人信息保护义务。
《数据安全法（草案）》在第19条、第25条、第28条提出了对数据的分级分类保护和对重要数据的特别保护。《数据安全法》作为《国家安全法》中专门针对数据安全制定的下位法，在《网络安全法》的基础上提出上述要求，昭示着数据的“分级分类保护”及“重要数据特别保护”制度或将成为未来数据安全领域的基本制度。
另外，《刑法修正案（九）》将“出售、非法提供公民个人信息罪”和“非法获取公民个人信息罪”整合为“侵犯公民个人信息罪”，扩大了犯罪主体和侵犯个人信息行为的范围。该罪的犯罪主体囊括了金融、电信、医疗等领域的单位和个人。由此可见，对于个人信息，我国已经建立起了民事、行政、刑事的全方位法律保护体系。
（二）国家标准
2020年，国家出台了《信息安全技术个人信息安全规范》（GB/T 35273-2020）。相对于此前各版国家标准，该《规范》对个人数据的收集、存储、使用、共享、转让、公开披露等数据全生命周期的各个环节，都提出了更为细致的合规要求。
《规范》对“个人信息控制者”，即有能力决定个人信息处理目的、方式等的组织或个人，提出了个人信息处理的七大原则：权责一致、目的明确、选择同意、最小必要、公开透明、确保安全、主体参与。这七大原则是合法、正当、必要原则的具体化，为个人信息处理活动的合规化指明了方向。虽是国家“推荐”标准，但《规范》是对《网络安全法》等相关法律所规定的相关义务的具体操作标准，与境外相关法规保持一致，可以说是行政监管对相关义务主体是否全面履行个人信息安全保障义务的重要判断标准。而银行作为符合《规范》定义的“个人信息控制者”，需要在充分理解和严格遵守前述法律规定的前提下，根据《规范》建立个人信息安全的合规机制。
（三）行业规范
除了上述法律、国家标准之外，《个人金融信息规范》、《金融数据安全数据安全分级指南（送审稿）》、《商业银行互联网贷款管理暂行办法》、《中国人民银行关于银行业金融机构做好个人金融信息保护工作的通知》、《中国人民银行金融消费者权益保护实施办法》等规范及规范性文件都针对银行等金融机构，提出了专门针对金融领域的个人信息处理要求，并着重规定了个人金融信息在收集、存储、使用、传输、删除、销毁等生命周期各环节的安全防护要求。
特别在个人金融信息分级分类保护方面，不同于前述《规范》中对“个人敏感信息”和“非敏感信息”的分类，《个人金融信息规范》对个人金融信息的分类更为细化，即根据泄露的危害程度，由高到低分为C3、C2、C1三个类别，C3主要为各类账户密码，C2主要为账户、身份证信息、短信口令、KYC信息、住址等，C1主要为开户时间、支付标记信息等，并明确规定， C3、C2类别信息的收集，不应委托或授权无金融业相关资质的机构。
另，中国人民银行科技司和中国银行保险监督管理委员会起草的金融行业标准《金融数据安全数据安全分级指南（送审稿）》，直接对应了《数据安全法（草案）》中数据分级分类保护与重要数据特别保护的制度安排，并明确给出金融业重要数据的识别标准。掌握大量个人金融信息以及关系国家金融安全数据的金融机构，特别是大型或特大型金融机构，也应当特别关注数据定级以及重要数据识别。
在个人金融信息存储及跨境传输方面，《个人金融信息规范》要求，对于在中国境内产生的个人金融信息，应当在境内存储、处理和分析，因业务需要确需向境外机构（含总公司、母公司或分公司、子公司及其他为完成该业务所必需的关联机构）提供个人金融信息的，应当符合国家法律法规及行业主管部门有关规定，获得个人金融信息主体明示同意，依据国家、行业有关部门制定的办法与标注开展个人金融信息出境安全评估，确保境外机构数据安全保护能力达到国家、行业有关部门与金融业机构的安全要求，且应与境外机构以签订协议、现场核查等方式明确并监督境外机构有效履行个人金融信息保密、数据删除、案件协查等职责义务。中国人民银行发布的《中国人民银行关于银行业金融机构做好个人金融信息保护工作的通知》第6条、《中国人民银行金融消费者权益保护实施办法》第33条也都有类似规定，据此可知，个人金融信息的存储、处理和分析原则上均应在中国境内进行，数据出境需要遵循严格的法定要求。
另一方面，个人金融信息又有着巨大的经济价值，特别是用于互联网贷款的风险评估时，可以说风险与利益并存。为平衡两者，中国银行保险监督管理委员会发布了《商业银行互联网贷款管理暂行办法》，以风险管控为主线，对互联网贷款过程中的风险数据使用、与合作机构的合作方式等方面制定了详细的监管指引，构建了一整套合作方式及合作机构风险管控机制。如第33条规定“商业银行……如果需要从合作机构获取借款人风险数据，应通过适当方式确认合作机构的数据来源合法合规、真实有效，对外提供数据不违反法律法规要求，并已获得信息主体本人的明确授权。商业银行不得与违规收集和使用个人信息的第三方开展数据合作”。可见，银保监会对银行与第三方机构间的数据共享与传输的严格规制，应引起银行业界的高度重视。
*感谢北京安理（上海）律师事务所实习生魏乔冰持续十天的资料收集、整理工作，感谢北京安理（上海）律师事务所律师助理徐梦琦对本稿整理的贡献。