违法收集、提供用户个人信息 这些银行又触雷区

    监管部门对个人信息保护的关注仍在持续。近期，已有多家银行因未经同意查询个人信息、未经个人信息主体同意向第三方提供个人信息等事由被处罚。据北京商报记者不完全统计，今年以来，已有包括齐齐哈尔农商行、郑州农商行、哈尔滨农商行、平安银行天津分行、渤海银行长春分行等在内的多家银行因违规查看、收集、使用或泄露用户个人信息被处罚。对此，分析人士指出，伴随着顶层制度的不断完善，金融业的数据治理工作将迈入常态化阶段，上级部门将加大对金融机构信息安全工作的监督管理，关于信息保护的罚单或更加频繁。

    多家银行因违规收集、泄露个人信息被罚

    中国人民银行合肥中心支行日前披露的一则行政处罚信息显示，中国银行安徽分行因ETC预登记业务侵害消费者个人信息权利等7项违法行为，被警告并合计被罚114.7万元，同时相关负责人也被处以0.55万-2.5万元不等的罚款。更早前，中国银行辽宁分行也被中国人民银行沈阳分行处以114.7万元罚款，违法事由包括未按规定收集、使用消费者个人金融信息等。

    除违规收集信息外，也存在个别银行因泄露个人信息而遭监管处罚的情形。近期，齐齐哈尔农商行就因未经同意向第三方提供个人信息、未按规定保存客户身份资料和交易记录等7项违法行为，被人民银行哈尔滨中心支行警告并合计处以罚款141.5万元。其中，因未经个人信息主体同意向第三方提供个人信息，罚款2万元；因未按规定履行客户身份识别义务、未按规定保存客户身份资料和交易记录、未按规定开展持续的客户身份识别，罚款121万元。

    银行收集、泄露个人信息为何屡禁不止？金融科技专家苏筱芮表示，提供个人信息屡禁不止，一方面是由于机构不愿意放弃个人信息所产生的价值，企图通过违规收集、提供个人信息来获取更多用户；另一方面则是因为合规意识低下、技术能力不足等原因无法满足监管要求。

    被罚主体以农商行居多

    个人信息保护已成为信息化、数据化时代面临的普遍性问题，违法使用、收集甚至泄露个人信息的事例屡见不鲜，从公开罚单中就可以窥探一二。据北京商报记者不完全统计。除上述银行外，今年以来，郑州农商行、哈尔滨农商行、平安银行天津分行、渤海银行长春分行、湖南东安农商行等多家银行也因违规查看、收集、使用用户个人信息被处罚。

    因存在未经同意查询个人信息、未按规定保存客户身份资料和交易记录等6类问题，哈尔滨农商行被人民银行哈尔滨中心支行合计罚款485万元。其中，未经同意查询个人信息被单独罚款6万元。

    郑州农商行因未按规定保存客户身份资料和交易记录、违反消费者金融信息管理规定等违法行为，被人民银行郑州中心支行处以罚款274.4万元。同时，该行一副行长因对上述违法行为负有责任，也被罚款4.75万元。

    而从被罚主体来看，则以农商行居多。苏筱芮认为，农商行被罚较多的原因主要是此类小型银行业务较为粗放，且金融科技能力的水平与大行相比还有一定的差距。

    资深银行业分析人士王剑辉则进一步分析认为，被罚主体以农商行居多是由于农商行大多由农信社转制而来，在治理结构、管理模式等方面相对比较落后，改制后虽有显著提升，但一些诸如信息系统管理、合规制度的建立和执行都还不是很完善，人员的素质也有待提升。同时，这类银行服务的用户大多对个人信息保护没有充分的意识。

    个人信息规范边界如何守牢

    事实上，为加强个人信息的保护，近年来，相关政策措施也不断出台。去年中国人民银行相继发布了《个人金融信息保护技术规范》《中国人民银行金融消费者权益保护实施办法》等文件。《个人信息保护法（草案）》也于今年4月进入二次审议稿公开征求意见阶段。

    "未来个人信息监管的重点可能是金融业务合作模式中的信息共享，伴随着顶层制度的不断完善，金融业的数据治理工作将迈入常态化阶段，上级部门将加大对金融机构信息安全工作的监督管理，关于信息保护的罚单或更加频繁，金融机构应当严格对照监管要求强化内控管理，明晰人员分工，保护客户权益，从源头上杜绝可能存在的风险。"苏筱芮说道。

    苏筱芮建议，金融机构及其合作伙伴应该从数据的采集、存储、加工、传输、披露等环节规范用户个人信息管理，例如采集前需征求用户同意，必要时应采取去标识化原则等，通过制度及流程的梳理来加强内部管控，遵循"用户授权、最小够用、专事专用、全程防护"原则。而用户也应该做到不主动触碰不明运营主体的App，对钓鱼网站、仿冒App等保持高度警惕，善用举报功能，对于存在侵害用户个人信息的行为可进行证据收集与反馈。

    王剑辉则提倡，机构要明确采集信息的具体事宜，采集什么样的信息，采集信息的数量、时间期限都应该有更为细致的规定。在个人信息管理上，应避免多头采集信息，一些诸如出生年月、身份证号、家庭住址等基础个人信息建议由政府部门掌握，银行应采集债务纠纷、法律纠纷等与业务直接相关的信息，这样即使信息泄露也只是局部泄露，不会影响整体。

    同时王剑辉认为，用户提供个人信息时也因更加敏感，可以向专业机构咨询或了解相应法律法规，加强个人信息保护的意识，明确个人信息提供的边界。