商业银行个人信息保护风险管理交流

一、人行对个人信息保护处罚的主要原因

1.1 未经许可，擅自查询和使用征信信息（东亚银行、渣打银行案）；

1.2 未经同意滥用客户个人信息

（中信银行与池子争议案）

1.3 采集过多与业务无关的个人信息

（平安银行天津分行案）

1.4 限制个人主张个人信息受保护的权利（建设银行德阳分行案）

二、个人信息、敏感信息、个人信息处理

引子 中国保护模式与欧洲GDPR模式类似

2.1 个人信息的内涵和外延

2.2 个人敏感信息

- 商业银行处理的个人信息都是敏感信息

- 采集个人人脸图像信息应注意的合规性

2.3 商业银行的角色

- 既是个人信息处理者

- 也是关键信息基础设施的运营者

三、个人信息处理的主要原则

3.1 知情、同意原则

- 同意的书面形式

- 需要“单独同意”的情形

3.2 公开、透明原则

- 披露个人信息处理的方式

3.3 可用、最小原则

- 平衡业务所需信息的数量

- 合理确定信息保存的时间

四、商业银行个人信息从哪里来

4.1 来自于客户尽职调查

4.1.1 个人客户的基本信息

4.1.2 个人客户的辅助信息

4.1.3非个人客户所涉自然人信息

- 如“受益所有人”

4.2 来自于业务开展要求

- 如个人征信信息、个人工商户经营信息

4.3 来自于从第三方获取

- 如抖音等营销平台跳转、互联网联合贷款的合作方（涉征信资格）

五、商业银行个人信息保护的重点方面

5.1 通过APP收集个人信息

- 《移动金融客户端应用软件安全管理规范》

5.2 特别关注处理个人生物信息

- 就收集和使用征得用户的单独同意；

- 避免将生物识别作为唯一的验证方式；

- 原则上不应存储原始个人生物识别信息；

- 采取安全措施存储和传输生物识别信息，

5.3 分级授权，限制内部获取个人金融信息

5.4 用户画像与自动化决策

- 披露个人信息是否用于用户画像的用途；

- 消除明确身份指向性,尽量使用群体画像而非个体画像；

5.5 银行科技信息外保风险管理

- 外包服务商设置外包准入机制

- 对外包商获取的信息采取措施保障安全

5.6 个人信息的删除和销毁

- 应与反洗钱、客户适当性等要求期限衔接