既遵道而得路——个人金融信息保护的合规要点解读（上）

在展开个人金融信息保护工作之前，首先需要明确何为个人金融信息。根据个金技术规范第3.2条，“个人金融信息”是指“金融业机构[2]通过提供金融产品和服务或者其他渠道获取、加工和保存的个人信息”，具体包括账户信息、鉴别信息、金融交易信息、个人身份信息、财产信息、借贷信息及其他反映特定个人某些情况的信息。据此，个人金融信息不等同于个保法所提及的金融账户信息，个人金融信息范围显然要更加广泛。另外，根据个保法第28条敏感个人信息的定义及示例[3]，个人金融信息也并不完全落入敏感个人信息的范畴，而需结合相关信息泄露的影响做综合判断。

金融业机构进行个人金融信息资产梳理的核心是建立完善的、动态可调的分类分级体系。个人金融信息的分类规则较为明确，参考个金技术规范，金融业机构可以从“账户信息、鉴别信息、金融交易信息、个人身份信息、财产信息、借贷信息及其他信息”将个人金融信息粗分为7大子类，再进一步根据自身组织经营情况向下细分。在明确个人金融信息的分类后，金融业机构应当搭建个人金融信息的分级框架。依据信息遭到未经授权的查看或未经授权的变更后所产生的影响和危害，个金技术规范将个人金融信息按敏感程度从高到低分为为C3、C2、C1三个等级，并示例了具体的个人金融信息等级供参考（如下表1所示）：

点击可查看大图

我们理解，上述分级标准有助于厘清个人金融信息与个保法下的敏感个人信息的关系：首先，个金技术规范对于C2、C3等级信息的描述与个保法下个人敏感信息“一旦泄露或者非法使用，容易导致自然人的财产安全受到危害的个人信息”的属性基本一致，因此，宜将C2、C3级信息归入敏感个人信息，提高其保护合规标准，在处理此类信息时还需要注意遵循单独同意、进行个人信息保护影响评估等特殊处理规则。其次，对于C1级信息，由于其一旦遭到未经授权的查看或未经授权的变更，可能会对个人金融信息主体的信息安全与财产安全造成一定影响，但这种影响是否达到个保法上侵害自然人的人格或危害人身、财产安全的程度从而构成个人敏感信息，则需结合具体场景下判定。

最后，金融业机构在进行个人金融信息资产梳理和等级判定时还应当注意：

从收集、传输、存储、使用再到删除和销毁，个人金融信息的生命周期的各环节设置与个保法、《金融数据安全 数据生命周期安全规范》等规定基本一致。基于不同的个人金融信息级别，个金技术规范提供了相应的技术和管理要求的参考，金融业机构可以参照相关要求，设计并实施覆盖个人金融信息全生命周期的安全保护策略。篇幅所限，我们仅在下表2中归纳了主要环节中的典型合规义务：

点击可查看大图

此外，个金技术规范还特别关注支付敏感信息，并在部分环节中针对性地设置了特殊合规义务。根据个金技术规范，“支付敏感信息”是指“支付信息中涉及支付主体隐私和身份识别的重要信息，具体包括银行卡磁道数据（或芯片等效信息）、卡片验证码（CVN 和CVN2）、卡片有效期、银行卡密码、网络支付交易密码等用于支付鉴权的个人金融信息。”由于其敏感性，支付敏感信息一般属于C3级别的个人金融信息，因此，除适用上述C3级别信息处理的一般合规要求外，处理支付敏感信息时还需履行以下的特殊合规义务：

表格3 C3级中支付敏感信息的特殊合规义务

点击可查看大图

数字化时代，金融业机构全面提高个人金融信息的保护能力不仅仅是更严监管态势下的必然要求，更是实现数字化金融转型的关键之处。金融业机构应当以网络数据安全及个人信息保护等法律为根基，以行业主管部门的相关规定为枝干，以国家标准为叶，落实个人金融信息的分类分级，并建立涵盖个人金融信息收集、传输、存储、使用、删除、销毁等各个环节的全生命周期的内控合规制度。