切磋琢磨成宝器——个人金融信息保护的合规要点解读（下）

• 妥善签署合作协议，协议应明确双方个人金融信息保护责任、保密义务、监督、处罚、合同终止和突发情况下的应急处置，并要求外部机构不留存C2、C3级信息；如因业务需要（清分清算、差错处理）确需留存的C2级信息（如支付账号），应明确合作方保密义务与保密责任，并落实相应的安全控制措施、将有关资料留档备查；

• 访问权限与控制：对于可能访问个人金融信息的外部机构及其人员，应要求外部机构同时向有关人员传达个人金融信息保护安全要求，并与其签署保密协议、对协议履行情况进行监督；

• 数据库的运维主体：除委托外包服务机构处理个人金融信息的情形之外，对于其他外部合作机构，不应将存储个人金融信息的数据库交由其运维；

• 监督与检查：定期以信息安全评估、现场检查等方式对外部机构个人金融信息保护措施落实情况进行确认；

• 数据分析中的信息脱敏：开展数据分析等方面的合作时，应确保使用的是脱敏后的个人金融信息；

• 合作方为互联网平台企业时的特殊义务：如外部机构为互联网平台企业，则未经个人授权同意，应要求其不得跨平台传递个人金融信息。

• 符合国家法律法规及行业主管部门有关规定；

• 获得个人金融信息主体明示同意；

• 依据国家、行业有关部门制定的办法与标准开展个人金融信息出境安全评估，确保境外机构数据安全保护能力达到国家、行业有关部门与金融业机构的安全要求；

• 与境外机构通过签订协议、现场核查等方式，明确并监督境外机构有效履行个人金融信息保密、数据删除、案件协查等职责义务。

• 值得注意的是，就上述的“信息出境安全评估”义务，结合《数据出境安全评估办法（征求意见稿）》，可能存在以下几种触发情形：（i）金融业机构被认定为关键信息基础设施运营者（“CIIO”）[3]，（ii）出境数据中含有重要数据；(iii)金融业机构处理的个人信息达到100万人，或（iv）金融业机构累计向境外提供超过10万人以上个人信息或者1万人以上敏感个人信息。就上述的与境外机构签订的数据传输协议，《个保法》《数据出境安全评估办法（征求意见稿）》里也提出了同样要求。2022年6月30日，网信办发布了《个人信息出境标准合同规定（征求意见稿）》，该征求意见稿中公布了《个人信息出境标准合同》，其对个人信息出境的适用范围、备案要求、需重新签订标准合同的情形等做出了明确与规定。

• 严守最小必要原则，要求用户必须提供的个人信息，不得超过必要个人信息范围，同时避免收集超出业务实际需要、与业务无关的个人信息。金融业机构可参考《常见类型移动互联网应用程序必要个人信息范围规定》对于网络支付、网络借贷、手机银行、投资理财类App的要求，来确定自身的必要个人信息范围；

• 在通过弹窗、明显位置的URL链接等方式收集信息时，需要引导用户查阅隐私政策，并在获得其明示同意后，方可开展有关个人金融信息的收集活动；

• 在隐私政策等公示文本中，必须逐项列明信息收集和共享的内容、目的及范围，以及所嵌入的SDK等第三方共享对象；

• 当用户明确表示不同意收集某项非业务必要的个人信息后，避免继续频繁地征求用户同意、干扰用户正常使用；

• 使用人脸、指纹等个人生物识别信息作为用户登录的验证方式时，应通过弹窗、即时提示等方式征得用户的单独同意，并避免将生物识别作为唯一的验证方式。

• 收集个人金融信息用于营销宣传、用户体验改进、市场调查等目的时，需要确保通过适当方式供用户自主选择是否同意将自身的个人金融信息用于以上目的，如果用户不同意，金融业机构也不得因此拒绝提供相关产品或服务；

• 向用户通过电话呼叫、信息群发、网络推送发送营销信息时，金融业机构应当同时提供拒绝继续接收或退订的选择，避免短时间内对相同用户的重复呼叫、短信和高频推送；

• 在根据用户兴趣爱好、消费习惯等开展个性化精准营销时，金融业机构应当同时提供不针对用户个人特征推送的选项，或是界面关闭按钮等便捷的拒绝方式；

• 通过书面合作协议约定及采取相应的技术安全措施等方式，防止互联网平台等外部合作机构利用痕迹数据对用户个人开展未经授权的金融营销活动。

[注] 

点击阅读

作者往期文章推荐