作者：吳丹君律師 張振君律師助理

一、移動金融APP個人信息監管趨勢

2019年9月底，中國人民銀行向部分金融機構發布《中國人民銀行關于發布金融行業標準加強移動金融客戶端應用軟件安全管理的通知》（銀發〔2019〕237號）（以下將該文件簡稱為“237號文”；將“移動金融客戶端應用軟件”簡稱為“移動金融APP”），對移動金融APP安全問題，主要從提升安全防護、加強個人金融信息保護、提高風險監測能力、健全投訴處理機制、強化行業自律5個方面進行管理規范，并對備受關注的個人金融信息保護劃定四大紅線：

第一，在收集、使用個人金融信息時，央行明確，各金融機構不得以默認、捆綁、停止安裝使用等手段變相強迫用戶授權，不得收集與其提供金融服務無關的個人金融信息。

第二，金融機構應采取數據加密、訪問控制、安全傳輸、簽名認證等措施，防止個人金融信息在傳輸、存儲、使用等過程被非法竊取、泄露或篡改。

第三，在信息使用結束后，各金融機構應立即刪除敏感信息，在客戶端軟件卸載后不得留存個人金融信息。

第四，金融機構不得違反法律法規與用戶約定，不得泄露、非法出售或非法向他人提供個人金融信息。

與237號文同步發出的還有《移動金融APP應用軟件安全管理規范》（JR/T 0092-2019），相較于被替代的《中國金融移動支付客戶端技術規范》（JR/T 0092-2012），該文件刪除了應用場景、將人機交互安全改為身份證認證安全，增加了安全功能設計；修改了數據安全要求，在數據獲取、數據訪問控制、數據傳輸、數據存儲、數據銷毀等方面提出了具體安全要求。[1]

10月初，中國人民銀行向部分銀行下發《個人金融信息（數據）保護試行辦法》（以下簡稱“《辦法》”）初稿，待意見征求結束后將正式對外發布?！掇k法》重點涉及完善征信機制體制建設，對金融機構與第三方之間征信業務活動等進一步作出規定，加大對違規采集、使用個人征信信息的懲處力度。[2]

11月6日，工業和信息化部信息通信管理局發布《工業和信息化部關于開展APP侵害用戶權益專項整治工作的通知》（工信部信管函〔2019〕337號），決定針對違規收集用戶個人信息（私自收集個人信息、超范圍收集個人信息）；違規使用用戶個人信息（私自共享給第三方、強制用戶使用定向推送功能）；不合理索取用戶權限（不給權限不讓用、頻繁申請權限、過度索取權限）與用戶賬號注銷設置障礙（賬號注銷難）四個方面8類問題開展APP規范整治工作。[3]

12月3日，中國互聯網金融協會在京召開金融業移動金融客戶端軟件備案管理工作試點啟動會議，安排部署金融機構客戶端軟件備案試點工作。[4]據媒體報道，首批23家機構目前已試點備案，包括16家銀行類金融機構（含5家國有大行、5家股份行、3家城商行、2家農商行、1家農信聯社）、4家證券基金保險類金融機構（包括國泰君安、海通證券等），以及螞蟻金服、騰訊旗下財付通、京東數科三家非銀支付機構。[5]

12月4日，國家網絡安全通報中心官方微博發布《公安機關開展APP違法采集個人信息集中整治》，指出2019年11月以來，公安部加大打擊整治侵犯公民個人信息違法犯罪力度，組織開展APP違法違規采集個人信息集中整治，集中查處整改了100款違法違規APP及其運營的互聯網企業。其中，光大銀行、天津農商銀行、天津銀行APP赫然在列，但未言明具體原因。[6]

綜上，監管部門對移動金融APP的管理日趨嚴格，對包括個人金融信息在內的個人信息保護力度加強，并部署金融機構客戶端軟件備案試點工作以引導金融科技在合規前提下穩步發展。

二、個人信息的收集、使用和保護紅線

前述237號文劃定的“四條紅錢”的前兩項要求與《網絡安全法》《信息安全技術個人信息安全規范》（GB/T 35273-2017）（以下簡稱“《個人信息安全規范》”）的個人信息保護要求相似，均要求金融機構收集個人信息時秉持合法、正當、必要的基本原則，并采取技術措施和其他必要措施保障個人信息安全，237號文還針對金融機構特點進一步明確數據加密、訪問控制、安全傳輸、簽名認證等具體措施。

此次被通報的光大銀行即被質疑存在超過必要范圍收集個人信息的情形。比如騰訊證券根據《光大銀行手機銀行用戶隱私政策》（更新日期：2019年10月30日）（以下簡稱“《光大隱私政策》”）第一條第二款中“個人敏感信息”一項中列出的“其他信息”包括“……性取向、婚史、宗教信仰……”，認為該隱私政策違反個人信息保護要求的最小必要原則。[7]我們認為，該條款的內容與《個人信息安全規范》附錄B的表B.1“個人敏感信息舉例”的內容較為相似，該條款作為概念解釋條款，在解釋個人敏感信息概念時以“性取向、婚史、宗教信仰”為例不存在顯著問題，在后續條款中亦未再要求收集“性取向、婚史、宗教信仰”等與金融業務關系甚微的個人敏感信息。因此這并非《光大銀行隱私政策》所存在的最大問題，但為避免影響用戶信任，建議移動金融APP運營者在起草隱私政策時，考慮刪除非必要的個人信息類型表述以防止誤解。

光大銀行在個人信息收集、使用方面可能存在的更大問題在于“一攬子授權”，部分條款列舉如下：

（1）《光大隱私政策》“重要提示”部分：“……除非您已閱讀并接受本政策所有條款，否則您將無法使用光大銀行提供的任一服務……”；

（2）《光大隱私政策》第二條第一款：“……您同意我們可能將收集的您的相關信息用作下列用途：……3.在您進入光大銀行服務區域時，我們將您的個人生物識別信息用于身份識別及身份驗證，確保我們向您提供優質服務……”

《光大銀行隱私政策》未對“光大銀行服務區域”做出明確界定，從字面意思而言包括光大銀行線下服務區域。個人生物識別信息屬于用戶個人敏感信息，且該信息的使用并非光大銀行提供“優質服務”的必要前提，光大銀行僅通過手機銀行APP的隱私政策條款要求用戶在線上線下所有業務場景中“一攬子授權”個人生物識別信息的使用是不妥當的。該隱私政策還強調用戶必須同意所有條款，否則無法使用光大銀行的任一服務，涉嫌違背《網絡安全法》第四十一條的必要原則。

三、個人信息的刪除紅線

237號文劃定的第三條“紅線”要求金融機構在信息使用結束后應立即刪除敏感信息，在客戶端軟件卸載后不得留存個人金融信息。這對刪除個人金融信息的時間節點作出了明確且嚴格的規定。

根據《個人信息安全規范》4.d，金融機構在目的達成后，應及時根據約定刪除個人信息。許多移動金融APP的隱私政策也作出相似表述，比如《中國農業銀行股份有限公司隱私政策（個人版）》（更新日期：2019年4月23日）第三條：“我行僅在法律法規要求，以及為實現本隱私政策的目的所必須的期限內，確定您個人信息的最長儲存期限以及您日志的儲存期限?！薄吨袊y行股份有限公司手機銀行隱私政策》（更新日期：2019年8月25日）第四條：“我行僅在法律法規要求的最低期限內，以及為實現本政策聲明的目的所必須的最低時限內保留您的個人信息，當超出數據保存期限后，我行會對您的信息進行刪除或匿名化處理?！鼻笆霰硎鼋詮摹澳康膶崿F”角度規定數據保存期限，存在一定模糊性。237號文則要求在信息使用結束后立即刪除敏感信息，以個人信息處理活動進程為標準劃定刪除節點，對移動金融APP的敏感信息存儲作出更為嚴格的要求。

237號文要求移動金融APP運營者在客戶端軟件卸載后不得留存個人金融信息，這與目前實踐情況有所不同。比如《工銀融e行用戶隱私政策》（更新日期：2019年11月30日）5.4：“您注銷電子銀行賬號的行為是不可逆行為，一旦您注銷您的電子銀行，您的融e行賬號會同步注銷，我們將不再通過融e行客戶端收集您的個人信息，并將刪除有關您融e行賬號的一切信息（例如您在“云保管”中存儲的相關信息，會在電子銀行與融e行賬號注銷后同步刪除），法律法規或監管機構對個人信息存儲時間另有規定的除外。請您注意，我行電子銀行注冊用戶僅在手機設備中刪除融e行App時，我行不會注銷您的融e行賬戶，有關您融e行賬號的一切信息不會刪除。您仍需注銷您的電子銀行方能達到以上目的?！逼渌拇髧秀y行的手機銀行隱私政策皆存在相似表述。這說明在目前實踐中，如用戶僅卸載手機銀行等移動金融APP，運營者并不會刪除其所保存的個人信息，只有在用戶注銷賬號后，運營者才會刪除有關用戶賬號的一切信息。

此外，《光大銀行隱私政策》第五條第八款顯示：“我們儲存您個人信息的期限是永久”，即無論用戶是否注銷賬號，信息收集、使用目的是否實現均不刪除用戶個人信息，這與《網絡安全法》的必要原則相悖，存在合規風險。

四、個人信息的共享紅線

237號文的第四條“紅線”是金融機構不得違反法律法規與用戶約定，不得泄露、非法出售或非法向他人提供個人金融信息?！度嗣胥y行關于銀行業金融機構做好個人金融信息保護工作的通知》規定，銀行業金融機構不得向本金融機構以外的其他機構和個人提供個人金融信息，但為個人辦理相關業務所必需并經個人書面授權或同意的，以及法律法規和中國人民銀行另有規定的除外?！秱€人信息安全規范》規定個人信息原則上不得共享、轉讓，確需共享、轉讓的，需遵守8.2的規定?！秱€人信息安全規范》8.5設置了六種共享、轉讓個人信息時事先征得授權同意的例外情形。但針對向第三方提供個人信息情形，目前移動金融APP的實踐中存在一定不合規現象。

比如《交通銀行個人手機銀行和個人網上銀行隱私政策》（更新日期：2019年11月1日）4.3.1“在以下情形中，我行可以在不征得您的授權或同意的情況下共享、轉讓、公開披露您的個人信息：……I.在本政策所聲明目的約束下，向我行經營機構、子公司及其他受我行實際控制的公司共享您的個人信息……”

《中國農業銀行股份有限公司隱私政策（個人版）》（更新日期：2019年4月23日）第四條“3.為實現隱私政策的目的，或為向您提供服務之必須，我行會與其他授權合作伙伴共享您的某些個人信息。例如，代表您行事的收款人、受益人、中介人、往來及代理行、證券交易所、證券公司等，或向您付款的人士；其他金融機構、行業協會、銀行卡組織、信用評級機構、征信機構、信息服務提供商；向您提供資產管理服務的第三方資產管理機構等?！?/p>

與關聯公司或授權合作伙伴共享用戶個人信息并非法定的共享個人信息事先征求授權同意的例外情形，向前述主體提供個人信息時仍需征求用戶的事先同意。銀行類金融機構除總行下設各地分行、支行外，架構中往往還包括跨業投資實體，因此往往以集團的方式存在。個人信息在銀行集團內各實體之間共享和整合已成為必然趨勢，若每次向其他實體提供個人信息時均需向個人信息征求同意，可能反而會引起用戶反感，導致服務質量下降?？梢詤⒖肌秱€人信息安全規范》提供的隱私政策模板關于共享、轉讓的示范條款，在移動金融APP隱私政策中明確說明對外共享、轉讓個人信息的目的、涉及的個人信息類型，并列明接收個人信息的第三方名單以及所承擔的相應法律責任。在此基礎上，還可賦予用戶拒絕提供向某一實體提供其個人信息或撤回同意的權利。

五、結語

數據發展和數據安全是一個動態平衡的過程，雖然目前對移動金融APP的監管日趨收緊，但這并不意味著打壓金融科技的發展。個人信息保護是移動金融APP合規發展的重要一環，“四條紅線”的劃定讓移動金融APP在“合法、正當、必要”的法律軌道上前行，在隱私政策擬定后，還需在日常的業務運行過程中落實相關要求，方可在數字經濟中占有一席之地。

【參考資料】

[1]券商中國.《驚動央行！監管劍指金融APP，不得非法出售個人信息，劃定四大紅線！23家首批試點備案，五大行、國君海通在列》[2019-12-10](2019-12-18).https://mp.weixin.qq.com/s/5HEZn-Ox0IkpdHCq6S1YcA.

[2]人民網.《個人金融信息保護辦法醞釀出臺》[2019-10-11](2019-12-18).http://finance.people.com.cn/n1/2019/1011/c1004-31393467.html.

[3]工業和信息化部.《工業和信息化部關于開展APP侵害用戶權益專項整治工作的通知》（工信部信管函〔2019〕337號）[2019-11-06](2019-12-18).http://miit.gov.cn/n1146295/n1652858/n1652930/n3757020/c7506353/content.html.

[4]中國互聯網金融協會.《移動金融客戶端應用軟件備案管理工作試點啟動會議在京召開》[2019-12-04](2019-12-18).http://www.nifa.org.cn/nifa/2955675/2955761/2985070/index.html.

[5]隱私護衛隊.《央行為個人金融信息保護劃紅線移動金融類App備案時代開啟》[2019-12-10](2019-12-18).https://mp.weixin.qq.com/s/IR3N43Zh0NDCojZSEf9LlQ.

[6]國家網絡安全通報中心.《公安機關開展APP違法采集個人信息集中整治》[2019-12-04](2019-12-18).https://weibo.com/ttarticle/p/show?id=2309404445736107376705.

[7]騰訊證券.《性取向、行蹤軌跡……光大銀行APP隱私政策令人疑惑》[2019-12-10](2019-12-18).https://mp.weixin.qq.com/s/o_lfHaSXJr8I0xH8dy6sEg.

責任編輯：陳愛