法園金融法律研究 
更多干貨，請關注資產界研究中心
作者：王平lawyer
來源：法園金融法律研究（ID:LAW_FINANCE_WP)
2021年11月1日，《中華人民共和國個人信息保護法》正式實施，該法規定，在中華人民共和國境內處理自然人個人信息的活動適用本法。同時，該法還明確，個人信息的處理包括個人信息的收集、存儲、使用、加工、傳輸、提供、公開、刪除等。金融機構在日常業務開展中，諸多環節會涉及到處理自然人信息，本文就金融機構就業務過程涉及的個人信息處理合規問題分析如下：
1、金融機構資金端涉及的個人信息收集。
由于開戶等提供金融服務的需要，金融機構需要收集資金端投資者的一系列個人信息，包括姓名、身份證號等。另外，出于特殊產品類型，包括合格投資者、反洗錢等特殊監管需要，金融機構還需要收集投資者更多的信息。
2、金融機構在資產端涉及的個人信息收集。
金融機構在對外投資過程中，也會涉及自然人作為融資人的業務類型，這個過程中會涉及收集融資人個人信息的情形。當然，對于企業客戶，也會涉及收集法定代表人甚至自然人股東信息等情形。出于風險控制的需要，在資產端往往需要收集融資方較為詳盡的信息。
3、金融機構員工管理涉及的個人信息收集。
金融機構對員工進行管理以及在滿足監管員工信息申報時，需要收集員工個人乃至家庭成員的個人信息。
《個人信息保護法》對個人信息處理進行了詳細的全流程規范，對于金融機構處理個人信息，筆者認為以下要點需要予以重視：
根據《個人信息保護法》的規定，收集信息遵循處理個人信息應當遵循合法、正當、必要和誠信原則，不得通過誤導、欺詐、脅迫等方式處理個人信息。
對于必要原則，2020年11月央行頒布的《中國人民銀行金融消費者權益保護實施辦法》（中國人民銀行令[2020]第5號）已將收集信息的必要性原則納入。在業務開展中，如果過度收集信息，一旦這些信息被濫用，將嚴重損害個人的隱私權益。因此，筆者認為必要性原則的引入有利于約束機構處理個人信息的目的。不過，必要性原則如何進行判定，這需要相關部門對各類處理個人信息事項進行具體明確。當然，金融機構也可以自行制定制度進行明確。
根據《個人信息保護法》的規定，符合下列情形之一的，個人信息處理者方可處理個人信息：
（一）取得個人的同意；（二）為訂立、履行個人作為一方當事人的合同所必需，或者按照依法制定的勞動規章制度和依法簽訂的集體合同實施人力資源管理所必需；（三）為履行法定職責或者法定義務所必需；（四）為應對突發公共衛生事件，或者緊急情況下為保護自然人的生命健康和財產安全所必需；（五）為公共利益實施新聞報道、輿論監督等行為，在合理的范圍內處理個人信息；（六）依照本法規定在合理的范圍內處理個人自行公開或者其他已經合法公開的個人信息；（七）法律、行政法規規定的其他情形。
同時，《個人信息保護法》還規定，基于個人同意處理個人信息的，該同意應當由個人在充分知情的前提下自愿、明確作出。
金融機構在個人信息處理實踐中，除前款第二項至第七項規定情形外，處理個人信息應當取得個人同意。不過，這種同意也不應當是對所有信息的同意，即不能將所有可能存在的信息形式均予以羅列，然后以公司統一安排的格式條款的形式要求個人全部同意。畢竟，取得同意應當受到信息處理必要性及自愿等原則的約束。
根據《個人信息保護法》的規定，基于個人同意處理個人信息的，個人有權撤回其同意。個人信息處理者應當提供便捷的撤回同意的方式。個人撤回同意，不影響撤回前基于個人同意已進行的個人信息處理活動的效力。個人信息處理者不得以個人不同意處理其個人信息或者撤回同意為由，拒絕提供產品或者服務；處理個人信息屬于提供產品或者服務所必需的除外。
對于個人同意處理其個人信息的，個人可隨時予以撤回，而且金融機構不得就同意設置阻礙，而應當提供便捷的撤回同意的方式。當然，同意撤回之前的信息處理活動依然有效。此外，個人撤回信息處理同意的，除非該信息是提供產品或服務所必需，否則，金融機構不得拒絕提供產品或服務。
根據《個人信息保護法》的規定，處理個人信息應當保證個人信息的質量，避免因個人信息不準確、不完整對個人權益造成不利影響。
實踐中確實存在處理個人信息質量不過關，導致個人信息不準確，嚴重者會損害個人權益。比如，把個人欠款金額、性別、婚姻狀況等弄錯，從而給當事人造成一些不必要的麻煩。確保處理個人信息的準確性，其實是對金融機構內部員工工作質量的要求，為此，金融機構應加強個人信息處理崗位的人員的管理，確保處理個人信息的準確性。
根據《個人信息保護法》的規定，敏感個人信息是一旦泄露或者非法使用，容易導致自然人的人格尊嚴受到侵害或者人身、財產安全受到危害的個人信息，包括生物識別、宗教信仰、特定身份、醫療健康、金融賬戶、行蹤軌跡等信息，以及不滿十四周歲未成年人的個人信息。
《個人信息保護法》對個人信息中的敏感信息部分進行了羅列，并對敏感信息的處理提供了更為嚴格的處理要求。因此，金融機構在處理個人信息時，應當將敏感信息單獨管理，并制定專門的處理原則，確保敏感信息的處理符合法律的要求。當然，敏感信息與普通信息的區分，意味著金融機構在信息處理前，應當對信息進行分類，不同類別的信息設置不同的接觸人員范圍及不同的保密要求。
根據《個人信息保護法》的規定，個人信息處理者因業務等需要，確需向中華人民共和國境外提供個人信息的，應當具備下列條件之一：
（一）依照本法第四十條的規定通過國家網信部門組織的安全評估；（二）按照國家網信部門的規定經專業機構進行個人信息保護認證；（三）按照國家網信部門制定的標準合同與境外接收方訂立合同，約定雙方的權利和義務；（四）法律、行政法規或者國家網信部門規定的其他條件。
對于信息的跨境提供，主要針對那些擁有境外股東的金融機構，其在向股東提供個人信息時，意味著個人信息的跨境流轉。舉例而言，在《個人信息保護法》出臺前，向境外股東提供員工個人信息屬于正常行為，但是《個人信息保護法》出臺后，此類信息的提供也應當按照法定的流程進行。
根據《個人信息保護法》的規定，個人有權向個人信息處理者查閱、復制其個人信息；個人請求查閱、復制其個人信息的，個人信息處理者應當及時提供。
個人有權查閱、復制其個人信息，既是對個人對金融機構處理信息行為的監督，又是個人對其已提供過的信息的一種知情了解。不過在實踐中，個人在與金融機構或第三方發生爭議時查閱復制信息的需求更大。如果是與金融機構發生爭議的，金融機構則不能違規隱匿一些信息或拒不提供相關信息。
個人信息保護在近年逐步得到了國家的關注，本次專門通過法律的形式對個人信息保護予以規范，表明了國家在個人信息保護領域的決心。作為市場上非常重要的個人信息處理者的金融機構，應當針對自身業務情況，就個人信息處理制定可行的制度，確保個人信息處理過程合法合規。
注：文章為作者獨立觀點，不代表資產界立場。
題圖來自 Pexels，基于 CC0 協議
本文由“法園金融法律研究”投稿資產界，并經資產界編輯發布。版權歸原作者所有，未經授權，請勿轉載，謝謝！
