建好“防火墻”，看緊“錢袋子”
—聚焦個人金融信息保護
當銀行未經(jīng)你的允許，把你的銀行流水泄露給他人，你該怎么辦？
不久前，脫口秀演員池子(本名王越池)發(fā)布微博稱，在未獲得本人授權的情況下，中信銀行上海虹口支行將其個人賬戶流水提供給了銀行的“大客戶”——上海笑果文化傳媒有限公司。其通過律師發(fā)函，要求中信銀行、笑果文化賠償損失并公開道歉。
很快，中信銀行發(fā)出致歉信，稱在客戶信息保護方面，該行建立了一整套制度及流程，但個別員工未嚴格按照制度操作。該行表示，已按相關規(guī)定對員工進行處分，并且對該支行行長予以撤職。至此，這起備受關注的銀行流水泄露事件告一段落。但是，事件所引發(fā)的個人金融信息保護問題卻讓人深思。
近年來，我國金融業(yè)發(fā)展迅速。隨著網(wǎng)絡科技的進步，傳統(tǒng)金融業(yè)不斷“觸網(wǎng)”，網(wǎng)絡支付、網(wǎng)絡借貸用戶增長迅速。數(shù)據(jù)顯示，我國網(wǎng)絡購物用戶為7.1億，網(wǎng)絡支付用戶則達到7.68億。
與此同時，個人金融信息泄露事件也不時發(fā)生。根據(jù)中國互聯(lián)網(wǎng)協(xié)會發(fā)布的一份網(wǎng)民權益保護調(diào)查報告，78.2%的網(wǎng)民的個人身份信息、63.4%的網(wǎng)民的網(wǎng)絡金融交易記錄曾被泄露過。近年來，每年發(fā)生的金融隱私泄露事件大約以35%的速度在增長。
“金融領域個人信息具有特殊性，與其他個人信息相比，其與個人的資產(chǎn)、信用狀況等高度相關，一旦泄露，不僅會侵害個人隱私，還可能對信息主體的財產(chǎn)安全造成很大威脅?！比珖舜蟠?、中國人民銀行南京分行行長郭新明如此表示。
如何構建起嚴密的信息安全“防火墻”，為民眾把“錢袋子”看得更緊，成為當前金融領域亟待解決的一大問題。
痛點 金融數(shù)據(jù)泄露成行業(yè)“頑疾”
“數(shù)據(jù)類似飛機的發(fā)動機，用戶隱私類似飛機上的乘客，一旦發(fā)動機出現(xiàn)問題，會導致乘客的生命安全受到嚴重威脅?！睂τ趥€人金融數(shù)據(jù)的重要性，360金融信息安全專家吳業(yè)超如此打比方。
數(shù)據(jù)泄露，已成為金融行業(yè)的“頑疾”。除了銀行的交易記錄、征信報告等數(shù)據(jù)泄露外，保險、證券等行業(yè)的數(shù)據(jù)泄露也引人關注。
2016年，上海等地多家保險機構卷入“泄露門”事件，不少車主在發(fā)生交通事故、向保險公司報案后不久，便接到冒充保險公司工作人員的詐騙電話；某支付平臺前員工在三年內(nèi)，下載用戶20G的資料用于出售；某金融平臺被爆出60萬用戶大量敏感信息泄露……
“網(wǎng)貸業(yè)務已成為金融隱私泄露的主要根源之一。”中國人民公安大學網(wǎng)絡空間安全與法治協(xié)同創(chuàng)新中心副教授蘆天亮指出，大量的網(wǎng)貸業(yè)務需求和尚不完善的個人征信體系滋生了大量民間風控機構。一些公司為開展風控業(yè)務，使用非法爬取、采集、交換等方式獲取或騙取公民身份類、位置類、征信類甚至通信類信息。
一方面，“內(nèi)鬼”泄露信息難防；另一方面，黑客竊取信息猖獗。中國人民公安大學博士袁得崳表示，當前金融領域成為網(wǎng)絡黑產(chǎn)的“重災區(qū)”，金融信息泄露成為黑產(chǎn)存在的基本土壤。信息被竊取之后，往往會垃圾短信、郵件鋪天蓋地；騷擾、詐騙電話接二連三；更有甚者，賬戶被盜刷，錢款不翼而飛。
熱點 金融類App流行背后存隱憂
去年12月4日，國家網(wǎng)絡安全通報中心發(fā)布消息稱，100款違法違規(guī)采集個人信息的App被查處并被責令整改。其中，“光大銀行”“天津銀行”“天津農(nóng)商銀行”和“樂貸款”等金融類App榜上有名。
“移動互聯(lián)網(wǎng)在金融領域的應用，表現(xiàn)為各類手機應用程序App，主要包括銀行類、消費類、支付類、理財類、證券類等?！碧J天亮介紹，其中，面向個人用戶的消費類App數(shù)量最多，占比近四成。無隱私協(xié)議、收集使用個人信息范圍描述不清、超范圍采集個人信息和非必要采集個人信息等，成為金融類App侵犯個人信息的主要情形。
據(jù)中國信息通信研究院金融科技研究中心產(chǎn)業(yè)咨詢總監(jiān)馮橙介紹，在實際業(yè)務開展中，金融App只是金融機構接觸用戶的渠道之一，在PC端網(wǎng)頁、小程序、第三方平臺投放的網(wǎng)申入口、微信服務號等渠道中的數(shù)據(jù)收集、傳輸、留存，由于中間環(huán)節(jié)的增多，也加大了個人信息數(shù)據(jù)安全的隱患。
當前，人工智能、大數(shù)據(jù)、生物識別、移動互聯(lián)網(wǎng)等大量新技術應用到金融領域，在為用戶提供便捷高質(zhì)量服務的同時，也給金融隱私的保護帶來了更多風險挑戰(zhàn)。例如，人臉識別支付、指紋支付面臨被仿冒的風險，物聯(lián)網(wǎng)、大數(shù)據(jù)及云計算技術所依托的數(shù)據(jù)存儲服務器，常常成為黑客攻擊的重點目標。
重點 加快金融消費者權益保護立法
2007年，央行陸續(xù)通過《金融機構客戶身份識別和客戶身份資料及交易記錄保存管理辦法》等文件，逐步確立了個人信息收集范圍、利用原則等要求，成為我國個人金融信息保護規(guī)范的源頭。
當前，我國民法典人格權編專門對隱私與個人信息保護作出規(guī)范，個人金融信息的民事保護有了明確的上位法依據(jù)。同時，面臨個人金融信息保護力度不夠、法律追究機制不健全等問題，業(yè)界呼吁加強相關法律制度建設。
2019年底，央行下發(fā)《個人金融信息(數(shù)據(jù))保護試行辦法(初稿)》，涉及完善征信機制體制建設，將對金融機構與第三方之間征信業(yè)務活動等進一步作出明確規(guī)定，加大對違規(guī)采集、使用個人征信信息的懲處力度。
今年2月，全國金融標準化技術委員會發(fā)布《個人金融信息保護技術規(guī)范》。規(guī)范將個人金融信息按照敏感程度由高到低分為C3、C2、C1三大類，其中C3主要為各類賬戶密碼，C2主要為賬戶、身份證信息、短信口令、住址等，C1主要為開戶時間、支付標記信息等。該規(guī)范規(guī)定了個人金融信息在收集、傳輸、存儲、使用、刪除、銷毀等各環(huán)節(jié)的安全防護要求。同時，要求金融業(yè)機構不應以默認授權、功能捆綁等方式強制獲取個人金融信息，也不應委托或授權無金融業(yè)相關資質(zhì)的機構收集身份證號、手機號等個人信息。
今年的全國兩會上，多位代表委員建議加快金融消費者權益保護立法進程，并對現(xiàn)行的金融監(jiān)管法規(guī)進行修訂完善。
全國人大代表、中國人民銀行參事周振海建議，制定金融消費者權益保護條例，“一方面可以提高金融消費權益保護的立法層次，對金融消費者和金融機構的權利義務進行根本性規(guī)定，保護金融消費者的長遠和根本利益；另一方面，可統(tǒng)一金融消費權益保護領域的監(jiān)管標準，避免監(jiān)管真空與監(jiān)管套利”。
周振海同時建議，在立法層面做出某些特殊制度安排，例如建立監(jiān)管協(xié)作機制、引入金融消費公益訴訟制度、確立金融消費糾紛多元化解決機制等。
從源頭出發(fā)，出臺統(tǒng)一的金融信息保護法規(guī)，將成為金融行業(yè)治理整頓的重要一環(huán)。與此同時，企業(yè)個人金融信息保護內(nèi)控機制建設也須跟進。
“個人金融信息非法交易問題嚴峻，暴露出第三方內(nèi)控不嚴、信息系統(tǒng)安全漏洞和信息泄露傳輸鏈條長、難追溯等問題。”吳業(yè)超認為，用戶信息的保護需要金融科技企業(yè)加強內(nèi)控與管理，做好數(shù)據(jù)隱私與保護制度建設、數(shù)據(jù)的安全監(jiān)控和周期管控，構建數(shù)據(jù)安全防衛(wèi)體系。同時，企業(yè)、公安和科研機構等部門應共同合作，提高行業(yè)整體的安全性和防御狀態(tài)，打造良好的金融生態(tài)圈。(記者 靳昊)
