2

课程大纲

先看几个案例

• 案例1：6家银行因侵犯个人信息被罚，最高处罚1406万元；

• 案例2：未经同意查询个人信息，华兴银行江门分行被罚3万元；

• 案例3：晋商消费金融因未准确报送个人信息等被罚49万，此前涉嫌上传不当信息，征信报告内容侮辱消费者；

• 案例4：建行一支行长泄露客户信息，判刑+罚款+从业禁止！

• 案例5：建行一客户经理被判刑！为了3万多元，泄露客户信息3万多条！ 

• 案例6：东亚银行：违反信用信息采集规定，被央行罚1674万元！

• 案例7：暗网盗卖金融信息 银行账户安全面临新挑战

一、《个人信息保护法》的立法背景及意义；

（一）个人信息保护的相关法律法规汇总

1. 《中华人民共和国民法典》

2. 《网络安全法》；

3. 《数据安全法》；

4. 《电信和互联网用户个人信息保护规定》

5. 《个人金融信息保护技术规范》；

6. 《金融数据安全数据生命周期安全规范》；

7. 《金融数据安全数据安全分级指南》；

8. 《征信业管理条例》；

9. 《银行业金融机构数据治理指印》；

10. 《最高院关于人脸识别司法解释》

11. 其他（详见课件附表）

（二）银保监会：2022年重点开展个人信息保护专项整治

（三）《个人信息保护法》的立法背景、体系及主要内容；

（四） 银行在数据安全管理和个人信息保护面临的问题及风险。

二、《个人信息保护法》重点内容解读

（一）什么是个人信息？

1. 个人信息与个人金融信息；

   （1）《信息安全技术个人信息安全规范》介绍

   （2）《个人金融信息保护技术规范》介绍

   附：C3、C2、C1三个级别

   【典型案例】2021年度十大典型案例之：人脸识别第一案

2. 金融机构一般会掌握哪些个人信息？

   （1）员工个人信息；

   （2）客户个人信息；   

   （3）业务合作方个人信息；

3. 一般性个人信息和敏感个人信息如何区分？

   【问题】金融账户属于敏感个人信息吗？

（二）处理个人信息需要遵循的原则

1. “告知—同意”原则（核心原则）；

2. “合法、正当”及“诚信”原则；

3. “必要”及“对个人权益影响最小”原则；

4. 履行保密义务原则；

5. 信息安全及质量保障原则

（三）处理个人信息的操作要求

1. 对于所有个人信息；

2. 对于“敏感个人信息”

   （1）处理敏感个人信息要取得单独同意； 

   （2）“单独同意”的落实方式

（四）个人信息衍生信息的保护

1. 什么是个人信息衍生信息？

2. 什么是匿名化处理后的信息？

3. 如何理解“脱敏”？

   【思考】银行将脱敏后的信息提供给第三方使用是否违规？

（五）《个人信息保护法》涉及商业银行处理个人客户信息的一般要求；

（六）个人信息共同处理规则；

1. 中国银监会关于印发银行业金融机构信息科技外包风险监管指引的通知；

2. 严格合作方及外包商管理；

3. 充分履行告知义务并取得单独同意

   【思考】银行经持卡人同意从而获取了持卡人的通讯话费数据和其他消费数据，银行委托外部科技公司分析客户违约概率，合法吗？

（七）信息所有者的权利；

（八）信息处理者的义务；

1. 完善规章制度和操作规程；

2. 指定个人信息保护负责人；

3. 定期进行合规审计；

4. 事前进行影响评估；

5. 及时采取补救措施

三、信息处理者的民事、行政、刑事责任

（一）行政处罚数据汇总；

（二）常见违法违规行为类型：

1. 未按规定**使用个人信息；

2. 未经同意查询个人信息或企业信贷信息；

3. 提供部分个人不良信息时未事先告知信息主体；

4. 泄露客户信息；

5. 网络授权访问控制不到位，存在信息科技风险隐患；

6. 发生重要信息系统突发事件未向监管报告。

• 【典型案例】中信银行因客户信息保护体制机制不健全等案由，被罚款450万元；

• 【典型案例】“机构+个人”双罚，银行员工违规查询并倒卖客户信息案件

• 【典型案例】员工违规查询、泄露、倒卖客户信息，以银行被罚。

• 【典型案例】中国农业银行因网络信息系统及互联网门户网站泄露敏感信息被罚。

• 【典型案例】 B银行违规泄露客户银行流水案

（三）侵犯公民个人信息罪

• 【典型案例】建行一支行长泄露客户信息，被追究侵犯公民个人信息罪。

（四）其他刑事犯罪

（五）冒名贷款，被冒名人产生不良征信需要承担什么责任？

（六）银行在个人信息保护中的常见抗辩理由。

• 【典型案例】被冒名贷款产生不良征信，某信用社被诉名誉侵权。

• 【典型案例】商业银行向**部门、人民**等部门提供客户个人信息违法吗？

• 【典型案例】律师持**的调查令，要求查询客户银行账户信息，银行有义务提供吗？

• 【典型案例】银行在经营场所张贴借款人逾期信息，违法吗？

四、《个人信息保护法》对商业银行的影响及应对

（一）《个人信息保护法》对银行零售业务的影响及应对

1. 移动应用（App）合规挑战；    

2. 自动化决策的合规挑战；

3. 生态合规挑战。

（二）《个人信息保护法》对银行资管业务的影响及应对；

（三）《个人信息保护法》对银行征信业务的影响及应对

1. 当前征信领域个人金融信息保护存在的问题；

   【典型案例】"专业做鸡十年"，女士征信报告工作栏被这样描述！谁如此"胆大包天"？

2. 个人信息保护成为征信监管核心；

3. 个人信用信息整理、保存、加工；

   （1） 《征信业管理条例》

   （2）《征信业务管理办法》

（四）《个人信息保护法》如何影响金融机构**和恐怖融资风险管理。

（五）对其他业务的影响及应对。

（六）人脸识别技术在银行业务中的应用场景及风险；

1. 银行在经营场所滥用人脸识别技术构成侵权；（人脸识别司法解释解读）；

2. 多银行发布公告提示人脸识别盗用风险，“安全篱笆”该如何筑牢。

（七）律师建议

1. 对个人信息实施分级管理；

2. 相关岗位人员合理授权，采取内部审批等有效措施进行权限控制；

3. 完善个人客户信息保护内部管理制度和操作流程；

4. 修改格式合同，处理敏感个人信息取得单独授权；

5. 强化个人客户信息保护系统建设，确保客户金融信息安全；

6. 开展员工培训和警示教育工作，尤其是关键岗位人员，提升整个机构个人信息保护意识;

7. 定期自查。

3

讲师简介

孙自通老师

4

适合学员

金融机构从业人员，包括金融机构主要领导、各条线管理人员、客户经理、运营人员、厅堂主管、理财经理及中后台员工等。