在互聯(lián)網和大數據時代，個人信息保護的重要性日益凸現(xiàn)。我國近期新出臺的法律法規(guī)明顯加強了對個人信息保護的重視。但相關要求與部分國家、地區(qū)相比尚有差距。我國銀行業(yè)在積極走出去的同時，還需關注不同地區(qū)的法律法規(guī)，建立國際化的信息保護機制。

一、重視個人信息的保護

2017年3月15日審議通過的《民法總則》就民法基本原則、民事主體、民事權利、民事法律行為等基本民事法律制度作出了規(guī)定。相較1986年制定的《民法通則》《民法總則》新增了保護個人信息的要求：“自然人的個人信息受法律保護。任何組織和個人需要獲取他人個人信息的，應當依法取得并確保信息安全，不得非法收集、使用、加工、傳輸他人個人信息，不得非法買賣、提供或者公開他人個人信息。”2017年5月，最高人民法院、最高人民檢察院發(fā)布了《關于辦理侵犯公民個人信息刑事案件適用法律若干問題的解釋》將“公民個人信息”定義為：以電子或者其他方式記錄的能夠單獨或者與其他信息結合識別特定自然人身份或者反映特定自然人活動情況的各種信息，包括姓名、身份證件號碼、通信通訊聯(lián)系方式、住址、賬號密碼、財產狀況、行蹤軌跡等。商業(yè)銀行掌握大量的個人信息，需持續(xù)重視、改進個人信息保護，不斷優(yōu)化制度措施。

二、香港個人信息保護措施

在香港地區(qū)，銀行及其他金融機構須遵守《個人資料（私隱）條例》（Personal Data Privacy Ordinance）的規(guī)定，妥善處理客戶的姓名、聯(lián)系方式、身份證件信息、職業(yè)情況、財務狀況、信貸記錄等敏感信息。條例的核心內容主要有6個方面，包括：收集個人信息的目的及方式（Purpose and manner of collection of personal data）、個人信息的準確性及保留期間（Accuracy and duration of retention of personal data）、個人信息的使用（Use of personal data）、個人信息的保安（Security of personal data）、信息需在一般情況下可提供（Information to be generally available）和查閱個人信息（Access to personal data）。

個人資料私隱專員公署發(fā)布的《銀行業(yè)界妥善處理客戶個人資料指引》進一步細化了要求：

1.收集信息的目的與方式應當合法。收集的內容應與收集者的經營職能活動相關，信息應足夠且未超過必要的限度。銀行收集客戶個人信息時，應向客戶提供《收集個人資料聲明》?！堵暶鳌沸枇忻魇占畔⒌哪康?、收集的信息可能會被轉交給什么類型的第三人、客戶可自愿選擇是否提供信息。銀行還需告知客戶，其享有查閱并更正個人信息的權利。甚至對《聲明》的字體、行間距、表述是否清晰、用語是否易于理解都有提示。

2.銀行應采取切實的步驟，確保信息的準確，并對信息的留存不超過約定的合理時間。如果因為經營需要，銀行把收集的個人信息轉交科技公司、廢紙?zhí)幚砉镜鹊谌教幚恚€應確保第三方對信息進行適當的處理。

3.事前未經當事人同意，銀行不能將收集的信息用于原聲明之外的任何用途。如果因為未經同意的信息披露，對當事人造成心理傷害，將構成犯罪。

4.作為個人信息收集方，銀行需確保持有的個人信息不受未獲準許的查閱、處理、刪除、丟失或使用。

5.銀行需確保相關政策的透明度，向公眾提供的《私隱政策聲明》應詳細列出持有的個人信息的種類、目的、內部的處理政策。

6.信息當事人可查閱銀行掌握的信息，并要求銀行更新關于其本人的信息。收到當事人的要求后，銀行應在40日內提供掌握的信息副本。

7.對于只辦理貨幣兌換等業(yè)務，不在銀行開戶的非賬戶持有人，只有在業(yè)務金額超出特定的上限后，銀行才可以收集其身份證件號碼。

8.如銀行屬于集團公司，需告知客戶可能會被集團共享的信息類型。

三、個人信息跨境轉移

對于將個人信息轉出香港，《個人資料（私隱）條例》有更嚴苛的要求。其中第33條：“除特例外，禁止資料使用者將個人資料轉移至香港以外的地方（Prohibition against transfer of personal data to place outside Hong Kong except in specified circumstances）”已經通過，但尚未施行。一旦施行，個人信息只在以下5種情況下才能轉出香港：

1.轉移至特定司法區(qū)——由個人資料私隱專員發(fā)布的白名單確定；

2.經綜合評估，該地方有現(xiàn)行有效的、與《個人資料（私隱）條例》效果相似的法律；

3.明確告知當事人信息將被轉移至何處后，得到其書面同意；

4.為保護當事人利益而轉移信息，以避免或減輕對其的不利行動；

5.在法律程序要求、為統(tǒng)計研究或危急處境等特定情況下的轉移。

四、國際化的信息保護機制

隨著我國銀行業(yè)國際化的推進，銀行海外機構持有的個人信息量持續(xù)增長。境內、外機構間協(xié)同聯(lián)動的深入，個人信息的跨區(qū)域流轉日益頻繁。面對不同司法管轄區(qū)的具體要求，我國銀行集團層面亟需建立更細致的內部管理制度和更高的程序標準，進一步重視、加強個人信息的保護，嚴防法律合規(guī)風險。

作者簡介：

倪波航（1985—），男，籍貫：浙江杭州人，學歷：碩士研究生，畢業(yè)于浙江大學；現(xiàn)有職稱：中級經濟師；研究方向：商業(yè)銀行經營與管理。