从银保监会专项整治看个人信息保护执法趋势

2022年8月银保监下发《关于开展银行保险机构侵害个人信息权益乱象专项整治工作的通知》，拉开了银行保险行业全面开展《个人信息保护法》履行情况的检查序幕，个人金融信息被泄露、收集的情况成为了监管整治工作的重点，银行保险机构进一步强化数据管理和个人信息保护的内控和合规势在必行。

银保监会开出2021年首张罚单 某银行被罚420万

据“银保监罚决字〔2021〕1号”处罚公开表显示，某银行主要违法违规事实分别为：发生重要信息系统突发事件未报告；制卡数据违规明文留存；生产网络、分行无线互联网络保护不当；数据安全管理较粗放，存在数据泄露风险，网络信息系统存在较多漏洞；互联网门户网站泄露敏感信息等。

千余名学生莫名“被开户”，XX银行违规使用个人金融信息被罚超1142万

2022年1月20日，XX银行崇左分行因违规使用个人金融信息被罚1142.5万元。另外，该分行内5名相关责任人被罚，最高达11万元。该分行为完成银行账户开户增量指标任务，在未得到学生和学校同意、无相关开户文件的情况下，违规为广西崇左幼儿师范高等专科学校（以下简称“崇左幼师学校”）学生开立Ⅱ、Ⅲ类账户（未激活账户）。

2023年1月30日，XX银行被罚764.6万元，其中个保相关违法违规行为包括：

金融消费者个人信息保护要求

我国金融消费者权益保护工作实行“一委一行两会”的分业监管、统筹协调的机制，近年来央行和银保监会陆续出台一系列与银行消费者权益保护相关的监管文件。

全国人大/常委会：

国务院：

中国人民银行：

银保监会：

金融标准：

《银行保险机构消费者权益保护管理办法》自3月1日起施行

强调对消费者个人信息的保护：

第十三条  银行保险机构应当建立消费者个人信息保护机制,完善内部管理制度、分级授权审批和内部控制措施,对消费者个人信息实施全流程分级分类管控,有效保障消费者个人信息安全。

第四十二-第四十八条 详细落实个保法5大原则，一是遵循合法、正当、必要和诚信原则；二是采取对个人权益影响最小的方式，限于实现处理目的的最小范围原则；三是处理个人信息应当遵循公开、透明原则；四是处理个人信息应当保证个人信息质量原则；五是采取必要措施确保个人信息安全原则。

明确界定银行保险机构与第三方机构的合作边界：

《管理办法》规定银行保险机构“应设立合作机构名单管理机制，对涉及消费者权益的合作事项设定合作机构准入和退出标准”，进一步要求银行保险机构对第三方机构的全周期持续监控。

金融消费者个人信息保护体系

金融机构建设消费者个人信息保护体系，应该从管理层面完善组织、流程与制度，优化个人金融信息全生命周期的防控策略，建立主体权利响应机制，做好数据分类分级及相应的安全运维保障，同时将个人金融信息安全影响评估机制贯穿于业务始终。

金融消费者隐私合规治理方案

随着金融科技的迅速发展，金融行业对个人数据的依赖程度越来越高。然而，数据安全和隐私保护的挑战也随之而来。为了确保金融行业的健康发展，隐私合规已成为金融行业的重要课题。用九智汇基于多年行业实践，构建了数据合规与隐私保护平台。平台基于PbD合规治理理念，将隐私保护嵌入业务流程中，并形成高效的线上协助平台，并引入知识库和数据资产盘点结果作为隐私风险的梳理依据，保障隐私风险识别、处置流程的全面闭环，切实提高金融机构隐私保护水平。

建立数据合规框架

根据金融行业相关法律法规，结合企业实际情况，提供专业的咨询服务，帮助企业建立数据合规框架，制定数据安全管理制度。

合规义务梳理

以合规知识库的法律法规、标准、案例等内容为基础输入，结合行业专家的实践经验沉淀，提供智能化的合规义务梳理（KOR）并联动合规评估模块进行差距分析，自动化生成分析报告和整改建议，任务式跟踪整改进度，满足数安法第四章相关要求。

动态跟踪数据合规领域的法律法规、国标、行标、监管动态、专家解读，同时支持上传行内自有制度、规范等文件，实现个性化的合规知识库

合规专家+AI自动构建法规主题/标签体系，利用领先的NLP模型实现法律法规的智能检索及智能KOR

隐私合规管理

以个人信息识别为基础，实现合规评估、处理活动、隐私协议等产品联动，高效智能解决个人信息需求评估、处理活动记录及隐私协议管理功能，满足个保法第二章、第五章的相关要求。

支持填写收集、使用、存储、公开、访问、删除、内部传输、对外传输八个数据处理环节，利用Privacy Scan技术实现数据流转自动提取

数据流转题型所选择数据，与分类分级结果相互打通，能够针对真实数据进行评估

支持填充历史回答记录，节省重复填写的工作时间

联合产品【数据合规知识库】，支持对评估设置丰富的评估指引，包括法律依据、合规要点、监管案例说明、常见OA四种评估指引类型，形成更全面的评估指引

隐私信任中心

在线隐私协议管理平台，支持多语言编辑以满足不同国家地区的版本需求，多端同意统一管理，汇总个人同意记录形成企业用户告知同意合规证据链，提供便捷的数据主体请求入口，高效验证用户身份，流程化响应用户请求。

支持多人协同更新隐私协议，通过所见即所得的编辑器，一键模拟H5/Web协议预览页面

历史协议版本采用时间轴管理，清晰可追溯，并支持各版本一键导出，满足监管要求

隐私协议集成线上系统，版本更新后一键发布至线上，无需技术部门配合协助

数据合规治理

在数据发现和分类分级的基础上，兼顾数据质量管理与数据留存管理的需求，并将数据合规和数据安全作为重要依据，完成企业内部的数据综合治理，帮助企业夯实数据底座，更好的发挥数据价值。

基于数据内容并结合元数据上下文信息，采用机器学习模型进行自动分类，并最终确定其所属的分级

提供一键聚类审核，同时支持自定义分类、分级以及扫描策略管理能力，极大地提升数据运营效率

丰富的可视化呈现，提供多维度统计视图、基于数据资产维度（数据库、表、字段、文件）以及基于分类分级结果维度的资产清单

敏感数据防护

基于数据识别结果，通过数据访问控制、数据脱敏、数据行为审计等一系列措施有效保护企业敏感数据，进一步规范数据的访问和使用，配合智能化策略引擎，根据不同业务场景落实敏感数据的针对性防护，帮助企业切实落实合规安全保护义务，高效满足数据安全和业务发展的双重需求。