個人金融信息安全漏洞怎么堵

池子吐槽中信銀行泄露個人賬戶交易明細引發(fā)熱議

個人金融信息安全漏洞怎么堵

● 無論是依據(jù)商業(yè)銀行法還是消費者權(quán)益保護法，銀行在收集儲戶的個人信息后，應(yīng)當依法妥善保管，未經(jīng)法定機關(guān)法定程序，不得任意向其他第三人提供

● 銀行員工私自對外提供個人金融信息的情況時有發(fā)生，尤其是在銀行支行一級，由于信息安全把關(guān)不嚴，“內(nèi)鬼”鉆漏洞泄露個人金融信息的亂象較多

● 在立法方面，要進一步推進個人信息保護法出臺。同時，要加強合規(guī)管理，嚴厲打擊銀行員工利用職務(wù)之便侵犯公民權(quán)利的行為

近日，脫口秀演員池子（本名王越池）發(fā)文吐槽中信銀行泄露個人賬戶交易明細引發(fā)熱議。

5月9日，中國銀保監(jiān)會消費者權(quán)益保護局發(fā)布通報稱，將按照相關(guān)法律法規(guī)，啟動立案調(diào)查程序，嚴格依法依規(guī)進行查處。

接受《法制日報》記者采訪的業(yè)內(nèi)人士認為，銀行流水屬于財產(chǎn)信息，是個人信息的重要組成方面，任何人都不得侵害。要根據(jù)信息泄露過程的不同特征進行具體分析，如果是銀行的不當行為，應(yīng)由銀行承擔責任；如果個人存在違法違規(guī)行為，則可能觸犯刑法或商業(yè)銀行法。此事件也暴露出我國在個人金融信息保護立法和實施方面還有待完善，需進一步推進個人信息保護法出臺，同時加強合規(guī)管理，嚴厲打擊銀行員工利用職務(wù)之便侵犯公民權(quán)利的行為。

銀行泄露交易明細 違規(guī)同時涉嫌違法

5月6日，池子發(fā)布長文稱，他在處理與笑果文化的合約糾紛時收到來自對方的案件材料，里面包含他在中信銀行的個人賬戶交易明細。

5月6日晚，上海笑果文化在微博上回應(yīng)稱，相關(guān)仲裁正在進行中，其“根據(jù)相關(guān)流程采取了財產(chǎn)保全、提起仲裁、證據(jù)收集等法律活動”，且上述行動“均在法律及合同的框架之下進行”。

5月7日凌晨，中信銀行發(fā)布致歉信稱：“經(jīng)我行核實，近期上海笑果文化傳媒有限公司聯(lián)系開戶支行，要求查詢其為員工王越池先生支付勞務(wù)工資記錄時，我行員工未嚴格按規(guī)定辦理，提供了王先生的收款記錄。對此，我們向王先生鄭重道歉！”并稱該行已按制度規(guī)定對相關(guān)員工予以處分，并對支行行長予以撤職。

中信銀行表示，在客戶信息保護方面，該行建立了一整套制度及流程，但個別員工未嚴格按照制度操作，反映出該行個別機構(gòu)在制度執(zhí)行上不到位。“我行將舉一反三，全面檢查，加大培訓，強抓制度執(zhí)行，堅決避免此類問題再次發(fā)生，切實保護金融消費者合法權(quán)益。”

個人金融信息泄露產(chǎn)生的影響不容忽視。據(jù)中央財經(jīng)大學法學院教授鄧建鵬介紹，信息泄露后，實施電信詐騙者極可能對潛在的犯罪對象進行精準定位和選擇；一些出售房產(chǎn)、保險類產(chǎn)品的商業(yè)機構(gòu)很可能根據(jù)泄露的信息來精準挑選潛在用戶，推銷產(chǎn)品，構(gòu)成商業(yè)性騷擾；此外，銀行“流水”公布后，用戶與他人、機構(gòu)之間的交往記錄就會被他人知曉，使得被交往對象的信息也被牽扯進來。

根據(jù)人民銀行發(fā)布的《關(guān)于銀行業(yè)金融機構(gòu)做好個人金融信息保護工作的通知》和民法中提到的誠信原則，銀行有保守客戶信息秘密的義務(wù)要求。

因此，鄧建鵬認為，泄露客戶賬戶信息的行為違背了金融監(jiān)管部門發(fā)布的規(guī)章制度，還涉嫌違法。另外，存錢相當于達成合同契約，銀行泄露客戶信息違背了合同法的相關(guān)規(guī)定。

“個別員工固然涉及違規(guī)和違法問題，但管理層也有監(jiān)督管理和培訓職責。出現(xiàn)此類事件，說明他們沒有履行好監(jiān)督管理責任。因此，個人和單位都存在問題，不能將責任全部推給個人。”鄧建鵬說。

中國政法大學知識產(chǎn)權(quán)中心特約研究員趙占領(lǐng)也認為，無論是依據(jù)商業(yè)銀行法還是消費者權(quán)益保護法，銀行在收集儲戶的個人信息后，應(yīng)當依法妥善保管，未經(jīng)法定機關(guān)法定程序，不得任意向其他第三人提供。

“從現(xiàn)行立法角度看，個人金融信息已經(jīng)被各種法律所保護。民法總則和侵權(quán)責任法中規(guī)定了隱私權(quán)與個人信息權(quán)，銀行‘流水’屬于財產(chǎn)信息，是個人信息的重要組成方面，任何人都不得侵害。商業(yè)銀行法更是進一步明確了銀行對存款人的保密義務(wù)。”趙占領(lǐng)說。

據(jù)趙占領(lǐng)介紹，我國刑法修正案（九）特別規(guī)定了侵犯公民個人信息犯罪的罪名，兩高也出臺了相關(guān)司法解釋，詳盡描述了侵害公民財產(chǎn)信息刑事立案標準所需要達到的數(shù)量，又特別規(guī)定，那些在履行職責過程中和提供服務(wù)過程中，將獲得的個人信息出售或提供他人的，刑事立案標準只需要達到普通案件的一半即可。

“即便泄露是由個人行為構(gòu)成，銀行也應(yīng)該承擔管理不當?shù)呢熑巍１O(jiān)管部門和行政部門應(yīng)從外部督促銀行承擔責任，相關(guān)負責人也應(yīng)被追責并受到處罰。”中國社會科學院金融風險與金融監(jiān)管研究室副主任尹振濤說。

尹振濤認為，應(yīng)針對客戶信息泄露過程的不同特征分情況看待，如果是銀行的不當行為，則應(yīng)由銀行承擔責任；如果個人存在違法違規(guī)行為，則可能觸犯刑法或商業(yè)銀行法，要受到懲處。

信息安全把關(guān)不嚴 銀行內(nèi)鬼頻鉆漏洞

多名銀行從業(yè)人士在接受采訪時稱，發(fā)生在中信銀行的這件事不具有普遍性，監(jiān)管部門、銀行對個人信息保護極為重視，也出臺了相關(guān)的政策、規(guī)章制度，但問題在于缺少嚴格的法律監(jiān)管，以及如何督促相關(guān)人員執(zhí)行到位。

據(jù)了解，即使是有權(quán)力機關(guān)如公檢法紀委監(jiān)委等要求銀行配合調(diào)查，按照規(guī)定一般需要有權(quán)機關(guān)（公檢法紀委監(jiān)委等）兩名工作人員，攜帶證件及公函前往辦理。以法院查詢?yōu)槔枰獌擅ㄔ汗ぷ魅藛T攜帶兩證（工作證和執(zhí)行公務(wù)證）、法院蓋章的查詢文書辦理。銀行的工作人員核對法院工作人員的證件和公函，核對無誤后才予以辦理。

《法制日報》記者也通過采訪獲悉，按照規(guī)定，用戶若想查詢個人賬戶交易明細，需攜帶身份證、銀行卡到所屬銀行營業(yè)網(wǎng)點非現(xiàn)金業(yè)務(wù)窗口通過銀行工作人員打印，特殊情況除外，其他人均無權(quán)打印。

一位銀行人士告訴《法制日報》記者：“其他打印‘流水’的幾種方法，也都需要用戶銀行卡或身份證及相關(guān)授權(quán)信息，除了用戶本人及本人提供的授權(quán)外，在沒有這些證明的情況下，即便用戶的父母也無法打印其個人交易‘流水’。”

然而，從近年公布的法律判決書來看，銀行員工私自對外提供個人金融信息的情況時有發(fā)生，尤其是在銀行支行一級，由于信息安全把關(guān)不嚴，“內(nèi)鬼”鉆漏洞泄露個人金融信息的亂象較多。

某城商行高管透露，類似在暗網(wǎng)大規(guī)模的金融數(shù)據(jù)被交易確實存在，但主要發(fā)生在2018年以前，當時《銀行業(yè)金融機構(gòu)數(shù)據(jù)治理指引》尚未出臺，很多銀行分支行操作不規(guī)范，存在“內(nèi)鬼”。

此外，還有些銀行可能會屈從于“大客戶”，進而泄露個人金融信息。有銀行從業(yè)者坦言，在銀行內(nèi)部，員工隨意查閱用戶“流水”信息的現(xiàn)象確實存在，“不過，銀行即使屈從于‘大客戶’，幫助其查閱‘流水’信息也只能是隱秘不公開的，更不會在未經(jīng)授權(quán)的情況下提供用戶‘流水’作為證據(jù)”。

據(jù)池子透露，中信銀行就回復其稱“這是配合大客戶的要求”。

這一說法再次引爆輿論。有多名網(wǎng)友質(zhì)疑：“大客戶有要求，銀行就能隨意泄露其他客戶信息？個人在銀行的賬戶信息是否安全？”

鄧建鵬認為，根據(jù)池子所提供的信息，銀行之所以泄露其信息，是為了討好所謂的“大客戶”，從這里可以看出，泄露個人金融信息行為的背后主要是一種利益推動。當犯罪嫌疑人將用戶信息賣給他人就能夠從中獲利，而在本事件中，銀行則能夠討好大客戶從而刺激其儲蓄，獲取額外收益。

有媒體直言，“池子事件”只是商業(yè)銀行信息泄露情況的冰山一角，商業(yè)銀行大量基層員工的客戶信息保密的意識相當?shù)　?/p>

河南工業(yè)大學知識產(chǎn)權(quán)研究中心主任李文江曾對鄭州商業(yè)銀行300位客戶經(jīng)理進行問卷調(diào)查，2018年在《我國商業(yè)銀行客戶信息的秘密性及其保護》一文中公布了結(jié)果：“60%以上的客戶經(jīng)理所在銀行沒有建立客戶信息保密制度，不了解客戶信息的范圍；70%的客戶經(jīng)理認為所在銀行的客戶信息保密制度過于原則，沒有覆蓋客戶信息收集、整理、提升和使用的各個環(huán)節(jié)；90%的客戶經(jīng)理認為客戶信息主要掌握在客戶經(jīng)理手里，所在銀行沒有規(guī)定統(tǒng)一保護措施，工作調(diào)動可以隨意帶走客戶信息，不存在任何制約措施。”

完善信息保護立法 加強銀行合規(guī)管理

一系列涉及個人金融信息安全事件的出現(xiàn)，給從業(yè)機構(gòu)敲響了警鐘。

近年來，監(jiān)管部門嚴格監(jiān)管銀行客戶信息安全管理，罰單不斷。一些違規(guī)泄露客戶信息的員工，不僅遭終身禁業(yè)，還會受到法律嚴懲。

“正因為如此，不存在大規(guī)模數(shù)據(jù)泄露或?qū)С鍪圪u的可能性。但不可否認，依然存在個別通過‘走后門’的關(guān)系進行信息查詢，或者由于員工操作不當導致系統(tǒng)信息出現(xiàn)泄露的情況。”前述某城商行高管說。

在趙占領(lǐng)看來，違規(guī)泄露客戶信息的員工要么是缺乏法律意識，要么就是在知曉行為違法性的基礎(chǔ)上心存僥幸心理，受到利益的驅(qū)使而做出此類不良行為。

“而從銀行角度來看，雖然已經(jīng)建立起內(nèi)部規(guī)章制度，但缺乏有效的執(zhí)行保障機制。如何將規(guī)章制度貫徹到位，同時落實到基層員工上，這些問題對于銀行管理實踐仍然是巨大的挑戰(zhàn)，管理上仍然有短板。”趙占領(lǐng)說。

值得注意的是，監(jiān)管部門亦關(guān)注到相關(guān)風險，并出手規(guī)范市場。

2019年，《個人金融信息（數(shù)據(jù)）保護試行辦法》（初稿）、《中國人民銀行金融消費者權(quán)益保護實施辦法（征求意見稿）》相繼發(fā)布。

今年年初，人民銀行發(fā)布的2020年規(guī)章制定工作計劃也明確，將制定《中國人民銀行金融消費者權(quán)益保護實施辦法》。根據(jù)2019年年末的征求意見稿，消費者金融信息是指金融機構(gòu)通過開展業(yè)務(wù)或者其他合法渠道獲取、加工和存儲的消費者信息，包括個人身份信息、財產(chǎn)信息、賬戶信息、信用信息、金融交易信息及其他與特定消費者購買、使用金融產(chǎn)品或服務(wù)相關(guān)的信息。

復旦大學法學院教授許多奇在接受采訪時稱，如果池子因為“流水”被泄露，利益受到損害，他就要拿出證據(jù)，證明后續(xù)受到的損害和之前的信息泄露具有密切聯(lián)系和因果關(guān)系。具體案件要根據(jù)場景具體分析，因為數(shù)據(jù)法領(lǐng)域政出多門，規(guī)制相對薄弱，我國在個人金融信息保護立法和實施方面還有待完善。

鄧建鵬也認為，目前，我國還沒有形成一部專門的數(shù)據(jù)法，只有與數(shù)據(jù)相關(guān)的法律法規(guī)，確實存在一種政出多門的狀態(tài)。而這種狀態(tài)也與公民個人信息的復雜性有關(guān)，若干個有權(quán)力的部門會根據(jù)他們的職權(quán)來規(guī)定如何保護公民個人信息和個人數(shù)據(jù)。

“信息性質(zhì)的不同決定了主管部門的差異。整體來看，我國目前還沒有一部完整的公民個人信息法，而是分散于各個部門進行管理。金融信息作為個人信息中的核心組成，其保護主要依賴央行和銀監(jiān)會發(fā)布的規(guī)范性文件或部門規(guī)章。”鄧建鵬說。

因此，鄧建鵬建議，在立法方面，要進一步推進個人信息保護法出臺。在即將發(fā)布的民法典中也應(yīng)設(shè)置個人信息保護的章節(jié)，為整個社會設(shè)置標桿，厘清何種信息應(yīng)受到法律保護，為開展商業(yè)行為或個人行為提供標準。此外，要加強合規(guī)管理，嚴厲打擊銀行員工利用職務(wù)之便侵犯公民權(quán)利的行為。（記者 趙麗 實習生 梁晨 郭元橋）