风正一帆悬：金融数据合规2022年度回顾与展...

2022年，金融领域数据保护相关的法律与标准体系在一行两会与全国金融标准化技术委员会（“金标委”）的带领下不断完善，在基础性制度不断夯实的同时，不少规则也在朝着深化与细化的方向发展。在一行两会的规章体系之外，国家互联网信息办公室（“国家网信办”）牵头引领的数据立法活动、全国信息安全标准化技术委员会（“信安标委”）等组织的标准制定工作持续活跃，出台了一系列与“三法”配套的制度细则，这些通用领域的数据保护规则亦与金融领域数据保护工作息息相关。我们将2022年度内正式生效或发布的相关主要政策、法律、法规与标准整理如下表[1]：

*本表格中，属于金融领域的政策文件、法律法规或标准我们以白色单元格显示，通用领域的法律法规或标准则以灰色单元格显示。

金融业机构数字化转型按下加速键，顶层设计强调转型发展中兼顾安全治理，稳中求进。2022年开年，中国人民银行印发《金融科技发展规划（2022-2025年）》（《发展规划》），作为高屋建瓴的顶层设计强调加强金融科技伦理建设，在推动数据有序共享的同时加强数据安全保护。此后，银保监会亦印发《关于银行业保险业数字化转型的指导意见》，要求银行保险机构在提升数据建设能力方面应健全数据治理体系、增强数据管理能力、加强数据质量控制、提高数据应用能力，并将算法模型管理、网络安全防护、数据安全和隐私保护作为风险防范的重要方面。

金融数据治理写入银行金融业“基本法”，法律地位进一步提升。2022年11月，《中华人民共和国银行业监督管理法》发布修订草案征求意见稿，新增条款中对于数据治理、信息科技外包、跨境监管合作中的金融数据出境做出原则性规定，进一步提升金融数据治理与保护工作的站位。

个人金融信息保护制度基石落定。金融领域的个人信息保护历来被纳入金融消费者保护体系之中。银保监会于2022年12月26日正式发布《银行保险机构消费者权益保护管理办法》，[2]在此前中国人民银行《金融消费者权益保护实施办法》的基础上扩大适用机构主体范围、强化机构内部个人信息保护制度建设要求、设置信息安全权专章，并纳入互联网金融的相关数据保护规则，二者共同构建了消费者个人金融信息保护的制度基石。

数据跨境传输制度方面，《数据出境安全评估办法》《个人信息出境标准合同规定（征求意见稿）》《个人信息保护认证规则》及《个人信息跨境处理活动安全认证规范》[3]等系列法规、标准推动了中国数据跨境传输三条基础路径渐次落地，也为金融领域的数据跨境流通提供了可赖依循的传输机制。

重要数据识别与保护方面，尽管目前金融行业重要数据目录尚未出台，2022年3月《信息安全技术 重要数据识别规则（征求意见稿）》细化了重要数据识别的19项因素，其中亦包括部分与金融活动、经济运行、监管数据、金融统计相关的识别要素，为金融重要数据识别提供了原则性指导。

关键信息基础设施（“CII”）防护方面，《网络安全审查办法》修订稿于2022年2月正式生效，关键信息基础设施运营者（“CIIO”）采购审查制度进一步完善，首个CII国家标准《信息安全技术 关键信息基础设施安全保护要求》亦于10月正式发布。金融领域是国家CII制度所关注的重要行业与核心领域之一，上述制度为金融机构类CIIO的网络及数据保护与供应链安全保驾护航。

2022年出台的多部金融监管新规均纳入了数据保护相关内容。一方面，新近出台的互联网贷款、信用卡业务、保险产品及销售、理财公司治理、证券期货与基金等各细分业务领域规则中均设置了消费者个人信息保护、第三方数据合作、信息系统安全、敏感业务数据保护等专款专条。另一方面，征信管理、反洗钱、反电信网络诈骗、金融统计、营销宣传、金融基础设施等其他金融监管制度也新增内容以与数据保护制度有效衔接。

自2020-2021年《个人金融信息保护技术规范》《金融数据安全 数据分级指南》等多项标准[4]发布以来，金融数据安全行业标准体系的框架已基本建立。2022年，金融标准化工作在数据治理与保护方面继续向前沿与细分领域不断纵深。10月9日发布的《金融领域科技伦理指引》面向金融数据伦理治理议题，关注数据安全、算法公平和数据流量滥用等热点问题。《证券期货业数据安全管理与保护指引》《信息安全技术 网络支付服务数据安全要求》也针对证券期货、网络支付等行业提出更为细化具体的合规要求。[5]

作为强监管领域，金融领域的数据执法工作向来频次高、范围广。随着金融数据安全相关法律、指导性标准的丰富完善，相关执法活动也更为有的放矢，监管维度与方向更为明晰。

自2019年以来，APP相关的个人信息保护治理工作主要由国家及各地工信部门与网信部门牵头，国家计算机病毒应急处理中心（CVERC）亦同时对APP个人信息合规问题进行常态化监测。根据我们的统计，在国家工信部、网信办以及各地通信管理局2022年度内共计15批次通报、CVERC共计11批次监测通报中，共有68款金融APP因存在侵犯个人信息问题而被点名。按照具体业务类型进行区分，出现个人信息侵权问题而被点名的金融APP中，投资理财、网络支付与手机银行类APP占比较高：

点击可查看大图

从通报的违法违规事由来看，未经用户同意或误导用户同意收集个人信息、未明确告知用户收集目的及方式、范围等“违规收集或使用个人信息”[6]行为是金融APP侵权的重灾区，在被通报的68款APP中有50款均涉及此类问题，占到了总数的73.5%。此外，“强制、频繁、过度索取权限”“未提供便捷有效的个人信息更正、删除及账号注销功能”也是经常被查处的金融APP个人信息侵权行为。另一方面，2022年内，据我们观察，并未发生金融领域APP因未及时整改到位而遭下架的情形，较2019-2021年有所改善。具体通报事由分布见我们整理的以下表格：

点击可查看大图

2022年内，一行两会在执法监管方面对金融网络与数据安全的关注不断加强。根据我们的统计，一行两会对所辖机构存在的数据合规、信息系统安全等问题共开出454张单位罚单，同时有超过380位相关责任人涉及承担警告、罚款甚至限期禁业在内的法律责任。[7]

归纳上述金融业机构的违法违规事由，我们将金融领域数据执法活动划分为消费者个人金融信息保护、金融统计与监管数据报送及质量合规[8]、个人信用信息保护及征信合规、数据安全管理及信息系统安全防护[9]四个维度，各维度所涉案例及责任人的具体数量分布如下：

点击可查看大图

消费者个人信息保护全面深化，专项整治工作稳步推进

根据我们的统计，2022年，有11家机构因涉及消费者个人信息保护违规而收到百万级罚单。[10]未经授权同意查询或未按约定用途使用个人信息、消费者信息授权格式条款不合规仍是金融领域消费者个人信息保护方面的典型问题。[11]此外，亦有多家机构因未落实消费者个人信息分级授权审批程序和使用管理制度，或未通过有效内部控制措施纠正员工侵犯个人信息行为而遭到处罚，机构个人信息保护内控建设成为需要关注的合规重点。

专项整改方面，银保监会于2022年8月3日业内下发《关于开展银行保险机构侵害个人信息权益乱象专项整治工作的通知》（《整治通知》），组织各银行保险机构全面摸排经营管理中存在的消费者个人信息处理相关情况，剑指侵害个人信息权益7大乱象，重点关注个人信息生命周期全流程处理过程中的22项违法行为，自8月至年底分三阶段逐步推进。

数据质量与报送监管持续从严，大规模与集中性执法再敲警钟

监管与统计数据的治理水平和质量控制是金融领域数据合规工作的重中之重，也是评价金融业机构数字能力的基础性指标，其核心关注点包括数据的真实性、完整性、准确性、一致性以及数据报送的及时性。2022年，数据质量与报送监管方面的处罚案例依旧数量最为集中、罚款总额最高。除常态化执法以外，银保监会于上半年内进行两批次集中性执法，3月因监管标准化数据质量问题对21家银行机构处罚合计8760万元，4月继而通报45家银行保险机构存在监管信息系统数据错报、漏报、瞒报等突出问题。

个人征信业务处于整改过渡期，信用信息保护监管依旧密集

2021年是征信业务的合规大年，互联网平台与金融业机构个人信息全面“断直连”，《征信业务管理办法》的发布明确个人征信持牌要求、强化信用信息保护合规要求。相较而言，2022年全年仍处于个人征信业务持牌整改的过渡期内，但相关执法活动依然密集，银行、消费金融公司等金融业机构信用信息采集、提供与查询不合规、不良信息异议超期响应、信用信息系统及数据库安全管理是征信业务数据合规方面的执法重点。

系统防护与数据安全走向纵深，证券信息技术风险防治逐步压实

金融领域在信息系统建设与数据安全防护方面起步较早，但在互联网金融与“三法”时代也逐步迎来新的挑战。网络信息系统突发事件、敏感数据泄露风险、信息科技与数据外包管理是2022年内金融数据安全执法的重要方面。其中，证券基金行业的执法较之往年尤为活跃。5月，证监会针对业内上半年网络安全事故频发的现象下发《机构监管情况通报》，直指证券基金机构五大信息安全问题，明确将按照“穿透式监管、全链条问责”原则加大督查力度，[12]并在7月对某证券公司及相关责任人开出券业首张网络安全“双罚”罚单。

在金融行业主管部门的执法活动之外，金融服务认证机构、行业自律性组织等亦是金融领域数据治理工作的重要主体，在监管机构的指导下，推动着业内相关制度的落地与深化。

2022年11月21日，北京国家金融科技认证中心（“NFTC”）公布首批通过“个人金融信息保护能力认证”的5家支付机构与商业银行。该项认证为NFTC在中国人民银行的牵头与倡导下正式启动的国家级、自愿性认证，也是国内首个基于行业特点的个人信息保护认证，以《信息安全技术个人信息安全规范》《个人金融信息保护技术规范》等标准及相关法律法规为认证依据，旨在提升机构个人金融信息全生命周期保护水平。同时，NFTC将就此项认证积极引入互认机制，是否可能与网信办推动的个人信息保护认证进一步衔接值得期待。

自2019年中国人民银行发布《关于发布金融行业标准加强移动金融客户端应用软件安全管理的通知》以来，金融APP的实名备案自律管理职责由中国互联网金融协会（“NIFA”）承担，该备案也已成为金融数据治理的常态化工作之一。备案检测以行业标准《移动金融客户端应用软件安全管理规范》为主要技术依托，个人信息保护及数据安全是该标准的重要内容，对金融APP在数据全生命周期处理各环节均提出安全要求。

2022年，NIFA共公布第20至第29批备案名单，共计完成473款金融APP备案[13]，从批次和备案数量上较2021年完成千余款APP备案有所回落，备案工作相对进入稳定期。

2022年12月，中共中央国务院印发《关于构建数据基础制度更好发挥数据要素作用的意见》（《二十条》），进一步强调建立数据产权制度、规范数据流通规则、构建数据交易制度体系。作为国家数据基础制度与战略的主线之一，数据要素流通同样属于金融领域顶层设计的重要部分。中国人民银行在《发展规划》中将数据共享和权属判定机制、跨主体数据安全共享隐私计算平台作为当下金融科技的重点任务。2022年1月印发的《金融标准化“十四五”发展规划》也指出金融标准化工作将关注数据要素流通，完善金融数据资源产权、交易流通方面的标准规范。我们期待2023年在释放金融数据要素潜能、推动数据有序共享方面将迎来更多的政策与制度支持。

作为数据密集型领域，金融领域的数据流通较之其他行业更为频繁活跃。对于跨国金融业机构及开展跨境业务的本地机构而言，跨境支付、境内外业务系统间数据流转、全球客户一体化维护等场景下均可能涉及个人信息或重要数据出境需求。随着《数据出境安全评估办法》规定的整改期限将至，金融业机构面临的数据出境合规压力日益增长。另一方面，我国在反洗钱、审计监管方面探索建立了相应的跨境监管合作框架与响应机制，但是在此之外，其他方面的跨境金融监管调查数据传输规则目前尚有细化空间。

《二十条》明确提出我国将积极参与数据跨境国际规则制定、推动多边协商，同时将跨境支付作为需探索安全规范数据跨境流动方式的典型场景之一。在此背景下，我们期待在2023年能够看到针对金融数据出境合规方案的更多规则，为跨境支付结算、反洗钱及跨境金融监管的数据传输提供更为清晰的操作指引。

伴随着重要数据及CII相关立法与标准制定工作不断提上议程，我们预计，在金融行业主管部门推动下，金融领域重要数据目录及识别规则、金融类CII认定规则也有望在2023年得到明确。

银保监会侵害个人信息权益乱象专项整治工作已于2022年年末迎来收尾阶段。根据《整治通知》，自查不力、隐瞒不报的机构将被严肃追责并予以处罚。此次全面摸排后，我们相信2023年将涌现一批个人金融信息保护典型执法案例和执法新动作，银行保险机构个人信息保护工作的合规思路也将更为清晰。除此之外，个人征信业务持牌整改期限将于2023年中截止，金融业机构与互联网平台个人信用信息“断直连”模式下助贷业务数据源及风控输出的合规路径最终落脚何处、机构外部数据接入是否有可能的模式创新也值得期待。

目前包括《个人金融信息保护技术规范》在内的多项金融数据安全基础性标准均制定于《数据安全法》与《个人信息保护法》到来之前，尽管整体而言能够贴合当下数据保护的实践水平，但在规则细节上仍有部分内容尚未匹配最新要求，如未包含单独同意、未成年人个人信息保护等重要处理规则。另外，《金融标准化“十四五”发展规划》也提出要进一步推动个人金融信息保护标准体系、金融网络安全与数据安全保护标准体系的健全与完善，关注互联网平台金融业务消费者保护。据此，我们预计，2023年，相关金融行业标准有望进一步与“三法”有效衔接与适配，互联网金融相关的个人信息保护规则亦有望进一步明晰。