《金融消费者权益保护实施办法》下金融信息合规管理风险

旧规

新规征求意见稿

新规

简评

注：除非另有说明，指新规征求意见稿和新规相对于旧规的变化或者重点内容

标题

《中国人民银行金融消费者权益保护实施办法》(银发[2016]314号)

2016年12月14日

《中国人民银行金融消费者权益保护实施办法（征求意见稿）》

2019年12月27日

《中国人民银行金融消费者权益保护实施办法》（中国人民银行令〔2020〕第5号）

2020年9月15日

名称不变

位阶

规范性文件

部门规章

部门规章

主体内容升格为部门规章，以人民银行令形式发布实施

名称

第三章 个人金融信息保护

第三章消费者金融信息保护

第三章消费者金融信息保护

将“个人”修改为“消费者”

收集

第二十七条 本办法所称个人金融信息，是指金融机构通过开展业务或者其他渠道获取、加工和保存的个人信息，包括个人身份信息、财产信息、账户信息、信用信息、金融交易信息及其他反映特定个人某些情况的信息。

第二十七条本办法所称消费者金融信息，是指金融机构通过开展业务或者其他合法渠道获取、加工和存储的消费者信息，包括个人身份信息、财产信息、账户信息、信用信息、金融交易信息及其他与特定消费者购买、使用金融产品或服务相关的信息。

第二十八条本办法所称消费者金融信息，是指银行、支付机构通过开展业务或者其他合法渠道处理的消费者信息，包括个人身份信息、财产信息、账户信息、信用信息、金融交易信息及其他与特定消费者购买、使用金融产品或者服务相关的信息。

消费者金融信息的处理包括消费者金融信息的收集、存储、使用、加工、传输、提供、公开等。

1. 均包括直接收集和从第三方间接收集

2. 对间接收集增加“合法”要求

3. 概括性兜底条款明确限定金融信息为“购买、使用”金融产品或者服务的信息

4. 将“金融机构”明确为“银行、支付机构”

5. 新规将新规征求意见稿中“获取、加工、存储”修改为“处理”

收集共享转让

第二十八条 金融机构应当严格落实国家网络安全和信息技术安全有关规定，采取有效措施确保个人金融信息安全，至少每半年排查一次个人金融信息安全隐患。

收集个人金融信息时，应当遵循合法、合理、必要原则，按照法律法规要求和业务需要收集个人金融信息，不得收集与业务无关的信息或者采取不正当方式收集信息，不得非法存储个人金融信息； …

第二十八条第一款和第二款金融机构收集、使用消费者金融信息，应当遵循合法、正当、必要原则，经金融消费者明示同意。金融机构不得收集与业务无关的消费者金融信息，不得采取不正当方式收集信息，不得变相强制收集消费者金融信息。

金融机构不得将金融消费者同意其将金融信息用于对外提供作为与金融消费者建立业务关系的先决条件，但该业务关系的性质决定需要预先同意的除外。

第二十九条银行、支付机构处理消费者金融信息，应当遵循合法、正当、必要原则，经金融消费者或者其监护人明示同意，但是法律、行政法规另有规定的除外。银行、支付机构不得收集与业务无关的消费者金融信息，不得采取不正当方式收集消费者金融信息，不得变相强制收集消费者金融信息。银行、支付机构不得以金融消费者不同意处理其金融信息为由拒绝提供金融产品或者服务，但处理其金融信息属于提供金融产品或者服务所必需的除外。

金融消费者不能或者拒绝提供必要信息，致使银行、支付机构无法履行反洗钱义务的，银行、支付机构可以根据《中华人民共和国反洗钱法》的相关规定对其金融活动采取限制性措施；确有必要时，银行、支付机构可以依法拒绝提供金融产品或者服务。

1. 规范收集原则，将“合法、合理、必要”按照《网络安全法》修改为“合法、正当、必要” 。

2. 增加收集金融信息获得消费者和监护人明示同意规定

3. 新规增加获得同意“法律、行政法规另有规定的除外”

3. 增加原则性规定“不得变相强制收集”

4. 新规增加因反洗钱要求提供信息的规定

共享转让委托处理

第三十一条 金融机构不得将金融消费者授权或者同意其将个人金融信息用于营销、对外提供等作为与金融消费者建立业务关系的先决条件，但该业务关系的性质决定需要预先做出相关授权或者同意的除外。

第二十八条第三款 金融机构收集消费者金融信息用于营销、用户体验改进或者市场调查的，应当以适当方式供金融消费者自主选择是否同意金融机构将其金融信息用于上述目的。金融消费者不同意的，金融机构不得因此拒绝提供金融产品或服务。

第三十条银行、支付机构收集消费者金融信息用于营销、用户体验改进或者市场调查的，应当以适当方式供金融消费者自主选择是否同意银行、支付机构将其金融信息用于上述目的；金融消费者不同意的，银行、支付机构不得因此拒绝提供金融产品或者服务。银行、支付机构向金融消费者发送金融营销信息的，应当向其提供拒绝继续接收金融营销信息的方式。

1.区分“一般目的对外提供”和“用于营销、用户体验改进、或者市场调查对外提供”。

“一般目的对外提供”，如果为非业务所必需，不能因不提供信息而拒绝提供服务；“用于营销、用户体验改进、或者市场调查”之目的，不提供不影响服务。

2.新规增加向金融消费者提供拒绝接收营销信息的方式。

收集

第三十条 金融机构通过格式条款取得个人金融信息书面使用授权或者同意的，应当在条款中明确该授权或者同意所适用的向他人提供个人金融信息的范围和具体情形，应当在协议的醒目位置使用通俗易懂的语言明确向金融消费者提示该授权或者同意的可能后果。

金融机构不得以概括授权的方式，索取与金融产品和服务无关的个人金融信息使用授权或者同意。

第二十九条金融机构应当履行《中华人民共和国消费者权益保护法》规定的明示义务，并保留有关证明资料。

金融机构通过格式条款取得消费者金融信息收集、使用同意的，应当在条款中明确收集的目的、方式、内容和使用范围，并在协议中以显著方式尽可能通俗易懂地向金融消费者提示该同意的可能后果。

第三十一条银行、支付机构应当履行《中华人民共和国消费者权益保护法》第二十九条规定的明示义务，公开收集、使用消费者金融信息的规则，明示收集、使用消费者金融信息的目的、方式和范围，并留存有关证明资料。

银行、支付机构通过格式条款取得消费者金融信息收集、使用同意的，应当在格式条款中明确收集消费者金融信息的目的、方式、内容和使用范围，并在协议中以显著方式尽可能通俗易懂地向金融消费者提示该同意的可能后果。

1. 明确明示告知才能收集个人信息的原则

2. 明确明示告知内容至少包括收集目的、范围、方式

使用

无

第三十条金融机构应当按照法律法规的规定和双方约定的用途使用消费者金融信息，不得超出范围使用。

第三十二条银行、支付机构应当按照法律法规的规定和双方约定的用途使用消费者金融信息，不得超出范围使用。

增加不能超出范围使用消费者金融信息

内部访问控制

第二十九条 金融机构应当建立个人金融信息数据库分级授权管理机制，根据个人金融信息的重要性、敏感度及业务开展需要，在不影响其履行反洗钱等法定义务的前提下，合理确定本机构员工调取信息的范围、权限及程序。

第三十一条金融机构应当建立以分级授权为核心的消费者金融信息使用管理制度，根据消费者金融信息的重要性、敏感度及业务开展需要，在不影响其履行反洗钱等法定义务的前提下，合理确定本机构员工调取信息的范围、权限。

金融机构应当严格落实信息使用授权审批程序，采取有效技术措施，确保消费者金融信息安全。

第三十三条银行、支付机构应当建立以分级授权为核心的消费者金融信息使用管理制度，根据消费者金融信息的重要性、敏感度及业务开展需要，在不影响本机构履行反洗钱等法定义务的前提下，合理确定本机构工作人员调取信息的范围、权限，严格落实信息使用授权审批程序。

内部信息访问控制，没有实质变化。

第三十二条 金融机构应当建立个人金融信息使用管理制度。因监管、审计、数据分析等原因需要使用个人金融信息数据的，应当严格内部授权审批程序，采取有效技术措施，确保信息在内部使用及对外提供等流转环节的安全，防范信息泄露风险。

存储泄露报告

第二十八条第二款后半段和第三款

…应当采取符合国家档案管理和电子数据管理规定的措施，妥善保管所收集的个人金融信息，防止信息遗失、毁损、泄露或者篡改。在发生或者可能发生个人金融信息遗失、毁损、泄露或者篡改等情况时，应当立即采取补救措施，及时告知用户并向有关主管部门报告。

金融机构及其相关工作人员应当对业务过程中知悉的个人金融信息予以保密，不得非法复制、非法存储、非法使用、向他人出售或者以其他非法形式泄露个人金融信息。

第三十二条金融机构应当按照国家档案管理和电子数据管理规定，采取技术措施和其他必要措施，妥善保管和存储所收集的消费者金融信息，防止信息遗失、毁损、泄露或者篡改。

金融机构及其工作人员应当对消费者金融信息严格保密，不得泄露或者非法向他人提供。在确认信息发生泄漏、毁损、丢失时，金融机构应当在72小时以内采取补救措施并告知金融消费者。

第三十四条银行、支付机构应当按照国家档案管理和电子数据管理等规定，采取技术措施和其他必要措施，妥善保管和存储所收集的消费者金融信息，防止信息遗失、毁损、泄露或者被篡改。

银行、支付机构及其工作人员应当对消费者金融信息严格保密，不得泄露或者非法向他人提供。在确认信息发生泄露、毁损、丢失时，银行、支付机构应当立即采取补救措施；信息泄露、毁损、丢失可能危及金融消费者人身、财产安全的，应当立即向银行、支付机构住所地的中国人民银行分支机构报告并告知金融消费者；信息泄露、毁损、丢失可能对金融消费者产生其他不利影响的，应当及时告知金融消费者，并在72小时以内报告银行、支付机构住所地的中国人民银行分支机构。中国人民银行分支机构接到报告后，视情况按照本办法第五十五条规定处理。

新规对新规征求意见稿的信息安全事件告知和通知义务进行了细化规定：

1. 危及人身、财产安全：立即上报并告知金融消费者

2.其他不利影响：72小时内上报并及时告知

更正删除

无

第三十三条金融消费者发现金融机构违反法律法规、监管规定或者双方的约定收集、使用其金融信息的，有权要求金融机构停止使用并删除前述金融信息；发现金融机构收集、存储的消费者金融信息有错误的，有权要求金融机构予以更正。金融机构应当采取措施予以删除或者更正。法律、行政法规另有规定的除外。

无

1. 新规征求意见稿增加消费者要求停止使用、更正不准确信息和要求删除的权利

2. 新规征求意见稿规定金融机构仅在“法律”和“行政法规”另有规定的情形下，才可以拒绝更正和删除。不能根据“规章”和“规范性文件”等效力层级更低的规定拒绝消费者的请求。

跨境传输

第三十三条 在中国境内收集的个人金融信息的存储、处理和分析应当在中国境内进行。除法律法规及中国人民银行另有规定外，金融机构不得向境外提供境内个人金融信息。

境内金融机构为处理跨境业务且经当事人授权，向境外机构 (含总公司、母公司或者分公司、子公司及其他为完成该业务所必需的关联机构)传输境内收集的相关个人金融信息的，应当符合法律、行政法规和相关监管部门的规定，并通过签订协议、现场核查等有效措施，要求境外机构为所获得的个人金融信息保密。

第三十四条在中国境内收集的消费者金融信息的存储、处理和分析应当在中国境内进行。因业务需要，确需向境外提供消费者金融信息的，应当同时符合以下条件：

（一）为处理跨境业务所必需；

（二）经金融消费者书面授权；

（三）信息接收方为完成该业务所必需的关联机构（含总公司、母公司或者分公司、子公司等）；

（四）通过签订协议、现场核查等有效措施，要求境外机构为所获得的消费者金融信息保密；

（五）符合法律法规和其他相关监管部门的规定。

无

1. 旧规和新规征求意见稿均以境内存储为原则。

2. 旧规和新规征求意见稿均要求接收方必须是关联机构。

3. 新规征求意见稿相对于旧规要求放宽：旧规只有在“法律法规及中国人民银行另有规定”的，才可以向境外提供；新规征求意见稿下只要“业务所必需”且满足一定条件，就可以跨境传输。

委托处理/分包

第三十四条 金融机构保护消费者个人金融信息安全的义务不因其与外包服务供应商合作而转移、减免。

金融机构应当充分审查、评估外包服务供应商保护个人金融信息的能力，在相关协议中明确外包服务供应商保护个人金融信息的职责和保密义务，并采取必要措施保证外包服务供应商履行上述职责和义务。

第三十五条金融机构保护消费者金融信息安全的义务不因其与外包服务供应商合作而转移、减免。

金融机构应当充分审查、评估外包服务供应商保护消费者金融信息的能力，在相关协议中明确外包服务供应商保护消费者金融信息的职责和保密义务，并采取必要措施监督外包服务供应商履行上述职责和义务。合作关系终止后，金融机构应当监督外包服务供应商及时销毁从金融机构获取的消费者金融信息。

无

新规征求意见稿相对于旧规增加“合作关系终止后，金融机构应当监督外包服务供应商及时销毁从金融机构获取的消费者金融信息。”

共享可携带权

无

第三十六条鼓励金融机构在技术可行的前提下，基于金融消费者的请求，将其金融信息转移至金融消费者指定的其他金融机构。

无

新规征求意见稿相对于旧规增加可携带权，及消费者可以要求把金融信息转给指定的其他金融机构，但为鼓励性规定，不是强制性要求，且要满足技术可行的条件。