在2019年，以四部门在全国范围组织开展App违法违规收集使用个人信息专项治理活动为代表，数据监管部门执法活动日趋活跃和严格。金融领域个人信息违法违规行政和刑事执法案例也呈爆发式增长趋势，在此背景下，中国人民银行近日发布了金融行业推荐性标准《个人金融信息保护技术规范》（JR/T 0171-2020）（以下简称"《技术规范》"），并于2020年2月13日施行。

金融业机构掌握和处理的个人金融信息绝大多数属于个人敏感信息，该等信息一旦泄露，不但会直接侵害个人金融信息主体的合法权益、影响金融业机构的正常运营，导致相关的民事、行政、刑事风险，甚至可能会带来系统性金融风险。可以预见，《技术规范》的出台对于加强个人金融信息的安全管理，指导相关机构规范处理个人金融信息，最大程度保障个人金融信息主体合法权益，具有重要意义。

《技术规范》适用于提供金融产品和服务的金融业机构，不仅包括了由国家金融管理部门监督管理的持牌金融机构，也包括了涉及个人金融信息处理的相关机构。即金融产业链的相关机构均可能落入《技术规范》规制范围，例如金融支付、网络借贷、基金、保险、信托等从业机构。

个人金融信息是在金融领域围绕账户信息、鉴别信息、金融交易信息、个人身份信息、财产信息、借贷信息等方面的个人信息，属于金融业机构在提供金融产品和服务的过程中累积的重要基础数据。《技术规范》不仅对账户信息、鉴别信息、金融交易信息、个人身份信息、财产信息、信贷信息等信息可能包括的信息类型进行了详细列举，还将由这些原始数据处理、分析所形成的，例如特定个人金融信息主体的消费意愿、支付习惯和其他衍生信息，能够反映特定个人情况的信息也纳入了个人金融信息范畴之内。

此外，与《信息安全技术 个人信息安全规范》（GB/T 25273-2017，以下简称"《个人信息安全规范》"）中将"个人敏感信息"进行单独定义并提出增强性保护要求相类似的是，《技术规范》中对个人金融信息中涉及支付主体隐私和身份识别的重要信息单独定义为"支付敏感信息"，类别包括但不限于银行卡磁道数据或芯片等效信息、卡片验证码、卡片有效期、银行卡密码、网络支付交易密码等用于支付鉴权的个人金融信息。由于支付敏感信息的敏感性更高，《技术规范》中对其的处理和使用也有着一些特殊规定[1]。

《金融行业信息系统信息安全等级保护实施指引》（JR/T 0071-2012》结合金融行业特点及信息系统安全建设需要，对金融行业的信息安全体系架构采用分区分域设计，对不同等级的应用系统进行具体要求。

于2018年5月1日实施的现行版本的《个人信息安全规范》是一部关于我国个人信息保护的技术标准，规定了个人信息在收集、传输、存储、使用、删除、销毁等生命周期各环节的安全防护要求。此外，《信息安全技术 网络安全等级保护基本要求》（GB/T 22239-2019，以下简称"《网络安全等级保护基本要求》"）作为等保2.0体系下的重要标准之一，对网络安全等级保护对象的安全通用要求和安全扩展要求提出了具体保护要求。而此次《技术规范》的一些细化要求参考了前述标准和指引的要求，从安全技术和安全管理两个维度出发，规定了个人金融信息在数据处理的全生命周期各环节的安全防护要求，可以视为是金融监管领域在《个人信息安全规范》、《网络安全等级保护基本要求》基础上对个人金融信息的保护提出的增强性要求。

如前所述，《技术规范》对个人金融信息保护提出了一系列规范性要求，考虑到《技术规范》与《个人信息安全规范》从行文体系上较为类似且内容多有重合，以下仅从《技术规范》与《个人信息安全规范》对比的角度，介绍《技术规范》与《个人信息安全规范》有所区别或侧重的部分，重复或类似的部分将不在本文阐述。

除上述信息处理环节之外，《技术规范》还对公开披露、加工处理、汇聚融合、删除等环节进行相应规定，除此之外，针对安全运行技术要求，承载和处理个人金融信息的信息系统、应用软件、密码产品等应符合全国信息安全标准化技术委员会、全国金融标准化技术委员会及其他主管部门的标准、规范。

（1）就安全管理要求的安全准则部分，《技术规范》与《个人信息安全规范》类似，对个人金融信息的收集、存储、使用的基本原则、具体要求均进行相应规定。特别地，需关注《技术规范》中对于明示授权和数据出境的相关规定：

• 关于明示授权。鉴于个人金融信息的敏感性，《技术规范》对收集个人金融信息要求取得信息主体的明示同意。这点与《个人信息安全规范》的要求存在区别，其仅规定收集一般个人信息需要征得个人授权同意（包括明示同意和默示同意两种情形），而对于个人金融信息中属于敏感信息的信息（例如财产信息），应当征得明示同意。

   

• 关于数据出境。《技术规范》对于个人金融的本地化存储和出境问题进行了规定，该等规定内容基本沿袭和呼应了《中国人民银行关于银行业金融机构做好个人金融信息保护工作的通知》、《金融消费者权益保护实施办法》、《个人信息出境安全评估办法（征求意见稿）》等规定关于金融数据出境的相关要求。即在中国境内提供金融产品或服务过程中收集和产生的个人金融信息，应在境内存储、处理和分析。因业务需要，确需向境外机构关联机构提供个人金融信息，需满足如下要求：符合国家法律法规及行业主管部门有关规定；取得信息主体明示同意；开展出境安全评估；与境外机构签订协议、现场核查并履行相应监管职责。

（2）就安全管理要求的安全策略部分，明确金融业机构建立个人金融信息保护制度体系、加强访问控制和人员管理。其中，就建立个人金融信息保护管理规定、建立分级授权管理机制、开展个人金融信息分类分级管理等要求，与《中国人民银行金融消费者权益保护实施办法》（征求意见稿）、《个人金融信息（数据）保护试行办法》（征求意见稿）中的相应要求一脉相承。除此之外，《技术规范》还提出以下额外的制度要求：

• 建立个人金融信息脱敏（如屏蔽、去标识、匿名化等）管理规范和制度；

• 建立个人金融信息安全影响评估制度；

• 建立外包服务机构与外部合作机构管理制度；

• 建立个人金融信息安全检查及监督机制等。

就安全管理要求的安全监测与风险评估部分，与《个人信息安全规范》要求类似，《技术规范》要求匹配相应的监控与审计措施、建立安全事件处置的全流程管控措施，此外，对于安全检查和评估环节，《技术规范》除对个人金融信息安全影响评估制度的建立和执行进行相应要求之外，还要求金融业机构以及与其合作的第三方机构针对个人金融信息中的支付信息每年至少开展一次支付信息安全合规评估。

关于《技术规范》的前身，最初的公开版本为《支付信息保护技术规范》（送审稿），在该版本中支付信息被按照敏感程度从高到低分为四个类别。

《技术规范》则根据信息遭到未经授权的查看或未经授权的变更后所产生的影响和危害，将个人金融信息按照敏感程度从高到低分为C3、C2、C1三个类别。具体类别及对应信息列举情况如下：

需要说明的是，两种或两种以上的低敏感程度类别信息经过组合、关联和分析后可能产生高敏感程度信息，同一信息在不同的服务场景中可能处于不同的类型。因此，上述分类不应做僵化认定，应当在不同的服务场景中对数据类别做动态和综合性的判断，并实施针对性的保护措施。例如，《技术规范》规定应根据个人金融信息的不同类别，采用技术手段保证个人金融信息的安全传输；低敏感程度类别的个人金融信息因参与身份鉴别等关键活动导致敏感程度上升的（如，经组合后构成交易授权完整要素的情况），应提升相应的安全传输保障手段。

《技术规范》在个人金融信息进行分类的基础上，对于C2和C3类别的个人金融信息提出了诸多特定保护要求，以下分别从安全技术要求和安全管理要求进行分别列举。

（1） 安全技术要求

（2） 安全管理要求

由上述归纳可知，针对与外包服务机构和外部合作机构的合作，在《个人信息安全规范》等相关规定的基础要求（例如安全影响评估、对第三方的监督、审计）上，《技术规范》还从以下几个方面提出禁止性要求或额外规制：

• 特定类别的个人金融信息不应委托或授权无金融业相关资质的机构收集；

• 特定类别的个人金融信息不应共享和转让；

• 特定类别的个人金融信息不应委托给第三方机构进行处理；

• 对委托处理的信息应采用去标识化等方式进行脱敏处理。

因此，对于普遍采用人力外包等方式委托分包商提供非核心服务的金融行业来说，为避免合规风险，相关从业机构可能面临调整相关业务或合作模式的考验。

去年9月以来，公安部门加强对涉足互联网金融行业的大数据服务公司在网络安全及数据合规领域的执法力度，"净网2019"行动持续开展。我们判断，2020年，随着数据执法的进一步深化，金融等数据敏感行业将进一步完善行业内的网络安全和数据保护实施细则的立法和规范工作，建议相关金融业机构以《技术规范》、《个人信息安全规范》及等保2.0等相关规范和标准要求，开展内部网络安全自查、自律行动，切实落实个人信息尤其是个人金融信息的安全保护要求。