金融业个人信息处理的特殊规则与信用信息管理要求

一、结论先行：金融机构数据合规的四层规范体系

金融机构处理个人信息之所以比一般企业严格得多，原因在于约束它的不止一部法律，而是四层规范叠加：

1. 第一层：个人信息保护法的一般规则。处理个人信息应当遵循合法、正当、必要和诚信原则，具有合法性基础，履行告知义务；处理敏感个人信息需取得单独同意并进行个人信息保护影响评估。
2. 第二层：征信特别规则。金融账户属于敏感个人信息，而信贷记录、担保记录等信用信息还受《征信业管理条例》的专门约束——采集需经本人同意、不良信息报送前应事先告知、保存期限五年、本人每年可免费查询两次、提出异议后二十日内核查答复。
3. 第三层：金融监管的数据安全规定。《银行保险机构数据安全管理办法》要求建立数据分类分级制度，将数据分为核心数据、重要数据、一般数据（一般数据再细分为敏感数据和其他一般数据），并对数据全生命周期与共享、委托处理、出境等环节设定义务。
4. 第四层：数据出境规则。数据出境需要按《促进和规范数据跨境流动规定》判断是否落入应当申报安全评估、订立个人信息出境标准合同或者通过个人信息保护认证的范围，并核实豁免情形是否适用。

四层规范的适用不是「择一」，而是「同时」。同一笔客户信息的处理，可能同时需要满足个人信息保护法的合法性基础、征信业管理条例的同意要求、金融监管办法的分类分级要求，以及数据出境规则。合规审查的基本方法因此是逐层对照、逐项留痕，而不是找到一部依据就结束。

二、第一层：个人信息保护法的一般规则在金融场景的落地

《个人信息保护法》为金融机构设定了几条最基础的义务。

合法性基础与最小必要。处理个人信息应当具有合法性基础，其中同意是最常见的一种。即便取得同意，收集个人信息也应当限于实现处理目的的最小范围，不得过度收集。将「客户签署一份格式授权书」视为对所有处理活动的概括同意，是实务中最常见的错误——用途、方式、范围不明确的同意，难以支撑后续的信息使用。

敏感个人信息与单独同意。金融账户、行踪轨迹等属于敏感个人信息。处理敏感个人信息应当具有特定的目的和充分的必要性，采取严格保护措施，并取得个人的单独同意；法律、行政法规规定处理敏感个人信息应当取得书面同意的，从其规定。所谓「单独同意」，是指不能混在通用授权条款中一并取得，需要单独向个人提示并取得同意。

影响评估。处理敏感个人信息、利用个人信息进行自动化决策、委托处理、向其他个人信息处理者提供个人信息、向境外提供个人信息等情形，应当事前进行个人信息保护影响评估，并对处理情况进行记录。评估报告与处理记录应当留存备查，这是监管检查中最先被调阅的文件之一。

自动化决策与营销。利用个人信息进行自动化决策的，应当保证决策的透明度和结果公平、公正，不得对个人在交易价格等交易条件上实行不合理的差别待遇；通过自动化决策方式进行信息推送、商业营销的，应当同时提供不针对个人特征的选项，或者向个人提供便捷的拒绝方式。金融机构的风控模型、差异化定价、智能营销都需要对照这一要求。

三、第二层：征信业务的特殊规则

《征信业管理条例》为个人信用信息设定了一套明确的操作规则，其中与纠纷关联最密切的是以下几条。

上表中「不良信息事先告知」与「异议二十日处理」是实务中纠纷最集中的两条。银行在报送逾期信息前未通知客户的，客户据此主张删除不良记录并赔偿损失，通常有较大胜诉空间；征信机构或信息提供者超过二十日未核查答复的，同样构成程序违规。

此外，《征信业务管理办法》（中国人民银行令〔2021〕第4号，2022年1月1日起施行）补充了几项关键规则：从事个人征信业务应当依法取得许可，从事企业征信业务、信用评级业务应当备案；金融机构不得与未取得合法征信业务资质的市场机构开展商业合作获取征信服务；采集个人信用信息应当采取合法、正当的方式，遵循最小、必要原则，不得过度采集；不得以欺骗、胁迫、诱导方式采集，不得向信息主体收费，不得从非法渠道采集。该办法还明确，以「信用信息服务」「信用服务」「信用评分」「信用评级」「信用修复」等名义对外实质提供征信服务的，适用该办法——这一条直接封堵了以「征信修复」为名的灰色业务空间。

四、第三层：银行保险机构数据安全的分级与全流程义务

《银行保险机构数据安全管理办法》（金规〔2024〕24号，2024年12月27日印发）把金融数据合规从原则要求推进到操作层面，其中三项制度最值得关注。

第一，数据分类分级。银行保险机构应当制定数据分类分级保护制度，建立数据目录和分类分级规范，动态管理和维护数据目录。数据分为核心数据、重要数据、一般数据，一般数据细分为敏感数据和其他一般数据。数据类型涵盖客户数据、业务数据、经营管理数据、系统运行和安全管理数据等。数据安全级别还需动态调整——业务属性、重要程度或可能造成的危害程度发生变化的，应当及时调整级别。

第二，组织架构与责任制。机构应当建立覆盖董事会（理事会）、高管层、数据安全统筹部门、数据安全技术保护部门的数据安全管理组织架构；党委书记（党组书记）、董事会（理事会）对本单位数据安全工作负主体责任，主要负责人为数据安全第一责任人，分管数据安全的高级管理人员为直接责任人；同时应当指定数据安全归口管理部门与信息科技部门分别承担管理与技术保护职责。

第三，全流程与对外环节的义务。收集数据应当坚持合法、正当、必要、诚信原则，明确目的、方式、范围、规则，不得超出数据主体同意的范围收集；开展敏感级及以上数据的清洗转换、汇聚融合、分析挖掘时，应当采用匿名化、去标识化或者其他必要安全措施；委托处理的，应当以合同协议约定目的、期限、处理方式、数据范围、保护措施、双方责任以及受托方返还或删除数据的方式，并要求受托方未经同意不得转委托、不得对外共享、不得加工训练或挪用数据；向外部提供敏感级及以上数据的，应当取得数据主体同意，除国家机关依法履职外，核心数据跨主体流动应当按照国家相关政策要求通过风险评估、安全审查；敏感级及以上数据不得公开，法律、行政法规另有规定或者取得授权同意的除外。

这些要求与《数据安全法》的数据分类分级制度、《个人信息保护法》的最小必要与影响评估要求形成配套，实务中应当整合为一份统一的数据合规制度文件，避免各套制度各自为政。

五、对外提供：数据出境的路径、豁免与共享外包的责任边界

数据出境需要先判断自身属于哪一类主体、提供哪一类数据，再确定路径。《促进和规范数据跨境流动规定》（国家互联网信息办公室令第16号，2024年3月22日公布施行）作出了较为清晰的划分。

几个实务要点：一是重要数据的识别遵循「被告知或公布」原则——未被相关部门、地区告知或者公开发布为重要数据的，不需要作为重要数据申报数据出境安全评估。二是评估结果有效期为三年，自评估结果出具之日起计算；需要继续开展活动且未发生重新申报情形的，可以在有效期届满前60个工作日内提出延长申请，经批准可以延长三年。三是行业主管部门另有规定的，应当同时遵守。金融行业的特殊性在于其客户信息高度集中于敏感个人信息，且大量中小型跨境支付场景会落入「为履行个人作为一方当事人的合同」的豁免，但仍需履行告知、取得单独同意、进行个人信息保护影响评估等义务。

需要提示的是，本段所述豁免情形与门槛均为《促进和规范数据跨境流动规定》的规则；该规定明确，此前公布的《数据出境安全评估办法》《个人信息出境标准合同办法》等与不一致的，适用本规定。

回到境内场景，数据对外提供的另一形态是共享、委托处理与外包。金融业务的合作链条长——数据可能在总行与分行之间、母公司与子公司之间、机构与外包服务商之间流转。责任划分的规则可以概括为三句话。

1. 共享敏感级及以上数据需要授权同意。依《银行保险机构数据安全管理办法》，银行保险机构与其母行、集团，或者其子行、子公司共享敏感级及以上数据，应当获得数据主体的授权同意；同时应当建立数据安全隔离的「防火墙」。不得以数据主体拒绝同意共享敏感数据而终止或者拒绝单家子行、子公司对其提供金融服务，所共享数据属于提供产品或服务所必需的除外。
2. 委托处理不免除数据安全主体责任。委托处理应当签订合同并记录、审计处理活动；受托方未经同意不得转委托、不得对外共享、不得加工训练或者挪用数据。外包涉及信息科技管理责任与数据安全主体责任的，不得外包；涉及敏感级及以上数据处理的，应当加强供应商准入与安全管理。
3. 个人信息的共同处理与受托处理区分对待。共同处理者应当约定各自的权利义务，但该约定不影响个人向其中任一处理者主张权利；受托处理者应当按照约定处理，不得超出约定范围。

实务中的操作重点是合同条款。数据合作合同应当明确数据的用途与使用范围、保存期限、安全措施、转委托禁止、数据删除与返还、安全事件通报义务、违约责任与赔偿责任，并约定审计权。缺少这些条款的合作，一旦发生泄露事件，责任划分将只能依据一般侵权规则判断，举证难度大幅上升。

六、违规后果与个人的救济路径

行政责任方面。违反《个人信息保护法》处理个人信息，情节严重的，可处五千万元以下或者上一年度营业额百分之五以下罚款，并可以责令暂停相关业务、停业整顿、吊销相关业务许可或者吊销营业执照；对直接负责的主管人员和其他直接责任人员可以处十万元以上一百万元以下罚款。民事责任方面。违法处理个人信息侵害个人信息权益造成损害的，处理者不能证明自己没有过错的，应当承担损害赔偿等侵权责任。征信特别责任方面。违反《征信业管理条例》规定采集、提供、使用信息的，由征信业监督管理部门责令限期改正、罚款；造成信息主体损失的，依法承担民事责任。

个人的救济路径有三条：第一，向征信机构或者信息提供者（银行等）提出异议，要求更正，对方应当在二十日内核查处理并书面答复；第二，向中国人民银行分支机构等监管机关举报、投诉；第三，就侵害个人信息权益提起诉讼。

需要提醒的是，法规文件中并不存在「征信修复」这一制度。无论是征信机构还是银行等信息提供者，都负有如实报送信用信息的义务，除依法定程序与条件外，无权随意更改、删除信用报告上展示无误的不良信息。以「征信洗白」为诱饵的业务不但无法实现承诺效果，还可能伴随诈骗风险。

七、常见问题

问：银行在贷款审批时查询我的征信，需要我同意吗？

需要。依《征信业管理条例》第十八条，向征信机构查询个人信息的，应当取得信息主体本人的书面同意并约定用途，法律规定可以不经同意查询的除外。实务中通常通过征信授权书完成，授权书中应当载明查询的用途。

问：我的不良记录能提前删除吗？

依《征信业管理条例》第十六条，不良信息保存期限自不良行为或者事件终止之日起为五年，超过五年应当予以删除。特定期限内提前删除通常没有法律依据；但如果该信息本身存在错误、遗漏，或者信息提供者未依第十五条事先告知本人、未依第十四条取得必要授权，则可以通过异议程序要求更正。

问：提出异议后征信机构多久必须答复？

二十日。依第二十五条，征信机构或者信息提供者收到异议，应当对相关信息作出存在异议的标注，自收到异议之日起二十日内进行核查和处理，并将结果书面答复异议人。超过期限未答复属于程序违规，可以作为主张权利的依据。

问：银行能否把我的信息提供给第三方用于营销？

需要同时满足两个条件：一是取得充分授权（涉及向第三方提供个人信息）；二是受托或接收方符合数据安全要求。依《征信业管理条例》第二十条，信息使用者应当按照约定的用途使用个人信息，不得用作约定以外的用途，不得未经个人信息主体同意向第三方提供。概括式的格式授权通常不足以支撑第三方营销。

问：金融机构与外部数据公司合作需要核查什么？

核心是三项：其一，对方是否具备相应资质——依《征信业务管理办法》第五条，金融机构不得与未取得合法征信业务资质的市场机构开展商业合作获取征信服务；其二，数据来源是否合法——不得从非法渠道采集，不得以欺骗、胁迫、诱导方式采集；其三，合作合同是否写明数据处理的目的、范围、期限、安全措施与责任划分。

问：金融机构向境外传输客户信息需要做什么？

先判断主体类型与数据类别：属于关键信息基础设施运营者的，向境外提供个人信息或者重要数据须申报数据出境安全评估；非关键信息基础设施运营者向境外提供重要数据（或达到人数门槛）同样须申报评估，其他情形可能适用订立标准合同或保护认证。同时仍需履行告知、取得单独同意、进行个人信息保护影响评估等义务。

八、法条与依据核验

法条与依据核验：《中华人民共和国个人信息保护法》第六条（最小必要）、第十三条（合法性基础）、第二十四条（自动化决策）、第二十八条（敏感个人信息）、第二十九条（单独同意）、第三十八条至第四十三条（向境外提供个人信息）、第五十五条（个人信息保护影响评估情形）、第六十六条（法律责任）、第六十九条（过错推定与损害赔偿）；《征信业管理条例》（国务院令第631号）第十三条（采集同意）、第十四条（禁止采集的信息）、第十五条（不良信息事先告知）、第十六条（保存期限五年与说明权）、第十七条（每年两次免费查询）、第十八条（查询的书面同意与用途约定）、第十九条（格式条款的提示与说明义务）、第二十条（按约定用途使用、不得未经同意向第三方提供）、第二十三条（准确性义务）、第二十五条（异议的二十日核查与书面答复）；《征信业务管理办法》（中国人民银行令〔2021〕第4号，2022年1月1日起施行）第三条（征信业务与信用信息定义）、第四条（个人征信业务许可与企业征信、信用评级业务备案）、第五条（不得与未取得合法征信业务资质的机构合作获取征信服务）、第六条（合规原则）、第七条（最小必要）、第八条（禁止的采集方式）、第九条（对信息提供者的审查）、第十条（协议明确权利义务）、第四十九条（金融信用信息基础数据库参照执行）、第五十条（以「信用修复」等名义实质提供征信服务的适用）；《银行保险机构数据安全管理办法》（金融监管总局金规〔2024〕24号，2024年12月27日印发）第五条（数据安全治理体系）、第九条至第十五条（组织架构与数据安全责任制、归口管理部门与信息科技部门职责）、第十六条至第十九条（数据分类分级与动态调整）、第二十二条（敏感级及以上数据活动的事先数据安全评估）、第二十四条（收集原则与向其他机构收集行业重要级及以上数据的限制）、第二十七条（匿名化、去标识化）、第二十八条（业务必要授权与访问审计）、第二十九条（数据共享与母子公司防火墙）、第三十条、第三十一条（委托处理与外包）、第三十四条（向外部提供敏感级及以上数据、核心数据跨主体流动）、第三十五条（敏感级及以上数据不得公开）、第三十六条（向境外提供重要数据和个人信息的安全评估）、第三十八条（数据销毁）；《促进和规范数据跨境流动规定》（国家互联网信息办公室令第16号，2024年3月22日公布施行）第二条（重要数据识别与申报）、第三条（国际贸易等活动的豁免）、第四条（境外收集境内处理后出境的豁免）、第五条（四类豁免）、第六条（自贸试验区负面清单）、第七条（应当申报安全评估的两类情形）、第八条（订立标准合同或通过保护认证的情形）、第九条（评估结果有效期三年与延长）、第十条（告知、单独同意、影响评估义务）、第十三条（与《数据出境安全评估办法》《个人信息出境标准合同办法》不一致时适用本规定）。特别说明：本文所引法律、行政法规、部门规章的条文序号均按现行有效版本标注。原稿曾引用《个人信用信息基础数据库管理暂行办法》，本文未予引用：该暂行办法的现行效力状态本文未能核实（待核实），且《征信业务管理办法》第四十九条已就金融信用信息基础数据库从事征信业务参照适用该办法作出规定，实务中应以《征信业管理条例》与《征信业务管理办法》为主要依据。本文第二节关于格式授权能否支撑具体处理活动的判断、第五节关于金融行业数据出境门槛的个案适用，需结合具体业务场景与监管口径确定，建议以官方公布文本与主管部门答复为准；本文不引用任何具体案号，办理具体事项时应以全国人大、中国人民银行、国家金融监督管理总局、国家互联网信息办公室官方公布文本为准。