每經熱評｜守護個人信息安全 不能止于事后問責

每經評論員 李玉雯

近期，上海銀保監局披露的兩張罰單受到市場關注，兩家知名銀行的信用卡中心分別被罰100萬元，主要違法違規事實均包括“對某客戶個人信息未盡安全保護義務”。

“大數據時代里，每個人都在‘裸奔’。”這看似是一句玩笑話，卻折射出了當下社會對個人信息安全問題的憂慮。銀行業金融機構匯聚了規模龐大、覆蓋廣泛的數據資料，往往與客戶的資產安全、信用狀況等密切相連，因而信息安全的重要性更加凸顯。

有鑒于此，早在2018年5月，銀保監會就印發了《銀行業金融機構數據治理指引》，指出銀行業金融機構應當依法保護客戶隱私，采集、應用數據涉及到個人信息的，應遵循國家個人信息保護法律法規要求，符合與個人信息安全相關的國家標準。

今年2月份，人民銀行發布《個人金融信息保護技術規范》，規定了個人金融信息在收集、傳輸、存儲、使用、刪除、銷毀等生命周期各環節的安全防護要求，從安全技術和安全管理兩個方面，對個人金融信息保護予以規范。作為第一部專門針對個人金融信息的行業標準，其對金融領域數據隱私保護具有標志性意義。

3月6日，國家市場監督管理總局、國家標準化管理委員會發布GB/T35273—2020《信息安全技術個人信息安全規范》，對個人信息保護領域的相關問題作出進一步細化與補充。此外，專門性立法《個人信息保護法》和《數據安全法》已被列入十三屆全國人大常委會立法規劃。

可以看出，個人信息保護的法律防線正在不斷筑牢，將為信息安全提供強有力的保障。

筆者認為，行業健康有序發展不能僅僅依賴于監管的事后問責。既要做好“打補丁”的工作，更要重視事先的防范與管控。

從近年來監管披露情況來看，銀行業涉及客戶個人信息安全違規案例多是因從業人員法律意識淡薄，例如未經授權隨意查詢個人征信信息、機構內鬼倒賣客戶資料等。

在當下這個科技快速更迭的時代，銀行業與互聯網的融合程度不斷加深，信息獲取成本降低，應用、存儲方式更為多樣化，這也使得個人信息安全保護面臨著更大的挑戰，對銀行機構的風險控制能力、技術處理手段等也都提出了更高的要求。

需要注意的是，盡管銀行機構普遍制定了詳細嚴謹的內部規章制度，但在實際操作層面依然缺乏有效的執行保障。這也是部分銀行員工明知違規卻依然“鋌而走險”的主要原因。對于如何更好地貫徹落實規章制度，銀行在此方面的實踐仍然有待加強。

打造信息安全保障體系，并非朝夕之功。大型銀行作為受人們信賴的金融機構，應當做出表率、更有擔當，積極發揮示范作用，而不是頻頻以負面形象出現在公眾眼前。筆者認為，加強個人信息安全保護，銀行應當從源頭抓起，打造出一套嚴密完善的合規流程，并加大執行力度，確保各環節落實到位，同時要更加重視對從業人員的合規培訓，讓信息安全意識深入人心。