监管对侵害个人信息权益乱象“亮剑”，银行保险机构自查整改进入倒计时。

　　8月24日，上证报从业内人士处获悉，银保监会近日下发了《中国银保监会办公厅关于开展银行保险机构侵害个人信息权益乱象专项整治工作的通知》(下称“通知”)。目前已有多家银行、理财公司、保险公司收到通知。

　　今年以来，多家银行保险机构因违规收集使用个人信息、客户信息管理不善等问题被罚，罚单金额达数百万元。据悉，其侵害个人信息权益乱象大多集中在“个人信息收集”“个人信息存储和传输”“个人信息查询”“个人信息使用”“个人信息提供”“个人信息删除”“第三方合作”七大方面。

　　本次专项整治工作以银行保险机构自查为主，监管部门适时开展抽查和督导。有股份行人士透露，当前公司正在围绕上述侵害个人信息权益乱象七大方面开展自查，9月20日前需完成自查整改工作并呈交书面报告。

　　侵害个人信息权益频发

　　伴随银行保险机构数字化转型进程加快，个人金融信息被泄露、收集的情况层出不穷，成为了监管部门整治工作的重点。

　　近日，有消费者向上证报反映，“兴业银行App作为一款金融类手机应用，在使用时要监测用户的心率和步数”。据了解，如果消费者不想让兴业银行App访问相关数据，可以通过手动禁止该项授权。

　　上海市消保委称，虽然禁止访问并未影响兴业银行App的网络金融服务，但仍希望兴业银行能够明确、清晰地告诉广大消费者索取消费者健康状况与健身活动数据的目的，不然容易引发质疑。

　　兴业银行被“点名”之外，不乏机构收到罚单。今年7月，人民银行成都分行公布的行政处罚信息公示表显示，成都银行和农业银行四川省分行因违反信用信息安全管理、报送等相关规定，被警告并分别被罚款194.6万元和223.2万元。

　　这并非农业银行首次因信息安全问题被罚。今年年初，因违规使用个人金融信息等原因，农业银行崇左分行被罚1142.5万元。据悉，农行崇左江州支行因需完成银行账户开户增量指标任务，在未得到学生和学校同意、无相关开户文件的情况下为1400余名大学生违规开立Ⅱ、Ⅲ类账户。

　　农行崇左分行曾回应称，经核实，此事确系该行辖属江州支行营业室未与客户充分沟通，内部审核把关不严，不规范操作所致，该行将与学生联系后，销掉多开立的账户，并向相关学生致歉，同时对相关责任人进行严肃追责。

　　自查整改已进入倒计时

　　按照通知要求，各银行保险机构应于9月20日前完成自查整改工作并报送书面报告。截至目前，各机构自查整改时间只有一个月不到。

　　通知规定，各银行保险机构要全面摸排本机构自2021年以来与消费者个人信息处理活动相关的经营行为和管理情况，深入查找本机构个人信息保护方面存在的问题，列出问题清单，自查过程中要坚持立查立改。

　　个人金融信息，是指金融机构在开展业务、提供服务、接入中国人民银行征信系统、支付系统及其他系统时获取、保存、加工的个人信息，包括但不限于账户信息、鉴别信息、金融交易信息、个人身份信息、个人财产信息等，是个人隐私的重要部分。

　　对于整治发现的问题，银保监会要求银行保险机构要逐一建档，确保整改到位，问责到位。对违反银行业保险业规章制度的问题要依规处理，对不当操作行为要立即叫停或纠正，出现泄露个人信息等严重侵害消费者信息安全问题的，要问责到人；对涉及违法犯罪的问题，要移送司法机关惩处。

　　在此基础上，要建立长效机制。通知要求，各银行保险机构要深入剖析本次专项整治发现的问题，查找问题根源，问题原因在下级机构的，要压实分支机构责任，不折不扣完成整改，问题根源在总部的，要及时调整和优化相关工作机制，强化制度约束和责任落实，推进根源性整改。

　　金融机构应筑牢“保护墙”

　　专项整治背景下，银行保险机构在运用数据进行商业模式等创新的同时，进一步强化数据管理和个人信息保护的内控和合规已势在必行。

　　银保监会表示，各级监管部门要结合本次专项整治发现的问题，督促银行保险机构建立健全个人信息保护制度机制，完善业务规则和操作流程，规范个人信息处理和管理行为，全面提升消费者个人信息保护工作水平。

　　“整改提升至关重要，机构应落实数据获取方式合法，严格把控数据使用、存储和对外提供；机构要提高合规意识，增强数据安全意识和文化，将数据安全责任落实到每项工作中。”中欧国际工商学院经济学与决策科学教授方跃表示。

　　上证报在采访中获悉，多家银行保险机构正不断“加码”个人信息权益保护。“我们主要从管理侧、人员能力侧、技术侧三个方面建立个人信息保护解决方案，会参照国家相关法律，以及有关部门发布的相关执行标准进行App合规检测和隐私合规检测。”众安保险旗下的众安科技相关负责人表示。

　　涉及敏感个人信息较多，对大型保险集团的综合经营模式提出了挑战。方跃建议，机构可以制定数据保护流程，将数据保护的要求嵌入日常经营和重点；同时加强员工培训，加强员工的数据保护意识；定期进行技术升级，确保数据安全保护措施符合国家或行业标准。

（文章来源：上海证券报）