个人金融信息漫游指南：《个人金融信息保护技术规范》解读

个人金融信息漫游指南：《个人金融信息保护技术规范》解读 – 作者:acstar

虽然个人信息在我国《民法典（草案）》中被放置于“人格权编”部分，通常会认为个人信息是一类具有财产属性的人格权，会体现一定的经济利益。而在各类个人信息中，个人金融信息无疑是最具财产属性的个人信息之一。通常个人信息泄露，不一定能直接造成经济损失，但个人金融信息一旦泄露会直接给个人信息主体带来巨大的经济伤害，具有更高的敏感性。

2020年2月13日，中国人民银行发布《个人金融信息保护技术规范》（JR/T 0171-2020），为个人金融信息保护打上补丁。虽然《个人金融信息保护技术规范》只是行业推荐性标准，但预期仍会在金融执法、合规过程中起到关键作用。所有提供金融产品与金融服务的机构，在“接触”个人信息时，都需要以《个人金融信息保护技术规范》为“漫游指南”。

一、概念们

二、体系

仔细研读《个人金融信息保护技术规范》的体例，可以归纳出个人金融信息合规的基本框架：

金融机构开展个人信息保护，是一个体系，不止局限于《个人金融信息保护技术规范》。比如《网络安全法》中的等级保护制度，就是金融机构收集、处理个人信息网络的基本要件。《中国人民银行金融消费者权益保护实施办法》也仍然有效，而且是部门规章，具备比行业标准更高的层级。要求金融机构至少每半年排查一次个人金融信息安全隐患；并且明确金融机构保护消费者个人金融信息安全的义务不因其与外包服务供应商合作而转移、减免。

在体系上，数据跨境也是一个敏感的问题。金融机构一旦被认定为关键信息基础设施，则需要在《网络安全法》承担数据本地化与跨境安全评估的义务，但这两项制度至今仍处于迷雾之中……再加上《中国人民银行金融消费者权益保护实施办法》与《个人金融信息保护技术规范》，这迷雾更加浓厚：

除此以外，信息屏蔽是《个人金融信息保护规范》中的关键技术措施，以降低个人金融信息的法律风险。虽然《个人金融信息保护规范》的附录列举了部分的信息屏蔽措施，但屏蔽措施的落实更需要参考《信息安全规范个人信息去标识化指南》（GB/T 37964-2019），选取合适的技术与模型保护个人信息。