鑽石舞台

在展開個人金融信息保護工作之前，首先需要明確何為個人金融信息。根據個金技術規範第3.2條，「個人金融信息」是指「金融業機構[2]通過提供金融產品和服務或者其他渠道獲取、加工和保存的個人信息」，具體包括賬戶信息、鑑別信息、金融交易信息、個人身份信息、財產信息、借貸信息及其他反映特定個人某些情況的信息。據此，個人金融信息不等同於個保法所提及的金融賬戶信息，個人金融信息範圍顯然要更加廣泛。另外，根據個保法第28條敏感個人信息的定義及示例[3]，個人金融信息也並不完全落入敏感個人信息的範疇，而需結合相關信息泄露的影響做綜合判斷。

金融業機構進行個人金融信息資產梳理的核心是建立完善的、動態可調的分類分級體系。個人金融信息的分類規則較為明確，參考個金技術規範，金融業機構可以從「賬戶信息、鑑別信息、金融交易信息、個人身份信息、財產信息、借貸信息及其他信息」將個人金融信息粗分為7大子類，再進一步根據自身組織經營情況向下細分。在明確個人金融信息的分類後，金融業機構應當搭建個人金融信息的分級框架。依據信息遭到未經授權的查看或未經授權的變更後所產生的影響和危害，個金技術規範將個人金融信息按敏感程度從高到低分為為C3、C2、C1三個等級，並示例了具體的個人金融信息等級供參考（如下表1所示）：

點擊可查看大圖

我們理解，上述分級標準有助於釐清個人金融信息與個保法下的敏感個人信息的關係：首先，個金技術規範對於C2、C3等級信息的描述與個保法下個人敏感信息「一旦泄露或者非法使用，容易導致自然人的財產安全受到危害的個人信息」的屬性基本一致，因此，宜將C2、C3級信息歸入敏感個人信息，提高其保護合規標準，在處理此類信息時還需要注意遵循單獨同意、進行個人信息保護影響評估等特殊處理規則。其次，對於C1級信息，由於其一旦遭到未經授權的查看或未經授權的變更，可能會對個人金融信息主體的信息安全與財產安全造成一定影響，但這種影響是否達到個保法上侵害自然人的人格或危害人身、財產安全的程度從而構成個人敏感信息，則需結合具體場景下判定。

最後，金融業機構在進行個人金融信息資產梳理和等級判定時還應當注意：

從收集、傳輸、存儲、使用再到刪除和銷毀，個人金融信息的生命周期的各環節設置與個保法、《金融數據安全 數據生命周期安全規範》等規定基本一致。基於不同的個人金融信息級別，個金技術規範提供了相應的技術和管理要求的參考，金融業機構可以參照相關要求，設計並實施覆蓋個人金融信息全生命周期的安全保護策略。篇幅所限，我們僅在下表2中歸納了主要環節中的典型合規義務：

點擊可查看大圖

此外，個金技術規範還特別關注支付敏感信息，並在部分環節中針對性地設置了特殊合規義務。根據個金技術規範，「支付敏感信息」是指「支付信息中涉及支付主體隱私和身份識別的重要信息，具體包括銀行卡磁道數據（或芯片等效信息）、卡片驗證碼（CVN 和CVN2）、卡片有效期、銀行卡密碼、網絡支付交易密碼等用於支付鑒權的個人金融信息。」由於其敏感性，支付敏感信息一般屬於C3級別的個人金融信息，因此，除適用上述C3級別信息處理的一般合規要求外，處理支付敏感信息時還需履行以下的特殊合規義務：

表格3 C3級中支付敏感信息的特殊合規義務

點擊可查看大圖

數字化時代，金融業機構全面提高個人金融信息的保護能力不僅僅是更嚴監管態勢下的必然要求，更是實現數字化金融轉型的關鍵之處。金融業機構應當以網絡數據安全及個人信息保護等法律為根基，以行業主管部門的相關規定為枝幹，以國家標準為葉，落實個人金融信息的分類分級，並建立涵蓋個人金融信息收集、傳輸、存儲、使用、刪除、銷毀等各個環節的全生命周期的內控合規制度。