【金融街論壇】字節跳動丁道勤：個人金融信息數據規范伴隨金融科技技術進步

新華財經北京10月22日電 “個人金融信息是個人信息在金融領域的拓展和延伸。”10月21日，北京字節跳動科技有限公司互聯網法律研究中心主任丁道勤在2021年金融街論壇年會——“數字經濟與金融科技”分論壇上如此表示。丁道勤稱，個人金融信息可歸為三大類：金融賬務信息；個人金融活動信息，包括交易及相應活動；個人金融分析挖掘出的信息內容。

丁道勤表示，個人金融信息數據的挖掘對銀行、金融決策服務是非常好的支撐，因為金融核心是風控，風控是以數據為導向，大數據應用水平成為企業競爭力的核心要素，數據挖掘會涉及到數據庫的數據提取、數據預處理、數據知識提取、知識評估，前兩個遵守相應個人信息保護的情況。

在個人信息的搜集環節，丁道勤舉例稱，如大家熟知的人臉識別技術在金融領域廣泛應用，比如身份驗證、刷臉支付等作為生物識別信息也需有嚴格的規范，特別是在人臉深度偽造會造成相應財產損害的情況下，顯示出收集環節應該要遵守更加嚴格的要求。

丁道勤稱，個人信息共享也涉及到金融科技的發展，數據只有安全流動起來才有相應的價值，也避免數據孤島和壟斷的情況，這個過程中也要遵守數據共享和委托要求。

以下為丁道勤講話核心內容：

各位領導、專家：

大家下午好！

非常榮幸來參加這個論壇，我今天想匯報一下我個人金融信息保護的思考。以下僅代表個人觀點。

我今天匯報有以下三方面內容。一是監管現狀。二是個人金融信息監管的主要制度。三是個人對金融信息監管的粗淺建議與思考。

第一，為提升交易效率，金融交易中很多情況涉及金融科技。第二，處理不當時，金融科技是否會存在濫用情形。第三，信息泄露，特別是在數據挖掘過程中可能會產生侵犯隱私權的情況，另外，一些傳統金融機構在信息化轉移過程中也會遇到相應的難題。

我梳理一下金融專門的法規體系，主要包括以下幾個方面：

第一，個人金融信息分類分級。包括個人金融信息有哪些內容、有什么內涵和外延。

第二，收集各方面同意的規則。

第三，金融信息的共享和委托。一般針對大數據的挖掘利用和金融信息的跨境流動。

第四，個人金融信息分類分級。

歐盟GDPR對個人金融信息的定義并沒有像中國《個人信息保護法》那樣列示，敏感類信息是作為特殊信息進行總體保護，它的規范更加嚴格。在美國金融服務類現代法案沒有對金融消費者非公開個人信息的NPI規定有一個明確的界定。而在我國的兩部法律中，個人信息保護法直接將金融賬戶信息列入敏感信息。另外，個人金融信息是作為重要數據來保護的，甚至還有涉及到國家的核心數據，這會遵守一系列的數據安全保護要求。

總體而言，我認為個人金融信息是個人信息在金融領域的拓展和延伸。歸類來看，包括三大類：第一是金融賬務信息；第二是個人金融活動信息，包括交易還有相應的活動；第三是個人金融分析挖掘的信息內容。

收集同意規則上，《個人信息保護法》是以知情同意原則加上處理者為中心的監管體系，把它列入金融賬戶信息、列入敏感信息，要遵守一系列敏感信息的監管方案要求，比如說你要符合特定的目的和必要性，要采取嚴格的措施，還要取得個人同意，并且向個人告知處理的必要性以及對權益的影響。另外，我們可以看到在個人金融信息不光是知情同意，知情同意還有一些例外的情形，訂立合同、人力資源管理、履行法律義務以及緊急情況下的財產安全、合理范圍的監督等。

另外，個人公開的信息處理。在個人金融信息的搜集環節，如大家熟知的人臉識別技術在金融領域廣泛應用，比如身份驗證、刷臉支付，它作為生物識別信息也需有嚴格的規范，特別是在人臉深度偽造也會造成相應財產損害，這是收集環節應該要遵守更加嚴格的要求。

第二，個人金融信息共享、委托的情況，前不久范行長談到在數據共享要求堅持最小必要和專事專用的原則，而且是在保障原始數據不出域的前提下來規范開展數據共享。另外一個要建立全生命周期保護來進行匿名查詢，去標識化。

17號文通過外包開展業務，要進行充分審查來評估外包供應商的能力。在共享過程中，也涉及到金融科技的發展，數據只有流動起來，在安全流動起來才有相應的價值，也避免數據孤島和壟斷的情況，我們看到企業在很多情況下也在開放NPI接口和SDK的情況進行數據互連，這個過程中也要遵守數據共享和委托的要求。

下一個，在很多情況下特別是在隨著金融科技技術的發展，個人金融信息數據的挖掘，實際上在很多對銀行、金融決策服務是非常好的支撐，因為金融核心是風控，風控是以數據為導向，大數據應用水平是成為企業競爭力的核心要素，數據挖掘會涉及到數據庫的數據提取、數據預處理、數據知識提取、知識評估，前兩個遵守相應個人信息保護的情況，后面做了一個信息匿名化包括加密無污染環境，自由人可以在法律規則條件下進行瀏覽出來，也要按照法律規定向消費者說明他處理的情況，滿足法律監管要求。

個人金融信息的技術規范，對匯集、聚合數據，在原有處理范圍之下做一些相應的要求，聚合形成的信息如果可以識別出個人，還要再取得個人民事的同意，根據使用目的還要進行安全評估，這是對聚合信息進行挖掘在此使用的要求。

最后談一下完善個人金融信息保護個人的思考。金融行業是信息導向非常明確的行業，建議在采取綜合基本法在行業專門立法的基礎上出臺，做一個專門規章，形成一個立體性的保護體系。第二，要采取個人金融信息結果導向和全程可追溯的情況。還有一個很重要的一點，金融從業主體不光是金融機構，應該符合強化自覺的合規意識，要符合和目的性、受限性的收集以及風險評估管理，做好全鏈條內控制度。最后金融消費者，要提高自己的保護意識，充分了解相應的權利內容，在監管機構包括金融機構教育培訓基礎之上來提高自己的防范意識。