专家点评 | 网络安全法视角下的金融机构大数据战略构建

LCOUNCIL特邀点评专家

“

吴卫明  博士

上海锦天城律师事务所

高级合伙人

专家简介：

互联网金融自由评论人，新金融的研究与践行者，为新金融业者提供政策方向、法律的保障支持。经济法学硕士、产业经济学（电子商务与网络经济）博士。对互联网金融、资本市场、私募基金有深入研究。 

2016年被评为Legalband十佳互联网金融律师，现为上海市锦天城事务所高级合伙人，上海市律师协会互联网业务研究委员会副主任，多家知名法学院硕士研究生导师，多次应邀担任教育部大学生电子商务创新、创意、创业大赛总决赛阶段评委。

吴卫明律师一直专注于互联网金融、大数据及人工智能、股权投资与资本市场等法律领域。吴卫明律师立足于互联网及大数据行业，为众多的互联网机构及互联网金融机构提供法律服务。

”

网络安全法视角下

金融机构大数据战略构建

随着远程身份识别技术和大数据方法的逐步推广，金融机构的业务流程和业务链条已经逐步实现了全程数据化。

数据成为金融机构业务推广、风险防控、业务审核、客户识别、产品创新的基数，大数据战略成为金融机构的核心战略。大数据战略推行，意味着金融机构必须成为数据的采集者、加工者、运用者，但数据本身重要的来源是金融机构的客户或者其他渠道的用户，大数据战略绕不开的一个障碍是个人信息保护。

2017年6月1日生效的《网络安全法》，在网络安全支持与促进、网络运行安全、网络信息安全、检测预警与应急处置等方面进行了规范。特别是在个人信息保护方面进行了专门的规制，对信息获取的原则、方法、法律责任也进行了明确。事实上，个人信息保护在民法通则、刑法、全国人大的相关决定、最高院司法解释中也都有规定。网络安全法是对上述原则、规则的概括性规定，也是在法律上进一步强化个人信息保护的举措。

个人信息保护与金融机构大数据战略，是天然的一对矛盾，吴卫明博士认为，在网络安全法的大背景下，如何合理的收集、加工、使用个人信息，成为企业大数据战略构建过程中必须考虑的因素。

网络安全法

对个人信息保护的规定

对于公民个人信息保护，我国相关立法一直非常重视。除了民法通则及2017年即将生效的民法总则做了相应规定外，2012年全国人大常委会颁布的《全国人民代表大会常务委员会关于加强网络信息保护的决定》，也对此做了规定。该决定对于国家保护公民信息、网络服务提供者保护公民信息、信息的收集和使用规则、禁止泄漏和散布个人信息、禁止窃取和出售个人信息均做了较为详尽的规定。

2017年6月1日生效的《网络安全法》对于个人信息收集的原则、个人信息保护也做了详尽的规定。

信息收集的明示原则

《网络安全法》第22条规定： 网络产品、服务具有收集用户信息功能的，其提供者应当向用户明示并取得同意；涉及用户个人信息的，还应当遵守本法和有关法律、行政法规关于个人信息保护的规定。

信息收集的合法、正当原则

《网络安全法》第41条规定：网络运营者收集、使用个人信息，应当遵循合法、正当、必要的原则，公开收集、使用规则，明示收集、使用信息的目的、方式和范围，并经被收集者同意。

信息保密规则

《网络安全法》第40条规定：网络运营者应当对其收集的用户信息严格保密，并建立健全用户信息保护制度。42条规定：网络运营者不得泄露、篡改、毁损其收集的个人信息；未经被收集者同意，不得向他人提供个人信息。但是，经过处理无法识别特定个人且不能复原的除外。

上述个人信息保护的规则，从信息收集、使用、保存、转移均做了规定。用一句话归纳就是，网络运营者可以收集公民个人信息，但应在必要范围内，并且不能随意交给第三方使用。

大数据应用

中的信息保护问题

大数据的基础是信息的获取和加工、利用，但是这一过程必然涉及到对个人信息的获取。在实践操作中，常见的问题主要包括以下几个方面：

获取信息未明示告知用户

此类情况在手机应用程序中比较常见，比如部分手机应用程序，其默认功能设置为获取用户的地理信息，需要用户专门关闭后才停止信息的收集。此类应用将用户的地理信息作为提供用户需求分析以及改善服务体验的重要数据源， 在商业目的上具有一定的合理性，但却存在收集个人信息未经明示和获得用户同意的问题。

还有人脸识别过程中对用户面部特征信息的获取，也会存在获取用户人脸特征，但未能明确告知的情况。

可以说，明示告知，是网络运营者在获取用户信息过程中容易忽略的问题。

不同主体之间的信息混用问题

此种情况，容易发生在大型企业集团或金融集团内部。通常，金融企业会将收集到的用户信息作为自己的重要资产。而同一企业集团内部的不同主体所获取的用户信息通常具有互补性，在数据维度上也更为丰富，更有利于大数据模型的建立和分析。

于是，在同一集团内部，数据信息的混用也成为企业比较容易忽略的法律风险。此外，不同的企业主体之间，也存在着通过协议进行信息互换的情况。上述信息混用，如果没有取得用户事先同意，将会产生违法的风险。

数据来源的合法性问题

由于互联网上个人信息获取的便利性和传递的低成本，加之信息资源的边际成本递减特性，导致信息的获取者往往有将获得的信息再次转卖的动机，业内部分互联网运营者缺乏个人信息保护的意识。

对于金融行业而言，通常并不具有主动窃取或出卖用户信息的动机，但是，出于大数据征信和风控的需要，经常会选择从第三方买入个人信息。这一点，在上海市2016年打击倒卖个人信息犯罪的执法活动中，已经有所体现。如果第三方数据提供商在个人信息提供过程中，未获得用户授权，或者第三方数据本身是通过不当爬取、恶意获取、非法买入获得，则金融机构从第三方获取信息的行为，将会存在很大的法律合规风险。

数据跨境使用问题

对于跨国经营的金融机构而言，在中国境内获得用户个人信息，如果需要跨境使用，也会面临法律合规问题。对此，《网络安全法》规定了“关键信息基础设施的运营者”特殊的跨境数据使用和安全审查规则。国家网信办发布的《个人信息和重要数据出境安全评估办法》（征求意见稿）则将个人信息出境的适用范围扩展到所有的网络运营者。金融机构作为国际间投资、贸易的结算和支付中枢，也将受到数据跨境适用规则的影响。

金融机构

如何构建自己的大数据战略

对于《网络安全法》及其他个人信息保护的法律、法规、规章对金融机构的影响，吴卫明博士认为，金融机构首先应构建自身的大数据战略，以此进行应对，降低法律对自己的影响。大数据战略应从以下几个方面予以考虑：

对自身的网络主体地位作出明确界定

是否属于“关键信息基础设施的运营者”，这是网络者运营首先需要对自身作出的定位。按照《网络安全法》的规定，“关键信息基础设的运营者”除了需要承担普通网络运营者的法律责任外，在信息保护、内部合规、机构设置等方面还需要承担特殊责任。特别是在跨境信息传输和使用方面，需要承担更多的责任。

不同主体定位，机构的数据管理责任也不同，对于大数据利用的限制也会不同。因此，金融机构对自身的网络运营者地位作出界定，是大数据战略的前提。

数据分层战略

不同数据，有着不同的价值，数据泄漏或混用给用户、社会公共利益、国家安全造成的损害也是不同的。吴卫明博士认为，数据分层战略，是企业大数据战略的基础。

这要求金融机构在收集用户信息前，需要对数据的维度作出合理的分析，并且对数据设置不同的敏感度层级。经过数据分层处理，针对不同的合规需要与合规事项，企业可以有采取更具针对性的应对方法。

优化数据模型

从统计学意义上讲，数据维度的丰富，有利于数据模型的准确分析。但是，在商业应用中，也需要考虑因子的相关性，对于部分维度的数据，虽然具有相关性，但对于商业判断并不具有实质性价值，则可以在数据模型中大胆剔除。

按照个人信息保护的原则，过多的数据也会成为企业的负担，甚至带来不必要的法律风险。因此，数据模型优化也是金融企业大数据战略需要考虑的。

建立数据保护制度和完善数据保护规程

《网络安全法》在信息保护领域，既具有私法的特征，也带有公法特征。因此，网络安全法对于个人信息保护采用了公共责任立法的原则。即，如果网络运营者发生信息泄漏等安全事故，网络运营者需要承担相应的法律责任。这一点，与重大生产责任事故罪的立法思路是一致的。而网络运营者是否已经按照法律、法规、规章的要求建立了网络安全及个人信息保护制度、是否有完善的操作规程和完善的内部机构，就成为网络运营者在发生数据安全事故后能否免责或减轻法律责任的关键。

综上，金融机构作为重要的网络运营者，构建自身的大数据战略，是《网络安全法》环境下必不可少的基础工作。

LCOUNCIL推荐

新时代 新秩序——2017年互联网领域立法、执法与司法热点问题年度论坛

▌主办单位：

LCOUNCIL特别邀请到汇业律师事务所、方达律师事务所、锦天城律师事务所及垦丁律师事务所的四位资深律师，就互联网领域立法现状，结合2017年执法部门及司法监管部门的热议案件，并以互联网娱乐领域、金融科技领域、电子商务领域为例，解析2018年互联网领域立法及监管趋势，从实务角度为企业法务提供构建互联网领域合规体系的建议与对策。

▌精粹分享（一）兵临城下还是危言耸听——2017年网络安全与个人信息立法、执法与司法实践报告

▌精粹分享（二）月亮和泥巴——2017年互联网娱乐立法、执法与司法大事件回顾

▌精粹分享（三）合规与创新——2017金融科技领域立法、司法、执法前沿分享

▌精粹分享（四）天使和魔鬼并存的时代——2017年电子商务立法、执法与司法实践报告

点击阅读原文，即可预约报名！

LCOUNCIL精彩回顾

更多内容尽在小程序☞

何以琛  等      赵默笙      ☞7年

唐    晶  等      贺涵          ☞10年

孙悟空  等      唐僧          ☞500年

夜    华  等      白浅          ☞三生三世  

我    们  等     你成会员    ☞随时随刻

LCOUNCIL

LCOUNCIL成立于2010年，秉承“专业分享，价值创造”为平台500多家在华跨国企业及本土大型民营上市企业长期提供专业法律服务：

LCOUNCIL为平台会员企业提供19个专业领域的最佳实战经验分享

分别为：反垄断、合规与反腐败、兼并与收购、银行金融、食品药品政府监管、证券与资本市场、反不正当竞争、劳动法、合同法、公司法、争议解决、知识产权、海关与贸易合规、广告合规、消费者权益保护、房地产与建设工程、政府调查与刑事辩护、信息技术与电子商务和法务管理与技能。

LCOUNCIL现有16条产品线及服务形式

分别为：在线直播/视频直播、多功能网站、Synergy Group、Workshop、High Table Group、闭门会议、良师益友、企业走访、年度高峰论坛、法律咨询、内训定制、平台合作项目、《每月速递》、专题研究报告、社交活动、微信小程序。

LCOUNCIL期待您的加入

如您想了解LCOUNCIL更多资讯、报名参加活动或订阅LCOUNCIL《每月速递》，请点击官方网站链接（http://www.lcouncil.com）或与LCOUNCIL客服人员联系。

分享或评论 | 欢迎转发此文到您的朋友圈，并通过微信回复到LCOUNCIL微信公众账号，或联系我们即刻获得此互动安排。

关注 | 点击本文标题下方蓝色“LCOUNCIL”即可关注-微信号：LCOUNCIL2014