银保监会发布《银行保险机构消费者权益保护管理办法（征求意见稿）》，信息安全权受关注

5月19日，银保监会发布《银行保险机构消费者权益保护管理办法（征求意见稿）》（以下简称《管理办法》），向社会公开征求意见，意见反馈截止时间为2022年6月19日。《管理办法》共8章，56条。

图片来源：中国银行保险监督管理委员会

《管理办法》第二章第十二条要求，银行保险机构应当建立消费者个人信息保护机制，完善内部管理制度、分级授权审批和内部控制措施，对消费者个人信息实施全流程分级分类管控。

消费者权益保护考核应纳入银行保险机构综合绩效考核体系，权重占比原则上不低于总分值的5%。

银行保险机构应结合实际，融合线上线下，探索简便易行、符合特定人群金融需求的服务模式，积极提供便民化、品质化的服务。

《管理办法》第六章总计7条特别强调保护消费者信息安全权。

银行保险机构处理消费者个人信息，应当坚持“合法、正当、必要”原则，切实保护消费者信息安全权。

银行保险机构收集消费者个人信息应当向消费者告知收集、使用的目的、方式和范围等规则，并经消费者明示同意。消费者不同意的，机构不得因此拒绝提供不依赖于其所拒绝授权信息的金融产品或服务，不得采取变相强制、违规购买等不正当方式收集消费者个人信息。

银行保险机构应在消费者授权同意的基础上与合作方处理消费者信息，与合作机构的协议中应约定数据保护责任、保密义务、监督、处罚、合同终止和突发情况下的应急处置条款。 

合作过程中，应通过加密传输线路、安全隔离、数据加密、权限管控、监测报警等方式，严格控制合作方行为与权限，开展数据分析等方面合作应使用脱敏后的数据，防范数据滥用或泄露风险。

银行保险机构应督促和规范与其合作的互联网平台企业有效保护消费者个人信息，未经消费者授权同意，不得在不同平台间传递消费者个人信息。不得利用痕迹数据对消费者开展未经授权的营销活动。

银行保险机构处理和使用个人信息的业务或信息系统,遵循权责对应、最小必要原则设置访问、操作权限,落实授权审批流程，实现异常操作行为的有效监控和干预。 

银行保险机构应加强从业人员行为管理，禁止违规查询、复制、下载、储存消费者个人信息，不得超出自身职责和权限非法处理和使用。

以下为涉及消费者个人信息保护的部分章节：

银行保险机构消费者权益保护管理办法（征求意见稿）

第二章 工作机制与管理要求

第十二条 【个人信息保护机制】银行保险机构应当建立消费者个人信息保护机制，完善内部管理制度、分级授权审批和内部控制措施，对消费者个人信息实施全流程分级分类管控。

第六章 保护消费者信息安全权

第四十一条 【原则】银行保险机构处理消费者个人信息，应当坚持“合法、正当、必要”原则，切实保护消费者信息安全权。

第四十二条 【收集】银行保险机构收集消费者个人信息应当向消费者告知收集、使用的目的、方式和范围等规则，并经消费者明示同意。消费者不同意的，机构不得因此拒绝提供不依赖于其所拒绝授权信息的金融产品或服务，不得采取变相强制、违规购买等不正当方式收集消费者个人信息。

第四十三条 【格式条款】对于使用格式条款取得个人信息授权的，银行保险机构应当在格式条款中明确收集、使用和对外提供的范围和具体情形，并在协议的醒目位置明示与消费者存在重大利害关系的内容。

第四十四条 【外部合作】银行保险机构应在消费者授权同意的基础上与合作方处理消费者信息，与合作机构的协议中应约定数据保护责任、保密义务、监督、处罚、合同终止和突发情况下的应急处置条款。

合作过程中，应通过加密传输线路、安全隔离、数据加密、权限管控、监测报警等方式，严格控制合作方行为与权限，开展数据分析等方面合作应使用脱敏后的数据，防范数据滥用或泄露风险。

第四十五条 【互联网平台】银行保险机构应督促和规范与其合作的互联网平台企业有效保护消费者个人信息，未经消费者授权同意，不得在不同平台间传递消费者个人信息。不得利用痕迹数据对消费者开展未经授权的营销活动。

第四十六条 【系统控制】银行保险机构处理和使用个人信息的业务或信息系统,遵循权责对应、最小必要原则设置访问、操作权限,落实授权审批流程，实现异常操作行为的有效监控和干预。

第四十七条 【行为管理】银行保险机构应加强从业人员行为管理，禁止违规查询、复制、下载、储存消费者个人信息，不得超出自身职责和权限非法处理和使用。

点击“阅读原文”下载《管理办法》全文

来源：中国银行保险监督管理委员会

END往期推荐: