關于金融外包業務侵害個人金融信息隱私權的思考

一、概念與現狀

（一）金融隱私權的概義

金融隱私權是指個人享有的金融信息所不受他人非法侵擾、收集、知悉、利用和公開的一種權利。金融信息是金融機構在業務活動中知悉和掌握的，包括個人的身份、金融資產狀況和交易情況等所有信息和資料，主要指賬務信息（如銀行賬戶、存貸款數額、密碼等）、信用信息（如透支記錄、持卡數量等）、投資信息（如證券賬戶資產構成）、保險信息等，這些信息直接反映出金融消費者個人資產狀況、信用狀況和其他信息，對消費者個人來講，都屬于個人隱私敏感的信息，信息持有者對其信用信息及利益享有絕對的控制權和支配權。主要包括三種權能：一是支配權能，即信息持有者有自由支配個人信用信息的權利，自主決定是否允許第三人知悉和利用。二是隱瞞權能，即信息持有者有權隱瞞其個人金融信用信息的權利，自主決定其個人相關信息是否為他人所知悉。三是救濟權能，即當金融消費者個人信用信息造到不當泄露或侵害時，信息持有者有權尋求司法救濟，保障其合法權益的權利。

（二）金融外包業務的發展現狀

近年來，隨著金融業對外開放的深化，金融業競爭日益劇烈，帶來了金融外包業務的蓬勃發展，金融業務外包逐漸向更廣泛的業務領域滲透，涵蓋范圍也越來越廣，服務手段也越來越先進。金融外包業務主要包括三類：即信息技術外包（ITO）、業務流程外包（BPO）和知識流程外包（KPO）。金融外包業務內容主要是外包銀行信息系統，通過承包商提供服務，使銀行節約了人力成本，提高了市場競爭力。

二、危害類型

（一）信息技術外包對個人金融信息隱私權的危害

近年來，金融業務逐漸變為信息管理業務，從客戶需求、競爭壓力、以及成本效益考慮，金融機構越來越多地增加對IT系統的投入，服務提供商向金融機構提供的信息系統安全漏洞也逐漸加大，這給利用互聯網竊取別人隱私的黑客提供了溫床，容易造成客戶個人信息的泄漏、丟失、損壞，帶來諸如冒名辦卡透支欠款、辦理假證竊取錢款等違法行為的發生，這些都嚴重侵害了客戶的個人金融信息隱私權，甚至還會導致信譽風險和法律風險，使金融機構及消費者蒙受巨大的經濟損失。

（二）業務流程外包對個人金融信息隱私權的危害

在外包過程中，因工作需要，商業銀行在向承包商透露有關銀行的信息和數據的同時，一定程度上給商業銀行的信息安全也帶來隱患，特別是對數據處理、信息錄入一類的流程外包，客戶信息會以載體的形式在承包商方面保留一段時間，產生在銀行外被竊取的可能。以銀行催收業務外包為例，金融機構往往事先沒有向客戶提供催收服務商的相關信息，以及催收業務的開展方法、過程和作用，使得客戶無法預期自身財產信息和信用信息的流向，在某種程度上影響其享有完整的金融信息隱私權，這些行為直接侵犯了客戶的金融信息隱私權。

（三）知識流程外包對個人金融信息隱私權的危害

知識流程外包主要傾向于信息集成，包括一定程度上的判斷、解釋、決策和結論，對知識流程外包提供商來說，專業人士是極度缺乏的，而有些承包商員工為了獲得更高的收入，會頻繁更換工作，加之沒有持久的組織忠誠度、信譽度、保密等培訓，容易造成其違背心理契約和職業道德的現象，從而成為泄漏客戶信息，侵犯客戶個人金融信息隱私權的高發人群。

三、原因分析

（一）消費者個人金融信息管理機制不健全

金融機構擁有大量消費者個人金融信息第一手數據，且對這些數據有著支配權能，作為金融業務外包的發起者，在外包業務時，勢必將部分數據信息交給承包商，但大部分金融機構未將個人金融信息泄漏作為一種業務風險來防范，對個人金融信息保護的意識較為薄弱，沒有建立起完備的消費者個人信息采集、使用、傳遞、保存、銷毀等環節保護機制，使得金融消費者信息在金融機構各環節隨時都有遭到非法泄露的風險。

（二）信息監管與保護機制不健全

一是個人金融信息保護法律不完善、行政法律責任缺失。伴隨我國金融外包業務的快速發展，相關金融消費者權益保護的法律法規建設沒有同步跟進，只能參考現有的《消費者權益保護法》、《關于加強金融消費權益保護工作的指導意見》等，法律法規沒有明確界定金融業務屬性并對其進行規范管理，對于金融業務外包過程中出現的侵犯個人金融信息隱私權的行為，沒有規定直接適用的罰則，難以實現對消費者權益的最大化保護。

二是對個人金融信息保護工作監管不到位?，F有監管制度零散且可操作性不強，無法覆蓋各類金融業務，也不能全面規范個人信息采集、使用、保管的全過程，并且一直沒有明確監管責任，加大了互聯網金融機構侵害消費者權益的可能性。

三是個人金融信息隱私權救濟制度不完善。部分金融消費者在個人金融信息遭到非法泄露、個人隱私權受到侵犯時，不了解或不清楚投訴咨詢渠道，不能及時得到有效的法律救濟，甚至造成無法彌補的經濟損失。

（三）個人金融信息衍生的商業價值驅使非法獲取

個別商業機構或個人在利益驅使下，采取各種手段獲取他人金融信息，部分承擔商自身對消費者數據信息保密技術不到位，“黑客”攻擊手段花樣翻新，加之部分承擔金融外包業務的企業信用度低，利用職務便利將從金融機構獲取的個人信息賣給商業機構，致使個人金融信息被非法盜取或篡改。

（四）金融消費者自身保護意識不強

金融消費者是個人金融信息的持有者，也是個人金融信息產生的源頭，一方面，我國金融機構客戶金融素質參差不齊，部分金融消費者金融知識缺乏，對個人金融信息的保管使用不妥當，對個人金融信息泄露的途徑及泄露后果不甚了解，在不同程度上存在辦理業務時泄露個人金融信息的現象；另一方面，隨著互聯網金融的發展，越來越多的消費者選擇互聯網交易，但互聯網知識沒有跟上，不清楚相應的維權措施，也滋生了個人金融信息隱私權的遭到危害的土壤。

四、對策建議

（一）建立客戶信息全過程保護機制

1.金融機構應當在事前對外包服務提供商的技術能力及內控管理進行有效性評估。重點考察外包業務的技術能力，是否具備客戶信息安全保護措施資質，考察關鍵人員的業務能力和職業道德，考察服務處理失敗或業務系統遭黑客入侵等偶發事件的應對能力，擇優選擇業務能力強、信譽好的服務提供商。

2.金融機構應根據風險評估結果與金融外包服務提供商簽訂法律外包合同。合同中應明確安全性與機密性要求，明確與個人隱私權保護方面的法律條款、補救措施以及責任追究，防止未經授權的泄露和使用，給金融消費者以契約保障。

3.加強外包合同簽訂后對服務提供商的持續監督。加強對服務商業務能力、服務級別、財務狀況，以及關鍵人員變動備案情況的監督檢查，及時發現問題，堵塞露洞，減少風險，對客戶信息保護不力的機構及時終止合作。

（二）強化金融外包業務監管

1.建立金融服務商資格審查和信用評級制度。通過綜合財務資信狀況、管理成熟度、技術能力、資源規模、行業的熟悉程度及創新能力等方面進行綜合評估，界定服務商是否具備市場準入資格。

2.明確金融機構業務外包范圍。針對不同的業務、不同的外包服務供應商，應采取不同的監管程序，對于外包規定之外的服務項目實行審批制度，執行監管機構審查與批準程序。

3.加強外包業務持續監管和系統性風險監管。在外包合同中制定相關條款，確保監管時可隨時獲取資料，對于承擔多家金融機構將業務外包給的供應商，對于可能形成的系統性風險，除了監管之外，還應做出必要限制和約束。

（三）細化金融信息隱私權保護機制

金融機構在與客戶建立關系時以及永續期間，明確金融機構告知義務，必須以一定方式告知其掌握的客戶信息的范圍和用途；明確客戶的選擇權，客戶有權選擇或拒絕向非關聯第三方共享其個人信息公開的權利，規定外包服務機構披露非公開個人信息的具體政策和程序；明確金融機構違約賠償責任，事先告知當隱私權收到侵犯時，可以通過司法救濟途徑向金融機構或承包商追溯賠償。同時，加強對金融消費者權益保護知識教育，提高風險識別能力和依法維權意識，廣泛宣傳例如“12363”金融消費權益保護咨詢投訴電話等渠道，便于金融消費者及時維權。

（四）增強個人金融信息隱私權保護宣傳

消費者在辦理金融業務時要樹立風險防范意識，明確金融機構收集個人信息的依據和用途，填寫個人信息查詢使用等授權時，應明確授權范圍，個人信息發生變更時，及時到金融機構辦理相關變更手續，以便受理銀行更改相關交易信息，同時，消費者要妥善保管個人相關金融信息，知悉隱私權范圍，發現問題及時申請救濟，最大限度減少損失，從源頭上減少個人金融信息隱私權受到侵害。

作者簡介：王芳（1974-），女，陜西商南人，本科，經濟師，現供職于中國人民銀行商洛市中心支行。