银行个人金融信息保护管理规定.docxVIP

银行个人金融信息保护管理规定

第一章总则

第一条目的与依据

为加强银行个人金融信息保护管理，规范个人金融信息的收集、使用、存储、传输、共享、删除等行为，保护金融消费者合法权益，维护金融市场稳定，根据《中华人民共和国网络安全法》《中华人民共和国消费者权益保护法》《个人信息保护法》以及相关金融监管规定，制定本规定。

第二条适用范围

本规定适用于在中华人民共和国境内依法设立的商业银行、农村信用合作社、村镇银行等吸收公众存款的金融机构以及政策性银行（以下统称“银行”）对个人金融信息的保护管理。

第三条定义

本规定所称个人金融信息，是指银行在开展业务过程中收集的个人身份信息、财产信息、账户信息、信用信息、金融交易信息以及其他与特定个人相关的、能够单独或与其他信息结合识别特定个人的信息。具体包括但不限于姓名、性别、出生日期、身份证件号码、联系方式、收入状况、银行账户号码、交易记录、信用卡透支信息、贷款信息等。

第四条基本原则

银行处理个人金融信息应当遵循合法、正当、必要、诚信原则，不得通过误导、欺诈、胁迫等方式处理个人金融信息；应当遵循最小必要原则，限于实现处理目的的最小范围，不得过度收集个人金融信息；应当遵循公开透明原则，公开个人金融信息处理规则，明示处理的目的、方式和范围；应当遵循质量原则，保证个人金融信息的准确性和完整性，避免因个人金融信息不准确、不完整对个人权益造成不利影响；应当遵循安全保密原则，采取必要措施确保个人金融信息的安全，防止信息泄露、篡改、丢失。

第二章个人金融信息收集管理

第五条收集规则

1.银行收集个人金融信息应当具有明确、合理的目的，并应当在收集前向个人告知收集、使用个人金融信息的目的、方式和范围等规则。告知内容应当真实、准确、完整，以显著方式、清晰易懂的语言进行表述。

2.银行不得收集与业务无关的个人金融信息，不得采取不正当方式收集个人金融信息。收集个人金融信息应当获得个人的明确同意，法律、行政法规另有规定的除外。

3.对于个人敏感金融信息，如个人生物识别信息、个人健康金融信息等，银行应当取得个人的单独同意，并向个人告知处理敏感个人金融信息的必要性以及对个人权益的影响。

第六条授权管理

1.银行应当建立健全个人金融信息收集授权管理制度，明确授权的流程和要求。授权书应当明确授权的范围、期限、用途等内容。

2.银行在收集个人金融信息时，应当核实授权的真实性和有效性。对于通过第三方机构收集个人金融信息的，应当与第三方机构签订书面协议，明确双方在个人金融信息收集、使用、保护等方面的权利和义务。

第七条收集方式

1.银行通过线上渠道收集个人金融信息的，应当在网站、手机应用程序等界面设置明显的信息收集提示，确保个人能够清楚了解信息收集的情况。同时，应当采用安全可靠的技术手段，保障信息收集过程的安全性。

2.银行通过线下渠道收集个人金融信息的，应当在营业场所显著位置公示信息收集规则，并由工作人员向个人进行详细说明。在收集过程中，应当确保信息收集设备的安全性，防止信息泄露。

第三章个人金融信息使用管理

第八条使用目的限制

1.银行使用个人金融信息应当限于实现收集目的的范围，不得超出约定的目的使用个人金融信息。如需变更使用目的，应当再次取得个人的同意。

2.银行不得将个人金融信息用于营销、对外提供等其他非收集目的的用途，法律、行政法规另有规定或取得个人单独同意的除外。

第九条使用方式规范

1.银行在使用个人金融信息时，应当采取必要的技术和管理措施，确保信息的使用符合安全要求。对于涉及个人敏感金融信息的使用，应当进行严格的审批和监控。

2.银行使用个人金融信息进行数据分析、建模等活动时，应当对数据进行脱敏处理，确保个人身份信息不被泄露。

第十条内部使用授权

1.银行应当建立个人金融信息内部使用授权制度，明确不同岗位、不同层级员工对个人金融信息的使用权限。员工应当在授权范围内使用个人金融信息，不得越权使用。

2.银行应当对员工使用个人金融信息的情况进行监督和审计，发现违规使用行为应当及时进行处理。

第四章个人金融信息存储管理

第十一条存储设施要求

1.银行应当建立安全可靠的个人金融信息存储设施，包括数据中心、服务器等。存储设施应当具备防火、防盗、防潮、防雷、防电磁干扰等物理安全防护措施。

2.银行应当采用加密技术对个人金融信息进行存储，确保信息在存储过程中的保密性和完整性。对于重要的个人金融信息，应当采用多重加密方式进行存储。

第十二条存储期限规定

1.银行应当根据业务需要和法律法规的要求，合理确定个人金融信息的存储期限。存储期限应当与处理目的相适应，处理目的实现后，应当及时删除个人金融信息。

2.对于超过存储期限的个人金融信息，银行应当按照规定的程序进行删除或匿名化