2026年金融机构客户信息保护制度.docxVIP

2026年金融机构客户信息保护制度

本制度依据《中华人民共和国个人信息保护法》《中华人民共和国数据安全法》《中华人民共和国网络安全法》《中华人民共和国金融稳定法》及2025年修订的《金融数据安全数据生命周期安全规范》《金融数据安全分级指南》制定，自2026年1月1日起施行，适用于中华人民共和国境内依法设立的所有金融机构及相关服务主体，具体涵盖政策性银行、开发性银行、商业银行、农村合作银行、农村信用合作社、村镇银行等银行业金融机构，证券公司、期货公司、基金管理公司、公募基金销售机构等证券期货业金融机构，保险公司、保险资产管理公司、保险中介机构等保险业金融机构，信托公司、金融资产管理公司、企业集团财务公司、金融租赁公司、消费金融公司、汽车金融公司、货币经纪公司、支付机构、金融控股公司及其下属开展金融业务的子公司，境外金融机构在境内设立的经营实体、开展跨境金融服务的境内外主体，以及为上述金融机构提供信息技术服务、风控外包服务、营销服务、客户服务等第三方合作机构。

一、基本原则

第一，合法正当最小必要原则。金融机构收集、存储、使用、传输、共享客户信息必须符合法律法规规定，具备明确、合理的业务场景关联，不得收集与业务办理无关的客户信息，不得过度索取权限、强制要求客户授予一揽子授权，不得采用变相强迫、诱导等方式获取客户同意。金融机构需对每一项信息收集行为的必要性开展前置评估，评估报告留存期限