金融标准 为民利企 | 个人金融信息保护技术规范

基本原则

内容概括

适用机构

指账户及账户相关信息，包括但不限于支付账号、银行卡磁道数据（或芯片等有效信息）、银行卡有效期、证券账户、保险账户、账户开立时间、开户机构、账户余额以及基于上述信息产生的支付标记信息等。

指用于验证主体是否具有访问或使用权限的信息，包括但不限于银行卡密码、预付卡支付密码；个人金融信息主体登录密码、账户查询密码、交易密码；卡片验证码（CVN和CVN2）、动态口令、短信验证码、密码提示问题答案等。

指个人金融信息主体在交易过程中产生的各类信息，包括但不限于交易金额、支付记录、透支记录、交易日志、交易凭证；证券委托、成交、持仓信息；保单信息、理赔信息等。

个人基本信息包括但不限于客户法定名称、性别、国际、民族、职业、婚姻状况、家庭状况、收入情况、身份证和护照等证件类信息、手机号码、固定电话号码、电子邮箱、工作及家庭住址以及在提供产品和服务过程中收集的照片、音视频等信息。

个人生物识别信息包括但不限于指纹、人脸、虹膜、耳纹、掌纹、静脉、声纹、眼纹、步态、笔迹等生物特征样本数据、特征值与模板。

指金融业机构在提供金融产品和服务过程中，收集或生成的个人金融信息主体财产信息，包括但不限于个人收入状况、拥有的不动产状况、拥有的车辆状况、纳税额、公积金存缴金额等。

指个人金融信息主体在金融业机构发生借贷业务产生的信息，包括但不限于授信、信用卡和贷款的发放及还款、担保情况等。

指对原始数据进行处理、分析形成的，能够反映特定个人某些情况的信息，包括但不限于特定个人金融信息主体的消费意愿、支付习惯和其他衍生信息；在提供金融产品与服务过程中获取、保存的其他个人信息。

不应委托或授权无金融业相关资质的机构收集C3、C2类别信息。

C3类别信息，通过受理终端、客户端应用软件、浏览器等方式收集时，应使用加密等技术措施保证数据的保密性，防止其被未授权的第三方获取。

要求金融机构应当采取技术措施（如弹窗、明显位置URL链接等），引导用户查阅隐身政策，并获得其明示同意后再开展收集个人金融信息。

通过公共网络传输时，C2、C3类别信息应使用加密通道或数据加密的方式进行传输，保障个人金融信息传输过程的安全。

C3类别中的支付敏感信息，其安全传输技术控制措施应符合有关行业技术标准与行业主管部门有关规定要求。

C3类别信息应采用加密措施确保数据存储的保密性。

未取得信息主体与账户管理机构的授权，金融业从业机构不得留存非本机构的用户鉴别信息（C3类）。

信息展示；共享和转让；公开披露；委托处理；加工处理；汇聚融合；开发测试。

个人金融信息删除与销毁的区别，区分删除与销毁的关键即在于个人金融信息能否被恢复。

金融机构在委托第三方处理个人金融信息时，在委托关系解除后，金融机构应当要求受托方销毁所处理的个人金融信息。