金融APP收集用户信息

　　编者按：

每有引人关注的社会事件、法律问题发生，律师往往能在第一时间给出提示、提供服务。我们为读者采集律师对这些身边事的法律解析，让您不用出家门就可享受“律师服务”。

据《新快报》报道，大数据高速发展的背后，不断暴露的数据隐私安全问题再次成为焦点。近期，金融标准化委员会下发了《个人金融信息保护技术规范》（下称《规范》）不仅对个人金融信息从敏感度进行了分类，还对个人金融信息在收集、传输、存储、使用、删除、销毁等各环节的安全防护提出要求。

个人金融信息分类

去年以来，监管多次打击金融APP搜集用户个人金融信息乱象。这背后，根本原因在于用户与企业之间存在严重信息不对称的现象。记者近日发起的一项关于个人金融信息的网络调查中，有超过2成的网友表示，注册金融APP后经常收到骚扰电话；近两成网友表示，不知道哪些信息会被抓取，抓取后又怎么被应用？是否被授权给第三方？这些信息他们基本没有任何认知。

“直接点击同意，没注意过协议条款。”有用户对记者表示。然而，每次下载金融APP后，《用户协议》和《隐私条款》中都规定了大量的关于个人信息使用的规范和原则，如果用户不仔细阅读很有可能自己的个人信息被“卖”了。

对于很多用户而言，连个人金融信息是啥都没搞清楚。

《规范》中，对个人金融信息进行了细致的分类，按照敏感程度从高到低，分别分为C3、C2、C1。其中C3类别信息主要为“用户鉴别信息”，就是如何证明“你是你”？包括银行卡数据、卡片验证码、银行卡密码、账户登录密码、账户交易密码，还有指纹等鉴别用户的生物识别信息等。这类信息一旦遭到未授权查看，对个人财产安全危害最为严重；C2类别信息则是识别用户身份和金融状况的个人信息，如支付账号、证件信息、手机号码、家庭信息、个人财产信息，还有用户鉴别辅助信息如动态口令、短信验证码等；而C1类别信息主要为机构内部使用的个人信息，与上述两种相比，这类个人信息敏感度较低，如账户开立时间、开户机构等。

但记者在调查中发现，大多数金融APP均未对个人金融信息分类，少数APP也则只是简单粗暴地将个人金融信息分为“一般个人信息”和“敏感个人信息”。

“应该在具体场景中评估个人金融信息在其中的作用、可能遭受未经授权的查看或未经授权的变更后所产生的影响和危害。”观韬中茂（上海）律师事务所合伙人吴丹君表示，比如在《规范》中表示，通过数据挖掘等技术可能在组合、关联和分析数个低敏感程度数据后产生具有高敏感程度的信息，因此，应对汇聚融合后的个人金融信息进行重新识别以确定类别。所以，个人金融信息要看具体使用场景，也存在大数据分析后低敏感度信息转化成高敏感度信息的可能性。

“最少且必要”原则

北京市盈科（广州）律师事务所律师徐进伟对记者表示，个人信息共享应遵从最少和必要的原则，否则一律不得采集和查询。《规范》中也提及，对于个人信息收集要采取“最少够用”原则。

同时还要求收集个人信息类型应该与产品或服务的业务功能有直接关联。

此外，金融APP的《用户协议》中授权第三方收集、使用个人金融信息是惯常操作，也是存在个人信息安全隐患的“重灾区”。

依据《规范》的要求，企业不得委托或授权大数据公司、无个人征信牌照的征信公司收集C2、C3类别信息。由于这两类信息涉及鉴别用户身份、账户安全，敏感度更高，因此将无金融资质机构排除在外。

记者在调查中发现，不少金融APP《隐私条款》中含糊其词。如中邮钱包APP《隐私条款》中在授权第三方部分表示“与合作伙伴共享您的某些必要的个人信息”。到底是哪些“某些必要的个人信息”，并未做比较明确清晰的说明。“如果涉及到C2、C3类别信息，一旦与不规范的第三方合作则存在较大数据隐私泄露、被滥用等安全隐患。”有业内人士分析表示。

也有不少金融APP更新了相关规定。在京东金融2020年1月9日更新的《隐私条款》中规定，“我们只会共享提供服务所必要的个人信息，任何第三方无权将共享的个人信息用于其他用途。”

从大数据行业来看，此规定也意味着此前行业中常见的各家金融机构与助贷、大数据公司合作抓取用户身份信息等数据的模式，并不合规。这将是大数据行业的又一重大打击。“金融机构未来将加强第三方合作机构的资质审查，避免与非持牌机构开展涉及个人金融信息的业务合作，如征信、催收等。”业内人士对记者分析表示。  （许莉芸）

SourcePh" style="display:none">