个人金融信息保护技术规范JR/T 0171-2020

编制背景

    随着移动通信技术和互联网金融的快速发展，金融数据成为科技驱动金融业务创新的桥梁和纽带，其广泛应用于精准营销、客户画像、业务风控等金融业务和科技治理领域。但新技术应用也带来了新的安全威胁和挑战，金融支付安全直接涉及客户信息、个人隐私的保护，甚至影响经济安全和社会稳定。

重要意义

    本标准的制定，有助于提高金融机构加强个人账户信息、银行卡信息安全管理水平，加大互联网交易风险防控力度、切实防范各类金融交易风险，有效防范网络电信诈骗，保护金融机构和消费者权益。

Part1概述

    本标准将个人金融信息按敏感程度、泄露后造成的危害程度，从高到低分为C3、C2、C1三个类别；规定了个人金融信息在收集、传输、存储、使用、删除、销毁等生命周期各环节的安全防护要求，从安全技术和安全管理两个方面，对个人金融信息保护提出了规范性要求。

基本原则

    本标准要求金融业机构应遵循“权责一致、目的明确、选择同意、最少够用、公开透明、确保安全、主体参与”的原则。

内容概括

    本标准全文共分为范围、规范性引用文件、术语和定义、个人金融信息概述、安全基本原则、安全技术要求、安全管理要求等，整体内容架构图如下：

适用机构

    本标准适用的主体包括两大类：金融机构和获取个人金融信息的非金融机构。

Part2金融信息分类

账户信息

指账户及账户相关信息，包括但不限于支付账号、银行卡磁道数据（或芯片等有效信息）、银行卡有效期、证券账户、保险账户、账户开立时间、开户机构、账户余额以及基于上述信息产生的支付标记信息等。

鉴别信息

指用于验证主体是否具有访问或使用权限的信息，包括但不限于银行卡密码、预付卡支付密码；个人金融信息主体登录密码、账户査询密码、交易密码；卡片验证码（CVN和CVN2）、动态口令、短信验证码、密码提示问题答案等。

金融交易信息

指个人金融信息主体在交易过程中产生的各类信息，包括但不限于交易金额、支付记录、透支记录、交易日志、交易凭证；证券委托、成交、持仓信息；保单信息、理赔信息等。

个人金融信息

1、个人基本信息包括但不限于客户法定名称、性别、国际、民族、职业、婚姻状况、家庭状况、收入情况、身份证和护照等证件类信息、手机号码、固定电话号码、电子邮箱、工作及家庭住址以及在提供产品和服务过程中收集的照片、音视频等信息。

2、个人生物识别信息包括但不限于指纹、人脸、虹膜、耳纹、掌纹、静脉、声纹、眼纹、步态、笔迹等生物特征样本数据、特征值与模板。

财产信息

指金融业机构在提供金融产品和服务过程中，收集或生成的个人金融信息主体财产信息，包括但不限于个人收入状况、拥有的不动产状况、拥有的车辆状况、纳税额、公积金存缴金额等。

借贷信息

指个人金融信息主体在金融业机构发生借贷业务产生的信息，包括但不限于授信、信用卡和贷款的发放及还款、担保情况等。

其他信息

指对原始数据进行处理、分析形成的，能够反映特定个人某些情况的信息，包括但不限于特定个人金融信息主体的消费意愿、支付习惯和其他衍生信息；在提供金融产品与服务过程中获取、保存的其他个人信息。

Part3安全技术要求

信息收集

1、不应委托或授权无金融业相关资质的机构收集C3、C2类别信息。

2、C3类别信息，通过受理终端、客户端应用软件、浏览器等方式收集时，应使用加密等技术措施保证数据的保密性，防止其被未授权的第三方获取。

3、要求金融机构应当采取技术措施（如弹窗、明显位置URL链接等），引导用户查阅隐身政策，并获得其明示同意后再开展收集个人金融信息。

信息传输

1、通过公共网络传输时，C2、C3类别信息应使用加密通道或数据加密的方式进行传输，保障个人金融信息传输过程的安全。

2、C3类别中的支付敏感信息，其安全传输技术控制措施应符合有关行业技术标准与行业主管部门有关规定要求。

信息存储

1、C3类别信息应采用加密措施确保数据存储的保密性。

2、未取得信息主体与账户管理机构的授权，金融业从业机构不得留存非本机构的用户鉴别信息（C3类）。

信息使用

信息展示；共享和转让；公开披露；委托处理；加工处理；汇聚融合；开发测试。

删除与销毁

1、个人金融信息删除与销毁的区别，区分删除与销毁的关键即在于个人金融信息能否被恢复。

2、金融机构在委托第三方处理个人金融信息时，在委托关系解除后，金融机构应当要求受托方销毁所处理的个人金融信息。