道可特研究丨金融行业数据治理观察综合篇（三）

白小莉陈杰道可特法视界 2023-08-26

收录于合集 #道可特专业文章 484个

「道可特法视界第1626篇原创文章」

目录

综合篇（一）：金融行业数据治理概况综合篇（二）：金融行业数据立法分析综合篇（三）：金融行业数据监管动态

综合篇（四）：金融行业数据治理建议

金融行业数据监管动态

01. 违反信息采集规定：多家金融机构连遭罚单超千万

2021年8月，人民银行连开数张罚单，处罚客户信息安全保护方面违规的商业银行。华夏银行因违反信用信息采集、提供、查询及相关管理规定被人民银行罚款486万，同日被处罚的还有交通银行、兴业银行。处罚案由均为违反信用信息采集、提供、查询及相关管理规定。江西新建农村商业银行股份有限公司被重罚430.5万元除了反洗钱相关的违规行为外，处罚案由也包括违反信用信息采集、提供、查询及相关管理规定等。

交行时任交通银行太平洋信用卡中心风险管理和控制部操作风险管理团队经理、资深综合管理顾问沈奕栋因对交行“违反信用信息采集、提供、查询及相关管理规定”的违法违规行为负有责任被罚款7万元，据此推测交行违规的业务为信用卡业务。按照《中国人民银行金融消费者权益保护实施办法》规定，银行、支付机构不得收集与业务无关的消费者金融信息，不得采取不正当方式收集消费者金融信息，不得变相强制收集消费者金融信息。

02. 虚报、泄漏金融数据：47家金融机构被罚716万元

2018年，中国人民银行郑州中心支行向社会公布的行政处罚信息显示，自2017年11月6日至12月底不到两个月的时间内，因涉及瞒报虚报数据、过失泄露信息等违规行为，河南辖内47家金融机构受到行政处罚，罚款金额达716万元。被处罚的违规机构涵盖各类金融机构，既包括四大国有银行，民生、光大、广发、中信、浦发等5家全国股份制银行，也包括21家地方农商行和农信社、7家村镇银行以及中原银行、平顶山银行等2家城商行；同时还包括6家保险公司、1家资产管理公司和1家涉及金融服务的网络科技公司，共计47家。

处罚信息还显示，这些金融机构的违规行为主要包括虚报瞒报漏报金融数据、过失泄露信息、未按规定履行客户身份识别义务、未按规定报送大额交易报告或者可疑交易报告等。其中，虚报瞒报漏报金融数据的违规行为高达数十起；还有银行机构不仅过失泄露信息，而且未经授权便查询个人信用信息，甚至违法出售个人信息。

针对上述违规行为，2017年11月6日至12月底，人行共向47家金融单位及其分支机构开出了77张、716万元的罚单。在除银行外的违规机构中，福建国通星驿网络科技有限公司河南分公司、中国信达资产管理股份有限公司河南省分公司、中国人寿保险股份有限公司河南省分公司三家机构的“双罚”金额也都超过了50万元。

03. 征信管理信息不规范：12家金融机构被罚

2021年，央行上海总部通报了2020年度金融违法行为处罚情况，累计作出31项行政处罚决定，包括12家金融机构和19名直接责任人，罚款金额总计1053万元，其中对金融机构罚款总金额为985.5万元，对个人罚款总金额为67.5万元，征信管理也被“点名”，具体表现为未经授权查询征信信息，征信用户开立和停用未报备等。处罚原因包括：征信用户管理不规范；未取得信息主体书面同意查询信用报告；违反个人信用信息查询管理规定；未经同意查询个人征信信息；个人征信系统用户变动未及时备案。

04. 违规查询个人信息：晋商消费金融被处55万罚单

2020年8月22日，中国人民银行太原中心支行对晋商消费金融开出了55万元的罚单，这是晋商消费金融今年以来首次接到央行罚单。央行信息显示，晋商消费金融因未经同意查询个人信息，根据《征信业管理条例》第四十条，责令限期改正，对单位处以罚款人民币50万元；对直接负责的主管人员处以罚款人民币5万元。

在此之前，晋商消费金融关于由李文莉出任公司董事长的申请也被银保监会驳回，该次驳回也实属业内首次。批复函中表示，由于李文莉不符合《银行业金融机构董事（理事）和高级管理人员任职资格管理办法》第十七条规定，不予核准李文莉董事长任职资格。但是，根据企查查信息显示，晋商消费金融早在今年5月7日就已经完成了工商信息变更，将法人代表和董事长均从之前的王培明变更为李文莉。另据山西互联网协会官微报道，李文莉在5月份就已经以晋商消费金融董事长的身份出席了通联支付网络服务股份有限公司与晋商消费金融股份有限公司的战略合作签约仪式。

晋商消费金融曾屡次介入高纠纷市场问题，晋商消费金融首席市场运营官赵巍敏曾公开表示，之前晋商消费金融在深挖场景上，光考虑了C端的风控，没有考虑好B端的风控，没有跟产品直接做对接。晋商消费金融股东之一的宇信科技年报中披露，晋商消费金融在2018年实现营业收入3.38亿元，净利润8197.14万元，同比增长约77.5%，截至2018年末，晋商消金的总资产为65.73亿元，总负债为59.44亿元。

05. 金融个人信息滥用：支付宝被罚款18万元

2018年4月8日左右消息，据杭银处罚字（2018）23号中国人民银行杭州中心支行公示表，支付宝罚款18万元，违法行为包括三类——客户权益、产品宣传和个人信息保护。具体而言包括：

‍客户权益方面：①金融消费者知情权保障不充分；②消费者的自主选择权保障不充分。

产品宣传方面：①在视频宣传中开展引人误解的宣传；②在支付宝官方微博中开展引人误解的宣传；③处理完毕的投诉占比计算不实，导致对外公布的数据与实际不符。‍个人信息保护方面：①个人金融信息收集不符合最少、必需原则；②个人金融信息使用不当。

公告称，根据《非金融机构支付服务管理办法》，罚款3万元；根据《中华人民共和国消费者权益保护法》，对产品宣传与个人信息保护两项违法行为，分别给予警告，并处罚款10万元、5万元。罚款合计人民币18万元。用户在安装使用支付宝的时候，有权知道软件会收集哪些个人信息，同时软件有义务以醒目的方式告知用户，而且应当赋予用户选择不使用、不同意的权利。需要注意的是，软件在收集个人信息时应当遵循最少、必须的原则，根据《网络安全法》的规定，用户如发现软件违规收集其个人信息，有权要求软件运营者删除其个人信息。

06. 域外动态：全球金融数据监管战略化，巨额罚单屡见不鲜

1. 欧盟通过金融服务中监督数据的战略

2021年12月15日，欧盟委员会通过了关于欧盟金融服务中监督数据的战略。欧盟委员会的战略建立在对金融部门立法中的欧盟监管报告要求进行全面检查的结论之上。该战略的目标是使欧盟的监督报告现代化，并建立一个系统，向欧盟和国家层面的监督机构提供准确、一致和及时的数据，同时尽量减少所有相关方的总体报告负担。该战略直接促进了欧洲数据战略和数字金融战略的实施。它还实现了欧盟委员会最近的承诺，即系统地、积极主动地寻求简化和减少负担。此外，通过支持监管趋同，该战略有助于实现资本市场联盟的目标。

2. 西班牙针对金融机构非法处理用户数据罚款600万欧元

2021年2月19日，西班牙数据保护机关（AEPD）对CAIXABANK,S.A.处以600万欧元的罚款，因为它非法处理客户的个人数据(罚款400万欧元)，而且没有提供关于处理个人数据的充分信息(罚款200万欧元)。

AEPD认为，为遵守告知而设计的文件没有包括足够的信息，说明有关个人数据的类别，也没有说明处理个人数据的目的以及处理的法律依据，特别是关于那些基于公司正当利益的处理活动。另一方面，AEPD认为CAIXABANK没有提供任何收集数据主体同意的机制；数据主体的同意不符合有效同意的所有要素，基于公司正当利益的处理活动没有充分的理由；特别是公司活动与处理个人数据之间的关系。在决定罚款数额时，AEPD考虑了作为加重因素的以下因素：违法行为的性质、严重性和持续时间；违法行为的过错性；根据GDPR第25条和第32条落实的技术和组织措施，控制者的责任程度；从违法行为中获得的利益；受违法行为影响的个人数据类别；公司活动与处理个人数据之间的关系；以及该公司是一家大型企业及其营业额的事实。

3. 摩根大通因未保存相关数据记录被罚1.25亿美元

2021年12月，美国证券交易委员会（SEC）宣布，已命令摩根大通的经纪商子公司摩根证券有限责任公司（J.P.Morgan Securities LLC，简称JPMS）支付1.25亿美元的罚款，因为该公司长期地违反了书面通信记录保存的规定。根据公告，至少从2018年1月到2020年11月，JPMS的员工经常在个人设备上使用短信、WhatsApp、个人电子邮件等就证券业务事宜进行沟通。然而，这些记录都没有按照联邦证券法的要求保存下来。记录保存的失误使SEC的工作人员在很长一段时间内无法及时获取有关证据和潜在的信息，因此，委员会认为，公司的行为对SEC调查潜在的违反联邦证券法行为的能力产生了实质性影响，可能将损害投资者、维护市场完整性的能力。

DOCVIT

作者简介

白小莉

北京市道可特律师事务所高级合伙人

道可特知识产权全国专业委员会主任
道可特北京办公室管委会委员

‍邮箱：baixiaoli@dtlawyers.com.cn

陈杰

北京市道可特律师事务所高级合伙人

管委会委员、金融专业委员会主任

北京市律师协会银行金融专业委员会委员

华茂金台基金管理有限公司(人民网基金)投资决策委员会委员

北海国际仲裁院仲裁员