4月9日，中国人民银行长春支行公布罚单信息。渤海银行长春分行，因未向央行报送账户开立资料；未准确、完整、及时报送个人信用信息；未按照规定处理异议；未经同意查询个人信息；未按规定履行客户身份识别义务等违法行为，被警告并处罚款58.6万元。时任相关责任人何晓爽、刘国威和王伟3人被处以1.2万至2万元不等的罚款。

4月12日，中国人民银行天津分行发布处罚信息，平安银行股份有限公司天津分行因违规开展金融营销宣传行为、违规收集与业务无关的第三人信息，被责令限期改正，给予警告，并处罚款人民币合计45万元。

在罚单分类当中，行业内部将这两张罚单分类为反洗钱罚单，是因为违反《反洗钱法》被处罚。对于这个分类没有人有异议，但是值得注意的是，其中存在的个人信息保护元素。

渤海银行未经同意查询个人信息的行为与天津银行违规收集与业务无关的第三人信息的行为都属于侵害消费者金融信息安全行为。

反洗钱里面的个人信息保护

在2020年10月，人民银行相关分支机构依法对部分金融机构侵害消费者金融信息安全行为立案调查，并依据《中华人民共和国消费者权益保护法》《中华人民共和国反洗钱法》有关规定，分别对农业银行吉林市江北支行、中国银行石嘴山市分行、建设银行德阳分行、建设银行娄底分行、建设银行东营分行、建设银行建德支行及相关责任人予以警告并处以罚款。

为什么侵害消费者金融信息安全会违反《反洗钱法》呢？

《反洗钱法》第五条明确规定对依法履行反洗钱职责或者义务获得的客户身份资料和交易信息，应当予以保密；非依法律规定，不得向任何单位和个人提供。

目前金融机构反洗钱信息保密方面的要求主要包括：

• 金融机构及其工作人员对依法履行反洗钱义务获得的客户身份资料和交易信息应当予以保密，非依法律规定，不得向任何单位和个人提供；
• 金融机构及其工作人员应当对依法履行大额交易和可疑交易报告义务获得的客户身份资料和交易信息，对依法监测、分析、报告可疑交易的有关情况予以保密，不得违反规定向任何单位和个人提供；
• 金融机构应采取必要管理措施和技术措施，防止客户身份资料和交易记录的缺失、损毁，防止泄露客户身份信息和交易信息；
• 金融机构应当对本机构的监测标准及监测措施严格保密，建立相应制度或要求规范监测标准的知悉和使用范围；
• 金融机构不得向客户或其他与反洗钱工作无关的第三方泄露客户风险等级信息。

近年来，人民银行不断推动消费者金融信息保护制度建设，出台了《个人金融信息保护技术规范》《金融消费者权益保护实施办法》《银行业金融机构数据治理指引》《金融数据安全数据安全分级指南》《金融数据生命周期安全规范》等等，《个人金融信息（数据）保护试行办法》《中国人民银行金融消费者权益保护实施办法》已列入人民银行规章制定工作计划。

个人信息保护正成为合规核心

在2020年完成向社会征求意见的《中华人民共和国个人信息保护法（草案）》备受业界关注。如今，“大数据杀熟”、个人信息泄露问题一直是备受争议和诟病的问题。在大数据潮流的冲击下，金融机构对个人信息安全及用户隐私保护等方面正面临新的挑战。保障个人信息安全已成为各金融机构安全保障义务的核心内容。

自2013年以来，人民银行每年均开展以消费者金融信息保护为主要内容的监督检查工作，严肃查处相关机构在消费者金融信息保护方面的违法违规行为。

此外，人民银行还不断提高非现场监管水平，通过金融消费权益保护评估等方式，对金融机构进行持续、动态监测。对金融机构超范围收集、非法存储、超范围使用或者泄露消费者金融信息等违反消费者金融信息保护规定的行为依法进行严肃查处。

3月19日，中国银保监会下发第5号罚单，中信银行因客户信息保护体制机制不健全、客户信息收集环节管理不规范、对客户敏感信息管理不善等问题被罚450万元。

据《中国个人金融信息保护执法白皮书（2020）》不完全统计，截至2020年10月25日，中国人民银行总行及各地分支行开出的行政处罚罚单里，涉及“个人金融信息”的共181张。

这181张罚单罚款金额合计超过人民币1.8亿元（以下涉及的罚款金额均为人民币）；处罚对象包括银行（含农信社，下同）、证券公司、支付机构、消费金融公司等，以及对相关违规行为负有责任的具体人员；处罚的违法行为类型包括未经审批查询个人金融信息、未按规定保存客户身份资料和交易记录、侵害消费者个人信息依法得到保护的权利等。

目前《个人信息保护法》《数据安全法》也在制定过程中。相信未来相关监管只会越来越严密，金融机构面对的压力也会越来越大。

可以预见，往后金融机构收到的罚单当中，个人信息保护元素可能会越来越多，或许我们已经进入了个人信息保护罚单时代。