網(wǎng)上投稿
2024年12月17日下午，為保護(hù)投資者權(quán)益，防范和化解金融風(fēng)險(xiǎn)，助力基金行業(yè)合規(guī)前行，由上海律協(xié)公司與商事專業(yè)委員會(huì)（以下簡(jiǎn)稱“公司委”）、上海市基金同業(yè)公會(huì)糾紛調(diào)解專業(yè)委員會(huì)聯(lián)合舉辦的“個(gè)人信息保護(hù)相關(guān)業(yè)務(wù)培訓(xùn)”在上海浦東金茂大廈30層陸家嘴會(huì)客廳召開?；鹜瑯I(yè)公會(huì)各會(huì)員單位、基金同業(yè)公會(huì)糾紛調(diào)解專業(yè)委員會(huì)委員及上海律協(xié)公司委委員共計(jì)95人參加本次培訓(xùn)。培訓(xùn)由公司委委員丁峰律師就“基金行業(yè)的個(gè)人信息保護(hù)問題”進(jìn)行了深入分享。
一、基金行業(yè)個(gè)人信息保護(hù)法律法規(guī)體系
（一）法律法規(guī)體系介紹
丁峰律師首先概括梳理了我國(guó)涉及人格尊嚴(yán)、通信秘密、通信自由以及隱私等相關(guān)權(quán)益保護(hù)的法律體系不斷發(fā)展與完善的過程。早在1954年憲法及后續(xù)幾次修訂中，就涉及到人格尊嚴(yán)等相關(guān)內(nèi)容，2004年憲法修訂提到了人格保護(hù)方面的內(nèi)容。1988年，最高院民法通則試行意見指出，侵犯他人隱私需公然宣揚(yáng)才以侵害名譽(yù)權(quán)論，當(dāng)時(shí)隱私未作為單獨(dú)的人格權(quán)予以保護(hù)，而是依附于侵害名譽(yù)權(quán)相關(guān)規(guī)定。1993年審理名譽(yù)權(quán)若干問題的解釋再次強(qiáng)調(diào)了侵害隱私須以宣揚(yáng)為行為要件，1998年我國(guó)簽訂《公民權(quán)利和政治權(quán)利的國(guó)際公約》，明確了對(duì)私生活等方面不得非法侵?jǐn)_及人人有受法律保護(hù)的權(quán)利，此后法律逐步細(xì)化規(guī)范。
2001年是重要分水嶺，最高院出臺(tái)《關(guān)于確定民事侵權(quán)精神損害賠償責(zé)任若干問題的解釋》，將隱私作為一項(xiàng)人格利益單獨(dú)進(jìn)行保護(hù)。2010年侵權(quán)責(zé)任法出臺(tái)，2012年《關(guān)于加強(qiáng)網(wǎng)絡(luò)信息保護(hù)的決定》發(fā)布，后續(xù)《民法典》出臺(tái)，并在合規(guī)與刑事層面有《網(wǎng)絡(luò)安全法》、《數(shù)據(jù)安全法》和《個(gè)人信息保護(hù)法》這 “三法” 以及《關(guān)鍵信息基礎(chǔ)設(shè)施安全保護(hù)條例》和《網(wǎng)絡(luò)數(shù)據(jù)安全管理?xiàng)l例》（2025.1.1實(shí)施）相關(guān) “兩條例”，構(gòu)建起相應(yīng)個(gè)人信息保護(hù)法律合規(guī)體系。
此外，還有諸如《電子商務(wù)法》《未成年人保護(hù)法》等諸多法律法規(guī)共同構(gòu)成大的法條體系，且在證券期貨業(yè)也有相關(guān)信息安全保障、客戶資料管理、數(shù)據(jù)分類分級(jí)等方面的規(guī)定不斷更新完善，所以，盡管《個(gè)人信息保護(hù)法》出臺(tái)較晚，但此前已存在大量與之相關(guān)的規(guī)范。
（二）《個(gè)人信息保護(hù)法》重點(diǎn)條款介紹
在介紹《個(gè)人信息保護(hù)法》重點(diǎn)條款時(shí)，丁律師闡釋了其適用范圍，為后續(xù)內(nèi)容做鋪墊。其一，從行為空間角度來看，在中華人民共和國(guó)境內(nèi)進(jìn)行個(gè)人信息（包含外國(guó)人的個(gè)人信息）處理活動(dòng)的，需適用本法。其二，對(duì)于在境外處理我國(guó)境內(nèi)自然人個(gè)人信息的情況，比如境外的旅行社、酒店等處理境內(nèi)自然人的個(gè)人信息時(shí)，同樣要適用我國(guó)的這部法律，這體現(xiàn)了典型的“長(zhǎng)臂管轄”或“域外管轄”特點(diǎn)，即只要涉及我國(guó)境內(nèi)自然人的個(gè)人信息，就應(yīng)當(dāng)遵守本法規(guī)定。
丁律師同時(shí)提醒到，在個(gè)人信息保護(hù)職責(zé)的相關(guān)體系中，存在著幾個(gè)極為關(guān)鍵的部門。其中，網(wǎng)信辦、工信部以及公安部當(dāng)屬重中之重。這三大部門在個(gè)人信息保護(hù)領(lǐng)域扮演著核心角色，其重要性體現(xiàn)在它們對(duì)所有行業(yè)均擁有處罰權(quán)。需明確的是就基金公司而言，在一般業(yè)務(wù)違規(guī)情境下，通常是由證監(jiān)局或者證監(jiān)會(huì)來實(shí)施處罰。然而，一旦涉及個(gè)人信息保護(hù)方面的違規(guī)行為，那么除了證監(jiān)局與證監(jiān)會(huì)具備處罰權(quán)限之外，工信部、公安部以及網(wǎng)信辦同樣有權(quán)進(jìn)行處罰。由此可見，在個(gè)人信息保護(hù)的管理格局中，呈現(xiàn)出一種多頭管理的模式。
通過對(duì)比《民法典》1034條第2款和《個(gè)人信息保護(hù)法》第四條，丁律師認(rèn)為對(duì)于“個(gè)人信息”的界定產(chǎn)生了一定的變化與演進(jìn)，增加了“可識(shí)別性”認(rèn)定要素，強(qiáng)化了對(duì)個(gè)人信息的保護(hù)。同時(shí)，根據(jù)《個(gè)人信息保護(hù)法》第五條至第九條、第十七條的規(guī)定，丁律師總結(jié)了個(gè)人信息處理中的四項(xiàng)基本原則，合法、正當(dāng)、必要、誠(chéng)信原則，目的明確、最小必要原則，公開透明原則，質(zhì)量和確保安全原則。
對(duì)于個(gè)人信息的提供、共享、委托等問題是個(gè)人信息處理中最核心的問題之一，根據(jù)《個(gè)人保護(hù)法》第這部分內(nèi)容需要個(gè)人單獨(dú)同意，但是實(shí)務(wù)中如何操作一致是一個(gè)難點(diǎn)，對(duì)此，丁律師根據(jù)其豐富的執(zhí)業(yè)經(jīng)驗(yàn)給出了行之有效的建議，即在大的文件處理過程中，若存在某些特定內(nèi)容需要相關(guān)方單獨(dú)同意，可將其設(shè)置為獨(dú)立的加粗加黑條款。如此一來，能夠使其在眾多內(nèi)容中更為醒目突出，易于識(shí)別。與此同時(shí)，在該條款的鄰近位置標(biāo)注要求其簽名的指示，這樣既可以清晰地向相關(guān)方表明此條款的重要性與特殊性，又能為后續(xù)可能涉及的確認(rèn)流程提供明確依據(jù)，有效保障文件執(zhí)行的規(guī)范性與合法性，避免因條款混淆或未明確授權(quán)而引發(fā)的潛在糾紛與風(fēng)險(xiǎn)，確保各方權(quán)益得到妥善維護(hù)與界定。同時(shí)，《個(gè)人保護(hù)法》第十三條規(guī)定了當(dāng)提供和收集個(gè)人信息是訂立合同所必須或?yàn)楣怖娴刃枨髸r(shí)不需要征得個(gè)人單獨(dú)同意。
《個(gè)人信息保護(hù)法》第五十一條、第五十四至五十八條規(guī)定了個(gè)人信息處理者的義務(wù)，包括安全保障、合規(guī)審計(jì)、個(gè)人信息保護(hù)影響評(píng)估、安全事件通知義務(wù)以及針對(duì)平臺(tái)的特殊義務(wù)等。
丁律師重點(diǎn)講述了個(gè)人信息處理的全流程管控，在個(gè)人信息保護(hù)的全流程管控方面，首先需明確個(gè)人信息的主體享有相應(yīng)權(quán)利，即個(gè)人信息所標(biāo)識(shí)或關(guān)聯(lián)的自然人。此過程中，敏感個(gè)人信息亦涵蓋其中。而關(guān)于個(gè)人信息的處理過程，依據(jù)個(gè)人信息保護(hù)法，存在單獨(dú)處理以及多方處理等情形。需注意的是，多方處理雖不限于特定三種模式，但在實(shí)務(wù)中，共同處理、委托處理和向第三方提供這三種模式最為常見。
對(duì)于企業(yè)而言，其作為個(gè)人信息處理者，在處理過程中有自主決定處理目的與處理方式的權(quán)限，但同時(shí)也可能對(duì)外開展合作。在此，丁律師以委托處理為例闡述了多方處理中在實(shí)務(wù)里較為重要的幾個(gè)方面。在常見的業(yè)務(wù)場(chǎng)景中，如基金公司在開展相關(guān)業(yè)務(wù)時(shí)，不可避免地會(huì)收集與處理個(gè)人信息，然而其自身技術(shù)能力或許相對(duì)薄弱，此時(shí)便會(huì)將技術(shù)部分分包或外包給一家技術(shù)公司。在此情況下，該技術(shù)公司就成為受托處理者。針對(duì)委托處理，重點(diǎn)在于合同簽訂環(huán)節(jié)，所簽訂的合同并非普通的軟件開發(fā)合同之類，而是委托合同，且必須在其中植入個(gè)人信息相關(guān)條款。具體而言，應(yīng)當(dāng)與受托人明確約定委托處理個(gè)人信息的目的、期限、處理方式、個(gè)人信息的種類、保護(hù)措施以及雙方的權(quán)利和義務(wù)等內(nèi)容。從這一過程可以看出，最原始的權(quán)利義務(wù)主體通過合同要求實(shí)現(xiàn)全鏈條的長(zhǎng)臂管轄延伸與管控。這也是我國(guó)借鑒西方一些較為先進(jìn)的法律長(zhǎng)臂管轄理念在個(gè)人信息保護(hù)中的應(yīng)用體現(xiàn)。因此，丁律師提醒在委托處理中，委托范圍的明確至關(guān)重要，實(shí)務(wù)中合同條款的精心設(shè)計(jì)意義非凡，而受托人的義務(wù)則較為明晰，即按照約定范圍處理，不得超出約定的處理目的與處理方式，并且在業(yè)務(wù)結(jié)束后還需及時(shí)返還個(gè)人信息。
（三）《證券期貨業(yè)網(wǎng)絡(luò)和信息安全管理辦法》重點(diǎn)條款介紹
根據(jù)上述分析，丁律師以《個(gè)人信息保護(hù)法》、《證券期貨業(yè)網(wǎng)絡(luò)和信息安全管理辦法》中的相關(guān)規(guī)定歸納了個(gè)人信息保護(hù)全生命周期處理的合規(guī)要點(diǎn)，具體劃分為事前防范、事中控制與事后處理三個(gè)階段。在事前防范階段，主要涵蓋培訓(xùn)工作的開展、影響評(píng)估以及安全評(píng)估的施行。培訓(xùn)旨在提升相關(guān)人員對(duì)個(gè)人信息保護(hù)的認(rèn)知與技能水平，而影響評(píng)估和安全評(píng)估則是從多維度對(duì)可能涉及個(gè)人信息處理的風(fēng)險(xiǎn)與安全性進(jìn)行預(yù)估與分析，以此為后續(xù)工作筑牢堅(jiān)實(shí)基礎(chǔ)。此外，還需制定完善的應(yīng)急預(yù)案，以便在突發(fā)狀況下能夠迅速且有效地做出響應(yīng)。
進(jìn)入事中控制階段，關(guān)鍵在于實(shí)施一系列保護(hù)措施，嚴(yán)格進(jìn)行數(shù)據(jù)流動(dòng)的管控與監(jiān)測(cè)工作。通過實(shí)施保護(hù)措施確保個(gè)人信息在處理過程中的安全性與完整性，而數(shù)據(jù)流動(dòng)管控與監(jiān)測(cè)則能夠跟蹤個(gè)人信息的流向、使用情況等，及時(shí)發(fā)現(xiàn)并處理可能存在的異常與風(fēng)險(xiǎn)，保障個(gè)人信息處理過程的合規(guī)性與穩(wěn)定性。
至于事后處理階段，主要包括合規(guī)審計(jì)以及應(yīng)急方案的啟動(dòng)。合規(guī)審計(jì)可對(duì)整個(gè)個(gè)人信息處理過程進(jìn)行全面審查與評(píng)估，查找可能存在的合規(guī)漏洞與不足之處，為后續(xù)改進(jìn)提供依據(jù)。而一旦發(fā)生緊急情況，迅速啟動(dòng)應(yīng)急方案，及時(shí)止損并妥善處理相關(guān)事宜，最大程度降低可能造成的負(fù)面影響，從而確保個(gè)人信息保護(hù)工作在全生命周期內(nèi)形成完整且有效的閉環(huán)管理體系。
二、基金行業(yè)個(gè)人信息保護(hù)法律適用
（一）基金行業(yè)涉及的個(gè)人信息范圍和個(gè)人信息處理者
對(duì)于基金行業(yè)主要涉及投資者基本信息，包括姓名、住址、學(xué)歷、執(zhí)業(yè)、年齡等基本信息，法人或其他組織的名稱、注冊(cè)地址、辦公地址等，以及基金產(chǎn)品成立、備案證明文件等資料、稅收居民身份證明、基金賬戶信息、實(shí)際控制投資者的自然人和交易的實(shí)際受益人等信息。對(duì)于投資者資產(chǎn)狀況、投資者投資經(jīng)驗(yàn)、相關(guān)專業(yè)自治、投資風(fēng)險(xiǎn)偏好、誠(chéng)信記錄等均屬于基金行業(yè)中需要保護(hù)的個(gè)人信息范圍。另外，基金行業(yè)的個(gè)人信息處理者也即個(gè)人信息保護(hù)的義務(wù)主體主要是基金管理人、基金銷售機(jī)構(gòu)、基金托管人和基金外包服務(wù)機(jī)構(gòu)。
（二）基金行業(yè)涉及個(gè)人信息處理的主要場(chǎng)景
丁律師指出在個(gè)人信息保護(hù)于基金業(yè)務(wù)場(chǎng)景的應(yīng)用中，存在諸多關(guān)鍵環(huán)節(jié)與要點(diǎn)，并對(duì)各個(gè)環(huán)節(jié)分別進(jìn)行了詳細(xì)分析。
對(duì)于推薦與適當(dāng)性管理環(huán)節(jié)，涉及基金管理人及其委托的基金銷售機(jī)構(gòu)。二者在個(gè)人信息處理方面存在委托處理與共同處理的區(qū)別界定。若為基金管理人主導(dǎo)決定處理范圍，則偏向委托處理；若基金銷售公司也需參與數(shù)據(jù)處理決策，則傾向于共同處理。例如，在非公募集基金業(yè)務(wù)里，僅能面向合格投資者非公開推薦，故而在推薦前需開展不特定對(duì)象的特定化程序，在此過程中收集投資者個(gè)人信息，以判定其是否符合基金合格投資標(biāo)準(zhǔn)。
在適當(dāng)性管理進(jìn)程中，涵蓋一系列對(duì)投資者個(gè)人信息的處理操作。諸如投資者個(gè)人信息的深入調(diào)查、合格投資者信息的全面收集與精準(zhǔn)認(rèn)定、合格投資者資產(chǎn)證明文件的收集與嚴(yán)謹(jǐn)認(rèn)定、普通投資者與專業(yè)投資者分類投資經(jīng)驗(yàn)相關(guān)證明的處理、特定身份證明信息的收集與認(rèn)定、投資者風(fēng)險(xiǎn)測(cè)評(píng)及其與投資產(chǎn)品的匹配分析、普通投資者錄音錄像資料的處理、付款賬戶信息的收集以及回訪工作、稅收居民信息與反洗錢信息的收集等。近期反洗錢新法的通過，對(duì)包括律師事務(wù)所、房產(chǎn)中介等中介機(jī)構(gòu)在資金流程中的義務(wù)提出了新要求。盡管在反洗錢具體措施實(shí)施過程中，可能與個(gè)人在儲(chǔ)蓄或轉(zhuǎn)賬等方面的權(quán)利產(chǎn)生一定沖突，且可能涉及費(fèi)用承擔(dān)等問題，但反洗錢工作在金融行業(yè)的重要性不言而喻。
募集后的投資者信息動(dòng)態(tài)管理階段，尤為強(qiáng)調(diào)信息的主動(dòng)與被動(dòng)變更管理。針對(duì)普通投資者，需進(jìn)行定期或不定期的抽查回訪等操作，以實(shí)現(xiàn)投資者個(gè)人信息的補(bǔ)充和變更管理工作的有效推進(jìn)。
隨后進(jìn)入信息披露環(huán)節(jié)，其主要處理者包含基金的募集機(jī)構(gòu)、基金管理人、外包服務(wù)機(jī)構(gòu)以及基金托管人。例如投資者年報(bào)披露信息涵蓋投資賬戶信息、實(shí)繳出資與未繳出資情況以及報(bào)告期末所持經(jīng)營(yíng)份額總額等；基金管理人在投資基金的信息披露備份系統(tǒng)上備份的股權(quán)創(chuàng)投基金半年度報(bào)告亦包含基金投資者情況。在此環(huán)節(jié)，無論是報(bào)告本身對(duì)投資者信息的使用，還是向投資者進(jìn)行信息披露的過程，均涉及個(gè)人信息處理工作，相關(guān)要點(diǎn)需清晰明確。
在基金代銷環(huán)節(jié)，基金銷售機(jī)構(gòu)作為受托方，應(yīng)嚴(yán)格依據(jù)代銷協(xié)議所約定的處理目的與處理方式來處理投資者個(gè)人信息?；鸸芾砣藙t需對(duì)代銷機(jī)構(gòu)的履約行為予以監(jiān)督。若代銷協(xié)議出現(xiàn)無效、被撤銷或終止等情形，受托人務(wù)必將個(gè)人信息返還給個(gè)人信息處理者或者予以刪除，不得留存。在實(shí)際操作中，投資者雖為基金銷售機(jī)構(gòu)的客戶，但依據(jù)不同業(yè)務(wù)場(chǎng)景，需綜合判斷誰是委托人、誰是最原始的權(quán)利主體?；痄N售機(jī)構(gòu)在個(gè)人信息告知及同意環(huán)節(jié)，應(yīng)當(dāng)清晰明確上述商務(wù)責(zé)任關(guān)系，向投資者進(jìn)行必要的告知說明。
再者是外包服務(wù)環(huán)節(jié)，基金管理人委托基金外包服務(wù)進(jìn)行份額登記等服務(wù)屬于受托行為，應(yīng)按照協(xié)議約定執(zhí)行。由此可見，各類協(xié)議，如App上的隱私政策、與投資人簽訂的投資合同以及與外包機(jī)構(gòu)之間的合同等，均需對(duì)個(gè)人信息處理相關(guān)內(nèi)容進(jìn)行細(xì)致化規(guī)定。以往許多合同可能未涉及個(gè)人信息處理?xiàng)l款，但如今無論是對(duì)公業(yè)務(wù)還是對(duì)私業(yè)務(wù)，都需重視數(shù)據(jù)安全與個(gè)人信息保護(hù)，因?yàn)閭€(gè)人信息是數(shù)據(jù)的一種特殊形式。數(shù)據(jù)是以電子方式或其他方式對(duì)信息的記錄，在我國(guó)數(shù)安網(wǎng)絡(luò)安全、數(shù)據(jù)安全和個(gè)人信息保護(hù)方面的法律體系中，雖存在重合、交叉與不重合之處，但建立體系性保護(hù)的合規(guī)意識(shí)至關(guān)重要。對(duì)于外包服務(wù)機(jī)構(gòu)而言，其對(duì)個(gè)人信息的處理源于委托方，如基金管理人，且需將基金管理人的個(gè)人信息處理流程及實(shí)施情況納入自身經(jīng)營(yíng)范圍，并在合同中明確雙方權(quán)利義務(wù)條款，再次凸顯合同在個(gè)人信息保護(hù)業(yè)務(wù)流程中的關(guān)鍵地位。
三、違反個(gè)人信息保護(hù)的相關(guān)法律責(zé)任
丁律師進(jìn)一步指出，數(shù)字化時(shí)代，個(gè)人信息保護(hù)相應(yīng)的法律責(zé)任體系也逐步完善。眾多執(zhí)法部門各司其職，共同守護(hù)公民個(gè)人信息安全的防線。
其中，網(wǎng)信部門作為個(gè)人信息保護(hù)工作的統(tǒng)籌協(xié)調(diào)者，在網(wǎng)絡(luò)信息安全的監(jiān)督管理方面肩負(fù)重任。其不僅負(fù)責(zé)制定個(gè)人信息保護(hù)的詳細(xì)規(guī)則與標(biāo)準(zhǔn)，還對(duì)各類網(wǎng)絡(luò)平臺(tái)及信息處理者在個(gè)人信息收集、存儲(chǔ)、使用以及傳輸?shù)热鞒汰h(huán)節(jié)的合規(guī)性予以全面監(jiān)管與悉心指導(dǎo)，密切留意網(wǎng)絡(luò)平臺(tái)是否切實(shí)履行個(gè)人信息保護(hù)義務(wù)，例如是否存在違規(guī)收集用戶信息或未依規(guī)定加密存儲(chǔ)等情形。
工信部聚焦于電信與互聯(lián)網(wǎng)行業(yè)的個(gè)人信息保護(hù)事務(wù)。在APP及SDK的監(jiān)管方面著重審查此類應(yīng)用及工具包是否存在違規(guī)或超范圍收集個(gè)人信息以及是否有個(gè)人信息泄露的違法情況。
公安部門則主要打擊侵犯公民個(gè)人信息的犯罪行為。一方面，其對(duì)涉嫌侵犯?jìng)€(gè)人信息的違法犯罪活動(dòng)展開深入偵查，諸如非法獲取、出售、提供公民個(gè)人信息等犯罪行徑均在其嚴(yán)厲打擊之列；另一方面，公安部門在日常工作中亦對(duì)各類機(jī)構(gòu)與場(chǎng)所展開細(xì)致檢查，全力防范個(gè)人信息泄露風(fēng)險(xiǎn)，確保公民個(gè)人信息處于安全無虞的狀態(tài)。對(duì)于 APP 及第三方 SDK 等涉及個(gè)人信息的關(guān)鍵領(lǐng)域，公安部門重點(diǎn)關(guān)注其中是否存在可能構(gòu)成犯罪的非法收集、濫用或泄露個(gè)人信息等行為，并依據(jù)法律規(guī)定予以堅(jiān)決打擊與嚴(yán)肅處理。
證監(jiān)部門將目光聚焦于投資者個(gè)人信息安全的保障工作。在證券期貨市場(chǎng)的監(jiān)管框架內(nèi)，對(duì)證券公司、基金公司等各類機(jī)構(gòu)在業(yè)務(wù)開展過程中涉及的投資者個(gè)人信息處理活動(dòng)實(shí)施嚴(yán)格監(jiān)督。著重強(qiáng)調(diào)投資者信息的規(guī)范處理以及最小權(quán)限控制原則，要求相關(guān)機(jī)構(gòu)構(gòu)建健全的投資者個(gè)人信息保護(hù)制度體系，堅(jiān)決防止投資者個(gè)人信息被違規(guī)泄露、篡改或肆意濫用，對(duì)違規(guī)泄露投資者個(gè)人信息的違法違規(guī)行為予以嚴(yán)厲懲處，以此維護(hù)證券市場(chǎng)的平穩(wěn)有序運(yùn)行以及投資者的合法權(quán)益。
國(guó)家金融監(jiān)督管理局主要致力于金融消費(fèi)者權(quán)益保護(hù)工作，確保金融機(jī)構(gòu)在處理金融消費(fèi)者個(gè)人信息時(shí)嚴(yán)格遵循法律法規(guī)的要求。通過監(jiān)督金融機(jī)構(gòu)建立完備且嚴(yán)謹(jǐn)?shù)膫€(gè)人信息保護(hù)機(jī)制，有效防止金融消費(fèi)者的個(gè)人信息遭受泄露、濫用或不當(dāng)交易等風(fēng)險(xiǎn)，為金融消費(fèi)者的隱私權(quán)與財(cái)產(chǎn)安全筑牢堅(jiān)實(shí)屏障，有力促進(jìn)金融市場(chǎng)的穩(wěn)定健康發(fā)展態(tài)勢(shì)。
國(guó)家市場(chǎng)監(jiān)督管理局在市場(chǎng)監(jiān)管的廣闊領(lǐng)域中發(fā)揮著不可或缺的作用。針對(duì)各類市場(chǎng)主體的經(jīng)營(yíng)活動(dòng)實(shí)施全面監(jiān)督管理，其中涵蓋對(duì)涉及個(gè)人信息處理的企業(yè)的監(jiān)管工作。密切關(guān)注企業(yè)在商業(yè)運(yùn)營(yíng)活動(dòng)中是否存在侵犯消費(fèi)者個(gè)人信息的不當(dāng)行為，例如在市場(chǎng)營(yíng)銷、客戶服務(wù)等環(huán)節(jié)中是否存在未經(jīng)授權(quán)擅自收集、使用消費(fèi)者個(gè)人信息等違法情形，以維護(hù)市場(chǎng)的正常秩序以及消費(fèi)者的合法權(quán)益。
講解過程中，丁律師通過一則典型處罰案例提示對(duì)于信息安全保護(hù)和處罰上日益嚴(yán)格的趨勢(shì)。該案例中，由核心處罰機(jī)構(gòu)證監(jiān)會(huì)對(duì)做出了一份對(duì)個(gè)人采取出具警示函的處罰決定，決定稱：身為公司當(dāng)時(shí)的首席信息官，鑒于在公司違規(guī)行為中涉及信息系統(tǒng)的部分負(fù)有領(lǐng)導(dǎo)責(zé)任。依據(jù)《證券基金經(jīng)營(yíng)機(jī)構(gòu)信息技術(shù)管理辦法》第五十七條之規(guī)定，對(duì)其實(shí)施出具警示函的行政監(jiān)管舉措。由此案例可以明顯看出，此次事件聚焦于信息安全問題。在證監(jiān)會(huì)體系下的這些機(jī)構(gòu)，以往其受到的處分多與合規(guī)性相關(guān)，畢竟證監(jiān)會(huì)本就是強(qiáng)監(jiān)管單位，合規(guī)內(nèi)容繁多。然而，如今著重強(qiáng)調(diào)信息安全，這屬于新增的監(jiān)管要點(diǎn)。就像前年銀保監(jiān)專門開展了整治金融機(jī)構(gòu)侵犯?jìng)€(gè)人信息亂象的專項(xiàng)行動(dòng)，由此推測(cè)，證監(jiān)會(huì)在未來大概率也會(huì)推進(jìn)類似工作。當(dāng)下所提及的僅僅是《證券基金經(jīng)營(yíng)機(jī)構(gòu)信息技術(shù)管理辦法》，但可以預(yù)見，未來針對(duì)信息安全方面的要求必然會(huì)持續(xù)提升，標(biāo)準(zhǔn)也會(huì)日益嚴(yán)格。
四、基金行業(yè)合規(guī)建議
丁律師結(jié)合其豐富的執(zhí)業(yè)經(jīng)驗(yàn)，為基金行業(yè)個(gè)人信息保護(hù)的合規(guī)建設(shè)提出了完善的建議。一方面要建立完善嚴(yán)格的內(nèi)控制度，另一方面要完善個(gè)人信息處理流程。
其中，構(gòu)建完備且嚴(yán)謹(jǐn)?shù)膬?nèi)控制度堪稱重中之重。首先是內(nèi)部管理制度及操作規(guī)程，包括基金管理人及其委托和基金銷售機(jī)構(gòu)外包服務(wù)機(jī)構(gòu)、基金托管人等。在履職過程當(dāng)中，如果均涉及了個(gè)人信息處理，應(yīng)當(dāng)建立個(gè)人信息保護(hù)內(nèi)部管理制度，指導(dǎo)個(gè)人信息保護(hù)制度實(shí)施。第二是制定個(gè)人信息的處理規(guī)則，嚴(yán)格按照個(gè)人信息保護(hù)法第四條相關(guān)規(guī)定，做好一些要做好并且做好公開準(zhǔn)備，以便投資者查閱和保存。第三是個(gè)人信息的處理的同意和確認(rèn)。這里面不僅包括了一般個(gè)人信息，還包括了敏感個(gè)人信息。第四是進(jìn)行內(nèi)部安全保護(hù)升級(jí)處理。
完善個(gè)人信息處理流程方面，丁律師從四個(gè)維度提出具體的建議。一是基金募集過程植入個(gè)人信息處理前置程序，做好事前評(píng)估與記錄。新增個(gè)人信息處理的告知與同意，對(duì)于涉及名按個(gè)人信息的，還需拓展告知的范圍，像個(gè)人告知處理敏感個(gè)人信息的必要性以及對(duì)個(gè)人權(quán)益的影響，并取得投資者的單獨(dú)同意。同時(shí)新增個(gè)人信息處理規(guī)則公示，在公司營(yíng)業(yè)場(chǎng)所、網(wǎng)站、公眾號(hào)、APP等登錄瀏覽界面新增公示頁(yè)面，明確投資者在個(gè)人信息處理活動(dòng)中的權(quán)利。二是建議委托募集和委托提供外包服務(wù)時(shí)，在代銷合同等中明確多重關(guān)系及對(duì)基金銷售機(jī)構(gòu)個(gè)人信息保護(hù)的要求；在運(yùn)用服務(wù)合同或備忘錄中明確基金管理人委托外包服務(wù)機(jī)構(gòu)處理的目的、期限、處理方式、個(gè)人信息的種類、保護(hù)措施及雙方權(quán)利義務(wù)等，并對(duì)受托方履約進(jìn)行監(jiān)督。三是在基金運(yùn)作中涉及投資者信息的更新與補(bǔ)充情況時(shí)，也要依據(jù)前述標(biāo)準(zhǔn)保護(hù)個(gè)人信息安全。四是注重投資者贖回或基金清算后的個(gè)人信息處理。對(duì)此，基金相關(guān)法律法規(guī)、監(jiān)管規(guī)則、自律規(guī)則對(duì)個(gè)人信息處理者、個(gè)人信息受托處理者提出了不一樣的保存及刪除要求，各市場(chǎng)參與者出于合規(guī)考慮，必須保存相應(yīng)業(yè)務(wù)數(shù)據(jù)，待個(gè)人信息保存期限屆期后，信息處理者應(yīng)主動(dòng)刪除上述信息。
（注：以上嘉賓觀點(diǎn)，根據(jù)錄音整理，未經(jīng)本人審閱）
供稿：上海律協(xié)公司與商事專業(yè)委員會(huì)
執(zhí)筆：許碩 浙江京衡（上海）律師事務(wù)所
滬公網(wǎng)安備 31010402007129號(hào)
