脱口秀艺人池子的劳动纠纷暴露出银行个人金融信息中的安全短板

脱口秀艺人王越池(艺名:池子)与笑果文化的劳动纠纷,意外让中信银行“踩雷”。前日,池子发长微博控诉,中信银行在没有获得个人同意的前提下,打印了池子近两年的流水交给笑果文化,中信银行客服对池子的解释是“配合大客户的要求”。事件迅速引发大众关注,中信银行被顶上热搜。7日凌晨,中信银行在官方微博上发布致歉信,承认员工未严格按规定办理,并对支行行长予以撤职。因为涉事网点为中信银行虹口支行,按照监管属地原则,上海银监局相关人士表示已介入调查。

■新快报记者 许莉芸

“大客户”能否查询个人流水信息

中信银在深夜发表的致歉信中称,关于王越池先生(艺名“池子”)通过微博反映其个人账户交易信息被调取一事,“经核实,近期上海笑果文化传媒有限公司联系开户支行,要求查询其为员工王越池先生支付劳务工资记录时,我行员工未严格按规定办理,提供了王先生的收款记录。”

“大客户”是否有特权?事实上,各家银行在客户经营上会针对不同大客户给予不同的VIP待遇。但这并不意味着能随意调取用户的个人信息。“在银行调取客户流水其实是一件很正常的事儿,比如推销理财、信用卡、pos机等都能用到,但是我们不会把客户的信息提供给我们银行以外的人。”某股份制银行风控相关人士对新快报记者表示,除了个别员工的操作问题外,极有可能中信银行内部管理也存在漏洞。

中信银行则表示,“在客户信息保护方面,我行建立了一整套制度及流程,但个别员工未严格按照制度操作,反映出我行个别机构在制度执行上不到位。我行将举一反三,全面检查,加大培训,强抓制度执行,避免此类问题再次发生。”

“理论上说,银行是不能把客户的个人信息透露给第三方,除非客户本人同意才可以。”国家金融与发展实验室特聘研究员董希淼表示。多位律师对新快报记者表示,未经当事人授权以及司法机关合法调查的情况下,银行向第三方提供个人账户交易明细属于违法行为。也就是说,打印流水必须是本人持有效身份证件,或者是取得本人书面委托授权且经过公证的,银行才会认可。

情节严重者可判刑

作为银行客户,在办理业务时都需要与银行签署合同。“合同中,银行通常负有为客户保守个人信息的义务。”北京威诺律师事务所主任杨兆全表示,根据《合同法》第一百零七条规定:“当事人一方不履行合同义务或者履行合同义务不符合约定的,应当承担继续履行、采取补救措施或者赔偿损失等违约责任。”他认为,若银行未经客户授权,且无其他正当理由打印银行流水给他人,便违反了保密义务,应当承担违约责任。

除了违约责任,公众关注的焦点更在于银行泄露个人隐私。

中国人民大学法学院教授刘俊海表示,在没有法律授权的的情况下,任何单位和个人都不得要求银行非法泄露消费者的个人隐私信息。《消费者权益保护法》第29条规定, “经营者收集使用消费者个人信息,应当遵循合法、正当、必要的原则,明示收集、使用信息的目的、方式和范围,并经消费者同意。”经营者及其工作人员,包括银行工作人员,“对收集的消费者个人信息,必须严格保密,不得泄露、出售或者非法向他人提供。”否则,就要承担对消费者的民事赔偿责任。情节严重,构成犯罪的,按照《刑法》第253条的规定,还要追究泄露公民个人信息罪的刑事责任。

广东合邦律师事务所律师肖锦阳也表示,根据《关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》规定,如果非法获取的信息数量较大,即便没有造成任何实际损害,也能构成犯罪,比如“非法获取、出售或者提供行踪轨迹信息、通信内容、征信信息、财产信息50条以上的”或“非法获取、出售或者提供住宿信息、通信记录、健康生理信息、交易信息等其他可能影响人身、财产安全的公民个人信息500条以上的”等行为,属于情节严重,应该认定为犯罪。

如何守护个人金融信息安全?

某银行支行行长泄露用户个人信息,银行员工为了业绩盗用他人信息办理ETC等个人金融信息泄露事件,近年来屡见不鲜。不久前还曾传出“大量中国银行业的客户数据在暗网被兜售”的消息,涉及多家金融机构。银保监会副主席黄洪对此公开回应称,经查被贩卖的信息绝大部分是黑客伪造或拼凑的。但是不可否认,提高个人金融信息安全意识,保护好个人信息已经刻不容缓。

个人金融信息问题,已经成为监管层愈发重视的问题。今年2月份,金融标准化委员会下发了《个人金融信息保护技术规范》,不仅对个人金融信息从敏感度进行了分类,还对个人金融信息在收集、传输、存储、使用、删除、销毁等各环节的安全防护提出要求。其中还提及,对于个人信息收集要采取“最少够用”原则,即数量最少、频率最低、保存时间最短。同时还要求收集个人信息类型应该与产品或服务的业务功能有直接关联。

去年底,央行发布的《中国人民银行金融消费者权益保护实施办法(征求意见稿)》称,金融机构收集、使用消费者金融信息,应当遵循合法、正当、必要原则,经金融消费者明示同意。金融机构不得收集与业务无关的消费者金融信息,不得采取不正当方式收集信息,不得变相强制收集消费者金融信息。金融机构及其工作人员应当对消费者金融信息严格保密,不得泄露或者非法向他人提供。

毫无疑问,此次中信银行事件,将再次引发监管对金融机构个人信息安全问题的排查。事实上,今年关于个人金融信息安全问题,早已成为监管关注重点。早在4月17日,央行官网公布的《2020年规章制定工作计划》中,就包括了个人金融信息(数据)保护试行办法、征信业务管理办法、中国人民银行金融消费者权益保护实施办法等。