專家解讀《個人信息保護法》對金融業(yè)的影響 “差異化銷售”與“大數(shù)據(jù)殺熟”邊界在于“是否同意”

    本報記者 李冰

    剛剛還在討論一個物品，隨后就收到類似產(chǎn)品的廣告推送；隨便瀏覽個房產(chǎn)信息，沒多久就會接到銷售的電話……很多手機用戶可能都有過類似體驗，懷疑自己的生活是否被“竊聽”了，到底是誰動了我的個人信息？為什么手機會這么“懂”我？

    自11月1日起，《個人信息保護法》正式實施，有望為個人信息保護加上法律的“安全鎖”。

    按照《個人信息保護法》的規(guī)定，金融機構(gòu)作為“個人信息處理者”應(yīng)該承擔哪些義務(wù)？對金融服務(wù)業(yè)會產(chǎn)生哪些影響？為此，《證券日報》記者專訪了北京大成律師事務(wù)所合伙人、中國銀行法學研究會理事肖颯，從法律角度予以解讀。

    《證券日報》：《個人信息保護法》的實施，將對金融機構(gòu)以及金融業(yè)產(chǎn)生何種影響？

    肖颯：《個人信息保護法》實施后，金融機構(gòu)在獲得和使用公民個人信息時，將面臨更嚴格的監(jiān)管要求，大致體現(xiàn)在信息的獲取、處理、撤回三個方面。尤其是在個人信息撤回方面，金融機構(gòu)需要為客戶提供便捷的撤回選項和撤回方式，并在客戶撤回同意后，應(yīng)當采取有效的措施及時停止處理已經(jīng)獲取的個人信息并將其刪除。

    《個人信息保護法》的實施，將對金融機構(gòu)的相關(guān)展業(yè)帶來一定挑戰(zhàn)。一是對相關(guān)違法行為的處罰力度加大；二是針對不同信息處理者之間的邊界問題，需要各方在合作協(xié)議和操作流程中厘清自身責任和義務(wù)邊界，共同落實好相關(guān)規(guī)定。

    《證券日報》：金融業(yè)中的“差異化銷售”與侵害個人權(quán)益的“大數(shù)據(jù)殺熟”之間的界限在哪里？

    肖颯：《個人信息保護法》第24條的自動化決策條款，回應(yīng)了關(guān)于商家大數(shù)據(jù)殺熟、精準營銷等大眾廣為關(guān)注的痛點問題，備受消費者關(guān)注。該條款規(guī)定，金融機構(gòu)可以通過自動化決策方式向個人進行信息推送、商業(yè)營銷，但應(yīng)當同時提供不針對其個人特征的選項，或者向個人提供便捷的拒絕方式。

    從金融業(yè)務(wù)實際操作層面來看，金融機構(gòu)通過在提供商品和服務(wù)過程中獲取的消費者個人信息，結(jié)合行為數(shù)據(jù)等做出用戶畫像，進而推行差異化服務(wù)，現(xiàn)已成為常態(tài)。區(qū)別“大數(shù)據(jù)殺熟”與“差異化銷售”的標準主要有兩個：一是商家是否隱瞞了相同產(chǎn)品不同定價、不同產(chǎn)品相同定價的情況；二是消費者在做出購買決策時，是否明知產(chǎn)品存在不同價格的情況。因此，界定是否屬于“大數(shù)據(jù)殺熟”，關(guān)鍵要看消費者獲得的信息是否全面透明、消費者是否屬于“知情”條件下的“同意”。

    《證券日報》：“匿名化處理后的信息”為什么不屬于“個人信息”？“衍生個人信息”與金融機構(gòu)自有的商業(yè)信息、商業(yè)秘密、知識產(chǎn)權(quán)之間存在怎樣的關(guān)系？

    肖颯：《個人信息保護法》第4條規(guī)定，“個人信息是以電子或者其他方式記錄的與已識別或者可識別的自然人有關(guān)的各種信息，不包括匿名化處理后的信息。”所謂個人信息，是指通過該信息能夠識別到特定的自然人。信息經(jīng)過匿名化處理后，已不能識別到特定自然人，因此不屬于《個人信息保護法》規(guī)定的“個人信息”范疇。

    例如，一家證券公司通過某個自然人客戶群體的投資交易信息，分析提煉得出該群體具有何種投資偏好的結(jié)論，這些結(jié)論并不指向某個具體的投資者，也不會以此信息識別出是哪個投資者的具體交易信息，那么這個結(jié)論作為衍生個人信息，已經(jīng)不再是《個人信息保護法》規(guī)定的“個人信息”，而是轉(zhuǎn)化為金融機構(gòu)自有的商業(yè)信息和商業(yè)秘密，金融機構(gòu)擁有其知識產(chǎn)權(quán)。

    事實上，衍生數(shù)據(jù)與網(wǎng)絡(luò)用戶信息、原始網(wǎng)絡(luò)數(shù)據(jù)無直接對應(yīng)關(guān)系，雖然同樣源于網(wǎng)絡(luò)用戶信息，但經(jīng)過網(wǎng)絡(luò)運營者大量的智力勞動成果投入，經(jīng)過深度開發(fā)與系統(tǒng)整合，最終呈現(xiàn)給消費者的數(shù)據(jù)內(nèi)容已獨立于網(wǎng)絡(luò)用戶信息、原始網(wǎng)絡(luò)數(shù)據(jù)之外，可以為運營者所實際控制和使用，并帶來經(jīng)濟利益。網(wǎng)絡(luò)運營者對其開發(fā)的數(shù)據(jù)產(chǎn)品享有獨立的財產(chǎn)性權(quán)益。

    《證券日報》：按照《個人信息保護法》規(guī)定，金融機構(gòu)作為“個人信息處理者”要承擔哪些義務(wù)？有哪些環(huán)節(jié)需要注意？

    肖颯：首先，金融機構(gòu)在取得個人信息的環(huán)節(jié)，除第13條規(guī)定的例外情形外，應(yīng)當以“取得個人同意”為前提，否則任何收集個人信息的行為都屬違法。其次，《個人信息保護法》要求銀行等金融機構(gòu)在處理一些特別的個人信息的時候，征信主體須取得個人的“單獨同意”。這些信息主要包括：涉及向第三方提供個人信息的條款；涉及公開個人信息的條款；涉及在公共場所安裝圖像采集、個人身份識別設(shè)備，用于維護公共安全之外的其他目的條款；涉及敏感個人信息條款；涉及個人信息出境的條款；涉及不滿十四周歲未成年人個人信息的條款。但很多銀行在進行業(yè)務(wù)辦理時，為了提高效率、降低成本，往往都采用格式條款。

    需要強調(diào)的是，銀行等金融機構(gòu)應(yīng)注意取得“單獨同意”的方式方法，金融機構(gòu)需要設(shè)置“同意前告知”這一環(huán)節(jié)，在告知客戶時，要安排專業(yè)人員“一對一”提供服務(wù)，使客戶充分知情及自愿做出同意的意思表示和行為。