專家解讀《個(gè)人信息保護(hù)法》對(duì)金融業(yè)的影響 “差異化銷售”與“大數(shù)據(jù)殺熟”邊界在于“是否同意”

    本報(bào)記者 李冰

    剛剛還在討論一個(gè)物品，隨后就收到類似產(chǎn)品的廣告推送；隨便瀏覽個(gè)房產(chǎn)信息，沒多久就會(huì)接到銷售的電話……很多手機(jī)用戶可能都有過類似體驗(yàn)，懷疑自己的生活是否被“竊聽”了，到底是誰動(dòng)了我的個(gè)人信息？為什么手機(jī)會(huì)這么“懂”我？

    自11月1日起，《個(gè)人信息保護(hù)法》正式實(shí)施，有望為個(gè)人信息保護(hù)加上法律的“安全鎖”。

    按照《個(gè)人信息保護(hù)法》的規(guī)定，金融機(jī)構(gòu)作為“個(gè)人信息處理者”應(yīng)該承擔(dān)哪些義務(wù)？對(duì)金融服務(wù)業(yè)會(huì)產(chǎn)生哪些影響？為此，《證券日?qǐng)?bào)》記者專訪了北京大成律師事務(wù)所合伙人、中國銀行法學(xué)研究會(huì)理事肖颯，從法律角度予以解讀。

    《證券日?qǐng)?bào)》：《個(gè)人信息保護(hù)法》的實(shí)施，將對(duì)金融機(jī)構(gòu)以及金融業(yè)產(chǎn)生何種影響？

    肖颯：《個(gè)人信息保護(hù)法》實(shí)施后，金融機(jī)構(gòu)在獲得和使用公民個(gè)人信息時(shí)，將面臨更嚴(yán)格的監(jiān)管要求，大致體現(xiàn)在信息的獲取、處理、撤回三個(gè)方面。尤其是在個(gè)人信息撤回方面，金融機(jī)構(gòu)需要為客戶提供便捷的撤回選項(xiàng)和撤回方式，并在客戶撤回同意后，應(yīng)當(dāng)采取有效的措施及時(shí)停止處理已經(jīng)獲取的個(gè)人信息并將其刪除。

    《個(gè)人信息保護(hù)法》的實(shí)施，將對(duì)金融機(jī)構(gòu)的相關(guān)展業(yè)帶來一定挑戰(zhàn)。一是對(duì)相關(guān)違法行為的處罰力度加大；二是針對(duì)不同信息處理者之間的邊界問題，需要各方在合作協(xié)議和操作流程中厘清自身責(zé)任和義務(wù)邊界，共同落實(shí)好相關(guān)規(guī)定。

    《證券日?qǐng)?bào)》：金融業(yè)中的“差異化銷售”與侵害個(gè)人權(quán)益的“大數(shù)據(jù)殺熟”之間的界限在哪里？

    肖颯：《個(gè)人信息保護(hù)法》第24條的自動(dòng)化決策條款，回應(yīng)了關(guān)于商家大數(shù)據(jù)殺熟、精準(zhǔn)營銷等大眾廣為關(guān)注的痛點(diǎn)問題，備受消費(fèi)者關(guān)注。該條款規(guī)定，金融機(jī)構(gòu)可以通過自動(dòng)化決策方式向個(gè)人進(jìn)行信息推送、商業(yè)營銷，但應(yīng)當(dāng)同時(shí)提供不針對(duì)其個(gè)人特征的選項(xiàng)，或者向個(gè)人提供便捷的拒絕方式。

    從金融業(yè)務(wù)實(shí)際操作層面來看，金融機(jī)構(gòu)通過在提供商品和服務(wù)過程中獲取的消費(fèi)者個(gè)人信息，結(jié)合行為數(shù)據(jù)等做出用戶畫像，進(jìn)而推行差異化服務(wù)，現(xiàn)已成為常態(tài)。區(qū)別“大數(shù)據(jù)殺熟”與“差異化銷售”的標(biāo)準(zhǔn)主要有兩個(gè)：一是商家是否隱瞞了相同產(chǎn)品不同定價(jià)、不同產(chǎn)品相同定價(jià)的情況；二是消費(fèi)者在做出購買決策時(shí)，是否明知產(chǎn)品存在不同價(jià)格的情況。因此，界定是否屬于“大數(shù)據(jù)殺熟”，關(guān)鍵要看消費(fèi)者獲得的信息是否全面透明、消費(fèi)者是否屬于“知情”條件下的“同意”。

    《證券日?qǐng)?bào)》：“匿名化處理后的信息”為什么不屬于“個(gè)人信息”？“衍生個(gè)人信息”與金融機(jī)構(gòu)自有的商業(yè)信息、商業(yè)秘密、知識(shí)產(chǎn)權(quán)之間存在怎樣的關(guān)系？

    肖颯：《個(gè)人信息保護(hù)法》第4條規(guī)定，“個(gè)人信息是以電子或者其他方式記錄的與已識(shí)別或者可識(shí)別的自然人有關(guān)的各種信息，不包括匿名化處理后的信息。”所謂個(gè)人信息，是指通過該信息能夠識(shí)別到特定的自然人。信息經(jīng)過匿名化處理后，已不能識(shí)別到特定自然人，因此不屬于《個(gè)人信息保護(hù)法》規(guī)定的“個(gè)人信息”范疇。

    例如，一家證券公司通過某個(gè)自然人客戶群體的投資交易信息，分析提煉得出該群體具有何種投資偏好的結(jié)論，這些結(jié)論并不指向某個(gè)具體的投資者，也不會(huì)以此信息識(shí)別出是哪個(gè)投資者的具體交易信息，那么這個(gè)結(jié)論作為衍生個(gè)人信息，已經(jīng)不再是《個(gè)人信息保護(hù)法》規(guī)定的“個(gè)人信息”，而是轉(zhuǎn)化為金融機(jī)構(gòu)自有的商業(yè)信息和商業(yè)秘密，金融機(jī)構(gòu)擁有其知識(shí)產(chǎn)權(quán)。

    事實(shí)上，衍生數(shù)據(jù)與網(wǎng)絡(luò)用戶信息、原始網(wǎng)絡(luò)數(shù)據(jù)無直接對(duì)應(yīng)關(guān)系，雖然同樣源于網(wǎng)絡(luò)用戶信息，但經(jīng)過網(wǎng)絡(luò)運(yùn)營者大量的智力勞動(dòng)成果投入，經(jīng)過深度開發(fā)與系統(tǒng)整合，最終呈現(xiàn)給消費(fèi)者的數(shù)據(jù)內(nèi)容已獨(dú)立于網(wǎng)絡(luò)用戶信息、原始網(wǎng)絡(luò)數(shù)據(jù)之外，可以為運(yùn)營者所實(shí)際控制和使用，并帶來經(jīng)濟(jì)利益。網(wǎng)絡(luò)運(yùn)營者對(duì)其開發(fā)的數(shù)據(jù)產(chǎn)品享有獨(dú)立的財(cái)產(chǎn)性權(quán)益。

    《證券日?qǐng)?bào)》：按照《個(gè)人信息保護(hù)法》規(guī)定，金融機(jī)構(gòu)作為“個(gè)人信息處理者”要承擔(dān)哪些義務(wù)？有哪些環(huán)節(jié)需要注意？

    肖颯：首先，金融機(jī)構(gòu)在取得個(gè)人信息的環(huán)節(jié)，除第13條規(guī)定的例外情形外，應(yīng)當(dāng)以“取得個(gè)人同意”為前提，否則任何收集個(gè)人信息的行為都屬違法。其次，《個(gè)人信息保護(hù)法》要求銀行等金融機(jī)構(gòu)在處理一些特別的個(gè)人信息的時(shí)候，征信主體須取得個(gè)人的“單獨(dú)同意”。這些信息主要包括：涉及向第三方提供個(gè)人信息的條款；涉及公開個(gè)人信息的條款；涉及在公共場所安裝圖像采集、個(gè)人身份識(shí)別設(shè)備，用于維護(hù)公共安全之外的其他目的條款；涉及敏感個(gè)人信息條款；涉及個(gè)人信息出境的條款；涉及不滿十四周歲未成年人個(gè)人信息的條款。但很多銀行在進(jìn)行業(yè)務(wù)辦理時(shí)，為了提高效率、降低成本，往往都采用格式條款。

    需要強(qiáng)調(diào)的是，銀行等金融機(jī)構(gòu)應(yīng)注意取得“單獨(dú)同意”的方式方法，金融機(jī)構(gòu)需要設(shè)置“同意前告知”這一環(huán)節(jié)，在告知客戶時(shí)，要安排專業(yè)人員“一對(duì)一”提供服務(wù)，使客戶充分知情及自愿做出同意的意思表示和行為。