安全牛课堂丨互联网金融场景下的个人信息安全告知同意

互联网金融场景下的告知同意主要涉及三类场景：

金融借贷，是指为用户提供从金融机构进行个人消费贷款服务，包括授信、借款、还款与交易记录等功能，这里的金融机构是指有放贷资质的银行、消费金融公司、小贷公司等在网络上提供借贷服务的机构。

助贷业务，是指金融科技机构通过自有系统或渠道筛选目标客群，在完成自有风控流程后，将较为优质的客户输送给持牌金融机构、类金融机构，经持牌金融机构、类金融机构风控终审后，完成发放贷款的一种业务。

金融机构线上业务，是指金融服务机构通过网络提供金融服务，为用户提供从金融机构进行存款、保险及投资理财服务，包括账户开户、存款、交易、认购、赎回、投保、理赔、分红、交易记录、查询与客服等功能，具有银行、保险、理财、投资等资质在网络上提供服务的金融机构及金融中介机构（统称“金融服务机构”）。

//

告知的内容

01

收集使用个人信息的告知

a) 金融机构收集法律法规要求的个人信息和实现服务所需的个人信息时，应将所采集的个人信息类型及采集使用的目的告知个人信息主体，并通过个人信息主体对信息收集主动做出肯定性动作征得其明示同意。

1) 当金融机构出于向个人信息主体提供授信、借款、还款、交易记录等产品或服务而收集使用个人信息时，应当在实名认证、绑定银行账户信息、获取个人征信信息、紧急联系人信息、借贷交易记录等基本功能开启前，向个人信息主体告知基本业务功能所必要收集的个人信息类型，包括网络日志、手机号码、身份证件信息、账户信息、银行账户信息、个人征信信息、紧急联系人信息、借贷交易记录等。并向个人信息主体说明拒绝提供或拒绝同意收集将带来的影响，并通过个人信息主体对信息收集主动做出肯定性动作（如勾选、点击“同意”或“下一步”等）征得其明示同意；

2) 当金融机构出于向个人信息主体提供产品或服务的扩展业务，包括但不限于基于定位的扩展功能、基于相机的扩展功能、基于通讯录的扩展功能、基于日历的扩展功能、基于麦克风的扩展功能，收集使用个人信息时，应当在扩展业务功能开启前，向个人信息主体注意告知所提供扩展业务功能及所必要收集的个人信息，并允许个人信息主体对扩展业务功能逐项选择同意。

b) 助贷机构收集使用个人信息的告知：

1) 当助贷机构出于向个人信息主体提供产品或服务的基本业务功能（产品推荐、借款申请、初步信审、资金匹配、还款管理等）的目的收集使用个人信息时，应当在基本业务功能开启前向个人信息主体告知基本业务功能所必要收集的个人信息类型，以及个人信息主体拒绝提供或拒绝同意收集将带来的影响，并通过个人信息主体对信息收集主动做出肯定性动作（如勾选、点击“同意”或“下一步”等）征得其明示同意；

2) 当个人信息控制者出于向个人信息主体提供产品或服务的扩展业务功能的目的收集使用个人信息时，应当在扩展业务功能（社区论坛、邀请分享、会员积分等）开启前，向个人信息主体注意告知所提供扩展业务功能及所必要收集的个人信息，并允许个人信息主体对扩展业务功能逐项选择同意。

c) 金融服务机构通过网络上提供金融服务的，应在主动收集客户信息、间接收取客户信息、客户主动提供信息、对外提供等实现业务所需信息前，告知客户收集使用个人金融信息的目的、范围及用途。

1) 必要信息是指金融机构为客户提供金融服务、业务实名制所需要的最小化身份信息，如姓名、性别、国籍、证件号、联系号码；额外信息是指金融机构为履行反洗钱和反恐融资义务所需除个人实名制信息之外的信息，包括但不限于职业、婚姻状况、家庭状况、住所、工作单位、照片、收入、动产及不动产、纳税公积金、账户状况、信用状况等含身份、财产、账户、信用、交易信息。

2) 存款、保险及投资理财属于金融机构基本职能，虽然基于反洗钱要求应对客户进行尽职调查，但不能以反洗钱为由无限扩大客户信息的获取范围及获取种类，针对可通过交叉验证或已经通过有效实名认证的网络客户，由于具体交易场景和目的相一致，可经客户同意直接获取或经客户授权同意间接获取必要的客户姓名、性别、证件号码后向客户提供金融服务；但因合理怀疑客户从事洗钱或恐怖融资等犯罪活动相关时，需收集其他信息的应逐项、清晰告知客户，并获得客户的明确同意。

02

对外提供个人信息的告知

a) 金融机构向与其存在业务关系的第三方提供个人信息的，应当事先明确告知信息主体第三方的姓名或者名称，第三方收集、处理、使用个人信息的特定的用途，范围和可能产生的后果等，并取得信息主体的明示同意。

注：金融机构将收集的个人信息委托给外包服务供应商或者外部合作机构处理的，应当事先取得个人信息主体的明示同意，并充分审查、评估外包服务供应商或者外部合作机构保护个人信息的能力，将其作为选择评估的重要指标。

b) 金融机构在评估个人信息保护及信息安全风险程度较低的情况下，通过协议方式委托第三方服务商对信息进行使用及处理，如计算机系统外包服务、科技外包服务商、广告服务、云服务、债务追讨、司法诉讼、法律及财务专业咨询机构、第三方SDK/API、小程序等。

1) 固定类型的委托外包服务可在隐私政策或服务合同内予以列明，清晰告知客户；

2) 不固定类型的委托外包服务可在具体应用场景予以说明，显著标示、提示第三方服务商名称。

注：委托第三方处理信息之前，应充分审查、评估第三方服务商保护个人金融信息的能力，通过委托处理协议约定职责和义务，对外部供应商、外部合作机构进行监督，并约定第三方服务商不得转委托。金融机构对委托机构及信息安全义务承担首要责任，不因委托而转移、减免。

//

告知同意的适当性

助贷业务告知同意的适当时机：可以在借款客户选择“申请借款”、“立即申请”、“立即借款”等类似表述后，并在借款申请的基本业务功能开启前，向个人信息主体告知基本业务功能所必要收集的个人信息类型，以及个人信息主体拒绝提供或拒绝同意收集将带来的影响。

注：这样操作告知的时间点和收集个人信息的时间点相差时间适当，且明确知道该客户具备借款意图后（非游客状态）向其告知较为合适，同时避免对无借款意图的客户造成不必要的打扰。

//

免于告知同意的情形

以下情形中，个人信息控制者共享、转让、公开披露个人信息，无需事先征得个人信息主体的授权同意：

a) 提供给中国人民银行个人征信中心或经其批准设立的合法征信机构；

b) 提供给中国互联网金融协会及其他合法成立的行业协会；

c) 基于非营利性科研目的的提供给科研机构（例如：高等院校、研究所等）；

除以上内容，互联网金融场景下个人信息告知的内容、方式、展示、适当性，同意模式与实现形式等，可遵循指南的一般规定。

扫码咨询课程报名

原文始发于微信公众号（安全牛）：安全牛课堂丨互联网金融场景下的个人信息安全告知同意