商业银行客户个人信息保护原则及违规后果

保护客户个人信息，是银行等金融机构应遵循的基本原则之一。伴随着《民法典》《数据安全法》的逐步颁布以及《个人信息保护法》出台，个人信息保护的范围、原则、法律后果等进一步明晰。

对商业银行而言，虽然其基于在主体信用上的先天优势，可以在业务服务中收集大量客户个人信息，但是对客户个人信息的使用、储存、公开披露等处理，成为了监管部门考核商业银行是否履行了个人信息保护职责的重要合规要点，也是商业银行承担民事、行政甚至是刑事责任的潜在风险点。

处理原则

目前法律规范对个人信息的定义分为两类，一是针对各行业都适用的个人信息，二是针对金融行业特有的个人金融信息。《民法典》第1034条对个人信息进行了定义。

《中国人民银行关于发布金融行业标准做好个人金融信息保护技术管理工作的通知》附件《个人金融信息保护技术规范》对个人金融信息进行了细化，即个人金融信息包括账户信息、鉴别信息、金融交易信息、个人身份信息、财产信息、借贷信息和其他反映特定个人金融信息主体某些情况的信息。

就商业银行处理个人信息的基本原则，《商业银行法》（修改建议稿）新增“个人信息保护与数据安全”部分，明确商业银行收集、保存和使用个人信息，应当符合法律、行政法规的规定，遵循“合法、正当、必要”原则，征得本人同意，并明示收集、保存、使用信息的目的、方式和范围。

其中，必要性原则系指处理个人信息应当具有明确、合理的目的，并应当限于实现处理目的所必要的最小范围、采取对个人权益影响最小的方式，不得进行与处理目的无关的个人信息处理。商业银行不得收集与业务无关的个人信息。

征得本人同意系指：

(1) 处理个人信息的同意，应当由个人在充分知情的前提下自愿、明确作出。法律、行政法规规定处理个人信息应当取得个人单独同意或者书面同意的，从其规定。

(2) 个人信息的处理目的、处理方式和处理的个人信息种类发生变更的，应当重新取得个人同意。

(3) 个人信息处理者处理不满14周岁未成年人个人信息的，应当取得未成年人的父母或者其他监护人的同意。

(4) 基于个人同意而进行的个人信息处理活动，个人有权撤回其同意。个人信息处理者应当提供撤回同意的便捷方式。个人撤回同意，不影响撤回前基于个人同意已进行的个人信息处理活动的效力。

违规处理的后果

行政责任

违规查询、泄露、倒卖客户信息、客户信息安全管理不到位等是银行在个人信息保护方面被处罚的典型事由。《反洗钱法》《居民身份证法》《个人信息保护法》《征信业管理条例》《中国人民银行金融消费者权益保护实施办法》等均对商业银行违法提供或出售信息、过失泄露信息等行为作出了包括合规审计、整改、罚款等在内的行政处罚规定。

民事责任

根据《民法典》第1182条、第1183条的规定，侵犯自然人的个人信息造成财产损失的，应当承担相应的赔偿责任；造成严重精神损害的，被侵权人有权请求精神损害赔偿责任。银行泄露个人信息除了承担赔偿责任之外，当事人根据案件事实有权依据《民法典》第179条的规定，要求银行承担赔礼道歉、恢复原状等民事责任。

此外，《个人信息保护法》规定了过错推定规则和个人信息共同处理中的连带责任规则，即个人信息处理者不能证明自己没有过错的，应当承担损害赔偿等侵权责任。两个以上个人信息处理者共同处理个人信息，侵害个人信息权益的，应当承担连带责任。

刑事责任

《刑法（2017修正）》第253条之一规定了侵犯公民个人信息罪，即违反国家有关规定，向他人出售或者提供公民个人信息，情节严重的，处三年以下有期徒刑或者拘役，并处或者单处罚金；情节特别严重的，处三年以上七年以下有期徒刑，并处罚金。违反国家有关规定，将在履行职责或者提供服务过程中获得的公民个人信息，出售或者提供给他人的，依照前款的规定从重处罚。其中“公民个人信息”，是指以电子或者其他方式记录的能够单独或者与其他信息结合识别特定自然人身份或者反映特定自然人活动情况的各种信息，包括姓名、身份证件号码、通信通讯联系方式、住址、账号密码、财产状况、行踪轨迹等。