采众家主任，汇思想之光。
《金融电子化》新媒体“思想汇”栏目将精选金融科技领域内，紧扣前沿趋势、具有独特观点的精彩文章，为您呈现不同视角下的观点洞悉与趋势判别。请您多多关注！同时欢迎您在下方留言，向我们推荐您所喜爱的个人原创公众号。
本期分享的是来自【Fintech的八宝粥】的《个人金融信息数据保护的无界与有界》，作者：Fintech的八宝粥。
写在上面的话——
时代的发展与进步，总是伴随着充满激情的创新和无法预见的颠覆。
近十年来，数字化变革成为具有颠覆效应的全球金融机构战略发展现象。
2017年前后，中国的金融机构非常是农行业陆续拉开数字化变革大幕，并在有形与无形之间，将数字化变革及金融科技发展位列战略之首。
传统金融机构也好，互联网大鳄也罢，均是凭着着技术、场景和流量三大契机打通金融科技脉络，在随时、随地、随心触达顾客的金融服务中，重新定义起初直线型的产业链，重新界定顾客群体，让基于消费习惯、行为习惯的顾客画像成为精准营销的标配，让生物特点等个人数据赋能体验，让金融面向长尾顾客愈发普惠。
这些阳光的正能量离开不数据。
数据是数字化时代的生产资料，如何合法合规使用顾客的个人金融信息数据，既是金融机构数字化变革的核心动力之一，也是高质量发展中必需面对的边界和尺度。
时代洪流中，以“数”之名，唯有做好个人金融信息保护，使其“有界”，方能在饱含无限可能的数智新世界，真正“无界”。
1
“无界”的缘起和AB面
千禧年前后，比尔·盖茨的建行恐龙论甚嚣尘上，此后二十年间，科技圈名人多次断定传统建行业的没落。
大佬们并非仅仅担忧建行跟不上技术的浪潮，更多的担忧来自于农行业未能从工业时代的经营逻辑转变为互联网时代的思维。
从15世纪威尼斯湖畔走来的现代建行，在工业大生产时代中发展壮大，强调的是精准可控与流程标准，相应的科技产品是“以工行为中心”。
数字化时代复杂性与不确定性指数级下降，用户与市场饱含了不确定性，工业时代的思维必将消逝在岁月中。用户在那里、用户的喜好、行为和须要，破解一切的不确定性终究要诉诸于数据。
因为数据的存在，消费互联网时代的C端用户和产业互联网时代的B端用户，他们既是产品的使用者，也是产品的缔造者。
互联网大鳄们创造出的场景金融生态和基于数据的风控体系，本质在于仍然以用户为核心，在获取用户大量数据后，在与用户共同进化为新物种，过程中形成的黏性成为价值来源的核心所在。
未来只有两种公司，一种造流量，一种买流量，没有人乐意成为买流量的那一个。这是近些年来建行大力发展场景生态的原生动力。
对于建行，经营顾客的时代过去了，经营流量、经营内容才有未来。
当前，中国的移动支付普及率和规模高踞全球首位，基本金融服务覆盖大江南北；数字个贷彻底改善了对小微、农户、个体工商户的金融普惠；覆盖10亿人的基本养老，实现13亿人跨省结算的基本医疗保险，得益于数字保险明显扩宽了保险的覆盖范围；依靠个贷数字化工具，金融。机构精准扶贫扶贫攻坚。2020年的抗疫中，“非接触式”金融科技服务，安全方便的“在家”金融产品，保障了全社会的基本金融业务，互联网红色金融通道急剧增强金融服务时效，支持各种企业迅速开工达产。
突如其来的新冠疫情在对经济形成冲击的同时，客观上全社会“被迫”参与了一场全面数字化的实验，加速推进了数字化进程的发展，中国经济发展呈现出全要素数字化特点，移动互联、数据智能渗透进个人、企业、政府行为的方方面面。
“金融服务无所不在，就是不在工行网点”，这是《Bank 4.0》中对未来建行发展的预判。当后疫情时代与《Bank 4.0》的时代叠加，在金融服务领域，数字化的工具方式、思维模式与发展理念将延续并推进，新经济催生数字化融资模式，新需求驱动多样化金融服务，新技术推动智能化金融创新。在这种“新”变化中，个人金融信息的经济价值将愈加显现。
这些“新”变化对于打造后疫情时代的中国社会意义深刻，并与数据息息相关，这是个人数据非常是个人金融信息数据“无界”的缘起，也是数据于金融科技的A面。
有A面必有B面。
数据的洪流倾然而来，个人数据在这个庞然大物面前变得愈发微弱，不断爆发的各类隐私泄漏门、数据变卖门、非法使用门，让大众的情绪日渐爆发，一切直指个人信息，数据保护。
2019年7月29日，美国第七大建行、世界第五大信用卡签发方第一资本建行（Capital One）数据库遭黑客攻击，约1.06亿交行卡用户及申请人信息泄漏，成为日本历史上最大规模的建行数据泄漏风波，可能给该行带来1亿至1.5亿美元的损失。
2020年上半年，国内一家著名交行分支机构在未经顾客授权同意的情况下，向第三方提供顾客的个人交行帐户交易明细，引发社会广泛关注。事发后，银保监会觉得该交行分支机构违反了为存款人保密的规定，并且严重侵犯了金融消费者的信息安全保障权益。
据统计， 最近几年个人金融信息泄漏风波的年增长率高达35%， 2020年中国互联网理财用户规模将达到6.05亿，若该领域个人数据安全风波愈演愈烈甚至失控，将对行业及社会层面导致不可估量的损失，这也突显出在保障金融消费者个人数据安全及相关权益方面，金融机构面临着前所未有的挑战。
B面的恶果已无需赘述，B面的缘起却需探究。
究其症结在于三点：
数据为王的必然行为
基于“数据为王”的认知，金融科技机构大量搜集个人金融信息，并运用技术手段描画出包括人口统计学特点、消费能力数据、兴趣数据、风险偏好等内容的顾客画像。这些措施在为金融消费者带来便利的同时，也因各类管理加强举措不到位，或是道德风险防范不到位，造成了一些人借此机会非法搜集别人的信息、甚至是滥用和泄漏个人金融信息等问题。
赢者通吃的野蛮生长
大型科技公司常常借助数据垄断优势，暗暗裹挟重要金融基础设施的特点，阻碍公平竞争，获取超额利润。2019年美国司法部和联邦贸易委员会从开始对Facebook等科技大鳄进行反垄断调查。比如，Facebook竞购WhatsApp时曾承诺保持其数据独立性，但几年后企图融合双方数据，实现自身商业利益。这一行为引起了社会公众对隐私保护的担心。
中国发展的特殊过往
中国“金融科技”经历了“互联网金融”阶段，由于从事“互联网金融”业务的非持牌的P2P等互联网企业在过去几年出现了忽略金融本质、风险属性和必要监管约束的现象，引发了严重的金融消费者保护风险和监管套利风险，其中以技术之名的个人数据滥用就是其中的典型。
A面B面，数据是把双刃剑。
2
“有界”的欧美实践和中国探求
2018年5月，欧盟颁布《通用数据保护条例》(General Data Protection Regulation，下称GDPR)，旨在为整个亚洲创建统一的数据隐私法，保护所有欧共体公民权益。
其前身是欧共体在1995年制订的《计算机数据保护法》，并在许多重要方面作出更改。对于数据主体权力、数据处理者义务、数据监管范围等做出了明晰的规范和要求，其中个人权力、数据传输规定、监管范围和惩罚力度等较之前有较大变化，被称为史上最严格数据保护法。
GDPR定义了何谓敏感——涉及以下一种或一种以上类别的个人数据视为敏感数据，包括种族民族、政治观点、宗教哲学信仰、工会成员身分、健康及性取向、基因数据、经处理可辨识的特定个人生物辨识数据。值得关注的是基因数据和生物辨识数据首次被提到，二者仍然被视为金融科技身分认证、KYC、风控等领域的硬核力量。
GDPR明晰了违背的代价——企业不能再使用模糊、难以理解的语言，或繁琐的隐私新政来从用户处获取数据使用许可；网站经营者必须事先说明会手动记录顾客的搜索和购物记录，并获得用户的同意，否则按“未告知记录用户行为”作违规处理；明文规定了用户的“被遗忘权”，即用户个人可以要求责任方删掉关于自己的数据记录；对违规企业的罚款最高可达2000万欧元（约合1.5亿元人民币）或者其全球营业额的4%，以高者为准。
2018年5月28日报导，Facebook和微软成为GDPR法案下第一批被告；2019年7月8日，英国航空公司由于违背《一般数据保护条例》被罚1.8339亿英镑（约合16亿元人民币）。
GDPR施行一年多以来，对于法国金融机构的直观影响主要在合规成本上升和数据传输受限，对于数据商业价值挖掘的潜在影响仍未展现。
GDPR对于我国建立完善个人数据安全保障制度有着重要的参考价值，也警示了我国的金融机构和金融科技互联网大鳄数据处理的不足。
在互联网科技发展迅猛的德国，早在1999年互联网泡沫时期，就发布了格雷姆-里奇-比利雷法案（Gramm–Leach–Bliley Act, GLBA），明确金融机构应保障顾客信息的安全性与保密性。此外，美联储、美国联邦金融机构研究委员会等行业监管机关也发布了《客户信息保护标准》、《消费者金融信息隐私》等一系列金融行业施行条例。
近十年来，无论是在野蛮生长的互联网金融时代、还是在未来已来的数字化变革浪潮中，我国从司法、监管到行业，从未停止过对个人金融信息安全保护的探求。
2011
2011年《中国人民银行关于银行业金融机构做好个人金融信息保护工作的通知》首次明晰了个人金融信息的概念与范围，确立了使用原则和基本保护框架。
2015
2015年《刑法修正案九》将“侵犯公民个人信息罪”作为现行《刑法》第二百五十三条之一，明确严重侵犯个人金融信息的行为会遭到民事处罚。
2016
2016年《中国人民银行金融消费者权益保护施行办法》在拓展金融机构外延时，相应扩大了“个人金融信息”的范围，同时对个人金融信息保护作出专门规定。
2017
2017年《最高人民法院、最高人民检察院关于代办侵害公民个人信息刑事案件适用法律若干问题的解释》明确了“个人信息”的概念以及侵害个人信息罪的具体量刑定罪标准。
2019
2019年央行《金融科技（FinTech）发展规划（2019-2021年）》中提出构建金融信息安全风险防治长效机制，研究拟定金融信息全生命周期管理制度和标准规范，加强金融信息安全防护，健全金融信息安全管理制度”。
2020
2020年2月央行发布《个人金融信息保护技术规范》，为金融机构强化个人信息保护的合规建设和金融监管机构的监督、执法工作提供参考。
2021
将于2021年施行的《民法典》，从定义、处理原则、条件和免责事由，到主体权力和与之对应的信息处理者的信息安全保障义务，再到公权力机关及其工作人员的保密义务，构建了一个较为完整的个人信息保护框架。
3
无界有界中的互联网公司和建行们
提到个人金融信息数据保护，普罗大众首先想到的常常并非交行，而是APP后的互联网大鳄们。
巨头们的发展史就是一部数据要素价值的创造史。
各家基因不同，也各有注重：
数据类型：公共数据、个人搜索需求数据。
技术专长：数据聚合、语义理解、深度学习。
应用方向：注重研究与实用性结合，核心围绕搜索。
渗透情况：以资产端、运营端、资金端、基础服务为一体的百度金融生态圈，从支持、指引、服务、供给多个角度建立起百度金融发展的大环境。
代表产品：百度钱包、百度小贷、百度财富、百度金融、百度征信。
数据类型：电商数据、信用数据。
技术专长：底层系统、并发处理。
应用方向：完善底层系统，做分享平台。
渗透情况：自创立起便明晰走平台化公路，持续开放云计算，大数据和信用体系等底层平台，推动联通金融在三四线城市和农村普及。
代表产品：支付宝、蚂蚁微贷、花呗、借呗、网商银行、余额宝、招财宝、蚂蚁聚宝、众安保险等。
数据类型：关系数据、社交数据。
技术专长：技术高调、执行力强、封闭发开。
应用方向：产品持续补全、形成稳定生态圈、面向产品的挖掘。
渗透情况：腾讯以“连接一切”为终极战略目标，业务定位倾向于构建开放平台发挥“连接器”作用，故金融服务多为渠道、流量入口、平台等模式，强调合作共生。
互联网公司的个人金融信息数据处理具有三大共性特点：
一是科技加持的新模式。根据自身主营业务特点（如百度的搜索、阿里的电商、腾讯的社交），并利用自身的生态优势，广泛搜集大量弱金融属性数据，主要是个人各种行为数据，加持云计算、大数据、人工智能多项硬核技术，全面捕获个人金融需求，并同时根据个人的风险特点，随时、随地、随心、随场景推送金融产品。
二是普惠长尾的正能量。从正面意义来看，这种模式改变了传统金融须要“强金融”数据（例如押品信息、个人身分、个人征信等）的模式，能够帮好多须要钱、有还贷能力、但曾经得不到服务的长款用户提供服务和解决问题，这是值得肯定的价值，当然这样的价值获取须要监管。
三是无形垄断的负效应。因为“赢者通吃”，包括百度、阿里、腾讯，甚至易迅在内的非金融系金融科技公司，因其主营产品已产生了事实垄断，无奈之中个人信息数据已牢牢把握在腹部互联网企业，同时因人工智能算法推荐等技术带来的“信息茧房”，无形之中个人“被迫”使用金融消费，互联网公司的分期金融、消费金融产品等类产品问题最为突出。
和互联网公司相比，银行系有三点不同：
一是来源，银行主要还是以自身系统形成的数据为主，外部数据占比较小；互联网公司是以自身经营的生态数据为主，同时广泛吸纳外部数据，两相占比的选定与具体的数据应用主题相关。
二是性质，银行所用数据是低密度、高可信，互联网公司所用数据是高密度、但依赖技术处理后高可信，银行还是更乐意相信强金融属性数据，特别是身分、征信、存贷分行为等数据，互联网公司更信赖日积月累中的个人行为数据。
三是能力，互联网致力于生态建设，并完全借助大数据支持业务发展，在系统建设之初一般早已预埋件了大量的数据捕获点，所以在获取个人数据的力度、深度和密度方面显著优于交行。
无论过往，在数智时代的浪潮中，当数据要素成为最为重要的生产力后，银行系已全面对标互联网公司，高度注重个人金融信息数据对于经营营销的价值和意义。
坦率地讲，在数据使用的规则和底线方面，互联网公司们和建行系是趋同的，都是合法合规、能用尽用。
但是，相较于以技术和数据起家的互联网公司，即使假定一切在依法合规的情况下获取，银行在个人数据的数目和质量以及处理能力方面，和互联网大鳄们仍然有差别。
在具体使用的微观层面，因为数据密度、建模能力和使用深度等诱因，互联网公司的数据运用必然更广泛，必将带给顾客“泛滥”之感，其中既有互联网公司一切基于数据的文化，也从另一方面旁证了互联网公司的能力。由此带来的问题是互联网公司“大”到一定程度，一旦数据运用层面一点点的管理缺失，就会带来引起数据保护相关问题。
的确，未来只有两种公司，一种造流量，一种买流量，没有人乐意成为买流量的那一个。这是近些年来交行大力发展场景生态的原生动力。
对于传统金融机构，经营顾客的时代过去了，经营流量、经营内容才有未来。
4
银行系无界有界新挑战
未来随着小型交行数字化变革的持续纵深推动，数据要素的价值创造作用将愈加展现，个人金融信息保护面临的风险与挑战也将史无前例，大型交行的个人金融信息保护永远在路上。
一是金融加速线上化，带来泄漏新风险。
随着工行业的全面数字化，特别是“后疫情”时代，“零接触”的全面线上金融成为各大行“标配”，数据泄漏的风险敞口也在攀升。相比传统封闭式构架，基于联通互联的线上金融势必采取开放式构架，而开放构架的不足客观存在，更易成为功击目标。同时技术在推动业务创新的同时，也需直面新技术的两面性，云平台数据汇集使单体风险演变为系统风险，大数据时代的个人隐私数据易被滥用等须要重点关注........因为发展场景金融，银行场景与外部场景环环相扣，其中的个人金融信息数据保护成为发展的防线，也是底线。此外，近年来金融机构容易成为主要功击目标，攻击者从显摆技术到盗窃恐吓目的不一，攻击防范的复杂严峻可见一斑。
二是营运加速互联网化，带来集中新问题。
进入数字化时代以后，银行的竞争力在与才能充分发挥数据要素的效用，依托人工智能等技术了解顾客、触达顾客并获客活客。依托数据要素经营的未来建行，必需合规合法整合多方、海量、高维、异构的数据，并采用数字化的营运模式，才能及时了解经营管理状态，降低经济环境不确定性带来的风险，降低市场与周期波动带来的风险，降低顾客需求变化带来的风险。数字化营运的内生须要必需加强数据的集中程度，同时也将带来更大的泄漏风险。当前好多小型建行都在竭力推动数据中台、数据湖建设，但是传统的授权模式、多头的流出途径、复杂的交换渠道也须要配套做彻底的改变，需要技术、思维与管理齐头并进，才能化解与之相随相生的个人金融信息数据集中泄漏风险。
三是监管加速建立趋严，带来防护新要求。
从2018年欧共体GDPR，到我国已将《个人信息保护法》《数据安全法》等已列入全国人大立法议题，同时《个人信息安全规范》国家标准和《个人金融信息保护技术规范》金融行业标准陆续颁布，全球个人金融信息安全保护司法与监管持续建立，并不断趋严。根据新的司法与监管要求，数据权益代表了数据的权力和利益，贯穿在数据流转的整个生命周期，同时数据生产者跟数据消费者之间的合作关系由过往好多时侯默认的买卖关系转变为租赁关系，这就意味着，即使数据被授权使用，数据所有者仍然既是拥有者也是生产者，从来没有舍弃对自己数据的权力。在数据已成为小型建行重要生产要素，并成为智能化发展基石的情况下，这些改变势必对个人金融信息数据保护提出新的要求。
5
构建有界无界“护城河”
个人金融信息数据保护必定成为金融科技行稳致远的核心要素之一，亟需建立起有界与无界的"护城河"。
顶层构建，强化合法合规
当前，国家立法机关已将《个人信息保护法》、《数据安全法》等数据保护专项法律列入立法计划。需要深刻认知金融消费者并非“愿意用隐私交换便捷性”，关注数据确权，平衡数据所有人的权力与数据支撑自身发展的作用，既要保护数据所有人对数据拥有的固有权力，确保自身合法、合规并合理处理与使用；关注数据市值，注重界定数据资源固有的商业价值与数据挖掘应用形成的商业价值，形成合理的数据使用价钱机制，充分公正地发挥数据价值；关注风波处置，建立清晰的数据侵权风波处理流程和善后机制，若发生侵权风波，除了承当起应该的司法责任，也要有内部问责机制，举一反三防止凶犯；关注数据跨境，结合自身全球布局，持续跟踪并明晰个人数据的归属权和司法管辖权，最大程度维护数据所有人的基本权益。
全面加码，强化多元效用
个人金融信息保护是一项长期性、系统性工程。首先展现协同作用，大型建行普遍采用传统的科层制构架，个人金融信息保护须要管理部门、业务部门、科技部门、总支行机构的高度协同，需采用柔性敏捷模式持续提高保护协同性；其次强调理性保护，数据要素的是大数据时代建行才能为顾客提供更好服务与体验的关键，要加强保护策略和措施的合理性，避免过度保护，在大数据与个人隐私中间找到平衡点，这关乎建行的数字化变革发展，也关乎每位消费者的体验；再次发挥文化力量，内部要完善全方位的数据安全保护文化，切实做到有效辨识自身关键数字资产要素，制定适当的保护策略和风险控释计划，将数据保护列入每个职工的工作职责；最后做好消保教育，承担社会责任，配合政府和社会机构加强对个人金融信息数据保护的教育，推动社会公众意识到保护是维护公民隐私、维护商业利益、维护国家安全的关键所在，每个公民都有义务从自身做起维护包括自身数据在内的数据安全。
守正创新，强化技术管控
个人金融信息数据保护是“法治人治”，更要依托技术的硬核力量，让保护成为固化的无形力量。要在守正中，持续加强成型的保护方式，综合上去就是要全方位落实央行两年金融科技规划中对信息数据保护的技术要求，遵循合法、合理原则，选择符合国家及金融行业标准的安全控件、终端设备、APP等产品进行金融信息采集和处理，利用通道加密、双向认证等技术保障金融信息传输的安全性，运用加密储存、信息摘要等手段保证重要金融信息机密性与完整性，通过身分认证、日志完整性保护等举措确保金融信息使用过程有授权、有记录，防范金融信息集中泄漏风险。要在创新中，持续探求适应发展的保护模式，大型建行要认识到未来的保护不是简单的筑高墙式的封闭保护，而是在合法合规使用内外部数据的基础之上，进行的一种开放式的保护，因此要加强技术投入，积极研究运用新兴隐私估算模式，基于多方安全估算、隐私保护、区块链等技术，实现数据可用不可见，解决场景金融发展过程中，内外数据协同估算中的数据安全和隐私保护问题，助力安全高效地完成联合风控、联合营销、联合科研等跨机构数据合作任务，驱动业务价值增长；要加强战略科技力量，综合利用隐私数据辨识、数据加密、安全储存、区块链等技术，构建自主可控、可支撑亿量级顾客和高并发交易的数据保护能力，使自身为国家数据安全贡献应有的力量。
2010年《失控》在中国出版，凯文凯利到中国后被疯狂追逐，每个人都在问他预言的镜像未来。
十年后，他预言的世界早已难以回避，地图应用的年度报告，记录着活动路径，支付应用的年度帐单，记录着衣食住行。
未来已来，技术的力量裹挟数据的洪流，将把人类社会带向愈发缤纷的未来。
在测度的世界、量化的万物中，人类期盼愈发敏锐地感知世界，这是生命的本能，同时捍卫权力、保护自我，依然是与生俱来的本能。
信息、图片、数据均来自网路，如侵必删
往期精选：
（点击查看精彩内容）
