2012年中央电视台“3.15”晚会曝光了多家商业银行员工向不法分子出售客户个人金融信息，犯罪分子利用这些个人能信息筛选编排出最有可能的六位数密码，从而盗取银行客户银行卡内资金，导致大量客户存款被盗事件。随着金融业的快速发展，个人金融信息隐含的经济价值被激发，具有较大的商业市场价值。在经济利益的驱使下，少数商业机构采取各种不正当方式获取并使用他人金融信息，侵害了金融消费者的隐私权利，造成金融消费者的资金损失，给国家金融稳定带来巨大的隐患。因此，从法律层面加强对个人金融信息的保护，对维护个人权益、保证个人信息安全、维护个人权益和金融稳定具有重要意义。

　　一、个人金融信息的含义

　　(一)个人金融信息的概念

　　理论上讲，个人金融信息应当是广泛意义上自然人隐私的重要组成部分，金融隐私侧重于隐瞒敏感类个人信息，范围较窄，金融信息的范围更。对金融消费者提供广泛的信息保护更具有意义。结合有关国家的做法和实践情况看，个人金融信息是指金融机构在与自然人客户发生业务往来时，基于交易相对方的地位所知悉，收集使用保存、加工的有关信息，包括但不限于个人基本身份信息、交易记录信息以及其他信息。

　　(二)个人金融信息立法保护的必要性

　　1.个人金融信息保护的实践需要

　　金融消费者在与金融机构开展业务时，需要向金融机构提供各种个人信息，而金融消费者在开展金融业务时也会新生成内容不同的个人金融信息。另外，大数据技术的运用也使得金融机构可以较为轻易地通过分析上述信息，从而获取相关衍生金融信息。如此一来，金融机构便收集、保存着大量的个人金融信息。虽然金融机构运用这些信息给人们带来了便捷的服务，但同时也使金融消费者陷于因个人金融信息泄露而遭受财产和人身损害的风险。而且，相较于其他领域，与财产紧密相关的个人金融信息被侵害而导致的损失往往更大。

　　2.健全个人金融信息法律体系的要求

　　金融消费者因个人金融信息泄露而遭受损失的情形时有发生，对于金融消费者而言，鉴于刑法和行政法适用范围的有限，对其个人金融信息进行保护主要从两个方面出发，即经济法的角度和民法的角度。具体而言，从经济法的角度来说，一方面，经济法作为社会本位法，肩负着维护社会经济稳定、保护消费者权益的重任；另一方面，在一定程度上来说，经济法是国家管理市场经济主体的法律工具，放在金融消费者个人金融信息保护上，即央行、证监会以及银保监会等监管机构对传统金融机构和非传统金融机构如第三方支付机构等进行监督管理。纵观我国现行有关金融消费者个人金融信息保护的法律，其内容主要关注金融机构如何健全内部机制以保护个人金融信息，而忽视了金融消费者个人金融信息遭受侵害后的救济。

　　二、我国个人金融信息的立法现状

　　一方面，信息技术在社会发展扮演着越发重要的角色，例如，大数据技术、5G技术的应用使得实现车联网、物联网成为可能。对于金融行业来说更是如此，各项业务的处理均无法摒弃信息网络技术的利用。另一方面，由于此类技术的普及应用，个人金融信息的价值也愈发凸显。而由于上述两方面的原因，个人金融金融信息时刻存在着被泄露、盗窃的可能，其安全受到一定的威胁。而且，实践中违法收集、倒卖个人金融信息的事件也常见，不仅侵害金融消费者的合法利益，也造成金融秩序的隐患，影响金融行业发展。上述现象的存在如警钟般提醒着相关部门需对与个人金融信息保护相关的制度进行完善。

　　通过分析整理与个人金融信息保护相关的法律可以发现，现行法律体系中并无个人金融信息保护的专门立法，除了金融法律体系对其多有规定之外，其他相关法条多散见于刑法、民法以及相关行政文件之中。如《刑法修正案十》、《侵权责任法》、《消费者权益保护法》、《商业银行法等，这些规范性文件从不同的角度对金融消费者个人金融信息的保护作了规定。三、现行个人金融信息安全主要问题

　　(一)内部保护机制不完善

　　首先是缺乏自上而下、集中统一的个人金融信息保护工作的规章制度。目前，我国银行机构关于个人金融信息保护的有关规定散见于各类业务条线的管理办法或操作规程中，具体针对个人金融信息保护的要求多数较为笼统，指导性或禁止性的居多，操作性不强，无法保证个人金融信息收集、使用及管理等工作严格做到有法可依，有章可循。其次是没有真正形成相互衔接、相互制约的个人金融信息的内控体系。银行机构在收集、使用和管理客户信息的过程中涉及主体多、流程长、环节复杂，内控管理侧重于各业务条线的纵向规范，部门之间的横向牵动制约力度不够，虽然各银行机构都有信息保护工作牵头部门，但其横向监督管理的职能得不到有效发挥。

　　(二)未形成统一监管体系

　　目前，我国对个人金融信息还没有统一的监管部门，人民银行和银监会对此虽都有监管职能，但都没有专管部门，监管力量分散，整个监管还处于起步阶段。我国现有的金融监管规范对于个人金融信息保护只存在一些间接的或隐性的法规可供参照，如人民银行的征信、支付结算、反洗钱、信息科技等业务法规中，均有关于个人金融信息保护或信息安全保密方面的规定，但未涵盖信息的收集、使用、保管等各环节。没有明确统一的个人金融信息监管规章制度及监管体系，一定程度弱化了监管力度，增加了监管成本，增大了贯彻落实的难度。(三)欠缺核心立法与规章

　　我国个人金融信息保护的相关条文零散、笼统地分散在《民法通则》、《刑法修正案(七)》、《商业银行法》、《证券法》、《保险法》、《反洗钱法》、《征信业管理条例》、《个人信用信息基础数据库管理暂行办法》等法律、法规和规章制度中，且覆盖面窄、针对性差，具体的可操作性不强。缺乏基本法层面的保护，损害了公民个人对金融隐私权利的享有和保护。另外，现有法律民事赔偿不足，惩戒面较小，威慑力不强。人民银行制定的《关于银行业金融机构做好个人金融信息保护工作的通知》、《关于金融机构进一步做好客户个人金融信息保护工作的通知》因缺乏严格意义上的法律效力，因而执行效力相对较弱。

　　(四)自我保密的意识不强

　　除立法和金融机构外，信息主体人对自身金融信息的保护意识不强、没有形成良好的保护习惯，有的对个人金融信息不重视、也不主动去了解保护措施，甚至轻信不法分子的谎言而主动透露个人的金融信息。公众普遍认为个人金融信息安全的权利属于个人隐私权，而不是一项公民享有的基本权利。当个人信息被泄露给第三方、出售给不法分子等侵害时，只要没有造成财产损失，多数人常常迁就忍耐、自认倒霉。即使采取投诉、诉讼等维权手段，往往因侵害个人信息行为疑似环节多、追溯难、举证难、耗时久、成本高等原因最终不得不主动放弃维权。四、完善个人金融信息立法的建议

　　(一)加快个人金融信息保护的法制建设

　　整合对个人金融信息在收集、加工、使用、传输、保管等各环节的相关要求和规章，由中央银行牵头三会等职能部门，联合出台保护个人金融信息的系统性规章制度，鉴于个人金融信息相对其他个人信息的特殊性，需要配套推出专门针对金融领域个人信息保护的相关法律法规，并在适当时机报国家层面出台《个人信息保护法》，从而确保个人金融信息保护工作的措施和规章得到贯彻落实。

　　(二)提高对个人金融信息的有效监管

　　要强化个人金融信息保护主管部门的监管职能，制定统一的监管规程和工作指引，明确对金融机构进行个人金融信息的监管标准。监管机构要不断加大对第三方服务机构的管理力度，统一操作规程，明确各业务条线在保护个人金融信息方面的具体责任，并采取多种灵活的方式对商业银行机构在个人金融信息保护工作方面进行经常性的指导和提示。

　　(三)加强计算机及网络信息的安全防范

　　要加大信息安全技术防护的力度，对系统可能遇到的各种技术风险要及时进行评估检测，综合运用先进的防火墙、系统漏洞扫描、入侵检测设备、域控文件服务器、第三方认证以及网络安全监控等新的安保技术，有效防范系统遭受非法侵入、信息篡改流失、网银信息被盗等风险。

　　(四)加大对个人金融信息保护的宣传

　　商业银行要强化预防管理，结合不同业务条线特点，对员工有的放矢地开展对客户金融信息保护业务的培训和教育，提高全员的保护意识。商业银行要加强对公众的金融信息保密的常识普及，发挥网点阵地优势，根据不同类型的金融业务，有针对性地对客户开展个人信息保护宣传；监管部门要充分利用现代媒介，加大对相关信息的披露和银行间信息共享，对一些失泄个人金融信息的典型案例进行及时通报，以起到警示、借鉴的作用。

　　(五)提高信息主体人的自我保护意识

　　商业银行机构要建立相关风险提示的长效机制，切实履行告知义务，多形式、多渠道提醒客户加强风险防范，帮助客户掌握个人信息保护的常识，提高对自己金融信息保护的自觉性，使之养成良好的金融消费和享受金融服务的习惯，防止个人金融信息被不法分子利用。另外，鉴于金融机构的强势地位和双方在金融信息上的不对称，笔者还建议，因个人金融信息失泄后引发的诉讼案件中，将举证责任转移给商业银行等金融机构。