作者|田思远
2021年8月20日,十三届全国人大常委会第三十次会议正式表决通过《个人信息保护法》(以下简称:《个保法》)。与《网络安全法》、《数据安全法》并行被称为中国版的GDPR。其中最值得关注的是,《个保法》第66条规定,如有违法违规,将以公司“上一年度营业额百分之五”予以处罚,对于期货公司而言可谓是“不能承受之重”。而从执行方面来讲,网信办近年频繁对滴滴、豆瓣等互联网公司大厂“开刀”。数据时代下,数据监管早已不再只是一句口号,期货公司想要走的更快、更稳,就必须花大精力去研究信息保护制度带来的影响,更新内部信息处理机制,降低信息处理风险。

挑战一:个人信息收集制度

关于客户信息的收集,期货行业一直存在两种截然相反的观点。一种观点认为,对于平台收集到的客户自愿填写的信息,由于是客户自愿填写,因此平台均可以利用。另一种观点则认为,即便是客户自愿填写的,平台也必须与客户签订详细的个人信息使用条款,否则就存在合规风险。对此,本次《个保法》树立了新的使用规则——所有的信息收集都要告知,但并非所有信息收集都需经同意。
期货公司在展业过程中,主要对以下两类信息进行收集,一类是基于期货公司法定职责需要收集的信息,诸如根据《期货市场开户管理规定》、反洗钱规定、非居民税收管理规定、投资适当性管理要求而收集的信息。这一类信息根据《个保法》第十三条的规定,只要完成显著、清晰、易懂的告知即可。期货公司如果有意向,甚至可以制作宣传视频介绍信息公司的收集制度,采用视频形式不仅有助于客户更好的理解晦涩难懂的条文,也将成为个人信息告知方式的一种创新。而另一类则是为期货公司更好的提供服务而收集的信息,诸如投资者对于不同期货品种的研究报告的点击、阅读频率、分析视频完播率等信息。根据《个保法》的规定,在收集这类信息时:1.需要考虑收集此类信息的合理性,收集信息的过程中必须始终秉持最小必要性原则,过度收集、收集无关的信息将面临处罚;2.收集此类信息必须需要经过客户同意,且不得以客户不同意为由停止服务;3.要给予客户撤回同意的权利,提供便捷的撤回同意的方式,不得客户撤回同意为由停止服务;4.针对自动化推送的服务,要为客户提供便捷的“拒绝按钮”,同时为客户提供不针对其个人特征的选项。需注意的是,我们在兼具合规的同时,也要注重效率,“撤回”的按钮虽然必须设置,但也可以设置“挽回页面”向客户阐明撤回同意的影响,减少客户撤回同意,以便统一化的管理。
挑战二:敏感信息管理
金融行业相比其他行业而言,信息更为敏感。而期货行业相较于其他金融行业,更是具有行业封闭性更强、交易风险更大、客户投诉率较高的“三高”特点。因此,对敏感信息的处理是需要抓严抓实。
《个保法》规定,个人信息处理者应对个人信息实行分类管理,并明确将金融账户纳入到了敏感信息的范畴中。展开而言,这里的“金融账户”信息根据《个人金融信息保护技术规范》(中华人民共和国金融行业标准 JR/T 0171—2020)又可以细分为:银行卡密码、网络支付交易密码、账户登录密码、交易密码、查询密码、个人生物识别信息等。对于敏感信息的管理,根据我们的总结,可以从收集、储存、使用、删除四个维度予以管控。
1.在信息收集层面,期货公司应取得客户的单独同意(建议使用弹窗、明显位置URL链接等方式),引导个人信息主体查阅隐私政策,并获得其明示同意后,开展有关个人信息的收集活动。
2.在信息储存层面,期货公司应采用加密措施,确保数据存储的保密性;应采取必要的技术和管控措施,保证个人信息存储、转移过程中的独立、安全性。对于不必要的信息,尽量不保存。
3.在信息使用层面,应做好“保存+评估”工作。根据《个保法》的规定,处理敏感信息需要进行个人信息保护影响评估。评估报告和处理情况记录应当至少保存三年。
4.在信息删除层面,应保留销毁过程的有关记录,记录至少应包括销毁内容、销毁方式、销毁时间等内容,并经销毁人签字、监督人签字。
挑战三:夯实客户各项权益
本次《个保法》第四章全面规定了个人在个人信息处理活动中的十大法定权利。这样权利设置显然是参照《欧盟通用数据保护条例》(GDPR)以及《加利福尼亚州消费者隐私法》(CCPA)的相关规定,其中对期货公司、“互联网+期货”具有显著影响的是访问权、删除权、可携带权三项权利。
1.访问权:个人可以访问其已经被收集的各种的信息,包括信息类型、来源、收集目的,以及相关授权文件。在现有的期货公司APP中,广泛存在着“一通过了之”的情形,诸如客户提供信息但后续无法看到签约授权的文件、也无法知晓自己哪些信息被收集。
2.删除权:根据《个保法》的规定,要求个人信息处理者应建立删除申请受理和处理机制。我们建议,在提供删除选项时设置“挽留页面”,并向客户澄清信息保留的好处、删除信息后将造成的影响,并说明如账户注销等情况时平台将予以注销。这样,一方面可以在合规的前提下最大程度保留我方的数据,另一方面也阐明的法律规定,用柔性方式让客户安心。
3.可携带权:可携带权是一个陌生的名词,而用我们日常生活中最简单的解释方式就是“携号转网”。对于期货公司而言,客户是最珍贵的财富。当客户要迁移时,要带走公司好不容易留存的数据、乃至人物画像(原公司数据必须删除),新公司则坐收渔翁之利,这显然是让人难以接受的。虽然现阶段《个保法》只是对可携带权做出了初步规定,后续将由国家网信部门制定配套制度。但是期货公司应当引起重视,针对客户要求迁移数据的要求,应在客户协议中予以约定,做好自身保护,并积极面对后续可能发生的调整。
挑战四:信息共同处理的合规性

《个保法》中除了“营业额5%罚款”之外,还有一处藏在条文的“利剑”,即《个保法》第20条第2款规定,个人信息处理者共同处理个人信息,侵害个人信息权益造成损害的,应当依法承担连带责任。让人疑惑的是,这里的“共同处理”该如何理解?期货公司作为个人信息处理者,又有哪些“共同处理”的情形呢?我们认为主要有三种场景。
场景1:聘请信息技术服务商。当软件技术服务商接触不到客户信息时,其仅为单纯提供信息技术服务。但如果承担了相关系统信息收集、分类等职责,则归属委托处理。
场景2:银期合作(第三方存管)。当客户的资金在期货公司资金账户和银行结算账户之间流转时,双方实际是共同决定个人客户信息的处理目的、处理方式,我们倾向于认定为共同处理。
场景3:期货IB业务。《证券公司为期货公司提供中间介绍业务试行办法》第十九条规定,证券公司应当及时将客户开户资料提交期货公司,期货公司应当复核后与客户签订期货经纪合同,办理开户手续。证券公司向期货公司提供其处理的个人信息的方式,我们倾向于认定为共同处理。
针对这3种场景,就现有法律而言,需要对外承担连带责任已无法改变。但对内而言,及时与技术服务商、银行、证券公司沟通并订立补充协议,约定在数据泄露、数据损害的情况下各方如何承担责任,可以将期货公司的法律风险降到最低。
结语:期货公司是数据密集型行业,在处理和保护个人信息的过程中不仅面临监管部门的执法高压,还将受到广泛的社会监督。此次颁布的《个人信息保护法》中,不仅对于信息收集、处理作出了规定,还规定了内部管理操作规程、个人信息保护影响评估、定期合规报告等制度。囿于篇幅,本文只是简单介绍期货公司将面临的挑战。在《期货法》即将颁布的今天,相信结合律师的工作,协助期货公司完善信息保护的相关制度后,定能让期货公司更好发展。
