银行APP再踩雷

日前，国家计算机病毒应急处理中心公开一则通知，披露了近期通过互联网监测发现存在隐私不合规行为的14款移动应用名单。其中，乐山商业银行旗下APP也赫然在列。

据了解，此次被通报违规的乐山商业银行APP（版本3.31.6，应用宝）共涉及五项隐私不合规行为，包括在处理个人信息前未能合规告知相关信息等、向其他个人信息处理者提供信息不合规、处理敏感个人信息未取得个人单独同意等。

事实上，随着银行数字化转型不断推进，银行旗下APP因隐私违规而被通报的情况并不少见。《国际金融报》记者注意到，2024年，江苏、内蒙古等多地通信管理局以及央行分支机构都曾针对银行APP隐私违规做出通报或处罚。

例如，去年12月24日，江苏省通信管理局曾发布一批关于侵害用户权益行为的APP名单，其中包括江阴农商银行、昆山农商银行、苏州农商银行、江苏长江商业银行和无锡农商银行旗下手机应用，涉及问题包括违规或超范围收集个人信息，APP强制、频繁、过度索取权限等问题。

“银行APP频现隐私违规的问题，反映出银行机构在隐私保护方面存在欠缺，也体现出其金融消费者保护机制存在漏洞。”素喜智研高级研究员苏筱芮直言。

在北京德和衡（上海）律师事务所高级合伙人、德和衡研究院上海分院院长白耀华律师看来，银行APP频繁出现隐私违规问题的核心原因在于，信息收集者对大量用户信息的需求没有得到充分的合规限制。

“近年来，随着监管的加强和银行合规意识的提高，银行APP对个人信息的收集基本能够做到合法合规，但仍有部分银行APP在收集个人信息后的配套机制与再处理规范方面需要进一步完善。”白耀华指出。

隐私合规难点待解

相比线下网点，只需动动手指的手机银行APP，无疑提供了巨大的业务便利性，但对人脸、指纹等信息收集的需求也更高。以某国有大行APP为例，在办理贷款支用及转出业务时，需要多次进行手机验证码及人脸识别。

白耀华指出，当前银行APP运营中涉及的隐私合规问题主要集中在三个方面。

“第一，APP趋向于要求用户给予‘一揽子’授权，即在询问用户同意时不会详细列明需要收集的个人信息清单和之后将会获取或处理的商业主体清单，导致用户无法对关键个人信息进行单独同意。同时，多数银行APP还有‘不同意则无法继续使用’的强制性规定，事实上剥夺了用户的选择权。”白耀华分析道，“第二，个人信息共享机制透明度不足。在收集到个人信息后，银行APP可能会将收集到的个人信息共享给其他商业主体，但该共享过程可能没有明确、详细地告知用户，并获得用户许可。第三，收集、处理个人信息的配套机制不完善，如个人信息使用完毕后没有及时予以删除，以及没有给予用户撤回同意的选择权。”

苏筱芮指出，金融领域涉及个人信息相当敏感，如何在脱敏或者是去标识化的前提下最大化发挥数据作用，也需要机构进行衡量。

“在整改方面，银行可能会担心收集不到足够多的个人信息而影响业务收入，管理人员也会担心其绩效考核受到影响，导致整改动力不足。此外，整改不仅需要对APP的界面、操作流程、隐私策略、数据安全性等方面进行整改，还要对工作人员进行系统培训，会造成APP整体成本显著上升，反复多次向用户询问授权也可能导致用户体验下降，造成用户流失。”白耀华告诉记者。

严监管趋势持续

白耀华告诉记者，当前，我国法律法规已经对“收集个人信息的边界”作出了较为详尽的规定，在实务界，商业主体仍需重点注意以下三个关键方面：用户知情同意、目的限制原则和最小必要原则。

对于银行来说，如何守好信息合规的边界？

“银行可以建立全流程合规机制并细化权限管理，区分必要授权与非必要授权，对于重点和敏感信息应给予用户单独同意的权利。”白耀华建议，“此外，要强化第三方合作管控，确保用户对银行与第三方的个人信息合作共享事项知情同意，与外部合作方签订数据安全协议，明确责任边界。同时，通过弹窗、视频等形式做好用户教育和特别提醒，避免‘长篇条款’导致的用户忽视和反复询问带来的体验感下降。”

苏筱芮指出，数据安全、隐私保护领域的严监管趋势仍将持续，金融机构及其合作伙伴应该从数据的采集、存储、加工、传输、披露等环节规范用户个人信息管理，遵循“用户授权、最小够用、专事专用、全程防护”原则，全面对标当前数据安全、信息保护、移动金融应用领域的各项监管文件，不断完善数据安全规范管理。