银行业客户信息保护实施细则

银行业客户信息保护实施细则1.总则1.1目的与依据为规范银行业金融机构（以下简称“银行”）客户信息保护工作，防范客户信息泄露风险，保障客户合法权益，根据《中华人民共和国个人信息保护法》《中华人民共和国商业银行法》《中华人民共和国网络安全法》《银行业金融机构数据治理指引》等法律法规及监管要求，制定本细则。1.2适用范围本细则适用于银行及所属分支机构（含境内外机构）对客户信息的收集、存储、使用、共享、转让、销毁等全生命周期管理活动。1.3基本原则（1）合法合规原则：客户信息处理活动应符合法律法规及监管要求，不得违反法律、行政法规的规定处理客户信息。（2）最小必要原则：仅收集与业务办理直接相关且必要的客户信息，不得过度收集。（3）公开透明原则：向客户明确告知信息处理的目的、范围、方式等内容，保障客户的知情权。（4）安全保障原则：采取技术和管理措施，确保客户信息安全，防止泄露、篡改、丢失。（5）权责一致原则：明确各部门、岗位的客户信息保护职责，落实责任追究机制。2.客户信息定义与分类2.1定义客户信息是指银行在业务活动中收集、生成的与客户相关的各类信息，包括但不限于：个人身份信息：姓名、身份证号、护照号、出生日期、性别、民族、住址（不含详细门牌号）、联系方式（不含手机号）等；账户信息：账户类型、账户号码、开户日期、开户机构、账户状态等；交易信息：交易时间、交易金额、交易对手、交易类型、交易渠道等；信用信息：征信记录、贷款余额、还款情况、信用卡额度等；生物识别信息：指纹、面部特征、声纹等（仅在客户同意并必要时收集）；其他信息：客户偏好、投诉记录、服务记录等。2.2分类客户信息分为敏感信息和非敏感信息：（1）敏感信息：一旦泄露、篡改或滥用，可能危害客户人身、财产安全或名誉的信息，包括身份证号、银行卡号、密码、生物识别信息、信用记录等；（2）非敏感信息：泄露后对客户影响较小的信息，包括姓名、地址（不含详细门牌号）、联系方式（不含手机号）、交易类型等。3.信息收集规范3.1收集合法性收集客户信息必须取得客户的明确同意（书面或电子形式），同意内容应具体、明确，不得包含模糊条款（如“同意银行收集所有信息”）；法律法规规定无需取得同意的情形（如司法机关查询）除外。3.2最小必要原则仅收集与业务办理直接相关且必要的信息，不得收集无关信息；示例：办理银行卡时，收集身份证号、姓名、联系方式即可，无需收集客户的职业、收入情况（除非涉及信贷业务）；办理理财业务时，收集客户的风险承受能力信息即可，无需收集客户的婚姻状况。3.3收集方式与告知收集方式应安全、合规，线上收集需采用加密技术（如SSL/TLS），线下收集需妥善保管纸质资料；收集前应向客户告知以下内容：（1）收集的目的；（2）收集的范围；（3）使用的方式；（4）共享的对象（如有）；（5）保留的期限；（6）客户的权利（如查询、更正、删除）。4.信息存储规范4.1存储期限根据业务类型和监管要求确定存储期限，不得无限期存储：账户信息：保留至账户注销后5年；交易记录：保留至交易完成后10年；信用信息：保留至信用业务结束后7年；其他信息：保留至业务终止后3年。超过存储期限的信息，应按本细则第7章规定销毁。4.2存储安全措施加密存储：敏感信息需采用AES-256等强加密算法进行静态存储（数据-at-rest加密）；访问控制：采用角色-based访问控制（RBAC），根据岗位权限分配信息访问权限（如柜员仅能访问本人办理业务的客户信息，后台人员需经审批后方可访问）；日志记录：记录所有信息访问操作（包括访问人、时间、内容、方式），日志保留6个月以上。4.3异地存储管理客户信息如需跨境存储，必须符合《个人信息出境安全评估办法》要求，经监管机构批准，并确保境外机构具备相应的信息保护能力；境内异地存储需选择安全等级符合要求的数据中心，签订保密协议。5.信息使用规范5.1使用目的限制客户信息仅能用于收集时告知的目的，不得超出范围使用；示例：收集客户联系方式用于通知账户变动，不得用于发送营销短信（除非客户另行同意）；收集客户风险承受能力信息用于推荐理财产品，不得用于评估客户信用等级（除非客户同意）。5.2内部权限管理建立权限分级体系：一线员工（如柜员、客户经理）：仅能访问与本人业务相关的客户信息；后台员工（如风控、审计）：需经部门负责人审批后方可访问客户信息；高级管理人员：需经总行信息安全委员会审批后方可访问敏感信息。定期review权限：每季度检查员工权限，及时收回离职或调岗员工的权限。5.3使用过程安全禁止通过非加密渠道（如微信、QQ）传输客户敏感信息；禁止将客户信息存储在个人设备（如手机、U盘）上；禁止复制、打印客户敏感信息（除非业务需要并经审批）。6.信息共享与转让规范6.1共享条件共享客户信息必须经客户明确同意（书面或电子形式），同意内容应包括共享的对象、目的、范围；法律法规规定无需同意的情形（如司法机关查询、反洗钱调查）除外。6.2第三方管理第三方评估：共享前需对第三方进行安全评估（评估其信息保护制度、技术能力、合规性），评估不合格的不得共享；保密协议：与第三方签订《客户信息共享保密协议》，明确双方的权利义务（如第三方不得泄露、篡改、滥用客户信息，不得将信息用于约定以外的目的）；定期检查：每半年检查第三方的信息保护情况，发现问题及时整改，整改不合格的终止合作。6.3共享安全控制共享敏感信息需采用加密传输（如SSL/TLS）；限制第三方的信息访问权限（如仅能访问必要的字段，不得访问完整的客户信息）；记录共享操作（包括共享对象、时间、内容、目的），保留1年以上。7.信息销毁规范7.1销毁条件超过存储期限的信息；业务终止后不再需要的信息；客户要求删除的信息（符合法律法规要求的情形）。7.2销毁方式纸质资料：采用粉碎（颗粒度≤2mm）或焚烧方式销毁，禁止倒卖或回收；电子数据：采用不可逆删除（如覆盖删除、物理销毁存储介质）方式，禁止简单删除（如回收站删除）；敏感信息：电子数据需经二次加密删除（先加密再删除），确保无法恢复。7.3销毁记录填写《客户信息销毁记录》，记录以下内容：销毁的信息类型、数量；销毁的方式、时间、地点；销毁责任人、监督人；记录保留3年以上。8.客户权利保障8.1信息查询与更正查询渠道：提供线上（手机银行、网上银行）和线下（网点）查询渠道，客户可查询自己的信息；查询流程：客户提交查询申请（需验证身份），银行在3个工作日内反馈查询结果；更正流程：客户发现信息不准确的，可提交更正申请（需提供证明材料），银行在5个工作日内核实处理，告知客户结果。8.2信息删除请求客户可要求删除不再需要的信息（如账户注销后），银行在10个工作日内核实处理；法律法规规定不得删除的情形（如交易记录需保留至规定期限）除外。8.3投诉与救济设立客户信息保护投诉热线（如400-XXX-XXXX）和线上投诉渠道（如手机银行、官网）；客户投诉后，银行在2个工作日内受理，10个工作日内反馈处理结果；客户对处理结果不满意的，可向银保监会、央行等监管机构投诉。9.监督与责任9.1内部监督审计监督：审计部门每季度检查客户信息保护情况，重点检查以下内容：（1）信息收集、存储、使用、共享、销毁是否符合本细则要求；（2）员工权限管理是否规范；（3）信息安全措施是否有效；出具审计报告，向总行董事会汇报，对存在的问题提出整改建议。9.2外部监督接受银保监会、央行等监管机构的检查，配合提供客户信息保护相关资料；定期向监管机构提交《客户信息保护工作报告》，汇报工作情况。9.3责任追究员工责任：对违反本细则的员工，根据情节轻重给予以下处分：（1）情节轻微（如未按规定记录访问日志）：警告、罚款（不超过当月工资的10%）；（2）情节严重（如泄露客户敏感信息）：记过、降薪、开除；（3）构成犯罪的：移送司法机关。机构责任：对造成客户信息泄露的分支机构，给予以下处罚：（1）通报批评；（2）扣减年度绩效考核得分；（3）暂停相关业务（如暂停理财业务）。第三方责任：对违反保密协议的第三方，追究其法律责任（如要求赔偿损失、终