2. 金融个人信息保护法律体系

金融个人信息保护的法律体系并非一部法律单打独斗，而是由“三法”作为基础底座、金融监管规定作为行业细化规则、配套标准作为操作指引共同构成的层级结构。理解这套体系的关键，不是背法条，而是搞清楚：同一件业务动作，可能同时被哪几部法律约束，各自的合规底线在哪里，冲突时如何取舍。

一、三法定位：各管一段，又相互咬合

《网络安全法》2017年施行，是基础性法律，重点在网络运行安全、网络运营者义务、关键信息基础设施保护。它确立了“谁运营网络、谁负责安全”的基本逻辑，金融机构作为网络运营者，需履行等级保护、日志留存不少于六个月、安全事件报告等义务。

《数据安全法》2021年施行，把“数据”作为独立保护对象，建立数据分类分级、重要数据目录、数据安全审查、数据出口管制等制度。它关注的是数据全生命周期的安全，包括采集、存储、使用、加工、传输、提供、公开。对金融行业而言，重要数据识别与目录报送是硬性动作。

《个人信息保护法》2021年施行，聚焦“个人信息”这一特定数据类型，确立告知同意、最小必要、目的限制、单独同意、个人信息删除权、可携带权等规则。它把个人信息处理活动拆成处理规则、跨境规则、个人权利、处理者义务四大块，是金融营销、信贷风控、客户画像等场景最直接的约束。

三法关系可以这样理解：网络安全法管“网络通道”，数据安全法管“数据资产”，个人信息保护法管“个人权益”。同一笔客户信息，从App采集到入仓、再到模型训练，全程受三法叠加约束，不是选其一适用。

二、金融监管规定：把法律落到业务动作上

金融行业有更强的监管属性，人民银行、金融监管总局、证监会等发布了一系列规定，把上位法转化为可检查、可处罚的具体要求。常见且必须掌握的有：

• 《个人金融信息保护技术规范》（JR/T 0171—2020）：将个人金融信息按敏感程度分为C3、C2、C1三类，C3如账户密码、交易密码、卡片验证码，C2如身份证号、手机号、账户余额，C1如姓名、地址。不同级别对应不同加密、脱敏、访问控制要求。
• 《金融数据安全 数据安全分级指南》（JR/T 0197—2020）：给出金融数据安全等级划分方法，通常分为5级，级别越高，安全要求越严。
• 《银行保险机构信息科技外包风险监管办法》：涉及外包服务商接触个人金融信息时的准入、监控、退出要求。
• 《征信业务管理办法》：规范信用信息的采集、整理、保存、加工、提供，明确“断直连”后征信机构与金融机构的合作边界。

这些规定不是建议，而是监管检查、行政处罚的直接依据。例如，未按C3要求对交易密码加密存储，可能同时触发《个人信息保护法》第五十一条和JR/T 0171的违规认定。

三、法律适用与合规底线：一张图看清叠加关系

下面这张图把三法与金融监管规定的适用关系、核心义务和典型底线动作放在同一张关系图中，便于在具体业务场景中快速定位“该看哪部法、该守哪条线”。

四、实际适用：一个信贷风控场景的合规判断

假设某银行要在手机银行App中新增“基于位置信息的商户推荐”功能，涉及采集客户实时位置、结合消费记录生成推荐列表。合规判断可以按以下顺序展开：

1. 位置信息属于个人信息，且结合消费记录后可能推断出客户行踪轨迹，敏感程度上升。依据《个人信息保护法》第二十八条，行踪轨迹属于敏感个人信息，需取得单独同意，并具有特定目的和充分必要性。
2. 采集位置信息用于推荐，是否属于“最小必要”？如果推荐功能并非核心金融服务，客户拒绝授权后不得因此拒绝提供基础金融服务。这是《个人信息保护法》第十六条“不得以拒绝提供产品或服务为由强制同意”的底线。
3. 位置数据在App端采集后传输至后台，需按《网络安全法》第二十一条落实传输加密，按JR/T 0171对C2及以上信息实施加密存储。
4. 若推荐模型需要将位置数据与消费记录关联，关联后的数据集合可能构成重要数据，需按《数据安全法》第二十一条进行重要数据识别与目录管理。
5. 若涉及与外部商户共享推荐结果，需评估是否构成向第三方提供个人信息，触发《个人信息保护法》第二十三条的单独同意和告知义务。

这个例子说明，一个看似简单的功能，会同时触发三法和金融监管规定的多条义务。合规底线不是“选一条遵守”，而是“逐条对照、全部满足”。

五、合规底线清单：可直接对照使用

以下清单按业务动作整理，可作为日常合规自查的起点。每一条都对应具体法律或监管条款，不是泛泛而谈的原则。

业务动作	核心底线	主要依据
采集客户信息	告知处理目的、方式、范围，取得同意；敏感信息单独同意；不得强制同意	《个人信息保护法》第13、14、16、28、29条
存储客户信息	C3信息加密存储；访问权限最小化；日志留存不少于6个月	JR/T 0171；《网络安全法》第21条
使用客户信息	限于约定目的；超出目的需重新取得同意；去标识化后用于风控建模	《个人信息保护法》第6、14条
向第三方提供	单独同意；告知接收方名称、联系方式、处理目的；安全评估	《个人信息保护法》第23、55条
数据出境	安全评估、标准合同或认证；告知并取得单独同意	《个人信息保护法》第38、39条；《数据安全法》第36条
数据分类分级	识别重要数据，形成目录并报送；按级别配置安全措施	《数据安全法》第21条；JR/T 0197
外包与共享	外包服务商准入评估；合同约定安全义务；持续监控与退出机制	《银行保险机构信息科技外包风险监管办法》

六、法律适用中的冲突与取舍

实践中偶尔遇到规则看似冲突的情况。例如，反洗钱要求保存客户身份资料和交易记录不少于5年，而《个人信息保护法》第四十七条规定处理目的实现后应主动删除。这里的处理逻辑是：反洗钱保存义务属于法定义务，构成《个人信息保护法》第十三条第一款第三项“为履行法定职责或法定义务所必需”的合法性基础，不构成冲突。但保存期满后，应及时删除或匿名化，不能以“可能有用”为由无限期保留。

再如，征信业务中金融机构不得直接向征信机构以外的第三方提供信用信息，这与一般个人信息共享规则不同，属于金融行业的特别规定，优先适用。理解“特别法优于一般法、上位法优于下位法、新法优于旧法”的基本适用规则，能在遇到具体问题时快速定位应遵守的条款。

掌握这套体系的目标，不是记住所有条文编号，而是形成一种判断习惯：面对任何涉及客户信息的业务动作，先问“涉及哪类信息、哪个处理环节、哪部法律和哪条监管规定同时适用”，再逐条核对底线要求。这种习惯，比背诵法条更能守住合规底线。