本報記者 李冰

    剛剛還在討論一個物品，隨后就收到類似產品的廣告推送；隨便瀏覽個房產信息，沒多久就會接到銷售的電話……很多手機用戶可能都有過類似體驗，懷疑自己的生活是否被“竊聽”了，到底是誰動了我的個人信息？為什么手機會這么“懂”我？

    自11月1日起，《個人信息保護法》正式實施，有望為個人信息保護加上法律的“安全鎖”。

    按照《個人信息保護法》的規定，金融機構作為“個人信息處理者”應該承擔哪些義務？對金融服務業會產生哪些影響？為此，《證券日報》記者專訪了北京大成律師事務所合伙人、中國銀行法學研究會理事肖颯，從法律角度予以解讀。

    《證券日報》：《個人信息保護法》的實施，將對金融機構以及金融業產生何種影響？

    肖颯：《個人信息保護法》實施后，金融機構在獲得和使用公民個人信息時，將面臨更嚴格的監管要求，大致體現在信息的獲取、處理、撤回三個方面。尤其是在個人信息撤回方面，金融機構需要為客戶提供便捷的撤回選項和撤回方式，并在客戶撤回同意后，應當采取有效的措施及時停止處理已經獲取的個人信息并將其刪除。

    《個人信息保護法》的實施，將對金融機構的相關展業帶來一定挑戰。一是對相關違法行為的處罰力度加大；二是針對不同信息處理者之間的邊界問題，需要各方在合作協議和操作流程中厘清自身責任和義務邊界，共同落實好相關規定。

    《證券日報》：金融業中的“差異化銷售”與侵害個人權益的“大數據殺熟”之間的界限在哪里？

    肖颯：《個人信息保護法》第24條的自動化決策條款，回應了關于商家大數據殺熟、精準營銷等大眾廣為關注的痛點問題，備受消費者關注。該條款規定，金融機構可以通過自動化決策方式向個人進行信息推送、商業營銷，但應當同時提供不針對其個人特征的選項，或者向個人提供便捷的拒絕方式。

    從金融業務實際操作層面來看，金融機構通過在提供商品和服務過程中獲取的消費者個人信息，結合行為數據等做出用戶畫像，進而推行差異化服務，現已成為常態。區別“大數據殺熟”與“差異化銷售”的標準主要有兩個：一是商家是否隱瞞了相同產品不同定價、不同產品相同定價的情況；二是消費者在做出購買決策時，是否明知產品存在不同價格的情況。因此，界定是否屬于“大數據殺熟”，關鍵要看消費者獲得的信息是否全面透明、消費者是否屬于“知情”條件下的“同意”。

    《證券日報》：“匿名化處理后的信息”為什么不屬于“個人信息”？“衍生個人信息”與金融機構自有的商業信息、商業秘密、知識產權之間存在怎樣的關系？

    肖颯：《個人信息保護法》第4條規定，“個人信息是以電子或者其他方式記錄的與已識別或者可識別的自然人有關的各種信息，不包括匿名化處理后的信息。”所謂個人信息，是指通過該信息能夠識別到特定的自然人。信息經過匿名化處理后，已不能識別到特定自然人，因此不屬于《個人信息保護法》規定的“個人信息”范疇。

    例如，一家證券公司通過某個自然人客戶群體的投資交易信息，分析提煉得出該群體具有何種投資偏好的結論，這些結論并不指向某個具體的投資者，也不會以此信息識別出是哪個投資者的具體交易信息，那么這個結論作為衍生個人信息，已經不再是《個人信息保護法》規定的“個人信息”，而是轉化為金融機構自有的商業信息和商業秘密，金融機構擁有其知識產權。

    事實上，衍生數據與網絡用戶信息、原始網絡數據無直接對應關系，雖然同樣源于網絡用戶信息，但經過網絡運營者大量的智力勞動成果投入，經過深度開發與系統整合，最終呈現給消費者的數據內容已獨立于網絡用戶信息、原始網絡數據之外，可以為運營者所實際控制和使用，并帶來經濟利益。網絡運營者對其開發的數據產品享有獨立的財產性權益。

    《證券日報》：按照《個人信息保護法》規定，金融機構作為“個人信息處理者”要承擔哪些義務？有哪些環節需要注意？

    肖颯：首先，金融機構在取得個人信息的環節，除第13條規定的例外情形外，應當以“取得個人同意”為前提，否則任何收集個人信息的行為都屬違法。其次，《個人信息保護法》要求銀行等金融機構在處理一些特別的個人信息的時候，征信主體須取得個人的“單獨同意”。這些信息主要包括：涉及向第三方提供個人信息的條款；涉及公開個人信息的條款；涉及在公共場所安裝圖像采集、個人身份識別設備，用于維護公共安全之外的其他目的條款；涉及敏感個人信息條款；涉及個人信息出境的條款；涉及不滿十四周歲未成年人個人信息的條款。但很多銀行在進行業務辦理時，為了提高效率、降低成本，往往都采用格式條款。

    需要強調的是，銀行等金融機構應注意取得“單獨同意”的方式方法，金融機構需要設置“同意前告知”這一環節，在告知客戶時，要安排專業人員“一對一”提供服務，使客戶充分知情及自愿做出同意的意思表示和行為。