某股份制银行数据应用合规方案

【案情介绍】：（一）基本事实及法律服务需求

大数据精准营销是金融机构业务推广升级转型的重要方式，是指在大数据分析的基础上，构建群体性的用户画像，并通过将用户画像中的识别标签与互联网用户的身份识别信息关联，精准找到用户，并将商品或服务信息推送给用户的过程。然而，随着《网络安全法》、《数据安全法》、《个人信息保护法》的出台，尤其是中国人民银行颁布《金融消费者权益保护实施办法》以及中国银保监会从行业监管角度对金融机构数据合规提出了更高的要求。

鉴于政府对数据安全的强监管态势，某股份制银行在与百度公司合作开展大数据营销活动时，委托经办律师出具专项法律意见，并委托律师针对该行特点制定符合监管要求数据应用合规方案。

（二）律师工作内容及过程

经办律师接受银行委托后，主要从以下几个环节开展工作：

1、帮助银行准确界定业务合规节点

通过与银行及银行合作方开展业务交流会，明确本次业务涉及的五个合规节点：分别是信息收集环节、委托处理环节；数据分析环节；用户画像与身份识别信息关联环节；营销信息推送环节。

2、内外部法律风险环境信息收集、评估

针对外部风险环境信息，经办律师通过调研、访谈、问卷等方式主要收集了包括但不限于以下信息：金融行业的业务模式及特点；行业的法律及政策情况、变化及热点事件等；相关的监管体制、机构、政策以及执行等情况；行业内企业对法律、监管要求等的遵从情况。

针对内部风险环境信息，经办律师通过调研、访谈、问卷等方式主要收集了包括但不限于以下信息：企业与法律相关的信息，包括但不限于：企业曾发生的相关法律纠纷案件及法律风险事件；企业内外部法律环境信息中可能引起风险的具体事件及其背景信息；与该风险事件相对应的法律、法规的变化信息；企业对引起风险事件的控制力；引发该风险事件发生的原因、后果与涉及范围。

3、法律风险、合规风险分析论证

通过前阶段的工作成果，对识别出的法律风险进行定性、定量的分析，包括对法律风险发生可能性及法律风险影响程度的分析，为业务合规方案的制定提供支持。

4、起草具体合规方案

（1）明确个人金融信息保护范围

（2）构建个人信息的收集规则。在个人信息的收集上明确信息收集原则，即应当遵循合法、正当、必要原则从合法渠道收集消费者金融信息，并严格执行告知同意原则，经办律师协助银行完善银行的个人隐私保护政策。

（3）在委托第三方处理数据环节，经办律师起草与数据处理方的协议。明确数据接收方约定处理数据的目的、范围、处理方式，数据安全保护措施等，通过合同等形式明确双方的数据安全责任义务，并对数据接收方的数据处理活动进行监督。

（4）经办律师依据2020年10月1日实施的《信息安全技术-个人信息安全规范》要求建议本次业务在数据分析使用环节，严格执行间接用户画像方案。

（5）在大数据营销环节，对于个性化广告推送建议银行按照《电子商务法》《信息安全技术-个人信息安全规范》规定，进行“定向推送”前告知，同时提供关闭拒绝信息推送的便利途径。

（6）合规方案内容还帮助银行进一步完善了个人金融信息保护措施以及金融消费者权利保护措施。在完成本次业务合规的同时，帮互助银行提高服务水平。

【小结】：在金融强监管和数据安全、反不正当竞争等多重强监管背景下，银行在经营过程中，银行寻求实现金融商品（服务）便捷与安全的平衡，尤其是银行的数据合规、竞争合规需求明显。法律服务应深入研究新兴业务领域的法律环境及客户需求，为企业提供精准高效的法律服务。