保险业务数字化痛点之网数合规
发布时间：2024-12-05
文 | 杨洁 钱静雯 汇业律师事务所
以《网络数据安全管理条例》发布为标志，中国网数合规领域法律制度已日趋完善，监管执法体系将专项治理与常态化监管有机结合，行业合规实践水平亦稳步提升中。根据笔者团队对保险业务领域的观察及从业者的沟通，伴随数字化转型的进一步推进，该业务领域对网数合规的关注度密切上升，无论国有还是外资保险公司在展业中都越来越重视网络数据合规问题。
基于行业天然的个人客户面向型与业务场景复杂性，个人信息保护问题压力颇重，加之主管部门的特殊规定，整体合规要求高、项目繁杂、涉及面广，成为业务转型中的痛点之一。本文基于相关领域立法、执法概况梳理，结合业务场景和链条，为从业与合规人士进行重点问题分析，以便网数合规落地提供参考。
一、 立法和执法概况
（一）立法现状
根据《网络安全法》《数据安全法》《个人信息保护法》《网络数据安全管理条例》《网络安全审查办法》《关键信息基础设施安全保护条例》《未成年人网络保护条例》《互联网信息服务算法推荐管理规定》等规定，网络数据安全目前构建的监管体系包括监管和主管两个维度。
1. 网络数据安全
一般网络数据安全监管体系包括：
1) 国家网信部门负责统筹协调网络安全、数据安全、个人信息保护和数据跨境工作；
2) 国家数据管理部门承担数据管理工作中相应的网络数据安全职责；
3) 国务院电信主管部门、公安部门、市场监督管理部门和其他有关机关在各自职责范围内负责网络数据安全保护和监督；
4) 公安机关、国家安全机关在各自职责范围内承担网络数据安全监管，打击犯罪；
5) 网络安全审查办公室负责制定网络安全审查相关制度规范，组织网络安全审查；
6) 在国家网信部门统筹协调下，国务院公安部门负责指导监督关键信息基础设施安全保护工作；
7) 国家网信部门负责统筹协调未成年人网络保护工作，国家网信部门、国家新闻出版、电影部门和国务院教育、电信、公安、民政、文化和旅游、卫生健康、市场监督管理、广播电视等有关部门依据各自职责做好未成年人网络保护工作；
8) 国家网信部门负责统筹协调全国算法推荐服务治理和相关监督管理工作。
受《数据安全法》《网络安全审查办法》强调，主管部门在本行业、本领域内的数据安全监管力度可能会有所加码。
2. 行业主管（金融监督管理机构）
对于保险业主管部门而言，结合近年专项执法行动和执法案例，有关数据安全的规定我们整理如下：
此外，2024年3月，为规范银行业保险业数据处理活动，保障数据安全、金融安全，促进数据合理开发利用，保护个人、组织的合法权益，国家金融监督管理总局起草了《银行保险机构数据安全管理办法（征）》（“征求意见稿”），向社会公开征求意见。据金融监管总局有关司局负责人介绍，征求意见稿旨在“充分发挥监管的‘指挥棒’作用，通过强化政策要求引导银行保险机构压实主体责任，完善内部制度，采取有效的措施加强数据管理和保护，确保客户信息和金融交易数据安全”，涵盖总则、数据安全治理、数据分类分级、数据安全管理、数据安全技术保护、个人信息保护、数据安全风险监测与处置、监督管理及附则，主要特点如下：
1) 落实数据安全责任制。明确主体责任负责人，机构数据安全第一责任人和直接责任人。
2) 明确数据安全归口管理部门。要求银行保险机构指定负责数据安全工作的主责部门，承担制度建设、数据安全工作推动展开的工作职责。
3) 将数据安全风险纳入全面风险管理体系。要求银行保险机构明确管理流程，主动评估风险，进行有效监测，防止安全事件发生。定期对数据安全开展审计、监督检查与评价。
4) 强化数据安全评估。要求银行保险机构开展相关数据处理活动时，应事先开展安全评估。
5) 建立数据安全保护基线。将数据纳入网络安全等级保护，在数据全生命周期内采取有效访问控制管理措施，采用安全有效的传输方式保障数据完整性、保密性、可用性。
(二) 执法情况
执法层面，以主管部门和工信部门行动较为活跃，刑事案件也时有发生。
1. 行业主管部门（金融监督管理机构）
2015年11月，国务院办公厅下发《关于加强金融消费者权益保护工作的指导意见》（国办发[2015]81号），强调金融机构应当采取有效措施加强对第三方合作机构的管理，明确双方权利义务关系，严格防控金融消费者信息泄露风险，保障金融消费者信息安全。
2022年8月，原中国银保监会向各银保监局、银行保险机构下发《关于银行保险机构侵害个人信息权益乱象专项整治工作的通知》。通知下发后，银行保险机构开展自查，监管部门适时进行督导和抽查。
2024年3月，国家金融监管总局向各监管局，各大型银行、股份制银行、外资银行、直销银行、理财公司，各保险集团（控股）公司、保险公司、保险专业中介机构下发《关于银行保险机构侵害个人信息权益乱象专项整治发现主要问题的通报》。通报指出专项治理发现的重大问题，并提出相关工作要求。在通报中，金融监管总局强调，“信息安全权是金融消费者八项基本权利之一”，要求“各监管局要提高对金融消费者个人信息保护工作重要性的认识，跟踪专项整治成效，紧盯薄弱环节、弥补短板弱项，综合运用非现场监管和现场检查等方式，严肃查处违法违规行为，在消费者权益保护监管评价、投诉督查等工作中持续关注银行保险机构个人信息保护工作情况，督促辖内银行保险机构健全消费者个人信息保护工作机制，推动全面提升行业个人信息保护水平”。以下是部分专项整治期间的监管执法案例：
2. 一般监管机构之工信部门
2013年，工信部出台《电信和互联网用户个人信息保护规定》（工信部令第24号），是工信部门执法检查的主要依据之一。随后，工信部连续发文《电信和互联网行业提升网络数据安全保护能力专项行动方案的通知》（2019）、《关于开展纵深推进APP侵害用户权益专项整治行动的通知》（2020）、《关于开展信息通信服务感知提升行动的通知》（2021），并开展一系列执法检查行动，部分摘录如下：
3.刑事司法案例
刑事案件中，以侵犯公民个人信息罪的判罚居多，根据最高人民法院、最高人民检察院《关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》（2017），将在履行职责或者提供服务过程中获得的公民个人信息出售或者提供给他人，数量或者数额标准相应减半，属于“情节严重”，构成刑事犯罪的门槛更低。笔者团队分析最近的相关案例发现，客服、柜面人员及其他相关方为这类案件的主要犯罪主体，侵犯公民个人信息犯罪均在履职或提供服务的过程中发生，基本都构成“情节特别严重”，部分案例节选如下：
1) 2023年2月，上海市静安区人民法院经审理认定王某、孔某、蒋某在担任某某公司1盐城中心支公司客户服务岗位时，将履行职责过程中获得的公民个人信息出售给他人，情节特别严重，构成侵犯公民个人信息罪，依法判处王某有期徒刑三年，缓刑三年，并处罚金人民币十六万元；判处孔某有期徒刑二年，缓刑二年，并处罚金人民币十万元；蒋某有期徒刑一年，缓刑一年，并处罚金人民币三万元。【（2023）沪0106刑初97号】
2) 2023年9月，上海市静安区人民法院经审理认定单某于2019年8月至2020年12月在某某公司2担任柜面主管期间，利用其职务便利，非法获取一万余条保险用户信息，并向他人出售，情节特别严重，被判处有期徒刑三年、缓刑三年，并处罚金60万元。【(2023)沪0106刑初1051号】。
3) 2024年1月，上海市金山区人民法院经审理认为被告人廖某，通过向他人购买、利用保险公司账号调取等方式非法获取大量公民车辆保单、手机号码等信息，并通过微信将上述信息出售给杨某2（已被判刑）等人，违法所得共计约人民币6万元。被告人廖某出售的信息包括被保险人姓名、车牌号码、车架号、保险内容、保险期间及完整或部分身份证号码、地址、联系电话信息等内容。廖某犯《刑法》第二百五十三条的侵犯公民个人信息罪，情节特别严重，判处有期徒刑三年二个月，并处罚金人民币六万元；扣押的作案工具予以没收；违法所得予以追缴并没收。【(2023)沪0116刑初1049号】
二、 业务链条与重点场景
(一) 面向个人信息主体的场景 1. 获客与销售 线上获客因其成本低、渠道广、触达便捷、定位精准、归因清晰等多重优势，已成为保险展业，特别是互联网保险业务获客的重要方式之一。 2019年，原银保监发文即指出消费者个人信息收集和使用不规范问题，即“未取得消费者明确授权的情况下，将其资料用于其他产品和服务的交叉销售或为关联第三方荐客，未经客户同意或无法定事由向第三方机构或个人提供消费者的姓名、证件类型及证件号码、电话号码、通信地址及其他敏感信息”。结合《互联网保险业务监管办法》相关规定，保险营销除需依法坚持机构持牌、人员持证的底线外，在广告营销上还应注意以下方面： 1) 遵守广告法规中的限制性、禁止性规定，以及金融营销宣传以及银保监会相关规定。 2) 建立从业人员互联网保险营销宣传的资质、培训、内容审核和行为等管理制度，包括严格规范机构授权人员名单、统一管理宣传物料、充分披露相关产品、条款及人员信息等。 3) 若涉及使用用户画像信息、人群标签进行触达、个性化推送的，还须对照自动化决策相关规定，确保透明度原则、标签删除权、关闭权及结果公平能够实现。此外，参考GB/T 42574—2023 《信息安全技术 个人信息处理中告知和同意的实施指南》“对个人信用、所接受服务的质量、交易价格等产生重大直接影响的自动化决策，通常属于可能对个人权益带来重大影响的个人信息处理活动。”结合保险业务属性，用户标签可能对是否承保、保险费率等产生影响，因此属于可能对个人权益带来重大影响的处理活动，需注意进一步保障用户知情权和拒绝权。 2. 投保与核保 该场景是收集客户信息的主要触点，是获取处理个人信息合法依据的核心环节。 按照《个人信息保护法》的要求，业界仍然认可一般将“充分告知+同意”作为合法处理的事由，而“订立、履行个人作为一方当事人的合同所必需”作为合法事由受限于当事人主体类型以及处理必要性的挑战，仅建议作为补充，在有限情形下谨慎使用。 结合《网络数据安全管理条例》《互联网保险业务监管办法》《银行保险机构消费者权益保护管理办法》等规定，告知层面须特别注意的形式和内容如下： 1) 个人信息处理规则展示应符合集中性、公开性和显著性，收集和提供信息以双清单形式列明。 2) 线上渠道使用格式条款获取个人信息授权的，不得设置默认同意。 3) 关于对外提供、跨境提供、敏感个人信息处理的告知条款应满足法定告知的细项要求。 4) 涉及不满十四周岁未成年的，制定专门的儿童个人信息处理规则。 此外，考虑金监近年执法行动关注点和立法趋势，结合在服务过程中侵犯公民个人信息属于犯罪的加重情节，建议机构重视收集使用环节的信息归集与不当使用防范，以信息系统为数据收集的主要渠道，限制或者减少其他渠道、临时性数据收集，并从内部规章层面严格规范数据收集渠道与系统统管，不定期更新从业人员负面行为清单与对应处罚，时刻警惕从业人员违法犯罪风险。 再次，由于对外提供和处理敏感均应依法获得个人单独同意，而保险业务中普遍存在与第三方机构共享健康状况、财务、征信、车辆等信息的情况。建议由数据法律专业顾问梳理并分析相关数据处理法律关系，以便正确定义关系、签订合同条款并实施合规措施。 3. 理赔 理赔中除可能会收集新的信息外，发生频率更高的数据处理行为就是第三方共享，多数数据共享发生在保险机构与医疗机构、鉴定机构、公估机构、再保险机构、共同保险机构等主体之间，其中涉及消费者身份证号、手机号、医疗健康信息、财产信息等大量敏感个人信息。 金监总局办公厅在今年4月发布的《关于银行保险机构侵害个人信息权益乱象专项整治发现主要问题的通报》中指出，在个人信息共享与对外提供方面，仍存在以下突出问题： 1) “违规查询账户信息” 2) “不当使用客户信息” 3) “对外合作机构管控失效” 4) “与第三方机构签订的协议中未约定消费者个人信息保护内容” 5) “未及时发现和处置第三方机构侵害个人信息权益行为”等 由此，建议相关机构全面梳理业务流程中的所有数据共享场景，制定全流程合规操作指引和授权规则，从源头上防范合作方/从业人员管控失效问题。 4. 保单维护与客服 对于需要长期维护的保单，在维护过程中会与客户发生进一步交互，例如发送通知、提醒、答疑等等，机构要注意把控从业人员与客户的交互渠道，为避免超范围使用等风险，应考虑在事前告知同意、事中信息使用、事后责任追溯等各个环节预先嵌入隐私合规设计。如果发生人员流动，需要确保相关交接流程合规性，有关人员签订合规承诺、防范客户信息泄露和其他风险。 此外，客服场景主要的个人信息保护风险主要在于从业人员违规操作和个人信息主体权利响应问题，建议相关机构从以下方面安排合规工作： 1) 建立客服人员合规制度体系，包括权限管理、授权规范、培训教育等。 2) 制定个人信息主体权利响应指引，包括权利请求识别、流转、应对话术、身份验证、处理时限、汇报条线、响应标准等。 3) 妥善留存公司发布的合规制度文件、权限清单、授权文件、培训记录、系统操作日志等合规证明材料，以备在必要时作为机构遵从法律的有力抗辩。 (二) 组织内部合规管理 基于上述业务风险分析，不难看出要规避网络数据合规风险，必须从组织内部完善网络数据保护合规体系，结合相关行业实务经验，笔者团队建议至少从以下方面着手： 1. 基础设施 1) 搭建适配的机构与岗位：首先架构设计上建议至少包括责任承担层与履职层，要求汇报线条清晰、权责分明。同时明确数据安全归口管理部门，负责数据安全工作，承担制定数据安全管理制度标准、建立维护数据目录、推动数据分类分级保护、组织开展风险监测、预警及处置等职责。 2) 建立数据识别与分类分级规范：在构建企业级数据架构的基础上，集中进行数据识别、制定与维护数据目录，进而进行数据分类分级，制定与级别相适应的数据安全保护规范。 2. 业务合规 1) 全生命周期合规：在全面梳理业务流程现状的基础上，编制每一业务环节和每一处理行为相对应的合规手册和负面行为清单。 2) 数据安全评估：根据数据处理目的、性质和范围，分析数据安全风险和对数据主体权益影响，评估数据处理的必要性、合规性及防控措施的有效性。 3) 特殊合规要求：针对监管重点关注的、法律风险相对较高的第三方管理、SPI处理、自动化决策、权利响应制定专门的合规手册和负面行为清单。 3. 日常规范 1) 数据安全防护：对存放或传输敏感级及以上数据的机房、网络实施重点防护，重视网络数据安全防护（采取脱敏、加密、备份、访问控制、安全认证、隔离等多重措施确保数据安全，特别是支持互联网保险业务运营的信息管理系统和核心业务系统，并与保险机构其他无关的信息系统有效隔离；同时加强机房、设备、物理介质、纸质材料、人员等资产安全管理。 2) 将数据安全风险与全面风险管理体系相结合，主动评估风险，对数据安全风险进行有效监测，防止数据破坏、泄露、非法利用等安全事件发生。 3) 在审计对象中嵌入数据安全审计、监督检查与评价，组织风险管理、内控合规和审计部门定期对数据安全保护与合规情况进行审计。 4) 从业及内勤人员培训教育、安全事件应急预案、PIA规范。 随着业务数字化的深入，保险行业正面临着日益严峻的数据合规挑战，数据合规管理不仅关系到企业声誉和客户信任，更是保障业务连续性的关键。网络数据合规管理是一个系统工程，只有不断完善相关合规管理，才能在数字化的道路上行稳致远，为保险公司的合规经营提供坚实的保障。 *张婧雯对本文亦有贡献
