2020年2月13日，中国人民银行（"央行"）发布了金融行业标准《个人金融信息保护技术规范》（以下简称《金融规范》），从安全技术和安全管理两个方面规定了个人金融信息在收集、传输、存储、使用、删除、销毁等生命周期环节的安全防护要求。本文拟从《金融规范》的出台背景、效力和作用、适用范围、主要特点等方面进行解读，并提出合规建议。
一、出台背景
1.安全事件引发强监管
2019年金融个人信息安全事件频发，例如，某金融App被曝违规获取用户隐私，某银行因未经信息主体书面授权查询个人信息而被央行罚款，某公司未经同意查询个人信息和企业信贷信息，被央行罚款29万元。
针对个人金融信息非法收集、泄露、滥用的现状，监管部门纷纷展开了各类专项行动并发布大批法规、规范性文件及标准。其中，对于金融App的专项治理是监管的重中之重。2019年1月23日,中央网信办、工信部、公安部、市场监管总局四部门联合发布《关于开展App违法违规收集使用个人信息专项治理的公告》拉开了这项工作的帷幕。随后，多家互联网金融App被点名批评要求整改，银行被处罚的事例并不鲜见。
2.合规工作面临的挑战
金融机构在开展个人信息保护方面工作面临比其他行业更加严格的要求。一方面，其需遵守网络安全法体系下各行业普遍适用的法律法规，例如《网络安全法》第四章提出的框架性法律要求，网信办、工信部、市场监督总局等出台的部门规章和规范性文件，以及国家标准，如《个人信息安全规范》（"《安全规范》"）；另一方面，金融机构还要遵守金融行业的特殊规定，尤其是银保监会和央行的发文。
此外，法规的庞杂也给合规工作提出挑战。现阶段网络安全法体系下相关法律法规120多部，发文主体包括人大常委会、国务院、工信部、网信办、发改委、财政部、公安部、市场监督局、国家标准化管理委员会、中国人民银行、银保监会等十多个主体。而在金融领域个人信息保护的发文仅有《中国人民银行关于银行业金融机构做好个人金融信息保护工作的通知》（"《通知》"）、《中国人民银行关于银行业金融机构进一步做好客户个人金融信息保护工作的通知》、《中国人民银行关于印发<中国人民银行金融消费者权益保护实施办法>的通知》等几部，且都是寥寥几页，既未成体系也缺乏具体操作标准。
