银行移动应用再遭通报，个人信息合规为何屡次失守？

在最新一批违法违规收集使用个人信息的移动应用名单中，再次出现银行类应用的身影。

10月28日，《国际金融报》记者注意到，贵阳银行、桂林银行旗下移动应用分别因涉及隐私政策告知不充分、向第三方提供信息未取得单独同意两项问题被列入通报名单。综合此前多份名单，超10家银行旗下应用被点名，告知不尽、未单独同意、撤回同意机制缺失等问题反复出现。

受访专家指出，合理与违规的边界，关键在于收集范围是否限于身份核验、交易、风控、反洗钱等必要信息，并以清晰告知、自愿同意为前提。当前监管针对个人信息保护趋严，但银行彻底整改仍需要时间和资源。

违规类型高度集中

近日，国家计算机病毒应急处理中心公布新一批违法违规收集使用个人信息的移动应用名单，涉及84款微信小程序及手机应用（App）。记者注意到，贵阳银行和桂林银行旗下两款应用赫然在列。

从通报内容来看，“桂银权益”微信小程序的问题在于隐私政策列举“不尽”，未逐一列出App（包括委托的第三方或嵌入的第三方代码、插件）收集使用个人信息的目的、方式、范围等。“贵阳银行”App则涉及对个人信息的“违规共享”问题，向其他个人信息处理者提供其处理的个人信息，未向个人告知接收方的名称或者姓名、联系方式、处理目的、处理方式和个人信息的种类，并取得个人的单独同意。

以通报中披露的检测时段为准，今年以来，国家计算机病毒应急处理中心共计发布8份名单，除本次提及的两家机构外，还有民生银行、汇丰银行、南京银行、太仓农商行等多家银行旗下应用出现在通报中，违规类型也高度集中。

综合此前公布的多份名单，涉及隐私政策告知不充分的应用数量最多。例如，常熟银行App、兴福村镇银行App均涉及隐私政策未逐一列明收集使用个人信息的目的、方式和范围。另一类常见问题是，向第三方提供信息未取得单独同意，汇丰银行、太仓农商行两家机构旗下手机应用因此被通报。

撤回同意机制缺失的问题也反复出现。例如，“湖北银行线上贷款”和“武汉农村商业银行”两款小程序涉及“未向用户提供撤回同意收集个人信息的途径、方式；个人信息处理者未提供便捷的撤回同意的方式”。

还有单款银行小程序同时存在多项违规的情况。在7月9日公布的名单中，“民生银行企业账户e+”微信小程序被指同时存在“未在征得用户同意后才开始收集个人信息或打开可收集个人信息的权限”“个人信息处理者处理不满十四周岁未成年人个人信息的，未制定专门的个人信息处理规则；收集未成年人信息未取得监护人单独同意”等5类违规问题。

个人信息保护趋严

银行旗下的移动应用为何频繁在个人信息合规上踩线？

“银行过度收集个人信息数据，从客户运营层面看，其存在营销与用户运营的KPI（关键绩效指标），有过度收集信息的动机。”素喜智研高级研究员苏筱芮对记者指出，“从风控层面看，其试图把多收集信息泛化为风控与反欺诈的‘正当需求’；而从组织权力看，有可能组织内合规话语权存在不足，处于相对弱势地位。”

在浙江大学国际联合商学院（ZIBS）助理教授邵辉看来，这一现象在行业内具有普遍性。“尤其在中小银行中更为明显，部分银行年内曾被多次点名。对于银行而言，整改难点较多，包括数据流向难以追踪、合规改造成本高、软件迭代较快容易反复踩线等。此外，法务、产品和技术协同不足也是问题。”邵辉直言，“目前，监管针对个人信息保护趋严，但银行彻底整改仍需要时间和资源。”

对于用户而言，银行类应用违规收集个人信息可能带来哪些负面影响？苏筱芮指出，一是可能导致用户接到营销骚扰电话、骚扰短信等；二是银行合作的SDK（第三方软件开发工具包）有可能将位置、通讯录等敏感信息带出银行体系；三是违规获取的信息可能被加工成各式各样的用户标签，使得用户在产品服务中被迫接受差别化定价。

邵辉认为，合理与违规的边界，关键在于收集范围是否限于身份核验、交易、风控、反洗钱等必要信息，并以清晰告知、自愿同意为前提。违规情形则常见于隐私政策不完整、向第三方共享未取得单独同意、强制一揽子授权以及超范围收集等。

“普通用户的自我保护可以从几个方面入手，建议在系统设置中关闭非必要权限，只开通核心功能、少授权营销类权限，若问题严重，则可向12321或网信部门投诉。”邵辉最后建议道。