征信信息泄露风险防范ppt课件

23
监管要求
• 12月6日人民银行发布《关于开展征信信息泄露风 险全面自查自纠工作的通知》，对若干可能造成征 信信息泄露风险的问题罗列如下：
• 查询方面：
– 1.信用报告被查询人不是本机构客户或客户关系人。 – 2.查询企业和个人信用报告未取得被查询人授权。 – 3.存在先查询后授权情况。 – 4.存在代理第三方机构查询情况（包括小贷公司、担保
– 29.对人行反馈的其他异常查询未认真核实或未及 时回复。
28
档案管理方面
• 30.与本机构发生信贷业务的被查询人相关查 询资料（信用报告、授权委托书、身份证复印 件等纸质和电子档案）未归档管理；未留存拒 贷客户的查询授权资料。
• 31.系统保存的网页版信用报告、扫描版信用 报告、其他从个人征信系统中下载的批量征信 数据的使用没有授权机制，这些信用报告可以 下载、打印、截屏及转移。
21
人行近期处罚情况
• 中国人民银行西安分行网站发布行政处罚 信息显示，长安银行商洛分行因违反征信 管理、金融统计、支付结算、人民币管理、 反洗钱等相关法律法规规章，给予其警告， 并罚款155000元。作出行政处罚决定日期 为2017年10月20日。
22
人行近期处罚情况
• 人民银行玉溪市中心支行对中国银行股份 有限公司玉溪市分行作出罚款人民币6万元 的处罚。据悉，该行违法行为类型为违反 征信管理规定的行为。处罚日期为10月23 日。
公司、财富公司、保险公司、村镇银行等）。 – 5.存在查询授权书授权时间、查询用途、被查询人签名
等要素填写不全情况。 – 6.未上线并使用查询前置系统。
24
查询方面
– 7.未对个人信用报告进行脱敏展示、结构化展 示和自动解读。
– 8.查得的信用报告可以下载、拷贝、转移及多 次打印。
– 9.未对查询行为设置风险阀值并实时监测。 – 10.在与外部网络相连接的机器上设置查询功能。 – 11.其他可能造成信息泄露的问题。
7
最高法司法解释
• …… • 第五条非法获取、出售或者提供公民个人信息，具有下列情形之
一的，应当认定为刑法第二百五十三条之一规定的“情节严重”： • …… • （三）非法获取、出售或者提供行踪轨迹信息、通信内容、征信
信息、财产信息五十条以上的； • …… • （七）违法所得五千元以上的； • （八）将在履行职责或者提供服务过程中获得的公民个人信息出
• 查询员被辞退
19
人行监管趋严
• 2017年5月以来，人民银行针对征信管理开 展大规模执法检查，处罚多家银行和相关 责任人员
20
人行近期处罚情况
• 人民银行红河州中心支行发布发布的一则 行政处罚决定书显示，开远市农村信用合 作联社因违反管理规定，被处以70000元罚 款的处罚。处罚日期为10月16日。
6
最高法司法解释
• 第一条刑法第二百五十三条之一规定的“公民个人信 息”,是指以电子或者其他方式记录的能够单独或者与其 他信息结合识别特定自然人身份或者反映特定自然人活 动情况的各种信息，包括姓名、身份证件号码、通信通 讯联系方式、住址、账号密码、财产状况、行踪轨迹等。
• 第二条违反法律、行政法规、部门规章有关公民个人信 息保护的规定的，应当认定为刑法第二百五十三条之一 规定的“违反国家有关规定”。
• 消费者张某向某人行投诉，某银行未经同 意查询其个人信用报告一次。
• 该银行查询未为某小贷公司私下提供征信 查询，身份信息由中介公司人员提供，授 权书非本人签字。
• 投诉人一边投诉一边要求银行赔偿
18
案例五
• 最终处理结果，对某行罚款35万，该行分 管行长、部门责任人、当事人分别罚款2万、 2万、6万。
4
征信信息泄露涉刑
• 2017年5月9日最高法发布《最高人民法院、 最高人民检察院关于办理侵犯公民个人信 息刑事案件适用法律若干问题的解释》及 相关典型案例
• 法释〔2017〕10号 ，自2017年6月1日起施 行
5
刑法相关规定
• 第二百五十三条之一【侵犯公民个人信息罪】违反 国家有关规定，向他人出售或者提供公民个人信息， 情节严重的，处三年以下有期徒刑或者拘役，并处 或者单处罚金；情节特别严重的，处三年以上七年 以下有期徒刑，并处罚金。
– 综合考虑被告人自首、坦白、积极退赃等情节，以 侵犯公民个人信息罪判处被告人韩世杰有期徒刑一 年六个月，并处罚金人民币二万元；被告人旷源鸿 有期徒刑一年三个月，并处罚金人民币二万元；被 告人韩文华处有期徒刑一年二个月，并处罚金人民 币一万元；被告人韩亮有期徒刑一年，并处罚金人 民币一万元；以及其他各被告人相应有期徒刑、拘 役和罚金。
25
用户管理方面
– 12.管理员用户、数据上报用户和信息查询用户的 职责及操作规程不符合《个人信用信息基础数据库 管理暂行办法》及《金融信用信息基础数据库用户 管理规范》要求，用户（含前置系统用户）未及时 向所在地人民银行分支机构备案。
– 13.管理员用户、数据上报用户和查询用户互相兼 任。
– 14.设置公共用户。 – 15.为非正式员工、非本行工作人员（包括村镇银
• 32.缓存的信用报告未定期删除。 • 33.其他可能造成信息泄露的问题。
29
其他方面
• 34.未制定完善征信合规及信息安全内控制度。 • 35.未制定完善信息安全责任追究制度。 • 36.工作人员未对工作中知悉的信用信息保密。 • 37.存在工作人员向本机构外或本机构无关人员泄露、出售征信信息的
– 加重法定刑，增加规定“情节特别严重的，处三年 以上七年以下有期徒刑，并处罚金”。修改后， “出售、非法提供公民个人信息罪”和“非法获取 公民个人信息罪”被整合为“侵犯公民个人信息 罪”。
3
背景
• 《刑法修正案（九）》施行以来，各级公 检法机关依据修改后的刑法规定，严肃惩 处侵犯公民个人信息犯罪，案件数量显著 增长。2015年11月至2016年12月，全国法 院新收侵犯公民个人信息刑事案件495件， 审结464件，生效判决人数697人。
27
异常查询处理方面
– 25.本机构各用户的平均日（月）查询及日（月） 最高查询量与实际业务量不匹配。
– 26.对户口所在地、单位地址或联系地址不属本地 的客户，未核实查询行为的真实性合规性。
– 27.对非工作时段进行的查询未逐一核查确认。 （重点是22:00-次日6:00期间进行的查询）
– 28.以贷后管理为原因，但信息主体未在本机构办 理信贷业务的查询，未逐笔进行确认（确认为法人、 高管、配偶及担保人等）。
• 第三条向特定人提供公民个人信息，以及通过信息网络 或者其他途径发布公民个人信息的，应当认定为刑法第 二百五十三条之一规定的“提供公民个人信息”。
– 未经被收集者同意，将合法收集的公民个人信息向他人提供 的，属于刑法第二百五十三条之一规定的“提供公民个人信 息”，但是经过处理无法识别特定个人且不能复原的除外。
情节特别严重
构成犯罪，处 三年以上七年 以下有期徒刑，
并处罚金
11
案例一
• 2015年9月3日至4日，被告人韩世杰、旷源鸿、韩 文华利用连光辉（湖北省巴东县农村商业银行沿渡 河支行征信查询员）的征信查询ID号、密码及被告 人李冲、耿健美（洛阳银行郑州东风路支行客户经 理）提供的洛阳银行郑州东风路支行的银行专用网 络，在该行附近使用电脑非法查询公民个人银行征 信信息3万余条。
情况。 • 38.对已报送的报文（包括加密后的报文）管理不规范。 • 39.自助查询机处于监控盲区。 • 40.自助查询机开箱钥匙非本行正式工作人员保管。 • 41.硬件设备和网络条件不符合技术要求。 • 42.未定期进行征信合规自查自纠或未定期开展征信宣传教育和培训。 • 43.发生过征信信息泄露案件。（2016年12月1日至今，简要说明案情
征信信息泄露风险防范
1
刑法相关规定
• 2009年2月28日起施行的《刑法修正案 （七）》增设了刑法第二百五十三条之一， 规定了出售、非法提供公民个人信息罪和 非法获取公民个人信息罪。《刑法修正案 （七）》施行后，从2009年2月至2015年10 月，全国法院共审结出售、非法提供公民 个人信息、非法获取公民个人信息刑事案 件969起，生效判决人数1415人
• 被告人韩亮、邓佳勇获得征信查询ID号、密码并非 法提供给被告人韩世杰等人使用，双方通过被告人 陈莎莎中转租金、传递密码。被告人韩世杰、旷源 鸿、韩文华将查询获得的上述公民个人银行征信信 息出售给他人，向被告人韩亮、李冲、李楠支付了 相关费用。
13
裁判结果
• 湖北省巴东县人民法院判决认为：
– 被告人韩世杰等违反国家有关规定，非法获取公民 个人信息出售牟利，情节严重，其行为已构成侵犯 公民个人信息罪。
售或者提供给他人，数量或者数额达到第三项至第七项规定标准 一半以上的； • …… • （十）其他情节严重的情形。 • 第十二条对于侵犯公民个人信息犯罪，应当综合考虑犯罪的危害 程度、犯罪的违法所得数额以及被告人的前科情况、认罪悔罪态 度等，依法判处罚金。罚金数额一般在违法所得的一倍以上五倍 以下。
8
14
案例二
1行拱北口岸支行倒卖信用 报告案例
• 徐某违规提供22份信用报告给林某，徐某 并未牟利，林某以100-200微信出售给他人。
• 该银行客户经理徐某被判处有期徒刑六个 月，缓刑一年，并处以罚金人民币五千元。
17
案例五
• 银行未经同意查询个人信用报告引发纠纷 案
行）开设查询用户，或将本行用户提供给其他无关 人员使用。 – 16.员工变动岗位后未及时调整用户及权限。
26
用户管理方面
– 17.员工离职或长期不在相应岗位未及时停用其用 户。
– 18.实际查询用户未与接口查询用户一一进行映射。 – 19.管理员用户密码未封存。 – 20.用户未定期更新密码。 – 21.用户密码设置过于简单。 – 22.对外出借或出售征信系统查询用户及密码。 – 23.未建立用户和IP地址的关联。 – 24.其他可能造成用户泄露的问题。