征信信息泄露風險防范

征信信息泄露風險防范當前第1頁\共有31頁\編于星期日\1點刑法相關規(guī)定2009年2月28日起施行的《刑法修正案（七）》增設了刑法第二百五十三條之一，規(guī)定了出售、非法提供公民個人信息罪和非法獲取公民個人信息罪?！缎谭ㄐ拚福ㄆ撸肥┬泻?，從2009年2月至2015年10月，全國法院共審結出售、非法提供公民個人信息、非法獲取公民個人信息刑事案件969起，生效判決人數(shù)1415人當前第2頁\共有31頁\編于星期日\1點背景2015年11月1日起施行的《刑法修正案（九）》對刑法第二百五十三條之一作出修改完善：擴大犯罪主體的范圍，規(guī)定任何單位和個人違反國家有關規(guī)定，獲取、出售或者提供公民個人信息，情節(jié)嚴重的，都構成犯罪；明確規(guī)定將在履行職責或者提供服務過程中獲得的公民個人信息，出售或者提供給他人的，從重處罰；加重法定刑，增加規(guī)定“情節(jié)特別嚴重的，處三年以上七年以下有期徒刑，并處罰金”。修改后，“出售、非法提供公民個人信息罪”和“非法獲取公民個人信息罪”被整合為“侵犯公民個人信息罪”。當前第3頁\共有31頁\編于星期日\1點背景《刑法修正案（九）》施行以來，各級公檢法機關依據(jù)修改后的刑法規(guī)定，嚴肅懲處侵犯公民個人信息犯罪，案件數(shù)量顯著增長。2015年11月至2016年12月，全國法院新收侵犯公民個人信息刑事案件495件，審結464件，生效判決人數(shù)697人。當前第4頁\共有31頁\編于星期日\1點征信信息泄露涉刑2017年5月9日最高法發(fā)布《最高人民法院、最高人民檢察院關于辦理侵犯公民個人信息刑事案件適用法律若干問題的解釋》及相關典型案例法釋〔2017〕10號，自2017年6月1日起施行當前第5頁\共有31頁\編于星期日\1點刑法相關規(guī)定第二百五十三條之一【侵犯公民個人信息罪】違反國家有關規(guī)定，向他人出售或者提供公民個人信息，情節(jié)嚴重的，處三年以下有期徒刑或者拘役，并處或者單處罰金；情節(jié)特別嚴重的，處三年以上七年以下有期徒刑，并處罰金。違反國家有關規(guī)定，將在履行職責或者提供服務過程中獲得的公民個人信息，出售或者提供給他人的，依照前款的規(guī)定從重處罰。竊取或者以其他方法非法獲取公民個人信息的，依照第一款的規(guī)定處罰。單位犯前三款罪的，對單位判處罰金，并對其直接負責的主管人員和其他直接責任人員，依照各該款的規(guī)定處罰。當前第6頁\共有31頁\編于星期日\1點最高法司法解釋第一條刑法第二百五十三條之一規(guī)定的“公民個人信息”,是指以電子或者其他方式記錄的能夠單獨或者與其他信息結合識別特定自然人身份或者反映特定自然人活動情況的各種信息，包括姓名、身份證件號碼、通信通訊聯(lián)系方式、住址、賬號密碼、財產狀況、行蹤軌跡等。第二條違反法律、行政法規(guī)、部門規(guī)章有關公民個人信息保護的規(guī)定的，應當認定為刑法第二百五十三條之一規(guī)定的“違反國家有關規(guī)定”。第三條向特定人提供公民個人信息，以及通過信息網(wǎng)絡或者其他途徑發(fā)布公民個人信息的，應當認定為刑法第二百五十三條之一規(guī)定的“提供公民個人信息”。未經(jīng)被收集者同意，將合法收集的公民個人信息向他人提供的，屬于刑法第二百五十三條之一規(guī)定的“提供公民個人信息”，但是經(jīng)過處理無法識別特定個人且不能復原的除外。當前第7頁\共有31頁\編于星期日\1點最高法司法解釋……第五條非法獲取、出售或者提供公民個人信息，具有下列情形之一的，應當認定為刑法第二百五十三條之一規(guī)定的“情節(jié)嚴重”：……（三）非法獲取、出售或者提供行蹤軌跡信息、通信內容、征信信息、財產信息五十條以上的；……（七）違法所得五千元以上的；（八）將在履行職責或者提供服務過程中獲得的公民個人信息出售或者提供給他人，數(shù)量或者數(shù)額達到第三項至第七項規(guī)定標準一半以上的；……（十）其他情節(jié)嚴重的情形。第十二條對于侵犯公民個人信息犯罪，應當綜合考慮犯罪的危害程度、犯罪的違法所得數(shù)額以及被告人的前科情況、認罪悔罪態(tài)度等，依法判處罰金。罰金數(shù)額一般在違法所得的一倍以上五倍以下。當前第8頁\共有31頁\編于星期日\1點最高法司法解釋總結：銀行人員出售、違規(guī)提供征信信息25條以上情節(jié)嚴重構成犯罪，三年以下有期徒刑或拘役，并處或單處罰金包括未簽署征信授權書即向征信系統(tǒng)報送當前第9頁\共有31頁\編于星期日\1點最高法司法解釋實施前款規(guī)定的行為，具有下列情形之一的，應當認定為刑法第二百五十三條之一第一款規(guī)定的“情節(jié)特別嚴重”：造成被害人死亡、重傷、精神失?；蛘弑唤壖艿葒乐睾蠊?；造成重大經(jīng)濟損失或者惡劣社會影響的；數(shù)量或者數(shù)額達到前款第三項至第八項規(guī)定標準十倍以上的；其他情節(jié)特別嚴重的情形。當前第10頁\共有31頁\編于星期日\1點最高法司法解釋總結：銀行人員出售、違規(guī)提供征信信息250條以上情節(jié)特別嚴重構成犯罪，處三年以上七年以下有期徒刑，并處罰金包括未簽署征信授權書即向征信系統(tǒng)報送當前第11頁\共有31頁\編于星期日\1點案例一2015年9月3日至4日，被告人韓世杰、曠源鴻、韓文華利用連光輝（湖北省巴東縣農村商業(yè)銀行沿渡河支行征信查詢員）的征信查詢ID號、密碼及被告人李沖、耿健美（洛陽銀行鄭州東風路支行客戶經(jīng)理）提供的洛陽銀行鄭州東風路支行的銀行專用網(wǎng)絡，在該行附近使用電腦非法查詢公民個人銀行征信信息3萬余條。2015年9月5日至6日，被告人韓世杰、曠源鴻、韓文華利用連光輝的征信查詢ID號、密碼及被告人李楠、盧惠生（德州銀行濱州金廷支行行長）提供的德州銀行濱州分行的銀行專用網(wǎng)絡，在該行南面的停車場內，使用電腦分兩次非法查詢公民個人銀行征信信息2萬余條。當前第12頁\共有31頁\編于星期日\1點案例一2015年9月8日，被告人韓世杰、曠源鴻、韓文華利用李濤（江蘇省淮安市農村商業(yè)銀行徐溜支行職工）的銀行征信查詢ID號及密碼及被告人李楠、盧惠生提供的德州銀行濱州分行專用網(wǎng)絡，在該行南面的停車場內，使用電腦非法查詢公民個人銀行征信信息近3萬條。被告人韓亮、鄧佳勇獲得征信查詢ID號、密碼并非法提供給被告人韓世杰等人使用，雙方通過被告人陳莎莎中轉租金、傳遞密碼。被告人韓世杰、曠源鴻、韓文華將查詢獲得的上述公民個人銀行征信信息出售給他人，向被告人韓亮、李沖、李楠支付了相關費用。當前第13頁\共有31頁\編于星期日\1點裁判結果湖北省巴東縣人民法院判決認為：被告人韓世杰等違反國家有關規(guī)定，非法獲取公民個人信息出售牟利，情節(jié)嚴重，其行為已構成侵犯公民個人信息罪。綜合考慮被告人自首、坦白、積極退贓等情節(jié)，以侵犯公民個人信息罪判處被告人韓世杰有期徒刑一年六個月，并處罰金人民幣二萬元；被告人曠源鴻有期徒刑一年三個月，并處罰金人民幣二萬元；被告人韓文華處有期徒刑一年二個月，并處罰金人民幣一萬元；被告人韓亮有期徒刑一年，并處罰金人民幣一萬元；以及其他各被告人相應有期徒刑、拘役和罰金。當前第14頁\共有31頁\編于星期日\1點案例二當前第15頁\共有31頁\編于星期日\1點案例三當前第16頁\共有31頁\編于星期日\1點案例四平安銀行珠海分行拱北口岸支行倒賣信用報告案例徐某違規(guī)提供22份信用報告給林某，徐某并未牟利，林某以100-200微信出售給他人。該銀行客戶經(jīng)理徐某被判處有期徒刑六個月，緩刑一年，并處以罰金人民幣五千元。當前第17頁\共有31頁\編于星期日\1點案例五銀行未經(jīng)同意查詢個人信用報告引發(fā)糾紛案消費者張某向某人行投訴，某銀行未經(jīng)同意查詢其個人信用報告一次。該銀行查詢未為某小貸公司私下提供征信查詢，身份信息由中介公司人員提供，授權書非本人簽字。投訴人一邊投訴一邊要求銀行賠償當前第18頁\共有31頁\編于星期日\1點案例五最終處理結果，對某行罰款35萬，該行分管行長、部門責任人、當事人分別罰款2萬、2萬、6萬。查詢員被辭退當前第19頁\共有31頁\編于星期日\1點人行監(jiān)管趨嚴2017年5月以來，人民銀行針對征信管理開展大規(guī)模執(zhí)法檢查，處罰多家銀行和相關責任人員當前第20頁\共有31頁\編于星期日\1點人行近期處罰情況人民銀行紅河州中心支行發(fā)布發(fā)布的一則行政處罰決定書顯示，開遠市農村信用合作聯(lián)社因違反管理規(guī)定，被處以70000元罰款的處罰。處罰日期為10月16日。當前第21頁\共有31頁\編于星期日\1點人行近期處罰情況中國人民銀行西安分行網(wǎng)站發(fā)布行政處罰信息顯示，長安銀行商洛分行因違反征信管理、金融統(tǒng)計、支付結算、人民幣管理、反洗錢等相關法律法規(guī)規(guī)章，給予其警告，并罰款155000元。作出行政處罰決定日期為2017年10月20日。當前第22頁\共有31頁\編于星期日\1點人行近期處罰情況人民銀行玉溪市中心支行對中國銀行股份有限公司玉溪市分行作出罰款人民幣6萬元的處罰。據(jù)悉，該行違法行為類型為違反征信管理規(guī)定的行為。處罰日期為10月23日。當前第23頁\共有31頁\編于星期日\1點監(jiān)管要求12月6日人民銀行發(fā)布《關于開展征信信息泄露風險全面自查自糾工作的通知》，對若干可能造成征信信息泄露風險的問題羅列如下：查詢方面：1.信用報告被查詢人不是本機構客戶或客戶關系人。2.查詢企業(yè)和個人信用報告未取得被查詢人授權。3.存在先查詢后授權情況。4.存在代理第三方機構查詢情況（包括小貸公司、擔保公司、財富公司、保險公司、村鎮(zhèn)銀行等）。5.存在查詢授權書授權時間、查詢用途、被查詢人簽名等要素填寫不全情況。6.未上線并使用查詢前置系統(tǒng)。當前第24頁\共有31頁\編于星期日\1點查詢方面7.未對個人信用報告進行脫敏展示、結構化展示和自動解讀。8.查得的信用報告可以下載、拷貝、轉移及多次打印。9.未對查詢行為設置風險閥值并實時監(jiān)測。10.在與外部網(wǎng)絡相連接的機器上設置查詢功能。11.其他可能造成信息泄露的問題。當前第25頁\共有31頁\編于星期日\1點用戶管理方面12.管理員用戶、數(shù)據(jù)上報用戶和信息查詢用戶的職責及操作規(guī)程不符合《個人信用信息基礎數(shù)據(jù)庫管理暫行辦法》及《金融信用信息基礎數(shù)據(jù)庫用戶管理規(guī)范》要求，用戶（含前置系統(tǒng)用戶）未及時向所在地人民銀行分支機構備案。13.管理員用戶、數(shù)據(jù)上報用戶和查詢用戶互相兼任。14.設置公共用戶。15.為非正式員工、非本行工作人員（包括村鎮(zhèn)銀行）開設查詢用戶，或將本行用戶提供給其他無關人員使用。16.員工變動崗位后未及時調整用戶及權限。當前第26頁\共有31頁\編于星期日\1點用戶管理方面17.員工離職或長期不在相應崗位未及時停用其用戶。18.實際查詢用戶未與接口查詢用戶一一進行映射。19.管理員用戶密碼未封存。20.用戶未定期更新密碼。21.用戶密碼設置過于簡單。22.對外出借或出售征信系統(tǒng)查詢用戶及密碼。23.未建立用戶和IP地址的關聯(lián)。24.其他可能造成用戶泄露的問題。當前第27頁\共有31頁\編于星期日\1點異常查詢處理方面25.本機構各用戶的平均日（月）查詢及日（月）最高查詢量與實際業(yè)務量不匹配。26.對戶口所在地、單位地址或聯(lián)系地址不屬本地的客戶，未核實查詢行為的真實性合規(guī)性。27.對非工作時段進行的查詢未逐一核查確認。（重點是22:00-次日6:00期間進行的查詢）28.以貸后管理為原因，但信息主體未在本機構辦理信貸業(yè)務的查詢，未逐筆進行確認（確認為法人、高管、配偶及擔保人等）。29.對人行反饋的其他異常查詢未認真核實或未及時回復。當前第28頁\共有31頁\編于星期日\1點檔案管理方面30.與本機構發(fā)生信貸業(yè)務的被查詢人相關查詢資料（信用報告、授權委托書、身份證復印件等紙質和電子檔案）未歸檔管理；未留存拒貸客戶的查詢授權資料。31.系統(tǒng)保存的網(wǎng)頁版信用報告、掃描版信用報告、其他從個人征信系統(tǒng)中下載的批量征信數(shù)據(jù)的使用沒有授權機制，這些信用報告可以下載、打印、截屏及轉移。32.緩存的信用報告未定期刪除。33.其他可能造成信息泄露的問題。當前第29頁\共有31頁\編于星期日\1點其他方面34.未制定完善征信合規(guī)及信息安全內控制度。35.未制定完善信息安全責任追究制度。36.工作人員未對工作中知悉的信用信息保密。37.存在工作人員向本機構外或本機構無關人員泄露、出售征信信息的情況。38.對已報送的報文（包括加密后的報文）管理不規(guī)范。39.自助查詢機處于監(jiān)控盲區(qū)。40.自助查詢機開箱鑰匙非本行正式工作人員保管。41.硬件設備和網(wǎng)絡條件不符合技術