演员池子个人信息遭泄露 给银行业带来的启示
近年来，在华住、万豪酒店客户信息泄露等新闻的影响下，个人信息安全日渐受到公众关注。近日，一则90后脱口秀演员王越池（池子）在微博上怒怼中信银行擅自泄露其个人账户交易信息的新闻，则把银行的客户信息安全问题推到了风口浪尖。作为风控最严的金融机构之一，银行为什么会在客户信息的保护方面出纰漏呢？此次信息泄露事件，又将给金融行业带来怎样的启示？今天刑动派律师团队就为大家做一个简要的分析。
事件回顾
事件缘起于5月6日池子发的一条新浪微博。在该条博文中，池子称其老东家笑果文化拖欠其演艺报酬。在池子提出异议后，笑果文化停止了池子的一切工作。随后池子多次要求和平解约，笑果文化不同意。于是池子只能申请仲裁，要求笑果文化付清报酬。没想到笑果文化也同时申请了仲裁，并要求池子赔偿3000万。
之所以牵涉到中信银行，是因为池子在笑果文化寄来的案件材料里，发现了自己在中信银行的个人账户交易明细。银行的客户账户交易信息，是重要的个人隐私，不能随意泄露。那么为什么笑果文化可以在既没有池子的身份证原件，也没有池子的银行卡，更没有司法机关的调查令的情况下，随意调取池子的个人账户交易信息呢？抱着对这种行为合法性的质疑，池子向公安机关报了案，并向银保监会等金融监管机构进行了投诉。
虽然随后中信银行迅速发布了致歉信，称已按相关规定处分了违规员工，并对支行行长进行了撤职处理，但是此事仍然在网络上持续发酵。
法律分析和行业启示
根据《商业银行法》第三章第二十九条：商业银行办理个人储蓄存款业务，应当遵循存款自愿、取款自由、存款有息、为存款人保密的原则。对个人储蓄存款，商业银行有权拒绝任何单位或者个人查询、冻结、扣划，但法律另有规定的除外。由此可见，为客户信息进行保密有法可依，是银行的法定义务。
为客户信息保密，也是银行应当承担的合同义务以及合同附随义务。在银行与客户订立的相关业务合同中，通常都有信息保密方面的约定，以工商银行制定的格式合同《电子银行个人客户服务协议》为例，该协议中就约定了工行对个人电子银行客户提供的申请资料和其他信息有保密的义务。而即便银行与客户签订的业务合同中未单独约定保密条款，但是银行方仍然应当为客户信息进行保密。因为根据《合同法》第60条规定：“当事人应当遵循诚实信用原则，根据合同的性质、目的和交易习惯履行通知、协助、保密等义务”。由此可见，合同相对方彼此保密是一种法律规定的合同附随义务。
对银行客户信息保密义务做了规定的相关规章更是不胜枚举。比如《储蓄管理条例》第三十二条规定：储蓄机构及其工作人员对储户的储蓄情况负有保密责任。储蓄机构不得代任何单位和个人查询、冻结或者划拨储蓄存款，国家法律、行政法规另有规定的除外。而2019年12月央行发布的《个人金融信息（数据）保护试行办法（征求意见稿）》中，也明确了金融机构应当按照国家档案管理和电子数据管理规定，采取技术措施和其他必要措施，妥善保管和存储所收集的消费者金融信息，防止信息遗失、毁损、泄露或者篡改。金融机构及其工作人员应当对消费者金融信息严格保密，不得泄露或者非法向他人提供。在确认信息发生泄漏、毁损、丢失时，金融机构应当在72小时以内采取补救措施并告知金融消费者。
5月9日，银保监会消费者权益保护局就此次信息泄露事件发布了一则通报。在这则题为《中国银保监会消费者权益保护局关于中信银行侵害消费者合法权益的通报》中，银保监会消费者权益保护局表示，将按照相关法律法规，对中信银行泄露客户信息事件，启动立案调查程序，严格依法依规进行查处。
事实上，早在2018年，银保监会就发布过《银行业金融机构数据治理指引》，该指引对银行业数据保护提出了一系列规范要求，如银行业金融机构应当建立数据安全策略与标准，依法合规采集、应用数据，依法保护客户隐私，划分数据安全等级，明确访问和拷贝等权限，监控访问和拷贝等行为，完善数据安全技术，定期审计数据安全等。
此外，金融机构泄露客户个人信息还可能会触犯刑法。为了打击侵犯公民个人信息犯罪，《刑法修正案（九）》在《刑法修正案（七）》的基础上对“侵犯公民个人信息罪”做了进一步规制，也相应加大了惩治范围及力度。“两高”也于2017年5月发布了《关于办理侵犯公民个人信息案件适用法律若干问题的解释》，对本罪的定罪量刑做了具体明确的规定。《中华人民共和国网络安全法》则于2017年6月1日正式实施。而为了配合多部监管法律文件的出台，公安部也加大了打击侵犯公民个人信息犯罪的力度。这些措施都意味着，国家比以往更加重视保护公民个人信息。
根据以往办案经验以及对上海地区近三年的裁判案件所做的分析，我们发现被侵犯的公民个人信息主要包括以下几种类型：姓名、电话、住址等个人信息、户籍资料；身份证号码、淘宝账号、支付宝账号、登陆密码、支付密码；手机通讯录、短信；婴幼儿个人信息；学生及家长的姓名、电话号码、中小学学生性别、出生日期、出生医院、就读学校名称等；贷款人信息；快递单信息、买家账号、收货人姓名、电话、收货地址、购买商品情况等；公司客户信息；交易信息与征信信息等。
按照司法解释可以分为三类：一是行踪轨迹信息、通信内容、征信信息、财产信息；二是住宿信息、通信记录、健康生理信息、交易信息等其他可能影响人身、财产安全的公民个人信息；三是普通信息。显然，司法解释颁布之后，侵犯公民个人信息的类型自2017年6月1日之后有了一个更加明确具体的标准。
与此同时，在涉案人员的分布上，房地产公司的涉案人员最多，投资管理、资产管理、咨询公司、教育培训机构的员工因拓展业务需要也涉案较多，表现形式上多为互相交换、非法购买或利用其他技术手段非法获取信息。另外，银行、快递公司等行业本身就会接触到大量公民个人信息，所以应该严格做好风险防控，预防内部成员将客户信息、交易信息等非法提供、出售给他人，避免给客户造成不必要的损失。
如果涉刑，警方一般会收集哪些重要证据？
1.证明出售、提供行为的证据。QQ、微信聊天记录、电子邮件等电子数据；行为人的供述、辩解；云盘、电脑存储介质、FTP等；
2.行为人或者购买者、收受者接收并控制信息的证据。一般会进行搜查，伴随扣押等行为，对存有公民信息的电脑、手机、U盘、移动硬盘、云盘等进行扣押；
3.涉案公民个人信息真实性的证据。我们在办案中发现，侦查机关会关注公民个人信息的内容是否与权威数据库具有“同一性”，一些不了解情况的涉事企业还以为说自己从权威数据库“缓存”了数据是一种罪轻的辩解，其实正好相反；
4.非法获取侵入数据库的证据。被害公司数据库中是否发现入侵IP地址的情况、从行为人电脑中提取的侵入被害公司数据的痕迹等现场勘验检查笔录，是否有木马程序。
针对银行业提出的防范建议
北京盈科（上海）律师事务所刑事部主任康烨律师结合办理的刑事案件，提出如下建议：
1． 整改有风险的业务、运营模式，净化业务样态；
2． 加强员工教育，尤其提升管理层的信息安全意识；
3. 做到规章制度合规、定岗定规，排除单位犯罪意志；
4. 检查与第三方合作机构的业务链条，排除共同犯罪责任；
5. 积极配合监管部门检查，表明单位合规态度；
6. 遇有突发刑事风险，不销毁、隐藏证据；
7. 由专业法律团队提供刑事合规帮助。
关于“刑动派”律师团队
盈科上海刑事部是北京盈科（上海）律师事务所核心部门之一。部门业务领域遍及全国，主要针对经济犯罪（金融犯罪、走私犯罪、涉税犯罪、知识产权犯罪等）、职务犯罪、涉外犯罪、公司反舞弊调查与诉讼等领域提供专业服务。
部门在康烨主任、辛本华副主任、姜曙滨副主任、洪凌副主任带领下，秉承专业化、精细化辩护理念，不断发展壮大。部门现成立4大研究中心，现有成员30人，其中教授2人，博士3人，硕士14人，司法工作、高校背景等5人，建成了一批知识层次高、法学理论功底扎实、刑辩经验丰富、资历深厚的精英律师团队。