網(wǎng)上投稿
2024年12月17日下午，為保護(hù)投資者權(quán)益，防范和化解金融風(fēng)險，助力基金行業(yè)合規(guī)前行，由上海律協(xié)公司與商事專業(yè)委員會（以下簡稱“公司委”）、上海市基金同業(yè)公會糾紛調(diào)解專業(yè)委員會聯(lián)合舉辦的“個人信息保護(hù)相關(guān)業(yè)務(wù)培訓(xùn)”在上海浦東金茂大廈30層陸家嘴會客廳召開。基金同業(yè)公會各會員單位、基金同業(yè)公會糾紛調(diào)解專業(yè)委員會委員及上海律協(xié)公司委委員共計95人參加本次培訓(xùn)。培訓(xùn)由公司委委員丁峰律師就“基金行業(yè)的個人信息保護(hù)問題”進(jìn)行了深入分享。
一、基金行業(yè)個人信息保護(hù)法律法規(guī)體系
（一）法律法規(guī)體系介紹
丁峰律師首先概括梳理了我國涉及人格尊嚴(yán)、通信秘密、通信自由以及隱私等相關(guān)權(quán)益保護(hù)的法律體系不斷發(fā)展與完善的過程。早在1954年憲法及后續(xù)幾次修訂中，就涉及到人格尊嚴(yán)等相關(guān)內(nèi)容，2004年憲法修訂提到了人格保護(hù)方面的內(nèi)容。1988年，最高院民法通則試行意見指出，侵犯他人隱私需公然宣揚才以侵害名譽權(quán)論，當(dāng)時隱私未作為單獨的人格權(quán)予以保護(hù)，而是依附于侵害名譽權(quán)相關(guān)規(guī)定。1993年審理名譽權(quán)若干問題的解釋再次強(qiáng)調(diào)了侵害隱私須以宣揚為行為要件，1998年我國簽訂《公民權(quán)利和政治權(quán)利的國際公約》，明確了對私生活等方面不得非法侵?jǐn)_及人人有受法律保護(hù)的權(quán)利，此后法律逐步細(xì)化規(guī)范。
2001年是重要分水嶺，最高院出臺《關(guān)于確定民事侵權(quán)精神損害賠償責(zé)任若干問題的解釋》，將隱私作為一項人格利益單獨進(jìn)行保護(hù)。2010年侵權(quán)責(zé)任法出臺，2012年《關(guān)于加強(qiáng)網(wǎng)絡(luò)信息保護(hù)的決定》發(fā)布，后續(xù)《民法典》出臺，并在合規(guī)與刑事層面有《網(wǎng)絡(luò)安全法》、《數(shù)據(jù)安全法》和《個人信息保護(hù)法》這 “三法” 以及《關(guān)鍵信息基礎(chǔ)設(shè)施安全保護(hù)條例》和《網(wǎng)絡(luò)數(shù)據(jù)安全管理條例》（2025.1.1實施）相關(guān) “兩條例”，構(gòu)建起相應(yīng)個人信息保護(hù)法律合規(guī)體系。
此外，還有諸如《電子商務(wù)法》《未成年人保護(hù)法》等諸多法律法規(guī)共同構(gòu)成大的法條體系，且在證券期貨業(yè)也有相關(guān)信息安全保障、客戶資料管理、數(shù)據(jù)分類分級等方面的規(guī)定不斷更新完善，所以，盡管《個人信息保護(hù)法》出臺較晚，但此前已存在大量與之相關(guān)的規(guī)范。
（二）《個人信息保護(hù)法》重點條款介紹
在介紹《個人信息保護(hù)法》重點條款時，丁律師闡釋了其適用范圍，為后續(xù)內(nèi)容做鋪墊。其一，從行為空間角度來看，在中華人民共和國境內(nèi)進(jìn)行個人信息（包含外國人的個人信息）處理活動的，需適用本法。其二，對于在境外處理我國境內(nèi)自然人個人信息的情況，比如境外的旅行社、酒店等處理境內(nèi)自然人的個人信息時，同樣要適用我國的這部法律，這體現(xiàn)了典型的“長臂管轄”或“域外管轄”特點，即只要涉及我國境內(nèi)自然人的個人信息，就應(yīng)當(dāng)遵守本法規(guī)定。
丁律師同時提醒到，在個人信息保護(hù)職責(zé)的相關(guān)體系中，存在著幾個極為關(guān)鍵的部門。其中，網(wǎng)信辦、工信部以及公安部當(dāng)屬重中之重。這三大部門在個人信息保護(hù)領(lǐng)域扮演著核心角色，其重要性體現(xiàn)在它們對所有行業(yè)均擁有處罰權(quán)。需明確的是就基金公司而言，在一般業(yè)務(wù)違規(guī)情境下，通常是由證監(jiān)局或者證監(jiān)會來實施處罰。然而，一旦涉及個人信息保護(hù)方面的違規(guī)行為，那么除了證監(jiān)局與證監(jiān)會具備處罰權(quán)限之外，工信部、公安部以及網(wǎng)信辦同樣有權(quán)進(jìn)行處罰。由此可見，在個人信息保護(hù)的管理格局中，呈現(xiàn)出一種多頭管理的模式。
通過對比《民法典》1034條第2款和《個人信息保護(hù)法》第四條，丁律師認(rèn)為對于“個人信息”的界定產(chǎn)生了一定的變化與演進(jìn)，增加了“可識別性”認(rèn)定要素，強(qiáng)化了對個人信息的保護(hù)。同時，根據(jù)《個人信息保護(hù)法》第五條至第九條、第十七條的規(guī)定，丁律師總結(jié)了個人信息處理中的四項基本原則，合法、正當(dāng)、必要、誠信原則，目的明確、最小必要原則，公開透明原則，質(zhì)量和確保安全原則。
對于個人信息的提供、共享、委托等問題是個人信息處理中最核心的問題之一，根據(jù)《個人保護(hù)法》第這部分內(nèi)容需要個人單獨同意，但是實務(wù)中如何操作一致是一個難點，對此，丁律師根據(jù)其豐富的執(zhí)業(yè)經(jīng)驗給出了行之有效的建議，即在大的文件處理過程中，若存在某些特定內(nèi)容需要相關(guān)方單獨同意，可將其設(shè)置為獨立的加粗加黑條款。如此一來，能夠使其在眾多內(nèi)容中更為醒目突出，易于識別。與此同時，在該條款的鄰近位置標(biāo)注要求其簽名的指示，這樣既可以清晰地向相關(guān)方表明此條款的重要性與特殊性，又能為后續(xù)可能涉及的確認(rèn)流程提供明確依據(jù)，有效保障文件執(zhí)行的規(guī)范性與合法性，避免因條款混淆或未明確授權(quán)而引發(fā)的潛在糾紛與風(fēng)險，確保各方權(quán)益得到妥善維護(hù)與界定。同時，《個人保護(hù)法》第十三條規(guī)定了當(dāng)提供和收集個人信息是訂立合同所必須或為公共利益等需求時不需要征得個人單獨同意。
《個人信息保護(hù)法》第五十一條、第五十四至五十八條規(guī)定了個人信息處理者的義務(wù)，包括安全保障、合規(guī)審計、個人信息保護(hù)影響評估、安全事件通知義務(wù)以及針對平臺的特殊義務(wù)等。
丁律師重點講述了個人信息處理的全流程管控，在個人信息保護(hù)的全流程管控方面，首先需明確個人信息的主體享有相應(yīng)權(quán)利，即個人信息所標(biāo)識或關(guān)聯(lián)的自然人。此過程中，敏感個人信息亦涵蓋其中。而關(guān)于個人信息的處理過程，依據(jù)個人信息保護(hù)法，存在單獨處理以及多方處理等情形。需注意的是，多方處理雖不限于特定三種模式，但在實務(wù)中，共同處理、委托處理和向第三方提供這三種模式最為常見。
對于企業(yè)而言，其作為個人信息處理者，在處理過程中有自主決定處理目的與處理方式的權(quán)限，但同時也可能對外開展合作。在此，丁律師以委托處理為例闡述了多方處理中在實務(wù)里較為重要的幾個方面。在常見的業(yè)務(wù)場景中，如基金公司在開展相關(guān)業(yè)務(wù)時，不可避免地會收集與處理個人信息，然而其自身技術(shù)能力或許相對薄弱，此時便會將技術(shù)部分分包或外包給一家技術(shù)公司。在此情況下，該技術(shù)公司就成為受托處理者。針對委托處理，重點在于合同簽訂環(huán)節(jié)，所簽訂的合同并非普通的軟件開發(fā)合同之類，而是委托合同，且必須在其中植入個人信息相關(guān)條款。具體而言，應(yīng)當(dāng)與受托人明確約定委托處理個人信息的目的、期限、處理方式、個人信息的種類、保護(hù)措施以及雙方的權(quán)利和義務(wù)等內(nèi)容。從這一過程可以看出，最原始的權(quán)利義務(wù)主體通過合同要求實現(xiàn)全鏈條的長臂管轄延伸與管控。這也是我國借鑒西方一些較為先進(jìn)的法律長臂管轄理念在個人信息保護(hù)中的應(yīng)用體現(xiàn)。因此，丁律師提醒在委托處理中，委托范圍的明確至關(guān)重要，實務(wù)中合同條款的精心設(shè)計意義非凡，而受托人的義務(wù)則較為明晰，即按照約定范圍處理，不得超出約定的處理目的與處理方式，并且在業(yè)務(wù)結(jié)束后還需及時返還個人信息。
（三）《證券期貨業(yè)網(wǎng)絡(luò)和信息安全管理辦法》重點條款介紹
根據(jù)上述分析，丁律師以《個人信息保護(hù)法》、《證券期貨業(yè)網(wǎng)絡(luò)和信息安全管理辦法》中的相關(guān)規(guī)定歸納了個人信息保護(hù)全生命周期處理的合規(guī)要點，具體劃分為事前防范、事中控制與事后處理三個階段。在事前防范階段，主要涵蓋培訓(xùn)工作的開展、影響評估以及安全評估的施行。培訓(xùn)旨在提升相關(guān)人員對個人信息保護(hù)的認(rèn)知與技能水平，而影響評估和安全評估則是從多維度對可能涉及個人信息處理的風(fēng)險與安全性進(jìn)行預(yù)估與分析，以此為后續(xù)工作筑牢堅實基礎(chǔ)。此外，還需制定完善的應(yīng)急預(yù)案，以便在突發(fā)狀況下能夠迅速且有效地做出響應(yīng)。
進(jìn)入事中控制階段，關(guān)鍵在于實施一系列保護(hù)措施，嚴(yán)格進(jìn)行數(shù)據(jù)流動的管控與監(jiān)測工作。通過實施保護(hù)措施確保個人信息在處理過程中的安全性與完整性，而數(shù)據(jù)流動管控與監(jiān)測則能夠跟蹤個人信息的流向、使用情況等，及時發(fā)現(xiàn)并處理可能存在的異常與風(fēng)險，保障個人信息處理過程的合規(guī)性與穩(wěn)定性。
至于事后處理階段，主要包括合規(guī)審計以及應(yīng)急方案的啟動。合規(guī)審計可對整個個人信息處理過程進(jìn)行全面審查與評估，查找可能存在的合規(guī)漏洞與不足之處，為后續(xù)改進(jìn)提供依據(jù)。而一旦發(fā)生緊急情況，迅速啟動應(yīng)急方案，及時止損并妥善處理相關(guān)事宜，最大程度降低可能造成的負(fù)面影響，從而確保個人信息保護(hù)工作在全生命周期內(nèi)形成完整且有效的閉環(huán)管理體系。
二、基金行業(yè)個人信息保護(hù)法律適用
（一）基金行業(yè)涉及的個人信息范圍和個人信息處理者
對于基金行業(yè)主要涉及投資者基本信息，包括姓名、住址、學(xué)歷、執(zhí)業(yè)、年齡等基本信息，法人或其他組織的名稱、注冊地址、辦公地址等，以及基金產(chǎn)品成立、備案證明文件等資料、稅收居民身份證明、基金賬戶信息、實際控制投資者的自然人和交易的實際受益人等信息。對于投資者資產(chǎn)狀況、投資者投資經(jīng)驗、相關(guān)專業(yè)自治、投資風(fēng)險偏好、誠信記錄等均屬于基金行業(yè)中需要保護(hù)的個人信息范圍。另外，基金行業(yè)的個人信息處理者也即個人信息保護(hù)的義務(wù)主體主要是基金管理人、基金銷售機(jī)構(gòu)、基金托管人和基金外包服務(wù)機(jī)構(gòu)。
（二）基金行業(yè)涉及個人信息處理的主要場景
丁律師指出在個人信息保護(hù)于基金業(yè)務(wù)場景的應(yīng)用中，存在諸多關(guān)鍵環(huán)節(jié)與要點，并對各個環(huán)節(jié)分別進(jìn)行了詳細(xì)分析。
對于推薦與適當(dāng)性管理環(huán)節(jié)，涉及基金管理人及其委托的基金銷售機(jī)構(gòu)。二者在個人信息處理方面存在委托處理與共同處理的區(qū)別界定。若為基金管理人主導(dǎo)決定處理范圍，則偏向委托處理；若基金銷售公司也需參與數(shù)據(jù)處理決策，則傾向于共同處理。例如，在非公募集基金業(yè)務(wù)里，僅能面向合格投資者非公開推薦，故而在推薦前需開展不特定對象的特定化程序，在此過程中收集投資者個人信息，以判定其是否符合基金合格投資標(biāo)準(zhǔn)。
在適當(dāng)性管理進(jìn)程中，涵蓋一系列對投資者個人信息的處理操作。諸如投資者個人信息的深入調(diào)查、合格投資者信息的全面收集與精準(zhǔn)認(rèn)定、合格投資者資產(chǎn)證明文件的收集與嚴(yán)謹(jǐn)認(rèn)定、普通投資者與專業(yè)投資者分類投資經(jīng)驗相關(guān)證明的處理、特定身份證明信息的收集與認(rèn)定、投資者風(fēng)險測評及其與投資產(chǎn)品的匹配分析、普通投資者錄音錄像資料的處理、付款賬戶信息的收集以及回訪工作、稅收居民信息與反洗錢信息的收集等。近期反洗錢新法的通過，對包括律師事務(wù)所、房產(chǎn)中介等中介機(jī)構(gòu)在資金流程中的義務(wù)提出了新要求。盡管在反洗錢具體措施實施過程中，可能與個人在儲蓄或轉(zhuǎn)賬等方面的權(quán)利產(chǎn)生一定沖突，且可能涉及費用承擔(dān)等問題，但反洗錢工作在金融行業(yè)的重要性不言而喻。
募集后的投資者信息動態(tài)管理階段，尤為強(qiáng)調(diào)信息的主動與被動變更管理。針對普通投資者，需進(jìn)行定期或不定期的抽查回訪等操作，以實現(xiàn)投資者個人信息的補(bǔ)充和變更管理工作的有效推進(jìn)。
隨后進(jìn)入信息披露環(huán)節(jié)，其主要處理者包含基金的募集機(jī)構(gòu)、基金管理人、外包服務(wù)機(jī)構(gòu)以及基金托管人。例如投資者年報披露信息涵蓋投資賬戶信息、實繳出資與未繳出資情況以及報告期末所持經(jīng)營份額總額等；基金管理人在投資基金的信息披露備份系統(tǒng)上備份的股權(quán)創(chuàng)投基金半年度報告亦包含基金投資者情況。在此環(huán)節(jié)，無論是報告本身對投資者信息的使用，還是向投資者進(jìn)行信息披露的過程，均涉及個人信息處理工作，相關(guān)要點需清晰明確。
在基金代銷環(huán)節(jié)，基金銷售機(jī)構(gòu)作為受托方，應(yīng)嚴(yán)格依據(jù)代銷協(xié)議所約定的處理目的與處理方式來處理投資者個人信息?；鸸芾砣藙t需對代銷機(jī)構(gòu)的履約行為予以監(jiān)督。若代銷協(xié)議出現(xiàn)無效、被撤銷或終止等情形，受托人務(wù)必將個人信息返還給個人信息處理者或者予以刪除，不得留存。在實際操作中，投資者雖為基金銷售機(jī)構(gòu)的客戶，但依據(jù)不同業(yè)務(wù)場景，需綜合判斷誰是委托人、誰是最原始的權(quán)利主體。基金銷售機(jī)構(gòu)在個人信息告知及同意環(huán)節(jié)，應(yīng)當(dāng)清晰明確上述商務(wù)責(zé)任關(guān)系，向投資者進(jìn)行必要的告知說明。
再者是外包服務(wù)環(huán)節(jié)，基金管理人委托基金外包服務(wù)進(jìn)行份額登記等服務(wù)屬于受托行為，應(yīng)按照協(xié)議約定執(zhí)行。由此可見，各類協(xié)議，如App上的隱私政策、與投資人簽訂的投資合同以及與外包機(jī)構(gòu)之間的合同等，均需對個人信息處理相關(guān)內(nèi)容進(jìn)行細(xì)致化規(guī)定。以往許多合同可能未涉及個人信息處理條款，但如今無論是對公業(yè)務(wù)還是對私業(yè)務(wù)，都需重視數(shù)據(jù)安全與個人信息保護(hù)，因為個人信息是數(shù)據(jù)的一種特殊形式。數(shù)據(jù)是以電子方式或其他方式對信息的記錄，在我國數(shù)安網(wǎng)絡(luò)安全、數(shù)據(jù)安全和個人信息保護(hù)方面的法律體系中，雖存在重合、交叉與不重合之處，但建立體系性保護(hù)的合規(guī)意識至關(guān)重要。對于外包服務(wù)機(jī)構(gòu)而言，其對個人信息的處理源于委托方，如基金管理人，且需將基金管理人的個人信息處理流程及實施情況納入自身經(jīng)營范圍，并在合同中明確雙方權(quán)利義務(wù)條款，再次凸顯合同在個人信息保護(hù)業(yè)務(wù)流程中的關(guān)鍵地位。
三、違反個人信息保護(hù)的相關(guān)法律責(zé)任
丁律師進(jìn)一步指出，數(shù)字化時代，個人信息保護(hù)相應(yīng)的法律責(zé)任體系也逐步完善。眾多執(zhí)法部門各司其職，共同守護(hù)公民個人信息安全的防線。
其中，網(wǎng)信部門作為個人信息保護(hù)工作的統(tǒng)籌協(xié)調(diào)者，在網(wǎng)絡(luò)信息安全的監(jiān)督管理方面肩負(fù)重任。其不僅負(fù)責(zé)制定個人信息保護(hù)的詳細(xì)規(guī)則與標(biāo)準(zhǔn)，還對各類網(wǎng)絡(luò)平臺及信息處理者在個人信息收集、存儲、使用以及傳輸?shù)热鞒汰h(huán)節(jié)的合規(guī)性予以全面監(jiān)管與悉心指導(dǎo)，密切留意網(wǎng)絡(luò)平臺是否切實履行個人信息保護(hù)義務(wù)，例如是否存在違規(guī)收集用戶信息或未依規(guī)定加密存儲等情形。
工信部聚焦于電信與互聯(lián)網(wǎng)行業(yè)的個人信息保護(hù)事務(wù)。在APP及SDK的監(jiān)管方面著重審查此類應(yīng)用及工具包是否存在違規(guī)或超范圍收集個人信息以及是否有個人信息泄露的違法情況。
公安部門則主要打擊侵犯公民個人信息的犯罪行為。一方面，其對涉嫌侵犯個人信息的違法犯罪活動展開深入偵查，諸如非法獲取、出售、提供公民個人信息等犯罪行徑均在其嚴(yán)厲打擊之列；另一方面，公安部門在日常工作中亦對各類機(jī)構(gòu)與場所展開細(xì)致檢查，全力防范個人信息泄露風(fēng)險，確保公民個人信息處于安全無虞的狀態(tài)。對于 APP 及第三方 SDK 等涉及個人信息的關(guān)鍵領(lǐng)域，公安部門重點關(guān)注其中是否存在可能構(gòu)成犯罪的非法收集、濫用或泄露個人信息等行為，并依據(jù)法律規(guī)定予以堅決打擊與嚴(yán)肅處理。
證監(jiān)部門將目光聚焦于投資者個人信息安全的保障工作。在證券期貨市場的監(jiān)管框架內(nèi)，對證券公司、基金公司等各類機(jī)構(gòu)在業(yè)務(wù)開展過程中涉及的投資者個人信息處理活動實施嚴(yán)格監(jiān)督。著重強(qiáng)調(diào)投資者信息的規(guī)范處理以及最小權(quán)限控制原則，要求相關(guān)機(jī)構(gòu)構(gòu)建健全的投資者個人信息保護(hù)制度體系，堅決防止投資者個人信息被違規(guī)泄露、篡改或肆意濫用，對違規(guī)泄露投資者個人信息的違法違規(guī)行為予以嚴(yán)厲懲處，以此維護(hù)證券市場的平穩(wěn)有序運行以及投資者的合法權(quán)益。
國家金融監(jiān)督管理局主要致力于金融消費者權(quán)益保護(hù)工作，確保金融機(jī)構(gòu)在處理金融消費者個人信息時嚴(yán)格遵循法律法規(guī)的要求。通過監(jiān)督金融機(jī)構(gòu)建立完備且嚴(yán)謹(jǐn)?shù)膫€人信息保護(hù)機(jī)制，有效防止金融消費者的個人信息遭受泄露、濫用或不當(dāng)交易等風(fēng)險，為金融消費者的隱私權(quán)與財產(chǎn)安全筑牢堅實屏障，有力促進(jìn)金融市場的穩(wěn)定健康發(fā)展態(tài)勢。
國家市場監(jiān)督管理局在市場監(jiān)管的廣闊領(lǐng)域中發(fā)揮著不可或缺的作用。針對各類市場主體的經(jīng)營活動實施全面監(jiān)督管理，其中涵蓋對涉及個人信息處理的企業(yè)的監(jiān)管工作。密切關(guān)注企業(yè)在商業(yè)運營活動中是否存在侵犯消費者個人信息的不當(dāng)行為，例如在市場營銷、客戶服務(wù)等環(huán)節(jié)中是否存在未經(jīng)授權(quán)擅自收集、使用消費者個人信息等違法情形，以維護(hù)市場的正常秩序以及消費者的合法權(quán)益。
講解過程中，丁律師通過一則典型處罰案例提示對于信息安全保護(hù)和處罰上日益嚴(yán)格的趨勢。該案例中，由核心處罰機(jī)構(gòu)證監(jiān)會對做出了一份對個人采取出具警示函的處罰決定，決定稱：身為公司當(dāng)時的首席信息官，鑒于在公司違規(guī)行為中涉及信息系統(tǒng)的部分負(fù)有領(lǐng)導(dǎo)責(zé)任。依據(jù)《證券基金經(jīng)營機(jī)構(gòu)信息技術(shù)管理辦法》第五十七條之規(guī)定，對其實施出具警示函的行政監(jiān)管舉措。由此案例可以明顯看出，此次事件聚焦于信息安全問題。在證監(jiān)會體系下的這些機(jī)構(gòu)，以往其受到的處分多與合規(guī)性相關(guān)，畢竟證監(jiān)會本就是強(qiáng)監(jiān)管單位，合規(guī)內(nèi)容繁多。然而，如今著重強(qiáng)調(diào)信息安全，這屬于新增的監(jiān)管要點。就像前年銀保監(jiān)專門開展了整治金融機(jī)構(gòu)侵犯個人信息亂象的專項行動，由此推測，證監(jiān)會在未來大概率也會推進(jìn)類似工作。當(dāng)下所提及的僅僅是《證券基金經(jīng)營機(jī)構(gòu)信息技術(shù)管理辦法》，但可以預(yù)見，未來針對信息安全方面的要求必然會持續(xù)提升，標(biāo)準(zhǔn)也會日益嚴(yán)格。
四、基金行業(yè)合規(guī)建議
丁律師結(jié)合其豐富的執(zhí)業(yè)經(jīng)驗，為基金行業(yè)個人信息保護(hù)的合規(guī)建設(shè)提出了完善的建議。一方面要建立完善嚴(yán)格的內(nèi)控制度，另一方面要完善個人信息處理流程。
其中，構(gòu)建完備且嚴(yán)謹(jǐn)?shù)膬?nèi)控制度堪稱重中之重。首先是內(nèi)部管理制度及操作規(guī)程，包括基金管理人及其委托和基金銷售機(jī)構(gòu)外包服務(wù)機(jī)構(gòu)、基金托管人等。在履職過程當(dāng)中，如果均涉及了個人信息處理，應(yīng)當(dāng)建立個人信息保護(hù)內(nèi)部管理制度，指導(dǎo)個人信息保護(hù)制度實施。第二是制定個人信息的處理規(guī)則，嚴(yán)格按照個人信息保護(hù)法第四條相關(guān)規(guī)定，做好一些要做好并且做好公開準(zhǔn)備，以便投資者查閱和保存。第三是個人信息的處理的同意和確認(rèn)。這里面不僅包括了一般個人信息，還包括了敏感個人信息。第四是進(jìn)行內(nèi)部安全保護(hù)升級處理。
完善個人信息處理流程方面，丁律師從四個維度提出具體的建議。一是基金募集過程植入個人信息處理前置程序，做好事前評估與記錄。新增個人信息處理的告知與同意，對于涉及名按個人信息的，還需拓展告知的范圍，像個人告知處理敏感個人信息的必要性以及對個人權(quán)益的影響，并取得投資者的單獨同意。同時新增個人信息處理規(guī)則公示，在公司營業(yè)場所、網(wǎng)站、公眾號、APP等登錄瀏覽界面新增公示頁面，明確投資者在個人信息處理活動中的權(quán)利。二是建議委托募集和委托提供外包服務(wù)時，在代銷合同等中明確多重關(guān)系及對基金銷售機(jī)構(gòu)個人信息保護(hù)的要求；在運用服務(wù)合同或備忘錄中明確基金管理人委托外包服務(wù)機(jī)構(gòu)處理的目的、期限、處理方式、個人信息的種類、保護(hù)措施及雙方權(quán)利義務(wù)等，并對受托方履約進(jìn)行監(jiān)督。三是在基金運作中涉及投資者信息的更新與補(bǔ)充情況時，也要依據(jù)前述標(biāo)準(zhǔn)保護(hù)個人信息安全。四是注重投資者贖回或基金清算后的個人信息處理。對此，基金相關(guān)法律法規(guī)、監(jiān)管規(guī)則、自律規(guī)則對個人信息處理者、個人信息受托處理者提出了不一樣的保存及刪除要求，各市場參與者出于合規(guī)考慮，必須保存相應(yīng)業(yè)務(wù)數(shù)據(jù)，待個人信息保存期限屆期后，信息處理者應(yīng)主動刪除上述信息。
（注：以上嘉賓觀點，根據(jù)錄音整理，未經(jīng)本人審閱）
供稿：上海律協(xié)公司與商事專業(yè)委員會
執(zhí)筆：許碩 浙江京衡（上海）律師事務(wù)所
滬公網(wǎng)安備 31010402007129號
