2026个保行动：金融领域治理要点与机构风险

引言

4月2日发布的这轮专项治理，将金融领域违法违规收集使用个人信息列为重点治理方向，治理对象覆盖银行、保险、证券、征信、支付、互联网助贷平台等相关机构。公告重点检查四类问题：风控超范围采集、共享不透明、强制刷脸、泄露失控。

同时，专门将金融借贷纳入侵犯公民个人信息犯罪打击重点，说明本次治理除行政监管与行业整改外，也已涉及刑事犯罪层面。

我的判断是：承压较大的可能是互联网助贷平台，其次是支付、互联网信贷类App，再次是外包链条较长的传统持牌机构。主要原因在于：助贷平台天然依赖多方数据共享，相对容易触及第三方共享不透明和超范围收集两项监管要求；支付和互联网信贷类App权限调用频繁、JS埋点/SDK/API结构复杂，容易出现技术层面的过度采集；传统银行、保险、证券虽然合规基础普遍较强，但若涉及外包客服、技术运维、营销、催收等环节，同样会暴露在此次治理之下。

01.

为什么金融被单列出来？

我的理解是：金融数据一旦被滥用，不仅侵害个人隐私，还可能危及财产安全，引发身份冒用、精准诈骗及信用评价失真等问题。《中华人民共和国个人信息保护法》将金融账户、行踪轨迹、生物识别、医疗健康等列为敏感个人信息。银行、证券、保险账户及密码、征信信息、连续精准定位轨迹等均属于常见的敏感个人信息。在金融业务场景中，上述多类敏感信息往往同时涉及。

从时间脉络来看，2025年的系列专项行动已将网络借贷等领域的个人信息违法犯罪列为重点；2026年金融领域被单独列项，且前端收集、共享、核验、安全四个环节均被列举。这表明，监管重心正向源头治理与全链条问责方向倾斜。

02.

四项重点问题怎么理解？

1. 以安全风控、贷款服务为名的超范围收集

公告直接点名的字段包括：通讯录、短信、通话记录、位置、设备信息、应用列表，以及麦克风、存储权限。监管态度明确：上述数据并非因其对风控具有价值，就当然属于必要个人信息收集范围。

以下结合各字段的常见业务主张与潜在合规风险进行分析：

• 通讯录：机构通常主张用于紧急联系人核验或社交关系风控。潜在风险在于，部分机构可能将该信息用于催收目的，超出必要范围。

• 短信：机构通常主张用于验证码自动读取及流水辅助核验。潜在风险在于，可能被用于读取其他借贷平台的还款提醒、消费习惯及交易记录。

• 通话记录：机构通常主张用于反欺诈分析。潜在风险在于，可能被用于构建联系人与紧密关系画像。

• 位置：机构通常主张用于地理风控及常住地确认。潜在风险在于，可能被用于持续追踪个人轨迹。

• 设备信息、应用列表：机构通常主张用于设备指纹识别及多头借贷检测。潜在风险在于，可能被用于跨App识别用户或遍历用户已安装的全部应用。

• 麦克风、存储：除极少数活体识别场景外，较难证明其与金融核心服务的直接关联性。

还需注意一个容易被忽略的问题：金融专项治理不能孤立看待。公告第1项同时针对App、SDK的超范围收集、无关场景调用权限、超出最低必要频率调用权限等行为。因此，金融机构不仅需关注自身主体业务，还应将嵌入的埋点SDK、反欺诈SDK、统计分析SDK、风控API、外部登录验证组件等纳入排查范围。相当一部分数据外流并非发生在机构自主开发的页面，而是发生在嵌入组件及接口调用层面。

2. 助贷、联合贷中的第三方共享合规要求

该条监管要求直接指向互联网助贷平台，可能推动部分业务流程调整。根据《个人信息保护法》，个人信息处理者向其他个人信息处理者提供其处理的个人信息的，应当向个人告知接收方的名称或者姓名、联系方式、处理目的、处理方式、个人信息的种类，并取得个人的单独同意。据此，以往实践中常见的“我已同意向合作机构提供信息”一揽子授权方式，合规风险较高。

在部分案例中，机构曾通过外包、合作等方式进行数据共享。以助贷场景为例：用户在一个入口填写一次资料，后台数据可能流向多家资金方、担保机构、征信机构、外部风控平台、技术服务商乃至催收合作方。在此过程中，用户通常难以清晰知晓信息的具体流向，也难以形成真正有效的单独同意。

需要区分两种法律关系：

• 共同处理：如果平台与合作方共同决定个人信息处理的目的和方式（如授信、营销、流量分发），则不宜简单界定为委托处理，双方可能需承担共同处理者的连带责任。

• 向第三方提供：如果平台将个人信息传输给合作方由后者独立处理，则属于“向其他个人信息处理者提供”，必须履行单独告知和单独同意义务，不得以委托处理的名义规避责任。

部分金融合作中的信息流转安排，将数据共享以委托处理或外包的形式呈现，以技术服务、合作机构之名实现数据的独立使用。这一安排是否符合“向第三方提供”所需的单独告知及单独同意义务，需结合具体业务实质进行判断。因此，助贷平台未来的合规工作可能不仅限于修改隐私政策或补充法律文本，而需对业务模式和数据流转链路进行系统梳理。

3. 人脸识别的应用限制

如果存在非人脸识别的替代验证方式能够实现同等身份核验效果，则不宜将人脸识别作为唯一验证途径。《人脸识别技术应用安全管理办法》对此已作出明确规定。

在金融场景中，该要求将影响开户、远程面签、支付验证、大额转账复核、保险理赔、柜面核验等高频环节。我的理解是：监管并非禁止金融机构使用人脸识别，而是倾向于将密码加短信、证件核验、U盾、动态口令、国家网络身份认证等替代方案作为默认选项，人脸识别作为备选方案。

此外，对于处理人脸信息达到一定规模的金融机构，该办法还规定了备案要求：处理人脸信息数量达到10万人的，应当在30个工作日内向省级以上网信部门办理备案。这意味着金融机构在人脸识别领域的合规要求，已从单一的“用户同意”扩展为“同意、替代方案、本地存储、评估、备案”的组合式监管。

4. 系统层面的内部管控与安全要求

金融机构需关注的不仅是隐私政策文本和前端交互行为，还应审视以下系统层面的管控措施：数据访问权限的分配与审批机制、数据导出流程与留痕、日志留存期限与完整性、异常访问的监测与告警、离职人员账号的回收机制、泄露事件的应急响应与通知流程等。公告第7项同时强调了对“行业内鬼”的打击，内部员工及合作方违规查询、倒卖、泄露客户信息的行为，将成为重点防控领域。

03.