浅析欧盟《通用数据保护条例》GDPR对我国银行业的影响

2018年5月25日，欧盟《一般数据保护条例》(General Data Protection Regulation, 以下简称GDPR) 正式开始生效，GDPR作为欧盟的条例，将直接约束欧盟境内相关主体，无需通过欧盟成员国的国内立法予以转化。非欧盟成员国的公司(包括免费服务)只要满足下列两个条件之一：(1)为了向欧盟境内可识别的自然人提供商品和服务而收集、处理他们的信息。(2)为了监控欧盟境内可识别的自然人的活动而收集、处理他们的信息。该公司就受到GDPR的管辖。这个条例将对我国银行业的数据管理和信息安全，以及数据收集、处理和交易产生重大影响。银行在经营行为当中广泛使用个人信息，因此及时研究合规措施，把握数据保护的国际趋势，具有重要意义。作者作为银行数据管理工作的参与者，结合实际工作体会浅谈条例对我国银行业的挑战及应对建议如下：

GDPR对于我国银行业的影响

1、我国银行将因业务涉及欧盟公民的数据而受到该GDPR的约束，促使我国银行业遵守GDPR合规性要求。

GDPR适应大数据时代数据信息分布特点，以欧盟公民的数据信息作为保护对象，将控制或处理欧盟公民的个人数据信息行为纳入GDPR管辖范围。GDPR的实施将对于在欧盟境内设立有机构的中资银行遵守涉欧业务的合规义务，分支机构将被作为责任主体来强制执行法律要求。需要从数据处理的各个环节入手进行合规自查与弥补，并构建起一套符合法律法规要求的数据合规体系。如果中资银行没有在欧盟境内设有机构，只要存在对欧盟公民数据保护不力行为，欧盟将缺席判决，一旦中资银行高管进入欧盟境内，根据GDPR规定，将直接强制执行。

2、将影响我国银行的公司治理流程，增加在数据保护方面的投入。

我国银行应建立相关内部制度，开展数据隐私政策梳理和培训将是公司治理当中必须增加的内容。根据GDPR，在涉及大规模数据监测或犯罪数据处理的数据控制者和处理者须任命一名数据安全官，来负责监管数据安全策略和条例合规，并向最高管理层报告。由于银行对反洗钱的监测，属于GDPR当中的大规模数据监测行为，因此，将不可避免被要求增加数据保护人员投入。同时，我国银行在欧机构雇佣的员工，无论国籍应严格执行GDPR的数据主体隐私保护规定，再次审查工作合同中是否已包含新规内容，及时补充。

3、将进一步加大我国银行信息安全和移动应用安全合规性挑战，增加涉欧业务风险和合规性成本。

我国银行在互联网经济高速发展、科技创新不断涌现的大背景下，移动应用不断丰富，该类应用不但加快了产品及服务的传递速度，也更加便捷、快速、智能地开展各类业务。但我国银行在欧开展业务涉及欧盟公民数据时候，必须按照GDPR要求建立相关的数据保护内控流程和隐私保护规程，并完善相关信息安全和移动应用系统的建设，实现系统在设计和运行阶段对个人数据隐私的保护，这将大大增加合规成本。由于欧盟金融业发达，涉及欧洲业务在中资银行业务当中具有重要意义，这将导致中资银行的成本上升和受到欧盟法律惩罚加大的风险。如果没有通过，则会面临着可高达企业全球年营业额的4%的罚款（企业全球年营业额的4%或2000万欧元，两者取高）。