近日，多家银行移动应用被通报，涉及未征得用户同意收集个人信息、未采取相应的加密、去标识化等安全技术措施等多种问题。《中国经营报》记者采访了解到，银行数据采集需满足“最小必要”原则，但具体标准尚未统一。

　　违法违规收集使用个人信息

　　国家网络安全通报中心近日披露，2026年5月20日至6月22日，经国家计算机病毒应急处理中心检测，72款移动应用存在一项或者多项违法违规收集使用个人信息情况，其中包括3款银行类应用。

　　某股份行旗下对公“企业账户e+”微信小程序，被点名5次。具体问题涉及未在征得用户同意后才开始收集个人信息或打开可收集个人信息的权限；未采取相应的加密、去标识化等安全技术措施；个人信息处理者处理不满十四周岁未成年人个人信息的，未制定专门的个人信息处理规则；收集未成年人信息未取得监护人单独同意等问题。

　　某农商行手机银行App被点名2次，具体问题涉及隐私政策未逐一列出App（包括委托的第三方或嵌入的第三方代码、插件）收集使用个人信息的目的、方式、范围等；App客户端向第三方提供个人信息，未经用户同意，未做匿名化处理等问题。

　　某外资银行手机App被点名1次，具体问题涉及个人信息处理者向其他个人信息处理者提供其处理的个人信息的，未向个人告知接收方的名称或者姓名、联系方式、处理目的、处理方式和个人信息的种类，并取得个人的单独同意；App客户端向第三方提供个人信息，未经用户同意，未做匿名化处理。

　　数据使用标准逐步明晰

　　近年来，金融业务数字化、线上化进程迅速推进。其间，银行数据开发和用户隐私保护的平衡点较难把控。

　　苏商银行研究员杜娟告诉记者，银行数据采集需满足“最小必要”原则，但在实践中“最小必要”的具体标准如何尚未统一。同时，银行越发重视提供综合金融服务，内部不同业务条线、与外部三方机构合作的业务等，所需数据维度不同，若逐笔、逐场景弹窗授权，客户体验差、转化率下降，一次性概括授权又可能存在超范围采集等问题，陷入两难。

　　杜娟表示，对于外部数据采购，数据交易市场在不断完善之中，数据确权等标准还在建立，金融机构信息有限，对于外采数据合规性的管控能力有限。另外，风控、营销等模型，为刻画客户画像、评估信贷风险，可能会引入敏感个人信息作为评估维度，难以剥离，可能还会存在基于不同风险程度给予差异化定价等情况，可能会与歧视性定价等相关规定相悖。

　　值得注意的是，为推动金融客户信息保护，监管近年来出台一系列文件。例如近期《金融信息服务数据分类分级指南》发布，将数据从高到低分为核心数据、重要数据、敏感一般数据、常规一般数据四个等级，制定分类保护政策。

　　一位股份行人士告诉记者，相关新规划分清晰边界，数据共享从“模糊试探”转向“合规可控”。过往金融数据共享存在边界模糊、不敢共享、过度保守的问题。新规将核心、重要数据划定为强管控范畴，仅允许在严格审批、全程加密、限定用途的前提下，用于监管报送、法定同业协同等场景，杜绝高敏感数据外流；敏感一般数据、常规一般数据明确可合规流通，银行可在脱敏、去标识化后开展正常同业共享、政企协同、生态合作。

　　上述人士表示，未来金融数据交易将告别野蛮生长，形成分层交易格局。高等级数据禁止商业化交易，仅保留合规政务、风控协作通道；常规一般数据成为数据交易、数据服务的核心载体，银行可依托合规数据，开展标准化数据产品、风控服务、行业分析等商业化合作，有利于银行数据合规应用发展。

　　值得注意的是，逐步统一的分类分级“通用语言”，解决了不同银行、金融机构、第三方机构之间数据标准不互通的问题。上述股份制银行人士表示，跨机构、跨行业的数据对接效率大幅提升，利于银行联合科技公司、实体企业搭建金融服务生态，在合规框架内实现数据价值联动。同时倒逼行业建立统一的数据流转追溯体系，让数据共享，交易全程可查、可管、可追责。