泽大金融（原创）| “金融分布式账本”之数据与隐私保护机制

“金融分布式账本”之数据与隐私保护机制

— 文/高云翔 —

失去了安全保护机制的互联网产品，其互联网化带来的效率将无任何商业价值可言。我国自2017年至今，个人信息保护方面的立法基本完成，个人信息保护越来越受到法律监管执法与司法部门的重视。
2020年2月5日，央行正式发布《金融分布式账本技术安全规范》，央行版数字货币呼之欲出。但央行同日发布的还有《网上银行系统信息安全通用规范》，并于2月13日发布了《个人金融信息保护技术规范》及《商业银行应用程序接口安全管理规范》，因此可以看出，央行为保障金融分布账本技术的应用，其自身同时强化了从软件到硬件、从技术开发到硬件管理两个维护的信息安全保护机制。
本文仅希望结合《金融分布式账本技术安全规范》文件，介绍该技术自身的数据安全及隐私保护要求。

一、金融分布式账本1、分布式账本的基本含义
根据《金融分布式账本技术安全规范》第3.18规定，分布式账本即为可以在多个站点、不同地理位置或者多个机构组成的网络里实现共同治理及分享的数据库。可以看出，数据库是分布式账本的基本内涵。
2、分布式账本组网方式
为满足账本的防篡改性要求，账本结构一般使用区块式或近似块链式的存储结构，因此，其组网方式必然为分布式组网，即系统参与方的各个节点，在物理部署上进行分离，各节点基于网络通信协议和对等网络进行通信和数据互换。
上述分析可知，金融分布式账本的正常运行，必然存在各个区块节点的数据存储和各节点之间的数据传输。

二、金融分布式账本的数据保护关键节点1、数据存储要求
根据《金融分布式账本技术安全规范》的要求，各个区块节点的账本数据应根据数据对象的类别独立存储，账户数据、交易数据、配置数据以及账本元数据等，应分别存储、分别管理、分别操作。
2、数据传输管理
分布式账本各节点之间进行传输数据过程中，应使用对称或非对称国密算法对于数据进行加密，防止数据在传输过程中被窃取。
3、敏感信息存储于传输的特殊要求
根据《信息安全技术个人信息安全规范》的规定，敏感信息应该是指一旦泄露、非法提供或滥用可能危害人身和财产安全，极易导致个人名誉、身心健康受到损害或歧视性待遇等的个人信息。银行账号、财产信息、征信信息均属于敏感信息的范畴。因此，金融分布式账本对于敏感信息的保护至少应该满足以下两个方面：
（1）敏感信息应加密存储，并应有数据访问等权限的控制和管理。
（2）两个节点之间交换敏感信息时，应在建立连接之前，使用密码技术进行会话初始化，通过密钥交换算法协商会话密钥。在通信过程中，应使用会话密钥对敏感信息或整个报文进行加密，并在加密时采取随机数填充等技术，避免相同的明文数据在加密后生成相同的密文。

三、金融分布式账本的隐私保护机制1、隐私及隐私保护
根据《金融分布式账本技术安全规范》的规定，隐私是指与公共利益无关，除了只能公开用于有保密义务的一方之外，当事人不愿第三方知道的个人信息及当事人不愿第三方侵入的个人领域。隐私保护是指为保护隐私而采取的措施，例如对个人信息的收集、处理和使用加以限制。
根据该安全规范对隐私的定义，隐私与金融分布式账本数据不同，隐私的主体是自然人，隐私的内容限于个人信息和个人领域，其当然属于金融分布式账本数据的一部分。
2、隐私保护的对象
（1）隐私信息；即特定自然人的标识信息及其在特定系统中的活动信息。其中，标识信息只指能够单独或者与其他信息结合以识别、追踪到特定自然人身份或反映特定自然人活动情况的信息。
（2）个人信息；具体是指以电子或者其他方式记录的，能够单独或者与其他信息结合识别特定自然人身份或者反映特定自然人活动情况的各种信息。包括姓名、出生日期、身份证件号码、个人生物识别信息、住址、通信联系方式、通信记录和内容、账号密码、财产信息、征信信息、行踪轨迹、住宿信息、健康生理信息、交易信息等。
可以看出，该安全规范与2017年6月1日实施的《网络安全法》保护的对象不同，《网络安全法》保护的个人信息仅限于自然人的身份信息（现行法律法规均采用该规定），而该规范隐私保护的对象，除了自然人身份信息之外，还涵盖了自然人的活动信息，保护范围更广。
3、隐私保护的基本原则
金融分布式账本所遵循的保护行为原则基本与《信息安全技术-个人信息安全规范》所规定的个人信息安全基本原则基本一致，具体内容包括：权责一致原则、目的明确原则、选择同意原则、最少够用原则、公开透明原则、确保安全原则和主体参与原则。
4、金融分布式账本隐私保护的策略
（1）信息公开和验证；包括公开交易内容信息及交易主体信息，并对交易主体身份信息进行标识和鉴别，确保交易方无法被冒用；公开的信息确保任何人均能进行有效性和正确性的验证。
（2）信息加密可验证；与信息公开相对应，即信息公开的同时，应对交易内容信息或交易主体信息进行加密。并保证被加密信息可以通过正当途径进行有效和正确的获取。
（3）信息由交易验证节点验证；交易验证节点是指负责对提交的交易数据进行验证的节点，交易验证节点承担对已验证交易信息的担保责任。他人通过交易验证节点的验证信息对交易的有效性和正确性进行验证。
5、金融分布式账本隐私保护的技术要求
隐私信息的生命周期包括对隐私信息的收集、传输、共识、存储、使用、销毁等处理的整个过程。根据《金融分布式账本技术安全规范》第14.4规定的内容，其隐私保护技术要求与《网络安全法》、《信息安全技术-个人信息安全规范》等现有相关规范性法律文件的要求基本一致，其技术实现方式通常包括“醒目提示”、“文件勾选同意”、“匿名化处理”、“验证码”、“密码设置与管理”等相关常规技术内容。
6、金融分布式账本隐私保护审计
根据《金融分布式账本技术安全规范》的要求，监管部门应当制定完备的隐私保护审计方案，对隐私保护策略和隐私保护技术手段进行制度化管理，与此相对应的是，金融分布式技术的使用者或经营者，应当具备相应的隐私保护方案，其核心内容应当至少包含以下几个方面：
（1）隐私保护的主体。
（2）隐私保护的内容。
（3）信息分级及权限设置机制，应将隐私信息按照敏感程度进行分级，并设置对应的隐私保护策略。
（4）隐私保护方案的合理性，隐私保护策略和隐私保护技术手段合理，包括不限于对隐私保护原则的遵循程度，对不同隐私保护等级的金融信息防范要求的匹配度，在当前技术环境下的适用性。
（5）隐私保护方案的可执行性，包括但不限于隐私保护策略与技术手段的操作手册、操作记录等支持性文档，确认执行过程遵循并实现既定的策略和技术手段。
（6）隐私保护方案的有效性，确保隐私保护内容得到有效保护，达到既定的风险防范要求。
（7）隐私保护方案的生效与修订，确保金融分布式账本经营者能够根据隐私保护技术的变化，更新相应的保护策略和技术手段。

四、金融分布式账本技术运用主体数据及隐私保护的法律责任根据人民银行于2011年1月21日发布的《关于银行业金融机构做好个人金融信息保护工作的通知》第二条规定，银行业金融机构在收集、保存、使用、对外提供个人金融信息时，应当严格遵守法律规定，采取有效措施加强对个人金融信息保护，确保信息安全，防止信息泄露和滥用。特别是在收集个人金融信息时，应当遵循合法、合理原则，不得收集与业务无关的信息或采取不正当方式收集信息。第十条规定，认定银行业金融机构存在违反本通知规定，或存在其他未履行个人金融信息保护义务情形的，可采取以下处理措施：（一）约见其高管人员谈话，要求说明情况；（二）责令银行业金融机构限期整改；（三）在金融系统内予以通报；（四）建议银行业金融机构对直接负责的高级管理人员和其他直接责任人员依法给予处分；（五）涉嫌犯罪的，依法移交司法机关处理。
根据2012年12月28日全国人大常委会《关于加强网络信息保护的决定》第三条及第十一条规定，网络服务提供者和其他企业事业单位及其工作人员对在业务活动中收集的公民个人电子信息必须严格保密，不得泄露、篡改、毁损，不得出售或者非法向他人提供。违反该规定的，依法给予警告、罚款、没收违法所得、吊销许可证或者取消备案、关闭网站、禁止有关责任人员从事网络服务业务等处罚，记入社会信用档案并予以公布；构成违反治安管理行为的，依法给予治安管理处罚。构成犯罪的，依法追究刑事责任。侵害他人民事权益的，依法承担民事责任。
根据2015年8月29日全国人大常委会《刑法修正案（九）》增设的《刑法》第二百八十六条之一规定，网络服务提供者不履行法律行政法规规定的信息网络安全管理义务，经监管部门责令采取改正措施而拒不改正，导致违法信息大量传播；或致使用户信息泄露，造成严重后果的；或有其他严重情节的，处三年以下有期徒刑、拘役或者管制，并处或者单处罚金。单位犯罪的，对单位判处罚金，并对其直接负责的主管人员和其他直接责任人员，依照前款的规定处罚。
金融分布式账本技术作为金融行业的重要业务支撑，除其分布式组网及其附属技术外，分布式账本所收集、存储的数据、信息，及各节点之间数据传输将构成金融分布式账本的主要业务活动。金融机构作为金融分布式账本技术的使用者和运营者，除当然遵守该技术规范本身的数据及信息保护要求之外，还应当受到其他个人信息保护的其他相关法律、法规的约束。
结语
随着分布式账本技术的逐步成熟，维护分布式账本所承载的数据与隐私安全，将成为金融机构或相关运营机构“不可篡改”的主题，金融机构及相关分布式技术运营方应当更加重视数据及隐私安全合规风险防范。
作者简介
高云翔律师金融工作室
二级合伙人，曾任某上市公司网络工程师（移动网方向），长期从事互联网、大数据相关法律业务。对互联网金融、电子商务、计算机及信息技术类企业法律风险防范、数据产品的合规开发、数据产品结构合规性等法律问题具有丰富的实务经验。