《开放银行数据保护与合规实践案例报告（2023）》-43页

2023开放银行数据保护与合规实践案例报告总结

一、背景与目标

• 落实开放银行数据保护和合规要求，通过案例分析提供参考和指引。
• 汇总近一年来银行开放银行落地实践案例，并结合最新法规政策进行数据保护要点分析。

二、开放银行数据保护合规要求概述

（一）总体原则

包括合法性、公开透明、知情同意、最小够用、安全可控、责任追溯等六大原则。

（二）数据收集合规

• 需制定公开收集规则，明确目的和范围；
• 明确告知收集信息内容及处理方式；
• 特殊信息需单独授权；
• 采用最小影响、安全性高的收集方式。

（三）数据使用合规

• 数据使用前需辨别用途并征得同意；
• 进行去标识化脱敏处理；
• 建立数据共享、委托处理、安全评估机制。

（四）数据传输合规

• 境内传输需加密；
• 境外传输需申报安全评估或完成出境安全认证；
• 签名验签、密钥管理、通道安全是关键。

（五）数据存储合规

• 重要数据本地化存储；
• 分级分类存储，满足期限最小化、去标识化要求；
• 金融云计算数据中心应物理隔离。

（六）其他最新法律法规

密集出台的《数据二十条》、《网络数据安全管理条例（征求意见稿）》等，进一步明确数据所有者责任，并强化个人数据授权机制。

三、开放银行数据保护及合规落地案例

（一）华夏银行：多平台SDK加密传输

提供统一加密方式支持，支持国密算法，保障全平台加密传输和SDK全生命周期动态管理。

（二）建行：ABAC模型平台化訪問控制

• 构建基于属性访问控制的动态上下文模型；
• 自动同步访问属性，实现全行级细粒度数据安全访问控制。

（三）民生银行：授权机制+敏感信息标记化

在数据使用前必须取得用户授权，输出敏感信息进行标记化处理，减少原始敏感数据暴露。

（四）农行：基于责任链构建全生态数据保护

构建ZuulFilter责任链模型，实现角色联防联控，涵盖授权认证、脱敏、加密的全流程。

（五）邮储银行：全栈式安全管控体系

通过制度+技术双保障，推行安全研发、运维制度、安全评估及第三方合作管理，并通过ISO27001认证。

（六）交行：银企直联与开放银行结合

引入硬件KEY+前置机加密，强化动账类交易安全，覆盖密钥管理、通信加密、数据落地安全等多环节。

（七）工行：联邦学习实现信贷模型共享

通过联邦学习技术在数据不出库的情况下联合建模，采用同态加密保障数据隐私，并实现信贷评分模型的有效精准共享。

（八）农行：多方安全计算反诈平台

融合区块链与联邦学习，实现黑灰名单匿名查询、事中阻诈、精准统计等功能，支撑反诈平台数据安全可用。

（九）中行：行司联动进行风控建模

建行与中银消费行司联动，通过联邦学习技术进行贷前审批、贷中风控建模，保障数据不出域、结果不出域。

（十）招行：企业客户高价值识别场景

部署联邦学习模型进行企业客户分层预测，提升营销决策效率，同时通过隐私计算技术保障客户数据合规安全共享。

四、总结与展望

开放银行的数据保护手段呈现多样化特点，可通过SDK、ABAC模型、联邦学习、数据标记化等方式强化数据保护能力。

提出政策建议：

1. 加快制定统一的开放银行数据保护技术与管理标准；
2. 鼓励监管科技创新，推进监管数字化趋势；
3. 建立验证与认证机制，完善开放银行安全生态。