来源：经济参考报
作者：向家莹
银行移动应用因违规收集个人信息而被监管点名的情况增加了。截至6月10日，今年以来金融监管部门已向银行开出数据安全与个人信息保护相关罚单56张 ，罚款总额超7000万元 ，其中百万元以上罚单达24张 。而2025年全年，此类超百万元罚单仅1起 。近日 ，桂林银行信用卡 、内蒙古银行真享贷两款小程序因违规收集个人信息再次被国家网络安全通报中心点名。此前5月 ，湖北银行 、常熟农商银行等5家中小银行APP也因同样问题登上监管“黑榜 ” 。
从5月到6月，接连两批通报暴露了银行移动应用的共性问题 。桂林银行信用卡云闪付小程序首次运行时未通过弹窗提示用户阅读隐私政策 ，以默认同意方式征求用户同意 ，且处理不满14周岁未成年人信息时未取得监护人单独同意。内蒙古银行真享贷微信小程序则未针对未成年人制定专门处理规则 。5月被通报的常熟农商银行、兴福村镇银行APP中，问题指向隐私政策未逐一列明委托第三方收集信息的目的和范围，部分应用未提供有效的账号注销功能 ，用户“进门容易出门难 ” 。
归纳来看 ，“隐私政策不透明”“用户权利受限 ”“未成年人信息保护缺失 ”成为三大重灾区。其中，账号注销难 、第三方SDK数据共享规则不透明 、未成年人信息“裸奔”等问题尤为突出。从技术角度看 ，这些问题的整改难度并不大 ，却在中小银行群体中屡禁不止 。
博通咨询金融业资深分析师王蓬博指出：“部分银行受限于科技投入和专业团队配置，大量依赖第三方开发 ，若对外包方缺乏有效约束 ，就容易在数据处理环节埋下隐患 。业务增长压力下，一些银行更关注转化效率而忽视了长期信任建设。 ”这正是中小银行的数字化困境——自研能力不足、对外部服务商管控缺失 ，外包商的合规漏洞直接植入银行自身业务场景 。
如果说移动应用违规通报反映的是“前端合规 ”失守 ，那么监管部门的重拳出击，则标志着金融数据合规监管体系的重构 。
监管逻辑正从“事后补救”转向“事前问责”。过去 ，数据安全处罚多集中于已发生信息泄露等实质后果的违规行为；如今 ，只要发现银行在数据内控机制 、权限管理 、数据报送等环节存在合规漏洞，即便尚未造成实际风险，也会启动处罚 。2026年2月 ，北京农商银行因“违反数据安全管理相关规定 ”被罚100万元 ，两名责任人员各被罚14万元 。值得注意的是，该行2025年9月已因系统安全管理违规、数据安全管控不合规等问题被罚185万元。短期内接连受罚 ，折射出部分中小银行重业务拓展、轻合规风控的深层矛盾 。
问责的锋芒正从机构层面下沉至具体责任人 。2026年5月 ，泉州银行因“EAST数据报送不准确 ”“第三方合作数据安全风险管控不到位”等8项违规被罚625万元，成为年内最高金额罚单 ，相关责任人被终身禁业。中国银行福建分行也因“违反数据安全管理规定 ”等7项违规被罚315万元 。从机构罚款延伸到个人追责 ，无疑加大了银行内部各层级的数据合规压力 。
合规约束正覆盖全行业。6月，工商银行 、建设银行 、交通银行因重要信息系统投产变更风险管控不到位、应急管理不足等问题 ，合计被罚255万元；天津银行因信息系统异常事件应报未报被罚20万元 ，相关责任人被警告。
执法主体也在多元化 。过去数据安全治理主要依靠金融监管部门单线推进，如今已演变为多部门协同共治 。今年4月 ，中央网信办 、工信部 、公安部联合部署个人信息保护专项行动 ，明确将金融领域列为重点治理对象。5月国家计算机病毒应急处理中心的通报即为阶段性成果 。值得注意的是，上一轮曝光的67款违规应用中，仍有17款因复测不合格被下架 。
立法层面 ，《中华人民共和国金融法（草案）》2026年3月公开征求意见 ，4月19日征求意见阶段结束。草案明确提出“建立健全金融网络安全保护和金融数据分类分级保护制度 ”，金融数据安全正式升格为国家的法定红线 。国家金融监督管理总局2025年末发布的93号文 ，则将2026年定为数据安全治理关键落实年 ，核心原则是“谁主管业务、谁负责数据安全”，将主体责任压实到业务前端 。
对城商行 、农商行等中小银行而言 ，数据安全已不再是后台技术板块的边缘工作 ，而是事关机构存续的合规生命线。专家表示，监管计划通过现场检查和渗透测试逐一验证落实成效 ，合规窗口期正在收窄 ，无法在下半年内完成整改的机构，可能面临新一轮集中处罚 。在这场行业洗牌中 ，数据治理长期缺位 、安全管理粗放的地方中小金融机构 ，将面临业务收缩甚至被市场出清的考验 。
