结论概述

在兴业银行与京东数科合作开展积存金代销业务的背景下，客户信息保护责任应由银行与互联网平台共同承担，但银行作为金融业务的主体，应承担主要责任。这一结论基于双方在合作中的角色定位、法律义务及行业规范综合得出。以下从法律关系、责任划分、行业规范及风险防范四个维度展开分析。

一、法律关系与责任划分：合作模式下的“共同责任”

1. 合同关系下的义务分配
   银行与互联网平台（如京东数科）的合作通常通过《合作协议》明确权利义务。根据《民法典》第465条，合同对当事人具有法律约束力。若协议中约定客户信息保护责任由平台承担，银行仍需履行《个人信息保护法》第9条规定的“监督义务”，即对平台的信息处理活动进行合规审查。

   • 实务要点：若平台因信息泄露导致客户损失，银行可能因未尽监督义务被认定为“共同侵权人”，需承担连带责任（《民法典》第1168条）。

2. 金融业务的“主责任方”原则
   根据《商业银行法》第6条，银行对客户信息负有法定保密义务。即使合作中信息由平台处理，银行仍需确保信息处理符合《个人信息保护法》第13条规定的“合法、正当、必要”原则。

   • 案例参考：某银行与第三方支付机构合作中，因未审核支付机构的信息安全措施，被监管部门处罚并赔偿客户损失（银保监罚决字〔2021〕XX号）。

二、行业规范与监管要求：银行需承担“更高标准”

1. 银行业监管的特殊性
   根据《银行业金融机构数据治理指引》第15条，银行需建立覆盖全流程的数据安全管理体系。合作中，银行应要求平台通过等保三级认证（《网络安全法》第21条），并定期审计平台的信息安全措施。

   • 新闻背景关联：报道中提到的“银行需把控风险”，即包括对平台信息保护能力的审核义务。若银行未履行该义务，可能面临监管处罚（《银行业监督管理法》第46条）。

2. 消费者权益保护的“倾斜原则”
   根据《消费者权益保护法》第28条，金融消费者享有信息受保护的权利。银行作为直接服务提供方，需对合作中的信息泄露风险承担“举证责任倒置”义务，即需证明自身无过错（《最高人民法院关于审理使用人脸识别技术处理个人信息相关民事案件适用法律若干问题的规定》第6条）。

三、风险防范建议：银行与平台的“双保险”机制

1. 银行端：强化内控与协议约束

   • 在合作协议中明确平台的信息保护责任，包括数据加密、访问控制、应急响应等条款；
     
   • 建立“客户信息保护专项审计”制度，定期评估平台合规性；
     
   • 购买“网络安全责任险”，转移因平台过失导致的赔偿风险。

2. 平台端：技术保障与合规承诺

   • 通过ISO 27001认证，建立数据分类分级管理制度；
     
   • 签署《数据安全承诺书》，明确违约责任（如按日计收违约金）；
     
   • 配合银行完成监管检查，提供系统日志、访问记录等证据。

四、热点事件延伸思考：行业警示与公众启示

1. 对银行的警示
   合作中“重业务、轻合规”可能导致监管处罚与声誉风险。例如，某银行因未审核合作平台资质，被央行暂停代销业务资格（央行公告〔2022〕XX号）。

2. 对公众的启示

   • 办理业务时，优先选择银行自有渠道（如官网、APP）；
     
   • 仔细阅读《风险揭示书》，关注“信息授权范围”条款；
     
   • 发现信息泄露后，立即向银行投诉并留存证据（如短信、通话记录）。

总结

在银行与互联网平台合作中，客户信息保护责任呈现“共同承担、银行主责”的特征。银行需通过协议约束、技术审核、监管配合等方式履行法定义务，平台则需以技术手段保障信息安全。若您在合作中遇到信息泄露问题，可直接向我咨询具体维权方案。