互联网保险业务监管新规解读：业务边界、网络与数据合规

2020年9月28日，银保监会正式发布《互联网保险业务监管办法（征求意见稿）》（下称“新版办法”）公开征求意见。该版本是在银保监会2019年12月、2018年10月等版本（下称“老版意见稿”）基础上，广泛征求业界意见并充分考虑行业最新发展后，更新完善后的版本。关于互联网保险业务监管，目前生效的主要法律文件是原保监会于2015年发布、2018年续期的《互联网保险业务监管暂行办法》（下称“暂行办法”）。

根据互联网保险监管的立法沿革及监管实践，参考类似项目经验，汇业律师事务所黄春林律师团队就《新版办法》有关内容简要解读如下：

互联网保险业务与线下保险业务、互联网保险业务与非保险辅助类业务的边界、独立性等问题，一直是困扰监管及行业实践的一个重要法律问题，这直接决定了相关机构的持牌要求以及业务模式合规性，对保险科技行业影响较大。为此，本次《新版办法》明确：

(1) 互联网保险业务就是传统保险业务的线上化，按照线上线下一致性原则，只能由保险公司、保险中介机构等保险持牌机构经营。

(2) 互联网公司通过自有网络渠道代理保险业务的，应当依法取得保代业务许可，而不能套用《暂行办法》的“第三方网络平台”规避持牌要求。

(3) 通过互联网从事保险产品咨询服务，比较保险产品、保费试算、报价比价，为投保人设计投保方案等属于互联网保险业务，应当持牌经营。在此之前，《关于规范互联网保险销售行为可回溯管理的通知》明确规定，保险机构不得在其他网络平台设置销售页面，但可以设置投保申请链接，由投保人点击链接跳出后进入自营网络平台的销售页面。

(4) 互联网保险公司、保险中介机构必须严格按照许可范围经营，其网络渠道不得统称为“XX保险”或“XX保险平台”等易混淆性名称。

(5) 互联网保险业务应保持业务、资金、系统及信息等方面的独立性，实现与关联方、合作方的有效隔离；互联网保险业务的自营网络渠道混业销售非保险产品的，应当与保险业务有效隔离。

《新版办法》从如下不同网络层面，详细规定了互联网保险业务的网络渠道的诸多合规要求：

《新版办法》首次明确要求开展互联网保险业务的保险机构，应建立官方网站。官网应当设立专门栏目，参照《保险公司信息披露管理办法》、《互联网信息服务管理办法》等相关规定，依法披露、展示相关许可信息、自营渠道信息、监管评价信息、合作方信息、产品信息、经营变化、业务中断等信息。

保险机构可以设立多个自营网络平台，但每个网络平台应当满足包括但不限于如下资质及合规要求：

(1) 依法取得电信业务许可（参照《电信业务分类目录》等规定取得与其业务相适应的ICP、EDI、IDC、CCP等）及备案（ICP备案、公网备案、等保备案、互金备案等），平台内店铺、公众号、小程序等按照有关规定执行；

(2) 依法办理中保协备案，并披露备案信息访问链接；

(3) 互联网保险公司的自营网络平台还应当具备销售、批改、保全、退保、报案、理赔和投诉等一揽子入口或功能；

(4) 自营网络平台还应依法显著披露机构清单、客服方式、信息安全措施等；等等。

《新版办法》还对保险机构开展互联网保险业务的特定网络页面提出了颗粒度很细的合规要求，例如投保页面必须为保险机构所有（包括但不限于域名WHOIS、ICP备案、数据等），销售页面必须充分、合法信披。除此之外，《新版办法》还详细规定了客服服务页面、保单查询及下载页面、争议处理页面、投诉举报页面、退保入口等的合规要求。

在此之前，《关于规范互联网保险销售行为可回溯管理的通知》详细规定了保险机构销售页面的合规要求。

《新版办法》还规定了通过互联网图文、视音频等形式推广保险产品的，保险机构应当加强相关营销渠道的营销内容及形式合规管理，对本机构及所属从业人员互联网保险营销宣传承担合规管理的主体责任。

互联网保险业务营销合规有关监管文件包括但不限于：《关于进一步规范金融营销宣传行为的通知》、《关于预防银行业保险业从业人员金融违法犯罪的指导意见》、《关于加强自媒体保险营销宣传行为管理的通知》、《关于切实加强和改进保险服务的通知》等等。

网络安全及数据合规，是当前互联网金融、金融科技领域监管的重中之重，也是影响保险科技交易模式合规性的重要因素。在此之前，央行发布的《中国人民银行金融消费者权益保护实施办法》、银保监会发布的《商业银行互联网贷款管理暂行办法》、证券业协会发布的《证券公司信息技术治理之工作指引（修订草案征求意见稿）》等，以及上交所关于蚂蚁集团、京东数科等的上市问询意见，均从不同角度重点强调了金融机构及科技公司的网络安全与数据合规的重要性。

在网络安全层面，《新版办法》进一步强调了保险机构核心系统、信息管理系统、自营网络平台的等保合规义务，也进一步印证了之前公安部1960号文的合规要求。具体要求方面，包括但不限于系统隔离与独立性，技术及客服合作机构的系统合规管理、网络安全应急预案、等保定级与测评、网络安全审查、容灾备份、供应链连续性等等。

在数据合规层面，《新版办法》充分体现了发展与安全并重的包容审慎监管原则：

一方面，《新版办法》鼓励相关机构合法利用数据挖掘、机器学习等新兴科技手段，有利于促进保险科技行业发展。

而另一方面，《新版办法》强化了保险机构的数据安全及个人信息保护责任，具体包括但不限于：（1）应当审核数据来源及使用方式合法性；（2）应当加强合作SDK、技术供应商等的合规管理；（3）延续《个人金融信息(数据)保护试行办法（草案）》、《个人金融信息保护技术规范》等规定内容，再次强调了告知+同意+必要性的个人信息保护原则；（4）参照《数据安全法(征求意见稿)》、《金融数据安全 数据安全分级指南》等规定，依法开展数据分级分类合规；（5）参照《网络安全法》等规定，执行数据本地化策略；等等。

《新版办法》在《老版意见稿》七章106条的基础上，压缩为五章83条。比较而言，主要变化包括但不限于：

(1) 尽管《新版办法》继续沿袭了一般原则与特殊规则的总分模式，但是在特殊监管部分，将传统保险机构与互联网保险机构分别规范，同时增加了互联网企业从事保代的专门规定；

(2) 《新版办法》删除了自营渠道备案有关的规定，未来将通过配套规则的方式执行；

(3) 《新版办法》增加了过渡期安排，明确保险机构3个月内完成制度建设、营销宣传、销售管理、信息披露等问题合规自查与整改，6个月内完成业务和经营等其他问题合规自查整改，12个月内完成自营网络平台网络安全等级保护备案；

(4) 《新版办法》弱化了营销合规有关规定，通过法律适用条款加强了与横向规则的连接性；等等。