一名员工把其他客户的证券账户持仓信息提供给客户，为什么监管部门没有直接按照内幕交易或个人信息泄露作出行政处罚，而是对营业机构及负责人采取警示函？答案并非客户账户信息的法律保护力度不足，而是事实构成、监管权限与法律责任路径各不相同。该案同时揭示，证券公司必须能够控制“谁能看见持仓、为什么查看、通过什么渠道传递以及传递后发生了什么”。

一、案件基本情况

2026年10月15日，内蒙古证监局作出〔2026〕15号行政监管措施决定，认定某证券公司内蒙古分公司工作人员向客户提供其他客户证券账户持仓信息，反映分公司未能严格规范员工执业行为、合规管理不到位。依据《证券公司和证券投资基金管理公司合规管理办法》第六条第四项、第三十二条第一款，对分公司采取出具警示函的行政监管措施，记入证券期货市场诚信档案，并要求其于收到决定书之日起30日内提交书面报告。相关决定于2026年10月27日在监管网站公开。

同日，内蒙古证监局还作出〔2026〕14号决定，对该分公司负责人郑某单独出具警示函并记入诚信档案，认定其对上述合规管理问题负有责任。由此，本案不是只有机构受到监管关注，而是形成“分支机构—负责人”双重问责结构。

公开决定未披露被泄露账户的具体数量、持仓证券名称、客户身份、信息提供渠道、是否获利、信息接收人的后续交易以及客户损失情况。因此，不能把一次具体事件径自描述为批量数据贩卖、内幕交易、跟庄交易或市场操纵；也不能据此推定不存在这些风险。后续法律判断必须以进一步查明的事实为条件。

二、违规行为及监管逻辑

（一）被侵害的首先是客户信息保密利益与交易公平

证券账户持仓信息反映投资者的投资组合、资产配置、风险偏好和交易安排；与客户姓名、证券账号、联系电话等数据结合时，可形成高度可识别的个人金融画像。即使尚未发生盗买盗卖、账户资金损失，也可能造成跟踪交易、针对性营销、欺诈诱导、交易策略泄露与客户间利益冲突。证券公司的保密义务并不以客户实际损失为前提。

（二）第六条第四项的定位是“员工行为管理义务”，不是内幕交易构成条款

《证券公司和证券投资基金管理公司合规管理办法》第六条第四项，要求证券基金经营机构严格规范工作人员执业行为，防范其利用职务便利从事违法违规、超越权限或者损害客户合法权益的行为；第三十二条第一款授权采取警示函等行政监管措施。决定书以该项为依据，直接评价的是分公司合规管理缺陷，而非对涉事员工的刑事犯罪、市场交易违法行为作出最终判断。

此处的责任链条包括：账户信息是否基于合法岗位权限被查询；查看行为是否具有明确的客户服务必要性；信息是否被截图、下载、打印或通过微信等私人渠道转发；系统和管理层能否事前阻断越权、事中识别异常、事后重建轨迹。只要员工实际发生违规提供他人持仓信息，机构不能以“员工个人行为”当然免除自身的组织管理责任。

三、为什么没有直接援引个人信息保护法律？

（一）客户持仓信息具有多重法律属性

在自然人投资者身份可以被直接或者间接识别的情况下，证券账户及持仓信息可属于《个人信息保护法》第四条规定的个人信息。第六条确立处理目的明确、必要和最小范围原则；第二十八条将“金融账户”等列为敏感个人信息的示例。不能机械推导“所有股票持仓数据当然一律都是敏感个人信息”，但具名金融账户及其关联持仓数据通常应按高保护等级管理，并结合识别性、潜在财产损害风险作具体分类。

此外，《民法典》第一千零三十二条、第一千零三十四条和第一千零三十八条分别提供隐私、个人信息及信息处理安全保障规则。《证券经纪业务管理办法》第二十七条还直接禁止证券公司及其从业人员违规查询、复制、保存投资者信息，超出正常业务范围使用，违规泄露或非法向他人提供投资者信息。上述规范与合规管理规则并行适用，并不存在“只能选一个法”的逻辑。

（二）本次选择的处罚依据，是“足以查明的管理失职”

行政决定需要对应明确的事实、违法构成、对象和法定措施。公开材料能够确认员工向其他客户提供持仓信息、分公司执业管理失当；却未披露信息主体是否为自然人、是否包含可识别个人身份的字段、泄露范围、相关同意或法定事由、后续损害等细节。内蒙古证监局可基于已经查明的行业合规管理事实适用第六条第四项，而没有义务在同一份决定中穷尽全部可能涉及的法律责任。因此，准确表述应当是“这两份决定并未按照个人信息保护法作出相应责任认定”，而不是“客户证券持仓不属于个人信息”，更不是“证券监管部门对这类行为没有个人信息保护监管职能”。若另行查明违反个人信息处理义务的事实，有关部门可依各自法定职责依法处理；涉及同一违法行为的行政罚款适用法律规定的避免重复罚款原则，但不否定不同性质法定责任的并存。

（三）事后处置不能止于员工处分

《个人信息保护法》第五十七条对发生或可能发生个人信息泄露等情形规定立即采取补救措施并依法通知主管部门和个人；对个人的通知存在符合法律条件的例外。机构应立即识别数据类型、影响人数、外传途径及损害后果，判断是否触发相应告知和报告义务，不得把“监管已出警示函”当作事故处置完成。

四、为何不是内幕交易？

（一）内幕信息有明确的对象和重大性要求

《证券法》第五十二条所称内幕信息，原则上涉及发行人的经营、财务，或者对该发行人证券市场价格有重大影响且尚未公开的信息，并包括相关法定重大事件；第五十三条禁止内幕信息知情人、非法获取者在信息公开前买卖有关证券、泄露信息或建议交易。普通客户“持有什么股票、持仓多少”通常是投资者自身账户信息，而不是某上市公司经营财务或重大事件的信息，不能仅因“不公开”便将其升级为内幕信息。需要保留一个例外：若持仓信息与未披露的大比例股权变动、收购安排、发行人重大事件或其他满足法定重大性标准的事项相关，并且证据能够证明相关人员获取、泄露的确是内幕信息，则不能排除内幕信息泄露或内幕交易方面的进一步调查。相反，仅凭一张普通客户持仓截图，不具备这样的当然推定。

（二）“不属于内幕信息”不等于“交易利用行为安全”

《证券法》第五十四条另行禁止证券公司等机构的从业人员，利用职务便利获取的、内幕信息以外的其他未公开信息，违反规定从事相关证券交易或明示、暗示他人进行相关交易。这与第五十三条的内幕交易是不同的法定评价路径。如果员工把大客户的尚未执行交易指令、特定策略或其他可利用信息提供给他人，并有证据显示相关交易利用及其他构成要件，须重点审查第五十四条的适用可能。同样，单纯发现信息泄露，并不自动成立“利用未公开信息交易”：还需要核查获得信息的职务来源、信息性质、关联证券、相关账户交易及提示行为、交易与信息利用的关联性等。没有交易证据，不宜反向从“客户获得了持仓数据”推定证券违法交易。

（三）“信息保密违规—利用未公开信息交易—内幕交易”不可混用

三者的评价重点分别是：未经授权向第三方泄露受保护信息；以职务获取的其他未公开信息进行或提示证券交易；以及对具有法定重大性的发行人内幕信息进行交易、泄露或建议交易。存在某一行为不意味着其余行为成立，也不意味着其余行为被永久排除。将所有交易前信息均称作“内幕”，会混淆保密义务、市场公平以及犯罪或行政违法构成之间的界限。

五、与既往真实执法的关系

（一）2024年福建同类案例强调了利益输送

2024年12月13日，福建证监局作出〔2024〕108号决定，认定某证券公司营业部从业人员为维护与他人关系泄露客户证券账户持仓信息，同时存在向利益关系人输送不正当利益的行为，依据当时现行且现仍有效的《证券期货经营机构及其工作人员廉洁从业规定》（2022年修正）相关条款，对该从业人员出具警示函。该决定明确涉及利益关系和个人不当行为，与2026年内蒙古案以机构员工管理缺陷为重点不同。这一对照证明，披露他人持仓并非只有一种监管路径。是否存在以信息交换利益、维护特定利益关系人、谋求佣金或对价等情节，决定了廉洁从业条款是否可能进一步适用。不能用福建案的较详细事实倒灌本案，推定本案一定存在利益输送；也不能因本案未援引廉洁从业规则就认定不存在关联风险。

（二）2024年山东员工越界执业案件体现“个人行为—公司治理”联动

2024年山东证监局〔2024〕46号决定认定某证券公司个别员工私下接受客户委托、在未具备适当岗位及协议基础上私下提供投资建议，并向客户发送业务测试答案；据此认为公司合规管理不足，援引《证券公司和证券投资基金管理公司合规管理办法》第六条第四项等规定采取警示函。该案虽不涉及持仓泄露，但显示同一第六条第四项可以覆盖不同形式的员工越权执业风险。从两案综合看，监管机构关心的不仅是个别员工“做了什么”，还包括机构是否允许私人社交工具替代授权业务渠道、是否保留行为审计证据、是否设定适当监督预警以及出现异常后是否能够及时整改。

六、对证券公司及客户的实务影响

（一）机构应从“客户资料保密承诺”转向交易数据权限治理

客户持仓不同于普通营销通讯录，其泄露可能暴露投资组合结构、资金实力与交易策略。机构宜将账户信息分为身份资料、账户标识、资产余额、实时持仓、交易指令及历史交易流水等等级，实施角色授权、最小必要、目的限制与敏感场景双人复核。运营、经纪、投顾、客服、合规、技术人员的查询权限应分别配置，严禁以“一线服务需要”为名授予全量跨客户浏览权限。

（二）分支机构负责人不能仅靠签署责任书免责

〔2026〕14号与15号的并行问责提示：岗位负责人需要持续检视高频查询、跨客户查询、批量导出、非工作时间访问、通过私人账号发送截图等异常情形，建立员工违规行为报告和升级机制，并确保对疑似泄露事件的风险处置、客户沟通和责任追究有证据可核验。总部还应避免把客户信息安全问题完全下沉给营业部自查自纠。

（三）客户可以分别主张信息权利与损害救济

如客户怀疑证券账户信息被泄露，可保留异常联系记录、对方展示持仓内容的证据、账户异常登录或交易通知，向证券公司提出核实和信息权益请求，必要时通过合法渠道投诉、诉讼或报告有关部门。若主张损害赔偿，仍须结合请求权基础证明违法处理、损害与因果关系等事实；不能认为每一次泄露都自动获得固定金额赔偿。

七、整改建议

（一）接到决定后立即止损，7日内完成事件分级

由总部合规牵头，会同信息技术、网络与数据安全、经纪运营及内审开展事件调查，固定系统访问日志、截图导出记录、工作聊天证据、终端文件外发记录及客户交易关联时间线；冻结不必要权限、封禁危险外传通道。不得擅自删除原始日志或以“清理历史痕迹”代替风险整改。必要时按个人信息保护有关规定落实补救、通知及报告。

（二）30日内向监管机构提交可验证整改结果

专项报告应明确事件事实范围、信息类型及所涉客户、管理漏洞、人员问责、系统阻断措施、已完成验证与未完成计划及后续负责人。监管决定要求的是收到决定之日起30日内提交书面报告，并不意味着30日内所有跨系统改造均须完工；对于尚未完成事项，应列明实施里程碑和风险替代措施，不能用空泛的“加强培训”充当实质整改。

（三）60日内建立“四关一链”控制体系

第一关为访问授权：跨客户持仓查询建立岗位白名单、审批用途和定期复核。第二关为敏感操作：导出、截图、打印、下载与跨系统拷贝设置限制或二次核验。第三关为通信外发：客户持仓仅能经授权的客户本人专属渠道交付，并核验接收身份。第四关为持续监测：对短时大量查询、频繁访问同一大客户和非工作时段查询设置自动预警。“一链”是完整可追溯的查询、访问、导出、传输和处置日志。

（四）90日内开展独立验证与问责复盘

由内审或独立于整改实施方的团队对分支机构抽样测试：无业务工单能否调取他人持仓；私有终端是否能截图外发；离职与转岗人员是否保留权限；高权限账号是否被共用；夜间异常访问是否被真实追查；已发数据能否定位接收人及后续传播风险。问责同时应审查审批人、权限配置人、系统管理员、合规监督者和机构负责人，防止将责任简单压给一线员工。