马来西亚国家银行（Bank Negara Malaysia，“BNM”）于 2025 年 11 月 18 日 发布《开放金融征求意见稿》（“征求意见草案”），标志着马来西亚金融体系正迈向一个更互联、可互操作且以消费者为核心的新阶段。该征求意见草案提出了实施开放金融安排的拟议监管框架。各利益相关方可在 2026 年 3 月 1 日 前就该征求意见草案提交意见。
本文将重点解析征求意见草案的 8 项关键要点，以协助金融机构、企业内部法律顾问、合规与数据保护团队，提前理解潜在合规影响，并为未来实施作好准备。
- 1. 什么是开放金融？
在征求意见草案中开放金融是指一项在客户授权基础上，支持数据提供方与数据使用方之间以安全、开放、可访问、可互操作及及时方式共享客户信息的框架。
简单来说，开放金融允许银行客户将由一家金融机构持有的金融信息（例如银行账户资料、电子钱包余额或信用卡交易记录），在授权后共享予其他金融机构。其逻辑类似于用户允许不同应用程序之间进行数据连接，就像允许微软Outlook 与手机日历应用程序连接，或健身应用访问 Apple 用户的 Apple Health 数据。
- 2. 为什么开放金融重要？
如果你问我为什么开放金融有用？因为它实现了金融服务之间的互联互通。
在当今社会，客户通常不只在一家金融机构进行银行业务。我们往往会基于不同用途开设多个银行账户, 例如发薪账户、储蓄账户、定期存款等。每一家金融机构所掌握的关于你的信息，都会因你在该机构使用的银行产品或服务不同而存在很大差异，这也会影响这些金融机构能够为你提供多大程度的“个性化”服务。如果金融机构能够看到你在其他银行的财务信息，他们便可以对你作为客户的整体情况有更清晰的了解，从而更好地定制其服务内容，甚至有助于加快你申请某些金融产品（如信用卡或贷款）的处理或审批流程。
举例，在客户授权的前提下，开放金融机制可使银行 A 调取你在银行 B 过去 12 个月的相关金融数据，以加快客户的贷款审批流程。通过开放金融，你也可能只需通过一个应用程序，就能查看你所有信用卡的对账单，而不必在多个银行应用之间来回切换来处理信用卡账单。
- 3. 谁将受到影响？
开放金融的安排预计将对马来西亚的金融机构产生影响。征求意见草案明确指出，在开放金融安排实施时，下列金融机构被要求参与：
- (i) 持牌银行；
- (ii) 持牌投资银行；
- (iii) 持牌伊斯兰银行；
- (iv) 持牌保险公司；
- (v) 持牌伊斯兰保险（Takaful）经营商；
- (vi) 法定发展金融机构；以及
- (vii) 合格的电子货币发行机构（“EMIs”）。
然而，上述金融机构的所有类别并非都必须参与开放金融安排，仅那些达到特定客户量门槛的机构才被强制要求参与。就银行及受指定的发展金融机构而言，开放金融安排仅适用于客户数量超过 100,000 的机构（马来西亚国家银行建议对银行采取分阶段实施方式，优先从客户数量超过 1,000,000 的银行开始）。至于符合资格的电子货币发行机构，仅那些运营基于网络的电子货币方案且活跃用户总数超过 5,000,000 的机构需参与开放金融安排。
未达到上述门槛的金融机构，仍可参与开放金融安排，但属于自愿性质。
- 4. 开放金融安排预计何时实施？
马来西亚国家银行建议采用分阶段方式实施开放金融安排，具体时间表如下：
- – 2027 年 1 月 1 日：率先适用于客户数量超过 1,000,000 的银行；
- – 2028 年 1 月 1 日：随后逐步推广至客户数量超过 100,000 人的银行；
- – 2029 年 1 月 1 日：最后再推广至客户数量超过 100,000 的发展金融机构，以及活跃用户人数超过 5,000,000 的EMIs。
征求意见草案并未明确说明非强制参与的金融机构何时可加入开放金融安排。鉴于首批被强制纳入的金融机构将自 2027 年 1 月 1 日 起实施开放金融安排，我们推测非强制参与的金融机构最早也可从同一日期选择参与该安排。
- 5. 将共享哪些信息？
根据马来西亚国家银行目前的拟议方案，参与开放金融安排的金融机构仅有义务共享以下信息：
(i) 最近 12 个月的交易信息，包括交易日期、交易描述及交易金额；以及
(ii) 账户的当前未结余额。
尽管如此，征求意见草案并未禁止参与机构共享上述范围以外的客户信息。只要符合行业标准及技术要求，并已取得客户的明确同意，金融机构仍可共享额外的客户信息。因此，参与开放金融安排的金融机构可自行探索开放金融的不同应用场景，以及自愿提出通过开放金融框架共享额外信息的范围，完全取决于参与的金融机构自身。
- 6. 开放金融平台的角色是什么？
开放金融安排预计将通过所谓的“开放金融平台”实施，这是一种技术基础设施、系统或工具，用于收集客户同意并安全传输客户信息。
可以将开放金融平台理解为一个独立的平台，参与的金融机构和银行客户将通过该平台来促进客户信息的共享。
希望获取其他参与金融机构所持客户财务信息的金融机构，可在开放金融平台上提出访问请求。在任何请求的信息被共享之前，客户必须通过开放金融平台提供其数据共享的同意。一旦收到客户同意，持有相关客户信息的金融机构将根据客户同意的范围，将请求的信息提供给提出请求的金融机构。
目前尚不清楚开放金融平台是否将仅由非金融机构（即为金融机构提供服务的第三方）运营，或金融机构是否也被允许运营开放金融平台。我们认为后者可能性不大，因为存在利益冲突的风险，但这一点需在最终框架出台时予以明确。
为了支持开放金融平台的运行，预计所有参与的金融机构都必须与开放金融平台建立 API 网关，以便实现数据共享。
- 7. 同意要求
在开放金融平台上进行的所有信息共享，均以银行客户的同意为前提。根据征求意见草案，客户所给予的同意必须同时具备具体性、自愿性、可撤销性、明确性及审慎性。以下是对这些要求的说明：
(i) 具体性（Specific）
在请求客户同意时，参与金融机构必须确保所使用的条款清晰、简明，并以通俗易懂的语言书写。具体而言，条款必须说明信息将披露给谁、披露的目的以及将被披露的信息类型。
(ii) 自愿性（Voluntary）
客户的同意必须是自愿提供的，客户不得被强迫、胁迫或误导以提供同意。严格禁止“捆绑同意”或“一揽子同意”，即客户被要求在单一的同意声明中，同时同意信息披露及其他事项。
(iii) 可撤销性（Revocable）
必须提供机制，使客户能够撤销其对信息共享的同意，该撤销机制应与客户给予同意的方式同样方便。一旦同意被撤销，参与金融机构必须立即停止共享和使用相关信息。
(iv) 明确及审慎（Explicit and Deliberate）
征求意见草案要求客户的同意必须明确且经过审慎考虑。换言之，客户在给予同意时必须采取积极行动，例如勾选同意框或点击“我同意”按钮。客户的沉默或不作为不得视为同意。
此外，马来西亚国家银行还建议客户所提供的同意应具备时效性。也就是说，每一项客户同意在有效期内生效，在此期间，请求的金融机构可以访问相关信息。如果在同意有效期结束后仍需访问信息，客户必须重新提供同意，以允许继续访问其信息。目前的提案规定，每项同意的最长期限为 6 个月。
值得注意的是，拟议的开放金融框架下的同意要求，与《2010 年个人资料保护法》（Personal Data Protection Act 2010，“PDPA”）的同意要求非常相似。事实上，考虑到开放金融的同意具有时间限制，其要求甚至比 PDPA 更为严格。
- 8. 客户保护要求
征求意见草案的大部分内容集中于参与金融机构需实施的客户保护要求。毋庸置疑，个人的财务信息属于敏感信息，而为了建立一个便于共享财务信息的平台，必须确保建立适当的保障措施，以防止信息被滥用、未经授权访问或丢失。
草案对参与金融机构在数据治理与隐私政策的建立、数据安全的技术与操作保障措施的实施、第三方服务提供商的管理以确保数据安全，以及客户信息泄露的通知要求等方面提出了大量要求。
然而，对于参与金融机构来说，满足这些要求不应过于困难，因为这些要求在很大程度上与金融机构现行已遵循的政策相一致，例如《技术风险管理政策文件》、《客户信息管理及许可披露政策文件》、《数据管理及管理信息系统（MIS）框架指南》等。
征求意见草案标志着迈向建立一个互联互通、以用户为中心及鼓励创新的金融生态系统的重要一步。尽管这无疑是一项值得欢迎的举措，但开放金融框架的实施也必然会使银行客户面临新的风险形式。因此，马来西亚国家银行对参与金融机构所实施的保障措施进行密切监督至关重要，而金融机构亦须在平衡创新需求的同时，始终将客户信息的安全置于首要位置。
开放金融倡议同样为科技解决方案提供商带来了机遇，使其得以探索自身创新如何在开放金融框架下与金融机构的产品与服务形成互补。对于有意把握拟议开放金融框架所带来机遇的各方而言，密切关注 2026 年年底前后的发展将尤为关键。鉴于首阶段的开放金融安排拟于 2027 年 1 月 1 日 实施，我们预计相关框架最迟须于 2026 年第三或第四季度正式敲定并发布。
翰林律务所的科技法律团队长期以来屡获国际权威法律名录与行业评审的高度肯定。近期荣誉包括：2024 与 2025 年《亚洲法律杂志》年度金融科技法律事务所、In-House Community 年度科技、媒体与电信（TMT）法律事务所、Asia Business Law Journal 年度金融科技法律事务所、《钱伯斯金融科技指南》第二级排名，以及《法律500强》金融科技第三级排名。
如您希望进一步了解开放金融框架，或在科技、媒体及电信（TMT）相关事宜上需要法律协助，欢迎随时联系翰林律务所科技法律团队的合伙人，为您提供进一步的专业咨询。
Ong Johnson黄永升
合伙律师 (交易与争议解决、科技、媒体与电信、知识产权、金融科技、隐私与网络安全)
Halim Hong & Quek 翰林律务所
电话：+603 2710 3818
电邮：johnson.ong@hhq.com.my
Lo Khai Yi罗恺育
合伙律师 (科技、技术、媒体与通信 、知识产权 、企业与并购 、项目与基础设施 、隐私与网络安全）
Halim Hong & Quek 翰林律务所
电话：+603 2710 3818
电邮：ky.lo@hhq.com.my
