“个人金融信息”是银行业的核心资产。目前国家市场监督管理总局为保护个人信息发布了《信息安全技术个人信息安全规范》,中国人民银行对于个人金融信息保护制定了《个人金融信息保护技术规范》,两者均为行业标准,我国在法律层面对个人金融信息的保护规范迟迟未能颁布。本文通过对行政处罚文书、判决书的分析,提出银行业个人金融信息所面临的信息过度收集、信息委托处理以及防控泄露风险不足等问题,并通过对《信息安全技术个人信息安全规范》、《个人金融信息保护技术规范》的研究,得出了个人金融信息保护法应着重明确信息区别化监管、明确结合行业标准的信息收集规则、加强信息委托方的审查义务以及确立信息安全管理组织的结论。当然仅靠法律法规的法治化建设不能真正落实银行业对个人金融信息保护的工作,我国应在法律中进一步明确监管机关的职责、强化行业协会的协调服务功能并通过常态化金融教育提升我国民众的个人金融信息安全防范意识,才能真正形成规范的银行业个人金融信息保护制度。