美国SEC对投资顾问及金融科技初创公司窃取客户数据处以26.6万美元罚款

案件适用的Regulation S-P要求金融机构采取合理措施保护客户个人信息并遵守隐私政策，S-ID条例则要求机构实施身份盗窃预防程序。SEC认为，擅自将客户数据用于与原委托关系无关的用途，构成对客户隐私与信任的侵害，属于投资顾问信托义务范畴的违规。

分析人士指出，SEC近年来加强了对金融顾问跳槽带走客户名单、数据外包与云迁移中数据合规问题的执法。该案强调"数据即资产"背景下客户个人信息的控制权归属：客户数据属于机构受托资产而非个人劳动成果，离任员工不得擅自复制使用。

对金融机构而言，本案提示：应在雇佣合同中明确客户数据权属与竞业限制，实施离职数据交接审计与访问权限回收；对初创公司，则应建立客户数据来源合规审查机制，避免因"带数据创业"触发监管处罚与声誉风险。数据合规已从后台支持走向前台经营合规的核心议题。