迪麗努爾·努爾買買提

一、問題的提出

近年來，隨著大數(shù)據(jù)技術的變革和數(shù)字經(jīng)濟的發(fā)展，數(shù)據(jù)成為社會重要的生產(chǎn)要素，經(jīng)濟社會面出現(xiàn)較為普遍的數(shù)據(jù)化特征，對金融行業(yè)的發(fā)展產(chǎn)生深遠影響。經(jīng)濟社會數(shù)字化驅(qū)動發(fā)展對融資模式和金融服務技術提出新需求，金融行業(yè)本身的數(shù)據(jù)優(yōu)勢又促進了新需求的增長。因此，牢牢掌握作為數(shù)據(jù)基礎的個人金融信息對于金融行業(yè)來說至關重要。一方面，金融業(yè)機構(gòu)需要通過一定的手段與程序獲取更多的個人金融信息，實現(xiàn)金融業(yè)機構(gòu)與個人金融信息的結(jié)合增值。另一方面，金融業(yè)機構(gòu)需要對個人金融信息等數(shù)據(jù)進行資產(chǎn)化管理，實現(xiàn)數(shù)據(jù)資產(chǎn)的流動和增值。正是這種大數(shù)據(jù)時代特征，個人金融信息安全和數(shù)據(jù)保護面臨巨大挑戰(zhàn)，個人金融信息和金融數(shù)據(jù)安全正在承受巨大的風險。

作為對時代特征與社會矛盾的回應，2016年國家立法通過《網(wǎng)絡安全法》，2018和2019年發(fā)布《銀行業(yè)金融機構(gòu)數(shù)據(jù)治理指引》《個人金融信息（數(shù)據(jù)）保護試行辦法（初稿）》《移動金融客戶端應用軟件安全管理規(guī)范》等部門規(guī)章，2020年審議通過并施行《中國人民銀行金融消費者權益保護實施辦法》《商業(yè)銀行互聯(lián)網(wǎng)貸款管理暫行辦法》，2021年開始施行《數(shù)據(jù)安全法》《個人信息保護法》等，表明國家對個人金融信息保護的監(jiān)管思路正在拓寬，監(jiān)管力度正在加強。

在這些逐漸確立“個人金融信息權利”的法律法規(guī)中，金融業(yè)機構(gòu)的法律定位逐漸顯現(xiàn)并得到完善，在未來個人金融信息保護的法律格局中，金融業(yè)機構(gòu)將發(fā)揮極為重要的作用，而這種法律責任的設定并非空穴來風。從移動支付網(wǎng)發(fā)布的《中國個人金融信息保護執(zhí)法白皮書（2020）》來看，據(jù)不完全統(tǒng)計，央行在2020年開出的行政處罰罰單中，案由涉及“個人金融信息”的共181張，涉罰金額合計超1.8億元人民幣，處罰對象包括銀行、證券公司、支付機構(gòu)、消費金融公司等金融業(yè)機構(gòu)[1]。這種金融亂象充分說明，對金融業(yè)機構(gòu)在個人金融信息方面的法律治理力度進一步加強。

二、金融業(yè)機構(gòu)在個人金融信息保護上的既有法律定位及不足

（一）基于技術安全信仰的金融業(yè)機構(gòu)法律定位

金融業(yè)機構(gòu)保護個人金融信息的法律法規(guī)在我國已有較長時間，可以從三個重要時間節(jié)點來觀察其發(fā)展變化。第一個是1992年發(fā)布的《儲蓄管理條例》，該條例明確規(guī)定“儲蓄機構(gòu)及其工作人員對儲戶的儲蓄情況負有保密責任”。盡管沒有出現(xiàn)“個人金融信息”的法律概念，但實際上存在對個人金融信息的國家保護。第二個是2011年中國人民銀行發(fā)布的《中國人民銀行關于銀行業(yè)金融機構(gòu)做好個人金融信息保護工作的通知》，該通知第一次明確“個人金融信息”的概念。在此之前的2009年，《刑法修正案（七）》已為金融領域個人信息的刑法保護提供法律依據(jù)。在此之后的2012年，《全國人民代表大會常務委員會關于加強網(wǎng)絡信息保護的決定》明確“國家保護能夠識別公民個人身份和涉及公民個人隱私的電子信息”。第三個是2021年開始施行的《個人信息保護法》和《數(shù)據(jù)安全法》，國家立法制定個人信息領域的根本大法。

從1992年至今，尤其在前二十年的時間里，立法更傾向認為個人金融信息保護是一個技術性問題，以應急防災思維指導金融業(yè)機構(gòu)通過內(nèi)部控制解決好個人金融信息的泄露、篡改、破壞等問題，這一治理思維雖維護了社會宏觀利益，卻忽略了個人權益的主張。如此的弊端在于，一旦金融業(yè)機構(gòu)發(fā)生個人金融信息安全問題，往往對提升技術安全的需求更加強烈，但個人金融信息安全最直接的關系者——擁有個人金融信息的個人被置于事外，個人金融信息安全問題中的“個人”話語權比較薄弱。在這種思路下，個人金融信息保護的法律責任機制也顯現(xiàn)出術特征，并逐步推動個人金融信息進入刑事范圍。這種基于技術安全的金融業(yè)機構(gòu)法律定位，將金融業(yè)機構(gòu)設定為金融信息技術的控制者，實際上大大簡化了金融業(yè)機構(gòu)需要承擔的社會責任與法律責任，模糊了技術與法律的界限，使法律成為技術的附屬品，也在秩序話語中使“個人失語”，以至于在面對日益龐大復雜的個人金融信息保護問題時，法律逐漸顯得力不從心。在近十年的時間里，這種趨勢愈發(fā)明顯：金融業(yè)機構(gòu)保護個人金融信息的壓力猛增，與之相對應的，個人與社會對個人金融信息安全問題的不滿也在猛增。究其實質(zhì)，單純的技術升級不足以解決個人金融信息保護背后的社會問題，金融近乎天然的不安全生產(chǎn)和金融資源分配不公正，對社會和個人都產(chǎn)生了嚴重影響，甚至出現(xiàn)技術越升級卻越遮掩實質(zhì)的問題，出現(xiàn)技術信仰下金融風險不減反增的惡性循環(huán)。

（二）造成法律定位模糊與不適的主要原因

賦予金融業(yè)機構(gòu)基于技術控制以解決社會問題的法律定位，不是主觀的自由選擇，而是改革開放的必然產(chǎn)物和過程產(chǎn)物，主要原因在于：第一，中國社會沒有類似西方社會那種自資產(chǎn)階級革命以來重視個人權利的長期歷史環(huán)境，而是通過集體力量進行革命戰(zhàn)爭開啟的工業(yè)化進程和社會建設，個人權利的分類與體系需要重新立法探索，造成了包括金融領域在內(nèi)的隱私權建設在歷史上存有空窗期。第二，中國社會自改革開放以來進入劇烈變動的轉(zhuǎn)型轉(zhuǎn)軌期，在“讓一部分人先富起來”的社會主題下，技術與法律問題雙雙居高不下，而法治建設時間較短的現(xiàn)實條件將化解社會矛盾的重要責任向技術變革傾斜。第三，近現(xiàn)代金融是資本主義經(jīng)濟（從歷史上看最初是貨幣經(jīng)濟）發(fā)展的產(chǎn)物，強金融業(yè)機構(gòu)與弱個人、弱一般群體的對比局面沒有得到根本性改變。第四，中國需要站在人民利益的角度建設自己的法治國家、法治社會、法治政府，而不是照搬西方法治精神繼續(xù)推進社會理念，因此需要在社會矛盾得到充分暴露的成熟之際完成立法。

同時，也需注意到近三十年是技術大變革的時代，互聯(lián)網(wǎng)、大數(shù)據(jù)技術等將個人金融信息安全問題提到前所未有的高度，這在以往任何社會中是從未發(fā)生過的。作為響應社會問題的法律，在對個人金融信息的種類、范圍、定義尚未充分確定的情況下，對金融業(yè)機構(gòu)作出較為嚴格的規(guī)范也許不是一件十分輕松的事情。當然，這并不意味著個人金融信息安全問題可以擱置一旁。正如馬克思所言，“立法者并不創(chuàng)立法律，他只是在揭示和表述法律”[2]。陳彥晶指出，“新型權利的研究應當是一個發(fā)現(xiàn)的過程，而非一個創(chuàng)造的過程”[3]。

（三）既有法律定位的不足與危險

大數(shù)據(jù)信息高風險、高價值和普遍存在的特征，決定了個人金融信息保護是一個重大的系統(tǒng)性工程，需要從技術與組織（也就是法的關系，即法律制度規(guī)范）兩個方面加以解決。而金融業(yè)機構(gòu)既有法律定位上重技術控制輕法律權利的設置，無法滿足個人金融信息保護的需求。

一方面，從經(jīng)驗上看，在金融業(yè)機構(gòu)普遍規(guī)模大、掌握個人信息多的形勢下，金融業(yè)機構(gòu)利用技術優(yōu)勢進行自由競爭，對個人金融信息進行過度開發(fā)利用，一旦發(fā)生安全問題，既有法律定位往往為金融業(yè)機構(gòu)有意無意侵害金融消費者個人信息安全與資金安全提供免責或較輕處罰的依據(jù)，而代之以技術漏洞找補，實際上違背了安全生產(chǎn)的要求。在技術信仰和利潤驅(qū)使下，金融業(yè)機構(gòu)還存在或獨立或與個人合謀，通過個人金融信息集成金融大數(shù)據(jù)刻畫群體圖像，以此有偏好地分配金融資源，造成不公正低效率金融配置，甚至卷入洗錢和其他金融犯罪的可能。

另一方面，這種金融業(yè)機構(gòu)既有法律定位的不足與危險，往往會在社會中持續(xù)發(fā)酵，刺激公眾神經(jīng)。在權利意識已經(jīng)覺醒和貧富差距依然較大的當代社會，金融業(yè)機構(gòu)容易成為權利主張的試驗場，如果不能完善金融領域的權利分配和金融業(yè)機構(gòu)法律責任的設置，其所引發(fā)的社會矛盾在大數(shù)據(jù)時代和推進金融市場化背景下可能會被進一步放大，造成嚴重的社會穩(wěn)定問題。

三、金融業(yè)機構(gòu)對個人金融信息保護法律定位的重置

在全面依法治國、共同富裕、強化金融安全與服務實體新發(fā)展的背景下，需要改革金融業(yè)機構(gòu)在個人金融信息保護上的法律定位，推動立法從技術安全信仰向社會安全和全面法治信仰的轉(zhuǎn)變。要堅持人民利益至上，顯示個人在金融活動的自主權利，把金融業(yè)機構(gòu)定位成技術相對控制者和社會責任承擔者的結(jié)合。通過金融業(yè)機構(gòu)、金融消費者、國家法律監(jiān)管者之間的三組關系，重新定位金融業(yè)機構(gòu)保護個人金融信息的法定權利義務。

（一）從社會安全價值角度全面認識金融消費者（客戶）在法律體系中的合法權益

金融消費者是一個法律概念，可以從定義、范圍、種類等方面進行法律上的思考。關于金融消費者的定義，央行將購買、使用金融機構(gòu)提供的金融產(chǎn)品和服務的自然人視為金融消費者①參見《中國人民銀行金融消費者權益保護實施辦法》第2條。。但問題是：1.不少自然人實際上是個體工商戶，是以自然人名義出現(xiàn)的商主體，其購買、使用金融產(chǎn)品和服務的目的并不是“消費”而是“經(jīng)營”。2.即便“投資”可以擴張解釋為“消費”目的，但有的自然人資金實力雄厚，并不弱于機構(gòu)投資者。3.購買、使用非金融機構(gòu)提供的金融產(chǎn)品和服務的自然人被排除在金融消費者之外，這使得金融管理部門構(gòu)筑的金融消費者保護法律體系存在內(nèi)在缺陷[4]。但這并不妨礙從社會學角度來觀察這一法律概念的現(xiàn)實面目：金融消費者在社會學意義上是日常社交語言中的“客戶”，是個“人”，即不是純粹的交易者、假設的理性經(jīng)濟人、原子，而是活生生的老百姓，是金融業(yè)機構(gòu)的客戶。金融業(yè)機構(gòu)如果做出對客戶不利的事情，客戶不必思考法律規(guī)定就可以投票淘汰或處置，這會對金融業(yè)機構(gòu)的聲譽與生意造成損失。因此，金融業(yè)機構(gòu)要注重經(jīng)濟效益與社會效益的均衡，要從法律體系全面認識并承認客戶的合法權益。相較于狹義地理解“金融消費者”合法權益，更應該較廣義地理解“客戶”的合理合法需求。

以個人金融信息保護為例，從客戶來看其實質(zhì)是金融消費者的個人金融信息與金融業(yè)機構(gòu)的結(jié)合或分離。結(jié)合是指金融業(yè)機構(gòu)依法合規(guī)地收集獲取、查看變更、轉(zhuǎn)讓共享、公開披露個人金融信息等內(nèi)容，金融消費者擁有知情權、同意權、變更權等權利。分離是指金融消費者可以主動要求清除、轉(zhuǎn)移或者被動遺忘在該金融業(yè)機構(gòu)的個人金融信息，享有信息數(shù)據(jù)注銷權、信息數(shù)據(jù)可攜轉(zhuǎn)權、信息數(shù)據(jù)遺忘權等權利。

（二）從維護金融秩序的角度配合依法行政與依法監(jiān)管

對于公權力機關而言，個人金融信息的發(fā)展是一把雙刃劍，雖為公權力機關打擊或監(jiān)管金融違規(guī)和犯罪提供抓手，但也為公權力機關提出“如何打擊或監(jiān)管”難題。公權力機關不是個人金融信息發(fā)生與結(jié)合的場所，通常也就不是個人金融信息存儲的對象。實際上，承擔存儲個人金融信息社會職能的主體是金融業(yè)機構(gòu)。由于公權力機關與金融業(yè)機構(gòu)的異質(zhì)性，以及公權力機關自身的職能分工，需要對公權力機關介入或監(jiān)管金融業(yè)機構(gòu)掌握的個人金融信息提出合理性與合法性要求。這就需要金融業(yè)機構(gòu)認識到，行政監(jiān)管與司法管理是維護金融秩序不可或缺的組成部分。而作為金融秩序的主體建設者和受益者，金融業(yè)機構(gòu)在發(fā)展自身業(yè)務的同時，也要依法配合好行政司法管理及專門監(jiān)管工作。這里的行政司法管理主要是指反洗錢和打擊其他金融犯罪，需要金融業(yè)機構(gòu)依法合規(guī)履行安全報告制度和配合調(diào)查，保證調(diào)查內(nèi)容的真實性、可訴性，不能以“保護金融消費者個人金融信息”為由拒絕國家機關的介入與監(jiān)管，也不能以“國家機關介入與監(jiān)管的命令”來侵害金融消費者合法權益。

（三）從促進社會主義市場經(jīng)濟和金融市場理性繁榮角度建設行業(yè)規(guī)范

在大數(shù)據(jù)時代，得數(shù)據(jù)者得天下，數(shù)據(jù)的價值體現(xiàn)在金融業(yè)機構(gòu)的業(yè)務發(fā)展需要優(yōu)質(zhì)數(shù)據(jù)的支撐。因此，金融業(yè)機構(gòu)需要通過市場競爭接觸更多的金融消費者客戶和掌握更多的個人金融信息。在自由競爭的市場環(huán)境中，金融業(yè)機構(gòu)之間的個人金融信息掌握權爭奪是常態(tài)，同時以金融業(yè)機構(gòu)之間的合謀作為補充形式。如果沒有良好健康的金融行業(yè)環(huán)境，金融業(yè)機構(gòu)之間的自由競爭往往會傷害到金融消費者的合法權益，也容易造成金融行業(yè)“劣幣驅(qū)逐良幣”的惡劣局面。這就需要金融業(yè)機構(gòu)在建設好內(nèi)部管理制度的同時，還要推動金融行業(yè)向更高標準發(fā)展，金融業(yè)機構(gòu)之間要達成賺取“健康利潤”共識并建設相互監(jiān)督機制，實現(xiàn)在個人金融信息保護上的行業(yè)自律規(guī)范。

四、金融業(yè)機構(gòu)在個人金融信息保護上的規(guī)范表達與建設

（一）依法合理配置權利義務，推動體制改革完善

個人金融信息保護涉及多方主體、多方利益，包括個人、金融業(yè)機構(gòu)、公權力機關和其他個人金融信息依法使用市場主體。依法合理配置權利義務關鍵在于確立個人金融信息權和圍繞個人金融信息權展開的個人、金融業(yè)機構(gòu)、公權力機關權利義務設置，改革金融業(yè)機構(gòu)在法律主體結(jié)構(gòu)中的定位和完善金融法治格局，防止出現(xiàn)金融業(yè)機構(gòu)“一家獨大、一權獨大”的局面。個人金融信息權是個人必要不充分權利，《個人信息保護法》的出臺為個人金融信息權提供了更為明確的法律基礎，對于證明其必要性具有重大意義。但個人金融信息權不是純粹個人權利，而是在金融活動中產(chǎn)生的產(chǎn)物，必然涉及多方關系。因此，需要通過金融數(shù)據(jù)確權來實現(xiàn)個人金融信息權對個人金融信息的充分保護。金融數(shù)據(jù)確權是以個人金融信息（客觀經(jīng)濟事實）和個人金融信息權（法制）為基礎的精細化設計，主要涉及個人、國家、金融業(yè)機構(gòu)之間的權利義務分配與監(jiān)督。個人可以通過個人金融信息權介入金融數(shù)據(jù)確權，并對個人的利益提出法律保護。金融業(yè)機構(gòu)通過金融數(shù)據(jù)確權為經(jīng)營業(yè)務解決合法性問題，降低制度成本與違法風險。公權力機關通過監(jiān)督金融數(shù)據(jù)確權與保護個人金融信息介入審查金融數(shù)據(jù)。而關于其他個人金融信息依法使用市場主體的問題，要根據(jù)市場經(jīng)濟的客觀發(fā)展與法律的完善程度具體展開。但在目前情況下，一律從嚴是較為合適的。

（二）建設完善、暢通、協(xié)調(diào)的金融業(yè)機構(gòu)接投訴程序、行政監(jiān)管程序、司法程序

關于個人金融信息保護的程序，既要注意事前規(guī)制和預防，又要注意事后的利益彌補和責任劃分，因此，需要建立從金融業(yè)機構(gòu)內(nèi)部控制到行政監(jiān)管再到司法的全過程覆蓋，其中要以充分發(fā)揮金融業(yè)機構(gòu)的專業(yè)優(yōu)勢與主觀能動性為起點，加大金融業(yè)機構(gòu)的法律責任承擔。金融業(yè)機構(gòu)履行的程序可以劃分為涉法處理部分和不涉法處理的接受投訴與整改機制，涉法部分又可以劃分為行政監(jiān)管程序與司法程序。上述多個部分不存在難以逾越的層次障礙，應該按照“各司其職、通力合作”原則暢通協(xié)調(diào)，保證不同程序之間的合理轉(zhuǎn)換。

金融業(yè)機構(gòu)內(nèi)部控制面對個人的主要內(nèi)容是金融業(yè)機構(gòu)接投訴程序。個人有權利對認為侵害個人金融信息權以及相關利益的行為進行投訴，金融業(yè)機構(gòu)應該保證這種接投訴機制的正常運行，完善金融業(yè)機構(gòu)自身的紀律約束和社會矛盾分流，通過提高服務質(zhì)量來實現(xiàn)業(yè)務的高質(zhì)量發(fā)展。行政監(jiān)管程序主要要求金融業(yè)機構(gòu)依法主動配合接受行政監(jiān)管，一是刑法下的反洗錢和打擊其他金融犯罪，二是國家安全下的國家監(jiān)管金融活動。這就需要金融業(yè)機構(gòu)為這種國家合法行動留足相關部門在個人金融信息上的活動空間，同時還要明確行政監(jiān)督、行政訴訟機制。司法程序則是個人通過司法程序維護個人金融信息權及相關利益，以尋求公平正義的最后防線，司法程序需要為金融消費者個人提供最后的救濟方式。

（三）民法、金融法、刑法多元多層次法律責任

為金融業(yè)機構(gòu)配置法律責任，是維護個人金融信息安全的必要條件與有效辦法。在現(xiàn)實生活中，個人金融信息安全問題不能一概而論，有從低到高的不同嚴重程度的表現(xiàn)，這就需要為金融業(yè)機構(gòu)配置與之對應的法律責任。從現(xiàn)有法律體系看，民法責任、金融法責任、刑法責任可以為金融業(yè)機構(gòu)提供較好的配置途徑。

金融業(yè)機構(gòu)的民法責任，一般是為解決金融業(yè)機構(gòu)與金融消費者個人之間的法律糾紛提供法律依據(jù)，對金融消費者個人的損失與人格傷害進行民事賠償。這種法律責任是處理個人金融信息安全問題不可或缺的機制，在一定程度上既為金融消費者個人提供了保護手段，也為法律糾紛的和解指明了出路。事實上，配置民法責任是個人感受最為直接的方式。金融業(yè)機構(gòu)的金融法責任則主要是對因金融業(yè)機構(gòu)的不法行為對金融秩序造成影響而進行專門的監(jiān)管追責。金融行業(yè)不能沒有監(jiān)管機制，這是民法與刑法思路不能取代的，是對已經(jīng)高度專業(yè)化的金融領域的專門知識構(gòu)造。金融業(yè)機構(gòu)的刑法責任，往往是對重大不法行為進行嚴厲打擊的結(jié)論。不可否認，刑法責任配置依然是管理社會的有效手段，金融行業(yè)也不例外。三種法律責任配置結(jié)合，對金融業(yè)機構(gòu)的個人金融信息安全義務設計了既重均衡性又重現(xiàn)實性的格局，符合寬嚴相濟的法律理念。