大数据背景下个人金融信息的保护研究

  近几年来，我国金融监督管理部门高度重视个人金融信息保护工作。 2016年发布的《中国人民银行金融消费者权益保护实施办法》（以下简称金消保办法） 对个人金融信息保护作了较为全面的规定。 2019年年底，央行又拟对该办法进行修订并将其升格为部门规章。 2018年，中国银行保险监管管理委员会（以下简称银保监会）发布《银行业金融机构数据治理指引》。 2019年10月，央行又起草了《个人金融信息（数据）保护试行办法》（征求意见稿）。 个人金融信息的保护受到社会各界高度关注。 因此，个人金融信息及其保护的特殊性需要深入研究。

一、个人金融信息的定义与特征

（一）个人金融信息的定义

  银行对于个人金融信息的保护义务起源于英美法中银行对于金融隐私权的保护。 在英美法系国家，关于银行对客户金融隐私权的保护规则的著名判例是1924年英国的Tournier案，〔1〕该案首开银行对金融隐私权负有保护义务之先河。〔2〕美国在1961年的Peterson案中确认了银行对金融隐私权的保护是基于银行与客户之间契约的默示条款。 〔3〕而英美法中银行对于金融隐私权的保护范围也一向较为宽泛。在1924年的Tournier案中，法官指出银行对客户隐私权的保护范围不限于客户的账户本身，还包括银行因其与客户关系的存在而获得的任何信息。在1961年的Peterson案中，法院将银行对金融隐私权的保护范围限于两方面：一是有关账户的信息，包括账户上所有存款项金额、资金来源和去向等信息；二是客户的交易情况，包括交易当事人以及交易价格等信息。 〔4〕基于法律概念的借鉴与移植，我国央行对于个人金融信息的定义也比较宽泛。 2016年金消保办法第27条规定：“本办法所称个人金融信息，是指金融机构通过开展业务或者其他渠道获取、加工和保存的个人信息，包括个人身份信息、财产信息、账户信息、信用信息、金融交易信息及其他反映特定个人某些情况的信息。 ”其实，早在2013年，央行发布的《关于银行业金融机构做好个人金融信息保护工作的通知》就对个人金融信息进行了分类：（1）个人身份信息；（2）个人财产信息；（3）个人账户信息；（3）个人信用信息；（5）个人金融交易信息；（6）衍生信息，包括个人消费习惯、投资意愿等对原始信息进行处理、 分析所形成的反映特定个人某些情况的信息；（7） 在与个人建立业务关系过程中获取、保存的其他个人信息。

二、大数据时代个人金融信息保护需求的挑战

（一）对现行法律理论和制度的挑战

  大数据时代给我国的金融法理论和制度带来了挑战。 金融业历来是一个重视客户信息保密的行业。 我国1995年商业银行法也规定了对存款人保密的原则。 但金融法不能一味地强调保密，还要强调个人信息收集、保存和处理的规范化，尊重个人的选择权，更要强调数据的共享和开放。大数据对既有的法律体系提出了挑战，即个人信息保护法、消费者权益保护法与金融消费者保护法之间的关系为何？ 金融消费者的定义究竟为何？ 这都需要做出理论和制度上的回答。 关于金融消费者的定义，央行将购买、使用金融机构提供的金融产品和服务的自然人视为金融消费者。〔13〕但问题是：（1）不少自然人实际上是个体工商户，是以自然人名义出现的商主体，其购买、使用金融产品和服务的目的并不是“消费”而是“经营”。（2）即便“投资”可以扩张解释为“消费”目的，但有的自然人资金实力雄厚，并不弱于机构投资者。（3）购买、使用非金融机构提供的金融产品和服务的自然人被排除在金融消费者之外。 这就使得金融管理部门构筑的金融消费者保护法律体系存在内在缺陷。 至于个人信息保护法、消费者权益保护法与金融消费者保护法之间的关系，它们更是避而不答。大数据对更为基础的民法制度带来了挑战。 尤其是，个人信息权属不明凸显了民法的滞后。 如果将金融机构和征信机构收集到的个人金融信息都归属于收集者，则会导致信息超出初始目的的过度使用。〔14〕如果将个人金融信息都归属于个人，在当前严格的个人信息保护法律环境下，则会出现金融机构不敢将个人金融信息进行共享、流通和交易的现象。 这将造成大数据资源闲置、浪费。大数据时代还对个人信息的保护方法提出了挑战。 传统的金融隐私权法律框架将金融隐私权视为一种消极性的防御权利，其保护手段主要靠事后基于侵权法的民事诉讼救济。 但在大数据时代，消极性的防御权利制度，使个人信息的财产价值无法发挥。 个人信息被泄露、被用于下游犯罪的话，个人因举证难、损失计算难、成本高等问题而不愿意提起诉讼，这将导致个人信息得不到有效保护。 此外，后续损害应不应由信息泄露者承担的问题，也存在着很大争议。 〔15〕由于信息的收集、流动会经过多个环节，其中必然涉及多个责任主体，每个环节都可能存在信息泄露、非法使用的风险，〔16〕不同主体之间的责任厘定绝非易事。 由于因果关系过于遥远，个人要想获得赔偿实属不易。 这无法全面地保护个人信息，发挥“大数据”的价值。

（二）对征信体系的挑战

  在数字经济时代，任何可收集可聚合的东西皆会被评分。 人类已经进入“数字信誉时代”。 而大数据分析预测的发展正在催生商业新模式———信誉经济的崛起。〔17〕 行为即信用。 个人的购买习惯、财务状况、守信情况、身体健康状况、工作勤勉情况、职场人脉关系和社交互动情况等都是信誉的自变量。基于这种“数字信誉”的重要价值，市场上涌现出了诸如“蚂蚁信用”“腾讯信用”等“数字信誉”评分机制。“这种信用评分名义上叫信用分，其实质上是消费积分。 ”〔18〕也就是利用大数据对个人进行“画像”。 有学者认为，其不符合严格的征信定义。〔19〕但是，这些“数字信誉”或“画像”的确可以被大科技公司用于信贷目的，甚至评分机构还可以向其他信贷机构出售这些评分，用以防范信用风险。 这些机构还曾注册为“征信公司”，并被认定为“互联网征信试点企业”，只是试点期满未能获得征信牌照，但有的还继续以“信用分”的形式运行。 这是否会被认为“非法从事征信业务”从而受到处罚，不无疑问。 它们如果被认定为“非法从事征信业务”，就可能会扼杀大数据红利价值的释放。

三、金融法在大数据时代的重新定义

  以前，人们是从资金融通的角度看金融，金融机构是融资中介，资金融通是传统银行业的核心功能，金融法被看成是融资之法。 这实际上是金融发展的初级阶段或银行主导型金融体系阶段的金融观和金融法观。“在简单的发展状态下，金融在社会经济中最基本的功能是在货币资金的盈余者与短缺者之间调剂余缺， 因此将金融的本质功能界定为对资金的融通。 后来，人们又从风险定价与管理的角度看金融，金融法是企业风险定价和管理之法。 因为传统银行在存贷款业务的过程中，同时履行了信息、监控和风险管理等功能。 但是，随着金融市场和非银行金融中介的发展，传统银行在资金融通中的优势逐渐丧失，银行通过表外业务和资产证券化创新，试图改变原来主要依靠存贷汇兑业务来盈利的经营模式， 开始转变成经营综合金融业务的“百货公司”，它们日益转变成为纯粹提供信息、监控和风险管理服务的“服务中介”。〔24〕“金融业务最本质的是全面风险管理。 ”〔25〕金融机构的本质是经营风险，为风险定价，风险是回报的源泉。 在这一观念下，金融法既要充分揭示融资方的各种风险，为风险定价，又要管理和防范好资金提供方的各种风险。 金融法强调投资者和金融消费者保护，其实就是为了防范他们的各种风险。 这是在金融综合经营阶段或市场主导型金融体系阶段的金融观和金融法观。现在，在大数据时代，我们需要从信息的角度看金融。 其实，自古以来，没有信息交换的市场是不存在的。 任何经济交易的第一步都是信息的交换。 若不如此，市场参与者之间就不会相互信任，交易就不会发生。〔26〕这无论是在原始的集贸市场，还是在复杂的现代证券市场，都是如此。 由于金融产品和服务的无形性，信息在金融市场中的作用比在一般有形产品市场上的作用更重要。信贷市场需要收集借款人的相关信息。 在此过程中，征信信息尤为重要。 信用报告是经济生活的“第二身份证”。〔27〕保险市场需要收集被保险人的相关信息。为了防止被保险人不如实告知，保险法发展出最大诚信原则来解决信息不对称问题。〔28〕证券法上的信息披露制度则是证券法的基石。 发行人为了融资成功，必须向投资者披露其自身的相关信息。 证券法为解决信息不对称问题，发展出了强制性信息披露制度。一部证券法的发展史，就是信息披露不断扩张的历史。〔29〕信息披露还被引入银行法和保险法等领域。 银行和保险公司等金融机构即便不上市也应公开披露其财务信息，以便客户能够“用脚投票”，对金融机构进行市场约束。为了督促证券发行人及时、准确、完整地披露信息，法律对证券发行人的中介机构课加了勤勉尽责义务。 如果这些中介机构未履行好勤勉尽责义务，极有可能会导致证券发行人披露的信息出现虚假陈述，监管机构就会对这些中介机构作出行政处罚，投资者也可以要求这些中介机构承担民事赔偿责任。 中介机构勤勉尽责与否，关键是看信息的调查收集、加工处理与对外披露的水平。金融产品的销售，关键是看信息的分析与挖掘。 承销商通过宏观经济信息、行业信息以及本企业信息的全面收集、整理与分析、挖掘，为企业进行估值定价。华尔街上有句名言：“没有卖不出去的股票，只要价格合适。 ”它揭示了定价对于股票发售的重要性。但定价需要信息分析与挖掘。 不但股票如此，其他金融产品的销售也应如此。金融机构客户适当性义务的履行也要靠信息。 金融机构对其客户，则既要“了解你的产品”，也要“了解你的客户”，并进行适当性匹配。 为了“了解你的产品”，金融机构必须收集发行人及其产品的相关信息以便对产品进行风险评级。 为了“了解你的客户”，金融机构必须收集投资人的相关信息以便进行风险承受能力测评。但是，以上金融法律制度所处的时代，数据是分散的，数据产生的速度较慢，数据记录和分析依靠手工，个人信息保护的问题不突出，数据的价值难以得到充分挖掘。 而目前已经处于大数据时代，一切都将被重新定义，包括金融业和金融法