大數據時代個人金融信息的保護與利用

邢會強

內容摘要：個人金融信息具有多樣性、敏感性、精準性、高價值等特征。大數據時代的個人金融信息保護需求對現行法律理論、相關制度與機制以及金融機構的個人信息保護管理能力都帶來了挑戰。在大數據時代，金融法需要被重新定義，即金融法實際上是包括企業信息和個人信息在內的數據管理、共享與利用之法。在大數據時代，個人金融信息保護法需要轉型升級。法律需要明確信息和數據的權屬，對個人金融信息實行特別保護，完善事中和事后保護機制，完善保密規則的例外情況。我國應發展數字信譽評分業務，推動數據開放共享。

關鍵詞：大數據? 個人信息保護法 個人金融信息? 金融隱私權? 金融消費者 GDPR

中圖分類號：DF438 文獻標識碼：A 文章編號：1674-4039-（2021）01-0047-60

近幾年來，我國金融監督管理部門高度重視個人金融信息保護工作。2016年發布的《中國人民銀行金融消費者權益保護實施辦法》（以下簡稱金消保辦法）對個人金融信息保護作了較為全面的規定。2019年年底，央行又擬對該辦法進行修訂并將其升格為部門規章。2018年，中國銀行保險監管管理委員會（以下簡稱銀保監會）發布《銀行業金融機構數據治理指引》。2019年10月，央行又起草了《個人金融信息（數據）保護試行辦法》（征求意見稿）。個人金融信息的保護受到社會各界高度關注。因此，個人金融信息及其保護的特殊性需要深入研究。

一、個人金融信息的定義與特征

（一）個人金融信息的定義

銀行對于個人金融信息的保護義務起源于英美法中銀行對于金融隱私權的保護。在英美法系國家，關于銀行對客戶金融隱私權的保護規則的著名判例是1924年英國的Tournier案， 〔1 〕該案首開銀行對金融隱私權負有保護義務之先河?！? 〕美國在1961年的Peterson案中確認了銀行對金融隱私權的保護是基于銀行與客戶之間契約的默示條款?！? 〕

而英美法中銀行對于金融隱私權的保護范圍也一向較為寬泛。在1924年的Tournier案中，法官指出銀行對客戶隱私權的保護范圍不限于客戶的賬戶本身，還包括銀行因其與客戶關系的存在而獲得的任何信息。在1961年的Peterson案中，法院將銀行對金融隱私權的保護范圍限于兩方面：一是有關賬戶的信息，包括賬戶上所有存款項金額、資金來源和去向等信息;二是客戶的交易情況，包括交易當事人以及交易價格等信息?！? 〕

基于法律概念的借鑒與移植，我國央行對于個人金融信息的定義也比較寬泛。2016年金消保辦法第27條規定：“本辦法所稱個人金融信息，是指金融機構通過開展業務或者其他渠道獲取、加工和保存的個人信息，包括個人身份信息、財產信息、賬戶信息、信用信息、金融交易信息及其他反映特定個人某些情況的信息?！逼鋵?，早在2013年，央行發布的《關于銀行業金融機構做好個人金融信息保護工作的通知》就對個人金融信息進行了分類：（1）個人身份信息;（2）個人財產信息;（3）個人賬戶信息;（3）個人信用信息;（5）個人金融交易信息;（6）衍生信息，包括個人消費習慣、投資意愿等對原始信息進行處理、分析所形成的反映特定個人某些情況的信息;（7）在與個人建立業務關系過程中獲取、保存的其他個人信息。

但上述“分類”的種類太多，不夠精練和周延。與其說是分類，不如說是列舉，兜底條款的存在更是說明了這一點。此種列舉雖然便于金融機構掌握個人金融信息的范圍，但意義有限。筆者在這一分類的基礎上，結合關于個人信息分為基本個人信息、伴生個人信息和預測個人信息的分類， 〔5 〕將個人金融信息重新分類如下，這一分類的權屬意義更為突出：

1.個人身份信息，主要包括個人標識型信息和個人屬性信息

個人標識型信息包括個人姓名、身份證件種類及號碼和有效期限、聯系方式（尤其是手機號碼）、住所或工作單位、地址及照片等。這些信息大多可以直接識別到特定個人，或與其他信息簡單結合即可識別到特定個人。個人屬性信息包括性別、國籍、民族、職業、婚姻狀況、家庭狀況等反映個人特征的信息。個人身份信息是個人主動提供的關于本人的特定信息，能夠單獨或相互參照從而很容易地識別到特定個人，因此屬于個人基本信息。

2.個人財務信息，包括個人的財產信息、賬戶信息、金融交易信息和信用信息等

個人財產信息包括個人收入狀況、擁有的不動產狀況、擁有的車輛狀況等反映個人財產狀況的信息。個人賬戶信息包括賬號、賬戶開立時間、開戶行等信息。個人信用信息包括信用卡還款情況、貸款償還情況，以及個人在經濟活動中形成的、能夠反映其信用狀況的其他信息。個人金融交易信息是指個人在接受金融機構的服務或購買金融機構提供的產品的過程中產生的交易信息等。這也是狹義上的個人金融信息，它是廣義上的個人金融信息的核心。

一部分個人財務信息是個人提交的，例如個人財產信息中擁有的不動產狀況、擁有的車輛狀況等信息;個人在辦理證券、保險業務過程中向證券公司、保險公司提交的個人賬戶信息等。在此意義上，它又屬于個人基本信息。但也有一些個人財產信息是金融機構在提供金融服務的過程中自然獲取、留存的，譬如商業銀行在代發工資、賬戶管理等業務過程中留存的個人收入信息。在此意義上，它又屬于“個人伴生信息”或“伴生個人信息”?！鞍樯鷤€人信息”是個人在生活、交易或工作中形成并被信息企業記錄下來的關于個人的信息，它是個人活動的副產品。金融機構留存的金融交易信息、信用信息，以及開戶行留存的個人賬戶信息等，均屬于伴生個人信息。

3.預測個人信息

對上述兩大類個人信息（尤其是個人財務信息）進行處理、分析所形成的反映特定個人某些情況的信息，包括個人消費習慣、風險偏好、風險承受能力、投資意愿等。

（二）個人金融信息的特征

個人金融信息除了具有所有信息的共同特征——非排他性、非競爭性、經驗品、 〔6 〕非物質性、不可分性、存在規模經濟問題等之外，還存在著不同于一般數據、一般個人信息的如下特征：

第一，多元性與復雜性。與其他個人信息一樣，個人金融信息也包括基本個人信息、伴生個人信息和預測個人信息三大類，從而體現出個人金融信息的多元化和復雜性。個人金融信息中的個人標識信息和個人屬性信息，以及某些個人財產信息等基本個人信息，都是由個人提交的，個人的主動性、權屬意識很強。在此情況下，金融機構很難主張其合法收集和留存的這些基本個人信息的權屬屬于金融機構。如果金融機構如此主張，也勢必遭到個人的強烈反對。當然，也有很多個人金融信息屬于伴生個人信息，如金融交易信息、信用信息等，它們是伴隨著金融交易而產生的，但被金融機構留存。也有一些個人金融信息屬于預測個人信息。在個人基本信息中，還可能包括個人生物信息，甚至還會包括未成年人的信息?！? 〕個人金融信息的多元化和復雜性決定了相應法律制度的復雜性。

第二，敏感性、精準性與高價值。在現代社會，人們的財務信息大部分掌握在金融機構手中。商業銀行、支付機構掌握了我們大部分的收入和支出，證券公司、期貨公司掌握了我們大部分的證券期貨資產，保險公司知道我們買了哪些保險。我們每個人在金融機構面前都是“財務透明人”。個人財務信息具有高度的敏感性，如果不當披露或泄露，輕則危害鄰里和睦、社會和諧，重則危害個人的財產安全甚至人身安全。為客戶保密是商業銀行的一項傳統?！般y行對客戶信息資料負有金融隱私權保護之義務是在長期的業務實踐中所形成的一種慣例?！?〔8 〕“儲蓄存款屬于個人的私有財產。人們因為種種原因，往往不愿自己的財產狀況被他人知道。儲蓄機構應當尊重存款人的這一權利。同時，堅持這項原則也是為了保障存款的安全，防止存款被冒領或存款人支取后被盜的情況發生，保證存款人的財產權利不受侵犯?！?〔9 〕因此，我國國家標準《信息安全技術 個人信息安全規范》規定，“個人敏感信息”是指“一旦泄露、非法提供或濫用可能危害人身和財產安全，極易導致個人名譽、身心健康受到損害或歧視性待遇等的個人信息”，并明確規定個人敏感信息包括銀行賬號、財產信息、征信信息、交易信息等?！吨腥A人民共和國個人信息保護法（草案）》（以下簡稱個保法草案）也作了類似規定。此外，個人財務信息不但包括正面信息，如存款信息，還包括負面信息，如債務拖欠、財產被扣押等。如果被不當利用，尤其是超出了初始目的，就有可能給信息主體帶來負面影響。例如，在國外，一些信用信息被征信機構出售給雇主，導致了很多欠債人找不到工作。如果這些人找不到工作就更不可能償付其債務，這將導致惡性循環?！?0 〕個人金融信息中的個人身份信息能夠直接或間接識別到個人，具有精準性。個人的財務信息也具有很高的準確性，不像個人畫像等個人預測信息那樣具有蓋然性。正因為個人金融信息與金錢的高度相關性且能精準關聯到個人，因此它也具有較高的價值，為各方所覬覦。

第三，私人性與公共性。任何個人信息都具有私人性，也具有一定的公共性?！熬蛡€人信息而言，當信息用來標識、記錄、描述某個人時，并不因此而使該信息歸屬于該人，這些信息仍然可以用來標識、記錄、描述其他人。數據或信息的公共性、可共享性，決定了個人數據本身的公共性?！?〔11 〕我們固然需要保護個人的隱私，但也應該保護社會公眾的識別權和知情權，這構成了對個人隱私權的限制。個人信息若不當呈現，在其他場景中所帶來的損害，總體上來講，遠不及在金融場景尤其是貸款場景中給貸款人造成的損害。如果一個人在不同的金融機構都有借款，而金融機構之間信息相互隔絕、不流通的話，金融機構就不能全面掌握借款人的所有欠債信息，就無法對其貸款安全進行全面準確的風險評估，金融業務就無法開展。在某種程度上，金融機構之間都是潛在的競爭對手，它們之間鮮有相互交換信息，必須有征信機構充當“數據交換的樞紐”。也需要建立征信體系，全面反映借款人在不同金融機構的借款信息。由于個人金融信息，尤其是一些負面信息，關涉其交易對手即金融機構的利益，而個人有強烈的動機隱藏這些負面信息。因此，法律不宜將個人金融信息（尤其是信用信息）的自決權或控制權完全賦予個人。也正因此，在一些國家，征信具有強制性，即基于公共利益，通過立法強制，由政府力量——公共征信機構進行征信?！?2 〕此外，個人金融信息的公共性還包括：金融機構為完成法定義務，必須采集個人的相關信息，甚至可以不經個人同意而強制采集。這樣的法定義務比一般領域多，例如實名制要求、反洗錢義務、反客戶欺詐義務、投資者適當性義務等。

二、大數據時代個人金融信息保護需求的挑戰

（一）對現行法律理論和制度的挑戰

大數據時代給我國的金融法理論和制度帶來了挑戰。金融業歷來是一個重視客戶信息保密的行業。我國1995年商業銀行法也規定了對存款人保密的原則。但金融法不能一味地強調保密，還要強調個人信息收集、保存和處理的規范化，尊重個人的選擇權，更要強調數據的共享和開放。

大數據對既有的法律體系提出了挑戰，即個人信息保護法、消費者權益保護法與金融消費者保護法之間的關系為何？金融消費者的定義究竟為何？這都需要做出理論和制度上的回答。關于金融消費者的定義，央行將購買、使用金融機構提供的金融產品和服務的自然人視為金融消費者?！?3 〕但問題是：（1）不少自然人實際上是個體工商戶，是以自然人名義出現的商主體，其購買、使用金融產品和服務的目的并不是“消費”而是“經營”。（2）即便“投資”可以擴張解釋為“消費”目的，但有的自然人資金實力雄厚，并不弱于機構投資者。（3）購買、使用非金融機構提供的金融產品和服務的自然人被排除在金融消費者之外。這就使得金融管理部門構筑的金融消費者保護法律體系存在內在缺陷。至于個人信息保護法、消費者權益保護法與金融消費者保護法之間的關系，它們更是避而不答。

大數據對更為基礎的民法制度帶來了挑戰。尤其是，個人信息權屬不明凸顯了民法的滯后。如果將金融機構和征信機構收集到的個人金融信息都歸屬于收集者，則會導致信息超出初始目的的過度使用?！?4 〕如果將個人金融信息都歸屬于個人，在當前嚴格的個人信息保護法律環境下，則會出現金融機構不敢將個人金融信息進行共享、流通和交易的現象。這將造成大數據資源閑置、浪費。

大數據時代還對個人信息的保護方法提出了挑戰。傳統的金融隱私權法律框架將金融隱私權視為一種消極性的防御權利，其保護手段主要靠事后基于侵權法的民事訴訟救濟。但在大數據時代，消極性的防御權利制度，使個人信息的財產價值無法發揮。個人信息被泄露、被用于下游犯罪的話，個人因舉證難、損失計算難、成本高等問題而不愿意提起訴訟，這將導致個人信息得不到有效保護。此外，后續損害應不應由信息泄露者承擔的問題，也存在著很大爭議?！?5 〕由于信息的收集、流動會經過多個環節，其中必然涉及多個責任主體，每個環節都可能存在信息泄露、非法使用的風險， 〔16 〕不同主體之間的責任厘定絕非易事。由于因果關系過于遙遠，個人要想獲得賠償實屬不易。這無法全面地保護個人信息，發揮“大數據”的價值。

（二）對征信體系的挑戰

在數字經濟時代，任何可收集可聚合的東西皆會被評分。人類已經進入“數字信譽時代”。而大數據分析預測的發展正在催生商業新模式——信譽經濟的崛起?！?7 〕 行為即信用。個人的購買習慣、財務狀況、守信情況、身體健康狀況、工作勤勉情況、職場人脈關系和社交互動情況等都是信譽的自變量。

基于這種“數字信譽”的重要價值，市場上涌現出了諸如“螞蟻信用”“騰訊信用”等“數字信譽”評分機制?！斑@種信用評分名義上叫信用分，其實質上是消費積分?！?〔18 〕也就是利用大數據對個人進行“畫像”。有學者認為，其不符合嚴格的征信定義?！?9 〕但是，這些“數字信譽”或“畫像”的確可以被大科技公司用于信貸目的，甚至評分機構還可以向其他信貸機構出售這些評分，用以防范信用風險。這些機構還曾注冊為“征信公司”，并被認定為“互聯網征信試點企業”，只是試點期滿未能獲得征信牌照，但有的還繼續以“信用分”的形式運行。這是否會被認為“非法從事征信業務”從而受到處罰，不無疑問。它們如果被認定為“非法從事征信業務”，就可能會扼殺大數據紅利價值的釋放。

（三）對現存金融監管體制和執法機制的挑戰

我國規范個人金融信息的金融法律法規，都是規范持牌金融機構的。非持牌金融機構目前游離于金融監管的范圍之外。目前，大科技公司正在全球金融業中崛起。大科技公司是指擁有廣泛的客戶網絡的大型技術公司。它們自己或通過子公司提供廣泛的金融服務。它們提供的金融服務涵蓋支付、信貸、保險、財富管理等領域?！?0 〕中國大科技公司提供金融服務的子公司，有的是金融機構（如網商銀行、微眾銀行、眾安保險、支付寶、財富通等），有的則沒有金融牌照而號稱自己是科技公司。這些非持牌而實際上從事金融服務的機構，目前無法直接適用專門的個人金融信息保護規則。

我國當前的分業經營金融體制對個人信息保護法也提出了挑戰。在歐洲的全能銀行制度下，一個法人主體可以從事不同種類的金融業務，個人信息可以在法人內部無障礙流動，被運用于不同的金融業務。但在分業經營情況下，銀行收集的個人信息，要想被同一個集團內部的保險公司、證券公司運用，可能需要經個人授權同意。我國《金融控股公司監督管理試行辦法》第23條第1款即采用該制度，這使得我國的金融機構與全能銀行相比沒有競爭優勢。

（四）對金融機構個人信息保護管理能力的挑戰

我國金融機構個人信息的保護意識不強，制度不完善，這主要表現為：我國金融機構缺乏統一的客戶信息保護政策;缺乏明確的客戶信息牽頭管理部門;缺乏獨立的客戶信息使用審批制度?！?1 〕商業銀行現有的個人金融信息保護的理念傳導、措施落實上還不夠到位。與第三方合作僅僅通過簽訂保密條款來劃分責任，對信息泄露缺乏監督檢查和制約措施?！?2 〕個別銀行在客戶信息保護方面存在明顯的操作風險，某些商業銀行的個保業務人員甚至非法出售和對外提供客戶信息。

三、金融法在大數據時代的重新定義

以前，人們是從資金融通的角度看金融，金融機構是融資中介，資金融通是傳統銀行業的核心功能，金融法被看成是融資之法。這實際上是金融發展的初級階段或銀行主導型金融體系階段的金融觀和金融法觀?！霸诤唵蔚陌l展狀態下，金融在社會經濟中最基本的功能是在貨幣資金的盈余者與短缺者之間調劑余缺， 因此將金融的本質功能界定為對資金的融通?！?〔23 〕

后來，人們又從風險定價與管理的角度看金融，金融法是企業風險定價和管理之法。因為傳統銀行在存貸款業務的過程中，同時履行了信息、監控和風險管理等功能。但是，隨著金融市場和非銀行金融中介的發展，傳統銀行在資金融通中的優勢逐漸喪失，銀行通過表外業務和資產證券化創新，試圖改變原來主要依靠存貸匯兌業務來盈利的經營模式，開始轉變成經營綜合金融業務的“百貨公司”，它們日益轉變成為純粹提供信息、監控和風險管理服務的“服務中介”?！?4 〕“金融業務最本質的是全面風險管理?！?〔25 〕金融機構的本質是經營風險，為風險定價，風險是回報的源泉。在這一觀念下，金融法既要充分揭示融資方的各種風險，為風險定價，又要管理和防范好資金提供方的各種風險。金融法強調投資者和金融消費者保護，其實就是為了防范他們的各種風險。這是在金融綜合經營階段或市場主導型金融體系階段的金融觀和金融法觀。

現在，在大數據時代，我們需要從信息的角度看金融。其實，自古以來，沒有信息交換的市場是不存在的。任何經濟交易的第一步都是信息的交換。若不如此，市場參與者之間就不會相互信任，交易就不會發生?！?6 〕這無論是在原始的集貿市場，還是在復雜的現代證券市場，都是如此。由于金融產品和服務的無形性，信息在金融市場中的作用比在一般有形產品市場上的作用更重要。

信貸市場需要收集借款人的相關信息。在此過程中，征信信息尤為重要。信用報告是經濟生活的“第二身份證”?！?7 〕保險市場需要收集被保險人的相關信息。為了防止被保險人不如實告知，保險法發展出最大誠信原則來解決信息不對稱問題?！?8 〕證券法上的信息披露制度則是證券法的基石。發行人為了融資成功，必須向投資者披露其自身的相關信息。證券法為解決信息不對稱問題，發展出了強制性信息披露制度。一部證券法的發展史，就是信息披露不斷擴張的歷史?！?9 〕信息披露還被引入銀行法和保險法等領域。銀行和保險公司等金融機構即便不上市也應公開披露其財務信息，以便客戶能夠“用腳投票”，對金融機構進行市場約束。

為了督促證券發行人及時、準確、完整地披露信息，法律對證券發行人的中介機構課加了勤勉盡責義務。如果這些中介機構未履行好勤勉盡責義務，極有可能會導致證券發行人披露的信息出現虛假陳述，監管機構就會對這些中介機構作出行政處罰，投資者也可以要求這些中介機構承擔民事賠償責任。中介機構勤勉盡責與否，關鍵是看信息的調查收集、加工處理與對外披露的水平。

金融產品的銷售，關鍵是看信息的分析與挖掘。承銷商通過宏觀經濟信息、行業信息以及本企業信息的全面收集、整理與分析、挖掘，為企業進行估值定價。華爾街上有句名言：“沒有賣不出去的股票，只要價格合適?！彼沂玖硕▋r對于股票發售的重要性。但定價需要信息分析與挖掘。不但股票如此，其他金融產品的銷售也應如此。

金融機構客戶適當性義務的履行也要靠信息。金融機構對其客戶，則既要“了解你的產品”，也要“了解你的客戶”，并進行適當性匹配。為了“了解你的產品”，金融機構必須收集發行人及其產品的相關信息以便對產品進行風險評級。為了“了解你的客戶”，金融機構必須收集投資人的相關信息以便進行風險承受能力測評。

但是，以上金融法律制度所處的時代，數據是分散的，數據產生的速度較慢，數據記錄和分析依靠手工，個人信息保護的問題不突出，數據的價值難以得到充分挖掘。而目前已經處于大數據時代，一切都將被重新定義，包括金融業和金融法。

“金融業是高度信息化的行業。從技術角度看，當前各類金融產品和服務都可以視為信息集合的產物。金融機構能夠不斷推出創新產品和服務，很重要的一點取決于對各類金融信息挖掘、分析和運用的能力，互聯網技術由于金融業務的不斷融合，使得個人金融隱私信息的收集更加便利?！?〔30 〕周小川也說：“金融業本質上就是信息產業?！?〔31 〕客戶與金融機構的每一次互動，都會產生數據。金融機構對這些數據進行收集和處理后，在下一次與客戶互動時，能夠優化響應。利用大數據，金融機構進行傳統業務的創新發展，數字在重塑金融業務。我們需要“重新定義金融服務如何融合融入使用這些服務的消費者、企業和組織的生活”?！?2 〕數據、技術與金融業務深度融合，日益使金融機構走向“智慧導向型”金融機構。未來的金融機構都將是基于數據的提供24小時金融服務的金融科技公司，金融機構本質上就是大科技公司。如果金融機構不改變自己，大科技公司就會改變金融機構?！半m然大銀行認為自己是政府許可的，覺得自己還有用處，但到了2025年，有能力連接銀行與客戶的將不會是執照，而是數據”， 〔33 〕“我們必須在客戶需要這些服務的時間與地點，將服務嵌入他們的生活中?！y行服務將變得無所不在，但都不是發生在銀行里”?！?4 〕大科技公司正在重塑金融行業。

不但金融服務是基于數據的，金融監管也是基于數據的，后者被稱為“監管科技”。依靠監管科技，監管機構可以采取基于風險和數據的監管，直接獲取被監管者的數據，更充分地利用和分析數據，更有效地監管各類金融市場主體?！?5 〕美國證監會在2008年金融危機后就開始在證券監管中探索運用人工智能手段， 〔36 〕并于2010年在執法部門內部設立了“市場情報辦公室”，以更好地運用數據進行監管?！?7 〕澳大利亞證券投資委員會建立的MAI系統，提供市場異常監測和實時報警。英國金融行為監管局利用機器學習工具對每天接收到的兩千多萬筆市場交易信息進行大數據處理，以發現市場濫用行為?！?8 〕在我國的證券執法前端，證監會通過電子預警、統計分析、數據挖掘等數據分析系統，實現交易行為與交易數據的實時監控和市場主體精準畫像，使證券欺詐等違法違規行為無處遁形?！?9 〕中國證監會于2018年印發的《監管科技總體建設方案》擬通過大數據、云計算、人工智能等科技手段對市場運行狀態進行實時監測，及早發現和及時處置違法違規行為。

在這一背景下的金融法，則是（包括企業信息和個人信息在內的）數據管理、共享與利用之法。

信息之于金融市場非常重要，但信息不可濫用。在存貸款以及其他金融交易中，銀行獲取了客戶的有關信息，而客戶的這些信息其實就是其個人的一個縮影。這些信息的安全性備受客戶關注。銀行對客戶信息負有金融隱私權保護義務是長期以來形成的慣例?！?0 〕現在，銀行對金融隱私權的保護義務已成為各國金融法的一項基本要求，是世界各國銀行業務法的重要組成部分。

但是，由于金融法誕生于工業經濟社會，它對個人信息的保護只是嚴苛而已，談不上系統和科學?！敖鹑陔[私保護固然重要。但適度的共享、披露是金融市場克服信息不對稱的重要手段。在金融市場上，金融隱私披露或者說消費者對自身金融隱私的讓渡是金融契約得以建立的前提。過于嚴苛的隱私保護會加劇信息不對稱，不利于金融市場的健康發展。同時強調對金融隱私的絕對保護也不利于打擊腐敗、洗錢等違法犯罪行為?！?〔41 〕信息社會的到來，計算機大規模使用的普遍化，大數據和人工智能在金融業中的廣泛使用，凸顯了數據開放和共享的重要性?！拔磥淼摹y行將由數據驅動?！覀冊撟龅牟皇峭Ｖ狗窒?，而是建立稽查系統和權限，讓分享數據變得更有效、安全?！?〔42 〕

數據開放、共享甚至交易是大數據時代的必然要求。金融市場的運作依賴于信息，要求信息透明。而從另外一個角度看，金融隱私保護法和個人信息保護法實際上是在對抗、克制信息的透明?；蛘哒f是限制信息透明的邊界，劃定信息的收集、處理、保存、流動、共享的邊界，以實現個人利益、金融企業利益與社會公共利益的均衡。整部金融法，既是促進信息透明，克服信息不對稱之法，也是克制信息透明，為信息處理劃定邊界之法。金融法就是在這兩方面的約束與互動中處理信息問題的。這就是信息視角下的金融法。

四、大數據時代的個人金融信息保護法的轉型升級

傳統的金融隱私權保護法已然落后于時代，需要轉型升級到大數據時代的個人金融信息保護法。在大數據時代，個人金融信息保護法需要體現以下幾個方面的轉變：

（一）從隱私（權）單純嚴格保密到個人信息（權）全周期全方位保護

一方面，隱私權應進化為個人信息權。個人信息權這一概念遠遠超出了隱私權的范疇。個人信息權在客體范圍、權利性質、權利內容等方面遠遠超過了隱私權?！?3 〕我國正在區分個人信息權和隱私權的基礎上，制定專門的個人信息保護法。

另一方面，對信息主體的保護，不能單純是嚴格保密，而應該是數據全生命周期管理和全方位保護。數據全生命周期管理要求信息企業應根據數據流轉的全生命周期，在各環節采取有差異性的安全控制措施。例如，2012年澳大利亞對隱私法中的隱私原則進行了修訂，規定了個人信息從采集、存儲、安全、使用、發布到銷毀的全生命周期管理。全方位保護意味著賦予信息主體更豐富的權能。例如，歐盟一般數據保護條例（以下簡稱GDPR）確定數據訪問權，修改、刪除與限制處理信息權，拒絕權與免受自動化決策限制權，數據可攜帶權，被遺忘權等。我國個保法草案規定的個人信息權能也較為豐富。對個人金融信息保護，正在由“銀行義務本位”轉向“客戶權利本位”?！?4 〕

（二）從強調保密一端到保護與利用并重

傳統金融法只強調對個人金融隱私的保密，但大數據時代的金融法需要保護與利用并重。從美國金融隱私權保護法的發展歷程看，就經歷了一個從單純保密到保護與利用并重的過程。除了美國判例法對銀行客戶信息的保密之外，在制定法層面上，1978年的金融隱私法對銀行雇員披露金融記錄、聯邦立法機構獲取個人金融記錄的方式作出了限制?！?5 〕但1999年金融服務現代化法卻有了較大改進，該法規定了金融機構在處理消費者及客戶的非公開個人信息時，應遵守數據安全保護規則和隱私保護規則，允許金融機構將消費者信息與關聯機構分享，但金融機構需要履行通知義務并為消費者提供選出權?！?6? 〕

我國也是如此。20世紀90年代我國制定的商業銀行法、證券法、保險法都規定了金融機構對客戶信息的保密制度，只強調保護一端。2016年的《金消保辦法》第三章專門規定了個人金融信息的保護，雖然仍是保護重于利用，但畢竟規定了個人金融信息使用管理和跨境流動制度等。未來我國的個人金融信息保護法應更加注重數據的利用。

（三）保護重點從事前到事中與事后

傳統的個人信息保護法注重從收集環節著手來保護信息主體?！?7 〕但這是遠遠不夠的。大數據時代的個人信息保護法，包括個人金融信息保護法，應將對個人信息進行保護的重點從事前轉移到事中、事后。在事中，個人要有權隨時行使個人信息權利，以對抗信息企業的不當處理。在事中，信息企業要進行隱私風險評估，在相應場景中具體地評估數據處理行為的風險，根據風險等級采取相應程度的管理措施?！?8 〕在個人信息數據庫出現泄露或被盜時，進行通知和報告。在事后，應該使受害的個人愿意拿起法律的武器，起訴侵害個人信息權的當事人，并且要使真正的受害人能夠勝訴。

（四）從數據封閉到數據開放

由于保密制度的嚴格要求，以前金融機構的數據都是封閉的，至多在本金融集團內部共享。征信制度的建立，使得征信信息匯聚于征信機構這一樞紐，但不同的金融機構之間不能直連，金融機構更不會與第三方的非金融機構共享信息。

但是，2018年以來，一場名為“開放銀行”的金融變革引爆全球。開放銀行其實就是開放數據?！?9 〕開放銀行賦予了用戶發起數據共享的權利，其源于“數據可攜帶權”。2018年的歐盟《第二代支付服務法令》要求銀行向第三方機構開放支付接口。賦予用戶對其賬戶信息的控制權，銀行應在用戶要求時，向第三方開放用戶數據的訪問權限，即使該第三方與銀行并不存在任何合同關系。

從銀行服務提供方式的角度看，銀行發展至今經歷了四個階段：銀行1.0，網點服務階段;銀行2.0，自助銀行階段;銀行3.0，基于互聯網的銀行服務階段;銀行4.0，銀行即服務階段?！?0 〕即在銀行4.0階段，銀行成為服務平臺，通過技術，隨客戶所需，即時提供內嵌的、無所不在的銀行服務。人們可以通過自己的授權讓第三方自由使用自己的金融數據，創造了讓自己享受更全面更優質金融服務的可能性。在銀行4.0階段，銀行服務是完整的，背后由哪家銀行提供不再是重點，而是由銀行或第三方來提供無所不在的銀行服務，即跨越時間和媒介的銀行服務?！?1 〕法律打破了銀行對數據的壟斷，雖然對于銀行短期不利，但也是銀行正視競爭的開始，或許是未來銀行的起點?！?2 〕在我國，有的銀行已經覺察到開放銀行帶來的新契機，開始嘗試數據開放，但掣肘于技術、組織和法律的滯后。

（五）從財產利益獨享到財產利益共享

無論是主張個人信息的財產利益歸個人所享有，還是主張歸收集者即信息企業所享有，都是一種獨享機制。主張個人信息的財產利益歸個人所享有的觀點，正確地看到了個人對其信息所享有的原初的財產利益，有利于發揮個人開放、共享其個人信息的積極性，但卻忽略了信息企業的利益，忽略了信息企業對個人信息收集和加工所付出的勞動。主張個人信息的財產利益歸收集者即信息企業所享有的觀點，正確地看到了信息企業所付出的勞動，有利于發揮信息企業收集、處理個人信息的積極性，但卻忽略了廣大信息貢獻者——個人——的利益，忽略了個人對其信息的產生所付出的勞動。未來的出路應該是共享機制，既應承認和保護個人對其個人信息所享有的財產權益，也應承認和保護信息企業因其收集、保存和加工、處理所付出的勞動而對個人信息所享有的財產權益。

當然，金融信息除了個人金融信息之外，還有企業金融信息?！?3 〕企業金融信息可以分為公開的企業金融信息和未公開的企業金融信息，前者如上市公司對外披露的信息，后者如還處于保密狀態的企業信息。對于非公開的企業金融信息，符合商業秘密條件的，可以作為商業秘密予以保護。對于公開的企業金融信息，可以視為披露方已經放棄了商業秘密，不再作為商業秘密予以保護。

個人金融信息保護法是個人信息保護法的特別法，它具有一般個人信息保護法的一般特征，但也具有金融行業的特殊性，這一特殊性是根據個人金融信息的特殊性而產生的。

五、大數據時代個人金融信息法律保護的回應

（一）明確信息和數據的權屬

黨的十四屆四中全會決議指出，要“健全勞動、資本、土地、知識、技術、管理、數據等生產要素由市場評價貢獻、按貢獻決定報酬的機制”。而要由市場評價數據的貢獻，讓數據參與報酬的分配，則需要明確數據的權屬。

金融個人信息的形成是多主體交易活動動態積累的結果?；A信息源于客戶的最初金融交易和日常消費活動，金融機構有可能對這些信息運行收集、保存、分類、整理、聚合、挖掘，使之變成更高價值的數據產品。因此，個人與金融機構的利益都應該得到承認?！皩⒔鹑陔[私信息的產權僅僅界定給消費者或金融機構一方，并不是最優的選擇，而由其兩者共同享有能夠帶來社會福利最大化的結果?！?〔54 〕

筆者認為，應該根據個人信息的不同種類分別配置不同的產權?！?5 〕具體到個人金融信息而言，其中的個人身份信息和個人財產信息由于是客戶個人自己整理、提交的，因此其財產權益完全歸屬于個人。大部分個人財務信息（客戶個人自己整理、提交的財產信息除外）和預測個人金融信息的財產權益為個人與金融機構所共享。在前述個人財務信息中，個人的份額大于金融機構的份額。在預測個人金融信息中，金融機構的份額大于個人的份額。至于具體比例為何，則交由市場決定，即金融機構在合同中提出一個分配比例，個人有權通過選出或選入權的行使表示接受或不接受。

（二）明確相關法律之間的關系

個人信息保護法、消費者權益保護法、金融消費者保護法與個人金融信息保護法之間的關系應該是：金融消費者保護法是消費者權益保護法的特別法，兩者對（金融）消費者的傾斜保護遵從同一邏輯。個人金融信息保護法是個人信息保護法的特別法，兩者對個人（金融）信息的保護遵從同一邏輯。個人信息保護法與消費者權益保護法盡管有交叉，但基本邏輯并不相同。個人信息權與消費者權利有重合、交叉，但個人信息權并不是消費者的新型權利，個人信息權的保護并不以存在消費關系為前提。政府部門、公益事業單位等所有單位所收集的個人信息同樣需要遵守個人信息保護法。個人金融信息是個人信息的種類之一。金融機構對個人信息的保護也并不以存在消費關系為前提。因此，個人金融信息保護法并不從屬于金融消費者保護法，在金融消費者保護法中規定個人金融信息的保護僅僅是權宜之計。長遠地看，個人金融消費保護法律制度應單獨制定。個體工商戶作為中國特有的概念之一，在性質上屬于商個人，為了對商主體進行一體保護，既然企業（金融）信息不適用個人（金融）信息保護法，那么個體工商戶的（金融）信息也不應適用個人（金融）信息保護法。此外，不以個人（金融）信息保護法保護個體工商戶的（金融）信息，不提供如此高強度的保護，也有利于保護其競爭者和交易對手（尤其是消費者）的利益，因為個體工商戶的信息比個人信息的公共性強。

（三）發展數字信譽評分業務

央行有關官員不承認數字信譽評分為征信業務，并認為“大數據不可直接用于征信”?！?6 〕但他們也承認：“大數據可用于風控。數據公司通過數據挖掘、數據加工、應用程序開發、數據產品開發，為信貸機構或其他機構提供風險管理等服務，對企業的管理水平有重大影響，對征信具有一定的輔助作用?！? 〔57 〕

既然如此，就不宜將大數據評分和“畫像”認定為“征信業務”，建議在正式的法律法規或規范性文件中明確大數據評分和“畫像”與“征信業務”的界限，即只要大數據評分和“畫像”不涉及信貸類數據的采集，就不構成征信業務。同時，鼓勵數字信譽評分業務的發展，通過制定專門的規范，引導其沿著正確的軌道發展。

（四）克服金融體制的不利影響

無論是個人信息保護法，還是金融管理部門制定的專門的個人金融信息規范，均應對金融機構和非金融機構提出一體要求。在美國，金融現代化法對個人金融信息的界定主要依賴“金融活動”這一概念。任何顯著從事金融活動的機構，無論是否持牌，均是金融機構。這些機構在從事金融活動過程中提供的任何產品或服務，都是金融產品或服務。個人金融信息主要是指，這些金融機構要求消費者提供的或與消費者互動過程中產生的非公開個人信息?！?8 〕目前，在我國的機構監管理念之下，很難松動“金融機構”的定義，但可以通過對“金融業務”的擴大解釋，擴大個人金融信息專門規范的管轄范圍。非金融機構也可能會從事金融業務，而只要其從事了金融業務，其收集的個人信息就屬于“個人金融信息”，就必須適用個人金融信息保護的專門規范，金融監督管理部門就可以以功能監管和穿透式監管原則，對非金融機構違法收集和處理個人金融信息的行為進行執法和處罰。

為了避免與全能銀行競爭的劣勢地位，美國1999年金融服務現代化法規定了客戶信息在金融控股公司內部的關聯企業之間的共享，客戶不享有選擇退出的權利。韓國也步其后塵，允許金融控股公司內部可不經客戶同意而進行數據共享。我國也可采取美國式的做法允許集團內部自由共享客戶信息，但既然金融集團之間享有全能銀行制下的權利，也應盡全能銀行制下的義務，即金融控股公司及其子公司應為個人金融信息的侵權承擔連帶賠償責任。

（五）對個人金融信息中的財務信息實施特別保護

各國對于敏感信息的范圍界定并不完全一致，“重疊共識”的前十大敏感信息依次是：健康信息、宗教信仰、政治觀點和黨派、性生活或性取向、民族或種族、工會身份、哲學或道德信仰、犯罪記錄或行政訴訟、基因信息、生物特征。但有一些國家和地區將金融財務信息認定為敏感信息， 〔59 〕例如英國、美國和日本?！?0 〕

有學者通過對200個數據泄露案例進行的統計分析表明，財務信息被泄露、盜取的最多，被侵犯的概率最高?！?1 〕換言之，犯罪分子最感興趣的其實是個人財務信息，而不是健康信息、宗教政治信息等。法律應該將個人財務信息視為敏感信息，對它的保護力度不能低于對健康信息、基因信息等的保護力度。

我國國家標準《信息安全技術 個人信息安全規范》的做法是正確的。該標準不但規定個人金融信息屬于個人敏感信息，而且還規定收集個人敏感信息時應遵循的嚴格要求。該推薦性標準中的有益規定已經被個保法草案所采納，即將上升為具有強制性的法律制度。

為了切實保護個人敏感信息的安全，還有必要規定，非法收集的信息不得使用。明知是非法收集的信息而使用的，構成非法使用個人信息的違法行為。數據處理者應對外采的第三方數據的合法性盡普通注意義務，要對第三方采集數據的合法性進行必要的審查?！岸緲洹敝豢墒?。

此外，金融機構對其收集的含個人財務信息的數據對外流動時，除了遵守知情同意原則之外，還應對數據接收方處理該等數據的合法性盡注意義務和承擔連帶責任。金融機構不能確保接收方處理該等數據的合法性的，或不愿意承擔連帶責任的，就不要向其傳輸該等數據。

除了金融機構掌握個人的財務信息之外，稅務部門、財產登記部門、單位的財務部門也掌握了個人的財務信息。個人信息保護法應將所有的財務信息進行同等強度的保護，而不論其掌握在誰的手中。

（六）完善事中和事后保護機制

第一，承認個人信息權，規定個人信息權的諸項權能。應承認個人信息是一項權利。GDPR規定了個人信息的諸項權利（權能），我國為何不承認個人信息是一項權利呢？不承認個人信息是一種權利而僅僅是一種利益的觀點，其實是在侵權法（尤其是在德國侵權法）的語境中進行探討的。跳出侵權法，站在整體民事權利的視角看，既然民法總則規定了自然人的個人信息受法律保護，并規定了相關義務人的義務，而且承認“權利是法律保護的利益”，則個人信息權是可以成立的。

第二，引入個人信息風險評估制度。隱私風險評估是一種貫穿數據處理生命周期全程的動態控制，以便將隱私風險控制在可接受范圍內?！?2 〕GDPR也規定了數據保護影響評估制度。我國應規定金融機構對個人金融信息進行大規模處理的，應進行隱私風險評估，并采取相應的保護措施。

第三，引入經設計的隱私理念。域外不少個人信息保護法都規定了經設計的隱私理念，如GDPR第25條以及韓國的個人信息保護法。經設計的隱私理念強調事先積極預防，主張從一開始就將個人信息保護的需求通過設計嵌入系統之中，成為系統核心功能的一部分，成為商業實踐的默認規則，給予個人信息全生命周期的保護?！?3 〕

第四，完善法定賠償制度。法律應該規定，如果信息企業收集的個人信息出現泄露、被盜、非法出售、非法使用、非法提供等情形，從而給個人信息主體造成損失的，收集者應對受害人受到的實際損失承擔連帶賠償責任。如果受害人的實際損失難以證明，則應對每個受害人至少賠償一定數額（如2000元人民幣）的法定賠償金。受害人受到的實際損失小于該法定賠償金的，受害人可直接主張法定賠償金。

第五，引入舉證責任倒置規則。由于技術的不對等，個人信息權受到侵犯，個人也難以舉證證明，大多數受害者只能聽之任之。因此，在法律制度層面就需要對此加以平衡。要降低信息主體的舉證責任，要求信息處理者證明自己沒有不法行為。德國聯邦數據保護法第7條第2款規定了舉證責任的倒置，由被告來證明其行為并不具有故意或者過失?！?4 〕GDPR第82條也規定了舉證責任倒置規則：因違反本條例而受到物質上的或非物質上的損害的任何人，都享有從控制者或處理者處獲得賠償的權利;涉及數據處理的任何控制者對因進行違反本條例的數據處理而導致的損害負有賠償責任，而處理者僅在沒有遵守本條例具體指示給處理者的義務時，或者其行為已經完全脫離或違背控制者的合法指令時才對因數據處理產生的損害負有賠償責任;數據控制者或處理者若能證明無論如何其都不應對引發損害的事件負時，則可免除其賠償責任。我國也應該采取舉證責任倒置規則。

（七）完善保密規則的例外情況

我國商業銀行法規定了銀行對客戶的保密義務。當然，銀行的保密義務并不是絕對的。在英國銀行法中，在特定情況下，銀行的保密義務可以暫時解除?！?5 〕在我國，法律另有規定的，有關機關可以查詢個人儲蓄賬戶。比如，民事訴訟法第242條、刑事訴訟法第144條、海關法第6條、稅收征收管理法第54條都有例外規定。美國金融服務現代化法第502條規定，依據公平信用報告法向信用報告機構披露信息的，銀行不必向消費者提供選出權。新加坡2012年個人數據保護法規定，個人數據是由征信機構從其成員處收集用于制作信用報告的，或為了機構向他人行使債權清償債務而收集數據的，可以不經個人同意而收集、使用、披露其信息?！?6 〕英國2017年數據保護法（草案）則規定，在保險合同中，如果數據控制者無法合理期待獲得數據主體的同意時，可以未經數據主體同意而合理處理個人信息?！?7 〕

從我國的立法實踐來看，民法總則、網絡安全法等相關法律均未規定不經本人同意即可收集個人信息的情形?！缎畔踩夹g 個人信息安全規范》彌補了上述法律的不足，它規定在若干情形中，個人信息控制者收集、使用個人信息無需征得個人信息主體的授權同意。我國應在法律中規定，個人金融信息中的違約信息和借貸敞口信息，可以不經個人同意，而由經金融監管部門依法批準的征信機構或與個人發生交易的金融機構強制收集、使用和披露，或由金融、稅務、工商、海關、法院等部門直接將行政處罰信息、裁判及執行信息與金融機構、征信系統共享?！?8 〕

（八）推動數據開放共享

在對個人金融信息能夠做到切實、有效、嚴格保護的基礎上，方可放開包括個人金融信息在內的數據的開放、共享甚至交易。數據天生有流動的需求，數據在流動中增值。數據不僅僅需要在金融集團內部共享、流動，也需要對外開放、共享、交易、流動。開放銀行建設就肩負著這一使命。

個人金融信息中的財務信息以及身份信息，要么高度敏感，要么是個人直接提交的，因此，對個人財務信息的采集與開放、共享、交易，應該采取最嚴格的授權規則，即紙面方式選擇進入規則。當然，由于個人身份信息是個人主動提交的，提交行為本身可以視為一種采集授權。對個人身份信息的開放、共享、交易，也應采取紙面選擇進入規則，但對于個人金融信息中的預測信息的開放、共享、交易，則可以采取電子方式選擇退出規則。

既然個人身份信息的財產權益為個人所獨享，則其開放、共享、交易所帶來的收益，信息企業可以在扣除必要的成本、費用后分配給個人。既然個人財務信息、預測個人信息為個人信息主體與信息企業所共享，但兩類主體的具體份額有別，則其開放、共享、交易所帶來的收益，在扣除必要的成本、費用后，也應該為兩類主體按份額進行分配。當然，鑒于單個的個人信息價值還比較微小的特點，在個人信息的分配上，還可以采取基金機制，信息企業應將在大數據開放、共享、交易中個人應得的部分繳付于“個人信息分配基金”，當個人收益超過分配成本時分配給相關個人，當個人收益小于分配成本時暫不分配或者在個人同意的前提下用于個人信息保護等公益目的?！?9 〕總之，未來的大數據時代，合作共贏才是王道。