征信領域電子授權的法律問題及解決方案研究

■李 寅，漆世濠

近年來，隨著互聯網金融的蓬勃發展，網上銀行、手機銀行以及許多手機APP為人們提供了許多線上信貸產品，由于該類產品和渠道具備運營成本低、客戶體驗佳、審批流程快等特點，迅速得到了授信機構和貸款客戶雙方的青睞。據網貸之家發布的《2017年中國網絡借貸行業年報》顯示，截至2017年底，我國網絡借貸行業正常運營平臺數量達到1931家，總體貸款余額已達12245.87億元，同比增長50%，預計2018年年底網絡借貸行業貸款余額將超過1.5萬億元。《征信業管理條例》第18條規定：“向征信機構查詢個人信息的，應當取得信息主體本人的書面同意并約定用途。”該規定明確了個人信用信息查詢的書面授權要求，增加信息主體對個人信用信息的控制權，以強化對其合法權益的保護。但在線上信貸業務迅猛發展的現狀下，通過線上簽署信用報告查詢授權書，成為業務操作中不可避免的一環，隨之產生的征信查詢電子授權有效性問題，在實踐中引發了諸多爭議，成為我國征信市場和互聯網金融業務健康發展亟待明確的重要問題。

一、爭議焦點一：電子授權是否屬于“書面同意”

明確個人信用報告查詢電子授權的效力，首先要解決一個問題，即電子形式是否屬于“書面”，進而判斷電子授權是否滿足《征信業管理條例》中“書面同意”的要求。隨著技術不斷革新，電子形式的信息交換在社會經濟中的使用迅速增多，聯合國國際貿易法委員會（UNCITRAL）早在1984年即對數據電文的法律效力開展了系統性研究，并于1996年6月通過了《貿易法委員會電子商業示范法》（以下簡稱《示范法》）。《示范法》創設了“功能等同方法（Functional Equivalent Approach）”以認定數據電文的法律效力。其認為，傳統上各國法律要求采取“書面形式”主要有以下原因：一是確保存在可視的證據，證明各當事方確有訂立契約的意向；二是幫助各當事方意識到訂立該項契約的后果；三是確保文件能夠被所有人識別并閱讀；四是確保文件恒久不變，進而永久性地記錄相關交易；五是通過復制使每個當事方持有相同的副本；六是便于以有形的形式儲存相關信息和數據。關于所有上述功能和作用，電子記錄也基本能夠實現，而且就數據內容和來源的查閱而言，其可靠度和調取速度更高。鑒于此，《示范法》第5條規定：“不得僅僅以某項信息采用數據電文形式為由而否定其法律效力、有效性或可執行性。”

借鑒國際經驗，我國相關立法也確認了數據電文具備書面形式的法律效力。如1999年《合同法》第11條規定：“書面形式是指合同書、信件和數據電文（包括電報、電傳、傳真、電子數據交換和電子郵件）等可以有形地表現所載內容的形式”，明確將數據電文納入書面形式的范圍。因此，書面形式并不局限于紙質形式，不能僅因個人信用報告查詢授權的電子形式，否認其具備“書面形式”的法律效力。但是，不管《示范法》中還是在我國現行的法律體制下，并非所有的數據電文都能夠被認定為“書面形式”。正如《貿易法委員會電子商業示范法頒布指南》中所提到：“并不是說數據電文在所有情況下都具備書面形式的效力”。《示范法》第6條規定，若一項數據電文所含信息可以調取以備日后查用，則可認定其符合“書面形式”的要求。類似地，我國2004年通過的《電子簽名法》第4條規定：“能夠有形地表現所載內容，并可以隨時調取查用的數據電文，視為符合法律、法規要求的書面形式。”

可見，數據電文要能夠隨時調取查用，才能構成“書面形式”，該要求在征信業務實踐中也至關重要。信息主體的授權書，是決定金融機構的查詢行為是否合規的最重要的法律文書。只有當電子形式的授權書被完整準確地留存，并能夠被調取查閱，才能確保征信監管以及征信異議處理等環節的正常有序運轉。一是確保征信管理部門能夠有效開展現場檢查，通過調取電子授權書進行核實，對接入機構的征信業務進行有效的現場監管。二是當信息主體否認授權、并就接入機構的查詢行為提出異議時（尤其是在拒貸等情況下），確保能提供相應的電子授權材料，證實查詢行為的合規性。

在征信實踐中，已有諸多采取電子授權的案例。如中國銀行江西省分行于2016年推出“中銀E貸-個人網絡消費貸款”產品，其是依托網絡渠道，利用互聯網、大數據技術獲取并整合各類客戶信息，開發的全流程線上消費貸款產品。客戶僅需通過該行網頁或手機APP等入口注冊實名客戶，通過身份核驗后，在線簽署征信信息查詢授權書，發起貸款申請。該行《網絡信貸產品征信查詢電子授權方案》認為，依據《中華人民共和國合同法》第11條規定，個人客戶在網絡貸款系統在線簽署授權書，是客戶與金融機構之間的電子數據交換，且授權書以數據電文的形式保存在系統后臺，能夠隨時調取，具備安全性和不可抵賴性，故而符合書面形式的要求，與信息主體簽署的紙質授權書效力等同。

此外，人民銀行近期制定發布的《金融信用信息基礎數據庫接入機構征信合規與信息安全年度考核評級管理辦法》也明確將合法的電子授權認定為書面同意（《金融信用信息基礎數據庫接入機構征信合規與信息安全年度考核評級指標及標準》第7.1項和8.1項）。由此可認定，在現行的法律制度和征信監管框架下，只要電子授權符合相關法定要求，就屬于“書面”的范疇。

二、爭議焦點二：電子簽名的法律效力

根據《合同法》和《電子簽名法》等確定的“技術中立原則”，數據電文屬于書面形式，不能因載體改變而否定數據電文的法律效力（高富平和俞迪飛，2004），因此信用報告查詢的電子授權在形式上符合《征信業管理條例》中“書面授權”的要求。然而電子授權滿足怎樣的條件，才能形成與紙質授權相同的法律效力呢？換而言之，如何讓信息主體“點擊屏幕”的行為產生“在紙上簽名或蓋章”的法律效力？

為了解決該問題，首先分析紙質簽名或蓋章的功能和本質。傳統的社會經濟活動中，為了保證交易的安全性與真實性，一些法律文書通常要求當事人在簽字蓋章后才發生法律效力。如《合同法》第32條規定：“當事人采用合同書形式訂立合同的，自雙方當事人簽字或者蓋章時合同成立。”之所以有該類規定，是因為簽字蓋章有其獨特的不可替代的功能。《貿易法委員會電子商業示范法頒布指南》對此進行了精辟闡述，其認為，簽字具有兩大方面的功能，一是能夠確定簽名人的身份，該功能實現，是基于假定每個人手寫的筆跡不同（或每個印章不同），并且仿冒他人簽名較難實現；二是能使簽署人與文件內容發生關系，即能夠代表簽名人對文件內容予以認可，該功能實現，是基于假定理性人不會在不看文件內容或不同意文件內容的情況下，在文件上簽字或者蓋章。

在電子簽名的虛擬環境中，文本是以電子形式進行存儲、展現和傳遞的，而在這種無形的載體上，傳統的手寫簽名和蓋章無法進行。鑒于此，理論研究和立法實踐逐漸形成了共識，即只要電子簽名滿足一定的要求和標準，就能夠起到與手寫簽名或者蓋章同等的功能和作用，即與后者具備同等的法律效力（鄧杰，2006）。《示范法》第7（1）（a）款規定，如果數據電文使用了一種方法，鑒定了簽名人的身份，并且表明其認可了數據電文內含的信息，則認為滿足了簽字的要求。我國《電子簽名法》第2條規定：“電子簽名是指數據電文中以電子形式所含、所附用于識別簽名人身份并表明簽名人認可其中內容的數據。”上述規定，凸顯了“識別身份”和“認可內容”兩大關鍵性功能要素。因此，要構建信用報告查詢電子授權的法律機制，應確保電子簽名能夠實現“識別身份”和“認可內容”兩大功能，以獲得“簽字”的完整法律效果。

（一）電子簽名功能之一：對信息主體身份的確認

在實踐中，身份確認不僅僅發生于信用報告查詢授權環節，可能在信息主體登錄線上信貸產品申請頁面或者開始申請流程時，就要進行嚴格的身份認證流程。許多有關征信電子授權的爭議也常常與線上冒名貸款爭議交織，信息主體認為線上授信機構未能充分識別貸款申請者的身份，一方面不當發放了貸款，另一方面違規查詢了其信用報告。

實踐中，許多線上授信機構采取了多種途徑對借款人的身份進行識別，如中國銀行江西省分行報備的《網絡信貸產品征信查詢電子授權方案》中提到，該行要求客戶在網頁或手機APP等線上信貸產品申請入口先以姓名和身份證號碼等關鍵信息進行實名注冊，再通過支付密碼、手機短信驗證、動態口令等組合驗證方式進行身份驗證，能夠有效確認客戶身份。捷信消費金融有限公司在線上信貸業務中，則采取了更為綜合、更為有效的身份驗證方式，包括四要素驗證（即姓名、身份證號、銀行卡號和手機號四種要素完全一致）、活體生物特征識別驗證（如要求申請人對準手機攝像頭做出眨眼、搖頭等特定動作）、PIN碼驗證等。

可見，實踐中市場主體為適應互聯網金融發展趨勢，充分利用移動終端開展信貸業務，創新采取了許多線上身份驗證的手段，主要有三類：一是基于公鑰基礎設施（Public Key Infrastructure，PKI）的公鑰密碼技術，該方式的核心包括數字簽名、權威認證機構和可信時間戳，利用密碼學成果及相關技術手段保證電子簽名的可靠性，是目前世界范圍內最廣為接受的電子簽名實現方法之一，中國金融認證中心即采用該項技術；二是基于生物特征，如指紋、聲音等；三是基于能夠識別身份的電子簽名制作數據，如密碼、PIN碼等。

上述技術手段能否實現有效的身份識別，尚無定論，相關主管部門并未明確電子簽名的技術標準和要求，司法實踐中形成的規則也極為有限。目前，我國司法實踐僅直接認定第一種電子簽名（基于PKI的公鑰密碼技術）的效力，對于第三種電子簽名，法院則常常以電子簽名制作數據是否具有“私有性、唯一性和秘密性”為標準，判斷電子簽名是否由本人做出。如在2014年上海市徐匯區人民法院審理的“劉麗梅訴交通銀行股份有限公司上海漕河涇支行財產損害賠償糾紛案”中，法院認為“由于密碼具有私有性、唯一性和秘密性的特點，在正常情況下，密碼為持卡人設定并僅由其掌握，他人并不知曉，故而無論是持卡人本人或其授權的其他人使用了密碼進行交易，都應視為本人的行為。”

綜上，應結合現有的先進技術手段（如基于PKI的公鑰密碼技術）以及司法實踐中明確的相關認定標準（如電子簽名制作數據的“私有性、唯一性和秘密性”標準），明確征信電子授權的身份驗證環節應采用的技術標準，確保電子授權由信息主體本人做出。近日，中國互聯網金融協會發布的《互聯網金融個體網絡借貸電子合同安全規范（征求意見稿）》在此方面進行了有益嘗試，其明確“對簽名人身份的正確標識是可靠電子簽名的根本”，并明確了線上核驗的若干方法，如通過信息核驗（四要素驗證等）、政府權威數據庫核驗、生物特征識別技術進行人證合一確認或電子認證服務機構頒發的數字證書核驗等。

最后還有一點值得思考，倘若信用報告查詢的電子授權不符合法定的要件或標準，是否意味著查詢機構必然構成違規查詢，并承擔敗訴結果。筆者認為該點值得商榷。我國民事訴訟中采取優勢證據標準，即“對于有關的主張或事實，當事人提出的證據必須使法官確信其成立的可能性大于其不成立的可能性”（薩仁，2002），法官在審理過程中，會綜合雙方的證據，認定說服力強、蓋然性占優勢的一方主張。若查詢機構能夠證明其通過了相關技術手段驗證信息主體身份，即便該類手段不符合主管部門規定的技術標準，倘若信息主體沒有足夠證據予以反證，應當認定電子授權由信息主體本人做出，查詢行為并不違規。

（二）電子簽名功能之二：對信息主體真實意思表示的確認

有效的電子簽名應能實現的第二重功能為“認可內容”，即能夠表明簽名人認可電子簽名所對應的內容。長期以來，大多數信息主體多年在互聯網上養成了“跳過相關線上合同內容、急于享受簽約后服務”的慣性，傾向于忽視合同內容而直接點擊“同意”進行簽訂。然而在互聯網環境下，如果授信機構在獲取信息主體的電子授權環節忽視了該現狀，容易滋生法律隱患。

目前，線上信貸產品的相關合同文本（包括信用報告查詢授權書）均為格式條款，《消費者權益保護法》第26條規定：“經營者在經營活動中使用格式條款的，應當以顯著方式提請消費者注意……與消費者有重大利害關系的內容，并按照消費者的要求予以說明。”如果在獲取信息主體的電子授權過程中，未以顯著方式提請消費者注意信用報告查詢授權的相關內容，可能滋生法律爭議。實踐中，也有信息主體以“信用報告查詢授權條款不夠顯著明晰”為由，否認自身有授權查詢的意思表示，尤其是在一些線上信貸產品中，點擊“查看額度”也會觸發信用報告被查詢，侵害信息主體的知情權。

《征信業管理條例》第19條規定：“征信機構或者信息提供者、信息使用者采用格式合同條款取得個人信息主體同意的，應當在合同中做出足以引起信息主體注意的提示，并按照信息主體的要求做出明確說明。”出于對信息主體合法權益的保護，查詢、使用個人信用報告的授權必須是清晰、明確的。在互聯網環境下，電子授權也應達到該保護效果，才能具備完全的法律效力。

經調查了解，目前相關線上授信產品的電子簽名頁面主要有以下特征：其一，大部分機構的信用報告查詢授權書（或授權條款）均未全文在電子簽名頁面上展示，而是通過鏈接形式，需要信息主體進一步點擊后才能閱讀全文；其二，大部分機構都將查詢授權書作為獨立于借款合同的單獨法律文書，分為兩個獨立的鏈接分別展示，但有的機構將查詢授權條款包含在借款合同內；三是大部分機構都設有勾選框，默認狀態為未勾選，信息主體點擊勾選后才能在下一步點擊同意，但有的機構未設勾選框，允許信息主體直接點擊同意；四是部分機構除查詢授權書的鏈接外，在電子簽名頁面特別標注了“授權查詢征信信息”的內容，對信息主體進行特別的提醒，部分機構則未進行該特別標注。

為確保電子簽名能夠體現信息主體的真實意思表示，獲得完整的法律效力，并為信息主體合法權益提供更全面的保護，應以確保信息主體“先閱讀授權書內容再簽進行簽署”為核心目標，明確電子簽名頁面及操作流程的相關標準，著力加強對用戶的告知和提示，使其在使用過程中意識到自己的點擊行為即意味著同意授權。一方面，應在電子簽名頁面給出足夠醒目的提醒。比如，除通過鏈接形式展示查詢授權書外，還應在電子簽名頁面增加特別說明，對信息主體進行充分有效告知；應將信用報告查詢授權書獨立于借款合同之外，增加其醒目性，借款合同中條款諸多，且粗體字的內容不在少數（如違約責任等部分），即便借款合同中的征信授權條款也采取加粗設置，也不能起到特殊的提醒作用。另一方面，應在信息主體點擊同意前，設置相關前置程序，確認其已知曉授權書內容，如設置一定閱讀時間，在此期間內無法點擊同意；要求客戶手動輸入“同意授權查詢信用報告”等關鍵字，確認其授權意圖；在簽名頁面設置勾選框，且勾選框的默認狀態應為未勾選，用戶通過點擊勾選的行為，明確表明同意的意思，歐盟《一般數據保護條例》對此亦進行了特別的規定，核心在于要求信息主體做出“特定、明確”的同意，單純不作為的沉默（包括默認勾選的勾選框）不能構成同意①歐盟《一般數據保護條例》序言第32條的規定。。

三、征信領域電子授權機制的構建與完善

（一）探索構建符合征信業務特點和趨勢的電子授權效力規則

在互聯網金融的大潮下，線上信貸產品的發展呈現不可逆轉的趨勢，也提高了金融服務的可得性，惠及了更多的客戶群體。2015年制定的《關于促進互聯網金融健康發展的指導意見》雖然明確了諸多監管要求，但總體上仍秉持“鼓勵創新、防范風險、趨利避害、健康發展”的總體要求，積極鼓勵互聯網金融平臺、產品和服務創新。

因此，電子授權效力規則的探討和構建，必須充分考慮互聯網金融的發展趨勢，實現監管和發展的有機統一，在包容、引導金融創新的同時，牢牢守住征信信息安全和信息主體合法權益保護的底線。可從電子授權在理論和實踐中的兩大爭議點（即對信息主體身份的確認和其真實意思表示的確認）入手，以“正面清單”方式明確合法有效的電子授權應具備的各項法律要素，在民商事基本立法尚未明確時，通過征信行業立法對該問題先行研究和規范，為線上信貸業務的更好開展提供法律依據，更好地實現征信作為金融基礎設施防范金融風險、維護金融穩定、促進金融業發展的重要作用。

（二）明確有效電子授權的形式與程序要求

針對電子授權效力的兩大爭議點，結合法律理論、行業實踐以及技術創新，明確電子授權的形式與程序標準。首先，在身份識別方面，目前諸多線上授信機構已在實踐中探索出一系列身份識別的技術方法，相關行業組織也在探索建立統一的標準（如《互聯網金融個體網絡借貸電子合同安全規范（征求意見稿）》）。下一步，應結合實踐中的典型做法、最新的技術進展以及相關研究成果，通過立法明確身份識別的技術標準。但在標準制定過程中應考慮效率與安全兩種對立價值的權衡，在信息主體權益保護和促進互聯網金融發展之間找到合適的度。最后，在我國民事訴訟體系下，對于沒有滿足技術標準要求，但有足夠證據證明是信息主體本人做出的，應認定為電子授權有效。但是考慮到授信機構在證據保存、技術水平以及舉證能力等方面的優勢，在具體的規則設計中，應增加授信機構的舉證責任，如要求其先提供能夠證明電子授權合法性的初步證據。

其次，在信息主體意思表示的確認方面，應當重點對電子授權的頁面展示以及操作流程進行規范，確保信息主體的電子授權能夠充分體現其授權的意思表示，遏制個人信息的違規查詢和使用，強化信息主體同意權、知情權和控制權的保護。通過在電子簽名頁面給出足夠醒目的提醒（如增加特別說明、設置單獨鏈接等），并要求信息主體在點擊同意前，進行相應前置程序，確認其充分知曉授權書內容。此外，還可以要求在電子授權頁面增加在線咨詢等功能，為信息主體提供征信知識的咨詢服務，告知其授權查詢后可能產生的正面或負面影響。通過上述制度設計和規范要求，使征信電子授權中點擊同意的行為不再是信息主體習慣性的“無意識行為”。

（三）構建與互聯網環境相適應的征信監管機制

通過立法構建征信電子授權的效力規則，明確形式與程序要求，能夠為行業實踐提供明確指引，為信息主體權利保護提供法律依據，但相比立法的“靜態規范”，監管和執法的“動態規范”也至關重要。互聯網環境下，信息主體的合法權益面臨更大的挑戰：一是同意權和知情權更易受到侵害，在線下信貸業務辦理中，信息主體可以通過面對面交流獲知征信查詢授權的內容和用途，而在線上，信息主體只能夠通過閱讀條款等形式自行了解，授權信息的充分獲取和知曉更加困難；二是個人信息保護力度亟待加強，互聯網環境下個人信息的獲取和處理更有隱蔽性，而且擴散途徑更多、擴散速度更快，有必要針對性地加大監管和執法力度。

因此，應根據互聯網環境下征信業務的特點和風險點，結合征信電子授權的效力規則，加快探索并制訂與之相適應的執法框架和措施，提升監管的針對性和有效性，提高執法效率，著力保護信息主體合法權益，確保其同意權和知情權的實現，維護征信信息安全。同時，強化對信息主體的宣傳教育，暢通互聯網環境下的投訴途徑，讓信息主體了解自身權利和征信業務規則，成為個人信息保護的積極參與者和踐行者，在相關機構違規獲取個人信息后，通過便捷適當的渠道及時獲得權利救濟。