金融數據安全風險及監管研究

鐘紅 馬天嬌

金融安全是國家安全的重要組成部分，是經濟金融平穩健康發展的重要基礎。隨著我國數字金融的迅猛發展，數據資源成為核心生產要素，然而目前金融數據安全治理仍面臨諸多挑戰。本文分析金融數據安全風險的表現形式及治理困境，總結國際金融數據安全治理經驗，為構建我國精準有效的金融數據監管體系提供政策建議。

金融數據安全面臨新形勢新挑戰

數字金融迅猛發展，金融業態和產品創新步伐加快，大大增加金融數據風險的復雜性、隱蔽性和易擴散性。中國互聯網絡信息中心數據顯示，截至2020年12月，我國網絡支付用戶規模達8.54億，占整體網民數量的86.4%，較2016年12月增長了80.05%。北京大學發布的數字普惠金融指數中位數2011—2020年間年增長率達29.11%。數字金融業務量快速上漲產生了大量金融數據，對金融機構數據收集、整理、存儲、分析和傳輸等方面提出新的要求，數據使用規范不明確和硬件設施滯后都會給數據安全帶來巨大風險。

數字信息技術日新月異，引發新型金融數據安全風險。新興技術的應用極大促進數字金融的發展，降低消費者進入金融市場的門檻，但同時也給金融數據安全帶來不確定性。譬如加密貨幣和網絡匿名技術的快速發展使數據竊取、篡改、勒索日益嚴重，催生龐大的數據非法販賣產業鏈，引發數據泄露、數據污染、數據投毒攻擊等一系列風險。又如，數字身份包含大量用戶個人信息和交易數據，其廣泛應用大大增加了網絡金融犯罪的概率。

監管政策不完善加劇數據和資金向互聯網寡頭企業集聚，數據壟斷風險愈發凸顯。目前，針對以銀行為主體的傳統金融行業監管體系較為完善，面向金融科技企業的監管力度相對薄弱。在此環境下，大型科技公司憑借顯著的網絡外溢效應形成規模經濟，使用前沿科技手段拓展消費者群體，將業務范圍從構建互聯網商務平臺逐漸拓展到支付服務、投資理財、保險銷售等領域，積累了大量個人信息和金融交易數據，逐漸形成數據壟斷，引發數據安全風險。具體而言，數據壟斷滋生灰色交易，非法數據販賣實現商業變現，侵害用戶個人隱私，增加數據泄露風險;數據寡頭企業濫用市場支配地位，通過限制數據訪問和共享、限制用戶轉移、大數據殺熟、數據服務搭售等算法合謀的方式謀取利益，損害消費者合法權益;利用數據壟斷優勢維持行業地位，阻礙競爭對手收集和購買數據、通過經營者集中手段增加競爭對手進入市場的門檻、數據驅動型并購等，破壞數字經濟市場公平競爭秩序。

金融數據跨境流動日益頻繁，帶來潛在安全隱患。隨著全球貿易往來、金融投資和技術交流日益頻繁，跨境流動數據的種類和數量不斷增加，涉及個人隱私、企業商業機密、社會治理、國防安全等方方面面，海量數據跨境流動給國家安全帶來隱患。一方面，我國重要戰略信息更易被分析挖掘。商業機密信息、經濟運行狀況、金融科技發展水平、金融創新產品等高度敏感數據若被外國政府獲取并惡意利用，將嚴重破壞我國金融市場穩定，威脅國家和人民財產安全。例如，根據跨國電商訂單等數據推測消費者購買力和相關行業的宏觀經濟運行情況，關鍵信息暴露將可能使我國在國際經濟談判中處于不利地位。另一方面，數據驅動的金融科技產業競爭優勢被削弱。我國消費市場規模巨大，海量基礎數據為金融科技的迅猛發展提供有力支撐，催生出一系列創新性金融產品，關鍵數據外流勢必削弱我國金融業核心競爭力，影響金融相關產業的競爭優勢。

金融數據監管面臨新問題新要求

現行法律法規難以約束數據行為。金融數據的爆炸式增長超出傳統數據監管范疇，部分企業利用法律的滯后性謀取商業利益，造成金融市場數據使用的混亂。例如，我國《個人信息保護法》中“利用個人信息進行自動化決策，應當保證決策的透明度和結果公平合理”可以解決“大數據殺熟”的部分問題，但這一規定適用門檻高、適用范圍窄，難以有效規制殺熟行為。又如，我國目前尚無針對人工智能的專項立法，部分企業利用人臉識別、深度偽造等技術濫用私人信息牟取暴利。可見，互聯網科技企業快速更新的數據處理模式對我國現有金融監管政策法規的革新速度提出更高要求。

金融科技飛速發展對監管科技水平提出更高要求，與數字金融業務屬性及特點相吻合的監管科技亟待更新。一方面，監管技術滯后造成監管空白，金融數字化使得金融機構可以更便利地使用高科技進行黑箱操作，監管部門難以準確核實金融機構報送數據的真實性和完整性，數據失真和缺失成為不可避免的問題，導致監管機構無法及時高效地做出風險識別與預警。另一方面，監管套利行為難以避免，比如，有的金融科技公司推出“一地注冊，全國可用”業務模式，使劣質金融產品向監管更寬松的地方轉移，全面追蹤監管仍然存在技術困難。

數據權責難以界定。數據確權是數據共享和流轉的基礎，但由于數據所有權、使用權和收益權難以界定，數據非法販賣和無序競爭等亂象頻頻發生。究其原因，數據要素的可復制性和易共享性使其有別于傳統生產要素，復雜的數據類型、性質、邊界導致數據確權困難。此外，數據生命周期的每個階段涉及多個主體，數據權利不完全歸屬于同一個人，進而很難保護數據相關主體的利益和追究責任。

數據跨境流動監管難度大。由于數據跨境流動可能帶來公共安全風險和金融穩定性風險，各國高度重視跨境流動監管這一國際難題。一方面，數據跨境流動監管缺乏統一框架和國際規則，各國從自身國家安全和經濟發展角度出發，制定不同的跨境流動監管政策，導致國家間的數據流動規則出現沖突。另一方面，數據跨境流動監管缺乏國際合作機制，要求企業提供境外數據、實施“長臂管轄”強制獲取數據的現象時有發生，導致金融數據跨境流動安全問題升級，甚至可能引發國際沖突。

金融數據治理的國際經驗

加強金融數據安全治理頂層設計，健全相關政策法律體系。2020年6月，歐洲數據保護專員公署發布《歐洲數據保護監管局戰略計劃（2020—2024）》，旨在從前瞻性、行動性、協調性三個方面塑造更安全、更公平和更可持續的數字市場。2019年12月，美國管理和預算辦公室發布《聯邦數據戰略與2020年行動計劃》，確立了將數據作為戰略資源開發的核心目標。各國不斷強化個人信息保護相關立法，持續優化政策環境。2018年5月，歐盟出臺的《通用數據保護條例》（General Data Protection Regulation，簡稱GDPR），進一步明確用戶數據收集、存儲、使用的規則和責任，強化數據主體對數據的控制和保護，限制壟斷企業濫用客戶數據獲取超額利潤，成為其他國家制定數據保護法律的參考標準。2018年6月美國加州通過的《加州消費者隱私保護法》堪稱美國最全面、最嚴格的隱私法案，擴展個人信息定義，強化消費者隱私保護權利，并對未成年人信息給予特殊保護。

加快數據安全監督執法機構建設。各國政府通過設置數據安全監管機構提高執法效率。歐盟設立了數據保護專員公署，負責監督個人數據及隱私保護、為個人信息相關事宜提供政策建議、開展歐盟內部信息共享與合作等。新加坡設立個人數據保護委員會，負責提供數據保護的咨詢建議、技術管理等專業服務，處理數據保護國際事務，開展數據保護的技術合作與交流等。巴西政府成立國家個人數據保護局，負責制定數據處理框架和規則、監督懲處違法違規行為、促進國際數據共享等。以上機構出臺的數據監督執法規則基本上都適用于該國金融機構數據安全監管。此外，各國紛紛建立金融情報機構或可疑交易監測分析中心，職責包括接收和分析金融情報、監測資金總體流向和趨勢、建立國家數據庫妥善保存金融機構提交的大額和可疑交易信息等，旨在打擊洗錢和恐怖融資等犯罪行為。

將金融數據納入反壟斷監管。2019年7月，歐盟委員會啟動對亞馬遜反壟斷調查，評估其在使用平臺獨立零售商敏感信息時是否存在違反歐盟競爭法的行為。2019年2月，德國聯邦卡特爾辦公室裁定臉書在收集和使用用戶數據時存在剝削性濫用，要求其暫停相關行為并整改，該判例提供了將隱私數據納入反壟斷監管的案例。2017年6月，谷歌濫用搜索引擎市場獲取的數據優勢推廣自身旗下的比價購物服務，損害競爭對手利益，被歐盟開出24.2億歐元的巨額罰單。在法律體系方面，德國《反限制競爭法》第九修正案將交易額標準納入經營者集中審查的補充性門檻，奧地利于2017年通過反壟斷法和競爭法修正案調整了并購申報門檻，有效應對數據驅動型并購行為。可見，數據已經成為評估科技平臺企業是否具有濫用市場支配地位行為的重要因素。

強化數據跨境流動監管，保障關鍵領域數據安全。2001年歐洲委員會通過了《有關監管機構和跨境數據流通的附加協定》，確保個人數據在處理過程中得到保護，消除數據跨境自由流動障礙，助力數字經濟全球化。美國主張個人數據跨境自由流動，但限制重點行業和領域的技術數據出口，利用“長臂管轄”規則強化對境外數據的執法能力，各國政府在致力于保障數據跨境流動安全的同時，也注意充分釋放數字經濟活力。新加坡以建設亞太數據中心為導向，積極加入亞太經合組織主導的跨境隱私規則體系，秉承數據跨境流動開放的態度，制定和完善數據跨境流動管理規則，吸引跨國公司投資數字基礎設施建設，推動數字貿易發展。

加強我國金融數據監管的政策建議

完善金融數據安全管理法律法規。目前，我國已經形成層次較為豐富、覆蓋多個領域的金融數據保護法律法規體系。2021年，全國人大出臺的《數據安全法》和《個人信息保護法》構建了我國數據安全領域法律框架。2020年以來，金融數據安全規范性文件的制定工作不斷推進。中國人民銀行發布《個人金融信息保護技術規范》《金融數據安全數據安全分級指南》《征信業務管理辦法（征求意見稿）》等，銀保監會印發《中國銀保監會監管數據安全管理辦法（試行）》等，但目前仍面臨細分領域規則不明確、行業標準體系不完善等問題。具體而言，針對金融科技企業，須進一步明確網絡平臺使用個人信息的標準、流程和規范，加大對數據違規使用的披露和懲處力度，并將企業經營過程中產生的交易數據和商業數據納入監管范圍。在銀行數據開放共享領域，出臺具有實操性和指導性的數據公開標準規范，對公開范圍、數據更新和質量標準提出明確要求，推進數據開放程序的標準化。

加快基礎設施和人才隊伍建設。目前，政府和金融監管部門嘗試使用前沿技術處理和監管金融數據，但科技水平仍有待提高。一方面，提升技術監管水平。引入高端技術升級監管設備，建立統一的監管數據信息處理平臺，使用應用程序編程接口傳輸數據，借助人工智能和機器學習分析數據，提升金融數據監管的專業性和穿透性。另一方面，加大數據人才培養力度。可考慮成立數據安全人才培養中心，與高校、企業聯合開展人員技術培訓，開展專業認證培訓及考試，提高金融監管人員的科技專業素養。

探索數據分級分類管理方案，構建權責一致的金融數據監管格局。2020年9月，中國人民銀行發布的《金融數據安全數據安全分級指南》建立了統一的數據分級管理制度，指導金融機構合理開展金融數據安全定級工作，有利于建立與之對應的安全配套法規。2021年6月通過的《中華人民共和國數據安全法》提出國家對數據進行分級分類的方法不僅包括制定重要數據目錄，更需要結合典型的數據應用場景制定配套的網絡數據安全法規。在金融數據監管體系中，同樣應注意對不同類別金融數據分別采取嚴格保護、內容監管、鼓勵流動、強制公開等不同管理方法，并對不同級別的金融數據分別采取不同授權和責任模式的數據處理規則。此外，在分級分類監管機制基礎上，應進一步完善監管組織架構，明確監管機構職責。

加強數據反壟斷監管，促進數字市場公平競爭。我國數據反壟斷規則不斷完善，反壟斷法配套規則正式落地。市場監管總局發布的《禁止濫用市場支配地位行為暫行規定》在認定市場支配地位因素中增加了掌握相關數據情況這一因素。上述法律規范細化了數據壟斷的判定標準，但在實踐中仍具有局限性。例如，現有經營者集中審查申報標準判斷依據為營業額，無法將不利于市場競爭的數據驅動型并購納入審查范圍。因此，我國應當借鑒德國等國的先進經驗，不僅以并購雙方的營業額作為是否可以并購的判定標準，還應引入并購雙方交易額作為補充性標準。

夯實數據流轉的制度基礎和技術基礎。可采取“三步走”方式建立數據交易市場化機制：第一，確定數據產權。在制度層面，加快金融數據權屬相關立法，厘清數據所有權、使用權和收益權，為數據采集、使用、流通和權益分配提供法律依據。2021年1月發布的《深圳經濟特區數據條例》在數據產權制度、數據產權保護和利用新機制、數據隱私保護制度、政府數據開放共享以及數據交易等方面進行探索，但目前仍然缺少國家層面的法律規定。在技術層面，基于權屬證明和專家評審的傳統確權方式缺乏技術可信度，未來須探索基于區塊鏈技術和數字水印技術的大數據確權方式。第二，發揮“看不見的手”作用形成匹配數據權益的價格。須建立健全數據要素市場定價標準，制定數據市場交易規則和交易標準，細化數據交易格式和管理方法等標準體系，建立數據資產評估機制和數據資產會計入賬制度，確保數據交易符合市場經濟發展規律。可引入沙盒監管機制探索未預測到的風險和不可控因素，允許數據交易在特定市場中、特定市場主體間進行，圍繞數據定價、交易手段、權益界定、風險防控和技術支持等問題展開積極探索。第三，建立嚴格的交易數據監管體系，規避用戶利益、市場秩序和應用安全方面的潛在風險。革新數據交易監管平臺技術體系，健全數據流動態勢感知、安全預警、應急處置管理機制，對交易平臺、交易行為、交易主體、交易環節等進行實時記錄。引入區塊鏈技術對數據的產生、收集、傳輸、使用與收益進行全周期的記錄與監控，實現數據記錄和問題檢測全自動化流程管理，便于監管部門開展數據要素市場的治理和監管工作。

推動建立跨境監管國際合作機制，提高國際話語權。在金融數據安全監管領域，需要各國從國際秩序大局出發，建立國際合作機制，共同應對金融數據跨境流動新挑戰。一是積極參與并推動跨境數據流動監管規則體系的制定與完善，開展政府間、行業間、技術群體間多線條國際談判與合作，推動制定符合國家利益和經濟發展需求的政策體系。二是加強跨境監管執法國際合作，夯實域外管轄和跨境適用法律基礎，提高跨境監管能力和執法水平，推動構建良好的國際金融數據要素市場秩序。

（鐘紅為中國銀行研究院副院長，馬天嬌為南開大學經濟學院博士研究生。本文編輯/王曄君）