大數據背景下個人金融信息保護研究

張杜娟

一、金融消費者個人信息權概述

（一）金融消費者的概念

構建金融消費者信息保護法律體系，首先要對金融消費者這個權利主體進行概念界定。金融消費者的概念在國外已被法律所確認，但是在我國還未成為一個獨立的法律術語，僅在銀行法、保險法、證券法等有相關籠統規定。因此我們可轉從文義角度著手，從消費者這個名詞的含義衍生出何為金融消費者。由《中華人民共和國消費者權益保護法》可知，消費者主要是指為了生存需要進行消費，從而購買、使用或者接受服務的民事主體。

在此基礎上，我們可從三個層面延伸出金融消費者的概念。其一，金融消費者購買商品是否應滿足為了生活消費需要。為生活消費而購買商品的才能稱之為金融消費者，為投資購買商品的只能稱為投資者。其二，金融消費者是否應具有一定專業化知識。對于金融消費者不應該有過多的要求，即要求其具有專業人員才具有的知識。因為我們之所以要加大對金融消費者的保護力度主要是因為其一直居于弱勢地位，與金融機構的力量相比較為懸殊，但當金融消費者具有金融專業知識時，其與金融機構的地位就發生了根本性的變化，不應對其傾斜保護了[1]。其三，金融消費者的主體范圍特定，只能是自然人。金融消費者必須固定為自然人，其他任何組織都不應包括在內。因為法人、非法人組織的專業水平、財力資源一般比較豐厚，并不處于弱勢地位。

基于以上分析，筆者認為金融消費者是為了購買或接受金融服務而進行生活消費的自然人。這類人員與專業人員相比并不具有相應的金融專業知識，也沒有抵抗金融市場風險的能力，對其保護應當符合傾斜保護原理。

（二）個人金融信息的概念和特征

《中華人民共和國個人信息保護法》第四條規定，個人信息是以電子或者其他方式記錄的與已識別的自然人有關的所有信息。《中國人民銀行金融消費者權益保護實施辦法》第二十八條明確指出，金融信息也是消費者信息的一種，這類信息是金融機構通過進行金融業務而獲得的消費者的信息，其中包含了個人身份、財務以及金融交易等信息。

基于以上，我們可將個人金融信息分為三類，即個人身份、個人財產以及伴生預測性信息。

1.個人身份信息

個人身份信息包括個人的名字、家庭住址、年齡、聯系方式以及其他可以識別出特定身份的信息。這些信息往往可以單獨或與其他信息結合即能識別到某個具體的人，具有一定的可識別性。

2.個人財產信息

個人財產信息具體是指可以完整地展現出金融消費者財產情況的信息，如銀行卡賬戶信息、信用交易情況、金融產品購買狀況等。對金融消費者的個人財產信息有一個全面的了解，即可幫助了解其個人財務狀況、不動產和特殊動產擁有情況。

3.伴生預測性信息

伴生預測性信息是指金融機構對金融消費者在金融交易活動中產生的交易、財產信息二次加工處理后形成的預測其消費活動的信息。金融機構通過對個人投資能力、風險偏好的分析，能夠更好地預測消費者之后的行為，掌握其投資偏好，推薦金融產品，同時金融機構也可以更好地調整其金融行為。個人金融信息具有如下特征：

第一，多元性與復雜性。個人金融信息的范圍極其廣泛，不僅包含了個人基本以及個人伴生信息，而且還將個人預測信息包括在內，這從另一個方面展現出個人金融信息的復雜與多元，因此相關法律制度也較為復雜。

第二，敏感性、精準性與高價值。個人財務信息極其敏感，如果沒有經過正當程序披露出來，那么最后造成的危害結果可能就比較嚴重。通過個人金融信息中的個人身份信息可以直接定位到某個人，體現了其準確性[2]。此外，個人的財務信息直接與金錢密切相關，故而該信息具有的重要價值也就不言而喻。

（三）個人信息權的概念

金融消費者的個人信息權具體是指特定的主體即金融消費者，在進行金融消費或接受金融服務時，可以自由地支配其享有的個人信息。它是一種對世權，所有金融機構或非金融機構都不得擅自使用、盜取這類主體的個人信息。

這一權利同時有兩種屬性，即人身屬性和財產屬性。一方面，金融消費者個人信息權具有人身屬性。因為個人金融信息中包括的個人姓名、家庭住址、年齡、聯系方式等往往可以單獨或結合識別到某個具體的人。個人預測伴生性信息里的金融消費者消費偏好、習慣等信息一旦被泄露，往往會侵害金融消費者的個人隱私，使得金融消費者人格尊嚴受侵害。另一方面，金融消費者個人信息權還擁有較高的財產價值。金融機構能夠根據個人信息分析消費者的消費偏好、進行投資預測并進行金融產品的推薦、定向推薦金融服務、實現金融決策最優化。關于個人信息權的內容，《中華人民共和國個人信息保護法》第四章具體規定了知情權、決定權、查閱復制權、個人信息可攜帶權、更正補充權、刪除權、規則解釋權七項權利。

二、個人金融信息保護的困境

（一）個人金融信息立法不足

我國近些年來才開始注重保護金融隱私，故而有關法律出臺的時間也比較晚，有關規定還不健全，立法文件分散，立法層級低，未形成統一法律體系，且內容缺乏針對性，實施性不強。

當前我國出臺的《中華人民共和國民法典》雖然涉及了個人信息的保護，然而這種規定較為原則化。該法在第一百一十一條指出，法律保護自然人的個人信息權。該條并沒有說明個人金融信息也該受保護，且沒有將個人信息當做一項權利；第九百九十九條明確提出，如果是出于公共利益的目的而進行新聞報道或者是進行輿論監督的，那么必須在合理的限度內使用個人信息，如果超過該限度需要被追究法律責任；第一千零三十四條明確指出，應該通過隱私權的方式來保護個人信息中的隱私信息，但隱私權中并沒有具體規定個人信息的保護方式。此外，該法并沒有將個人信息權與隱私權完全區分開來。盡管這兩項權利存在一定的重合點，但并不是完全重合。個人信息包括個人機密信息和個人公開信息。個人機密信息可能與隱私權中的某些信息一致，但是其并不能完全與個人公開信息重合。

最新出臺的《中華人民共和國個人信息保護法》總則部分規定了應當規范個人信息處理行為、保護個人信息，個人信息處理應當合法正當誠信，處理個人信息應當公開透明，任何組織、個人不得非法收集、利用個人信息，個人信息處理應當經過他人同意或者為了公共利益。此外，還規定了最小原則，即禁止過度收集個人信息，防止過度侵犯個人權益，適用比例原則。對于個人信息的定義、敏感個人信息、個人信息權利的具體內容也有規定。第二十八條規定了敏感個人信息的定義，認為敏感信息包含個人金融賬戶的信息，并規定對其進行嚴格保護。這無疑是個人信息立法上的一大進步，但其內容大部分規定的是個人信息，尚未對個人金融信息進行明確具體規定。

《刑法修正案（九）》在第十七條明確了侵害個人信息的有關罪名，即如果與國家相關規定相違背，將個人信息出售或提供給他人，情節嚴重的，可能會被判處三年以下有期徒刑、拘役，單處或并處罰金；情節特別嚴重的，判處三年以上七年以下有期徒刑，而且并處罰金。《中華人民共和國刑法》雖然明確了侵犯公民個人信息可能遭受的處罰，但該罪刑并不是專門適用于個人金融信息，且入罪門檻高，通常的侵犯金融消費者個人信息的案件無法適用。

《中國人民銀行金融消費者權益保護實施辦法》對何為消費者金融信息、銀行的處理原則、金融消費者的義務、銀行的義務等進行了明確，但并沒有直接規定侵犯個人金融信息適用的類型、所要承擔的法律責任、后果等。《中華人民共和國消費者權益保護法》雖然明確了消費者可以保護自己的個人信息，企業也應該保護好消費者的合法權益，但是對于侵犯個人金融信息的類型、法律責任和后果卻沒有作出具體規定。因此，金融消費者很難在訴訟中直接援引其中明確的法律規定進行救濟。《金融消費者權益保護實施辦法》《中華人民共和國中國人民銀行法》等法律文件盡管也涉及市場的禁止性規定等，但這些規定較為籠統，實踐可操作性較差，并且這些規定出臺的目的也是為了能夠讓金融機構穩定運行，而不是最大程度地維護好金融消費者的合法權益。此外，央行等部門還出臺了一些規章及規范性文件，但法律文件之間銜接不明，立法文件分散，缺乏上位法，無法形成統一法律體系，且原則性規定較多，具體規定較少，很難成為金融機構處罰的依據。其條款雖然有針對金融經營者，但并沒有明確金融行業的金融者需要承擔保護消費者信息安全的義務。

（二）傳統司法監管模式不足以應對現狀

以往的金融信息受侵害案件中，司法機關多采用民商法規則來解決糾紛。然而近些年來，金融科技的發展步伐進一步加快，市面上的金融產品也越來越多，傳統的司法監管模式在司法實踐中受到了挑戰。

首先，由于金融交易專業性較強，并且金融產品的更新迭代速度快，這就需要法官在審理案件時掌握一定的金融專業知識和了解新興金融產品。對很多沒有經濟學知識背景的法官來說，雖然可以在審理前咨詢金融行業專家，但知識壁壘仍是一個難以逾越的挑戰[3]。這就直接導致在司法層面難以對金融案件進行有效監管。

其次，我國保監會、證監會、銀監會部門采取的是多方管理與多頭立法的監管模式，故而各個監管機構之間沒有形成一個統一行為模式。由于不同領域的金融監管部門收集信息的方式、處理方式差異較大，因此會采取不同的監督方式。這就導致實踐中，金融消費者信息保護機構雖眾多，但部門之間并沒有一個明確的分工，監管職責不清晰，多個機構各自分立進行管理與監管，使得金融監管出現難題。

（三）救濟機制單一化

在當今社會，如果金融消費者的合法權益如個人金融信息被侵害，他們通常有多種糾紛解決方案，比如申請民事仲裁、和解、調解、投訴等，但他們通常直接提起司法訴訟。這種解決方式并不符合現代社會提倡的多元化糾紛解決原則。直接訴訟固然有效，卻加重了司法機關的負擔，且個人訴訟成本高，可能會升級矛盾，不利于解決糾紛。

之所以出現這種現象，一是因為很多金融消費者對仲裁等新型解決糾紛方式不了解、不熟悉，不習慣使用這些糾紛解決手段，二是因為目前我國還沒有構建起完善的金融調解機制。事實上，金融消費者遭受權益受侵害后，第一時間應當是尋求金融機構內部救濟，這是最直接簡便的方式，但我國并未建立起相應機制，使得金融消費者救濟時出現困境。

三、個人金融信息保護路徑

（一）加快個人金融信息立法保護

我國應當加快個人金融信息立法保護，構建起完善的個人金融信息保護法制度。

在具體內容細化上，首先，民法典沒有將個人信息與隱私權區分，二者往往被混同。因此立法應注意區分個人信息與隱私權，區分一般信息和敏感信息，并針對司法實踐中不同情況，對不同信息采取不同保護方式。其次，應當對《中華人民共和國個人信息保護法》進行具體細化。該法雖然對個人信息進行了具體規定，但并未對個人金融信息進行有效規制。應當進一步及時深入開展配套的精細化立法工作，增強法律條文的可操作性。再次，立法時應對網絡提供者、金融機構、行政部門的法律責任進行具體規定。立法應平衡好各法律文件之間的關系，優先適用特別法。

在立法過程中，必須充分維護金融消費者的利益，立法必須以實踐為基點，法律須表現出一定的執行力。同時，要平衡好各方主體的利益，尋找到利益的平衡點[4]。為了防止金融機構過分強調其監管職能的發揮而不履行本職工作，立法時應當在金融機構需要承擔的義務和維護消費者合法權益間尋找到平衡點。此外，有些機構在一些特定的情況下會基于社會公共利益的目的收集相應的金融個人信息，故而立法時也該對此作出相應規定。

（二）完善個人金融信息監管模式

金融監管體系的變革必須符合社會的發展，與行業需求保持一致。不僅應該確保各個監管機構之間的獨立性，在各自的職權范圍內進行監管，對違法行為進行相應的處罰，還應該在不同的金融監管機構之間構建起相應的交流合作平臺。因此金融機構應當制定監督管理規范，統一監督管理基準，業務規范，建立監督管理制度，完善財務制度，改善金融秩序，促進金融市場健康發展。

首先，必須建立金融司法和金融監管治理金融風險的協同機制。與民商法知識體系的司法監管模式相比，當代的金融監管模式之優勢更明顯。金融監管機構由于其專業性，往往能很好彌補司法監管模式的不足，更好應對金融糾紛。故而，在現今的金融社會中，有必要加強金融司法與金融監管模式的聯動發展，強化司法機關與金融監管部門的交流合作。一方面，金融部門可以向司法機關進行金融知識的宣傳教育，提高司法工作人員金融知識水平，從而有利于他們更好辦案。另一方面，法院也可以同金融部門進行溝通合作，使金融機構工作人員及時掌握最新金融法規，一旦發現違法行為必須立即予以處罰。此外，在追究金融違法者違法責任問題時，不僅要追究有關人員的民事責任，而且還應該讓行政處罰機關介入其中，讓違法者承擔行政責任，更有甚者應追究其刑事責任。這樣不僅可以在最大程度上打擊違法犯罪分子，而且還有利于維護社會的穩定與經濟秩序的健康運行。

其次，應當更新金融監管理念。如今，在大數據技術飛速發展的時代，金融消費者的個人信息正面臨著泄露的風險。隨著互聯網技術的成熟，金融行業也迅速掀起新變革，金融產品不斷更新換代，金融機構的分工不斷加強，金融機構為了行業的發展，收集和利用金融消費者的個人信息，消費者的個人利益受到侵犯，金融市場秩序遭到破壞。金融監管必須統籌規劃，同時實現金融消費者信息保護和金融發展兩個目標。如果說傳統金融監管的理念是促進金融業穩定發展，現行金融監督管理的理念應以權利為本位，保護好金融消費者的個人信息。

再次，我國應成立專門的金融消費者保護組織，監督損害金融消費者利益的行為，規范金融機構的行為，監管和協調保險和證券業，同時加強中國銀行保險監督管理委員會以及負責保護金融消費者的中國證券監督管理委員會之間的協調與合作，參與各個市場與行業之間的金融產品與服務提供，整合現有三家金融監管機構，保護消費者權益，建立全國獨立統一的消費者保護金融體系，形成制度保護合力。

（三）建立多元化救濟機制

首先，應當構建科學多元的糾紛解決機制。訴訟不應被當作首要唯一的糾紛解決手段，應開辟更多途徑，緩解司法壓力，減輕社會矛盾。因為訴訟所經歷的程序多且復雜，也需要付出一定的人力財力，整個訴訟程序走完需要較長時間，不利于糾紛迅速解決，而其他手段如調解便可很快解決糾紛，能夠在較短時間內緩和金融機構與金融消費者之間的矛盾，不會導致矛盾升級，有利于社會和諧穩定，且調解協議往往代表雙方當事人意愿，后期方便執行。應當充分發揮銀行業消費者保護協會的作用，鼓勵金融業的自律組織、消費者協會等機構參與糾紛，這樣可以更快更好地解決爭議，避免矛盾進一步擴散升級，而且還有利于金融消費者對相應的金融機構有一個全面的了解。銀行業消費者保護協會可以建立金融機構的信用評級制度，公開信用評估結果，并以此限制金融機構的行為。

其次，法院對于案情復雜、當事人人數眾多的案件，要積極地鼓勵與支持代表人訴訟與共同訴訟制度的運用，這樣可以大大提升司法效率，并且有利于金融消費者維權。這是因為金融消費者個人信息案件涉及的金融消費者人數較多，如果適用普通訴訟，訴訟費用通常是一筆大開銷，而且訴訟經歷的時間較為漫長，消費者舉證困難，故對消費者來說并不是最好手段。集體訴訟制度的適用可以集中訴訟成本，集中解決糾紛，節約了司法資源，防止司法機關因為案件眾多而導致辦案質量低。

再次，司法訴訟中還應該降低金融消費者的舉證難度。一直以來金融案件中適用的都是誰主張誰舉證的原則，然而在司法實踐中，金融信息即使被泄露也很難察覺出來，金融機構也很難通過法律的方式維護自己的合法權益。金融消費者因為其信息劣勢地位往往很難收集對自己有利的證據，金融機構及其工作人員可能會怠于提供，且金融信息具有虛擬性，難以收集，這些都導致金融消費者很難收集到相應的證據證明自己的主張，而且維權成本也較高[5]。因此在舉證方面，有必要要求金融機構承擔更多的舉證責任，降低金融消費者的舉證難度。我們可以循序漸進建立責任倒置規則，加強對弱勢群體的保護，傾斜保護金融消費者。舉證責任倒置規則通常被規定在民事訴訟中，而且該規則適用的范圍較特定，其在金融消費者侵權領域還是空白。該項規則應當被應用于金融消費者領域，以更好地保護金融消費者的信息免受或少受侵害。

最后，基于金融產品本身的高度專業性和知識復雜性，金融消費者個人信息侵權案件與通常的民事爭議相比，情況更加復雜。故而，應該將專家引入調解，不僅有助于更好地解決糾紛，而且有助于結果趨于平等化，避免矛盾進一步升級。

四、結語

大數據技術和互聯網的發展將對社會產生全方位的影響，在互聯網金融行業尤為突出。信息技術在帶來一些隱患的同時，也為互聯網金融創造了條件。大數據中包含著信息公開的內涵，然而這并不表明對隱私權保護的不重視，反之體現了維護公民隱私權的重要性。在當前背景下，立法機構應加快維護個人金融信息的立法保護，規范金融個人信息的侵權行為，采用民事維權途徑對個人金融信息利益進行保護。