央行執法活動中的個人信息權益保護問題研究

柴文梁 王振海

（中國人民銀行長春中心支行，吉林長春 130051）

一、《個人信息保護法》的立法亮點

2021年正式實施的《個人信息保護法》，是我國現行法律體系中，關于個人信息保護的首部專門性立法。習近平總書記曾強調：“網絡事業發展必須貫徹以人民為中心的發展思想，把增進人民福祉作為信息化發展的出發點和落腳點，讓人民群眾在信息化發展中有更多獲得感、幸福感、安全感。”《個人信息保護法》整合了分部在不同法律規范中關于個人信息保護的零星規定，系統化地梳理并規范了個人信息保護的原則、各參與方的權利義務以及信息處理規則等規定。

（一）擴展個人信息保護的涵蓋范圍

確定個人信息保護涵蓋范圍首先要明確個人信息這一概念的內涵，《網絡安全法》《民法典》以及《個人信息保護法》在最大限度保持立法一致性的基礎上，采取了層層遞進的方式對個人信息的概念進行定義。《網絡安全法》采用了“個人身份”這一標準來界定個人信息，①參見《中華人民共和國網絡安全法》第76條。《民法典》則采用“可識別”標準，②參見《中華人民共和國民法典》第1034條。而《個人信息保護法》在此基礎上，又引入了“關聯性”標準，增加關聯性標準的意義在于，在大數據時代，很多信息雖不能直接精準識別到個人，但卻與個人息息相關，并能對個人權益產生重要的影響，例如網絡地址、消費記錄等。因此，《個人信息保護法》在對個人信息進行定義時，在“識別”之外添加“有關”的表述，實質上是以擴張解釋的方法理解“識別”概念。此種立法方式，進一步擴展了個人信息的涵蓋范圍。

（二）明確個人在個人信息處理活動中的權利

個人信息處理活動中，個人權利保護的核心在于個人對信息的獨立控制和自主決策，即個人有權決定將自己的個人信息交由誰來進行處理、以何種方式處理，并能夠對信息的處理結果及風險作出合理預判。《個人信息保護法》設置了“個人在個人信息處理活動中的權利”專門章節，并通過第44條至第49條，規定了個人享有的多項權利。與《民法典》相比，《個人信息保護法》增加并更新了如查閱復制、更正刪除、指定轉移等多項權利，建立了更為完備的權利系統，此種制度設計能夠幫助個人更為有效地管理自有的個人信息，并能夠及時對信息處理可能引發的侵權風險進行預估及防范。此外，《個人信息保護法》還規定了已死亡自然人的近親屬的權利，近親屬為維護自身合法權益，可以對死者的個人信息行使查閱復制、更正刪除等權利。①參見《中華人民共和國個人信息保護法》第49條。

（三）強化個人信息處理者的義務

個人若要實現對自己的個人信息獨立控制和自主決策，主要取決于兩方面因素：個人信息處理者對個人享有的各項法定權利予以充分的尊重，以及個人信息處理者按照法律規定履行自身應盡的義務。《民法典》規定了信息處理者的一般義務，即禁止泄露篡改、禁止非法提供、采取必要安保措施以及補救報告義務。②參見《中華人民共和國民法典》第1038條。《個人信息保護法》采取了義務人自主管理和非自主管理并重的方式，進一步完善了個人信息處理的義務性規定。具體來說，主要包括以下幾方面內容：一是采取列舉方式，明確了個人信息處理者應當采取的六項措施來確保處理行為的合法性；二是規定了規模化的信息處理者應當指定個人信息保護負責人；三是建立了事前的影響評估制度；四是規定了個人信息處理者的補救和通知義務；五是增加了大型互聯網平臺義務的特別規定。

二、《個人信息保護法》對央行執法活動的影響

通常而言，為了履行提供政務服務、維護國家安全、懲治違法犯罪、管理經濟社會事務等職責，國家機關在日常工作中需要處理大量個人信息。為防止國家機關在個人信息處理中，因保護意識不強、操作流程不當、安保措施不到位等原因侵害個人信息權，《個人信息保護法》設置了規制國家機構處理個人信息的專節規定。央行作為國家金融管理部門，在開展執法活動中，需要處理大量的個人信息，也應當遵守《個人信息保護法》關于國家機關處理個人信息的特別規定。《個人信息保護法》對央行執法活動的影響體現在執法證據的收集和使用，以及對金融違法違規行為實施行政處罰方面。

（一）限定處理個人信息的目的和范圍

《個人信息保護法》要求國家機關只能出于公共利益考慮處理個人信息，即要求國家機關必須為履行法定職責處理個人信息，并規定了國家機關不履行個人信息保護義務的行政責任。具體到本文語境，央行執法活動只能出于履行金融管理職責的需要，進而處理個人信息。這要求央行的執法活動，應當依照法律法規規定的權限和程序開展，如違反法定權限和程序，則不僅可能造成執法行為的無效，還可能構成違法處理個人信息。此外，央行執法活動中處理個人信息的范圍也要接受法律的制度性約束，即“不得超出履行法定職責所必需的范圍和限度”。③參見《中華人民共和國個人信息保護法》第34條。

（二）規定處理個人信息的告知義務

取得個人同意，是最基礎的合法處理個人信息的前提條件，適用于一般的信息處理者。區別于商業經營者等一般信息處理者，央行開展執法活動屬于國家機關履行法定職責的行為，無需取得個人的同意，但要依照法律規定履行告知義務。值得注意的是，此種告知義務具有例外規定，即法律法規規定保密或無需告知的，這意味著國家機關在處理信息需要保密或告知將妨礙國家機關履行職責等情形下可豁免告知義務。

（三）限制個人信息的儲存地域

一般信息處理者對個人信息的收集和利用的目的在于商業利益或個人利益，而國家機關處理個人信息的初衷在于公共利益。這一不同決定了國家機關在履行行政管理職能的過程中，會不可避免地查詢、收集、使用大量的個人信息，其處理信息的范圍和數量遠遠大于一般信息處理者。由于國家機關對個人信息的處理行為不僅涉及個人的個體權利，法律要求只能將上述信息儲存在我國境內，確需傳輸至國外的，則應當進行安全評估。④參見《中華人民共和國個人信息保護法》第36條。對央行執法活動來說，執法活動中收集的個人信息，也應當遵守這一規定，即原則上只能在國內儲存。

三、央行執法活動中履行個人信息保護義務的建議

按照《個人信息保護法》，央行開展執法活動，在執法證據調取、收集前履行告知義務并取得信息主體的同意，無疑是風險最下的處理方式，但采取此種“一刀切”的處理方式，無疑會在很大程度上增加執法人員工作量，并且降低執法活動的效率，不利于對金融違法違規行為實施及時、有效的震懾。本文認為，可以從控制取證信息量、信息去標識化以及區分不同情況履行告知義務、取得個人同意三個維度入手，在履行法定個人信息保護義務的同時，最大限度地保障執法活動的效率。

（一）合理確定執法活動的取證范圍和數量

如前文所述，央行執法活動中，難以避免地會接觸大量的個人信息，《個人信息保護法》第6條規定，處理個人信息應當遵循“最小范圍”和“最小影響”規定。①參見《中華人民共和國個人信息保護法》第6條。這一規定，確立了我國個人信息處理的目的限定原則。這一原則著重顯示了對個人信息處理手段與目的之間的關聯性的考察，是比例原則中適當性與必要性原則混合，同樣體現了對個人信息利用和保護之間的平衡。央行執法活動中對個人信息的處理也要受到上述規定的約束，這就要求央行在執法活動中，應當在對個人信息權益所造成的影響與懲治金融違法違規、維護金融安全之間進行利益平衡。簡而言之，從擬認定的金融違法違規行為入手，結合執法活動實際，篩選出與相關違法違規行為最直接相關的個人信息作為執法證據予以收集、留存；同時，在證據的收集數量方面，保證證據證明力充分的基礎上，以能夠證明違法違規行為存在以及違法違規行為的次數為限，控制收集數量和范圍。這既是履行《個人信息保護法》“最小必要”規定所必須，也是最大限度降低執法人員工作量的合理選擇。

（二）采取技術手段對相關個人信息進行脫敏處理

《個人信息保護法》對個人信息定義的核心在于“可識別”，這也是個人信息的基本功能和價值所在。個人信息的脫敏處理，是采取技術手段，對個人信息進行去標識、匿名的過程，能夠最大限度地降低相關信息的可識別屬性，使得相關信息無法直接識別到具體的某個個人。央行執法活動中，可以采取脫敏手段對執法取證需要留存的個人信息進行加工處理，以實現最大程度保護個人信息權益的目的。個人信息的脫敏處理主要分為兩步，一是篩選出相關個人信息中的敏感字段，例如姓名、職務、聯系方式、住址、銀行賬號等；二是使用加密、遮蔽、刪除的方式，將篩選出的部分或全部信息進行去標識化、匿名化加工。具體的脫敏方法，可以參考國家市場監管總局和國家標注化管理委員會于2019年發布的《信息安全技術個人信息去標識化指南》中對于各種常見個人信息去標識化的規定。

（三）區分不同信息，全面、及時履行告知義務及取得個人同意

央行開展執法活動依法履行告知義務即可，無需取得個人同意。但應當注意的是，此種規定并不是絕對的，《個人信息保護法》規定在公開個人信息的場景下，應當取得個人的單獨同意。央行執法活動中，對于征信管理、支付結算、反洗錢等領域的某些金融違法違規行為實施行政處罰時，依法需要對相關違法違規行為的責任人實施行政處罰，并公開責任人的行政處罰信息，這就需要對不同類型的個人信息進行區分處理。一般來講，央行執法活動中處理的個人信息主要包括金融客戶個人信息和金融機構員工個人信息兩大類。其中，金融機構客戶個人信息主要包括客戶身份信息和交易信息，金融機構員工個人信息主要分為一般員工個人信息與違法違規行為責任人個人信息。對于金融機構客戶個人信息，可以通過最小范圍收集，配合最大程度去標識化的方式對信息進行處理。對于金融機構員工個人信息，要區分一般員工和違法違規行為責任人，對于一般員工，如執法活動中需要通過制作詢問筆錄等方式留存個人信息，需要履行告知義務。而對于責任人的個人信息，考慮到后續行政處罰及行政處罰信息公開問題，則需要單獨取得同意，建議以簽署書面同意書的方式，從而最大程度地防范侵權法律風險。