互聯網金融消費者金融信息權法律保護存在的問題及建議

黃國輝 寧 杰 鄭嘉泰

（中國人民銀行遼源市中心支行，吉林遼源 136200）

國家網絡安全工作要堅持網絡安全為人民、網絡安全靠人民，保障個人信息安全，維護公民在網絡空間的合法權益。在金融領域，基層央行在貫徹落實《中國人民銀行金融消費者權益保護實施辦法》(以下簡稱“5號令”)的過程中，不斷強化對金融消費者金融信息的保護，加大對金融消費者權益的保護力度。然而，由于互聯網金融活動中對金融信息的處理方式較為特殊，導致互聯網金融消費者金融信息權益頻遭侵害，如何對金融信息權益實施法律保護已經成為各有權監管部門關注的焦點。通過對“5號令”相關規定進行文義解釋，難以充分滿足日常監管履職的需要。因此，強化互聯網金融消費者金融信息權法律保護的研究具有理論和實踐意義。

一、互聯網金融消費者金融信息安全存在的問題現狀

（一）不當收集金融信息事件頻發

“5號令”第二十九條中對銀行、支付機構收集金融信息方面做出了明確規定，與業務無關的不可以收集；收集過程中不可以采取不正當方式；不得變相或者是強制收集。但互聯網金融平臺經常會基于其服務的復雜性和特殊性，以較為隱蔽的方式違法違規收集與業務無關的用戶金融信息。如，互聯網金融服務平臺在要求用戶提供必要的身份信息的時，附帶過度收集一些與注冊用戶無關、而與該平臺營銷相關的金融信息，或者平臺通過技術手段擅自采集用戶其它衍生信息，均屬于侵害金融消費者的金融信息權益。

（二）不當使用金融信息的現象日益嚴重

“5號令”第三十二條規定，銀行、支付機構不可以超出范圍使用消費者金融信息，并要求如果要使用用戶金融信息只可以在法律法規的規定以及雙方約定的用途以內。隨著互聯網金融領域在生活中應用場景不斷擴充，互聯網金融平臺違背誠信原則，將用戶金融信息販賣、向第三方提供或是濫用的情況屢見不鮮。部分互聯網金融平臺對內部員工缺乏管理，導致內部員工私下將用戶的個人金融信息倒賣給他人，從中獲取利益，嚴重危害了金融消費者財產及金融信息安全。

（三）金融信息泄露渠道日益增多

互聯網金融信息常態化是以虛擬數據的形態進行保存，由于互聯網本身存在開放性，在空間和時間上基本無法有效限制虛擬數據信息的傳遞，導致信息泄露后傳播速度極快、傳播范圍極廣，難以有效管控損害。相對滯后的法律監管制度，較為弱勢的互聯網金融行業自律，加之各家平臺公司信息安全管理制度的不健全，造成泄露消費者金融信息行為的違法成本過低，很難有效的約束和制止該侵權違法行為，也加劇了個人金融信息泄露進一步擴散的風險。

二、互聯網金融消費者金融信息權法律保護存在的問題

（一）金融信息概念的法律界定不明確

《民法典》頒布之前，我國民法未對“個人信息”的概念進行明確界定；直至《民法典》的頒布后，“個人信息”這一概念才在《民法典》第一千零三十四條中得到正式的定義。但《民法典》并未對個人信息的概念及范圍作出較為明確的界定。當前，不同行業對個人信息的內涵及外延都有其各自的規定，保護范圍的標準也各不相同。“5號令”第二十八條給金融消費者的金融信息作出了定義，但是“5號令”僅能夠適用于銀行和支付機構，無法規范大多數互聯網金融平臺。在金融科技革命的浪潮中，個人信息范圍快速拓展，如果法律無法對互聯網金融消費者金融信息的概念、法律保護范圍作出最為明確的界定，金融信息主體權益將會受到直接而深刻的影響。因此，界定“互聯網金融消費者”以及“金融信息”的基本概念與范圍都是我國對互聯網金融消費者個人信息進行法律保護亟需解決的問題。

（二）金融信息保護立法系統性不足

當前，我國對個人金融信息的法律保護并未形成完整統一的法律體系。相關規定散見于不同行業監管部門制定的部門規章或是規范性文件中，制定過程中缺乏統一的標準，相互之間缺少必要關聯，適用領域較為單一，要么是針對金融機構，要么是單獨針對消費者。即便內容中有針對互聯網金融消費者個人信息權的相關規章制度，也存在滯后性強、領域單一、層次不清、有效性差、操作性弱等問題，難以應付錯綜復雜的互聯網金融領域，不利于對遭受侵權違法行為的互聯網金融消費者實施有效的法律救濟和保護。

（三）侵權責任立法不足

《消費者權益保護法》第五十條對侵權的民事責任作出了規定，《民法典》第一百七十九條對承擔民事責任的方式進行了規定，《個人信息保護法》第七章對侵權法律責任進行了規定。但是，由于互聯網金融活動的特性，從采集、保存到使用金融信息的過程中所涉及環節較多、程序較為復雜，有可能會由多位的責任主體經手處理，導致對責任主體的認定和歸責等方面存在一定難度。根據“誰主張，誰舉證”的民事訴訟證據規則，認為自身權益受到侵害的金融消費者負有舉證義務，但是，一般情況下金融消費者是難以自力確定信息泄露源頭的，這也使互聯網金融糾紛舉證以及侵權認定變得更為復雜，有的侵權案件因為涉及多方侵權責任主體，經常會發生各方責任主體相互推卸法律責任、逃避法律制裁的情況，在缺少能夠對各方責任主體進行責任劃分的法律規范情況下，法律層面對于個人金融信息侵權的行政處罰存在依據不足、處罰標準不明確的問題。

三、國外對互聯網金融消費者金融信息權保護的立法實踐與啟示

（一）英國立法實踐

互聯網金融最早起源于英國，當時主要體現為P2P網貸。互聯網金融行業的快速發展也伴隨著相關金融糾紛的增多，英國為了更好的對其進行行業監管，于2014年將P2P監管納入金融監管局職責。英國在互聯網金融消費者個人金融信息保護立法方面也較為領先，其《數據保護法》中通過對個人數據概念及內容的界定、個人數據收集和使用的規范、互聯網金融消費者權利的賦予3個方面來保障個人數據的安全。同時設立英國信息專員辦公室，與英國數字市場部、通信管理局和金融市場行為監管局等重要監管機構密切合作，將采集消費者個人信息納入監管范圍，對有效監管信息采集機構起到重要的作用。

（二）歐盟立法實踐

歐盟對個人金融信息保護的法律非常具有特點，并且形成了體系，其中涵蓋了對個人金融信息法律保護的各個過程，從信息采集到刪除的各個環節都有法律進行嚴格規范。在收集個人金融信息方面，要求商家必須通過合法正當的途徑進行獲取，并且必須要在合理范圍內采集信息。在保存個人金融信息方面，《隱私和電子通信指令》規定了商家應采取一系列的保護措施，在消費者個人金融信息出現風險問題時，必須要第一時間告知消費者，從而保障消費者個人信息安全。在應用個人金融信息方面，《個人數據保護指令》要求商家在應用其信息時要確保用途正規，且必須要及時告知對方，還應當告知其享有的權利，信息使用完畢必須立即予以刪除處理。舉證責任分配方面，《遠程金融服務指令》規定，應當由服務提供方進行舉證。

（三）美國立法實踐

美國采用不同行業、不同領域各自立法的分散立法模式，對金融消費者個人信息保護確實具有較強的針對性，對隱私權的保護十分全面，當金融消費者的個人信息權益遭受到不法侵害時，有多重維權救濟渠道可以對其權益進行保護。如，美國的《消費者互聯網隱私保護加強法》詳細規范了互聯網金融經營者采集用戶個人金融信息前應盡的義務，且賦予了個人金融信息被販賣或應用至其他途徑的知情權以及一定的選擇權。又如，《公平信用報告法》明確了互聯網金融機構對用戶個人金融信息收集、使用限制，將部分信息列為敏感信息，限制第三方機構收集，并規定收集前必須征得當事人同意。美國最典型的維權措施當屬集團訴訟程序，即由多位小額消費者共同發起的集體訴訟程序。這種訴訟方式有助于幫助消費者跨越互聯網地域性限制，打破金融消費者維護自身合法權益的空間壁壘。

（四）國外立法實踐對我國的啟示

完善對互聯網金融消費者個人信息保護領域的立法，需要全盤考慮到本國的國情。國外在金融消費者個人信息權保護立法實踐領域有著自己獨特的立法模式，其中有很多立法思路和框架值得參考借鑒。其中，美國分行業制定法律對于跨域性極強的互聯網金融領域來說，很容易造成不同行業法律之間的法律適用沖突，形成監管機構互相推諉的情況。歐盟雖然采用統一立法模式解決了跨區域監管難的問題，但是互聯網金融領域發展速度過快，統一立法很難從節奏上緊跟其發展速度，立法保護實踐中容易存在明顯的法律滯后性。因此，應結合我國實際，在借鑒國外立法實踐經驗的基礎上，探索形成一套適合我國國情的立法體系。

四、互聯網金融消費者個人信息權法律保護相關建議

（一）完善立法體系

我國互聯網金融消費者金融信息安全保護處于探索階段，相關的法律、法規和制度可操作性不高、概念不夠具體、制度不夠系統等問題無法忽視，在互聯網金融領域發展速度不可逆的今天，建立一套統一、完善、可操作性強的立法體系已是大勢所趨。首先應以2021年11月1日起施行的《個人信息保護法》為基礎，結合我國國情及當前大數據、互聯網、云存儲技術的發展現狀，制定一部《金融消費者金融信息保護法》，以此為將來制定更加具有針對性的下位法或相關制度規范提供指導。各立法部門需要加強基層調研，不斷細化、分解、解決個人信息權保護工作中的重點和難點，形成一部具有穩定性的互聯網金融領域專門立法，并不斷地更新和調整低層次的法律規范，最終形成基本法為基礎，部門法為輔，互聯網金融領域專門立法為重點的系統化、立體化法律體系。

（二）明確立法內容

《個人信息保護法》的施行對于加快互聯網個人金融信息立法進程方面有著重要的借鑒意義，同時也為其他領域對于個人信息保護工作提供了基礎的法律制度保障，但在當前互聯網技術領域不斷更新發展、互聯網金融消費者信息權概念存在爭議的兩大背景下，《個人信息保護法》不太適合直接對不斷快速融合新事物、開拓新應用場景的互聯網金融領域進行保護，只有以各部門單元為輔制定互聯網金融領域專門立法并不斷更新才能解決法律的滯后性問題，而互聯網金融領域專門立法中至少應明確以下幾方面內容：一是需要明確金融消費者金融信息權的義務主體，由于互聯網金融在義務主體的認定上更為廣泛，存在與消費者之間沒有合同關系但是卻處于交易環節中的隱藏主體，對消費者個人金融信息安全存在潛在的威脅，因此需要明確義務主體，避免該情況侵權行為的發生。二是明確互聯網金融經營者的法律地位、從業資格及經營范圍等內容。三是明確互聯網金融消費者金融信息的定義、內容和范圍，規范互聯網金融經營者個人信息收集和使用規則。四是明確互聯網金融消費者金融信息侵權違法犯罪行為的法律責任和處罰辦法。

（三）健全法律監管體系

目前，人民銀行與銀保監會均設有金融消費者保護部門，但雙方的規章制度、監管職責以及監管范圍有所不同，容易出現監管重疊和監管空白的情況，且互聯網金融交易有著跨區域的特點，對其進行監管時也要充分考慮各地的監管規范，因此有必要形成一套完整的互聯網金融消費者金融信息保護法律監管體系。一方面可以明確一個專門的監管部門，并賦予其法律地位和法定職權，將所有互聯網金融機構和涉及到互聯網金融消費者金融信息的經營者進行統一監管。另一方面要做到有法可依，相應的監管職責細化和監管條例制定是必要的，對受理消費者投訴進行糾紛解決、對互聯網金融經營者進行監督檢查、對互聯網經營者內部職工的教育培訓這三點也應該納入監管職責中，這是完善法律監管體系的基礎，更能為互聯網金融消費者金融信息權保駕護航。