金融消費者信息保護的法律框架和糾紛類型研究

陳芊穎

上海市黃浦區人民法院，上海 200001

個人信息逐漸成為大數據時代的重要資源與財富，而金融消費者信息因其具有的可用性和稀缺性更加面臨著被販賣、被盜用的危險。《民法典》確立了個人信息權，作為其下位概念的金融消費者信息權益理應受到保護［1］。

一、金融消費者信息保護概述

金融消費者是消費者在金融領域的延伸和專門化，其是指購買、使用金融機構提供的金融產品和服務的自然人。金融消費者信息則是金融機構通過開展業務或者其他渠道獲取、加工和保存的個人信息，包括個人身份信息、財產信息、賬戶信息、信用信息、金融交易信息及其他與特定消費者購買、使用金融產品或者服務相關的信息。

對于金融消費者信息的保護最終要通過主體權利來實現，只有當金融消費者信息中所蘊含的利益轉化為法定的權利時，才能夠使金融消費者的信息利益得到保護。《民法典》確定了個人信息受到法律保護，金融消費者信息作為金融這一特殊領域的個人信息，亦應作為一種法定的權利由法律予以保護。金融消費者信息權是指金融消費者在進行金融消費時，對其個人金融信息享有絕對控制的權利，包括占有、使用、收益、處分，任何人不得擅自竊取、收集、使用，否則將承擔相應的責任［2］。

二、金融消費者信息保護法律框架

（一）法律

1.民法：原《民法總則》第一百一十一條將個人信息權從一般人格權中獨立出來，確立了個人信息權為自然人的一項基本民事權利。現行《民法典》第一百一十一條延續了原《民法總則》對個人信息權的規定，而個人金融信息作為個人信息的下位概念，自然亦受到《民法典》的保護。

2.刑法：《刑法修正案（七）》增設“出售、非法提供公民個人信息罪”以及“非法獲取公民個人信息罪”。《刑法修正案（九）》規定所有主體都可能構成侵犯公民個人信息的犯罪主體，并對侵犯個人信息行為的范圍進行了擴充。因此，侵害公民個人信息，情節嚴重的甚至會上升至犯罪層面［3］。

3.金融法：《消費者權益保護法》第十四條明確要求保護消費者個人信息，還間接肯定了金融機構所提供的金融商品或金融服務的行為受到《消費者權益保護法》的規制。《商業銀行法》規定了商業銀行應當保障存款人的合法權益不受任何單位和個人的侵犯以及辦理個人儲蓄存款業務時應當遵循為存款人保密的原則。

4.其他部門法：《網絡安全法》在第四章“網絡信息安全”設專章規定保護公民個人信息，其中亦包括個人金融信息。《反洗錢法》對反洗錢相關信息作出了規定。其中，新出臺的《個人信息保護法》規定了個人信息處理規則，同時規定了個人的權利與信息處理者的義務，還確定了法律責任。

（二）行政法規

《征信業管理條例》規定采集個人信息的原征信機構禁止采集的個人信息范圍，并設置“金融信用信息基礎數據庫”專章。

（三）部門規章及規范性文件

《中國人民銀行金融消費者權益保護實施辦法》（以下簡稱《實施辦法》）吸收了個人信息保護領域最新法律文件諸如《民法典》的要求，在第三章中對個人金融信息保護設置了專門的規定。其還規定了處理消費者金融信息應當遵循的原則，限定了金融信息的使用范圍等。除此之外，還有《國務院辦公廳關于加強金融消費者權益保護工作的指導意見》《個人金融信息保護技術規范》等相關規范性文件［4］。

三、現狀與不足

通過以上的列舉，我國金融消費者信息保護的法律框架主要體現在兩大范圍，一是金融消費者整體權益的保護，二是個人信息的保護。在《實施辦法》頒布之前，對于金融消費者信息保護的規定不僅數量少，而且體系散亂、內容滯后。同時，直接涉及金融消費者信息保護的規定大多出現在效力層級較低的規范性法律文件中，其具體保護措施并不能在實踐中很好地落實，使得金融消費者無法有效進行權利救濟。《實施辦法》出臺后才將這一局面進行了改變，其細化、落實了上位法要求的問題，并且在效力階層上屬于部門規章，相較于原《辦法》的規范性文件，效力更高。

然而，《實施辦法》雖然填補了個人金融信息保護方面的制度空白，但不足以改變我國金融消費者信息保護的現實困境。目前，我國金融消費者信息侵權的救濟手段之一是訴訟救濟，而《實施辦法》在規范銀行、支付機構提供金融產品和服務的行為，以非訟方式解決金融消費爭議方面尚可起到一定的作用，但作為部門規章，其在司法實踐中難直接適用于裁判。因此，對于金融消費者信息權的訴訟救濟仍然有賴于相關法律性文件的出臺。

四、金融消費者信息保護糾紛類型

通過相關案例查詢，筆者總結糾紛類型如下：

（一）取消不良征信記錄

該類型案件多為名譽權糾紛，個別為個人信息權糾紛。訴請基本為請求被告取消不良征信記錄以及賠償侵害名譽權或者相應人格權的損失。

原告要求取消不良征信記錄通常基于兩種原因：一是原告的債務已清償完畢。該類案件中，不良征信是真實的，故被告向征信機構報送真實記錄，并非捏造，不存在虛構事實和侮辱、誹謗等情形。但由于債務已清償，其原先報送的信息客觀上發生了變化，根據《個人信用信息基礎數據庫管理暫行辦法》第十一條的規定：“商業銀行發現其所報送的個人信用信息不準確時，應當及時報告征信服務中心……”被告理應將更正信息及時報告征信機構，協助消除原告的不良信用記錄。然而，盡管不良征信記錄客觀上為原告的生活和工作造成了相應的阻礙，但由于銀行征信系統相對封閉，相關信用記錄并未在不特定的人群中傳播，未造成原告的社會評價降低，故法院僅判決被告提請征信中心消除原告的不良信用記錄。

二是原告與被告之間無貸款或逾期，被告將錯誤的信息上報征信機構。該類案件，不良征信記錄因被告的過錯導致，并非真實存在。被告的錯誤行為客觀上影響了對原告的公正評價，導致原告名譽等受損。因此法院在判決消除不良信用記錄的同時也支持了名譽權等相關訴請。

公民的征信信息亦屬于金融消費者的個人信息，包括貸款還款情況等個人在經濟活動中形成的、能夠反映其信用狀況的信息。即使原告與金融機構沒有形成貸款等金融法律關系，該信息亦可能由金融機構從其他渠道獲取，侵害了原告的金融消費者信息權。該侵權結果可能會對金融消費者另外的金融消費產生障礙，如其因征信有不良記錄，無法向其他金融機構申請貸款。因此，無論上述何種情況，都是對金融消費者信用信息的侵犯，金融機構應當承擔相應的侵權責任。

（二）金融機構泄露個人金融信息

該類型案件可通過兩個案例來反映。案例一為原告在被告銀行處辦理教育代收費業務，被告未經原告同意，將原告姓名、銀行卡號等信息告知學校，并發布在班級群中。法院認為，原《民法總則》規定自然人的個人信息受法律保護，《商業銀行法》則規定為存款人保密，保障存款人的合法權益不受任何單位和個人的侵犯，是商業銀行的法定及合同義務。故被告的行為侵犯了原告的合法權益，應承擔相應侵權責任。本案中，銀行辦理教育代收費業務所獲取的家長的個人信息為金融消費者信息，銀行未經原告同意，將原告的個人金融信息發布于公開場合，侵犯了原告的金融消費者信息權。

案例二為一起隱私權糾紛：原告系“網紅”，在被告銀行處辦理貸款的過程中，原告應被告工作人員要求手持身份證，在被告柜臺處由被告工作人員拍攝照片，供貸款審批之用。后由于貸款等信息被銀行泄露，經大量的媒體公眾號轉載并配上不實的言論后，對原告工作和生活產生極大的負面影響。

法院根據各方舉證，結合日常經驗法則后認為，除了照片，博主還在該微博中準確披露了原告的貸款信息。由于被告無證據證明系貸款中介或原告本人向博主披露了貸款信息、提供了照片，而涉案微博中的照片與被告系統中留存的照片相同，根據民事案件中高度蓋然性的證明標準，可以推定原告的相關貸款信息及照片系自被告處泄露。貸款信息與公民個人的財務狀況相關，可能會使他人對公民的財務狀況產生一定聯想，對公民的正常生活造成干擾，故該信息應屬原告有權決定是否向不特定公眾進行披露的信息，屬隱私權保護的范圍。被告對原告的貸款信息應妥善保管，避免信息泄露。雖無證據證明系被告員工直接向博主爆料，但涉案的貸款信息來源于被告，被告因管理不善而導致原告的貸款信息擴散，與原告貸款信息泄露存在因果關系。該信息被爆料給娛樂博主，娛樂博主在微博上公開該信息后對原告造成了一定的負面影響，故被告侵犯了原告的隱私權，應承擔相應的法律責任。

（三）查詢銀行賬戶信息

該類型案件為財產損害賠償糾紛。原告因受他人欺騙，向被告銀行開立的某賬戶轉賬，后向被告多次請求提供詐騙賬號的戶主信息但遭到被告的拒絕。原告認為損失與被告的重大過錯有直接的因果關系，故被告應承擔損害賠償。被告辯稱原告要求調閱個人信息沒有法律依據，被告不得隨意泄露客戶的身份信息。法院認為：公民的個人信息受法律保護。而儲戶的身份信息、開戶和銷戶資料均屬于儲戶的個人信息，依照原《民法總則》及《商業銀行法》的規定，被告對儲戶的個人信息負有保密義務，不得隨意泄露。據此，對于原告請求向被告銀行調取所謂詐騙賬戶的身份信息及開戶、銷戶資料的訴請不予支持。

本案是從側面反映出對金融消費者信息權的保護。銀行在沒有法律與事實依據的情況下，不予提供儲戶的個人金融信息，保障了金融消費者的合法權益。法院根據對個人信息權保護的規定，依法判決駁回原告訴請，亦是事實認定清楚、適用法律正確的公正裁判。

五、基于現有糾紛類型看金融消費者信息保護的現狀

（一）權利指向不明導致救濟困難

由于個人信息權在我國民法中確立不久，因此在涉及個人信息權的案件案由仍多以一般人格權糾紛、名譽權糾紛為主。但個人信息權同時具有身份權與財產權的雙重屬性，如僅以侵權人是否侵犯了人格權進行審理，很可能作出侵權人并未侵犯相關權利的認定。比如在取消不良征信記錄的第一類案件中，法院審理后認為不良征信記錄客觀上為原告的生活和工作造成了相應的影響，但未造成原告的社會評價降低，故不成立名譽權糾紛。然而，若以侵犯個人信息權為方向，則銀行因未履行及時報告征信服務中心客戶信用信息改變的義務，造成對用戶信息的不當使用，侵犯了用戶金融信用信息權，應承擔相應的責任，從而保障了金融消費者的合法權益。

（二）金融消費者舉證困難引發雙重問題

金融消費者的舉證困難體現在兩個方面：一是由于金融消費者信息被不同金融機構所掌握，一旦發生侵權行為，金融消費者難以確認侵權的源頭，從而無法確認侵權主體與方式；二是由于金融機構的專業性與保密性，金融消費者難以獨自獲取信息被侵犯的證據。舉證困難的情況不僅使金融消費者在證明侵權行為與侵權結果之間存在因果關系上充滿障礙，對于法院而言，如何分配舉證責任，如何在現行法律框架內最大程度保護弱勢的金融消費者群體亦頗具難度。從上述隱私權糾紛案件即可看出其需要法官合理運用舉證責任分配，并對判決理由進行充分論述，才得以保障金融消費者的權益，而這無疑加大了司法審判的難度［5］。

（三）金融消費者信息權立法缺位亟須完善

盡管《實施辦法》的出臺填補了個人金融信息保護方面的制度空白，但因其部門規章的效力層級，在司法實踐中很難直接適用于裁判。根據上述案例可以看出，法院據以裁判的法律法規仍以一般人格權、名譽權相關內容為主。直接涉及金融消費者權益保護法律文件的缺位是造成上述相關問題的根本所在。在《民法典》確立了個人信息權為一項基本民事權利后，《個人信息保護法》業已頒布，其作為一般法可給予消費者最基本的權利保障。《個人信息保護法》頒布后，在侵權案件中權利指向不明的問題一定程度上可以得到解決，法院在審理相關案件時可不再僅限于人格權的范圍內進行裁判。

《個人信息保護法》明確了法律責任，除了行政責任之外，個人信息處理者不能證明自己沒有過錯，應當承擔損害賠償等侵權責任。因此，個人信息處理者在民事責任方面承擔的是過錯推定的侵權責任，該規定減輕了個人信息被侵犯者的舉證責任，在金融領域同樣適用。但正如上文所述，金融消費者在舉證中的困難亦基于金融領域的專業性與保密性，僅由一般法的規制不足以完全保障金融消費者的信息權，仍需同時出臺金融消費者相關的部門單元法，以形成普通法與特殊法相結合，全方面、多層級的金融消費者信息權益保護。