互聯網時代的個人信息保護之道

來源：金融電子化

加快制定個人數據保護法，是保護金融信息以及其他個人信息的正道。個人數據保護法不僅是個人的福音，也是數據處理者的福音。互聯網金融的客戶信息應受傳統隱私法、個人數據保護法同時保護，才最穩妥。

如何保護互聯網金融的客戶隱私權益？答案是，不要僅將其視爲隱私權益。

傳統隱私法所指隱私權益，是個人私生活不受幹擾的權益，主要體現之一是私人信息不得擅自公佈或宣揚。隱私權益不足以涵蓋個人在其個人信息中的所有利益。比如，並非所有個人信息都符合隱私的定義。銀行卡號、股票持倉情況是個人隱私，工作單位、電話號碼也是個人隱私嗎？同時，並非所有對個人信息的使用都涉及公開或宣揚。銀行可與基金公司共享客戶名單以方便後者推銷基金，也可以向基金公司收費後直接代其向客戶推銷。證券公司要求客戶在開戶申請書中填寫學歷、婚姻狀況甚至性取向，網站長期保存客戶的購物記錄拒不刪除，這些做法都切切實實令客戶受到困擾，但卻不一定符合傳統隱私侵權的構成要件，在司法實踐中也鮮有成功索賠的案例。

個人信息面臨新威脅

互聯網金融的客戶隱私保護應該放到一個更大的語境下討論，即信息時代的個人信息保護。“電腦+網絡”是互聯網金融的技術基礎，也是對客戶信息的利用以及由此產生的是是非非的源頭。比如銀行的分類客戶名址信息，可能是其他保險公司、基金公司夢寐以求的數據。從一千萬條個人數據中提取一百萬條，如依靠人工逐條篩選，可能需要幾千小時的人工耗時。但經由計算機處理，耗時不過是以分秒計。成本下降，商機產生。

互聯網技術給個人信息帶來的風險不容忽視，個人信息被海量彙集、瞬間全球傳遞、經年累月留存，不僅可能使本來無傷大雅的信息成爲隱私殺手，還可能導致個人數據形象受損，人格受控等新型的、更爲嚴重的危害。

個人數據保護立法的國外經驗

信息技術使個人信息具有了新的價值，也蘊含新的危險。有沒有利益和尊嚴兼顧，數據處理者和個人雙贏的可能呢？希望寄託在新的個人數據保護法上。

個人數據保護的立法工作可以追溯到上世紀50年代。當前，發達國家一般都有自己的個人數據保護法。各國立法各有特色，總結起來有以下共同點。

第一，保護所有個人信息，即與身份確定的某個自然人相關的所有個人信息。信息是否涉及隱私、是否具有敏感性、是否公開可得等在所不問。比如法國法院曾經判決，即使在公共網絡上收集到的電子郵件地址仍受個人數據保護法保護。

第二，規範對個人信息的數據化處理。如利用計算機對個人數據進行收集、整理、比對、互連，或將個人數據上傳到網絡，或將個人數據做成可供查詢的文件系統。英國法院曾經指出，在獲取個人數據信息方面，只有在手寫文件系統與計算機系統達到同樣方便的程度時，手寫文件系統才屬於數據保護的範圍。美國法院也曾指出，必須從分散於全國各地的法院、政府機關或者警察局的各種檔案中努力搜索後才能得到的公共記錄，與在一個計算機中就可查到的記錄之間存在巨大區別。

第三，建立對個人信息處理的全面規則。目前，得到各國廣泛認可的基本規則包括數據質量與安全、數據有限、數據主體參與等。這些規則要求必須保證數據真實全面可靠；數據處理必須有合法、確定的目的，數據處理不能超過該目的，完成目的後必須及時刪除；數據主體有權得到通知，有權查詢並要求修改錯誤記錄。比如，瑞典數據法規定，如果數據不準確，數據保存者將被處以罰款甚至監禁。在香港，職介所收集求職者的身份證副本、茶餐廳爲防假鈔收集顧客的身份證號碼、學校爲考勤收集學生指紋等現象，都被當地認爲構成過量處理個人數據。而根據歐盟個人數據保護法，從個人渠道收集數據，必須明示數據處理人身份、數據處理目的、提供數據是自願還是強制等信息。

第四，確立對個人數據處理相對而非絕對的權利。個人對第三方能否進行數據處理有相當的決定權，但這種權利受制於諸多例外。如用於公共利益、新聞自由等目的無需個人同意。歐盟還規定用於個人和家庭生活可不受約束。

個人數據保護法的任務是規定個人信息在何時、依據何種規則，可被數據化處理。是傳統隱私法的補充而非替代。二者區別在於，隱私法以禁止公開和宣揚個人隱私爲目的，對信息流動的態度是消極的；個人數據保護法以指引對個人信息的數據化處理爲目的，對信息流動的態度是積極的。隱私法保護人格尊嚴，個人數據保護法除保護人格尊嚴外還保護個人在信息處理過程中的經濟權利。信息技術發展至今，完全將個人信息置於數據化處理範圍之外已不現實。互聯網金融的客戶信息應受傳統隱私法、個人數據保護法同時保護，才最穩妥。

國內相關制度實踐

在個人數據保護方面，我國並非沒有嘗試。如中國人民銀行2005年發佈《電子支付指引》規定，銀行收集客戶資料時應告知收集目的，相關資料只能用於指定目的，對客戶資料應該保密。2009年，《中華人民共和國刑法》中增加了“出售、非法提供公民個人信息罪”和“非法獲取公民個人信息罪”。2013年，國務院頒佈《徵信業管理條例》，對徵信機構的個人信用信息處理進行管理。

不過，上述法律規定並未完全突破傳統隱私保護的侷限，沒有系統建立個人數據處理規則，難以規範數據處理者的行爲，也難以切實保護個人權益。例如，《電子支付指引》規定，只要個人不提出反對，銀行業金融機構可以“將個人金融信息用於產生該信息以外的本金融機構其他營銷活動”。但並未規定在第三方應用信息時必須通知個人，也未規定個人應通過何種途徑提出置疑或反對。

完善立法建議

加快制定個人數據保護法，是保護金融信息以及其他個人信息的正道。一些數據處理機構擔心利益受損，而對新法持懷疑態度。其實，個人數據保護法不僅是個人的福音，也是數據處理者的福音。

一方面，以法律保護爲基礎，個人數據更易得。據相關調查，90％的個人擔心身份在網絡中被盜用，20％的人因此放棄了網上購物，而多數消費者只要確定相關合理保障，願意配合相關數據用於合法目的。另一方面，有了法律指引，數據處理者纔可放心在技術、基礎設施等方面全心投入，專注挖掘數據的附加價值。數據處理者應積極爭取更爲合理的數據處理規則，而非不要規則。

比如，各國相關法律均規定數據處理需徵得個人同意。但“同意”可以是積極的，即事前徵得同意再處理；也可以是消極的，即處理後如被反對則停止。有美國學者曾經統計，在“積極同意”和“消極同意”的方案中，選擇迴應的人都在10％左右。這意味着對個人數據處理行爲，採用積極同意，只能得到10％的支持，而採用消極同意，則可得到90％人的支持。法律要求“積極同意”還是“消極同意”，反應出政府對個人數據處理行爲的不同支持力度，差別巨大。當前歐洲國家多採用“積極同意”，美國則多採用“消極同意”。我國如何選擇，一方面取決於國情，另一方面，數據處理者的合理訴求，也是重要的推動因素。