颜苏：金融控股公司框架下数据共享的法律规制 | 银行法研究专栏第16期

金融控股公司是当前金融改革和发展中的一个重点话题，国家“十三五”规划纲要明确提出统筹监管金融控股公司等。各大金融机构、国有企业、互联网企业等都纷纷抢滩，四大国有银行、中国平安集团、中信集团等都已经是事实上的金融控股公司模式。金融控股公司作为金融混业经营的一种模式，引发一系列需要关注的问题，其中金融控股公司内部消费者数据共享是一个焦点。目前我国在法律法规中，对于金融混业经营预留了窗口，但是涉及金融控股公司内部的数据共享却是空白。本文通过梳理和分析我国、美国、欧盟、中国台湾地区及相关国际组织的有关规定和实践，探讨我国金融控股公司框架内数据共享的基本制度。

颜苏：北京工商大学法学院副教授

一、金融控股公司模式下的数据共享问题

个人数据保护已经是国际社会最关注的议题之一，目前各种个人数据保护的框架和原则已经逐渐成型，各国也大量出台法律法规。接下来的重点，将会是形成各个行业和领域中特殊性规则，例如电子商务、医疗卫生，其中一个重要领域就是金融领域中个人数据保护的规则。传统上，以银行业为核心的金融行业个人数据保护，主要集中在保密和安全保障规则，即银行业金融机构承担为客户数据保密的义务，为确保数据安全进行制度和设备建设。归纳而言，这种传统框架可以称为个人金融数据安全权，例如《人民银行关于银行业金融机构做好个人金融信息保护工作的通知》（银发〔2011〕17号）（以下简称《人民银行第17号文》）主要体现的就是构建我国个人金融信息安全权。但是，在金融混业经营和大数据技术应用等背景下，数据共享成为了最受关注的问题。个人数据在金融机构进行精准营销、风险控制、改善经营、服务创新和产品创新等过程中占据着核心地位。以金融控股公司为载体的金融混业经营形式，使得金融控股公司借助数据，打通消费者不同金融需求的全领域的金融生态，形成一站式的金融超市。美国在进行1999年《金融服务现代化法》立法时已经意识到，组建一个金融控股公司的原因之一就是可以交叉销售那些由母公司共同拥有的关联机构的产品，这种交叉营销的优势可能会对客户金融信息隐私构成威胁。所以，经过长时间的辩论之后，美国国会在该法中设置了第五编，专门规定了各项措施以保护金融机构的客户的隐私，规范金融隐私权保护的问题。由于自身的法律和文化传统，《金融服务现代化法》并没有给出金融控股公司的直接定义，而是规定了合格的银行控股公司可以转变成金融控股公司。我国台湾地区在其《金融控股公司法》第4条明确规定，金融控股公司是指对一银行、保险公司或证券商有控制性持股，并依本法设立之公司。一般认为，金融控股公司可以定义为：在银行、证券、保险、基金、信托、期货、金融租赁等两个或两个以上金融领域拥有牌照、实际经营或者实际控制该行业企业的公司，都属于金融控股公司。与金融控股公司（Financial Holding Company）相关的概念还有金融集团（Financial Conglomerate）、全能银行（Universal Bank）等。金融集团是欧盟和巴塞尔委员会使用的法律概念，其内涵涵盖了金融控股公司和全能银行两种模式。从法律意义上讲，金融控股公司采取母子公司的结构，在母公司层面实现混业经营，而在子公司层面实行分业经营，一个独立法人经营一类金融业务。而全能银行是公司和内部事业部的模式，一个法人可以经营所有的金融业务。这里所要关注的就是金控控股公司框架下不同子公司之间，以及与控股公司之外的关联公司和非关联公司之间的消费者数据共享问题。

金融混业经营大势所趋，金融控股公司作为我国选择的混业经营的具体模式，会带来规模经济和范围经济等优势，然而，金融控股公司框架下的数据共享，会使得原本就存在的个人金融数据保护的问题更加尖锐，促进金融业创新发展加强和金融隐私权保护之间的确存在一定的冲突。数据共享可能会带来一系列的风险：首先是个人数据被滥用，尤其是在混业经营条件下，配合以金融科技，金融机构占有的个人金融数据成几何倍数的增加，金融机构采用云计算、大数据等技术，使得数据集中成为趋势，一旦数据泄露带来的危害更加巨大，这就使得个人数据的安全保障更加凸显；其次，由于金融机构对个人金融数据的掌控更加全面，通过数据画像等技术，可以获取个人的全部生活习惯和细节，通过深度分析，一方面可以开发更加精细和低成本的金融产品，但是另一方面，数据的使用脱离消费者的控制，违背消费者的初衷。不仅仅给消费者的生活造成困扰，当数据使用违背原始目的时，甚至会直接侵害消费者的利益，例如数据带来的歧视问题，等等。有鉴于此，2017年世界银行发布的《金融消费者保护良好做法》中，对保护金融隐私权提出了三方面的要求，其中之一即是客户信息共享。对于数据共享问题，我国目前已有了一定的研究基础，但对于金融控股公司框架下的数据共享所引发新的问题，在我国法律中还存在诸多空白。根据《人民银行17号文》第4条规定，银行业金融机构使用个人金融信息时，应当符合收集该信息的目的，并不得向本金融机构以外的其他机构和个人提供个人金融信息，但为个人办理相关业务所必需并经个人书面授权或同意的，以及法律法规和中国人民银行另有规定的除外。这里提供给银行业金融机构的例外，仅限于个人办理相关业务所必需并经个人书面授权或同意的，以及法律法规和中国人民银行另有规定。中国人民银行需要在《金融控股公司管理办法》中，对于数据共享问题予以明确的回应，规定数据共享的范围、条件、目的；对隐私政策说明书的制订与披露，也需要给予明确的规范。

二、传统“知情—选择”机制的分析和批判

一般金融控股公司消费者数据保护的模式是“知情—选择”，即确保消费者了解金融机构的隐私政策，知道金融机构对个人金融数据的收集和使用情况，进而由消费者做出决定是否允许金融机构收集自身的金融数据，并用于确定的目的，最终由消费者来做出知情决策（Informed decision）。这一制度的核心是消费者选择权的设置。美国《金融服务现代化法》赋予了消费者 “选择放弃（Opt-out）”权，如果消费者没有明确告知银行不同意银行向非关联第三方披露自己的信息，即视为消费者同意银行可以向非关联第三方披露信息。该制度虽被世界上众多国家和地区所采用，但是本身存在争议，遭致了许多批评。这些批评集中在：

一是适用对象仅针对非关联第三方，关联方被认为可以不受限制的共享数据，而且消费者没有反对的权利。《金融服务现代化法》中最受诟病的规定就是不限制金融机构在关联机构内部使用客户信息，金融机构仍然拥有未经事先通知或给予选择机会即将客户非公开个人信息披露于它的直接联营机构或者子公司。金融机构在利用关联机构客户信息时，只要不涉及非联营第三方，就不受该部分内容限制，无需提前予以通知。因此，虽然《金融服务现代化法》在金融隐私权保护方面是一大进步，但是对消费者权利尊重的同时，它还是为相对倾向于金融行业，为金融效率的提高留出了更多余地。

二是“选择放弃”权无法适应市场环境。在金融机构大量采用大数据技术的时代，以往建立在“目的明确、事先同意、使用限制”等原则之上的个人信息保护制度，在大数据场景下变得越来越难以操作。一项来自卡内基梅隆大学的研究结果指出，如果美国人真的去阅读那些他们所访问的主要网站的隐私政策的话，那么他们每人每年平均将会在这个事情上花费掉200个小时。选择可能给金融机构带来巨大的成本。与“选择放弃”对应的是“选择同意”（Opt-in）权，如果消费者没有明确告知银行他不同意银行向非关联第三方披露自己的信息，即视为消费者反对银行向非关联第三方披露信息。如果采取“选择同意”模式，将可能有利于消费者，但这只是一种理论上的利益。金融机构要获取消费者的同意，就必须投入更大的成本，增加人力。根据有关研究，美国《金融服务现代化法》实施之后，金融机构寄送首次和年度隐私政策说明书以及“选择放弃”说明书需要支付巨大的成本，美国银行业抱怨称，“2001年花费在寄送通知单上的费用高达1亿到2.5亿美元”，在大量的消费者中，“真正‘选择放弃’的消费者的数量非常低，最高比例也不会超过5%，而最低的比例估计根本都不到1%。”另一方面，消费者可能怠于行使自己的权利。选择权的行使受到个人与金融机构不对等关系的影响，消费者还可能担心银行在内部设置黑名单，将某些选择的结果纳入银行自身的征信管理体系，造成消费者不得不做出违背本心的选择。这些因素都导致选择制度的设计，无法达成初始目的，银行与个人之间的不对称，将使得相关设置无法发挥作用。

三是“选择放弃”权适用的例外过多。《金融服务现代化法》中规定的“选择放弃”制度，仅仅针对非关联第三方。根据研究分析表明，美国《金融服务现代化法》采用“选择放弃”，实际上是金融业界在立法游说中的一大胜利。“选择放弃”制度下消费者往往对银行的通知不作任何回应，而这本身就等于银行获得了消费者的同意可以向非关联第三方披露消费者非公开的个人信息。在“选择同意”制度下，银行必须获得消费者明确同意才能向非关联第三方披露非公开的个人信息，这就增加了银行披露信息的成本。此外，“选择放弃”制度还设置了共同营销例外（第502（d）款）和法定例外（第502（e）款），即在共同营销例外或某些法定例外的情况下，消费者不得阻碍银行非关联第三方分享消费者非公开的个人信息。

不可否认，赋予消费者选择的权利至关重要，问题的焦点在于制度设计的成本与合理性。除法律明确规定的可以共享的情形外，赋予消费者反对的权利是保护消费者的最后一道阀门。今后制度改进的重点，应该放在数据共享的范围、条件，以及隐私政策说明书方面的完善。

三、金融控股公司框架下数据共享的范围和条件

金融控股公司的数据共享涉及到公司内的共享和公司外的共享，不同的共享主体之间，对于数据共享的范围和条件，必然有不同的要求。

1．关联企业的数据共享

允许关联企业之间不受控的共享对于消费者的权利保护存在不利影响，更像是对金融业的一种偏袒，因此关联企业之间的数据共享也应该遵循一定的规则。

首先，应赋予消费者“选择放弃”的权利。虽然《金融服务现代化法》规定客户对于金融控股公司内部的关联企业的数据共享，不享有“选择放弃”的权利，但是这种做法在美国一些州法的层面上出现了不同的规定。根据《金融服务现代化法》的规定，美国各州可以制定法律给予消费者更大的保护。加利福尼亚州于2003年8月制定了《加利福尼亚州金融信息隐私权法》，并于2004年7月1日生效。该法要求金融机构在同任何非关联第三方共享客户的非公开个人信息前，应获得客户的书面同意（“选择同意”）。此外，金融机构必须为客户提供机会，可以“选择放弃”关联机构间的信息共享。但是信息可以在具有同一个功能性监管者的关联机构间共享（仍受若干其他条件的限制），即使客户已经一般性的选择退出了金融机构的关联机构间的信息共享。我国台湾地区在进行金融控股公司立法时，对金融控股公司内部子公司之间的信息共享进行了一定的限制。同一金融控股公司之子公司间依使用目的得交互运用其客户数据进行营销。

其次，通过对数据进行分类也将起到限制作用，例如，对敏感数据就提出更高的要求。根据欧盟1995年《个人数据保护指令》第8条的规定，对于涉及消费者个人民族、人种、政治观点、宗教或哲学信仰、贸易联盟成员、健康或者性生活的敏感数据，没有消费者的明确同意，任何人不得处理。除非是特定的情况，包括法律授权、为消费者根本利益、非营利机构、数据已被公开化等，在没有获得同意的情况下，才可以处理敏感数据。我国台湾地区《金融控股公司子公司间共同营销管理办法》规定，金融控股公司子公司间交互运用客户资料时，如果没有法令的另外规定，或者经客户签订契约或书面明示同意者，所共享使用的数据不得包含有客户姓名或地址以外之其他数据。这种规定也是对子公司相互共享的一种限制。

最后，数据收集和使用应该受到目的限制。我国台湾地区的规定要求金融控股公司之子公司间共享消费者数据，只能出于营销的目的，不能为了其他用途。数据收集和使用的目的也是欧洲的很多监管当局先后提出要求，信息应仅用于初始采集目的，而不能用于任何其他不相关的目的。由于金融市场的不断扩展，消费金融的快速发展，电子支付更加便利，人们对金融体系的依赖日益加深，与之相对应的，个人的金融数据数量巨大，涉及范围广泛，通过金融数据的深度挖掘，可以绘制出个人的全景图形，个人的生活习惯、爱好、轨迹，都将无处遁形。过度的数据收集，难以避免对客户进行数据画像，这对于金融机构有利，但是对于个人却是蕴含了巨大的风险。因此，即使是金融控股公司内部共享数据，也需要受到搜集和使用目的限制。

2．非关联企业的数据共享

非关联企业的数据共享相比金融控股公司子公司之间的数据共享，显得更敏感，因此是各个国家和地区规范的重点。通常为了经营的需要，符合一定的条件，非关联机构之间应被允许数据共享，但是如果限制条件设置不当，例外情况过多，仍然会存潜在的威胁。

首先是法定的非关联机构间的数据共享。《金融服务现代化法》规定了两个例外，其中之一是《金融服务现代化法》第502条（e）款“法定例外”规定的八种情况下，银行也不必向消费者提供“选择放弃”权，而可直接向非关联第三方披露消费者非公开的个人信息。依据上述法定例外而获得消费者非公开个人信息的第三方可以向其关联公司或者给予其信息的银行的关联公司披露消费者的信息，它也可以依据这些法定例外使用该信息或者将信息披露给其非关联的第三方。我国台湾地区也有类似的规定。这主要是出于公共利益的考虑所必须的数据共享。

其次，非关联机构数据共享的目的限定。《金融服务现代化法》第502条（d）款“共同营销例外”规定：如果非关联第三方为银行或者代表银行从事义务，银行不需向消费者提供“选择放弃”权，即可与该第三方分享消费者非公开的个人信息，但银行必须告知消费者它将有关信息披露给该第三方，并且银行须与该第三方签订协议，要求后者确保这些信息的保密性。美国法律未对收集消费者信息的目的做出明确的规定，只是在电子资金转账、信用卡发放等方面法律间接的规定了收集信息的目的。2013年经济合作组织（OECD）通过了《保护个人数据隐私及跨界数据流动指南的修订建议》，根据目的特定原则（Purpose Specification Principle），要求至少在数据收集之时，就应该明确数据的使用目的；如果后期数据使用目的发生变化时，亦应做同样的说明。依据欧盟的法律，处理数据必须出于特定的目的，如果不是出于特定的目的，数据控制人必须获得消费者明确的授权才能使用后者的数据，或者使用数据是为了诸如履行合同或者服务于消费者“根本利益”等所必需。2016年欧盟《通用数据保护条例》第5条规定了“目的限制原则（purpose limitation）”规定，为了特定、明确以及合法的目的收集，如果不符合上述目的不得进行进一步的数据处理，除非是为了公共利益、科学，或历史研究、统计目的而做进一步处理。然而大部分国家都认为合目的性要求并不是对日常的金融信息利用进行过分限制，同时允许金融机构对金融消费者授权的目的进行一定范围内的合理的扩大性解释。一般的银行隐私政策说明书中的“为了消费者的利益”过于宽泛，没有明确的指向，不具有可操作性，实际上是任由金融机构解释。这种扩大解释必须是与原授权目的有合理关联度。

最后，金融机构选择非关联第三方时，还应该承担选任责任，即应选择合格的第三方。巴塞尔委员会有关金融科技的报告，明确指出应关注外包方的风险。我国监管机构对金融机构选择金融科技公司有明确的资质要求。《人民银行第17号文》规定，银行业金融机构通过外包开展业务的，应当充分审查、评估外包服务供应商保护个人金融信息的能力，并将其作为选择外包服务供应商的重要指标。银行业金融机构与外包服务供应商签订服务协议时，应当明确其保护个人金融信息的职责和保密义务，并采取必要措施保证外包服务供应商履行上述职责和义务，确保个人金融信息安全。《银行业金融机构信息科技外包风险监管指引》第七章“银行业重点外包服务机构风险管理要求”对外包服务机构的资质、组织机构、内部控制等有明确要求。

3．金融科技与数据集中处理会带来的新问题

当前金融业的发展状况与上世纪90年代末相比已经发生了天翻地覆的变化。一个趋势是银行业金融机构一方面成立数据中心，一方面成立金融科技公司。根据金融稳定理事会（FSB）的定义，金融科技是指技术带来的创新，能创造新的模式、应用、产品，从而对金融市场、金融机构或金融服务的提供方式造成重大影响。金融科技则主要是由外部科技公司对传统金融行业所提供的产品及服务进行革新，可以解决传统金融的信息采集、风险定价模型、投资决策、信用中介等痛点，大数据、云计算、人工智能、区块链等均是金融科技的重要技术推动力。金融科技公司包括两类：一是独立于金融机构的金融科技公司，二是金融机构下属的金融科技子公司。独立于金融机构的金融科技公司应该属于上文所述共同营销例外或者法定例外，或者受非关联机构规则的规范。其中，金融机构下属的金融科技子公司，应该是金融控股公司框架下最关键的问题。美国通过明确规定，确保了金融科技公司共享数据的合法性。美国监管条例Y（Regulation Y）第28条14（ii）款规定，银行控股公司可以下设从事数据处理、存储和传输的科技公司。银行控股公司可将金融数据与该科技公司共享，而无需用户同意。我国当前银行业金融科技公司发展迅速，例如兴业银行开创了银行系金融科技子公司的先例，2015年12月设立兴业数金，此后，2015-2018年间，平安集团、招商银行、光大集团、建设银行和民生银行相继成立了各自的金融科技公司。金融科技可以将许多以往不可见、不可度量、不可存储与不可分析的事件数字化，从而颠覆性地改变对信用识别、获得、评估、风险定价等方式的运用，以此来发现和挖掘金融的潜在需求，为客户创造价值。金融科技的底层技术或者说是核心技术是大数据技术，其他所有的技术都是在数据的基础上进行发展。金融业是一个强数据导向的行业，大数据技术的发展极大地促进了金融行业的发展，其在金融行业的应用目前主要包括了风险控制、风险定价、舆情分析和精准营销等领域。大数据对金融行业最根本的推动作用在于其可以帮助金融企业发现市场真相，进而能够更好地进行资源的优化配置。以往的金融混业的优势，也仅仅是在交叉销售的时候相互利用对方掌握的数据，通过交叉销售更大范围的扩大业务范围，现在更多的是将数据集中，通过金融科技对数据进行深度挖掘，获取前所未有的价值。

四、隐私政策说明书的完善

消费者的知情权同时又是消费者其他权利的先决条件，例如修改权、救济权等等。无论是美国还是我国台湾地区，都将隐私政策说明作为重要的内容。隐私政策说明书实际上起到两方面的作用，一是保障消费者的知情权，二是确保金融机构免责。根据美国法律法规的规定，对一般的消费者，银行在透露消费者的财务隐私之前，必须向消费者提供初始的隐私政策说明书（Initial Privacy Notice）。对与银行已经建立客户关系的客户，银行必须在客户关系建立之时向客户提供初始的隐私政策说明书，在客户关系持续期内提供年度隐私政策说明书（Annual Privacy Notice）。美国的隐私政策说明书一般包括银行的隐私政策及消费者金融信息收集和共享情况，必须包括以下内容：（1）银行收集到的所有个人金融隐私的种类；（2）银行透露的所有个人金融隐私的种类；（3）向哪些隶属机构、非隶属机构透露了哪些个人金融隐私，包括金融机构和非金融机构等；（4）银行向以前客户披露的信息，以及银行向关联机构和非关联机构所披露的信息；（5）银行如果向关联机构或者非关联机构披露信息，应该披露银行与该机构所签订的披露信息的协议；（6）向消费者说明可以选择退出的权利；（7）《公平信用报告法》下的有关豁免关联机构相互间信息共享的权利；（8）银行为了消费者的金融隐私安全和保密所实施的政策和措施；（9）其他有关的披露。我国台湾地区《金融控股公司子公司间共同营销管理办法》规定的对个人知情权的保障较为完善，一是在合同中明确规定数据使用的条款，要由消费者签字确认或其他方式确认，同时还要列明使用数据的子公司名称，并且一旦金控集团内部组织架构变化，应对子公司增减的情况以网站公告的形式通知消费者；二是对于相关条款，要求要有明显字体提醒消费者注意，并且要明确告知消费者有权随时停止对其相关数据共享；三是金融控股公司之子公司一旦接到消费者通知，就必须停止使用消费者的数据，并且按照消费者所确认的授权使用的子公司的范围执行。并且规定，将共同营销的子公司名称及其保密措施在公司网页公告，并且以书面或者电子邮件方式通知客户，告知客户数据收集方式、储存及保管方式、安全及保护方法、分类、利用范围及项目、利用目的、披露对象、数据变更修改方式、选择退出方式等。

而当前我国金融机构的隐私政策说明书内容简单，难以了解银行内部的运行规则。大多数银行的隐私政策仅仅不到一页纸，例如某大型国有银行网站上的声明“我行可能将您的个人资料转交我行的成员机构，但会在法律许可的范围内进行。我行可能会把您的相关信息提供给与我行联合提供业务的合作伙伴，但该合作伙伴仍需对您的相关信息进行保密。”这里用词都是“可能”，而“成员机构”和“联合提供业务的合作伙伴”都没有明确的定义和范围，具体哪些机构，在什么样的条件下，为了什么样的目的共享数据，消费者根本无从知晓。与此不同的是，一些互联网金融企业在隐私政策方面所做的披露要更加翔实。例如蚂蚁金服的隐私政策说明书包括：隐私政策概述、如何收集个人信息、如何使用Cookie、Beacon、Proxy等技术、如何存储和保护个人信息、如何使用个人信息、如何分享个人信息、访问和控制自己的个人信息、对第三方责任的声明、未成年人隐私权特别约定、政策的适用及修订、本政策中关键词说明。

隐私政策说明书在制定时，应该考虑消费者的行为模式。一方面，隐私政策说明书的内容需要规范，另一方面，披露的格式本身，将极大的影响隐私政策说明书发挥应有的效果。将所有的隐私政策内容都集中于说明书，虽然可以保证消费者能够了解所有的情况，然而实际上，由于阅读隐私政策说明书需要花费大量的成本，一旦隐私政策冗长晦涩，将会事实上排除可读性。因此对隐私政策说明书本身，也应该有一定的规则，必须做到更加的清晰、简短和标准化。实际上，隐私政策说明书的设计，可借鉴金融产品信息披露文件的做法，重点在于获取消费者做出决定最需要的关键信息，尤其当消费者在众多金融机构之间进行选择时，信息可比性的要求远远大于“真实、全面、及时、有效”的原则。因此，欧盟第29条数据保护工作组研究认为，应该采用易于理解的语言和方式，使用简洁明了的说明模式，重在确保消费者容易的获取必要信息。说明书的模式可分为三类：简短说明书（the short notice）、摘要说明书（the condensed notice）和完整说明书（the full notice）。

结语

在我国金融控股公司管理办法的制定过程中，数据共享规则不可能一蹴而就，但需要规定数据共享的基本框架。制度构建的原则必须保持商业利益发展与消费者金融隐私权保护的平衡。规定完善的隐私政策说明制度，通过将隐私政策说明书设计的简明和有效，保障消费者的知情权；选择放弃权的设计应赋予消费者，对于金融控股公司框架下的各种类型的数据共享都拥有反对权。今后还需要密切关注金融科技对于数据共享框架的影响，对产生的新问题予以规范。

（本文刊载于《法学杂志》2019年第2期；为方便阅读，本文已删除注释；感谢颜苏老师授权本专栏刊载。）

专栏主持人：何海锋，法学博士，北京市天同律师事务所顾问。

专栏介绍：当前我国银行业发展日新月异，商业银行从单一存贷款业务走向混合经营和网络经营，各种新兴银行业态不断出现，开放银行方兴未艾，银行监管的理念、框架和方式也在调整升级，《商业银行法》《银行业监督管理法》等法律修订和完善势在必行。在此背景下，银行家杂志推出《银行法研究专栏》，分享最新最重要的银行法研究成果，为银行法的修订完善以及实施落地提供参考，敬请关注。

专栏文章列表：