杨帆：个人信用保护的范式转换——基于平台信用评分视角

点击蓝字

关注我们

杨帆：西南政法大学经济法学院博士研究生

本文原载《重庆大学学报（社会科学版）》2021年4月20日网络首发，转载对注释与参考文献进行了省略。

摘要

网络平台创设的个人信用评分，本质上属于现代信用治理机制，是社会信用协同治理的重要工具。平台利用信用评分算法扩展了信用信息范畴，导致网络空间的个人信用保护出现信用信息边界不清、制度利益失衡的困境。公权力制约私权力范式难以回应当代个人信用保护需求，应当转向以权利制约权力范式。个人信用难以融入既有民事权利或抽象化为信用权，因此，法律创设个人信息权是根本解决方法。简而言之，必须从平台信用评分活动的经济本源出发，围绕个人信息权，在信息流通责任规则与救济机制的配适下，塑造个人信用保护的新路径。

关键词

信用信息；个人信息权；信用治理；信息流通；信用评分

一般认为，当人格信任难以满足交易需求时，信用就开始依赖中央型权威的背书供给。由于无法克服要约与承诺兑现的同步性，故需要以条款、程序、制裁等规范方式来解决时间迟滞造成的信息不对称问题。沿此种路径，信用控制上升为超越市场调节与政府调节的“第三种调节”，通过制度化提炼最终进入法律范畴。信息社会中的信用以信任为内核，是一种典型的去中心式关系。行政组织通常以权力为媒介，将简化社会复杂性的过程集中化，形成统治与信任的两难困境。相对体现自由意志的、通过契约形成的经济组织就成为行政组织观测、监督、控制个体信用的重要枢纽。

网络平台创设的个人信用评分，置于国家与个体之间。平台以精准营销为出发点，利用信用评分算法评估个人信用风险水平。平台生产的个人信用评分成为个体声誉在信息社会中的重要延伸。在数字经济发展需求、底层技术架构、网络规模效应的共同作用下，平台利用信息与算法创设了低成本、高效率的信用治理工具，客观上弥补了行政组织的信用治理缺憾，成为社会信用协同治理的核心行动者，在增强优势地位与协助信用治理之间维系平衡，日益转化为传统“公权力—私权利”构造之外的“私权力”。商业实践显示，信用评分算法极大地扩展了可用于评判信用的信息范畴，深刻地影响着个人信用保护的制度安排。因此，在我国社会信用协同治理的历史背景下，分析个人信用保护困境的深层原因，重塑个人信用保护范式，促使网络空间“权利—权力”结构重归均衡势在必行。

一、个人信用保护的新型困境

网络环境下，个人信用保护面临着信用信息边界模糊与制度利益失衡两方面问题。前者源于信息技术、商业实践与法律规范的错位。就后者而言，我国的信息公开基础制度环境，以个人信息保护标准为主要构成的个人信用保护制度，以及回避与简化信用内涵复杂性的《民法典》，三者结合加剧了网络空间个人信用的保护难度。

（一）信用信息保护边界不清

当前，大多数国际组织采取“描述+列举”信息类型的方式界定信用信息概念。全球普惠金融合作伙伴组织将信用信息界定为使用数字工具与信息系统而产生的大量个人信息。国际征信委员会认为信用信息本质上是用于描述“收集与使用征信信息的一种方法”。而信用法律制度较发达的美国采取锚定信用报告机构的模式。《公平信用报告法》提出信用信息是“由信用报告机构提供的有关消费者信用状况的可靠度、名声、能力、性格、名誉、个人特点或生活方式的任何形式的个人信息”。法律认可信用报告机构采集与制作信用报告的任何信息均属于信用信息。

商业实践中，信用信息主要存在两种类型：一是个体自然生成的基本身份信息，二是来源于传统金融机构以外的非借贷替代信息，如社交媒体信息、网页浏览历史信息、网络消费信息等。替代信息被广泛地应用于个人信用商业实践。英国Visual DNA 公司利用心理档案、视觉测试结果评估个体还款意愿。美国First Access 公司使用从个人手机中获取的社交媒体信息、地理位置信息评价其信用风险水平。全球范围内，替代信息收集与使用行为普遍缺乏强制性规范，大量原则性标准与指导性方针取而代之。2019年底，美国联邦储备委员会与联邦存款保险公司等机构提出替代信息处理行为是具有积极意义的金融创新活动。美国消费者金融保护局则认为这存在个人信息滥用或不准确引发的金融歧视问题。使用替代信息评判个人信用是否符合国际公认的个人信息处理原则亦是存疑。在德国，虽然《联邦数据保护法》未禁止收集与使用替代信息，但实践中，通用信贷安保集团试图采集社交媒体信息评估个人信用的行为仍因存在信息使用者不确定，风险溢出效应明显，侵害个人信息自决等风险，引发公众激烈回应而未能实施。

信用评分算法抓取、过滤、筛选网络环境中的各类信息与数据，导致信用信息的保护边界十分模糊。在美国，替代信息未被纳入《公平信用报告法》监管范畴。征信机构无需就使用替代信息的行为向信息主体履行披露与告知义务，仅采取内部合规与行业自律管理即可。与之相对的是，《加州消费者隐私保护法案》要求信息收集者需要就替代信息处理行为向信息主体履行告知与披露义务，该法案因极大地提高了合规成本而受到互联网行业抵制。此外，相对于个人信用报告的事前与事后严格监管，个人信用评分的监管则比较宽松。2016年起，美国开始关注个人信用评分行为合规性问题，启动全国消费者援助计划，并通过2018年《经济增长、监管放松和消费者保护法案》，在联邦法层面通过差错纠正程序保护个人信用。

在我国，根据《信用基本术语》及《信用信息分类与编码规范》，信用信息是能够体现个体在社会活动与经济活动中履行承诺的意愿、能力与价值的各类信息，边界呈现出强烈的不确定性。平台为消减信息不对称问题的影响，存在尽可能多地收集信息与数据的主观能动性。就平台而言，网络空间中的信用信息既包括在各类消费场景中生成的原始信息与数据，也包括原始信息与数据融合再生产的信息与数据。大量曾经未能被收集的或未被视为具有信用评判属性的信息与数据，被越来越多地用于判断个人信用，并随着历次融合不断地提升细粒度，愈加准确、即时地勾画出个人信用架构。从这个意义上讲，网络空间中的各类信息与数据均存在转换为平台视角中信用信息的可能性。在注重精确概念、精巧逻辑的大陆法系中，显然难以清晰地划定网络环境中信用信息的保护边界。

（二）信用信息制度利益失衡

当前，信息公开制度的强制性、个人信息保护标准的非法源性、民法典对个人信用内涵的简化，共同造成信用信息制度的利益失衡。

首先，信息公开制度与信息保护制度之间存在张力。信息公开制度是从传统信用治理迈向信用协同治理的关键环节。一方面，信用协同治理推动了各类信息数据跨领域融合与流通，为平台精确识别个人，广泛使用信用评分提供了制度条件。《全国人民代表大会常务委员会关于加强网络信息保护的决定》要求在移动通信、交通运输、网络社交媒体等领域开展实名制管理，关联与绑定用户行为和信息设备。在发生三鹿奶粉等一系列信用缺失重大事件后，多部委联合发文，要求整合市场监管部门与电子商务平台掌握的信息，构建大数据信用监管模型。平台借助网络实名制度与信用评分算法，在极短的时间内建立个人身份认证、行为追踪与信用评分相结合的规范化治理结构。另一方面，失信联合惩戒容易异化为扭曲的激励机制。大型平台与最高人民法院形成失信联合惩戒合作关系。失信被执行信息是决定个人信用分值高低的关键要素。以失信被执行信息为代表的负面个人信息不仅是对个体声誉的极端贬损，也容易导致进一步的偏见与污名化，还可能因高度限制信息主体的行动权限而致使其基本权利难以得到应有的保障。

其次，个人信息保护标准的监督机制匮乏。《网络安全法》《消费者权益保护法》《电子商务法》均立足于网络安全立法语境与立法功能，导致个人信息保护标准成为网络空间中个人信用保护的主要制度规范。推荐性标准不属于法源范畴，其创设程序简易，监督力度较弱。行政机关往往乐于以标准代替更适宜作法规、规章的内容。执法与司法常常以个案解释方式援引标准，填充法律空白，使得推荐性标准在事实认定与法律判断上具有决定性意义与强制执行力。例如，徐某与芝麻信用管理有限公司隐私权纠纷案中，原告诉称芝麻信用管理有限公司从某地高院获取其相关执行案件信息的行为侵犯其隐私权。杭州互联网法院对平台使用涉案信息的合理性判断实难脱离《信息安全技术个人信息安全规范》。而个人信息保护标准不属于具体行政行为，不具备可诉性。个体难以就个人信息保护标准显失合理、规则不完善等问题对个人信用带来的负面影响获得救济。

最后，《民法典》规定信用信息属于名誉权客体，除此之外的个人信息适用个人信息保护一般规定。这既未能准确地界定个人信用的保护边界，也简化了个人信用的多维度内涵，易将随技术发展不断趋于丰满，在复杂环境中持续发展的信用样态凝固化与封闭化。在《民法典》的立法说明中，立法者指出法典编纂工作思路是全面总结民事立法与司法实践经验，对现行有效的民事单行法进行系统性地编订与纂修。这就决定了《民法典》不能脱离原有路径，开辟全新的个人信用保护路径。个人信用评分是社会信用协同治理的重要工具，其蕴含的信用治理与交易风险控制双重价值功能难以分割。平台生产个人信用评分的行为符合合法、正当、必要原则，却难以直接适用同意规则之外的信息处理合法性基础。根据《民法典》第999 条规定，难以判断个人信用评分究竟具有多大程度的公共利益属性。《电子商务法》虽然要求平台建立健全信用评分制度，却在第39条后半段将该法定义务限于“消费者评价平台内的商品或服务”，难以直接适用《民法典》关于“履行法定义务”的信息处理合法性要件。基于数字经济发展的宏观目标，个人信用保护很难抵挡平台经济发展的迫切需求，以“其他合法利益”条款作为信息处理合法性基础将导致个人信用保护缺乏有力的制度保障。因此，基于公共利益目的条款免除平台侵害个人信用的责任，或通过不适当的信息处理合法性基础将平台责任限于民事领域，客观上容易造成公共利益与个人利益的正面对抗，加剧信用治理困境。

二、保护困境的理论根源与应对

通过信用评分算法，平台信用评分活动将主观因素与信息数据整合在一套标准判断分值体系中。其在社会信用治理中的广泛应用导致网络环境中权利与权力的关系失衡，对个人信用保护范式提出全新挑战。

（一）“公权力制约私权力”的失效

权力制约与权利保障是法治的核心。而以权力制约权力的传统范式难以有效地保护网络空间中的个人信用。传统的分权制衡进路强调行政部门在权力分化的基础上划分各自的职能权限。信息社会中，权力制约理论突出表现为以公权力制约私权力。由于非正式共同监管能够有效率地反映技术实践，降低实施与管理成本，故监管权力得以进入私人部门，形成权力多元化与分散化情形。私权力主体通过防范、监督、对话、检视、反思的方式表达社会诉求、提供信息来源、辅助公权力实施。就社会信用协同治理而言，多重利益攸关方“以对话、竞争、妥协、合作和集体行动为共治机制，以共同利益为最终产出”。其中，平台治理个人信用的方式接近美国学者提出的组织治理形态,是以决策非正式化与执行规则化为特征的“响应性监管”，但难以适用事先通知、程序透明等程序性规范机制。《电子商务法》一定程度上体现出以公权力制约私权力的理念。该法起草组认为电子商务平台具有准公共产品的某些特征，较为系统地设定了平台的内部管理规定。然而，平台治理个人信用的行为缺乏法律明确授权，也不属于行政授权、行政委托、行政任务民营化等传统情形，只能置放于私法有关平等主体之间意思自治的理论框架中加以调整。

同时，平台经济形态导致新的个人信用侵害方式出现。个人自接入平台即被要求提供性别、手机号码、行为偏好等信息。其行为受到观察、记录、分析、使用或转售而沉淀为平台的原始资本、生产资料与市值评估基础。个人被动地卷入围绕平台运行的庞大资本体系之中，既是生产者，也是生产资料，更是最后的产品。就大多数从事互联网借贷活动的小微机构而言，利用个人信用分值高低辨别贷款人偿还能力，是互联网信贷风险控制的普遍模式。而拒绝使用花呗支付工具，或不常使用QQ 社交工具的个人可能被相应的平台判定为信用不良者。信息主体在申请消费信用贷款时，使用个人信用评分的互联网借贷机构常为其设置极低的信用额度或拒绝提供信用额度。司法实践中，平台在其所管理网络空间内部行使私权力的行为常被归入商事契约范畴，一般采用私法进行规制。以“沈阳诉杭州网易雷火科技公司案”为例，法院虽然认定平台为维护在线游戏市场秩序进行了合理的单方管理行为，却在契约自由与意思自治的私法理论框架下解决纠纷。

整体来看，个人信用评分能够促进陌生个体之间的信任与合作关系，但是权利归属、程序设计、责任机制的匮乏易导致个人信用脱离个人控制，成为兼具外在性与强迫性的信用控制手段。社会信用协同治理需求与网络交易风险控制需求，共同造成公私权力在信用治理活动中出现复合同化的情况。个人信用难以上升为优先受保护的法益，仅仅成为附带性利益。信用治理的维持成本由全部社会成员承担，而信用治理的收益则被强势利益群体分享。一定程度上，利用个人信用评分开展的社会信用协同治理将陷入所有人对所有人的战争。

（二）个人信息权的生成需求

公权力制约私权力进路失灵，意味着需要采取新的权力制约机制。法律经济学理论认为经济效率是权利设定的核心理由之一。设定权利可以诱导最适合进行成本效益分析的群体承担代价，将执行成本最小化，达到帕累托最优结果。个人信用具有多维度属性，难以融入既有民事权利，也难以抽象化为信用权，故以何种权利回应网络空间的个人信用保护需求是问题的核心。本文认为，立法确认个人信息权是解决个人信用保护新型困境的根本方式，确认信息可流通性可以解决个人信息权成本过高的问题。

首先，既有民事权利难以实现对个人信用的全面保护。一方面，网络空间中的个人信用具有多维度属性，其社会价值与本体价值、共同利益与个体利益之间可能发生即时转化，难以嵌入传统上以个人主义为基础，在私人领域与公共领域绝对二分概念下，对工业化、大都市、工作与社团去人格化给予回应的隐私权构造之中。从《民法典》第1032条内容看，隐私权保护起点是“不愿为他人知晓”的主观心理。然而，主观心理缺乏统一的判断标准。以主观心理开启个人信用保护机制的可操作性弱，亦未能回答信息处理行为合理性基础应当如何匡正的问题。另一方面，信用与名誉均属于社会评价，具有紧密的关系。名誉权保护民事主体的形象、信誉、商誉、声望、资历等社会性评价。但在名誉权项下，民事主体处于私法上的平等地位，这与个人信用评分中呈现的权利结构不相契合。名誉权的救济方式难以有针对性地阻绝个人信用侵害行为。

其次，信用难以固化为权利概念。信用源于伦理道德，而伦理概念具有开放性，不同历史时期会发生踊跃演化，不利于在法教义学视野下对其内涵与外延做出准确框定。信用的内涵在历史演变中不断获得新的诠释，信用的道德性随生产关系变化而持续涌现与更新。所有的信用关系都是不可简化的社会关系，无法完全从社会背景与个人品格之中剥离。随着商品经济发展，信用从分散的起源发展为汇集的共识，在社会领域中逐步具备衡量履约能力、开展风险管理的功能。因此，信用本质上难以被精确界定。中国台湾地区“金融控股公司子公司间共同营销管理办法”甚至将退票记录与账户注销记录也视为个人信用资料。成文法不适宜形成以概念为核心要素的信用权体系。我国学者关于信用权立法的长期争论，也反映出将信用固化为权利概念的实际困难。

网络环境中，个人难以知晓其信息处理程度、传播范围、存储方式与安全等级，无力获知被用于个人信用评分的全部信息与数据，难以在个人信用受到平台不当评价时及时获得救济。法律确认个人信息权存在理论上的分歧，却扎根于实实在在的信用治理需求。立法与监管的决定性因素是以公平、正义为核心建立起来的基本价值取向序列。而权利意味着包括国家在内的任何主体负有不得非法侵害他人的义务。与保护法益的权利推定方法相比，对权利的保护更为严格，使其更能够成为一种强大的强制力量。当具备正式的个人信息权利制度保障条件时，方能形成与信息公开制度相称的省察、防御与救济机制。因此，以个人信息权保护个人信用的思想根基在于关心信息社会新型权利结构中最弱势群体的信息权益，使处于最不利地位的个体得到最大可能的利益。将网络空间中的个人信用纳入个人信息权范畴，有助于个人信用保护方式从消极防御转换为积极对抗。否则，网络空间中的个人信用保护力度容易弱化为信息处理者的形式性合规表象。

最后，以个人信息权保护个人信用的深层困境在于权利成本过高。个人信息权的产生、实施与保护均要求相应的公共支出，需要借助有效的手段平滑实施成本。而个人信息权的实施成本可以通过信息流通的责任规则与侵权救济机制配合，实现一定程度的消解。其一，可流通的信息作为实现社会调和目的的治理工具，是个体自我发展、经济自我组织的初始投资与先决条件，也是以社会互利实现社会稳定的治理机制。其二，法律责任与侵权救济机制可以施加私人成本，防止狭隘的个体自利吞没理性。通过向不同的社会成员分配差异化的信息权能，个人信息权能够转化为行政部门引导稀缺资源、处理组织冲突的策略。流通与合作在创设个人信息权的过程中发生，个人信息权的扩展与深化进一步增强信息处理者的法律责任。个人信息流通派生外部性。信息流通的责任规则与侵权救济机制将外部性内化，为高度异质化社会中的共存与合作创造稳定的条件，连接个体理性与组织理性。其三，有条件地确认信息可流通性在并未背离个人信息“匿名化”后方可商业利用的国际共识。根据欧盟第29条工作小组对“匿名化”的经典解释，有效的匿名化措施能够防止任何人识别或推断出特定个人的身份。而个人信用评分并不具备直接指向个体的能力，必须结合应用场景、信息处理者与技术水平等多种因素，才能判断该信用分值是否具有识别个人身份的合理可能。

综合考虑应用场景、使用目的、信息类型、信息规模，针对信息流通设置适当的责任规则与救济机制，可以实现个人信用保护、平台经济利益、社会公共利益并重。平台信用评分活动发端于精准营销的目的，必须从其经济本源出发，形成博弈均衡的法律机制，激励平台负责任地参与社会信用协同治理。

三、个人信用保护的路径重塑

本文提出网络空间个人信用保护的“一体两翼”结构，即以个人信息权为核心，在信息流通责任规则与救济机制的配合下，重塑保护路径。

（一）个人信息权利框架中的信用保护

个人信息权指自然人对能够单独或与其他信息结合识别其特定身份或反映其活动情况的各种信息所享有的控制、使用、知悉、获利、更正、删除与安全维持的权利。当个人信息权处于私法框架时，需要采取权利承受者视角，直接对应信息权利结构中的弱势者权益保护。当个人信息权处于公法框架时，需要采取权力施为者视角，强化信息处理者作为权力施为者的责任承担。《民法典》对个人信息保护的规定非常详实，自成体系，其第1034条应当视为个人信息权的法律渊源，成为公法与私法保护个人信息法律条款的桥梁。但是，针对网络空间中的个人信用保护问题，还需要在权利内容与权利实施方面进行解释和创新。

首先，应当在《个人信息保护法》中明确将个人信息划分为敏感个人信息与一般个人信息，在具体情境中判断个人信息或信息组合是否具备信用评判的价值功能。下列信息应当被界定为敏感个人信息：物理空间及网络空间中的身份识别信息、宗教信仰、政治主张、财产信息、基因信息、生物特征、健康生理信息、精确地理位置、犯罪信息与受强制执行信息、处于特定年龄阶段的儿童个人信息。同时，需要设置兜底规定，根据以下四项要件判定不同情境中个人信息的敏感程度：公众对信息敏感程度的调查统计结果，个人信息泄露可能导致的重大伤害，个人信息泄露导致重大伤害的几率，特定环境下的公认准则。敏感个人信息之外为一般个人信息。

其次，对信息处理行为适用不同的同意规则。第一，针对有利于信息主体的正面敏感个人信息，即对其利用可能造成具体情境中个人信息权益增加的敏感个人信息，采取单独同意与资格准入规则，适用责任规则。其中，资格准入规则要求处理者获得特别经营许可，同时具备以下资质：属于数据要素市场的基础设施，具备最高等级的信息安全能力，具有完善的个人信息内部安全管理，实施最高频次的个人信息安全风险评估，定期接受行政部门的个人信息安全审计。第二，针对不利于信息主体的负面敏感个人信息，即对其利用可能造成具体情境中个人信息权益减损的敏感个人信息，一般采取禁易规则，通常不得以商业化利用目的处理此类信息。基于公共利益目的处理该类信息的，信息主体有权提起诉讼，公共利益与个体利益的权衡应当由有权部门依据正当程序进行个案解释。该类信息通常具有高度私密性，符合隐私权“不愿为他人知晓”的关键构成要件，应当纳入隐私权的保护范畴。信息主体主动公开该类信息时，则应当适用《民法典》第1036条，免除信息处理者的民事责任。

据此，平台生产个人信用评分的数字原料包括敏感个人信息、一般个人信息与数据。属于数据要素市场基础设施的平台应当在信息收集环节适用不同的同意规则，其掌握的负面敏感个人信息，原则上不得用于生产个人信用评分或训练信用评分算法。平台生产的个人信用评分在网络交易中作为商品使用，在社会信用协同治理活动中作为信用治理工具使用，分别具有交易属性与治理属性。信息主体有权就平台信用评分活动中不当处理正面敏感个人信息与一般个人信息，违法处理负面敏感个人信息的行为分别提起个人信息侵权诉讼、隐私侵权诉讼；有权就生成个人信用评分所使用的信息类型提出查阅、复制请求；有权对其认为不适当的个人信用评分提出异议、更正、删除请求。平台通过失信联合惩戒机制开展的信息处理行为应当受到公法责任与私法责任的约束。

（二）网络信用语境下的信息流通规则

利用上述个人信息权利框架，可以初步判定网络环境中的个人信用采取私法保护方式或是公法保护方式。在此基础上，信息流通规则进一步勾画出网络环境中个人信用保护的具体方法。

信息流通包含多重主体之间的多种互动关系。欧盟常以“数据访问”或“数据传输”来表达信息流通中的共享与再利用含义。个人信息流通的核心形式是交换或交易，需要相应的制度安排。而制度是权力行使方式组织化与系统化的前提，能够促使权力有效维护与推进文明。因此，需要建立信息流通秩序，通过运行良好的信息市场，实现宏大的信用治理预期。一般而言，信息流通的基础规则包括隐私政策与技术机制，以确保平台信用评分行为的合法性与规范性，防范技术与市场的双重失灵。其中，隐私政策详细阐释何种信息流通方式符合正当原则与必要原则，技术设计则强调将个人信息保护作为平台技术和组织基因的核心部分。本文着重阐释平台与第三方之间的信息流通特别规则。平台具备从“生产—消费”延伸至更广阔领域的影响力与控制力，能够为个人信用保护提供一个介于国家与个体之间的中观视角。平台与第三方之间开展信息流通时，个人信息已脱离平台控制，进入难以预知的风险领域，需要用特别规则强化流通过程中的个人信用保护力度。平台与第三方的信息流通可划分为平台与经济组织、平台与行政部门两种具体场景。两种场景皆以平台为联结点。

1.平台与经济组织：以许可合同为中心的流通规则

当前研究已经提出财产权与许可合同两种信息流通理论范式。在权利逻辑下，交易双方的权利与义务边界、责任与风险分担显然更为清晰。但是，信息与数据经济价值归属难以达成理论与实务的共识，背后的问题更是法学领域许多研究在区分数据与信息的基本问题上仍未形成统一的学术话语。

信息许可合同建立在承认平台占有与控制个人信息的事实基础上，赋予许可人将“排他权”自愿转化为“许可请求权”的权利。信息许可合同项下的合同责任属于“卡—梅”框架中传统责任规则的变种。其虽能通过合同条款阻却个人信息违法使用行为，对信息流通实现一定的可控性，但依然难以解决许多理论与实践难题。例如，合同路径无形中强化了将信息作为人的附属物的深层意识，容易将信息流通问题最终导向物权或知识产权的理论框架内加以解决。信息的属性与物的排他属性相距甚远，如未能跳脱此种意识形态，则难以从根本上解决信息的经济价值归属、风险责任分配等一系列问题。信息流通的商业实践要求转向基于行为主义的风险规制模式，实施以合同为中心的支配规则。以“阳光公司诉霸才公司”为代表的一系列司法判例也传达出“法院通过确认在先信息处理者的成本投入来保护信息产业发展”的有力讯号。因此，尽管信息许可合同存在许多隐忧，但其仍不失为是信息财产权属长期缺失情况下的权宜之策。合同路径对个人信用保护具有相对性，要求在同意规则适用之外，辅以标准合同文本、平台责任强化、证明责任分配规则三方面倾斜性保护措施。

首先，利用推荐性国家标准或行业标准构建有利于信息主体的信息许可合同标准文本。一方面，标准合同文本有利于降低优势平台的相关市场控制力，确保不同发展阶段的平台能够具备相对公平的信息资源获取条件与信息技术竞争环境；另一方面，也有利于通过标准合同文本的广泛采纳，促使信息流通与信息保护按照相对统一的标准展开。

其次，强化平台对其他经济组织的监督责任。依据公安部《互联网个人信息安全保护指南》，平台作为个人信用评分的生产者，需要在信息流通前对接收方进行信息安全能力的合法性与必要性评估。这一方面与平台为数据要素市场提供支付、结算、物流、信用评分等基础服务的功能与角色相匹配。另一方面，平台信用评分活动以敏感个人信息为生产原料，而敏感个人信息在网络环境中泄露将对信息主体产生难以承受的巨大风险，因此掌握敏感个人信息的平台应当在信息流通风险控制中承担更高程度的注意义务。

最后，应当明确规定：（1）其他经济组织使用个人信用评分，导致信息主体非基于个人意愿受到锁定而遭受经济损失或人格利益减损的，推定由个人信息流通各环节的信息处理者共同承担信息侵权责任，由法院依信息处理者的获益价格或信息主体的实际损失，裁定经济损害的具体赔偿金额。信息主体亦可主张精神损害赔偿。（2）除非信息处理者能够证明损害后果与其不存在任何可能的关联关系时方可免除责任。（3）平台与下游信息处理者之间适用连带责任规则，属于实施危害事实难以确定的共同危险行为，应当共同承担信息流通行为对个人信用造成的损害后果。信息主体需要证明数个信息处理者均收集了涉案个人信息的事实。（4）个人信用评分被第三人用于犯罪、侵权，或被第三人窃取用于犯罪、侵权的，信息主体除有权要求直接侵权人承担刑事责任、侵权责任以外，还有权要求平台承担未尽到信息安全保障义务的补充责任。

2.平台与行政部门：以责任与救济机制为关键的流通规则

失信联合惩戒机制是由平台代替行政部门针对低信用个体自由或福祉采取的限制措施。平台与行政部门之间应当确立保护个人信息的基本原则，向特定的行政机构授予归集、管理个人信息的职能，通过统一的政府信息开放平台（如已在运行的“信用中国”），实现信息有序流通。这要求特定行政机构具备相应的技术能力，能够有效地维护信息数据管理系统，对因信息流通导致的个人信息泄露风险与个人信息安全风险等开展定期评估、制度完善、追踪与反馈，以建立“权威的技术自主性”，实现精益政府治理目标。此外，还需要从行政部门收集信息、公私部门信息流通等环节强化信息处理者责任。

首先是信息收集环节。收集个人信息的行政部门应当确保个人信息的准确性、完整性，及时删除已经履行偿还义务的失信被执行人信息，否则应当适用过错推定原则，承担未能履行安全保障义务的补充责任。此外，信息主体须证明行政部门收集了其个人信息。

其次是政府信息开放平台—网络平台的信息流通环节。政府信息开放平台应当对网络平台调取负面敏感个人信息的行为采取调取目的、使用范围、处理期限、信息安全措施的书面审查。对未经书面审查，仅根据网络平台提交的负面敏感个人信息申请即实施自动化提取的，政府信息开放平台的管理者需要为该行为造成的个人信用侵害后果承担无过错责任。

再次，创设通知义务是补充技术性手段、强化信息保护的重要激励措施。平台通过失信联合惩戒机制调取负面敏感个人信息时，虽然不以信息主体同意为前提，但应当履行告知义务，由信息主体通过电子签名方式予以确认。利用负面敏感个人信息生成的个人信用评分不得加以商业化利用，除非该负面敏感个人信息已在行为或事件终止后的一定期限内删除。否则，在可以确定加害人时，信息主体除有权要求直接加害人承担个人信息侵权责任以外，还有权要求平台承担按份责任。在无法确定加害人的情形下，应当对平台与下游全部信息处理者适用前述源于共同危险行为的连带责任规则。

最后，个人信用救济方式包括：（1）明确进入平台网络空间购买商品或接受服务的自然人属于《消费者权益保护法》所保护的消费者。在平台信用评分活动中出现欺诈、骗取信息主体授权情形的，适用惩罚性赔偿责任机制。（2）将国家互联网信息办公室明确为实体性个人信息保护责任部门，下设个人信用保护办公室。在官方网页的显著位置，采用简洁易懂的语言，通过问答或指引方式开设信用教育专栏，提供有关个人信用评分的基础性信息。例如，何谓个人信用评分，个人信用评分与个人信息之间的关系，个人信用评分的生成、使用与提升方式，个人信用评分的准确性，个人信用评分对个人权利与福祉的影响。列明提出信用异议的方式及需要提交的证明文件，提供电话号码、邮箱地址、网页链接、微信、博客等有效的联络方式，承诺信用异议受理的期限。（3）在平台内构建个人信用修复机制，包括允许信息主体在线提出信用异议、跟踪异议处理过程、获取信用评分冻结服务等。平台应当将存在异议的个人信用评分进行显著标记，在异议解除前不得开展商业使用，并及时针对其所使用的信息准确性与完整性在确定期限内开展自我检查与及时回复。在信息主体无法确定信息是否存在不准确或不完整的情形时，信息主体有权向平台申请将异议个人信用评分在一定期限内标记为冻结，禁止平台向第三方提供该分值，法律明确规定应当提供的除外。（4）参考公共信用信息修复白名单机制，由互联网行业协会明确个人信用服务机构的资质，定期考核其公平交易与个人信用保护的执业情况，实施白名单动态管理。在个人信用服务市场发展相对成熟时，再通过法律规范将其纳入信用法治体系之中。

综上所述，随着平台信用评分算法的不断发展，网络空间的个人信用保护存在信用信息边界不清、制度权益失衡两方面困境，面临公私权力复合侵害的风险。故，应当将以公权力制约私权力的范式转换为以权利制约权力的范式，从平台信用评分活动的经济本源出发，创设个人信息权，通过信息流通的责任规则与救济机制重组与配合，重塑个人信用的保护路径。

相关阅读

商品书目

微信号 : DigitalLaw_ECUPL

探寻数字法治逻辑

展望数字正义图景

数字法治战略合作伙伴：理财魔方

北京市竞天公诚律师事务所上海分所