家族 · 财税 | 张继红：金融数据的利用：现状、问题与展望

本文共计1897个字，阅读时间大约5分钟

本文来源：今日头条 华政竞争法研究中心

以下为上海政法学院教授、上海全球安全治理研究院全球化法律问题研究所所长 张继红 在8月22日“数字经济背景下的平台合规与消费者保护”研讨会上的发言。由徐陈同学（华东政法大学）依据会议录音整理而成，因篇幅原因有删节。

今年3月和5月，中央、国务院陆续出台《中共中央国务院关于构建更加完善的要素市场化配置体制机制的意见》《中共中央国务院关于新时代加快完善社会主义市场经济体制的意见》。在上述意见中，国家以纲领性文件的形式再次明确数据作为一种新的生产要素，提出“要完善数据的产权性质，制定数据的隐私保护制度和安全审查制度，推进完善数据权属的界定，依法保护个人信息”。在这样的一个背景下，国内涌现出包括金融数据在内的数据利用热潮，但是今天的演讲，我希望会有一个冷思考。

在金融领域，存在个人金融信息的保护与金融数据利用的冲突问题。个人金融信息数据属于敏感信息，个人不愿意与他人进行共享利用，而这些金融数据又会产生巨大的经济价值，金融机构具有共享利用的商业冲动。

第一，个人金融信息和金融数据的区别。金融数据的外延内涵要远远超过个人金融信息，简单讲，信息是数据的内容，而数据是信息的载体。2020年《个人金融信息保护技术规范》，个人金融信息是个人信息在金融领域围绕账户信息、鉴别信息、金融交易信息、个人身份信息、财 产信息、借贷信息等方面的扩展与细化，是金融业机构在提供金融产品和服务的过程中积累的重要基础数据，也是个人隐私的重要内容。个人金融信息按照敏感程度从高到低分为了C3、C2以及C1三类。

第二，金融数据的利用规制。金融数据的共享目前主要集中在金融集团的内部共享以及开放银行两个领域。美国《金融服务现代化法案》规定，金融机构可以与关联企业分享消费者信息，除非消费者选择退出个人信息的分享，即向消费者提供“选退机制”。就是说，如果消费者明确表示反对的话，不能够进行共享和利用。在刚刚被宣告无效的美欧“隐私盾”及“安全港”协定中，金融数据也属于排除事项。在开放银行领域，英国开放银行工作组正式对外发布了《开放式银行标准框架》（“The Open Banking Standard”）提出了四大方式，其中核心的关键词是“同意”、“授权”，其一是要求银行向第三方共享数据必须取得用户的明示同意，将授权对象、授权目的、授权期限明确的告知用户；其二是为了防止授权滥用，赋予用户对数据共享许可的任意撤销权，并为用户撤销授权提供相应的便利。也就是说，即便是在金融数据开放程度比较高的国家和地区，对于金融数据的开放和共享也持谨慎态度。

第三，我国金融数据利用的法律规范。在我国，一个非常典型的金融数据共享的应用场景就是个人信用信息基础数据库，金融机构可以通过个人信用信息的共享识别消费者的信贷风险。2020年《个人金融信息保护技术规范》第7.1.3条规定，除法律法规与行业主管部门另有规定或开展金融业务所必需的数据共享与转让（如转接清算等）外，金融业机构原则上不应共享、转让其收集的个人金融信息，确需共享、转让的，应充分重视信息安全风险，具体包括：

（1）应向个人金融信息主体告知共享、转让个人金融信息的目的、数据接收方的类型，并事先征得个人金融信息主体明示同意，共享、转让经去标识化处理（不应仅使用加密技术）的个人金融信息，且确保数据接收方无法重新识别个人金融信息主体的除外。

（2）应帮助个人金融信息主体了解数据接收方对个人金融信息的存储、使用等情况，包括个人金融信息主体的权利，例如访问、更正、删除、注销账户等；在法律法规规定、行业主管部门有关规定及个人金融信息主体约定的范围内，个人金融信息主体行使其个人金融信息控制权利，金融业机构应配合响应其请求。

（3）C3类别信息以及C2类别信息中的用户鉴别辅助信息不应共享、转让。再结合今年年初《金融消费者权益保护实施办法（征求意见稿）》中对消费者金融信息保护内容的调整和增加（把原办法中金融信息的保护的八个条款增加到十个条款，还特别引入了金融消费者的“可携带权”等以强化金融消费者对其个人金融数据的控制能力）来看，我国在金融数据利用方面还是非常保守和谨慎的。

---

往期推荐：

FAMILY TRUST LEGAL AFFAIRS CENTER