一、个人信用征信的含义
信用是现代商品经济的基础,现代意义上的信用,有广义和狭义两种含义。广义的信用是指参与经济活动的当事人之间建立起来的、以诚实守信为基础的践约能力。狭义的信用则是指受信方(债务人)向授信方(债权人)在特定时间内所作的付款或还款承诺的兑现能力。它是在经济、金融领域里发挥作用的一种能力或资源,授信人(债权人)以自身的财产为依据授予对方信用,受信人(债务人)则以自身财产承担偿债责任为保证取得信用。因此信用作为一种可以利用的资源,可以用来融资、理财、配置资源等。
个人信用是指个人通过信用方式,向银行等金融机构获得自己当前所不具备的预期资本或消费支付能力的经济行为,它使得个人不再是仅仅依靠个人资本积累才能进行生产投资或消费支出,而是可以通过信用方式向银行等金融机构获得预期资金或消费支付能力C在整个社会信用体系中,个人信用居于基础地位。
个人信用征信,是指依法设立的个人信用征信机构对个人信用信息进行采集、加工,并根据用户要求提供个人信用信息查询和评估服务的活动,是信用征信体系中的一个重要组成部分。个人信用征信是解决我国目前信用缺位、维护市场经济秩序的有力手段。只有在整个社会树立起个人守信的观念,企业信用和政府信用才有坚实的基础。
二、从个人征信过程中的法律关系看隐私权保护的必要性
个人信用征信体系中有四个基本当事人:消费者、信用信息提供者、信用征信机构和信用信息使用者(即用户)。其中,信用征信机构是个人信用征信体系中的关键当事人口作为中介机构,一方面它从信息提供者处汇集有关个人的所有信用信息;另一方面将整理加工后的个人信用信息以消费者信用报告的形式出售给信息使用者。具体而言,消费者个人信息通过消费者的各种社会活动汇集到社会各个部门,为信息提供者(包括政府部门与非政府部门)所记录,信息提供者将所管理或者经营活动中收集到的信息提供给个人信用征信机构,征信机构将这些个人信息经加工、整理,筛选出其中的个人信用信息,然后按照用户的要求制作成不同的个人信用报告,提交给用户。在这个业务流程中,被收集、加工、处理和出售的唯一对象是消费者的个人信用信息,这就不可避免地涉及到消费者个人信息隐私权的问题。
在信用体系法律环境健全的条件下,征信实质上就是以个人信用信息数据为核心在消费者个人、信息提供机构、个人信用征信机构及用户之间形成的多重法律关系。具体而言,个人征信过程中主要涉及三个法律关系:其一,消费者与信息提供者、个人信用征信机构及用户之间的法律关系:其二,个人信用征信机构与信息提供者之间的法律关系:其三,个人信用征信机构与用户之间的关系。第一个法律关系因其涉及的当事人主体较多,故最为复杂。征信机构在进行消费者个人信用调查时,一般对消费者的品行、能力、资本、抵押担保和常识这五方面先作出初步分析。为分析的方便,就要求信用征信机构的个人征信数据库中至少应存储个人姓名、地址、出生日期、教育背景、工作经历等个人标识和简历。然而,这五方面的调查只能帮助用户初步了解个人的信用情况。因此,在作出具体授信决策前,用户仍会要求信用征信机构通过收集消费者的详尽个人资料进行"特定调查项目"的调查。这些个人资料一般包括:付款记录、收入、债务与开销、就业、婚姻状况、年龄、处于分期付款阶段的资产、抵押品、申请信用的目的。调查机构在取得这些信用信息后,再根据用户的要求形成消费者信用调查报告类的征信产品,并将它有偿提供给用户。由于征信系统的建立和运行涉及大量消费者个人数据的收集和公开,必然会涉及到一部分属于个人隐私范畴的内容,所以,如何正确界定个人信用信息与消费者个人隐私之间的界限,在个人信用征信过程中如何避免信息提供者、征信机构和用户利用便利条件侵犯个人隐私,就成为个人信用征信法律制度建设中必须考虑的首要问题。特别是随着电子计算机技术的普及和广泛应用,信息化、情报化社会的出现和发展,征信产品的内容不断丰富,对个人信用征信过程中的隐私权保护提出了新的课题。一旦个人信用情报系统被人滥用,将会危及消费者的个人隐私权。由此可见,在现代社会日益重视对个人隐私保护的背景下,通过立法的方式调节隐私保护与征信活动之间的矛盾,是非常迫切而且十分必要的。从根本上讲,征信立法的基本目的就是为了调节这一矛盾,在保证与信用信息有关的信息披露公开、透明的同时,最大程度地保护消费者个人隐私权不受侵犯。
三、国外个人征信过程中的隐私权保护立法
从世界各国的情况看,多数国家的征信立法主要是以个人数据保护为主要立法对象,而涉及企业征信的内容很少。从英国《数据保护法》到瑞典的《个人数据保护法》,再到加拿大的《个人信息和电子文档保护法》,包括联合国、欧洲委员会先后制定的有关公约,信用征信均作为"个人数据保护法"的规范对象之一。
从20世纪60年代初起,世界发达国家开始制定和颁布了保护个人数据资料隐私的法律。美国于1966年制定了《情报公开法》,其主旨是为了确立个人情报保护制度,确立个人对自己数据的控制权和支配权。
1971年的《公平信用报告法》是美国信用征信体系中消费者隐私保护的一部重要法律。该法将个人信用信息界定为主要是为信贷、保险、就业目的而收集和处理的关于某个消费者的信用价值、信用度、信用能力、品质、综合信誉、个人品德或生活模式的信息,并且规定提供消费者报告的用途主要包括信贷、保险、雇佣、信用评级、政府颁发许可证时的资格审查5种情况,以防止消费者的隐私受到以商业为目的的滥用。该法同时规定:个人信用信息的提供者在出售个人信用信息给信用征信机构时,不需要获得消费者许可但负有保证该信息正确、及时、完整的义务,同时法律赋予消费者对个人信用信息的知情权、接触权、更正权、维护权和保密权。消费者有权了解个人信用信息的性质、内容和接受报告者的姓名,对有争议的吨信用报告可以要求重新调查;消费者有要求信用情报"公正、适当或正确"的权利,有要求消除在信用机关被登录的"不正确的或陈旧情报"的权利。
1974年美国建立了隐私权保护研究考察团,于1975年开始保护隐私权法律的起草工作,1977年制定了《个人隐私权法》,该法于1978年颁布执行。该法对联邦机构收集个人信用信息的行为进行了规制,规定如果没有得到消费者的正式书面文件同意或有一个正式书面文件的法律请求的话,禁止金融机构泄露一个消费者的信用情报。
瑞典在1973年颁布了《瑞典数据法》,该法于1978年进行了修订。加拿大、法国、挪威在1978年先后制定了有关数据资料保护法规。1978年法国《隐私权保护法》适用于处理个人信用信息的公共部门与民间部门两个方面,如在通信销售的场合,如消费者向"情报处理全国委员会"提出要求从通信销售中使用的消费者信用情报中消除其个人数据的话,该委员会则会据此与通信销售联盟联络,建议从该联盟的加盟业者的数据库中删除该要求者的情报数据。1990年6月21日,英国内务部发表了《关于隐私权及关联事项的委员会的报告书》,其主要内容是围绕着宣传媒体如何对个人隐私进行保护,报告书将个人信用信息界定为个人姓名、出生年月日,根据其他的记述或个人的证件号码、记号或其他可以识别该人的资料。
欧共体委员会于l990年7月27日通过了"关于个人资料的处理与个人资料保护的理事会的指令提案",共有lO章33条,明确规定欧共体成员国要根据该指令,必须确保包括个人资料胶片在内的个人资料安全,数据管理者应采取各种措施确保个人数据的准确、及时。除法定例外情形,①个人数据的处理必须经数据主体明确同意,禁止对有关种族、血统、出身、政治观点、宗教或哲学信仰、行业协会成员身份及健康或性生活等敏感数据进行处理,数据主体有权在任何时候拒绝对其数据进行处理,并对自己的个人数据拥有保密权。数据管理者或其代理人在处理数据前必须向数据主体提供包括管理者或其代理人的身份、该数据的计划使用目的等信息,必须保证给予数据主体对自己的个人数据的知情权、更正权、支配权和维护权。这个指令在世界范围内起到了先导作用,引起了欧洲共同体成员的注意及美国有关学者的注意,使对个人数据资料的保护进入了一个新的历史阶段。
四、我国个人信用征信体系隐私权保护的意义
目前我国的个人信用征信体系已经初步建立。1999年7月,上海市率先成立了首家个人信用征信机构——上海资信有限公司。经过一年的努力,上海个人消费征信系统正式建立。2∞0年下半年广州和大连等地也相继着手建立各自的征信系统。与此同时,北京的信用制度试点工作也在中关村科技园区展开。经过几年的努力,我国的信用体系建设已经由点及面地开展起来。2001年7月1日,杭州的16家银行信用卡不良客户信息共享系统开始运行。2∞2年1月,《深圳市个人信用征信及信用评级管理办法》开始实施。2∞4年2月1日,《上海市个人信用征信管理试行办法》开始实施。2004年,中国人民银行征信管理局正式成立。随后,全国征信体系的建设明显加快了速度。2004年12月15日,中国人民银行宣布,全国统一的个人信用信息基础数据库即日起开始试运行,并在北京、重庆、深圳、西安、南宁、绵阳、湖州7城市开通联网查询。2005年1月实现个人征信系统全国联网运行。与此同时,《征信管理条例》和《个人信息保护法》也加快了制定的步伐。这意味着我国个人信用体系建设开始驶入了快车道。
2001年12月11日,我国正式成为WTO的第143名成员,我国必须履行我们在服务贸易承诺时间表中所承诺的服务贸易特定义务。
在个人信用征信业方面,我国做出了以下特定义务的承诺:国外资本可以进入我国新兴的信用征信行业。我国目前征信业的低成本实际上是以侵犯公民隐私权而导致的社会高成本换来的,这种外部不经济使个人信用征信业获得较大利益而社会为此付出了额外成本,这对征信业自身的长远发展也是不利的。由于我国目前缺乏对信用征信业中消费者个人信息隐私权的立法保护,表现为由于缺少法律义务的约束使得我国信用征信业的运营成本比征信法律较为完备国家的同行相对更低,因而对外资也更具吸引力,并可能导致大量的寻租活动和巨大的社会成本。②为了使我国建立伊始的个人信用征信体系能得到长远发展,获得较全面的法律基础支撑、与国际惯例接轨,迫切需要以立法的形式保护消费者的个人信息隐私权,促使资源合理配置,将个人信用征信业的外部成本内在化。加紧完善我国个人信用征信过程中的隐私权保护立法,对于促进我国信用征信业健康发展、与外资征信机构相抗衡具有十分重要的意义。我们不能以牺牲公民个人隐私权为代价来换取个人信用征信业的短期发展。只有从根本上增强我国民族征信业的自身实力,才能使其在国际经济一体化的环境下争得一席之地。
五、完善我国个人征信过程中隐私权保护的法律建议
征信是对消费者个人信用资料的征集,然后据此来评价消费者的信用。因此,征信数据的开放是开展征信的前提之一,但征信数据的开放却又极易伤害到消费者的个人隐私。随着社会信息化的发展,个人数据大规模地被计算机收集、传播,对个人隐私权构成了前所未有的威胁。因此许多国家在制定信息公开法律要求各征信数据源公开其所掌握的数据的同时,大都规定了个人信息保护法或隐私权法,从而使征信数据能够在规范中公开。根据征信体系的建立基础,参酌各国的有益立法经验,我国个人征信体系的建设元疑也应将保护公民个人隐私权的思想贯穿整个征信立法的始终。在我国,要建立个人信用征信体系,首先必须建立包括民法、商法、行政法在内的综合性的个人信用征信法律制度体系,具体涉及的法律主要包括:《隐私权保护法》、《政务信息公开法机《公平信用报告法》、《数据库保护法》等。此外.还应该完善相关配套的法律、法规,如《国家秘密法》、《档案法》和《商业银行法》等。通过这一系列法律、法规的保障,我国个人信用征信体系才可望健康、布序地形成和发展。
由于我国没有征信的历史传统,也没有专门的征信法律,关于如何处理个人信用征信过程中隐私权的保护与征信数据的开放以及个人利益和社会利益的平衡等方面,现存的法律、法规中并没有专门而且有针对性的具体规定,因此修改这些法律、法规的同时,有针对性地制定新法即是笔者在建设和完善个人征信过程中隐私权法律保护的具体建议。具体而言,就是分成两步来进行:一是修改现有的法律;二是制定新法。
首先,要修改现行的相关金融法律,对银行的保密义务作出明确规定。重点规定银行在何种情况下可以开放客户数据、开放的范围、目的、方式以及如何限制其处理和传播等。银行在办理信用调查时,可以向有关机关申请或查阅借款人的相关资料。而这些资料对于客户而言,是客户隐私权的一部分,在国外称之为"金融隐私权"(Financial privacy),受到法律特别保护。银行将消费者的信用资料提供给他人,仅限于信用调查的范围,否则将构成对隐私权的侵害。我国台湾地区《银行法》规定:银行对于客户的存款、贷款或汇款等有关资料,除其他法律或中央主管机关另有规定者外,应保守秘密。对于银行违反守秘义务的法律后果,美国《公平信用报告法》明确规定了其民事责任及刑事责任。
其次,是新法的制定。从某种意义上讲,个人征信法律就是一部消费者隐私权保护法。而在我国现行的民事基本法里,对隐私权的独立地位却未予以确认,这无疑会对个人征信法律体系中消费者隐私权的保护产生消极的影响。因此,在将来出台的《中华人民共和国民法典》中将隐私权作为一项独立的人格权加以规定是必需的。同时还要对信用权作出明确、具体的规定,以配合个人征信法律体系中隐私权法律保护的确立。除此之外,《中华人民共和国个人信息保护法》的制定也应尽快列入全国人大的立法规划日程。早在2003年就由中国社科院法学研究所成立课题组开始起草《中华人民共和国个人信息保护法》,2005年初专家建议稿已经完成。笔者认为,若以法律形式颁布尚不具备条件,可以先由国务院制定行政规章,等条件成熟再颁布实施《中华人民共和国个人信息保护法》。在这部法律中,应明确规定个人信用信息的范围和征信机构不得采集的个人信息范围。
(一)个人信用信息包括下列内容:
1.个人身份情况:姓名、性别、出生日期、身份证号、户籍所在地住址、居所、婚姻状况、家庭成员状况、收入状况、工作单位、职业、学历等。
2.商业信用记录:在各商业银行的个人贷款及偿还记录,个人信用卡使用等有关记录,在商业银行或者住房公积金管理中心等机构发生的其他信用行为记录,以及个人与其他商业机构、公用事业服务机构发生的信用交易记录。
3.社会公共信息记录:个人纳税、参加社会保险以及个人财产状况及变动等记录。
4.特别记录:有可能影响个人信用状况的涉及民事、刑事、行政诉讼和行政处罚的记录。
(二)征信机构不得采集的个人信息包括:
1.与个人信用无关的信息。
2.民族、种族、家庭出身、宗教信仰、政治信仰以及身体形态、基因、血型、疾病和病史等可能使被征信个人受到歧视的信息。
3.法律、法规规定应当保密或者禁止采集的其他个人信息。
(三)为保护个人信用征信过程中的消费者隐私权,立法首先应确保下列个人信息权:
1.个人信息保密权:征信机构进行信用调查应取得当事人的同意,消费者有权根据自己的意愿决定不对外公开其个人信息,有权禁止他人非法收集、储存、利用、处理、转让、传播、公开自己的个人信息。但下列个人信用信息的采集无须事先征得被征信个人的同意即可采集:(1)在信贷、陈购、缴费等活动中形成的不良信用信息;(2)鉴证、评估、经纪、咨询、代理等中介服务行业的执业人员,因违反诚实信用原则受到行业组织惩戒的记录;(3)行政机关、行政事务执行机构、司法机关在行使职权过程中形成的可供公众查阅的公共记录信息;(4)已经公开的个人信用信息。
2.个人信息支配权:个人有权根据自己的意愿自主使用自己的个人信息和许可他人使用自己的个人信息。征信机构不得以骗取、窃取、贿赂、利诱、胁迫、利用计算机网络侵入或者其他不正当手段采集个人信用信息。
3.个人信息知情权:可以借鉴美国《公平信用报告法》,规定消费者有权知悉信息管理者是否在收集、储存、利用、处理、转让、传播、公开自己的个人信息,对有上述行为的信息管理者,有权要求知悉该个人信息的来源、内容、用途、使用者的有关信息及接触该项个人信息的记录。
4.个人信息更正权:消费者有权要求信息管理者保证其持有的关于自己的个人信息的准确性、完整性和及时性,对不准确、不完整和不及时的信息有权要求信息管理者在合理的期间内进行更正或删除。在信用调查中,禁止提供陈旧情报。按照国际惯例,一般的负面信息保留7年,但特别严重和明显恶意的负面信息保留l0年。超过保留期限,负面信息就将在信用报告中被删除。美国《公正信用报告法》第605条规定,对以下的情报,如宣告破产后经过l4年的破产情况;判决7年后或法定诉讼期间己过的诉讼;审判或释放经过了7年;其他不利的情报经过了7年的,都不能再由消费者信用情报机关进行公开。在《上海市个人信用联合征信试点办法》中也规定,负面信息的保留期限最长为7年。
5.个人信息维护权:个人在其个人信息受到非法收集、储存、利用、处理、转让、传播、公开时,消费者可以提起民事诉讼,有权要求侵权人停止侵害、消除影响、赔礼道歉、赔偿损失,并可要求精神损害赔偿。美国《公平信用报告法》第619条规定,如出于恶意或故意以虚假的名目取得消费者信用情报的人,处以5千美元以下的罚金或1年以下的刑罚或两者并罚。消费者信用情报机关的工作人员,如出于故意把消费者信用情报进行泄露时,要处以同样的刑罚。我国台湾地区法律也规定,消费者这种隐私权受到损害时,有要求泄露其隐私权的人赔偿的权利,对于触犯泄密罪的要处1年以下有期徒刑或3万元台币以下的罚金。
作者简介:孙玉荣(1969-),女,汉族,黑龙江人,北京工业大学经管学院法律系副教授。
①在对涉及国家安全、防卫、公共安全、刑事犯罪的预防、调查、侦查、起诉或国家重要经济利益等的数据进行处理时,属于法定的例外情形,可限制数据主体的权利范围。
②在对信用征信体系法律约束比较规范的国家,其征信业由于受到法律的限制,在正常的经营中大体上都必须承担以下两类经营成本.一是为尊重消费者的隐私权必须支出的成本,如,在收集信息和出售消费者报告时征求消费者同意的成本;出售消费者报告时核实买方身份及权利的成本:为保证信息的正确、及时、完整而持续投入的数据库硬件设备和软件成本;为满足消费者的知情权要求所需建立的自动或人工服务系统接口的成本;为满足消费者的异议权和错误信息更正权要求所需保持的自动或人工核查系统的运营成本;为保证信息的安全性与秘密性而采取的安全措施的成本;当消费者反对处理自己的信用信息时征信机构的机会成本等。二是由于可能发生侵犯消费者隐私权而导致赔偿的成本,即或有负债的确认及实际发生赔偿时的冲销,包括因职员的泄密、操作不当、设备故障、管理失误等可归责于征信机构的原因所致信息差错和泄密而给消费者造成的经济损失及精神损害赔偿。由于我国目前对公民隐私权保护的立法缺失,尤其对个人信息的隐私权保护更是一片空白,故本文所提及的其他国家的信用征信业由于立法规定而导致的巨大运营成本对我国信用征信业是不存在的,从而导致了我国的个人信用征信业相对于国外的同行存在经济租金。这意味着,如果外资征信机构能以"商业存在"的方式进入我国,就可以取得与我国征信业同样的国民待遇,分事由于立法缺失而降低成本(包括日常经营的保护成本和因可能侵拉造成的或有负债)所导致的经济租。参见王锐、熊键:《论加人WTO后我国个人信用征信业中的经济租——立法缺失的成本国际比较及相应政策建议》,载《商业研究》2∞3年第6期(总第266期)。
原载《法学研究》2006.6