第 4 章 四位一体保护模式的构建
网络个人金融信息的利用者包括金融机构、技术服务商、社会媒介等，监管机关对其也负有监管义务。把保护个人金融信息的义务全部归结于金融机构，既不符合社会现实，又不能起到良好的保护效果。应当适当扩展个人金融信息安全的义务主体，不局限于某些机构，把个人金融信息的保护扩展到所有可能涉及的主体。使所有的个人金融信息利用者为自己的行为承担相应的义务，构建全方位的保护模式。
4.1 金融机构主要保护义务的承担
金融机构在个人金融信息的风险防范方面处于源头地位，必须承担其法定的安全保护义务。从完善监督，健全内控机制，平衡保护与披露机制，加强行业自律等方面着手，切实承担其主要保护义务，保护个人金融信息。
网络信息化技术的运用，对金融机构影响深远。传统金融机构凭借资金、网点等优势难以与信息工具相抗衡。金融机构建立起复杂庞大的信息数据库，不断收集个人金融信息。金融机构拥有大量的个人金融信息，其重要内容也掌握在金融机构手中。金融机构利金融交易的相对人，负有保密义务的承担。因此，也要承担主要保护义务。银行应当采取措施，保证未经法律许可，不得对第三方泄露个人金融信息[41].金融机构的安全保护义务是法定义务，其中金融机构最重要的金融消费者保护义务就是保护金融消费者的个人金融信息权。第一，金融机构是最大的受益人。金融机构通过对个人金融信息的收集、处理，能够分析出金融消费者的消费倾向等信息。从而拓展市场，增加利润，获得极大的效益。第二，金融机构在控制风险中具有地位优势。获得个人金融信息之后，金融机构对信息的控制占有支配地位，金融消费者则难以控制。技术服务商、中介机构等组织也是通过合同关系，间接处理接触个人金融信息。因此，金融机构处于控制风险的源头和有利地位。
4.1.1 完善对金融机构的监督
金融消费者的个人金融信息屡屡遭受侵害，主要原因在于金融机构与金融消费者之间的地位不平等。金融消费者无论是信息获得，还是经济实力，都与金融机构过于悬殊。金融机构时常利用自身优势地位谋取私利，侵害金融消费者权利。
因此，维护个人金融信息，保障金融消费者利益，监督金融机构的行为必不可少。
一是，面对实力强大的金融机构，必须引入第三方机构。如消费者协会、行业协会等，对金融机构的日常交易行为以及消费争端问题进行监督，对于侵害个人金融信息等行为进行曝光和提供权益救济。二是，监管机关要对金融机构的法规落实情况进行实时监督。明确和规范个人金融信息的保护工作，使检查监督成为新常态，对金融机构的内控机制建立、执行情况，信息安全防范措施的制定和实施情况等进行重点检查，促使个人金融信息受到保护。对于频发个人金融信息纠纷的金融机构，展开调查，重点监督其行为。
4.1.2 健全金融机构内部控制制度
内部控制制度对于维护个人金融信息的重要性不言而喻，金融机构保护义务的承担，更是离不开内控制度的建设。其应当健全自身的内部控制机制，加强对个人金融信息的管理，防止内部机制泄露个人金融信息，信守保密义务。这些信息不仅关系到金融消费者的经济利益，而且关系到他们的人身安全。第一，对于金融机构现行的分散式的信息进行统一的整合，制定统一的个人金融信息管理制度。并且按照保密程度进行等级划分，对每一个级别信息的处理、等程序做出严格标准。严格规范其信息的处理、使用、销毁等各个环节，全方面管理每个流程，履行安全防范义务。第二，加强技术风险控制措施，建立全程监测管理制度，落实监督检查。尤其对外包的技术服务商，做好风险评估，全程跟踪，及时处理无用的个人金融信息。定期对金融机构的网络系统进行检查，实时更新自身的网络系统和保护措施，保证在无风险的环境下提供金融服务。第三，增强内部从业人员的管理。不同岗位的员工具有的查询权限、能够查询的信息级别等做出详细规定。明确金融机构从业人员履行保密义务，规定泄露金融消费者信息的具体责任条款。
4.1.3 平衡信息保护与披露机制
前文已述，金融消费者个人信息权的保护与披露，关系到个人利益与国家利益的平衡，其实质是私权利和公权力的冲突问题。在个人金融信息方面的具体体现为：洗钱等金融犯罪与个人金融信息的保护。因此，要平衡不同利益主体的利益冲突，加强对个体权利的保护。在具体的规定上，需要照顾各方利益主体，定位法律的价值层次，协调利益冲突。法律应当侧重保护保护国家利益，同时也应当尽可能的保护个人利益，做到对个人金融信息的适度保护和利益平衡。当个人金融信息涉及到洗钱等金融犯罪行为时，基于保护国家利益的目的，国家机关可以处理个人金融信息，金融机构应当进行配合。但是，对于例外披露情况处理，必须在严格法律程序控制与规定之下，以防止公权力的滥用与侵害。除此法律规定特殊情形外，任何主体都不得进行处理个人金融信息。当然，国家机关处理个人金融信息，也要赋予金融消费者个人一定的权利。在受到非法披露等情形，可以采取相应措施进行救济。
其次，个人金融信息权保护与征信的冲突。实践表明信用信息已经不是单纯的个人金融信息，它关系到社会的诚实信用与社会的交易秩序。而且，以失信黑名单为代表的信用惩戒制度在逐步完善，影响信用人的社会生活。在信息时代，个人金融信息需要进行保护，也需要保障其流通与共享，实现社会价值的最大化。
但是，对于征信系统的建立，又涉及对个人金融信息的披露。征信的建立是出于对社会利益的考量，基于此，个人金融信息需要让位于征信。然而，也应看到，征信需要依据法律规定的程序进行，不能任由某些机构采集个人金融信息，还要对个人金融信息权进行保护与平衡。
4.1.4 加强行业自律
目前对于个人金融信息的保护，尚无完善的法律。在法律尚不完善的情况下，行业自律的重要地位不言而喻。金融行业协会主要发挥服务、协调、自律等方面的功能，实现金融业的发展。在保护机制未完善之前，行业自律无疑是十分重要的保护手段。第一，金融机构要结合相关的法规，制定金融业的个人金融信息保护行业标准，并拟定具体的实施细则，为金融机构处理个人金融信息提供依据。
要明确哪些个人金融信息是需要保密，不能泄露的，然后对限制性条款以及保密程度进行规定。比如，对于不处于保密状态的个人金融信息可以披露到什么程度，以何种方式披露都要进行规定。第二，完善金融机构全体人员的教育，明确其保密义务，提高对法律责任的认识。详细规定金融机构从业人员接触金融消费者信息的程序，以防止任意人员对个人金融信息的随意接触，增加泄露的风险。第三，整个金融行业制定相关的保护准则，提高行业整体自律意识。作为获得个人金融信息的特殊行业，要发挥自身的带头保护作用，做好行业保护的榜样。
4.2 技术服务商技术支持的保证
与金融机构密切联系的技术服务商也是重要的义务主体，在外包业务中，它要优化自身的技术服务，防止个人金融信息的泄露。
此处的技术服务商，指金融外包业务中，为金融机构提供技术支持与服务的机构。由于分工的细化和技术的专业性，金融机构不具有处理个人金融信息的专业技术支持。更多情况下金融服务机构更加愿意把个人金融信息的技术服务进行外包，由专业的技术服务商进行信息处理。然而，通过外包方式，风险管理等职责也发生了转移，难以受到监管机关的监管。在这种情况下，金融服务机构就无法能控制其负责金融业务的风险，不能有效保护个人金融信息。甚至无从知道其金融业务是否遵循了监管要求，也不可能了解金融消费者的信息被泄露。在技术服务商对个人金融金融信息进行和处理的过程中，个人金融信息有可能遭到技术服务商的泄露。
目前为止，除了技术服务商的职业操守，技术服务商的信息处理行为主要受到合同法的制约。依据金融机构和技术服务商的合同，技术服务商的泄露个人金融信息行为可以构成违约。但是囿于合同的相对性，金融消费者不能基于合同获得相应的权利救济。因此，在业务外包过程中金融机构要充分量化、全面评估各类外包风险。
4.2.1 细化外包合同
外包合同规定了双方的权利义务，事关外包服务的成功与否。因此，外包合同中对技术服务商的各项标准要进行细化。对外包服务商的服务标准、种类、服务模式也要进行规定。不同的技术标准，可能影响到信息泄露与否与信息泄露程度。约定外包服务的范围、权利义务等内容，特别是违约责任的承担。许多金融机构的技术外包服务出现问题，原因之一就是外包合同不完善，没有一套行之有效的衡量标准。导致用劣等技术、服务充当优等技术，在外包服务中出现纠纷。而且，外包合同中具体标准的制定也会迫使技术服务商，更新技术、优化服务，更好地维护个人金融信息。
4.2.2 全面监控风险
技术外包服务中，风险贯穿整个过程。首先，要确定关于服务商的信誉状况、过往业绩、技术能力，全面地测试、评估风险。选择信誉度良好，技术优良的技术服务商。从众多的技术服务商中进行筛选，减少泄露风险的机率。其次，金融机构要全面、及时检测外包风险，跟踪、监测服务商的信誉状况、技术服务水平与履约情况。一经发现外包服务中存有潜在的泄露个人金融信息等风险，立刻处置，置备紧急预案，使风险处于可控之中。
除此之外，还要明确规定技术服务商的个人金融信息的安破全保障义务。既能突破合同相对性的限制，又能为个人金融信息提供法律依据，更好地保护个人金融信息。
4.3 监管机关安全保障的提供
负有监管义务的金融监管机关，也是个人金融信息的收集和使用者，应当承担安全保障义务。在信息时代，监管机关通过对大量个人金融信息的分析，检测出可疑信息，从而更好地打击洗钱等金融犯罪。但是，监管机关在履行监管职责的同时，可能会侵害个人金融信息。因此，监管机关应当对收集、分析处理的个人金融信息承担安全保障义务。
4.3.1 确定个人金融信息保护的监管部门
监管机关保护金融消费者的权益，要加强对真空地带的监管，提供具体的保障措施，防止边缘地带的个人金融信息无法保护。在统一的功能性监管机关建立之前，一行三分要进行协作监管，共同应对对监管空白出现的问题。由于中国人民银行的征信系统可以更好地监控个人金融信息以及金融机构的资金流向，可以由人民银行作主导作用，适时展开核查工作，核查金融信息安全保障义务的执行情况。同时，获悉的数据和其他监管机关进行共享，既降低了监管成本又达到了监管效果。交叉业务的金融监管中，更要明确监管主体，切实负担起自身的监管与保护义务。
4.3.2 引入外部测评措施
鉴于个人金融信息保护工作的特殊性，强有力的技术支持必不可少，而且专业、复杂的技术手段，是法律措施的重要补充[42],监管机构可以采取引入外部测评的措施。监管机关还可以聘请外部机构对个人金融信息保护的机制、技术、管理制度进行评估，揭示存在泄露个人金融信息的风险问题，以此保证其个人金融信息保护工作的有效性。对于问题多发的金融机构，监管机关可以再次实施重点、不定期检查等措施，要求其及时整改。
4.3.3 完善个人金融信息的法律规定
对于个人金融信息的保护，法律法规进行及时调整，规范实践中的新情况，才是治本之策。考虑到立法成本与时间周期问题，监管部门可以先制定规范性法律文件，从法律上规定金融消费者的权利和义务，界定其法律地位，为其权益保护提供基础。其中，现行的法律规范中缺乏对个人金融信息的定义，其保护工作根源上存在缺陷。对今后法律的完善，要清晰界定相关的概念，确定保护范围。在与监管机关的关系上，要从“监管”转变到“保护”的理念，树立对个人金融信息权的保护。要把金融消费的整体保护理念贯穿到所有的部门法规范当中，维护信息权益。
其次，全面规范个人金融信息的处理行为。在具体法律的制定上，如《个人信息保护法》和《征信法》，要规范个人金融信息的收集、处理等各个程序，明确其保护原则，确定相关义务主体的保护职责。对于征信的流程、主体也必须进行严格的规范，明确其泄露个人金融信息的责任。同时，对于金融消费者也应当赋予相应的权利，具体为前文的个人金融信息权的权利内容，更好地保护个人金融信息。
最后，完善金融消费者这一特殊群体的专门立法。现行立法中，在金融行业对于个人金融信息的整体保护处于模糊状态。因此，关于今后《商业银行法》、《证券法》等法律，完确立个人金融信息的原则性保护条款。分处于保险、银行等金融行业的金融消费者要区别保护，保险消费者更多的个人金融信息是健康信息、财产信息，银行消费者更加关注资产信息，要分清楚保护的重点与共同点。在具体法律条款的不断完善过程中，调整金融机构和金融消费者的权益，防止其侵害个人金融信息。
4.4 消费者保护意识的加强
金融消费者在个人金融信息保护模式的构建中属于基础作用，必须提高其个人保护意识。信息化社会中，由于金融服务的特殊性和复杂性，加之金融消费者的受教育程度，直接决定了保护工作能否成功。这里的受教育程度是金融消费者对金融消费知识的熟知程度，对金融交易的理解程度，以及对个人金融信息的自我保护程度。消费者对于个人金融信息遭受侵害，虽然金融机构等负有主要责任，但是金融消费者也难辞其咎，未尽到自我保护的职责。金融消费者信息风险防范能力较差，缺乏个人金融信息保护的基本意识。甚至，一些金融消费者在个人金融信息受到侵害时，不知道运用法律武器进行维护和救济。因此，只有提高金融消费者保护意识，树立权利观念，才能更好地维护其权益。
4.4.1 健全金融消费者教育体系
一个成熟的个人保护意识的树立，不可能一蹴而就。必须长期坚持，尤其需要构建完善的教育体系。对于教育工作的实施，需要监管机关、金融机构、学校、社会媒体等多方主体介入。尤其是金融消费者在校教育不能忽视，需要建立长远金融教育体系的建立。监管机关可以制定金融消费者教育计划，金融机构和学校等主体负责具体实施。同时做好媒体的宣传工作，发挥社会媒体的作用。将金融教育知识普及到基层地区，对金融消费者全面、系统的进行金融消费者宣传和教育。而且，多方主体的参与，可以构建全面的教育体系，有利于个人保护意识的树立。
4.4.2 确定金融消费者教育内容
关于金融消费者的教育措施，除了进行基本教育工作，宣传金融法规之外，还应当提高权利意识。知悉其享有的权利内容，注重自身权利维护，防止其信息遭到泄露，增强自己的风险防范意识，提高对个人金融信息的控制与保护能力。提醒金融消费者进行金融交易过程中的法律风险，尤其购买金融出产品时，注意维护个人金融信息。告知其在金融活动的权利和义务，一旦信息泄露，会用法律维护自己的相关权利。
4.5 本章小结
前一章主要是对个人金融信息保护现状的不足展开的探讨，本章则是对新型保护模式即四位一体保护模式的构建。金融机构、监管机关、技术服务商以及金融消费者个人都对个人金融信息保护负有义务。对于之前关于金融机构的单一负责制，必须进行完善，因其在实践中难以取得应有的法律保护效果。金融机构的主要保护义务，监管机关的安全保障，技术服务商的技术支持及金融消费者个人的保护意识，四方主体的义务必不可少。尤其，不能忽视金融消费者个人自身权利意识的树立。个人意识对保护工作的完成，至关重要，不能厚此薄彼，各方义务都要履行。只有结合个人金融信息的新型网络背景，明确各方的具体义务，完善相关的法律法规，才能使个人金融信息不受侵害，保证整个信息行业平稳发展。
