互联网征信与个人信息保护

文/吕丽娜

2015年6月4日，国内首家个人征信机构芝麻信用宣布，用户用芝麻分和芝麻信用报告就可申请新加坡和卢森堡签证，不用再提交资产证明、在职证明或者户口簿等复杂资料。据悉，芝麻信用未来还会与韩国、日本、英国、斯里兰卡等出境游热门国家接触洽谈，争取让更多国家支持“信用签证”。借助无处不在的互联网和日渐被重视的信用价值，中国的商业信用将被彻底提高。

互联网信用分纳入国家信用体系

根据芝麻信用、阿里旅行和卢森堡大公国驻上海总领事馆达成的合作，未来芝麻分在750分以上的用户，可以通过阿里旅行办理卢森堡的“信用签证”。也就是说，仅仅依靠信用分，就可以享受到“信用签证”服务。无独有偶，消费金融公司招联推出贷款利率优惠活动，芝麻分达标的用户在信用日当天贷款可享受利率6.6折优惠，并且还有10个免利息贷款名额。此外，依靠信用分还可以在出行、租车等方面享受先使用后付费的优势。

在我国电子商务发展的初期，长时间无法得到健康成长，最大的阻力就来自于商业信用。不管是先付款还是先发货，总有一方不放心，这一“瓶颈”直到支付宝的出现才得以缓解，从而带来了整个电子商务行业的繁荣。当下互联网金融飞速发展，行业规范与风险控制问题是互联网金融发展的最大挑战，一个重要原因正在于我国缺乏针对互联网金融的有效征信体系。

在蚂蚁金服和腾讯都拿到了征信牌照之后，互联网公司开启了个人信用的新时代，一个崭新的中国商业社会可能到来。而这些互联网征信平台又存在一些问题，例如缺乏信息共享机制，信息安全风险大，信息主体权益保护机制不完善等，有效解决这些问题将极大减少交易风险，降低交易成本，真正体现信用的价值。

个人信息采集使用须本人同意

芝麻信用、宜信、网络金融信息共享系统等均属于互联网征信平台，它在数据获取渠道、覆盖人群等方面显然优于传统征信系统。正是由于这样的优势，使得用户个人信息面临更多被泄露的可能。

我国《征信业管理条例》规定，采集个人信息应当经信息主体本人同意，未经本人同意不得采集。依照法律、行政法规规定公开的信息除外。同时规定向征信机构查询个人信息的，应当取得信息主体本人的书面同意并约定用途。同样，法律规定可以不经同意查询的除外。芝麻信用方面也表示，个人隐私的保护是芝麻征信的首要考虑因素，具体操作中包括所有信用相关信息的采集一定在用户知情的前提下开展。不管是机构还是其他人，要查看芝麻信用分，都必须获得用户本人的授权。

从理论上讲，征信机构采集和向信息使用者提供个人信用信息都需要征得信息主体的同意。但是信息主体在个人征信中相对处于弱势地位，在赋予信息主体对其个人信用信息采集和查询同意权的同时，应当设置这一权利行使的保障机制，保证信息主体的同意是在其自由意志之下做出的真实意思表示。

条例仅仅规定，征信机构或者信息提供者、信息使用者采用格式合同条款取得个人信息主体同意的，应当在合同中做出足以引起信息主体注意的提示，并按照信息主体的要求做出明确的说明。信息主体的同意标准应该包括4个方面：一是同意必须是清楚而不含糊的意思表示；二是同意必须是意思自由做出的；三是同意必须是明确的；四是同意必须是在被充分告知有关信息的情况下做出的。其中，第一项和第三项要求信息主体的同意必须是明确、清楚而不含糊的，对信息主体的同意不能采取“推定同意”的方式；第二项要求信息主体必须是在不存在欺诈、胁迫、乘人之危等情形下做出的同意；第四项要求信息主体应被充分告知有关个人信息采集或使用的目的、范围等，即所谓的“知情同意”。

严格限制个人征信信息采集范围

按照芝麻信用发布的首份社会信用调查报告，通过对1.5万名用户的调查，82%的中国消费者认为个人信用对自己非常重要，85%的消费者对个人征信体系的未来看好，能接受第三方公司提供的个人信用评估。知道个人信用记录的人当中，只有44%的人前去查询过个人信用记录。在对个人信用的使用上，91%的消费者都是集中在“银行贷款”上，89%的被调查者希望个人信用的应用可以扩大范围。可见，中国并不缺乏信用发展的社会基础，缺乏的只是社会监督与执行机制。

《征信业管理条例》明确禁止征信机构采集与信用无关的个人隐私信息，规定了绝对禁止采集和限制采集的个人信息范围。绝对禁止采集的个人信息范围包括宗教信仰、基因、指纹、血型、疾病和病史信息以及法律、行政法规规定禁止采集的其他个人信息。限制采集的个人信息主要是关于个人财务状况的信息，包括收入、存款、有价证券、不动产的信息和纳税数额信息。个人财务状况反映的是个人财产权益，不同于个人的人格权益，个人可以自由处分。对于限制采集的个人信息，征信机构在明确告知信息主体提供该信息可能产生的不利后果，并取得其书面同意采集情况下，可以采集。

个人不良信息保存期限不超5年

《征信业管理条例》规定征信机构对个人不良信息的保存期限，自不良行为或者事件终止之日起为5年；超过5年的，应当予以删除。这意味着欠款人一旦全部还清欠款，5年之后这条逾期记录就会从其个人征信报告中删除。

国际上一般对个人的不良信息也都设定了保存时限，但期限并不相同。美国规定，个人破产信息只能保留10年，任何民事诉讼、民事判决、被捕记录、缴纳欠税滞纳金记录、被追收或冲销坏账等记录只能保留7年，但特别严重的违约或有害信用的行为不受上述期限的限制。智利规定个人不良信息保留7年，西班牙规定保留6年，韩国规定保留5年。我国不良信息的保存期限采取了折中做法。期限过长，信息主体信用重建的成本过高；期限太短，对信息主体的约束力不够。

延伸阅读：信用信息正确与否征信机构负举证责任

《征信业管理条例》规定：“经核查，确认相关信息确有错误、遗漏的，信息提供者、征信机构应当予以更正；确认不存在错误、遗漏的，应当取消异议标注；经核查仍不能确认的，对核查情况和异议内容应当予以记载。”该条例规定了征信机构承担信息核查的职责，但同时规定，“经核查仍不能确认的，对核查情况和异议内容应当予以记载。”

信息主体主张有关其自身的信用信息不存在或不属实，属于消极事实的证明，根据举证责任分配原则，类似消极事实等不易证明或无法证明证据的举证责任，不应由被侵权人承担，而应由散布事实的侵权人承担有关积极事实存在的举证责任，如侵权人不能举证，应视为事实不存在。在征信机构不能确认相关信息准确的情况下，应当视为错误，征信机构应当予以纠正而非仅仅是对核查情况和异议内容予以记载。

由征信机构而非信息主体承担证明信用信息准确性的举证责任，也是当今各国的一个通行做法。《联邦德国个人资料保护法》第35条第4款规定：“当事人争议其个人资料之准确性，且其正确与否无法得到确认者，其资料应予冻结。”《奥地利资料保护法》第12条第5款规定：“资料管理人对于非由当事人提供之资料，有证明该资料正确之责任。”