互联网金融中个人信息的民法保护—以《民法总则》的出台为契机

□周秀娟 罗敏娜

[长春理工大学 长春 130022]

互联网金融中个人信息的民法保护—以《民法总则》的出台为契机

□周秀娟 罗敏娜

[长春理工大学 长春 130022]

《民法总则》首创性的将个人信息列入自然人的民事权益保护范畴，是个人信息权益在民法领域的最高立法保护，也是构建公民个人信息权益民事保障机制的第一步，在互联网金融行业日新月异的今天，个人信息在互联网金融中的隐患也更加的多样化、复杂化，信息侵权事件屡见不鲜，个人信息权益的维护面临严峻挑战，故而有必要加快完善个人信息权的民法保障体系，增设个人信息权民事的专门立法，以规范互联网金融中个人信息的处理行为，明确个人信息的民法保护范围并提供信息的分类保护，理顺民事维权途径，更全面、细致的保护自然人的个人信息权益。

互联网金融；个人信息；民法保护；民法总则

根据中国互联网络信息中心2017年相关数据统计显示，截至2016年年末，我国互联网金融应用中，购买过互联网理财产品的网民共计9890万人，使用网上支付的网民为4.75亿人[1]。互联网金融几乎可见于我们生活的方方面面，然而，在我们享受着这些便利的同时，我们的个人身份、行为轨迹等信息也暴露于他人的掌握中，与此伴随而来的是个人信息安全保护的真空和个人信息权益危机的增长[2]。我国虽已出台相关法律法规进行保护，但类似侵权事件依旧呈连年上升趋势，尤其是互联网金融领域所涉及的个人信息保护令人堪忧，受害者权益法律保护力度仍然不足，相关民事立法保护仍属缺位。而今年年初，《中华人民共和国民法总则》（以下简称《民法总则》）首创性的将个人信息列入自然人的民事权益保护范畴，为个人信息权益提供了最高民事法律保障，更为后续开展个人信息相关民事立法提供了基础。

一、互联网金融中个人信息概述

（一）互联网金融中个人信息的内涵分析

1. 互联网金融中个人信息的概念认定

传统意义上的个人信息主要是指与特定自然人相关联的，能够直接或间接识别个人身份特征的各类信息，包括但不限于涉及个人姓名、联系方式、家庭、职业、财务状况等的信息[3]。而随着信息时代的进步，个人信息的种类和特征又有了进一步的拓展，在传统个人信息的基础上，又出现了类似于网络行为信息（例如：个人的网页浏览偏好、网络消费记录）、账号信息、出行轨迹等新型个人信息，此类个人信息不仅限于个人身份特征的反应，还包括了个人行为特性、活动轨迹的反应[4]。而在互联网金融领域中由于行业涉及面较广、业务创新快、收集的信息种类繁多，为了更全面的保护信息主体的个人信息权利，对该领域的个人信息界定也应符合时代特性、行业特征进行开放式的定义，即互联网金融中个人信息是指以电子数据为承载方式，存在于互联网金融领域的具有识别性且能够反应个人身份、行为等特征的信息，包括但不限于个人身份信息、行为信息、信用信息、财产状况、账号信息。以阿里小贷为例，该业务的发展是以电商平台所获取的用户信息为主要支撑，诸如对淘宝商户在淘宝交易中产生的交易、信用等信息进行分析，引入风险分析、资信调查模式，得出用户的信用评价，据此证明借贷人的信誉对其进行小额贷款，其中所涉及的交易信息、商户个人身份信息以及所形成的信用评价等皆为互联网金融中的个人信息。此外，对互联网金融中个人信息采用较为灵活的概念认定方式，有利于贴合互联网金融行业革新速度快的特征，防止在行业革新过程中出现的新型信息侵权事件的发生，以迎合为信息主体提供全面、细致的法律保护依据的需求[5]。

2. 互联网金融中个人信息的类别认定

互联网金融中的个人信息并非仅限于互联网金融机构根据信息主体的网络行为进行收集、分析等处理而原始产生于互联网中的个人信息，也可以是传统个人信息通过信息输入等方式进入到网络中的信息（例如：个人的家庭住址信息）。互联网金融中的个人信息根据有无直接识别功能，可以分为具有直接识别功能的个人信息、具有间接识别功能的个人信息，前者是指能够单独通过该信息识别出特定个人的信息（例如：身份证号码）；后者是指通过与其他手段、工具、资料等结合而产生识别功能的信息。此外，根据信息主体的不同，互联网金融中的个人信息又可分为未成年人的个人信息和普通人群的个人信息；根据信息的敏感程度不同，还可以分为敏感个人信息和一般个人信息[6]。不同类别的个人信息与个人的切身利益相关程度不同，被利用、受侵害的风险不同，需要受保护的力度和需要采取的保护技术也不同。

（二）互联网金融中个人信息民法保护的必要性

1. 互联网金融领域个人信息侵权事件频发苛待民法保护

个人信息虽是自然人的一项民事权益，但随着时代的进步和科技的发展，这些自然人的个人信息均有可能在互联网金融领域中不知在何时被何人收集、加工，甚至还有可能被第三人非法获取、买卖、利用。由于互联网金融中收集的个人信息多数都是存储为网络数据，而互联网中的数据又具有传播快、易泄露、相关保护技术要求高等特点，从而导致互联网金融领域的个人信息被过多收集、窃取、泄露的风险大大提高[7]，例如，中国互联网络信息中心2017年相关数据统计，2016年我国发生的网络安全事件中，个人信息泄露事件占32.9%，这足以引起我们的重视。此外，互联网金融企业往往会收集海量的个人信息，信息内容广泛、信息主体众多，其所包涵的信息财产价值较大，侵权人可得利益可观。基于以上原因，互联网金融领域个人信息保护存在重大隐患，诸如短信诈骗、电话勒索、信息倒卖等侵权事件连年频发，同时造成的人身、财产损失也极其巨大[8]，急需对信息主体的个人信息权益进行民法保护，规范互联网金融领域中的信息收集、加工、存储等行为，确保互联网金融业务的良好开展，为公民的个人信息权益提供全面民法保障。

2. 民法保护方法有利于互联网金融中个人信息权益保护目的的实现

对互联网金融中个人信息提供法律保护，一方面有利于公民个人信息权益的保障，另一方面也有利于提高公民对互联网金融企业的信任，促进该领域的信息流通和业务开展。对此，我国立法也进行了必要回应，相继制定了诸多法律法规，并提供了刑法、行政法等多重保护制度，但必须承认的是互联网金融中个人信息是一项重要的民事权益，对其民事立法保护必不可少，由民法这一法律部门对其进行权利赋予、行为规范、法律关系调整、侵权救济规定有其独立价值，是其他法律部门不能替代的。再者，刑法、行政法所提供的是一种公力干涉或惩罚，该种公法所保护的权益并不能完全涵盖公民的私益保护需求，例如：刑法定罪门槛较高，单纯的侵权行为并不必然带来刑事责任的承担。而民法更侧重于权利宣示、私益救济，对于没有构成犯罪的侵犯公民个人信息的行为也属于其保护范畴，进行民法保护能起到事前预防不法侵害的发生、及时制止侵权行为、使损失最小化的作用，更有利于预防和化解个人信息侵权纠纷，实现个人信息权益保护的目的。

二、我国互联网金融个人信息的民法保护现状及缺陷

（一）我国互联网金融领域个人信息的民法保护现状

如图1所示，路由开销随着节点停留时间的延长而降低，这是因为网络拓扑结构的变化不再频繁所致。图2表明网络整体的端到端时延随节点停留时间的增加而降低。图3表明分组投递率随节点停留时间的增加而提高。如图4所示，路由发现频率随节点停留时间的增加而降低。

对互联网金融领域中个人信息进行民法保护的前提和基础是完备的个人信息民法保护体系，在此框架下进行细化保护、重点保护。纵观我国的民事法律，尚未给互联网金融领域的个人信息提供专门法律保护，主要以全局性的个人信息保护法律为总体依据，对各领域的相关问题进行综合保护，相关民事立法相对分散，具体规定相互不一致，民法保护体系还不健全。

我国在立法之初，作为民事基本法、一般法的《民法通则》并无“个人信息”这一概念，相关法律规定也难已提供相应保护。此后，随着信息时代的到来，侵犯个人信息权益的案件发生率逐年上升，“个人信息”的概念开始被用于法条之中，但并未将其明确信息权。直到今年年初，个人信息才被《民法总则》正式确认为公民的一项民事权益，为其个人信息的民事维权提供了依据。可为个人信息侵权纠纷解决提供参考的其他法律、司法解释主要有：2009年颁布的《侵权责任法》其中有关一般侵权责任、网络侵权责任、医疗机构及其医务人员妥善保管病例资料等条款[9]；2014年颁布的《关于审理利用信息网络侵害人身权益民事纠纷案件适用法律若干问题的规定》（以下简称《规定》）对网络侵权责任认定进行的细化规定以及网络个人信息的规定[10]。但总体上来说，我国关于个人信息保护的具体民事法律规定十分零散，相关问题的规定并不统一。

（二）我国互联网金融个人信息民法保护缺陷

1. 现有个人信息民事法律分散，难以应对互联网金融的快速发展

我国当前关于个人信息保护的民事立法具有碎片化特征，个人信息主体的权利义务及民事救济规定零散，难以形成完备的民法保护体系，为互联网金融民事维权提供有效、全面的法律基础[11]。此外，我国虽出台了一些规范性文件，如《网络安全法》、《征信业管理条例》等法律、法规，包涵了个人信息保护的部分条款[12]，但主要调整的不是个人信息民事法律关系，民事维权的可参考性不大。

此外，法律具有滞后性，现有法律未能符合信息时代特性，难以解决多变、复杂的个人信息侵权事件。对个人信息的法律规定难以涵盖互联网领域中所涉及和将要出现的各类型个人信息，对于此类关乎个人民事权益的信息确需提供法律保护之时就会出现立法空白的现象。此外，对于新型的互联网金融业务，P2P、第三方支付以及不断创新的相关业务，除了信息泄露、信息买卖、信息非法收集、利用个人信息诈骗勒索等固有侵权形态，还会可能出现其他新型个人信息侵权类型，若不加紧民事法律体系的建构和完善，出台相互衔接的配套法律法规，在未来将可能难以全面、细化的落实对信息主体的民事权益保障。

可以说，我国个人信息民法保护还处于立法初期，个人信息也仅在《民法总则》出台后才正式作为一项民事权益登上民法保护的舞台。现行法律中，关于“个人信息”的定义尚不明晰，《民法总则》《侵权责任法》等相关法律法规并未对“个人信息”的概念、范围进行规定[13]。在其他部门法中虽存在“个人信息”概念、范围条款，但不同法律部门的立法目的不同可能会导致对“个人信息”的保护范围不同，且现有的不同法之间规定尚统一。何为个人信息，其内涵和外延在学界中也各有说辞，特别是在互联网信息时代，尤其是互联网金融领域中个人信息的范围较传统个人信息范围扩张甚多，并仍有进一步扩大的趋势，对基本概念的规定模糊，将不利于确定个人信息法律保护的内容，从而影响信息主体行使权力。可以说对“个人信息”的概念界定、范围规定，是对个人信息进行科学、准确、适当的法律保护的基础，也是个人信息民法保护适应日新月异的互联网金融发展的首要问题。同时，实践中，个人信息一方面包括敏感个人信息，例如个人的医疗健康信息，婚姻状况信息等，另一方面也包括未成年人的个人信息，对于此类信息基于其特殊性有必要进行区分保护，但我国并未提供相应法律规定。

3. 侵权责任立法滞后，法律救济机制不完善

实践中，个人信息侵权责任的认定十分复杂，特别是责任主体的确定、侵权责任的归责尤为困难，例如在互联网金融中，信息的收集、流动会经过多个环节，其中必然涉及较多责任主体，每个环节都可能存在信息泄露、非法使用的风险，不同主体之间的责任需要厘清，而我国现有民法体系中可以作为个人信息有关侵权责任认定的法律规定主要是《侵权责任法》《规定》，前者由于在立法之时我国还未正式将个人信息确定为自然人的民事权益，法条中未有“信息侵权责任”等类似规定，法律滞后导致难以妥善规范实践中层出不穷的个人信息侵权责任；而后者，虽是我2012年出台的有关网络侵权的司法解释，有一定的时代气息，但规定的责任主体也主要是网络服务提供者和网络使用者，对于像第三方支付、网贷等互联网金融业务中出现的信息侵权事件，介入者人数众多，可能会涉及更多侵权主体，若不对责任主体加以细化规定，区分不同主体的主要、次要责任，可能出现责任主体推卸责任，甚至有逃避法律制裁的可能性。此外，我国还未形成完善的侵犯公民个人信息的民事救济机制，救济途径较为缺乏，对于个人信息侵权主体的责任承担方式、是否可以进行精神损害赔偿等问题，我国现有法律或规定过于笼统，或规定空白，且大多数个人信息侵权多发生在互联网中，侵权主体难以确定，证据收集困难，致使无法满足个人信息民事维权需求。

三、我国互联网金融中个人信息民法保护的完善

我国在对互联网金融领域个人信息的民法保护进行立法完善时，不仅应进行基础性的权利赋予、保护范围规定，还应结合信息时代特性、互联网侵权复杂性、细化相关制度，并完善个人信息维权途径，从而为信息主体提供全面、细致、充分的保护，在此基础上结合我国现有民法体制存在的3点缺陷，本文提出如下三点建议：

（一）完善个人信息保护民事法律体系，加强对互联网金融领域的关注

目前，《民法总则》已为个人信息的民法保护提供了基础性的支持，但还有待后续的配套性法律法规和实施细则加以完善，从而形成自上而下、条理明晰、系统协调的个人信息保护民事法律体系，避免不同法律之间的规定冲突。在整个体系构建的过程中，一方面，应细化民事权利的内涵界定，对个人信息的主体、信息保护范围、权利义务内容进行细化规定，使民事主体能清晰了解自己的哪些信息是可以受到法律保护的，提高公民的信息安全意识和风险意识、积极主动维护个人合法权益；在信息收集、处理、流通的过程中，明确信息主体享有的保密、知情、选择、更正等权利，对应的还需区分不同的义务主体，规定不同阶段不同主体所承担的告知提示、保密、合理使用、妥善存储等义务，同时强调个人信息收集、使用等行为的合法性规范。另一方面，还应完善个人信息侵权救济方式、侵权责任承担等规定，以完善的民事救济法律规定来保障个人信息主体的民事权益。

此外，完善个人信息保护民事法律体系的过程还应紧跟时代脚步，结合信息时代化、网络化的特性，着重关注和完善对互联网金融领域的个人信息保护，无论是信息权利主体、义务主体，还是个人信息范围、侵权责任承担方式的法律规定，都应将互联网金融所可能具有的特殊性纳入考虑之中，着重针对第三方支付等领域所涉及的个人信息权利义务主体和法律关系进行细致分析。同时，也应通过立法把互联网金融中出现和可能出现的新型个人信息、以及新信息侵权类型纳入个人信息的民法保护体系之中。

（二）明确个人信息保护范围，促进信息分类保护

对个人信息提供民法保护应以清晰的基本概念为前提，且应当先在上位法中以概括加列举的方式规定其内涵和外延。进行法律规定时，首要是对个人信息保护范围的明晰，为了避免法律的滞后性，不可能分门别类地一一列举，但结合国外的相关立法规定和我国的现实状况，民法领域所保护的个人信息至少应包括：个人身份信息、个人信用信息（例如：贷款及偿还记录、纳税情况）、财产状况信息、网络账号信息、行政司法记录、网络行为信息（例如：网购信息、网页足迹）等等。个人信息的范围界定至少应能够涵盖实践中信息收集主体所可能获取的个人信息，从而作为信息主体维权的基础。

此外，我国个人信息民法保护的完善过程还需对个人信息进行一定区分，并对不同类型的信息保护措施进行不同的规定。对于敏感个人信息应采取重点保护，其范围的界定应将我国文化传统、社会普遍价值观、风俗习惯等作为考量因素，其收集条件应更为严格，配套的侵权责任机制、赔偿机制也应有所区别，例如：信息收集者收集个信息的目的若只是进行统计或统一推算，不是针对特定信息主体进行信息收集时，其收集的敏感个人信息必须进行去个人化处理，去除反应个人身份特征的识别因素[14]。当涉及未成年人个人信息时，由于此类信息主体较成年人更缺乏信息权益保护意识和风险认识能力，尤其是在复杂的网络环境中其权益无疑更容易受到侵害，在个人信息保护与利用方面，更应促进对该类权益的重点保护，例如：对于未成年人的行动轨迹信息收集的条件应更为严苛、并提供更高水平的安全保护。

（三）细化个人信息侵权责任规定，完善民事维权途径

一方面，可以通过司法解释等方式，建立个人信息侵权的新归责方式，对于在互联网领域发生的个人信息侵权中可对某类义务主体适用过错推定，信息主体无须证明侵权人存在“过错”，以此减少个人信息民事维权障碍。此外，对于民事举证责任还可以进行一些例外规定，因为，实践中个人信息的收集、处理无处不在，特别是在一些特殊互联网领域中，公民一般没有能力限制那些获得其信息的组织或个人，对被他人掌握的信息也缺乏控制，甚至无法确切知悉自己的哪些个人信息何时被何人掌握了，这些个人信息又被如何利用，导致举证困难，此时就需要采取举证责任倒置的方式，让掌握个人信息的各主体证明采取了较完备的信息保护措施，履行了妥善保管他人信息的义务。

另一方面，还应完善个人信息侵权的责任承担方式规定，重点解决赔偿标准的规定问题，在进行财产损害赔偿数额计算标准的具体规定时，除了弥补被侵权人因个人信息权益受侵害而产生的直接经济损失，还应将侵权人非法收集、处理信息的成本及所获利益纳入考量标准[15]。而对于损害赔偿之外的责任承担方式，也应进行细化，因为实践中也存在诸多个人信息侵权行为并不必然来带财产上的损失，且通过事前预防可能够得到有效保护，对于侵权纠纷的化解甚至更为有效，维权成本更低。例如，在一些互联网金融个人信息侵权案件中，往往是互联网金融企业对其所获取的信息存在技术保护漏洞、管理疏忽，从而造成信息被他人非法泄露、买卖、利用最终导致严重的人身、财产损害，若在损害进一步扩大之前能落实“停止侵害”“消除危险”等请求权的行使，要求个人信息掌控者更正疏忽行为、弥补技术漏洞，删除相关敏感信息，便能达到事前预防的目的，有效的防止损害扩大。

综上，在互联网金融行业日新月异的今天，个人信息在互联网金融中的隐患也更加的多样化、复杂化，个人信息权益的维护面临严峻挑战，故而有必要以《民法总则》的出台为契机，加快完善个人信息权的民法保障体系，增设个人信息权民事的专门立法，以规范互联网金融中个人信息的处理行为，明确个人信息的民法保护范围并提供信息的分类保护，理顺民事维权途径，更全面、细致的保护自然人的个人信息权益。

[1] 中国互联网络信息中心. 中国互联网络发展状况统计报告[R]. 北京： 中国互联网络信息中心, 2017： 56-58.

[2] 周汉华. 对《个人信息保护法》(专家意见稿)若干问题的说明[J]. 中国科技法学年刊, 2005(1)： 332.

[3] 王利明. 论个人信息权在人格权法中的地位[J]. 苏州大学学报： 哲学社会科学版, 2012(6)： 69+73-75.

[4] Anonymous. CCID Consulting Reports on China’s Internet Finance Information Service Industry[N]. Wireless News, 2008-12-23.

[5] 陈冬梅. 民法视角下个人信息保护的法律问题研究[D]. 上海： 华东政法大学, 2016： 8.

[6] 胡梦茹. 个人信息民法保护研究[D]. 上海： 华东政法大学, 2016： 18.

[7] 黄伟. 互联网金融与个人信息保护问题研究[J]. 科技展望, 2016(16)： 248-249.

[8] JARDINE E. Why Personal Data Breaches Are a Growing Problem[J]. Australasian Science, 2017, 38(3)： 32-33.

[9] 杨立新. 侵害公民个人电子信息的侵权行为及其责任[J]. 法律科学： 西北政法大学学报, 2013(3)： 147-152.

[10] 王银银. 论个人信息网络侵权的法律保护[J]. 法制与经济, 2017(2)： 72-74.

[11] 赵启进. 网络环境下个人信息的法律保护研究[D].桂林： 广西师范大学, 2016.

[12] 周秀娟, 罗敏娜. 论互联网金融个人征信的法律监管[J]. 电子科技大学学报： 社科版, 2017(2)： 46-51.

[13] 刘玲. 论网络个人信息的民法保护[D]. 哈尔滨： 东北林业大学, 2016.

[14] 张新宝. 从隐私到个人信息： 利益再衡量的理论与制度安排[J]. 中国法学, 2015(3)： 38-59.

[15] 刘玲. 论网络个人信息的民法保护[D]. 哈尔滨： 东北林业大学, 2016.

Civil Law Protection of Personal Information in Internet Finance:Drawing Support From the Enactment of General Provisions of Civil Law

ZHOU Xiu-juan LUO Min-na
(Changchun University of Science and Technology Changchun 130022 China)

The General Provisions of Civil Law of P.R.China historically brought the personal information into civil rights and interests, which grants personal information right the highest level of legal protection in the area of civil law and constitutes the first step of building the organism of civil law protection on personal information right. Along with the rapid development of internet finance, the dangers that personal informations are facing in the internet finance have suffered diversification and complication, which ends in a more frequent occurrence of information torts. As a result, there exists an urgent need to accelerate the optimization of civil law system on the personal information right, to intensify specialized civil legislation on personal information right.Only in this path, can the acts referring to personal information in internet finance be legalized, the regulations on personal information be classified, and the protection of citizens’ information right be thoroughly implemented.

Internet finance; personal information; civil law protection; General Provision of Civil Law

D923

A

10.14071/j.1008-8105(2017)04-0052-05

编 辑 邓婧

2017 - 04 - 02

周秀娟（1979- ）女，长春理工大学法学院副教授；罗敏娜（1993- ）女，长春理工大学法学院硕士研究生.