善治须用良法 社会信用立法论略（下）

近年来，在党中央、国务院的要求和推动下，特别是《国务院关于印发社会信用体系建设规划纲要（2014—2020年）的通知》明确要求2020年基本建立社会信用基础性法律法规和标准体系之后，各地社会信用立法如火如荼。然而，在此过程中，由于国家层面并无统一的信用立法，相关表述仍然停留于政府文件层面，多数省市的信用立法仍处于摸索阶段。而且，由于国外尚无将公共信用与市场信用一体调整的立法经验，各地在进行创制性立法时，除了必须对信用信息进行定义之外，还必须确立采集、保存、查询、运用、信用修复等一系列规则。在此过程中，务须避免信用法律泛道德化，注重保护个人信息自决权，在立法权限范围内实现联动奖惩的价值目标。

个人信息保护的刑事法律早有明文规定。2009年《刑法修正案（七）》新增设“出售、非法提供公民个人信息”“非法获取公民个人信息”两项罪名，2015《刑法修正案（九）》将以上罪名取消，代之以“侵犯公民个人信息罪”。—旦入罪，最高可判刑7年。然而，非常吊诡的是，迄今为止，现行法律对侵害个人信息的民事责任尚未作出规定，甚至个人信息的范围也不确定。在大数据和互联网时代，信息的传播极其便捷，在此背景下推进社会信用立法，无论是在归集、使用，还是在互联互通环节，都必须将个人信息的保护置于重要地位，否则极易因信息批量泄露而带来大规模伤害。具体而言，信用立法务须加强以下方面的考量：

明确个人信息的范围及权利属性。在我国，个人信息是否为一种民事权利，以及此种权利的性质和范围等关键问题，法律都未作明确规定。其结果是，许多地方的社会信用立法，均只规定信息的采集与运用不得危害国家秘密，不得侵犯商业秘密和个人隐私，或者进一步规定禁止采集个人的宗教信仰、基因、指纹、血型、疾病和病史信息以及法律、行政法规规定禁止采集的其他个人信息。

此种限缩性立法的模式是，先列举若干个人隐私信息，然后将禁止类信息限缩为国家法律、行政法规禁止采集的信息，这一方面容易引起误认，以为禁止类信息仅限于涉国家秘密、商业秘密及个人隐私的信息，另一方面把兜底条款设定为法律与行政法规禁止采集的其他个人信息。但事实上大量的个人信息并未被法律与行政法规禁止采集，这样就存在着法律保护的盲区。

从我国目前的法律规定来看，我国对个人信息范围的规定相当零散，而且存在明显的部门需求导向。例如，2005年中国人民银行发布的《个人信用信息基础数据库管理暂行办法》第4条规定：“本办法所称个人信用信息包括个人基本信息、个人信贷交易信息以及反映个人信用状况的其他信息。”该条规定重点关注的是与信贷交易相关的信息。2012年全国人大常委会《关于加强网络信息保护的决定》则在第1条规定：“国家保护能够识别公民个人身份和涉及公民个人隐私的电子信息。”最高人民法院、最高人民检察院、公安部《关于依法惩处侵害公民个人信息犯罪活动的通知》明确规定：“公民个人信息包括公民的姓名、年龄、有效证件号码、婚姻状况、工作单位、学历、履历、家庭住址、电话号码等能够识别公民个人身份或者涉及公民个人隐私的信息、数据资料。”该规定明确了个人信息主要包括能否识别公民个人身份的信息和涉及公民个人隐私的信息两大类，是迄今为止最为宽泛的界定。

当下我国民法典正处于起草过程中，个人信息自决权有望被确立为基本的民事权利。在此过程中的信用立法，应当注意做好与民法典的衔接。例如，信用立法中可以原则规定，个人信息是指与特定个人相关联的、反映个体特征的具有可识别性的符号系统，包括个人身份、工作、家庭、财产、健康等各方面的信息。按照这一定义，个人信息远远不限于涉及国家安全、商业秘密和个人隐私的范畴。各地在推进信用立法，一般会要求归集主体的基本信息，切忌将自然人的个人信息归集其中，否则极易构成侵权行为。

确立个人信息许可使用为原则，不经许可使用为例外的保护原则。从信息来源来看，社会信用信息可分为公共信用信息和市场信用信息。或许有人会认为，公共信用信息，顾名思义，就是指可以供公众随意使用的公开信息。而事实上，公共信用信息并非完全等同于公开信息，并非都是无须经许可即可使用。公共信用信息可分为公开信息和非公开信息。公开信息大体分为两类：其一，已经依法通过政府公报、新闻发布会、互联网以及报刊、广播、电视等方式发布的信息；其二，依据法律、法规和规章规定应当主动公开的其他信息。除此以外均为非公开信息。举例来说，行政许可信息属于公开信息，行政处罚信息则以公开为常态，以不公开为例外。一般情况下行政处罚信息应当公开，除非被处罚人是未成年人，或者涉及国家秘密、商业秘密、个人隐私情形的信息。故而，行政处罚信息一般属于公开信息。而水电燃气费用的欠缴信息，虽也属于公共信用信息，但属于非公开信息，只有获得信息主体本人或者经信息主体授权才可以查询。

市场信用信息是与公共信用信息相对应的一种类型，是指信用服务机构及其他企业事业单位、行业协会和其他组织，在生产经营活动中产生、采集或者获取的，可用于识别信息主体信用状况的数据和资料。但必须注意的是，信用服务机构从市场中采集的信息，方为市场信用信息，它们从政府部门通过共享渠道获得的信息，则为公共信用信息。就法理而言，市场信用信息本质上属于私有财产，不具备公共属性，采集市场信用信息应当经被采集的信息主体同意并约定用途，未经同意不得采集，当然，依法公开的信息除外。

遵循合理行政原则，避免行政权力侵犯个人权利。采集、储存信用信息的目的在于运用。而运用的要求，则视公域或私域而判然有别。对于政府部门而言，如果不查询且运用公共信用信息，联动惩戒将成为一句空话。故法律应当强制性设定政府的查询与运用义务，而对于市场主体而言，只能鼓励其在开展金融活动、市场交易、企业治理、行业管理、社会公益等活动中运用信用信息，推动市场化的激励与约束机制的形成，但法律不能作硬性规定。

凡事利弊俱存。强制要求政府在行政管理活动中运用信用信息固无不当，但由于政府掌握着大量的信用信息，如果使用不当，或者不慎泄露，将带来大批次的侵权风险，立法必须予以妥当回应。另外，立法还必须解决的问题是，政府在运用信用信息时，如何避免形成对信息主体的二次处罚。

首先，关于公示信息是否构成二次处罚的问题。国务院《关于运用大数据加强对市场主体服务和监管的若干意见》明确要求，除法律法规规定的以外，应当将行政许可、行政处罚的信息自作出行政决定之日起7日内在网上公开，以提高行政管理的透明度和公信力。信用立法作出规定，要求把行政许可、行政处罚等信息归集到信用平台，目的就是把散在各处的信息归拢在一起便于大家查询和应用。换句话说，对于这些已经公开的信息而言，这只是一个归集的过程，这个过程本身不构成二次处罚。

另外，正如上文所述，将信息归集到统一的平台，并不意味着可以无条件开放查询，只有那些公开的公共信用信息才可以未经授权而查询，而不公开的信用信息，则须取得信息主体的授权才可以查询。最后，失信信息当然会对信息主体的福利带来一定影响，影响究竟有多大，关键在于运用者如何判断，这并不构成法律意义上的二次处罚，相反，有助于形成守信受益、失信受损的社会氛围，符合信用信息立法的价值。

其二，依法确立联动奖惩措施。信用立法在确立奖惩措施时，务须考虑以下约束条件：第一，《中华人民共和国立法法》第8条对立法权限的规定。例如，对公民政治权利的剥夺、限制人身自由的强制措施和处罚，只能由法律来规定，地方性法规无权规定。另外，基本的民事制度也不能由地方性法规来设定。第二，《中华人民共和国立法法》第82条规定，没有法律、行政法规、地方性法规的依据，地方政府规章不得设定减损公民、法人和其他组织权利或者增加其义务的规范。

在地方立法权限范围内，要实现联动奖惩，目前可行的做法是从行政管理措施方面入手：一方面，地方政府在市场监管和公共服务过程中，在同等条件下对信用状况良好的单位和个人提供绿色通道，比如说在财政资金补助、政府采购等活动中优先选择信用状况良好的市场主体。另一方面，对于信用状况不好的主体依法取消行政便利化措施，参加政府采购等活动时可能会面临种种限制。另外，失信的个人在企业任职的时候会受到限制。

其三，引入信用信息关联标准，增强透明度与可预期性。为避免行政机关在行政管理时加入不正当的他项考虑，给行政相对人确立预期，社会信用立法时应当要求行政机关按照合理行政原则，确定与本部门行政管理事项相关联的信用信息范围，作为开展分类管理的依据，并向社会公布。

与此同时，遵循国际惯例，为了给失信主体改过自新的机会，必须赋予其被遗忘权，即设定失信信息的查询期限，自失信行为或者事件终止之日起一定年限后，将失信信息从政府查询界面删除。凡此种种，均着意对政府施加硬性约束，保护私人权利。

其四，强化政府的保密义务，防止信息泄露。对于市场信用信息而言，保护信息不被泄露的手段是事先的合同安排和事后的侵权救济。而对于公共信用信息而言，对相关政府部门赋予信息管理职责，并辅之以渎职责任，则显得至为关键。信用信息立法应关注以下环节：第一，针对信息提供单位、信息查询单位和信用平台的具体工作人员，设定严格的保密义务，避免信息被滥用。注重规范先行，设定本单位查询人员的权限和查询程序，同时必须建立查询日志。相关单位及工作人员不得泄露未经授权公开的公共信用信息。与此同时，设定一定层级的行政处分法律责任。总之，社会信用立法，可以通过多层级的法律责任安排，最大限度地保证信息的安全。

总体说来，社会信用立法游走于公私两域，具有相当高的技术难度，务须慎思而行。同时，“徒法不足以自行”，在密织法网的同时，还须辅之以信用道德与信用文化的培植，持续用力，久久为功，最终实现营造醇厚的信用环境这一良法善治的目标。