金融控股公司内部信息共享的正当性与监管路径

李善民

人工智能和大数据等技术迅速发展，金融混业经营是大势所趋。金融消费者希望有金融超市能够满足各项金融需求;金融服务提供者则希望融合多项金融业务，实现一体化运营，以发挥业务协同作用。传统金融机构相继开展一体化运营，非传统金融机构也通过投资控股的方式形成金融控股公司，本文統称为“金控公司”。据不完全统计，目前我国现有77家金控公司，如平安集团、中信集团、蚂蚁金服等。

监管层注意到金控公司的迅速发展，制定的《金融控股公司监督管理试行办法》于2020年11月1日起正式施行，对规范金控公司行为和防范系统性风险具有重要作用;但在金控公司内部信息共享方面的监管与规范，仍有不足。如第22条和第23条，仅原则性规定了金控公司可以共享客户信息，但对如何共享信息、共享信息的范围和界限、是否需要用户明确授权以及以何种形式授权，管理办法均未予以明确。

中国人民银行党委书记、银保监会主席郭树清在2020年12月8日的新加坡金融科技节中也指出，部分公司利用市场优势，过度采集、使用企业和个人数据，甚至盗卖数据，严重侵犯了企业利益和个人隐私。信息和数据在数字经济发展过程中尤为重要，2021年7月的“滴滴事件”再次敲醒警钟。伴随个人信息保护法紧锣密鼓地推进，监管部门正在研究制定金融数据安全保护条例，以构建更加有效的保护机制，防止数据泄露和滥用，针对金控公司内部信息共享，有必要进一步研究与细化。

金控公司内部信息共享的当前现状

金控公司内部信息共享的研究与细化，应在了解金控公司隐私政策中的信息共享政策之后选择部分金控公司提供的产品服务，深入了解金控公司是如何获取用户授权并在金控公司内部进行信息共享的，最后尝试提出部分解决方案，为金融数据安全保护条例的制定提供一定的参考。

金控公司网页公示的共享政策

本文选取130个公司网站作为研究对象，查阅网站中的隐私政策或其他相关内容，结果如下。

总体情况：隐私政策公开占比低，公开位置不一、名称不同、难以查阅

选取样本中有80个网站未公开任何与信息共享相关的内容，仅有50个网站对内部信息共享作出部分说明并公开，占比仅为38%（此次实证研究，通过肉眼可见的方式遍历网站内可能包含“隐私政策”的特定链接进行点击查询。以使用金融服务为重点的一般用户，不会刻意查阅网站中的“隐私政策”。此次研究的合理注意程度远高于一般用户），尚不过半。其中，成立于2018年的北京金融控股集团有限公司的官网，亦无“隐私政策”的相关链接。

在38%的网站中，链接位置各不相同，用户查阅难度较大。信息共享政策被囊括在不同的政策内容中，如“隐私政策”“隐私声明”“免责声明”“隐私权条款”等，命名不一。整体呈现出一种用户难以查阅的尴尬局面。总体而言，我国金控公司的信息共享和数据保护的理念严重落后。

具体问题

隐私政策内容简繁不一。在38%的网站中，部分隐私政策极为简略，部分隐私政策则事无巨细、极为庞杂，简繁失当都是对用户知情权与自主决定权的变相侵害。

默示签署（变相强制签署）。部分网页的隐私政策中明确表明“阁下进入本网站及其任何网页，即已同意下列条款”。致使用户使用该公司的产品或服务，即视为同意“隐私政策”的全部内容。在此之前，网页并未进行任何提示，本质上是剥夺用户知情权与自主决定权。

共享前是否需用户授权尚未统一。除法律及监管要求之外，内部信息共享前是否需要用户的明确授权，情形不一。而倘若不需要用户授权，是否具有其他的限制措施。根据网页隐私政策，主要有以下几种情形：无须授权、以用户不反对为前提、以用户明确同意为前提以及用户可提出终止要求。

共享原则不明、界限模糊。除法律及监管要求之外，主要有以下情形：一是隐私政策中未明确共享原则与界限。二是金控公司内部信息共享仅限于直接促销，多适用于金控公司的某些香港组成部分。如交通银行香港分行的官网上注明了“倘若浏览者提出要求，本公司将停止把浏览者的个人可识别数据用于直接营销用途”。三是原则性说明，包括商业合理评估、业务需要、目的必要、数据必要等内容。如：蚂蚁集团的隐私权政策中注明“在将信息提供给第三方前，相关服务提供方将尽商业上合理的努力评估该第三方收集信息的合法性、正当性、必要性”;京东金融注明“出于合法、正当、必要、特定、明确的目的共享您的个人信息，并且只会共享提供服务所必要的个人信息。”

共享主体不清。隐私政策中或对信息接收方只字不提，仅表明“信息共享或公开”;或表明向本单位以外的第三方共享信息，但并未说明第三方是指哪些单位;部分隐私政策中是通过概念解释的方式明确第三方单位的，比如支付宝的第三方包括其关联公司、合作金融机构以及其他合作伙伴;建行集团的本政策所称“建行集团”是指中国建设银行股份有限公司及其直接或间接控股的公司，以及中国建设银行股份有限公司直接或间接作为其单一最大股东的公司。另有部分隐私政策混淆集团内外，未明确集团内关联公司和相关服务方的界限，导致内部信息共享难以厘清相关责任主体，事后难以追责。

共享后的主体限制不清与目的限制不明。信息共享后，信息接收方或受隐私政策约束，或受信息共享方与信息接收方签订的隐私保密协议约束。但也有部分隐私政策只是简要表明“我们将要求第三方对您的信息采取保护措施”（参见网商银行：“网商银行隐私权政策-消费者金融宣传-网商银行”）。另有部分隐私政策对此未进行任何说明。倘若信息接收方不受制约，何谈用户信息安全。此外，信息接收方处理信息的目的是否予以限制，隐私政策对此规定各不相同。

信息分类不明。多数金控公司对内部信息共享的对象表述极为模糊，笼统表述为信息共享或公开，未指明共享何类信息。部分隐私政策对信息作出分类，并制定不同的共享流程和标准。

隐私政策效力不明。隐私政策效力是限于展示该隐私政策的网页（平台），亦或约束本公司所属的整个金控公司，隐私政策对此均未明确。隐私政策效力还包含隐私政策在金控公司与用户之间的效力问题（参见王叶刚《论网络隐私政策的效力——以个人信息保护为中心》），目前尚无定论。再者，监管机关能否依据金控公司自行制定并公布的隐私政策对其作出监管处罚，亦无定论。

用户注销或终止共享尚未明确。多数隐私政策未对用户注销和终止共享作出说明。仅部分隐私政策涉及用户注销或终止信息共享，如京东金融及南方基金隐私政策包含销户内容;交银施罗德以及交银香港分行隐私政策涉及终止共享内容。

更新频繁与推送延迟。信息共享的相关政策，应具有一定的可预期性，频繁更新不利于用户合法权益的保护。再者，对隐私政策进行的任何更新应在第一时间向用户推送。以蚂蚁金控集团的隐私政策为例，旗下公司更新时间不一，推送不及时。

隐私政策条款模板化。隐私政策的公开内容存在模板化现象，通过网络搜索可获得大量条款模板。

金控公司App公示的共享政策

根据网站查阅结果，选择其中有代表性的产品进行App测试，与网站隐私政策相比较，主要差异及不足如表1所示。

金控公司内部信息共享的价值冲突与正当性

金控公司内部信息共享的价值冲突

对金控公司内部信息共享所进行的规制，不可盲下结论，须先厘清这背后的价值冲突。金融法所追求的绝非单一价值，有效率、公正、秩序等多个价值目标（参见邢会强《相对安全理念下规范互联网金融的法律模式与路径》）。根据邢会强教授提出的“三足定理”，金融法需要在效率、安全与公平三种价值之间寻求平衡。强调金融安全则需加强对金融市场的管制，致使主体积极性和创造性受到束缚，并导致金融效率降低;而强调金融效率，势必会弱化金融监管，产生市场失灵。此外，金融主体有滥用金融创新的倾向，以创新为名规避监管、实现监管套利的行为也屡见不鲜，没有监管的金融创新会导致金融风险累积，最终危及金融市场整体的安全与稳定。

金控公司内部信息共享所体现的各种利益冲突，殊途同归，仍是安全和效率这二者冲突的翻版。与以往不同的是，在金控公司内部信息共享范畴下的（金融）安全含义有所扩大，不仅限于经济安全，还包括社会层面的信息安全，也有个人信息安全背后的隐私安全和用户信息所涵盖的人格尊严价值。

金控公司的内部信息共享活动需要在金融效率和金融安全两种价值之间寻找一个既不妨碍金融创新与发展，又可以保护用户信息权益的平衡点。金控公司希望能够将多种业务融合起来，提高信息使用价值和促进集团内业务的高效运转，希望更全面、便捷地实现信息内部共享，发挥金控公司的业务协同作用和规模优势，降成本、提利润。用户则希望金控公司提供多种个性化产品，以满足其金融产品需求，也希望金控公司注重个人金融信息的保护，而非随意共享包含其个人信息的数据。

关于金控公司内部信息共享背后的价值冲突，也有多位学者进行论述探讨。李祝用、李星在《大数据时代金融集团客户数据共享与个人信息保护的冲突与平衡》一文中提出，在实务层面，存在客户数据共享与个人信息保护二者之间的利益冲突;在价值层面，是信息自由与维护人格尊严之间的冲突。何颖则在《数据共享背景下的金融隐私保护》一文中，从蚂蚁花呗采用关系人施压性催收和P2P平台中的信息孤岛现象出发，从两方面讨论并得出结论：需要平衡金融业经营者的信息共享和消费者的隐私权益冲突，应在允许信息共享的同时保护消费者的基本隐私权利。李玉辉、张华和张宝中在《数据画像领域个人金融信息保护问题及其对策研究》中提出，既要促进金融创新的发展，也要保护好金融消费者的隐私信息。

总之，用户对个人信息的知情权与隐私权，既不能在金融创新发展的过程中被忽视，也不应成为金融创新发展的障碍。

金控公司内部信息共享的正当性

在监管规则尚未完善的背景下，金控公司内部信息共享在经济效益、社会价值和用户受益三个方面存在其正当性，再辅以监管规则的及时更新和完善，可将金控公司内部信息共享活动的不利影响降至最低限度，乃至消除。

经济效益：降低成本、增加效益。金控公司通过内部信息共享，可以最大程度发挥自身的组织优势以及各组成部分之间的协同效应，避免金控公司内部各组成部分对用户信息数据的重复收集与处理分析，从而减少不必要的经营成本。许可教授亦认为，金控公司存在的唯一理由就是为了公司内部彼此间能够获得协同效应（参见许可《个人金融信息保护与数据协同：金融控股公司的选择》）。同时，金控公司內部通过信息共享可以对海量规模、多个维度、实时高效的客户信息，实现更加精准的信息数据分析和深度挖掘高价值信息，进一步实现金控公司和用户之间的供需精准匹配，一方面可以改善自身经营，提高服务水平和经营效益;另一方面也可以促进整个金融领域的金融产品创新与开发。

社会价值：降低金融风险，提高金融效率和促进金融产品创新。金融和风险须臾不可分离，而信用风险又是金融风险中的重要组成部分，其根源在于金融机构与其交易对手之间的信息不对称（参见许可、尹振涛《金融数据开放流通共享》）。首先，金控公司内部信息共享可以使金控公司在银行、保险、证券等多个维度识别消费者的信用水平，最大程度地减少信息不对称，提高金控公司的信用风险识别能力，从而降低信用风险。其次，金融的本质是货币融通，金控公司完全可以通过内部信息共享对大量实时动态的非结构化信息进行精准分析，直击用户产品需求，感知用户痛点，进而实现金控公司产品供求的精准匹配，提高金融运作效率，并进一步促进社会资源配置效率。最后，金融创新的源泉是通过精准的数据分析感知用户需求，内部信息若无法共享，产品经理则难以明晰用户需求，致使金融创新举步维艰、难上加难，甚至造成更为严重的后果，或许会削弱我国金融企业在全球化潮流下的竞争力。

用户受益：金控公司内部信息共享可以正反馈至用户端，实现双赢。金控公司通过内部信息共享得以实现金融产品服务的“一站式”提供，在降低自身运营成本的同时，也大幅降低了用户交易成本。同时，内部信息共享使金控公司配置相对多的资源，以促进金融产品创新和提高服务水平，提升用户的产品体验。此外，金控公司内部信息共享能够降低金融风险，提高资源配置效率;广大用户作为金融市场中的参与者，便可获得风险更低、效率更高的金融产品，以供自身选择。这对整个金融市场的发展是极为有利的，凡此种种，又正进一步反馈至用户端。

金控公司内部信息共享尽管存有潜在风险，但在经济效益、社会价值和用户受益三个方面，有其正当性，须平衡好个人金融信息安全和金融创新发展的双重需求，应在允许金控公司内部信息共享的同时注重用户基本隐私权利的保护。

国内外对金融信息的监管情况

国内监管

央行于2011年制定实施的《中国人民银行关于银行业金融机构做好个人金融信息保护工作的通知》首次提出了“个人金融信息”的概念并构建起我国个人金融信息安全权益保护框架，该通知第四条明确规定，银行业金融机构使用个人金融信息时，应符合该信息的目的，并不得向本金融机构以外的其他机构和个人提供金融信息。例外条件是为个人办理相关业务所必须且经个人书面授权或同意。据此，银行机构使用信息须符合特定目的，且在经个人书面授权或同意前，不得对外提供个人金融信息。

此后，我国于2013年修正《消费者权益保护法》时，第29条明确了消费者个人信息保护的基本框架。2015年，国务院办公厅印发的《关于加强金融消费者权益保护工作的指导意见》（以下简称《指导意见》）同样关注到了金融消费者权益的问题，首次在金融消费者的基本权利中明确了“信息安全权”，明确规定金融机构应当采取有效措施加强对第三方合作机构的管理，明确双方权利义务关系，严格防控金融消费者信息泄露风险，保障金融消费者信息安全。《指导意见》强调，积极推进金融消费者权益保护工作相关立法的基础性工作，研究相关的特别立法。应注意：虽然《指导意见》要求加强对第三方合作机构的管理，但实质上是对以往不得向第三方共享信息的一种突破。尽管《指导意见》将个人金融信息保护上升到权利高度，但仍有不足，因为没有涉及修改权及删除权的相关规定。

在管理办法公布之前，有学者指出中国人民银行需要在《金控公司管理办法》中对数据共享问题予以明确回应，进一步明确对数据共享的范围、条件、目的以及隐私政策的制定与披露。但已公布的管理办法显然尚未达到此标准。

国外监管

国外对金控公司内部信息共享制定的部分监管规范，对国内金控公司内部信息共享监管规范的制定或更新有一定的借鉴价值。

经济合作与发展组织于20世纪80年代颁布并实施《隐私保护和个人数据跨境流通指南》，明确规定了收集限制以及个人参与原则，明确了数据主体的知情与同意的权利内容、数据控制者的告知义务。该组织于2013年通过的《保护个人数据隐私及跨界数据流通指南的修订建议》提出的“目的特定”原则，要求数据收集者必须明确数据的使用目的，倘若数据使用目的发生变化，应及时予以说明。欧盟议会《通用数据保护条例》（General Data Protection Regulation，GDPR）在第五条中也同样提出“目的限制”原则，数据收集与处理需要以特定、明确及合法的目的为前提，否则不得进行。同时，GDPR也排除“缺省同意”，要求收集和使用信息的一方在申请这种“同意”时，要将其明确清晰地与其他事项区分开来，并对合法性原则进行了详细规定，要求企业内部设置数据控制者，具体负责个人数据的处理以及运用，配合本国监管机关工作，以保障收集、利用用户个人信息的合法性。

美国1999年出台的《金融服务现代化法》正式确立了以金融控股公司为经营模式的混业经营体系。美国在制定《金融服务现代法》时，便已经意识到金控公司可以通过交叉销售获取经济利益，与此同时也对客户金融信息隐私构成威胁（参见颜苏、王刚《大数据条件下金融控股公司消费者金融隐私权保护研究》）。于是，立法者用第五章专门规定了有关金融隐私保护的问题，且条文适用于所有金融机构。但金融界最终在立法游说中取得胜利，该法案仅赋予消费者选择放弃权，除非消费者明确告知银行不同意其向非关联第三方披露自己的信息，否则便视为消费者同意银行可以向非关联第三方披露信息。而且，这种限制还是存在于非关联第三方之间，对于关联公司，可不受此限制。

世界银行于2017年制定发布的《金融消费者保护良好做法》中，对金融隐私权提出了三项要求，分别是合法的收集、使用个人数据和客户信息的保密和安全、客户信息共享（参见颜苏《金融控股公司框架下数据共享的法律规制》）。欧盟通过的《第二代支付服务法令》（Payment Service Directive 2，PSD2）要求欧洲银行向第三方机构开放支付接口，在用户授权的情況下，要求欧洲银行向第三方共享用户信息，PSD2不仅使得非银行公司有机会在支付业务上与银行竞争，也为用户提供了更多的金融产品和服务的选择机会。不容忽视的是，PSD2虽然敦促银行向第三方共享信息，但也引入了强客户认证（SCA）机制，作为保护用户信息的关键板块。

国内外对金控公司内部信息共享的监管一直处于左右摇摆的状态，既通过PSD2防止信息孤岛、敦促数据共享，又通过GDPR严格保护用户信息安全。正如本文第二部分所述，既要信息共享又要保护信息安全，金控公司内部信息共享天然是一对矛盾的结合体，如果得不到适当监管，容易产生信息泄露、信息滥用的信息风险，若严格禁止金控公司内部信息共享，则将导致金控公司无法发挥数据协同作用，难以促进金融产品的发展与创新，在全球金融一体化的大背景下，我国金控公司难与发挥数据协同作用的国际金融公司相抗衡。

金控公司内部信息共享的监管路径

我国对于金控公司内部信息共享的监管问题，一不能全方位限制，二不能完全放开，需要寻找一个平衡点，既促进金控公司的良性发展，又不侵害用户的信息知情权和控制权。

监管部门定规范、金控公司设专员遵规范

监管部门细化信息监管规范，金控公司统一内控并设置专员，二者缺一不可。

国家对个人隐私信息的保护日益重视，金融信息监管愈加深化。一行两会作为金融业信息保护部门，积极统筹推进金融信息保护，提高信息保护水平，维护国家及公民的金融信息安全。金控公司管理办法中对内部信息共享的规范内容含糊不明，可操作性差，有必要进一步细化。根据本文第一部分内容，监管规范应对监管部门的职责予以明确，包括以下内容：监督公司建立信息保护制度，对信息保护情况随机抽检并惩处，对信息违法泄露或非法共享传输等情形予以追责，对各公司隐私政策制定及披露进行抽检与惩处，以消除目前隐私政策不公示、难查阅、内容简繁不当等乱象。

监管层也应及时制定并出台隐私政策的内容框架及格式，要求对关键内容（主要包含指明用户可根据业务需要选择是否签署本隐私政策、指明用户对内部信息共享的授权方式、指明内部信息共享的原则和界限、指明内部信息共享的主体范围、指明信息共享后的主体限制和目的限制、依据相关规范对用户信息做出明确分类、指明隐私政策的约束效力、指明用户注销的流程或用户终止授权的途径、指明隐私政策的更新与推送的有效方式等内容）予以公示，并严禁通过各种形式强制签署不必要的隐私政策条款，以发挥隐私政策在用户金融信息保护过程中应有的正向作用。

在此前提下，金控公司应建立完备的信息保护制度，编制并披露合法合规的隐私政策，配合主管部门做好用户金融信息保护工作，及时设立个人信息保护专职部门和个人信息保护专员，依据国家行政主管部门出台的相关文件，负责金控公司的用户金融信息安全工作。

其中，隐私政策的披露内容主要包括明确金控公司内部共享信息的公司主体、信息利益共同体协议的具体内容（见下文）、依据国家相关规范对个人信息进行分类、内部信息共享的具体内容及必要目的、内部信息共享的具体方式及情形、信息利益共同体承诺为信息风险或信息泄露承担全部责任、特别隐私条款等内容。

信息利益共同体协议

在大数据环境下，个人信息数据的资产属性正在不断强化。基于权利义务责任相对等的原则，可以适当减少内部信息共享的前提限制，扩大共享的信息范围，以扩大金控公司内部信息共享的权利（此处所述“权利”，其内容是金控公司组成部分对所收集处理后的信息予以传输共享，是一种财产利益。金控公司对信息的传输共享实际是获取了用户个人信息的部分财产利益，这也是日后条件允许时对信息数据红利进行分成的前提）。但权利和责任的同等扩大是有限度的，包括信息利益共同体和信息分类与责任主体相结合两大机制。

划分集团内外，明确责任主体是减少信息共享限制，适当扩大信息共享权利的前提，现提出“信息利益共同体协议”模式、责任主体及适用情形，如表2所示。

自隐私政策发布生效之日起，若金控公司的组成部分仅因暂时性业务需求或其他目的，未同时满足A和B两个条件，可在隐私政策发布后，与金控公司签订共同体协议，共享部分信息，承担法律责任。若该组成部分因业务调整致使日常业务中共享敏感类信息的需求量较大，须与金控公司协商修改隐私政策符合A和B条件，待隐私政策更新发布并由用户签署后，该组成部分可共享相应信息并承担相应法律责任。

集团外部第三方公司与不符合条件的金控公司组成部分若与金控公司整体存在长期信息共享的业务需要，可以在信息合规公司（见下文）的见证条件下，与金控公司签署《信息利益共同体协议》并公示，在此协议下，各方主体一旦出现任何信息违规违法情形，要一同接受行政处罚，并向被侵权人承担连带赔偿责任。其本质是在扩大金控公司内部信息共享权利的场景下，要求金控公司承担更多的选任义务，审慎选择具有信息保护资质与能力的内部组成部分或者外部其他公司。与此同时，也有利于外部其他公司借助金控公司人力资源、技术资源与相关制度建立起符合法律和监管要求的信息保护内控制度与流程，在促进信息保护的前提下实现信息共享。

信息分类与责任主体相结合

信息具有人身性与财产性的双重性质，金控公司内部信息共享中的信息有必要以信息性质为标准对信息进行分类，从而采取不同的规制策略，同时辅以上述责任主体的分类管理。二者相结合，既保护了用户的隐私权免受侵害，又最大程度上满足了金控公司内部信息共享的商业需求。因此，参考邢会强教授对个人金融信息所作的分类，可将金控公司内部共享的信息作以下分类：匿名化信息、个人身份信息、预测个人信息、个人财务信息和非财务信息。后四类信息均以个人身份信息中的个人标识信息为识别基础，其中个人财务信息与非财务信息中的敏感性信息隐私性同等重要。共享信息分类及责任主体详见表3。

培育信息合规市场并实行信息合规认证

随着数字经济的发展，金控公司内部信息共享势不可当。由于信息技术专业性极强，金控公司在开发相关系统时，应积极引入市场化服务主体参与内部信息共享系统的设计与研发，以提高自身信息系统的安全性与稳定性。培育信息合规市场，对包括金控公司在内的各类企业实现数字化转型平稳过渡具有重要意义。信息数据交易与证券交易有很强的共通性，证券市场的很多成熟制度都可以为信息监管提供借鉴（参见邢会强《大数据交易背景下个人信息财产权的分配与实现机制》）。由行政主管部门亲自监督惩治信息保护不力的金控公司，存有一定的难度和风险，反而不如仿照上市公司督导制度，以及现有的企业隐私与数据治理合规认证实践，在信息安全与治理方面设置类似的制度。

以国家监管为前提，由监管部门认可的第三方（隐私）信息合规认证公司实际督导，由金控公司专职部门人员配合上述合规认证公司，以国家监管制度为依据，建立金控公司内部信息共享机制，获得合规认证后，可从事信息收集与处理的相关业务，并由督导（认证）公司及时将相关情况予以公示，确保金控公司内部信息共享在合法合规的路径上运行，是最为有效的解决途径。

以TrustArc（一家隐私合规科技公司）为例。首先由监管部门发布《信息安全督导工作指引》，然后TrustArc依据督导工作指引自行拟订督导工作细则，经监管部门认可后，以此细则作为督导工作准则，以规范所承接的金控公司信息合规认证业务。在督导过程中，金控公司得以建立合法合规的信息保护流程，根据国家监管要求制定并在相应位置披露其隐私政策，全面提升我国金融信息保护水平，确保金融信息安全。

建立信息泄露举报奖励机制、溯源机制及泄露赔偿制度

用户在信息泄露导致权利受到侵害时，难以维权，所以有必要建立信息泄露举报奖励机制、溯源机制和信息泄露赔偿制度，确保金融信息安全。相关的维权委员会或基金组织、信息合规公司、数据信息从业人员及自然人用户等对金控公司的信息泄露行为进行举报，监管部门对此进行立案、审查、溯源及处罚，建立健全金融信息安全的公共监督体系，提高信息泄露的违法犯罪成本，降低监管部门的监管成本，以确保金融信息安全。

信息泄露举报机制的建立值得肯定，但这无疑也触碰到某些群體的巨大利益，倘若没有一定的举报奖励机制，很难使其发挥作用，因此应尝试探索建立举报奖励机制，严厉打击信息违法犯罪。溯源机制也是在个人金融信息泄露事件发生时，通过溯源迅速地找到泄露源，并进行堵漏、惩罚等一系列减少个人金融信息泄露危害的制度设计（参见王忠《大数据时代个人数据交易许可机制研究》）。

信息违法违规情形发生后，除监管机关予以一定的行政处罚以外，也应赋予受损用户民事赔偿请求权。探索建立信息泄露数据库，如“Have I Been Pwned”网站，对信息非法共享或泄露的情形予以保存，用户可自行查询，在一定时效内予以用户民事赔偿请求权。让专业的基金组织、信息安全服务主体或信息合规公司成为监督金控公司信息共享行为的“第三只眼”，企业在“第三只眼”的监督之下，一旦出现违法违规情形，应由行政主管部门及时惩处，罚款和罚金也可成为未来数据红利分成或者补偿部分受损用户的资金来源。

（作者单位：中央财经大学法学院）

责任编辑：孙 爽