要目
一、個人信息保護法下征信體系的根本旨向轉(zhuǎn)型
二、個人信息保護法助力征信合規(guī)體系功能升級
三、基于個人信息保護法的完善跨境征信合規(guī)建設(shè)
結(jié)語
伴隨個人信息保護法的頒布，我國進一步強化對個人信用信息的保護，調(diào)整并完善征信合規(guī)體系。個人信息保護法改變了征信體系的根本旨向，個人信用信息的內(nèi)涵定義與處理原則發(fā)生了變更，其對應(yīng)自然人的人格尊嚴和財產(chǎn)安全，并補充了合法、誠信和有限制的公開、透明處理原則。對應(yīng)征信體系的變更，征信合規(guī)體系的基本功能也進行升級，采用嚴進嚴出的責(zé)任追究模式，協(xié)調(diào)征信機構(gòu)的合規(guī)運行模式，補充對個人信用信息的預(yù)先評估模式和事后補救模式，預(yù)設(shè)自動化決策和在公共場所中采集信息這兩種征信合規(guī)處理場景，并設(shè)立由國家網(wǎng)信部門、中國人民銀行、縣級以上地方人民政府有關(guān)部門組成的三級梯次化合規(guī)監(jiān)管體系。為了確保個人信用信息跨境傳輸合規(guī)，征信合規(guī)體系需要在國內(nèi)進行法律規(guī)范審查、規(guī)范信息處理流程并強化對硬件的合規(guī)監(jiān)管，在國際上倡導(dǎo)多元共治，注重保護信息安全和避免歧視內(nèi)容。
2021年11月1日，個人信息保護法正式施行，標志著我國對個人信息的保護邁入全新時代。在個人信息中，與征信相關(guān)的個人信用信息是其中重要組成部分，而近年來大數(shù)據(jù)、元宇宙概念的提出，則從技術(shù)手段和適用場域兩個方面給征信業(yè)提供了發(fā)展的機遇和挑戰(zhàn)，這就要求征信系統(tǒng)合理地利用與保護個人信息，尤其是個人信息保護法施行后，征信機構(gòu)在個人信用信息的采集、整理、保存、加工、提供、使用的全流程都需作出相應(yīng)調(diào)整，通過合規(guī)制度來緩和新型網(wǎng)絡(luò)信息法律義務(wù)之間的緊張關(guān)系。在元宇宙的語境下，人們不僅應(yīng)為元宇宙建設(shè)提供技術(shù)基礎(chǔ)，還同時應(yīng)用法治為元宇宙的有序發(fā)展提供制度基礎(chǔ)，而征信體系就是溝通現(xiàn)實性物理空間與數(shù)字虛擬社會之間的“橋梁”，征信合規(guī)體系則是橋梁的保障。征信合規(guī)體系的調(diào)整與完善需要貫徹民法典對個人信息的規(guī)定，配合專門的征信管理法規(guī)，落實個人信息保護法的具體內(nèi)容。個人信息保護法強調(diào)了對互聯(lián)網(wǎng)金融業(yè)和創(chuàng)新性科技深度融合的有力監(jiān)管，而在合規(guī)氛圍濃厚的大環(huán)境下，個人信息保護法則為我國個人信用信息保護提供了規(guī)范支撐，并改變了其根本旨向，督促征信機構(gòu)履行合規(guī)義務(wù)。鑒于此，在個人信息保護法頒布后，優(yōu)化征信合規(guī)體系的構(gòu)建可以在個人信息保護、企業(yè)商業(yè)利益以及社會公共利益之間取得平衡，同時也為元宇宙空間未來的整體形塑提供基礎(chǔ)助力。
一、個人信息保護法下征信體系的根本旨向轉(zhuǎn)型
個人信息保護法明確個人信息的規(guī)范定義，而個人信用信息作為其中的重要類型，受其影響在根本旨向上發(fā)生了變更。個人信息保護法對征信體系根本旨向的影響體現(xiàn)在個人信用信息的內(nèi)涵定義與處理原則的變更，而根本旨向上的轉(zhuǎn)型同時也為個人信用信息征信合規(guī)體系的優(yōu)化作好鋪墊。
明確個人信用信息的內(nèi)涵定義
一直以來，規(guī)范層面對個人信用信息的定義都聚訟不休，而這一爭議來源個人信息定義的爭議。民法典第1034條對個人信息的定義為：“以電子或者其他方式記錄的能夠單獨或者與其他信息結(jié)合識別特定自然人的各種信息，包括自然人的姓名、出生日期、身份證件號碼、生物識別信息、住址、電話號碼、電子郵箱、健康信息、行蹤信息等�！蓖ㄟ^“概念+列舉”的方式來定義個人信息，將個人信息歸屬于具體的人格權(quán)范疇。而個人信用信息則歸屬其中，并在第1030條規(guī)定：“民事主體與征信機構(gòu)等信用信息處理者之間的關(guān)系，適用本編有關(guān)個人信息保護的規(guī)定和其他法律、行政法規(guī)的有關(guān)規(guī)定。”在專門法規(guī)上，征信業(yè)務(wù)管理辦法第3條規(guī)定：“信用信息，是指依法采集，為金融等活動提供服務(wù)，用于識別判斷企業(yè)和個人信用狀況的基本信息、借貸信息、其他相關(guān)信息，以及基于前述信息形成的分析評價信息�！痹噲D通過目的價值來定義信用信息。個人信息保護法中第4條對個人信息進行整體定義：“個人信息是以電子或者其他方式記錄的與已識別或者可識別的自然人有關(guān)的各種信息，不包括匿名化處理后的信息。”強調(diào)了信息的可識別性。由此觀之，個人信息是個人信用信息的上位概念，其在信息記錄方式和識別模式上影響了個人信用信息：在記錄方式上，個人信息包括電子或者其他方式，突出了多種渠道記錄模式，這同樣導(dǎo)致個人信用信息的記錄模式更加多樣，并借助時間效力來提升數(shù)據(jù)樣本記錄的細致程度，通過縮短數(shù)據(jù)樣本傳輸時間來提高信用法治的公信力。在識別模式上，個人信息要求已識別或者可識別，并排除了匿名化處理，這意味著個人信用信息不能匿名化后無法識別溯源，必須確保其來源可靠。進一步說，個人信用信息屬于個人信息保護法中的敏感個人信息，主要對應(yīng)自然人的人格尊嚴和財產(chǎn)安全，對應(yīng)人格尊嚴是因為個人信用信息的評價錯誤會導(dǎo)致公眾對該信息所有者的社會評價變差，屬于侮辱人格尊嚴，而因為財產(chǎn)安全則是對應(yīng)個人信用信息和信用經(jīng)濟直接掛鉤，并和財產(chǎn)劃分、破產(chǎn)資格等密切聯(lián)系。
對于個人信用信息的具體內(nèi)涵，狹義經(jīng)濟學(xué)論者認為個人信用信息是以償還為條件的價值運動的特殊形式，具體表現(xiàn)為債權(quán)債務(wù)關(guān)系及償還記錄，而這一論斷顯然不符合個人信用信息發(fā)展的現(xiàn)狀。與之相對，廣義信息論者認為個人信用信息的概念已經(jīng)超脫出狹義經(jīng)濟學(xué)論的觀點，市場經(jīng)濟的高速發(fā)展催生出對個人信用信息的龐大需求，在社會信用體系語境下，不能狹隘地將個人信用信息理解為純粹的經(jīng)濟學(xué)概念，而是應(yīng)該拓展其價值內(nèi)涵。尤其是在大數(shù)據(jù)時代，除了傳統(tǒng)意義上的個人信用信息，個人的網(wǎng)絡(luò)訪問數(shù)據(jù)、應(yīng)用程序使用數(shù)據(jù)、傳感數(shù)據(jù)、行為數(shù)據(jù)、地理位置數(shù)據(jù)等，都被納入個人信用信息的考察維度之中，兼具精神性與物質(zhì)性的綜合特征，個人信用信息的邊界進一步擴張。對比兩種觀點的爭論，個人信息保護法有力地支持了廣義信息論的觀點，記錄方式和識別模式的擴張意味著個人信用信息的定義受個人信息的影響呈現(xiàn)多樣化趨勢，而多樣化趨勢本身就與廣義信息論的核心觀點不謀而合。退言之，民法典中對個人信息概念的開放式列舉意味著國家層面對個人信息范圍的開放態(tài)度，而個人信用信息屬于個人信息的下位概念，基于個人信息保護法的整體傾向，個人信用信息的范圍必然擴張�？傊�，個人信息保護法頒布后，在運行機制上，個人信用信息的形式范圍因為受到上位概念的影響而擴張，傾向于通過多種形式來對個人信用信息進行非結(jié)構(gòu)化、動態(tài)化的多維度展示，力圖客觀準確地呈現(xiàn)信息主體的信用狀況。
完善個人信用信息的處理原則
為了完善個人信用信息的處理流程，個人信息保護法第5至8條規(guī)定了信息處理的五項基本原則，即合法、正當(dāng)、必要、誠信原則；目的限制原則；收集最小化原則；公開、透明原則；完整性、準確性原則。以上基本原則作為處理個人信息的整體性原則，可以用于個人信用信息的處理。以往對個人信用信息的處理原則主要是參考轉(zhuǎn)化后的行政法比例原則，相比于個人信息保護法中的五項基本原則存在一定差別，為了完善征信體系對個人信用信息的處理，應(yīng)該對基本處理原則進行相應(yīng)調(diào)整。
第一，增加合法、誠信原則作為個人信用信息采集的宏觀要旨。征信機構(gòu)采集個人信用信息必須堅持合法、誠信原則，確保采集的個人信用信息符合法律規(guī)范要求且具有真實參考價值。合法性原則要求采集個人信用信息的手段合法和范圍合法：手段合法是指采集過程不能違法犯罪，避免手段違規(guī)產(chǎn)生不真實的“信用畫像”，并確保信息采集分析的人工智能算法具備可解釋性。范圍合法是指個人信用信息的采集范圍合法，不能侵犯個人隱私，謹慎地采集可能影響個人信息安全的信息，尤其是在自動化決策語境下，更要妥善處理信息采集范圍與二次轉(zhuǎn)化使用方式。堅持誠信原則是指個人信用信息的采集和利用應(yīng)該符合公眾在日常社會生活中的正常行為舉止，個人信用信息是用于反映個人的真實行為，如若違反誠信原則，那么得出的信用評價就失去了參考價值。如為騙取銀行貸款而偽造銀行流水、假合同以及假證明的行為，就應(yīng)該在征信采集過程中予以制止，防止征信機構(gòu)產(chǎn)生錯誤評價。
第二，有限制地在個人信用信息采集中適用公開、透明原則。公開、透明原則要求征信機構(gòu)在采集個人信用信息的過程中公開個人信息處理規(guī)則，明示處理的目的、方式和范圍，體現(xiàn)了征信采集的全流程公開、透明原則的適用；但同時也要考慮到個人信用信息和隱私權(quán)的密切聯(lián)系，所以限制公開、透明的程度。公開個人信用信息的處理規(guī)則要求征信機構(gòu)公開采集規(guī)則，征信業(yè)務(wù)管理辦法、征信業(yè)管理條例也明確規(guī)定了具體業(yè)務(wù)規(guī)則。透明原則要求明示處理的目的、方式與范圍，其中明示處理的目的體現(xiàn)在征信業(yè)務(wù)管理辦法第12條規(guī)定的“征信機構(gòu)采集個人信用信息應(yīng)當(dāng)經(jīng)信息主體本人同意，并且明確告知信息主體采集信用信息的目的”，而明示處理的方式和范圍體現(xiàn)在征信業(yè)務(wù)管理辦法第11條規(guī)定的“征信機構(gòu)經(jīng)營個人征信業(yè)務(wù)，應(yīng)當(dāng)制定采集個人信用信息的方案，并就采集的數(shù)據(jù)項、信息來源、采集方式、信息主體合法權(quán)益保護制度等事項及其變化向中國人民銀行報告”。值得注意的是，雖然透明原則要求在目的、方式和范圍上都進行明示，但明示的對象主體并不相同，明示目的針對被采集個人信用信息的個體，而明示方式和范圍則針對征信機構(gòu)的上級主管機關(guān)——中國人民銀行。之所以要有限制地適用公開、透明原則，是為了防止公開、透明原則的適用侵犯公眾的個人隱私。因為信息處理技術(shù)高速發(fā)展，導(dǎo)致碎片化的個人信用信息被不當(dāng)使用亦會侵害個人隱私，個人信用信息固然是可以公開的個人信息憑證，但是在收集、處理模式上應(yīng)該避免其關(guān)鍵內(nèi)容被技術(shù)破解，防止個人“裸奔”于網(wǎng)絡(luò)社會�？傊�，有限制的公開、透明原則，實際上有助于征信機構(gòu)保持對個人信息的高度敏感，明確自然人合理的隱私期待。
二、個人信息保護法助力征信合規(guī)體系功能升級
在征信體系受個人信息保護法的影響而發(fā)生根本旨向轉(zhuǎn)型之后，對應(yīng)的征信合規(guī)體系隨之更新。在協(xié)調(diào)已有的專業(yè)性較強的征信管理法規(guī)和個人信息保護法規(guī)定的基礎(chǔ)上，征信合規(guī)體系在法律責(zé)任追究、合規(guī)模式運行、合規(guī)處理場景、合規(guī)監(jiān)管制度這四個方面都進行了迭代升級，打造以變應(yīng)變的動態(tài)合規(guī)體系，強化了征信合規(guī)體系的基本功能。
采用嚴進嚴出的責(zé)任追究模式
對于征信機構(gòu)合規(guī)追究違規(guī)處理個人信用信息的法律責(zé)任，在以往的征信管理法規(guī)中就有所提及。征信業(yè)管理條例第38條列舉了違規(guī)處理個人信用信息的八種情形和責(zé)任分配，而具體的處罰措施則包括限期整改和罰款，并處罰主要責(zé)任人員，追究其民事責(zé)任和刑事責(zé)任。已有的法律責(zé)任追究模式圍繞個人信用信息的采集、使用、備案三個環(huán)節(jié)展開，希望借助征信管理法規(guī)實現(xiàn)對個人信用信息的全流程監(jiān)管。與之相對，個人信息保護法因為對應(yīng)的范圍大于征信管理法規(guī)，所以在法律責(zé)任追究上更加謹慎，可以將其規(guī)范內(nèi)容轉(zhuǎn)化在征信合規(guī)體系中，避免懲罰范圍無限擴大。
域外對違規(guī)處理個人信用信息的法律責(zé)任追究規(guī)定得較為完備，并形成對應(yīng)的法律規(guī)范體系。美國是世界上最早保護個人信用信息的國家，1970年的公平信用報告法就規(guī)定了個人信用信息的正向可收集范圍和反向禁止收集范圍。在規(guī)定了收集范圍之后，由聯(lián)邦貿(mào)易委員會（Federal Trade Commission，F(xiàn)TC）與消費者金融保護委員會（Consumer Financial Protection Bureau，CFPB）聯(lián)合展開追責(zé)，借助信息自由法（Freedom of Information Act）、隱私法案（US Privacy Act of 1974）、公平信用報告法（Fair Credit Reporting Act）等法律規(guī)范構(gòu)建追責(zé)機制。FTC負責(zé)征信立法的監(jiān)督和執(zhí)行，受理征信信息異議和投訴，并開發(fā)金融消費者哨兵網(wǎng)絡(luò)投訴數(shù)據(jù)中心來處理個人信用信息被盜用、個人信用報告中信息錯誤或不準確、獲取個人信用報告或評分失敗等問題，而CFPB則負責(zé)查明事實，確保異議信息轉(zhuǎn)達及時并輔助法律追責(zé)與司法救濟。歐盟保護個人信用信息主要參照2018年發(fā)布的一般數(shù)據(jù)保護條例（General Data Protection Regulation，GDPR），其中將個人信息權(quán)視為具體人格權(quán)加以保護，并限制“信用畫像”等新技術(shù)，防止新技術(shù)破壞個人信用信息的正確采集，在技術(shù)標準上要求數(shù)據(jù)控制者定期評估匿名化技術(shù)帶來的個人信用信息泄露風(fēng)險，這和我國個人信息保護法中對匿名化后的個人信息進行區(qū)分對待和技術(shù)規(guī)制的趨勢不謀而合。澳大利亞在1988年的隱私法第Ⅲ-A部分“信用報告”中規(guī)定了可以披露的個人信息類型、可以處理上述信息的機構(gòu)以及可以處理上述信息的目的，在2014年的隱私（信用報告）法規(guī)中則規(guī)定了如何約束信用信息提供者和認證機構(gòu)。對比來看，歐盟和澳大利亞對于個人信用信息的收集使用實行嚴格監(jiān)管，采用嚴進嚴出模式，而美國對個人信用信息的法律責(zé)任追究則傾向于市場化模式，在收集環(huán)節(jié)限制較少，主要規(guī)制使用環(huán)節(jié)，采用寬進嚴出模式。
在我國征信合規(guī)體系的法律責(zé)任追究功能上，個人信息保護法作為前置性立法在第七章法律責(zé)任中加以規(guī)定，整體上借鑒了嚴進嚴出模式。在征信合規(guī)體系中，個人信息保護法的內(nèi)容需要與已有的征信合規(guī)體系協(xié)調(diào)適用，實現(xiàn)對個人信用信息處理的全流程法律規(guī)制。個人信息保護法第66條規(guī)定違反本法規(guī)定處理個人信息，責(zé)令暫�；蛘呓K止提供服務(wù)，而對于拒不改正的，并處100萬元以下罰款，并對直接負責(zé)的主管人員和其他直接責(zé)任人員處1萬元以上10萬元以下罰款，同時設(shè)置了“情節(jié)嚴重的”作為升格處罰措施的規(guī)范要件。與征信業(yè)管理條例中規(guī)定的處罰措施相比，個人信息保護法的主要差別在財產(chǎn)罰的數(shù)額選擇上，其中個人的處罰額度并無差別，但是在單位處罰金額上，征信業(yè)管理條例規(guī)定的是5萬元以上50萬元以下的罰款，在100萬元以下的罰款空間內(nèi)。鑒于個人信息保護法規(guī)定的是拒不改正的情形，在情節(jié)惡劣程度上較高，所以此處的處罰額度以50萬元為上限并無不妥，而在處罰金額下限上，因為征信業(yè)針對的是個人信用信息，相較于一般的個人信息普遍更具有保護價值，所以也不宜采用無下限模式，采用5萬元為下限也更為妥當(dāng)。征信業(yè)務(wù)管理辦法第47條在處罰額度上參照征信業(yè)管理條例規(guī)定的5萬元以上50萬元以下作為罰款范圍更為協(xié)調(diào)，且具有相應(yīng)的處罰依據(jù)。征信業(yè)務(wù)管理辦法也注意與征信業(yè)管理條例對直接負責(zé)的主管人員的處罰機制保持一致。除此以外，個人信息保護法中對“情節(jié)嚴重”的行為采用了更高額度的處罰金額，以5000萬元為上限，同樣應(yīng)該適用征信業(yè)，也就是對應(yīng)更加嚴重的情節(jié)升格處罰金額，而情節(jié)嚴重的判斷則參考個人信息保護法的標準，這有助于實現(xiàn)對違規(guī)處理個人信用信息的嚴格監(jiān)管。
協(xié)調(diào)征信機構(gòu)的合規(guī)運行模式
征信機構(gòu)是收集個人信用信息的主體，其工作內(nèi)容包括向內(nèi)收集個人信用信息，以及將收集好的個人信用信息進行加工處理之后向外重新輸出使用，因此其在個人信用信息處理的全過程中扮演關(guān)鍵角色。實際上，當(dāng)前征信機構(gòu)的類型多樣，受市場化因素的影響，征信機構(gòu)步入發(fā)展的“快車道”。比如上海資信有限公司是全國首家從事個人征信業(yè)務(wù)的機構(gòu)，構(gòu)建了網(wǎng)絡(luò)金融征信系統(tǒng)（NFCS）、商業(yè)信用征信系統(tǒng)（CCS）、融資租賃綜合服務(wù)平臺（LSP）等一系列專業(yè)征信平臺，而這些平臺的協(xié)調(diào)運行則需要征信合規(guī)體系發(fā)揮監(jiān)管效用。為了妥善應(yīng)對征信體系所面臨的挑戰(zhàn)，征信機構(gòu)需要預(yù)先調(diào)試自身的合規(guī)運行模式，涵括個人信用信息的采集、加工、使用等諸多方面，避免其工作范圍因逾矩而引發(fā)爭議，確保征信機構(gòu)能夠妥善運行，在大數(shù)據(jù)時代轉(zhuǎn)型升級。
第一，補充征信機構(gòu)對個人信用信息預(yù)先評估的運行模式，實現(xiàn)對個人信息采集、加工、使用風(fēng)險的事先預(yù)防。個人信息保護法中對需要進行預(yù)先評估的個人信息范圍限定為敏感個人信息、用于自動化決策的個人信息、委托處理的個人信息、向境外提供的個人信息，并規(guī)定其他對個人權(quán)益有重大影響的個人信息作為兜底條款，個人信用信息屬于敏感個人信息，其中的信用內(nèi)容關(guān)系到社會對個人的評價，并影響個人正常的生活，所以其收集等理應(yīng)需要預(yù)先評估。預(yù)先評估的處理模式包括評估個人信用信息的處理目的、處理方式等是否合法、正當(dāng)、必要，并評估對個人權(quán)益的影響及安全風(fēng)險以及所采取的保護措施是否合法、有效并與風(fēng)險程度相適應(yīng)，而影響評估報告和處理情況記錄的保存年限則至少為3年。通過預(yù)先評估模式，可以對個人信用信息形成全方位的立體化評估，由處理目的入手進行分析，并就處理方式和風(fēng)險程度進行協(xié)同分析，制定最少的評估記錄保存年限，確保預(yù)先評估可追溯。
第二，補充征信機構(gòu)對個人信用信息事后補救的運行模式，是為了防止個人信用信息的泄露、篡改、丟失所可能導(dǎo)致的無法彌補的后果，因此在征信機構(gòu)的運行模式中增加對應(yīng)的事后補救環(huán)節(jié)。個人信息保護法中規(guī)定的補救措施主要是通知履行個人信息保護職責(zé)的部門和個人，通知的內(nèi)容主要包括泄露、篡改、丟失損害后果、可以采取的減輕危害的措施以及個人信息處理者的聯(lián)系方式。征信機構(gòu)的事后補救措施整體而言并非是完全的事后彌補，而是在已經(jīng)意識到損害后果發(fā)生的前提下，借助通知模式將損失限制在盡可能小的范圍內(nèi)，并且尊重個人的知情權(quán)，告知個人信用信息的所有者信息泄露、篡改、丟失的事實，使信息所有者配合以減輕危害或者限制損失擴張的措施。相比之下，原有的征信業(yè)務(wù)管理辦法強調(diào)在發(fā)生危機事件時，征信機構(gòu)立即采取減損措施，并向上級分支機構(gòu)報告，而忽略了征信機構(gòu)應(yīng)當(dāng)履行的向個人信用信息所有者的通知義務(wù)。總之，征信機構(gòu)作為采集、加工、使用個人信息的機構(gòu)，理應(yīng)在發(fā)生信息泄露、篡改、丟失的風(fēng)險時作好事后補救措施，通過事后補救措施增強制度運行的可靠性，實現(xiàn)對個人信用信息風(fēng)險的及時監(jiān)管和補救。
預(yù)設(shè)征信合規(guī)體系的處理場景
當(dāng)下征信合規(guī)建設(shè)，需要著眼于征信制度所處的特殊場景，將個人信息保護法中的規(guī)范要素作為合規(guī)要求內(nèi)化于合規(guī)體系建設(shè)中，從而提升金融信息領(lǐng)域的綜合治理能力，保證國家治理體系的現(xiàn)代化進程。參考個人信息保護法中對于信息合規(guī)的兩個典型場景的描述，主要分為自動化決策場景和公共場所采集場景，并在這兩種場景中強化征信合規(guī)建設(shè)，注重合規(guī)制度對新技術(shù)、新場景的應(yīng)用。比如征信機構(gòu)進行“斷直連”的工程，就是在征信流程上合規(guī)，并將個人信用信息傳輸?shù)臄?shù)據(jù)鏈路納入監(jiān)管范疇，防止征信機構(gòu)在處理個人信用信息時因為內(nèi)部合規(guī)管理不到位而導(dǎo)致征信機構(gòu)經(jīng)營風(fēng)險或者個人信用信息數(shù)據(jù)的瑕疵。
第一，在自動化決策場景中探討個人信用信息的合規(guī)建設(shè)，首先需要明確自動化決策的定義，個人信息保護法第73條規(guī)定自動化決策是指通過計算機程序自動分析、評估個人的行為習(xí)慣、興趣愛好或者經(jīng)濟、健康、信用狀況等，并進行決策的活動，而在這一過程中，個人信用信息是自動化決策的運行基礎(chǔ)，沒有海量的個人信用信息作為支撐，自動化決策技術(shù)就難以施展。在自動化決策的過程中，合規(guī)建設(shè)的重心在于確保自動化決策的技術(shù)透明、算法公正以及尊重被使用個人信用信息者的知情權(quán)。自動化決策的技術(shù)合規(guī)，要求在征信機構(gòu)進行技術(shù)分析之前，將自動化決策技術(shù)進行報備，由上級主管機關(guān)判斷技術(shù)本身是否存在違規(guī)風(fēng)險，并構(gòu)建合規(guī)風(fēng)險的評價模型，從而在根源上遏制潛在的技術(shù)風(fēng)險。自動化決策的算法合規(guī)要求技術(shù)算法公平公正，盡可能避免算法偏見，征信機構(gòu)在處理采集個人信用信息時，在技術(shù)選擇上要避免路徑依賴，規(guī)避那些受到自動化決策技術(shù)“偏愛”的個人信用信息干擾整體結(jié)果的輸出。自動化決策中尊重被使用個人信用信息者的知情權(quán)，要求征信機構(gòu)在收集用戶個人信用信息時，確保收集的用戶信息為對方知曉并同意，在其他征信管理法規(guī)中，也多次強調(diào)要獲得用戶的同意，否則貿(mào)然地收集用戶個人信用信息容易造成技術(shù)越軌，甚至構(gòu)成侵犯公民個人信息罪。
第二，在公共場所采集用戶的個人信用信息需要注重合規(guī)建設(shè)，考慮到以區(qū)塊鏈、智能合約為代表的新興技術(shù)不斷融入公眾生活，公眾日常在公共場所的消費記錄等都有可能成為征信記錄的數(shù)據(jù)，所以需要對公共場所采集用戶個人信用信息進行合規(guī)建設(shè)。個人信息保護法第26條規(guī)定：“在公共場所安裝圖像采集、個人身份識別設(shè)備，應(yīng)當(dāng)為維護公共安全所必需，遵守國家有關(guān)規(guī)定，并設(shè)置顯著的提示標識。所收集的個人圖像、身份識別信息只能用于維護公共安全的目的，不得用于其他目的；取得個人單獨同意的除外�！边@就從合規(guī)目的層面為合規(guī)建設(shè)提供了指引。征信機構(gòu)在公共場所收集的個人信用信息必須確保是以維護公共安全為目的，對于商業(yè)用途上的使用必須征得被采集人的同意，藉此避免公共場所個人信用信息收集范圍的擴張。在公共場所收集流程上的合規(guī)建設(shè)需要確保征信機構(gòu)盡到了顯著提示的義務(wù)，要求征信機構(gòu)的收集流程中包含顯著的提示流程，告知被采集人其在公共場所的個人信用信息被采集以及可能存在的風(fēng)險，為個人信用信息泄露增加了合規(guī)的“安全閥門”。
優(yōu)化征信合規(guī)監(jiān)管的制度建設(shè)
強化征信合規(guī)建設(shè)中的監(jiān)管制度，實際上是從監(jiān)管層面確保個人信息合規(guī)制度的正常運行，并在保護策略上平衡個人利益與公共利益，通過合規(guī)制度努力構(gòu)建常態(tài)化的監(jiān)管模式。征信合規(guī)監(jiān)管制度的運行核心在于判斷個人信用信息的性質(zhì)及其受損害程度，包括個人信用信息的識別性強弱、信息數(shù)量規(guī)模、侵權(quán)行為方式和用途去向、被侵權(quán)人的心理感受、對國家信息安全、社會公共利益的影響等因素，契合個人信息保護法第61條規(guī)定的個人信息保護職責(zé)中規(guī)定的監(jiān)督、處理、測評、調(diào)查四種行為類型，并希望藉此作好事先預(yù)防，而當(dāng)合規(guī)制度無法阻止損害結(jié)果擴大時，就應(yīng)該積極引入刑事制裁，體現(xiàn)了向行為本位回歸的積極刑法觀理念。
在具體監(jiān)管部門的構(gòu)成上，個人信息保護法第60條規(guī)定了三級監(jiān)管部門并規(guī)定其主要職責(zé)，作為征信合規(guī)的監(jiān)管部門以期構(gòu)建梯次化治理體系，避免頂層治理的缺失和治理力量的分散。第一級是國家網(wǎng)信部門，負責(zé)統(tǒng)籌協(xié)調(diào)個人信息保護工作和相關(guān)監(jiān)督管理工作，體現(xiàn)了國家層面的統(tǒng)籌監(jiān)管。第二級是國務(wù)院有關(guān)部門，在各自職責(zé)范圍內(nèi)負責(zé)個人信息保護和監(jiān)督管理工作。就征信業(yè)務(wù)而言，中國人民銀行作為國務(wù)院征信業(yè)監(jiān)督管理部門負責(zé)征信業(yè)個人信息保護和監(jiān)督管理，符合征信業(yè)管理條例第4條的規(guī)定，體現(xiàn)了部門層面在職責(zé)范圍內(nèi)的專門監(jiān)管。第三級是縣級以上地方人民政府有關(guān)部門，在日常工作中按照國家有關(guān)規(guī)定進行監(jiān)管。比如，在2021年先后出臺的深圳經(jīng)濟特區(qū)數(shù)據(jù)條例和上海市數(shù)據(jù)條例，就體現(xiàn)出基層落實了地方監(jiān)管模式。個人信息保護法規(guī)定了三級監(jiān)管模式，既有中央層面提綱挈領(lǐng)的統(tǒng)籌監(jiān)管，也有部門和地方上的專門監(jiān)管和地方監(jiān)管，凸顯了由點到面、統(tǒng)籌兼顧的監(jiān)管模式，以求最大程度地提升征信合規(guī)的監(jiān)管效率。相較以往，個人信息保護法跳脫出專門監(jiān)督的桎梏，將信息安全合規(guī)監(jiān)管的部門層級向上下層級之間擴張：向上擴張包括將國家網(wǎng)信部門涵括在內(nèi)，個人信用信息從屬于個人信息，既然后者需要國家網(wǎng)信部門監(jiān)管，那么前者作為后者中的有價值部分，自然更值得保護。向下擴張則是指擴大地方監(jiān)管的權(quán)限，征信業(yè)管理條例規(guī)定的監(jiān)管部門主要是國務(wù)院征信業(yè)監(jiān)督管理部門，傾向于專門監(jiān)管的模式，而這在地方上容易有“鞭長莫及”之嫌。地方監(jiān)管模式的介入，可以為征信合規(guī)制度的落實提供具體可靠的現(xiàn)實路徑，但同時也需要及時出臺配套的實施細則，避免不同層級的征信監(jiān)管部門在銜接過程中出現(xiàn)紕漏。總之，個人信息保護法設(shè)立的三級監(jiān)管部門，能夠?qū)崿F(xiàn)對征信合規(guī)體系的有效監(jiān)管，既能貫徹國家層面對于個人信用信息的保護，又能兼顧地方層面征信合規(guī)監(jiān)管工作的實際狀況，由此構(gòu)建的三級梯次化合規(guī)監(jiān)管體系，避免監(jiān)管力量的浪費，妥善應(yīng)對技術(shù)變革，在改革監(jiān)管模式的同時優(yōu)化執(zhí)法技術(shù)，實現(xiàn)對合規(guī)體系的有效監(jiān)管。
三、基于個人信息保護法的完善跨境征信合規(guī)建設(shè)
我國的征信體系建設(shè)不僅是內(nèi)部的信息互通建設(shè)，同時也需要和域外的征信體系進行銜接，而這就涉及個人信用信息跨境傳輸?shù)暮弦?guī)體系建設(shè)，尤其在元宇宙互聯(lián)互通的時代背景下，元宇宙中個人信用信息的傳輸會面臨更加復(fù)雜的跨境傳輸境況。在實際運行過程中，我國個人信用信息跨境傳輸體系存在的問題有兩：一是國內(nèi)傳輸治理機制單一且可操作性不強；二是針對跨境傳輸?shù)膰H合作的銜接不暢，處理問題不夠及時，因此需要分別加以完善。
個人信用信息跨境傳輸?shù)膰鴥?nèi)合規(guī)建設(shè)
在個人信用信息跨境傳輸?shù)膰鴥?nèi)合規(guī)體系構(gòu)建中，首先要梳理已有的法律規(guī)范，通過制定嚴謹可行的合規(guī)任務(wù)來加強個人信用信息跨境傳輸?shù)膰鴥?nèi)監(jiān)管，作到未雨綢繆，預(yù)先發(fā)揮出合規(guī)制度的效用�，F(xiàn)有征信法規(guī)中對國內(nèi)部分的合規(guī)監(jiān)管，主要集中在要求數(shù)據(jù)信息本地化、遵守中國法律規(guī)定、處理流程合規(guī)合法這三個部分。與之相對，個人信息保護法則在現(xiàn)有征信法規(guī)的基礎(chǔ)上，構(gòu)建了兩類征信機構(gòu)個人信息跨境流動制度：一是依據(jù)第38條對作為一般個人信息處理者征信機構(gòu)的監(jiān)管；二是著重強調(diào)了對關(guān)鍵信息基礎(chǔ)設(shè)施運營者的監(jiān)管，依據(jù)第40條對關(guān)鍵信息基礎(chǔ)設(shè)施運營者和達標的個人信息處理者的規(guī)定，從軟件和硬件兩個層面強調(diào)合規(guī)監(jiān)管，雙管齊下避免合規(guī)漏洞。
第一，合規(guī)任務(wù)中要求個人信用信息跨境傳輸在國內(nèi)進行法律合規(guī)審查，而審查范圍包含了各種層級的法律規(guī)范，且在不同法規(guī)發(fā)生沖突時以高層級或者專業(yè)性的法律規(guī)范為準。無論是征信業(yè)管理條例規(guī)定的“應(yīng)當(dāng)遵守法律、行政法規(guī)和國務(wù)院征信業(yè)監(jiān)督管理部門的有關(guān)規(guī)定”，還是征信業(yè)務(wù)管理辦法規(guī)定的“應(yīng)當(dāng)符合法律法規(guī)的規(guī)定”，都強調(diào)了對法律規(guī)范的遵守，其中征信業(yè)管理條例還列舉出了法律規(guī)范的類型。有鑒于此，在制定個人信用信息跨境傳輸?shù)暮弦?guī)任務(wù)時，需要將法律審查作為合規(guī)內(nèi)容，審查信息傳輸?shù)膬?nèi)容和流程是否符合法律的規(guī)定，確保個人信用信息跨境傳輸有法可依。在法律審查的過程中，除了要嚴格審查包括民法典、個人信息保護法在內(nèi)的上位法，同時也要重視專門法規(guī)中對某一類型信息的規(guī)定。以金融信息為例，除了參考征信管理法規(guī)，在專門法規(guī)上，2009年發(fā)布的外國機構(gòu)在中國境內(nèi)提供金融信息服務(wù)管理規(guī)定中對個人金融信息的跨境傳輸作出詳細規(guī)定，規(guī)定了金融信息的合同內(nèi)容、服務(wù)內(nèi)容、批準文件有效期等，因此在制定具體的合規(guī)任務(wù)時，必須將上述內(nèi)容涵括其中，確保制定的合規(guī)任務(wù)和個人信用信息跨境傳輸業(yè)務(wù)的實際運行相協(xié)調(diào)。
第二，合規(guī)任務(wù)中應(yīng)該規(guī)定對個人信用信息的具體處理流程在國內(nèi)進行，包括采集、整理、保存、加工、提供這五個環(huán)節(jié)。征信業(yè)務(wù)邊界不清晰一直是征信業(yè)市場主體和流程合規(guī)的難點，征信業(yè)務(wù)管理辦法中明確了對征信業(yè)務(wù)的定義，可以據(jù)此制定刑事合規(guī)任務(wù)。在制定處理流程的合規(guī)任務(wù)時，采用征信業(yè)務(wù)管理辦法第3條規(guī)定的“對企業(yè)和個人的信用信息進行采集、整理、保存、加工，并向信息使用者提供的活動”更為合適，可以準確地涵括合規(guī)流程，實現(xiàn)對個人信用信息跨境傳輸?shù)娜鞒瘫O(jiān)管，強化征信合規(guī)制度的犯罪預(yù)防功效。在采集合規(guī)上，要求采集的跨境傳輸?shù)膫�人信用信息作到形式合規(guī)和實質(zhì)合規(guī)，形式合規(guī)是指采集的流程遵守專業(yè)征信法規(guī)，而實質(zhì)合規(guī)是指采集的個人信用信息在內(nèi)容上不存在泄密的風(fēng)險，從而兼具形式合法性和實質(zhì)合理性。在整理合規(guī)上，要求對個人信用信息的整理和分類與現(xiàn)有的信息分級相匹配，參照個人信息保護法對個人信息的分類，強化對個人敏感信息的保護，并對信息進行預(yù)先的篩選審查和整理。在保存合規(guī)上，合規(guī)任務(wù)應(yīng)該設(shè)置在保存模式、保存年限、保存地點方面。保存模式合規(guī)要求個人信用信息在保護流程上符合專業(yè)技術(shù)規(guī)范，個人信用信息的記載、轉(zhuǎn)寫方式符合相關(guān)規(guī)定，并和國際規(guī)范的要求相銜接。保存年限合規(guī)要求個人信用信息的跨境傳輸?shù)谋４婺晗薹戏ㄒ?guī)規(guī)定，在超出保存年限后，及時將個人信用信息作無害化處理。保存地點合規(guī)要求個人信用信息的保存地點遵循合規(guī)任務(wù)的強制要求，比如，人口健康信息管理辦法（試行）中規(guī)定“不得將人口健康信息在境外的服務(wù)器中存儲，不得托管、租賃在境外的服務(wù)器”，那么上述規(guī)定就應(yīng)被納入此類信息保存地點合規(guī)任務(wù)。在加工合規(guī)上，要求對用于跨境傳輸?shù)膫�人信用信息的加工方式合規(guī)，在跨境傳輸過程中，個人信用信息出于保密需要會進行預(yù)先加工，防止信息傳輸至域外后被破解，從而確保個人信用信息的轉(zhuǎn)移路徑可靠，形成良好的信任機制。在提供合規(guī)上，要求個人信用信息跨境傳輸?shù)奶峁┓绞椒戏ㄒ?guī)規(guī)定，對提供方式進行預(yù)先的安全評估，并遵循個人信息保護法第39條的規(guī)定，將境外接收方的名稱或者姓名、聯(lián)系方式等提供要素都納入合規(guī)任務(wù)，避免提供上出現(xiàn)銜接失誤造成信息泄露，塑造個人信用信息跨境傳輸?shù)目尚湃螤顟B(tài)。
第三，個人信息保護法中強調(diào)了對個人信息跨境傳輸?shù)挠布Ｕ�，而在個人信用信息的跨境傳輸過程中，因為個人信用信息的特殊屬性，所以跨境傳輸?shù)挠布葹橹匾枰O(shè)置對應(yīng)的合規(guī)任務(wù)，避免基礎(chǔ)硬件設(shè)施遭到外來入侵。早在2018年，中國網(wǎng)絡(luò)安全審查技術(shù)與認證中心就開展了個人信息安全管理體系認證，希望借助認證的模式確保個人信息的傳輸硬件合規(guī)，將軟件合規(guī)拓展至傳輸硬件合規(guī)。實際上，個人信用信息跨境傳輸?shù)挠布弦?guī)首先需要明確個人信用信息的特殊之處，并體現(xiàn)在硬件合規(guī)中對關(guān)鍵信息基礎(chǔ)設(shè)施的監(jiān)管，做好信息保護工作。個人信用信息的特殊之處在于極高的敏感性和極強的時效性，個人信用信息和個人聯(lián)系緊密且非常敏感，所以需要對敏感內(nèi)容進行特殊保護，這就體現(xiàn)在硬件設(shè)施上對關(guān)鍵內(nèi)容的篩選和防護，從而落實個人信息保護法第62條規(guī)定來制定處理敏感個人信息的保護規(guī)則與標準，將合規(guī)的規(guī)則和標準應(yīng)用于硬件設(shè)施。此外，極強的時效性要求個人信用信息的跨境傳輸確保技術(shù)可靠且先進，能夠快速準確地傳輸個人信用信息，同時避免在傳輸過程中信息被破譯，體現(xiàn)在合規(guī)任務(wù)中對傳輸設(shè)施的要求。具體來看，傳輸硬件合規(guī)主要包括以下三點：一是實時監(jiān)測，在硬件系統(tǒng)上增加對信息傳輸流程的全流程檢測，預(yù)防對硬件的攻擊破壞行為；二是強化防御措施，針對攻擊威脅，結(jié)合個人信用信息的特征進行針對性預(yù)防，及時修補漏洞；三是優(yōu)化處置模式，硬件設(shè)施需要簡化處置風(fēng)險的流程，并且作為跨境傳輸系統(tǒng)，及時將風(fēng)險信息上傳共享，配合其他硬件由社會共同抵御風(fēng)險�？傊谟布O(shè)施上優(yōu)化合規(guī)監(jiān)管需要結(jié)合跨境傳輸硬件的現(xiàn)實狀況和實際需求，將硬件合規(guī)落到實處，最大程度地發(fā)揮硬件系統(tǒng)的效用。
個人信用信息跨境傳輸?shù)膰H合規(guī)建設(shè)
在個人信用信息跨境傳輸?shù)膰夂献骱弦?guī)體系構(gòu)建中，跨境個人信用信息傳輸不僅是國內(nèi)一端的合規(guī)監(jiān)管，同時也要重視在國際領(lǐng)域的合規(guī)監(jiān)管合作，避免在元宇宙環(huán)境下可能出現(xiàn)的壟斷制裁、長臂管轄以及空間權(quán)利義務(wù)運行方式轉(zhuǎn)型困難等問題。早在1980年，經(jīng)濟合作與發(fā)展組織（Organization for Economic Cooperation and Development，OECD）就制定了隱私保護和個人數(shù)據(jù)跨境流動指南，支持個人信息在成員間自由流動，并明確信息數(shù)據(jù)安全保障的八大原則，為個人信用信息跨境傳輸合規(guī)提供宏觀指引。目前國際社會主要有兩種主流跨境信息傳輸合規(guī)監(jiān)管方案：一是由歐美主導(dǎo)的單邊跨境信息傳輸合規(guī)監(jiān)管方案；二是中國和東盟促成的多元共治的跨境信息傳輸合規(guī)監(jiān)管方案。歐美等發(fā)達國家基于自身在個人信息保護領(lǐng)域的絕對影響力，主導(dǎo)著目前主流的國際信息跨境傳輸規(guī)則，其中美國強調(diào)流動自由，歐盟則更注重隱私保護，但兩者本質(zhì)上都是為了維護自身的利益，并未考慮其他國家的信息傳輸權(quán)益。有鑒于此，我國倡導(dǎo)的多元共治的跨境信息傳輸合規(guī)監(jiān)管方案實際上更加公平公正，不僅能保障個人信用信息的傳輸效率，而且能擺脫西方發(fā)達國家的“信息霸權(quán)”，提升跨境信息傳輸?shù)男�；同時積極提高合規(guī)水平，構(gòu)建現(xiàn)代化、創(chuàng)新型跨境數(shù)據(jù)合規(guī)體系。
2020年11月15日，中國和東盟諸國簽署區(qū)域全面經(jīng)濟伙伴關(guān)系協(xié)定（Regional Comprehensive Economic Partnership，RCEP），在第8章“服務(wù)貿(mào)易”中的附件1“金融服務(wù)”和附件2“電信服務(wù)”以及第12章“電子商務(wù)”中對數(shù)據(jù)信息的跨境傳輸作出規(guī)定，在推動信息跨境流動的前提下，將合法的公共政策目標和基本安全利益等作為數(shù)據(jù)信息跨境自由流動的限制事由，并倡導(dǎo)設(shè)立多元化的信息跨境流動爭議解決機制。與之對應(yīng)，個人信息保護法中對個人信息跨境傳輸國際合作的規(guī)定主要是信息安全和避免歧視，而這也和RCEP相契合，可以將其作為個人信用信息跨境傳輸?shù)闹饕弦?guī)任務(wù)，尤其是鑒于個人信用信息和個人社會評價密切相關(guān)，所以更要避免其遭受歧視。第一，保障個人信用信息安全是合規(guī)任務(wù)的首要內(nèi)容，這要求在信息跨境傳輸?shù)钠鹗级撕徒Y(jié)束端都保障信息傳輸安全，尤其是在多元共治的模式下，個人信用信息在跨境傳輸?shù)母鲊紤?yīng)該接受相對統(tǒng)一的信息安全保障，將信息安全保障作為合規(guī)的具體內(nèi)容，貫徹于信息數(shù)據(jù)脫敏、信息數(shù)據(jù)監(jiān)管等諸多環(huán)節(jié)。第二，在合規(guī)任務(wù)中增加避免歧視的要求，可以消弭因為歧視所引發(fā)的個人信用信息跨境傳輸爭端，最大程度地發(fā)揮個人信用信息的效用。個人信用信息和用戶個人聯(lián)系緊密，具有極強的人格屬性，但是在傳輸?shù)倪^程中，可能會因為標準的不統(tǒng)一導(dǎo)致對同一信息的歧視性解讀，而這對個人信用信息的處理會十分不利，甚至?xí)驗樗惴ㄆ缫晫?dǎo)致不正確的信用評價。有鑒于此，在避免歧視的合規(guī)任務(wù)中，要求跨境傳輸體系對于個人信用信息的解讀應(yīng)進行反歧視審查工作，對關(guān)鍵信息數(shù)據(jù)進行時空上的縱向?qū)Ρ群偷赜蛏系臋M向比對，尊重信息來源地的風(fēng)俗習(xí)慣，有助于真正發(fā)揮個人信用信息所傳達的價值。
總之，在個人信用信息跨境傳輸?shù)膰H合規(guī)建設(shè)中，應(yīng)該依托多元共治的跨境信息傳輸監(jiān)管方案來構(gòu)建對應(yīng)的合規(guī)體系，充分發(fā)揮出合規(guī)制度的保障效用，在保障安全和消除歧視的前提下優(yōu)化個人信用信息的跨境傳輸流程。通過國際合規(guī)建設(shè)，可以促進不同國家和地區(qū)之間的個人信用信息交流，協(xié)調(diào)國際條約和國內(nèi)法規(guī)，從而將合規(guī)體系貫徹信息跨境傳輸?shù)娜^程。
結(jié)語
個人信息保護法對我國征信合規(guī)體系建設(shè)產(chǎn)生了深遠的影響，征信領(lǐng)域個人信用信息保護和利用就像一枚硬幣的正反兩面，需要在合規(guī)的前提下經(jīng)歷對立又統(tǒng)一的利益衡量過程，而個人信息保護法則應(yīng)以培育內(nèi)部合規(guī)治理機制為目標，輔以有效的外部執(zhí)法合規(guī)保障。為了維護征信金融秩序的穩(wěn)定協(xié)調(diào)，在個人信用信息的采集、利用等環(huán)節(jié)構(gòu)建體系性、操作性和開放性兼?zhèn)涞恼餍藕弦?guī)體系。當(dāng)個人信息保護法出臺后，個人信用信息在采集、加工、使用等環(huán)節(jié)必然會受其影響轉(zhuǎn)變運行模式，而征信機關(guān)則應(yīng)該以此為契機，配合已有的征信管理法規(guī)，對現(xiàn)有征信合規(guī)體系進行調(diào)整與完善，加強征信合規(guī)監(jiān)管，構(gòu)建合規(guī)計劃、建立合規(guī)組織、開展員工合規(guī)業(yè)務(wù)培訓(xùn)、定期進行合規(guī)審計，并將個人信息保護合規(guī)文化融入征信業(yè)務(wù)，打造更具個人信息保護意識的征信合規(guī)體系。