我国个人信用信息范围之界定

摘 要：我国社会信用体系的建设工作正在如火如荼地开展，方便商业银行等债权人在规避市场经济中逆向选择或道德风险等问题的基础上做出正确的选择。但对于个人信用信息的范围，我国尚未形成一致的意见，目前仍存在各地个人信用信息范围尚未统一、未能有效保护个人隐私以及“同意原则”无限扩张个人信用信息范围等问题，进而出现损害信息主体隐私安全的现象，在社会征信和保护信息主体隐私之间形成了矛盾。我国亟须统一个人信用信息界定标准、分类区分同个人隐私的差异，亦应谨慎适用征信“同意原则”。

关键词：社会征信;个人信息;界定标准

中图分类号：D913

文献标识码：A

收稿日期：2018-11-11

作者简介：彭三益（1993—），女，湖南湘乡人，硕士，研究方向：民事诉讼。

2005年开始，中国人民银行陆续出台了多部关于个人信用信息征信、披露、适用、共享、异议申请、个人信用信息数据库建设及公民查询的银行综合性规定，在该类规定的影响下，目前我国银行体系已经基本完成了个人信用信息数据库的建设。2014年6月，国务院在其印发的《社会信用体系建设规划纲要（2014—2020年）》中提出“到2020年，社会信用基础性法律法规和标准体系基本建立，以信用信息资源共享为基础的覆盖全社会的征信系统基本建成”，并提出“建立完善自然人在经济社会活动中的信用记录，实现全国范围内自然人信用记录全覆盖，加强重点人群职业信用建设。”此后，2016年5月，国务院出台了《国务院关于建立完善守信联合激励和失信联合惩戒制度加快推进社会诚信建设的指导意见》，2018年3月国家发改委出台了《国家发展改革委办公厅关于充分发挥信用服务机构作用加快推进社会信用体系建设的通知》。与此同时，我国部分省市亦通过地方立法的方式颁布了各自的社会信用条例，但各地区所规定的个人信用信息不尽相同，尚未形成统一的标准。社会实践中部分征信机构无限地扩大了信息收集的范围，进而严重地侵害了公民的合法权益。对此，亟须洞悉社会信用信息之上的问题，寻求解决的办法，以构建科学、统一的个人信用信息界定标准，一方面可满足社会征信的需求，另一方面亦可防范个人信息的泄露以保障信息主体的隐私权。

一、我国的狭义个人信用信息体系

个人信用信息是指与个人信用能力和个人信用行为有关的信息，涉及各种可能影响个人信用的因素[1]，目前我国立法所确定的社会信用实质上为狭义的识别型金融信用。

2005年8月，央行制定了《个人信用信息基础数据库管理暂行办法》。该办法第四条规定：“本办法所称个人信用信息包括个人基本信息、个人信贷交易信息以及反映个人信用状况的其他信息。”

近年来，《湖北省社会信用信息管理条例》中所指的社会信用信息，是指可用于识别信息主体信用状况的数据和资料，《上海市社会信用条例》中社会信用信息是指可用以识别、分析、判断信息主体遵守法律、法规和规章，履行法定义务或者约定义务状况的客观数据和资料。因此，我国目前所征信的信息系依法履职、提供服务过程中产生或者获取的识别型的社会信用信息，主要包括反映个人基本信息的个人身份情况、表征个人商业信用的商业信用记录、影响个人信用的社会公共信息记录以及反映个人守法情况的有关诉讼及处罚记录等[2]。且大多限于金融信用信息，仅有部分地区在其条例中规定了包括受过刑事处罚和违反社会道德等为限制条件。因信用信息范围的界定上标准不一，造成各征信机构在收集信息主体信用信息时出现差别大、分散等结果。

二、我国个人信用信息范围问题之剖析

1.各地个人信用信息范围尚存漏洞

由于缺乏统一的立法安排，目前我国个人信用信息范围界限尚存在以下问题：其一，可识别作为个人信用信息的界限已经无法满足社会的需求。随着信息科技的不断革新和大数据应用的普及化，一些隐去姓名的信息组合表面上不能识别出个人身份，但技术人员通过大数据信息处理技术便可识别，且信息技术日新月异，今天不能识别的也许明天就可以识别。因此，可不可识别的界限正变得更加模糊[3]，单独以可识别性作为界定个人信用信息的主要依据已经无法满足日前的社会需求，甚至出现侵犯他人隐私的现象。其二，个人信用信息的范围完全处于静态状态，无法适应动态的社会信息需求。经济发达地区和经济欠发达地区、不同民族、不同职业间对个人隐私的态度是完全不同的，而且值得被征信的个人信用信息亦不尽相同，法律对此动态的个人身份和人口流动应当有灵活的规定。其三，目前各地对是否将违反道德、交通规则和不文明旅游等信息纳入个人信用信息范畴的态度不一。依据陈小君教授相关调研的结果来看，61.3%的受访者认为个人信用属于道德范畴，35.3%的受访者认为个人信用属于法律范畴，18.8%的受访者认为个人信用属于经济范畴，可见多数人对信用的认知停留于道德价值层面[4]。在立法层面，各地亦持不同态度，部分地区将此类信息纳入个人信用信息范畴。如泰州市规定了“交通违法和不文明旅游信息”，浙江省规定了公共信用信息中包括“经司法生效判决认定构成犯罪的信息”，多数地方立法对其尚无规定。其四，未成年人的信息未归入个人信用信息范畴。笔者认为应当纳入该范畴，首先，刑事犯案年龄越来越小，涉世未深的未成年人作案手段让成年人都不寒而栗。基于刑法的谦抑性，司法应当发挥出相应的作用。其次，《民法总则》将限制民事行为能力人的年龄起点从十周岁降至八周岁，意味着八周岁至十周岁之间的未成年人将对其所实施的民事行为须承担相应责任。再次，现实生活中十八周岁以下的未成年人从事民商事活动的现象随处可见，且《民法总则》继受《民法通则》的规定十六周岁以上的未成年人，以自己的劳动收入为主要生活来源的，视为完全民事行为能力人，显然国家对这部分未成年人从事劳动持尊重态度，进言之，我國也应当对其个人信用信息进行采集，一方面便于其完善自身的信誉，另一方面亦为他人了解其信用状态，加快合作的效率提供保障。最后，将十八周岁以下的未成年人的个人信用信息收集起来并非毫无保留的披露，同成年人的个人信用信息一样需征求未成年人父母的同意，所拥有的不良信息的披露期限亦可短于成年人的期限。其五，家庭户口、身体体型信息不应属于个人信用信息的范畴。根据《国务院关于进一步推进户籍制度改革的意见》的规定，我国将建立城乡统一的户口登记制度，取消农业户口与非农业户口性质区分和由此衍生的蓝印户口等户口类型，统一登记为居民户口。据此，我国家庭户口将均为居民户口，已无作为个人信用信息之需求。就身体体型而言，笔者认为没有将其纳入个人信用信息的必要，相反应当作为个人隐私加以保护。首先，作为个人信用信息的价值不大，身体体型与个人信息的关联性很小，不能作为评定他人个人信用的参考。其次，容易诱发体型歧视，不利于社会的稳定。最后，纵观国外对个人信用信息范围的规定，如欧洲委员会《有关个人资料自动化处理个人保护公约》规定，健康状况、性生活和刑事起诉等信息禁止被征集，除非所在国家提供适当的保护。美国《公平信用报告法》规定，健康状况、犯罪的嫌疑、判决及刑罚的执行等信息都不能列入信息调查的范围，泰国《征信业法》规定，身体残疾、遗传方面缺陷等信息禁止收集。我国也宜统一禁止将身体状况、体型发育等信息纳入个人信用信息范围。

2.个人信用信息现有范围未能有效保护个人隐私

就目前而言，我国个人信用信息采集的主要是与信息主体的信用交易有关的信息。其渠道有二：一是政府公开的公共信息，二是征信机构自行收集的信用信息。其中政府公开的公共信息的范围各国大多都通过信息公开法的方式加以规定，具有明确的法律依据。与之相反，征信机构自行收集的信息则比公共信息的范围要宽泛，经常出现侵犯信息主体隐私权的现象。主要原因包括：其一，出于提高交易效率的目的，深入了解信息主体的个人信用信息，征信机构在信息收集过程中往往会对所收集信息范围无限扩大化，甚至在本身就没有具体收集范围的情况下，将信息主体的各种信息都收集过来。其二，信息收集不准确，征信机构对于个人信用信息收集要么不全面，要么不准确，未能保障所收集信息的真实性。其三，侵犯信息主体的知情权。部分征信机构在不告知信息主体并且没有取得信息主体同意的前提下，对信息主体的信用信息进行收集。其四，部分征信机构收集信息方法不得当，立档程序不规范，造成个人信用信息泄露。

3.“同意原则”无限扩张个人信用信息范围

就目前我国的征信机构而言，在经营上尚缺乏法律依据，我国的《征信业管理条例》对民间征信机构的准入设置了较高的标准，单独地成立征信机构便需要五百万的注册资本，若其要从事信用报告业务，注册资本更是高达五千万，不仅如此，征信行业前期投入相较其他行业亦是巨大的，这便将诸多机构企业拦在了行业门槛之外。但面对我国强大的信用市场需求，一些民间机构便以“调查公司”“调查中心”等名义从事信用报告业务，导致这些机构参差不齐，扰乱了个人征信行业的市场秩序，反而不利于整个信用行业的发展。与此同时，中国人民银行虽然是我国征信行业的监管机构，但法律并没有明确其职责，这使得中国人民银行也难以履行监督职务，导致该行业屡发个人信息泄露、恶性竞争等事件，整个征信行业都处于无序发展状态。

随之出现的则是民间征信机构通常采用“同意原则”的方式，以表明所收集的个人信用信息均为信息主体所同意的，从形式上保障其收集的信用信息具有合法性，但实质上却无限扩大了个人信用信息的征信范围，主要表现为：其一，“同意原则下”的“同意条款”阅读量大，信息主体很难通篇阅读，因此鲜有人能准确地了解到哪些个人信息将被纳入个人信用信息范畴。其二，“同意原则”对信息主体而言具有“强制性”。在信息主体在选项少以及与生活密切相关的因素下，大多数用户基本不会阅读相关条款，而直接同意其提供的“同意条款”。其三，同意征信后，征信机构如何使用难以得到有效控制。征信机构应当向个人提供本人信用信息查询。个人凭居民身份证向征信机构查询本人的个人信用信息。征信机构提供下列信息的查询服务：个人信用信息、个人信用信息的来源、获取本人个人信用报告以及个人信用评估的用户。其四，信用主体知情权行使受到限制。据了解，在信用卡信息查询中，罕有人主动去查询自身的个人信用信息，多数人都是因为在银行申请贷款遭到拒绝才来查询个人信用报告的，并且这些人中在此之前基本不知道征信系统。因此在同意条款签订后信息主体对自身的信息掌握得较少，无法保障自身权利。

三、我国个人信用信息范围之明晰

1.统一个人信用信息界定標准

首先，我国应明确个人信用信息界定的基本原则，一方面可以指导征信机构和信息主体界定个人信用信息，另一方面亦可弥补个人信息范围难以完全列举的缺陷，保障个人信用信息范围具有一定的灵活性。笔者认为我国可以设定以下原则：其一，最小化原则，即所征的个人信用信息对于信息主体的个人信息的处理应是必要的并符合适当性要求，不能超出不必要的限度，以保障个人信用信息的使用和个人隐私的保护相平衡。其二，质量原则。所征的个人信用信息应当保持准确、完整。其三，安全原则。是指个人信息的处理者应当采取适当的技术和组织措施，确保被处理个人信息的安全，防止其被非法泄露、修改、利用或灭失。其四，透明原则，即个人信用信息应以对信息主体而言透明的方式进行处理，包括其处理之目的、所处理之内容，以及处理方式和规则等，信息主体均应当享有知情权。其五，信息主体参与原则，应保障信息主体参与征信活动的权益，并确保其知情权、查询权、更正权、反对权和删除权等权利;其六，分类保护原则。由于不同的个人信息以及个人信息处理对信息主体合法权益的损害不同，其保护要求也不同，因而在个人信息的保护中应当注意区分类别，并在此基础上施行分层级保护。

其次，应当明确具体的考量要素。笔者认为，我国个人信用信息一般构成要素应至少包括以下方面：其一，与信息主体具有相关性，个人信用信息应当源自信息主体并与其密切相关。其二，对信息主体身份具有识别性，上文已有论述，单纯地通过可识别性作为个人信用信息的标准来认定个人信用信息具有模糊之处，但其作为考量因素的地位是不可否认的，应当作为个人信用信息的界定因素之一并同其他因素相结合，使考量因素体系更加合理。其三，具有可利用价值，应充分地考虑信息主体所生活的背景以及将该信息作为个人信用信息所具有的价值和风险，从而从动态上确定个人信用信息的范围。例如，当对某项个人信息的收集和使用系保护公共利益所必须，那么信息主体的权利范围理应进行必要的减让。采集的信息内容应当是与核实个人身份、判断个人信息状况有关的，无关的信息不应当采集，如与信用无关的刑事处罚记录。其四，个人信用社会影响，笔者认为个人信用信息具有一定的公开性，其对信息主体的影响可划分为直接影响和间接影响，其中直接影响主要表现为个人信用信息的不合理收集和披露，直接导致个人信息的泄露，从而侵害信息主体的权利。而间接影响则是指不合理地透漏信息主体的个人信用信息，为不法分子“人肉”进而侵害信息主体的隐私。概言之，个人信用信息的范围不能对个人合法利益造成任何损害，尤其是不能对个人造成歧视性后果。如种族、政治信仰、宗教信仰、健康状况、性取向、身体特征等个人信息，都不能列入信息采集的范围，以免造成对消费者隐私权的侵害。与个人资产有关的信息，如存款、纳税等信息，反映个人还款能力，被征信人如果自愿提供的，征信机构可以采集，否则不能采集。其五，出于一种特定的目的，未经授权不能适用于其他目的，注册信息一般需填写很多信息，不填写就不能成功注册。

最后，列明具体纳入信息和禁止纳入信息。在欧洲的许多国家和地方，金融机构一般只提供信息主体的负面信息，与之相同，在东南亚地区、澳大利亚、韩国、中国台湾、中国香港等地，征信机构也只允许收集有关消费者信用的负面信息。与之相反，美国则允许征信机构收集有关消费者的正面和负面信息。笔者认为正负面信息均提供相比仅提供负面信息具有很多优势，一是有利于金融机构及时发现多重债务，避免潜在风险;二是，和只记录负面信息相比，金融机构看不到借款人守信和失信的行为比例，对信用良好的借款人而言是不公平的。但是，由于正面信息可能公开借款人负债状况等个人隐私，并且会提供金融机构对资信状况评估的成本，因此不为多数国家所采用。

2.分类区分同个人隐私的差异

目前对个人信用信息的分类，主要有以下三种观点。其一，上海市政府颁布施行了《上海市公共信用信息归集和使用管理办法》（以下简称《办法》），在该《办法》中公共信用信息被分为三类，分别是基本信息、失信信息和其他信息。其二，《深圳市个人信用征信及信用评级管理办法》第8条规定了可能影响个人信用状况的信息包括：个人身份情况、商业信用记录、社会公共信息记录以及特别记录。其三，学者们根据个人信用信息是否涉及隐私以及是否公开，将个人信用信息分为琐细信用信息和敏感信用信息，琐细信用信息包括公开的个人信息、用于身份识别的个人信息及基本的信用信息。敏感个人信用信息是指涉及个人隐私且具有较强隐私利益的信用信息，具体包括种族、肤色、民族或国籍、家族、信仰、政治派别、生理和心理状况、性生活、生活方式或名声、性别、年龄、婚姻状况等信息。

与我国不同，各国大致包括以下几种：其一，辨识信息。指个人的各种基本社会信息，可以表明个人的基本社会身份。其二，账户信息。指个人在银行、普通商店、借款者等信用交易对象处开设的账户的流水账信息，如账号、账户类型、开户日期、闭户日期、账户余额、当前余额与历史余额、完整的支付历史等。其三，公共记录。即各种政府公开档案类信息，一般都是违法行为或其他重大不良记录，如欠税、法院判决、被捕或定罪、交通违章等信息。其四，信用信息查询情况。即征信机构向所有的信用信息使用者提供信用报告查詢的情况。其五，就业情况。是指个人就业的基本信息和职业变动情况。其六，信用计分或信誉等级。

笔者认为，我国个人的信用信息可具体划分为以下四个类型，分别为个人基本资料、个人商业信用状况、个人社会公共记录以及个人守法情况。其中个人基本资料通常包括姓名、性别、年龄、籍贯、学历、政治倾向、婚姻状况、住址、电话、工作单位等;个人商业信用状况包括个人收入、资产、银行贷款及其还款情况、信用卡使用情况等过往的商业信用交易记录，以及有无破产记录等;社会公共记录包括从事的职业、社会保险金缴交情况、纳税情况等;守法情况主要指有无刑事、行政与民事违法记录等，而不能采集的个人信用信息包括：①与个人信用无关的信息;②民族、种族、家庭出身、宗教信仰、政治信仰以及身体形态、基因、血型、疾病和病史等可能使被征信个人受到歧视的信息;③法律、法规规定应当保密或者禁止采集的其他个人信息。

在个人隐私的保护方面，美国主要是通过隐私权法加以保护，欧洲国家则大都通过制定专门的个人数据保护法。鉴于我国既没有隐私权法，又没有个人数据保护法的现实，征信立法中保护隐私权的任务就比较突出。所以，在征信法律中应对征信的范围做出明确的规定，严格界定上述四类信息的范围，具体地与个人隐私相区分，进而形成可操作性的界定标准。

3.谨慎适用征信“同意原则”

我国可立法适当放宽私人机构进入个人征信行业的门槛，吸引更多民间资本进入，在法律规范下开展市场竞争，促进个人征信行业的健康发展。我国还应制定有关个人信用数据采集的法律法规，对个人信用数据的采集来源、采集方式、采集范围等进行规定，鼓励政府部门、金融机构等在法律规定范围内开放个人信用数据。这一方面能够为个人征信机构的数据采集提供法律依据，促进个人信用体系的发展，另一方面也有利于维护个人隐私。其一，控制“同意条款”的字数。就目前而言，征信“同意条款”动辄十余页，完全超过了普通人短时阅读的耐心，迫使放弃阅读而直接同意。对此，应当减少与信息主体关系不大的内容以突出条文重点，或者设置核心内容和详细内容相结合的方式，从根本上给信息主体提供方便，保障其知情权。其二，设置获取个人信息的必读程序。可以在每个个人信息项目后设置选项标识，信息主体需点击相应的标识后才可在最后的“同意该合同条款”的标识点击“同意”。其三，所制定的“同意条款”应当经过相关部门的审核后才可以使用，防止该类条款无限制的扩张个人信用信息的范围，以保障用户的个人隐私权。

个人信用是整个社会信用的基础，它不仅是一个国家市场伦理和道德文化建设的基础，更是国家经济发展的庞大资源。在当前信息技术日新月异，大数据、云计算、物联网和移动互联网等快速发展和广泛运用的信息时代，信息传播的不可控性使得个人信息保护日益重要。个人信用信息的范围作为个人隐私得以充分保护的门户，适当的个人信用信息范围可以方便人们的生活和交易，激励信息主体建立良好的信誉，选择最佳的交易对象。而一旦超出必要的范围，则可能使信息主体的生活在个人敏感信息随时被泄露的环境中，严重地影响信息主体生活的安定性。为有效保障个人的隐私权，我国亟须完善清晰且适当的个人信用信息范围，进而使征信机构在科学的标准下征信，同时亦可促进我国个人信用信息体系的建设。

参考文献：

[1]张继红.个人信用权益保护的司法困境及其解决之道——以个人信用权益纠纷的司法案例（2009-2017）为研究对象[J].法学论坛，2018（3）：138-148.

[2]姚朝兵.个人信用信息隐私保护的制度构建——欧盟及美国立法对我国的启示[J].情报理论与实践，2013（3）：20-24.

[3]陈 璐.个人信息刑法保护之界限研究[J].河南大学学报（社会科学版），2018（3）：72-78.

[4]陈小君，张绍明.地方立法之实证研究：以湖北省为例[M].北京：中国政法大学出版社，2009：242.