信监官网：我国个人信息可携带权对征信业的影响

      【编者按】2021年8月20日，全国人大常委会通过《中华人民共和国个人信息保护法》（以下简称《个人信息保护法》），首次从法律上提出了个人信息的可携带权，赋予公民自主支配个人信息的权利。2021年10月18日，习近平总书记在中央政治局第三十四次集体学习时强调，数字经济正在成为重组全球要素资源、重塑全球经济结构、改变全球竞争格局的关键力量。个人信息可携带权作为数字经济时代的新型权利，关系到个人信息主体权益保护和数字经济业态健康发展。

        我国个人信息可携带权对征信业的影响

      《个人信息保护法》对个人信息可携带权设定了“符合国家网信部门规定条件”的前提，在具体规定没有出台前，对我国征信业的影响有待进一步评估。根据GDPR第20条规定对欧洲征信机构的影响，初步预估个人信息可携带权对我国征信业将会产生如下影响。

        一、对金融信用信息基础数据库的影响。

        欧洲公共征信机构处理个人信息的基础是GDPR第3条“履行法定义务”、第5条“保护公共利益”，GDRP将公共征信机构强制采集数据作为个人信息可携带权的例外条款。金融信用信息基础数据库具有“防范金融风险、促进金融业发展”的法定义务，在此可类比欧洲公共征信机构。可以预期在当前数据治理法治框架下，未来个人可携带权实施细则可能将金融信用信息基础数据库作为例外条款。

        二、对市场征信机构的影响。

        欧洲的市场化征信机构运营的法律依据为GDPR第6条“合法利益”原则，一般只需通知借款人，不要获取个人明确同意。个人信息可携带权不会对欧洲的市场征信机构造成实质性影响。我国的《个人信息保护法》规定了信息处理须个人信息主体同意的规则，未设立市场征信机构的例外规则。《征信业管理条例》也未赋予市场征信机构法定职责。在相关配套规则进一步明确之前，市场征信机构将严格执行《个人信息保护法》关于个人信息可携带权的规定要求，对我国市场征信机构的业务开展将会产生较大影响。

        完善我国征信领域个人信息可携带权的建议

         一、明确可携带的信息内容边界。

         现有的国外法律和国内行业规范均明确可携带的个人信息为本人信息。GDPR第20条明确可携带的信息为信息主体的个人信息，我国《信息安全技术个人信息安全规范》也明确了可传输的信息为本人的基本资料和健康教育等信息。我国征信领域的个人信息可携带权的立法理念应明确可携带的信息边界为本人的个人信息。出于保护隐私权、商业秘密等，涉及第三方的个人信息应排除在可携带的信息边界之外。

         二、明确可携带权的适用范围。

         如果征信领域施行个人信息可携带权与国家的金融稳定和经济安全发生冲突，将会影响到国家经济正常外部环境与秩序。所以，有必要明确可携带权在征信领域的适用范围。在此可参照欧盟第20条第3款的例外规定，将征信领域为了公共利益和履行法定职责而采集的个人信用信息排除于可携带权适用范围之外。

         三、明确可携带权的信息安全要求。

         信用信息涉及敏感个人信息，个人转移信息时一旦发生信息泄露或者冒名转移等情况，对个人的隐私权和财产安全都会造成风险隐患。有必要建立征信领域信用信息转移的信息安全规则，防范个人信息转移过程中发生丢失、泄露或冒领等安全事故。

        2021年11月3日，中国人民银行行长易纲在2021年香港金融科技周上指出，个人信息保护的最终目的是促进数据的合理使用。要在充分保护个人信息的前提下，探索更加精确的数据确权、更便捷的数据交易、更合理的数据使用，激发市场主体活力和科技创新能力。在征信领域施行个人信息可携带权，关乎我国征信业的健康有序发展，将对征信机构的业务开展产生较大影响。立足我国数字治理法治环境，对欧盟GDPR的个人信息可携带权的研究分析可以为更好地保护信息主体权益、促进征信业发展提供参考。