备受关注的《中华人民共和国民法典》今年5月已由第十三届全国人民代表大会第三次会议通过，并将于明年1月1日正式施行。民法典被誉为“社会生活的百科全书”，是国家治理现代化的重要保证，是社会主义市场经济制度的基石，影响着 社会生活的方方面面，金融行业亦不例外。为此，《理论周刊》从物权编、合同编、人格权编的相关规则出发，陆续就民法典中相关规则对金融实践与金融创新的影 响约请专家做深入分析。本期围绕当前数字经济大发展这一背景，约请中国人民大学中国普惠金融研究所研究员顾雷围绕民法典涉及个人信息保护的法律问题继续接 受专访，同时上海财经大学小企业融资研究中心徐晓萍教授亦就此发表署名文章，探讨数字化时代的个人信息保护与普惠金融的发展。
2020年5月28日，十三届全国人大三次会议表决通过了《中华人民共和国民法典》（以下简称《民法典》）， 对各主体的民商事活动产生了极其深刻的影响，具有里程碑意义。其中，在涉及个人信息保护方面，特别是在当前数字经济大发展的背景下，《民法典》也作出了相 关调整。就此，本期《理论周刊》特别约请法学博士、中国人民大学中国普惠金融研究院研究员顾雷从专业角度进行深度解析。
顾雷 中国人民大学中国普惠金融研究院研究员、硕士生导师。主要研究数字金融、普惠金融监管、金融消费者权益保护以及证券市场违规犯罪问题。
《金融时报》记者：目前我国尚无一部专门的法律对个人信息的收集、使用、披 露等行为进行规范，现有的个人金融信息保护规定分布零散，不仅对于个人金融信息的内涵与外延均未明确界定，而且缺少与我国背景的融合，不能有效解决 大数据时代的个人信息安全问题，更难以追究相关人员法律责任。针对上述存在的问题，《民法典》在个人信息保护和隐私权保护方面增加了哪些新规定？
顾雷：1987年《民法通则》及其他民事单行法并无个人信息的概念。2017年《民法总则》第110条虽将个 人信息保护纳入自然人的人格权范畴，对个人信息和隐私保护有所涉及，例如总则部分第111条自然人的个人信息法律保护条款，第127条数据、网络虚拟财产 保护的法律适用规定，但大多停留在原则性规定，未作进一步规定。
当今社会数字化程度越来越高，数据与信息的交汇、数字与法律的融合越来越普及，《民法典》在个人信息保护和隐私权方面，环环相扣，勾勒出一个完整的个人信息保护框架。
一是明确个人信息的内涵和外延。《民法典》1034条以定义和列举结合、内涵限制和外延拓展的形式，明确了个 人信息的概念，诸如自然人的姓名、出生日期、身份证件号码、生物识别信息、住址、电话号码、电子邮箱、健康信息、行踪信息等，为个人信息的法律保护提供相 对合理的对象范畴。同时，《民法典》还罗列了个人信息外延，既有生物信息，也有非生物信息，既有历史信息，也有现时信息，还包括三方面内涵：以电子或者其 他方式记录；单独或者与其他信息结合；能够对特定自然人起到识别作用。这一条款罗列涵盖了自然人生老病死的所有信息，从形式外观和实质效果两方面出发，为 个人信息保护提供了边界指引，第一次完整有效地填充了我国个人信息的具体内容。
二是明确了个人信息权利人享有的权利。其一是查询权。《民法典》第1037条第1款规定：“自然人可以依法向 信息处理者查阅或者复制其个人信息”。据此，自然人作为个人信息权利的主体，享有查询个人信息的权利。其二是更正权。《民法典》第1037条第1款规定， 个人信息权利人“发现信息有错误的,有权提出异议并请求及时采取更正等必要措施”，更正权可以理解为是人格权请求权中的排除妨害或停止侵碍。其三是删除 权。民法典第1037条第2款规定：“自然人发现信息处理者违反法律、行政法规的规定或者双方的约定处理其个人信息的，有权请求信息处理者及时删除”，删 除权也可以理解为是人格权请求权中的排除妨害或停止侵碍。
三是《民法典》侧重于对个体的保护。强调国家机关、承担行政职能的法定机构对个人信息和隐私予以保密 义务。《民法典》第1030条规定，国家机关、承担行政职能的法定机构及其工作人员对于履行职责中知悉的自然人的隐私和个人信息，诸如教育行政部门掌握了 考生的个人信息，就必须予以保密，不得随意泄露他人使用。
《金融时报》记者：数字经济大发展背景下，《民法典》在推动个人信息（数据）方面有哪些开创性法律制度安排？
顾雷：当今社会，数据已成为一种新型生产要素，也成为配置具有人身性可财产化的关键要素。《民法典》顺应了这一发展趋势，在推动个人信息（数据）方面有开创性法律制度安排。
第一，明确数据、网络虚拟财产保护的法律适用。目前理论界和实务界对数据、网络虚拟财产的法律性质、权属、流 通等问题在相关理论和实务都尚不成熟，《民法典》采取谨慎态度，承认数据保护但并不具体规定，这是最为合理的选择。《民法典》第127条规定：“法律对数 据、网络虚拟财产的保护有规定的，依照其规定”，这与我国目前的理论和实践实际相符。同时，对数据已有行政法、经济法等多方面的法律规制，《民法典》直接 与相关法律衔接，既可以避免体系过于庞杂的弊端，又有利于防止法律规定的矛盾冲突，实现法律体系的完整统一。
第二，为信息开发行为提供法律依据。《民法典》第1035条规定个人信息处理原则和条件：“处理个人信息的, 应当遵循合法、正当、必要原则，不得过度处理，并符合下列条件：（一）征得该自然人或者其监护人同意,但是法律、行政法规另有规定的除外；（二）公开处理 信息的规则；（三）明示处理信息的目的、方式和范围；（四）不违反法律、行政法规的规定和双方的约定。”这表明《民法典》为信息处理者信息开发行为提供了 法律依据。只要符合法定条件，遵循原则，信息处理者就有权充分利用公民个人信息。
第三，合理划定信息开发者责任范围。如果过度保护个人信息，反而加重数据开发者的责任，妨碍数据价值的实现和 数字经济的发展。由此，《民法典》第1036条还规定了信息处理者的三类免责事由：（1）在该自然人或者其监护人同意的范围内合理实施的行为；（2）合理 处理该自然人自行公开的或者其他已经合法公开的信息，但是该自然人明确拒绝，或者处理该信息侵害其重大利益的除外；（3）为维护公共利益或者该自然人合法 权益，合理实施的其他行为。这三项免责条款保证了信息处理者承担的责任处在一个合理区间内，防止因法律责任过重而打击信息开发者开发利用数据的积极性，对 数据信息开发活动起到积极的推动作用。
第四，提升个人数据权益的保护力度。《民法典》规定的请求更正权有利于提高数据质量。如果发现信息有错误的， 个人有权提出异议并请求更正。这些规定有助于提高数据准确性，减少数据误差和错误。其次，《民法典》赋予个人查阅复制权，有助于数据的传播和扩散，推动数 据流通，促进数据共享，打破数据独占。最后，请求删除权有助于降低法律风险，帮助发现并处理信息处理者潜在的法律问题，减少因个人数据信息采集、流通、使 用等行为引起的纠纷，节省相关法治资源和社会经济成本。
《金融时报》记者：互联网时代，大数据、人工智能在推动社会发展的同时加剧了个人信息暴露风险。作为“公民权利宣言书”，《民法典》在完善个人信息的隐私保护方面开出哪些“处方”？
顾雷：第一，《民法典》人格权编第六章专门规定了“隐私权和个人信息保护”，确立了隐私权和个人信息保护的基 本规则，宣示了自然人享有隐私权明确了隐私权的内涵。《民法典》第1032条第1款明确宣示“自然人享有隐私权”，第2款对“隐私”内涵进行了界定，即 “自然人的私人生活安宁和不愿为他人知晓的私密空间、私密活动、私密信息”。我国《民法典》借鉴国际经验，总结我国理论研究成果，强调了私生活安宁权利， 契合当今世界隐私权保护制度发展的趋势，也是我国首次在国家层级法律中定义隐私权。
第二，明确了侵害隐私权的具体表现。《民法典》第1032条第1款一般性地规定了侵害隐私权的方式，包括“刺 探、侵扰、泄露、公开等”，第1033条具体列举了实践中典型的侵害隐私权的行为：一是以电话、短信、即时通信工具、电子邮件、传单等方式侵扰他人的私人 生活安宁。二是进入、拍摄、窥视他人住宅、宾馆房间等私密空间、私密活动等。例如，有个别违法分子在邻居的窗户上安装摄像头，偷窥邻居夫妻在房间内的活 动，就属于此种类型。三是拍摄、窥视、窃听、公开他人的私密活动。例如，行为人在他人浴室内违法安装摄像头，偷窥他人身体私密部位，就属于此种类型。四是 处理他人的私密信息。例如，在网络上公布他人患有艾滋病、新冠肺炎等疾病信息，也属于此种类型。
第三，明确了处理个人信息基本原则和前提条件。《民法典》第1035条第1款明确了处理自然人个人信息应遵循 的基本原则，即合法原则、正当原则和必要原则，在收集和处理自然人的个人信息，还应当符合四项条件：一是征得该自然人或者其监护人同意，但是法律、行政法 规另有规定的除外。二是公开处理信息的规则。例如，在很多购物网站上，都公示其收集消费者信息的规则，又如《欧盟数据保护通用条例》(GDPR)第8条强 调的那样：数据控制者必须能够证明其从监护人那里获得了同意。三是明示处理信息的目的、方式和范围。例如，学校因招生考试而要求学生提供身份证复印件需要 明示，收集的身份信息仅用于此次招生考试活动，不得随意扩大使用范围。四是不违反法律、行政法规的规定和双方的约定。
《金融时报》记者：《民法典》在数字化融合方面是否有所体现和对接？您对此还有哪些方面的立法建议和修改意见？
顾雷：近年来，经济数字化转型有效促进了个人金融信息化发展。数据显示，2019年我国数字经济增加值规模达 到35.8万亿元，占GDP比重达36.2%。金融业正加速迈入与数字经济相对应的互联、共享时代，呈现出“无科技不金融，无数据不信息”的市场特征，一 场大范围、深层次的数字变革正改变着个人金融信息的走势。但遗憾的是，《民法典》第1035条规定了个人信息处理的原则和条件：“处理个人信息的,应当遵 循合法、正当、必要原则，但究竟什么才是“正当、必要和不得过度处理”，其具体内涵在《民法典》中没有明确，期待相关配套法规的增订或有关司法解释予以及 时细化，防止司法实践中扯皮、推诿和无法执行。同时，《民法典》无论是总则编还是物权编也都没有对担保、质押方式在数据运用上进行明确规定，缺乏充分的制 度性支持和安排。这将成为未来物权编，尤其是在担保、质押方式上需要探索的一个重要问题。
其二，《民法典》对个人的敏感信息问题处理相对比较简单，需要进一步细化条款。所谓敏感信息包括能够揭示个人 的种族、政治倾向、宗教和哲学信仰、个人健康、基因信息和生物信息等。《欧盟数据保护通用条例》还强调了其处理要适用特殊的规则，进行特殊限制。这一做法 值得我国借鉴，可以正对个别化特征选择信息的敏感性处理方式。
其三，当今世界各国，隐私权重点逐渐向自我决定权转移，大陆法系也出现了这样的趋势。从我国司法实践来看，因 妻子擅自堕胎而引发的“生育权”纠纷，实际上属于私生活自主所要解决的问题，我国将来可以考虑将“生育权”等的私生活自主决定权纳入“隐私权”概念之中， 有助于保护社会个体的特定权利，有效解决类似家庭矛盾和纠纷。
其四，如前所述，《民法典》虽然规定了“查询权”“更正权”和“删除权”，依然可以增加更多的权利。依据《欧 盟数据保护通用条例》(GDPR)第17条和第20条规定，个人信息权利人享有的权利还包括被遗忘权、信息可携权（即将个人信息从一个信息服务提供者转移 到另一个信息服务提供者处的权利）等。我国《民法典》对此没有规定，未来在个人信息权利中可以考虑增加一部分附加性权利，诸如遗忘权、信息可携权等，不断 丰富个人信息权利的内容。
其五，《个人信息保护法（草案）》目前正在征求社会意见，这就存在如何协调两部法律的问题。从立法时间上看， 《民法典》制定在前，《个人信息保护法》颁布在后，根据《立法法》规定，“新的规定与旧的规定不一致的，适用新的规定”，在二者重合的范围内，《个人信息 保护法》的规定应当优先适用《民法典》。但是，两部法律有关个人信息的委托处理规定并不一致。例如《个人信息保护法（草案）》第22条规定，未经个人信息 处理者同意，受托方不得转委托他人处理个人信息。但是草案没有明确在转委托时要不要得到信息来源主体的同意。而《民法典》却规定，除有效委托合同外，受托 人处理个人信息必须取得信息主体或其监护人的同意，否则委托合同均为无效。
显然，两部法律在个人信息的委托处理方面存在较大差异。我们究竟应该如何处置呢？我认为，我们应该从保护公民 个人信息角度去理解立法原意，在司法实践中，应该本着更有利于保护信息主体的个人信息权益原则，尊重《民法典》立法原意，选择善意法条适用，将委托处理纳 入知情同意原则为宜。
数字化时代，个人信息在金融领域展现出了极大应用潜力，金融服务的提供者通 过线上线下数据的搜集与分析提炼出其中的信用价值，提高受传统金融体系排斥群体的金融可得性。个人信息尤其是线上留痕数据日益成为普惠金融服务的核心资 源，但伴随而生的个人信息权益侵害行为给信息主体带来新的风险、金融损失甚至反过来影响金融可得性。2020年10月21日，《个人信息保护法（草案）》 公布，引起社会的广泛关注。本文从普惠金融视角，对数字化时代的个人信息保护问题展开讨论。
个人信息往往以数据形式展现，大数据技术的发展使得数据体量较以往有了极大 增长，越来越多的数据可以用于个人特征的识别和行为的分析。数据荷载着关于数据主体的多维度信息，在金融活动中这些信息可能产生信用价值。信息技术的发 展，使得对信息搜集、处理、传输与应用能力随之升级。信息技术促进数据的流通共享，进而也推动了普惠金融的发展。
（一）数据的流通共享可以超越地理空间的局限，数字技术的运用有力地拓宽了 金融服务的覆盖面，并使金融服务的触达成本大为降低。根据中国人民银行《中国普惠金融指标分析报告（2019年）》，2019年，全国人均银行网点数、平 均每万人拥有具有融资功能的非金融机构数、ATM和POS机的数量均出现下滑，但银行账户、银行卡的人均拥有量以及移动支付业务则出现迅速增长，获得借款 的成年人比例增加，且农村地区同比增幅更高。这意味着数字化时代，数据的流通共享能力的提升将显著惠及农村或偏远地区的人群，满足其对金融服务的需求。
（二）大数据的积累有助于实现差异化、个性化的金融服务。例如，浙江泰隆商业银行基于对客户的深入了解与后台数据积累，在服务小微时根据企业特征、资金用途与对资金价格的承受能力设立了60多个利率档次，做到一户一价、一笔一价、一期一价。
（三）替代性数据形成新的“信用记录”。替代性数据作为补充，使得小微企业 等缺乏硬信息的主体，也能借助日常的经营数据、“新三表”数据证明自己的履约能力和履约意愿，构建“声誉抵押品”。许多科技平台正是利用了所掌握的企业 交易数据，对小商户发放无抵押的信用贷款，如美团的生意贷、网商银行的网商贷等。不仅如此，对替代性数据处理能力的提升，还大幅缩短了贷款申请至资金到账 所需的时间成本，对接了小微群体“短、小、频、急”的信贷资金需求特征，例如，网商银行提供的网商贷具有“0抵押”“闪电获贷”（30秒在线 分钟到账）“还款灵活”以及“1元起贷”等特征。
（一)数据泄露、身份欺诈的风险。借助信息技术，不仅金融服务可以以更低的 成本更快地触达消费者，欺诈者也能够更快地获取消费者信息，盗取消费者身份，甚至针对性地进行诈骗，给消费者带来金融损失；盗窃他人身份进行贷款等金融活 动，还可能影响到消费者的信用与金融服务的可得性。近年来，个人敏感信息泄露事件频发，如2017年美国三大征信机构之一的艾可飞遭受网络攻击，导致近 1.5亿美国人的个人身份信息泄露；2018年，万豪国际因网络攻击导致3.39亿客户信息泄露，且2020年再曝泄露520万用户数据。
信息泄露会加剧诈骗事件的发生，给消费者造成切实的金融损失。360手机卫 士与中国信通院联合发布《2020年上半年度中国手机安全状况报告》，基于360手机卫士数据分析结果显示，2020年上半年，手机诈骗人均损失超1万 元；其中，金融理财类诈骗总金额最高（达272.4万元），身份盗窃次之（涉案总金额193.4万元），但身份盗窃类的人均损失最高，约2.5万元。
(二)数据主体还面临着自身信息被滥采滥用的风险。2019年1月，中央网 信办等四部门联合发布《关于开展APP违法违规收集使用个人信息专项治理的公告》，建立专门的举报渠道收集网民的举报信息，截至2019年12月，举报量 第一的问题就是超范围收集与功能无关的个人信息，其次为强制或频繁索要无关权限。面对强制授权和过度采集信息的App，除非不使用相关应用，数据主体实际 上缺乏“议价权”、无法有效保护自己的个人信息。超出使用目的收集数据不仅违反数据保护的要求，还会导致数据滥用，如通过针对性的广告投放和营销诱导消费 者做出有利于企业的决策，产生侵害消费者权益的行为：大数据杀熟、诱导过度消费，甚至在国外有利用大数据影响选民行为等。其中，商家出于私利诱导过度消费 而不告知潜在后果时，金融素养不足的消费者可能产生拆东补西、多头借贷等行为，对其信用记录及未来的金融服务产生负面影响。
(三)不恰当的信息搜集或处理也可能侵害消费者的“声誉”资产，影响普惠金 融服务的可得性。金融科技挖掘出了个人信息的信用价值，然而，当个人信息的准确性出现问题时，相应的信用评价也可能受到有偏的、负面的影响，最终影响消费 者的金融可得性，或是影响金融契约的利率、期限等条款安排，如造成消费者不得不支付更高的利率去获得信贷等金融服务。在错误的、遗漏的信息可能对消费者的 “声誉抵押品”产生影响外，信息处理的不当也可能侵害信息主体的权益，例如歧视性的算法可能将违背普惠金融的公平性要求。
在传统金融加速向数字金融转型的背景下，普惠金融蓬勃发展。个人信息保护是对数据流通共享的过程做出的系列限制，对于防范风险具有积极意义，但也可能影响普惠金融的服务数量和质量，因此，限制的范围和力度也需要结合其对普惠金融的效用和成本造成的影响权衡决定。
(一)从数据使用者角度，公共部门更应重视个人信息保护、善用个人信息。公 共数据的采集与应用旨在提供公共产品、提高社会整体福利水平。例如，央行征信平台、支付清算平台是信贷领域的重要基础设施，法院、税务部门等公共部门的数 据也日渐成为替代性数据的重要组成部分，对推动普惠金融发展都具有重要意义。但与此同时，公共部门的数据使用不当对于普惠金融活动的影响也更严重。如苏州 “文明码”推出，利用个人信息对个人进行画像，将评分与所享受的公共服务和社会权益挂钩，如就业、落户便利等，引起舆论风暴后不得不放弃。公共部门的数据 滥用会干预个人私域，对社会资源的分配包括金融资源的分配都会产生显著影响，这一影响较商业机构可能更为严重。除了数据滥用外，公共部门缺乏内生动力对数 据质量、数据标准等进行治理，也缺少信息共享合作创新的激励，政府数据的“信息孤岛”同样是影响普惠金融创新的一大阻力。我们认为，需进一步完善针对公共 部门数据应用的限制，使公共部门的数据使用做到有法可依，降低公共部门的数据滥用风险；同时也应推动数据的善用，保障公共部门数据的有序共享，让数据真正 服务于社会经济活动的需要。
(二)从数据主体的角度，强化对金融的信息保护力度。金融 面对数据泄露、滥用对于金融服务可得性及成本产生的负面影响，可能无力进行自我保护，或是事前意识不到随意授权等行为产生的风险与金融后果，不具有数据资 产建立和维护的意识；不止如此，这类群体的风险承受能力较弱，数据风险对个体产生的金融损失可能是“灾难性”的，对于金融服务的后续可得性也造成极大障 碍。这些“微、弱、小”群体是普惠金融服务的重点对象，加强对金融的信息保护，如提高知情同意的要求、添加提请异议和信用修复的快捷通道等，既是 从数据源角度加强对数据泄露、身份诈骗等风险的防范，更是对金融的信贷渠道的保障。因此，我们认为，在加强对消费者金融宣教活动的同时，需对金融 的信息保护力度适当倾斜。
(三)从监管者的角度，消费者数据权利的保障还需要可落地的监管方案。数字 化时代，信息保护是一项复杂的课题，多部法律如《消费者权益保护法》《网络安全法》《电子商务法》《民法典》中的人格权编、《刑法》以及日前公布但尚未出 台的《个人信息保护法（草案）》都涉及信息保护内容，但是在落实个人信息保护的具体问题上，如消费者在遭遇算法歧视或信用评价有误而无法平等地获得金融服 务时，应当如何维护自身的“声誉资产”或“名誉权”尚不明确。进一步落地监管方案，在数据处理者角度，意味着切实执行法律法规的具体要求，繁多的法规可能 让数据处理机构的合规成本增加，一些中小机构或将无力承担而退出普惠金融市场，造成普惠金融尤其是数字普惠金融市场的集中度增加，竞争程度降低，不利于普 惠金融服务的供给；但另一方面，更为重要的是，明确相关问题的监管主体、监管的方式手段等，是为普惠金融的发展提供有效的法律保障，防范因侵害个人信息权 益造成的系列金融后果与潜在问题，推动普惠金融市场的长足发展。（作者徐晓萍系上海财经大学小企业融资研究中心、上财上海国际金融中心研究院教授）
网经社“电数宝”电商大数据库（基于电商行业12年沉淀，包含100+上市公司、新三板公司数据，150+独角兽、200+千里马公司数据，4000+起投融资数据以及10万+互联网APP数据，全面覆盖“头部+腰部+长尾”电商，旨在通过数据可视化形式帮助了解电商行业，挖掘行业市场潜力，助力企业决策，做电商人研究、决策的“好参谋”。
【版权声明】秉承互联网开放、包容的精神，网经社欢迎各方(自)媒体、机构转载、引用我们原创内容，但要严格注明来源网经社；同时，我们倡导尊重与保护知识产权，如发现本站文章存在版权问题，烦请将版权疑问、授权证明、版权证明、联系方式等，发邮件至，我们将第一时间核实、处理。
您申请电商人精英俱乐部后，视为您同意网经社通过邮件/短信方式向您推送的相关资讯，我们将严格保护您的权益及个人信息，如您不需要此服务，可以联系我们取消。
