■ 張旭光
(西北政法大學(xué) 陜西西安 710063)
互聯(lián)網(wǎng)、大數(shù)據(jù)、區(qū)塊鏈等數(shù)字信息技術(shù)的發(fā)展,推動(dòng)了銀行業(yè)及其監(jiān)管的數(shù)字化轉(zhuǎn)型,數(shù)據(jù)也成為這一行業(yè)的關(guān)鍵性生產(chǎn)要素。在新冠肺炎疫情、地緣沖突等因素疊加影響下,銀行機(jī)構(gòu)在跨境數(shù)據(jù)傳輸過程中不僅要受到本國(guó)監(jiān)管,還面臨著東道國(guó)基于業(yè)務(wù)需求、國(guó)家安全、反壟斷、反洗錢的監(jiān)管。完善本國(guó)銀行業(yè)監(jiān)管數(shù)據(jù)跨境流動(dòng)規(guī)則,在多邊合作框架下建立起國(guó)家間銀行監(jiān)管數(shù)據(jù)交換與分享機(jī)制,實(shí)現(xiàn)跨國(guó)銀行數(shù)據(jù)雙邊合規(guī)、監(jiān)管當(dāng)局透明合作、銀行數(shù)據(jù)自由流動(dòng)三者之間的平衡,具有重要的理論與現(xiàn)實(shí)意義。
研究和制定銀行監(jiān)管信息跨境流動(dòng)的規(guī)則,首先必須厘清“信息”“數(shù)據(jù)”與“銀行監(jiān)管信息”等術(shù)語的基本含義和范疇。從理論上來看,數(shù)據(jù)是指對(duì)客觀事物的符號(hào)表示,是用于表示客觀事物的原始素材,如圖形、符號(hào)、數(shù)字、字母等。它不僅包括傳統(tǒng)媒介上數(shù)據(jù)內(nèi)容的數(shù)字化呈現(xiàn),還包括數(shù)字信息系統(tǒng)直接產(chǎn)生的數(shù)據(jù)元素。信息是一種經(jīng)過加工、分析和整合的特定化數(shù)據(jù)。數(shù)據(jù)是信息的來源和動(dòng)力,信息是數(shù)據(jù)加工后系統(tǒng)化的產(chǎn)物。數(shù)據(jù)既包括原始的數(shù)據(jù),也包括加工和處理后形成的信息,數(shù)據(jù)監(jiān)管比信息監(jiān)管范圍更大。在實(shí)際運(yùn)用過程中,信息與數(shù)據(jù)區(qū)分并不嚴(yán)格。數(shù)據(jù)的傳播、分享和處理呈現(xiàn)出“多流程、交互式”特征。由于信息的遞歸現(xiàn)象,對(duì)于某些主體是有意義的信息,對(duì)另一些主體則是沒有直接利用價(jià)值的數(shù)據(jù),用戶需要對(duì)數(shù)據(jù)再加工才能成為對(duì)他們有用的信息。在大多數(shù)情況下,“數(shù)據(jù)”和“信息”是可以相互替代的一對(duì)概念。
隨著我國(guó)金融業(yè)尤其是銀行業(yè)的逐漸發(fā)展壯大,涉及的跨境業(yè)務(wù)管理和信息數(shù)據(jù)交流極為頻繁,銀行機(jī)構(gòu)在業(yè)務(wù)流程中收集、使用、處理和傳輸了大量金融數(shù)據(jù),很多都是涉及國(guó)家金融安全和個(gè)人隱私的,在跨境傳輸中泄露和被違法使用的風(fēng)險(xiǎn)很大,金融數(shù)據(jù)也就成為銀行監(jiān)管的重點(diǎn)對(duì)象。銀行機(jī)構(gòu)日常業(yè)務(wù)中不僅要收集個(gè)人的身份、信用等金融數(shù)據(jù),還要處理企業(yè)以及自身業(yè)務(wù)經(jīng)營(yíng)中產(chǎn)生的機(jī)構(gòu)數(shù)據(jù),所以從廣義上來講,監(jiān)管當(dāng)局需要對(duì)“銀行境內(nèi)外處理、使用和傳輸”上述幾類金融數(shù)據(jù)進(jìn)行監(jiān)管。其中最值得關(guān)注的應(yīng)是個(gè)人在銀行的金融數(shù)據(jù),因?yàn)檫@不僅關(guān)乎個(gè)人的隱私權(quán),還關(guān)系到一國(guó)金融市場(chǎng)的消費(fèi)者的“投資畫像”和市場(chǎng)穩(wěn)定。如果消費(fèi)者投資情緒不穩(wěn)定,造成群體非理性事件,對(duì)我國(guó)這種高儲(chǔ)蓄率、高貸款率的國(guó)家來講,銀行業(yè)發(fā)生系統(tǒng)性金融風(fēng)險(xiǎn)的概率也將提高。
厘清銀行監(jiān)管數(shù)據(jù)及跨境流動(dòng)的各種途徑,完善銀行等金融數(shù)據(jù)的分級(jí)分類制度,有助于制定有針對(duì)性的監(jiān)管方案,實(shí)現(xiàn)有效監(jiān)管目標(biāo)。
就銀行監(jiān)管數(shù)據(jù)來講,既包括各類銀行機(jī)構(gòu)在經(jīng)營(yíng)中所產(chǎn)生和收集的相關(guān)數(shù)據(jù),還包括各國(guó)銀行業(yè)監(jiān)管機(jī)構(gòu)所掌握的金融數(shù)據(jù)。一是銀行機(jī)構(gòu)的金融數(shù)據(jù)。各國(guó)目前基本認(rèn)同以數(shù)據(jù)內(nèi)容為標(biāo)準(zhǔn)的分類方式,即銀行機(jī)構(gòu)數(shù)據(jù)主要包括個(gè)人身份信息、交易信息、信用信息和其他衍生信息。個(gè)人身份信息即有關(guān)個(gè)人的姓名、性別、身份證號(hào)、職業(yè)、聯(lián)系方式等區(qū)分與尋找特定個(gè)體的信息,這些信息事關(guān)個(gè)人隱私保護(hù),一旦泄露或者濫用,會(huì)違反一國(guó)個(gè)人信息和數(shù)據(jù)安全等法律法規(guī)。個(gè)人的交易信息主要是銀行在辦理對(duì)私業(yè)務(wù)時(shí)所收集、使用和處理的數(shù)據(jù)。這兩種基本信息對(duì)銀行日常業(yè)務(wù)的開展十分重要。歐盟《通用數(shù)據(jù)保護(hù)條例》(以下簡(jiǎn)稱GDPR)和美國(guó)的《格雷姆-里奇-比利雷法案》(以下簡(jiǎn)稱GLB 法案)都允許集團(tuán)向第三方提供這兩種個(gè)人信息。而我國(guó)《銀行業(yè)金融機(jī)構(gòu)反洗錢和反恐怖融資管理辦法》第28條以例外規(guī)定禁止了相關(guān)數(shù)據(jù)的跨境提供。至于信用信息,則是對(duì)個(gè)人償還信貸能力的一個(gè)評(píng)價(jià),美國(guó)2003年《公平和準(zhǔn)確信貸交易法》(以下簡(jiǎn)稱FACTA)規(guī)定,限制使用與個(gè)人信譽(yù)、信用狀況、一般信譽(yù)、個(gè)人特征或決定性信用、雇傭或保險(xiǎn)資格相關(guān)的信息。我國(guó)于2013年頒布的《征信業(yè)管理?xiàng)l例》規(guī)定,中國(guó)公民的所有征信信息都須在境內(nèi)處理和存儲(chǔ)。二是銀行監(jiān)管機(jī)構(gòu)的有關(guān)數(shù)據(jù)。其主要是指各國(guó)央行和銀行監(jiān)管機(jī)構(gòu)所獲取的關(guān)鍵信息,如各國(guó)央行的貨幣、信貸、征信、匯率、衍生品及反洗錢等宏、微觀統(tǒng)計(jì)和監(jiān)管數(shù)據(jù),各國(guó)銀行監(jiān)管機(jī)構(gòu)的統(tǒng)計(jì)和披露信息、資產(chǎn)狀況、監(jiān)管評(píng)級(jí)、機(jī)構(gòu)治理和風(fēng)險(xiǎn)預(yù)警等監(jiān)管數(shù)據(jù)。監(jiān)管當(dāng)局的上述信息事關(guān)國(guó)家安全、公共利益、個(gè)人隱私,對(duì)預(yù)警和處置金融風(fēng)險(xiǎn),維護(hù)一國(guó)乃至國(guó)際金融市場(chǎng)穩(wěn)定具有重要作用。次貸危機(jī)以后,國(guó)際金融監(jiān)管趨緊,各國(guó)都開始意識(shí)到微觀個(gè)體監(jiān)管模式的弊端,轉(zhuǎn)而更加注重本國(guó)金融業(yè)宏觀審慎的系統(tǒng)性監(jiān)管模式。與此同時(shí),開始加強(qiáng)國(guó)際金融監(jiān)管協(xié)調(diào)與合作,通過信息交換與共享,及時(shí)預(yù)警和處置相關(guān)風(fēng)險(xiǎn),保持全球金融業(yè)穩(wěn)定。后疫情時(shí)期,金融業(yè)全面進(jìn)行數(shù)字化轉(zhuǎn)型,倒逼監(jiān)管機(jī)構(gòu)改革,建立行業(yè)內(nèi)風(fēng)險(xiǎn)預(yù)警和監(jiān)管系統(tǒng)及數(shù)據(jù)處理中心,由此產(chǎn)生了大量的監(jiān)管信息。巴塞爾委員會(huì)指出,各國(guó)銀行監(jiān)管當(dāng)局應(yīng)加強(qiáng)合作,完善本國(guó)銀行監(jiān)管部門、母國(guó)與東道國(guó)監(jiān)管機(jī)構(gòu)之間的合作機(jī)制,實(shí)現(xiàn)國(guó)內(nèi)、國(guó)際銀行業(yè)安全、穩(wěn)健、透明與可持續(xù)發(fā)展目標(biāo)。
經(jīng)濟(jì)合作與發(fā)展組織(OECD)1980年發(fā)布《關(guān)于隱私保護(hù)與個(gè)人數(shù)據(jù)國(guó)際流動(dòng)的指針的建議書》,將“數(shù)據(jù)跨境流動(dòng)”定義為“點(diǎn)到點(diǎn)的跨越國(guó)家、政治疆界的數(shù)字化數(shù)據(jù)傳遞”,并提出了國(guó)內(nèi)、國(guó)際跨境數(shù)據(jù)流通所適用的原則,大多數(shù)國(guó)家將其納入本國(guó)相關(guān)法律法規(guī)中。
一是維護(hù)國(guó)家安全的現(xiàn)實(shí)需要。數(shù)據(jù)作為數(shù)字經(jīng)濟(jì)時(shí)代的關(guān)鍵生產(chǎn)要素,不僅事關(guān)發(fā)展要素變革、經(jīng)濟(jì)效率提升和治理,還涉及到國(guó)際秘密、軍事安全等關(guān)鍵信息,事關(guān)一國(guó)的穩(wěn)定和安全大局,各國(guó)監(jiān)管機(jī)構(gòu)基本都會(huì)實(shí)施嚴(yán)格的禁止、限制條件,以維護(hù)數(shù)據(jù)和網(wǎng)絡(luò)主權(quán)。美國(guó)一方面堅(jiān)定支持?jǐn)?shù)據(jù)跨境自由流動(dòng)并將大量本國(guó)數(shù)據(jù)規(guī)則上傳至國(guó)際層面,另一方面,在軍事、科技、重要金融業(yè)實(shí)施“雙重標(biāo)準(zhǔn)”,既嚴(yán)格要求本國(guó)相關(guān)數(shù)據(jù)本地化并禁止跨境傳輸,又以國(guó)家安全、反洗錢和反壟斷等借口強(qiáng)行要求外國(guó)機(jī)構(gòu)及其境外分支機(jī)構(gòu)提供相關(guān)數(shù)據(jù)。歐盟也制定了一套嚴(yán)格、審慎的跨境數(shù)據(jù)流動(dòng)監(jiān)管法規(guī)。為進(jìn)一步控制數(shù)據(jù)流動(dòng)風(fēng)險(xiǎn),歐盟正在完善其金融數(shù)據(jù)分類分級(jí)和監(jiān)管標(biāo)準(zhǔn)。我國(guó)近兩年修訂、實(shí)施了諸多法律法規(guī),以加強(qiáng)對(duì)個(gè)人金融信息的使用、流動(dòng)和保護(hù)。
二是保護(hù)個(gè)人信息的內(nèi)在要求。大多數(shù)國(guó)家的憲法和民法都規(guī)定了個(gè)人隱私和通信自由權(quán),個(gè)人信息(數(shù)據(jù))保護(hù)法和消費(fèi)者權(quán)益保護(hù)法又規(guī)定了個(gè)人的相關(guān)權(quán)利。數(shù)字時(shí)代銀行在辦理個(gè)人業(yè)務(wù)時(shí),會(huì)獲取諸多個(gè)人信息,既包括基本身份信息和交易信息,也包括個(gè)人資信和財(cái)務(wù)狀況的信用信息,這些信息不僅有利于銀行把握客戶群體走向、控制業(yè)務(wù)風(fēng)險(xiǎn),還能在大數(shù)據(jù)分析基礎(chǔ)上形成“群體畫像”,進(jìn)而針對(duì)不同群體進(jìn)行智能投顧,達(dá)到精準(zhǔn)金融服務(wù)和業(yè)務(wù)拓展的雙重目標(biāo)。個(gè)人信息自身的“敏感、保密、易受侵害、不易維權(quán)”的特征,要求個(gè)人要有積極維護(hù)權(quán)利的意識(shí),還要求機(jī)構(gòu)數(shù)據(jù)控制者要嚴(yán)格遵守收集、使用、處理和傳輸個(gè)人信息的法定義務(wù)。
三是為了滿足各國(guó)銀行監(jiān)管的需要。數(shù)字信息技術(shù)的出現(xiàn),為互聯(lián)網(wǎng)經(jīng)濟(jì)向數(shù)字經(jīng)濟(jì)轉(zhuǎn)型提供了動(dòng)力和方向,龐大的數(shù)字經(jīng)濟(jì)體量所產(chǎn)生的量級(jí)數(shù)據(jù),對(duì)各個(gè)監(jiān)管部門都提出了新的挑戰(zhàn)。一方面,銀行機(jī)構(gòu)收集了大量個(gè)人信息并予以存儲(chǔ)和使用,有關(guān)監(jiān)管機(jī)構(gòu)該如何對(duì)這些數(shù)據(jù)進(jìn)行界定、分類分級(jí),制定何種監(jiān)管法規(guī)才能有助于合法合理的收集、使用、處理、交易和流動(dòng)這類數(shù)據(jù),以及如何實(shí)現(xiàn)數(shù)據(jù)保護(hù)與數(shù)據(jù)價(jià)值最大化的平衡,成為監(jiān)管改革的重點(diǎn)。另一方面,按照巴塞爾委員會(huì)《核心原則評(píng)價(jià)方法》規(guī)定,為促進(jìn)國(guó)際銀行業(yè)監(jiān)管安全、穩(wěn)定、透明和獨(dú)立,各國(guó)銀行監(jiān)管機(jī)構(gòu)有必要建立國(guó)內(nèi)部門間的合作與信息共享機(jī)制,構(gòu)建與各國(guó)銀行監(jiān)管機(jī)構(gòu)合作、信息交換、分享、保密的雙邊安排,確保國(guó)家間銀行監(jiān)管信息暢通、風(fēng)險(xiǎn)透明,為國(guó)際銀行業(yè)風(fēng)險(xiǎn)防范與健康發(fā)展?fàn)I造穩(wěn)定環(huán)境。
四是國(guó)際銀行業(yè)發(fā)展的內(nèi)在要求。國(guó)家間貿(mào)易往來日益密切,商業(yè)銀行分支機(jī)構(gòu)遍布全球各地,大型跨國(guó)銀行機(jī)構(gòu)基于業(yè)務(wù)和發(fā)展的需求,往往需要跨國(guó)傳輸相關(guān)金融數(shù)據(jù)。主要表現(xiàn)為以下幾種情況:一是集團(tuán)總部基于內(nèi)部管理和業(yè)務(wù)需求,需要對(duì)其全球業(yè)務(wù)等相關(guān)數(shù)據(jù)進(jìn)行整合和管理。如果屬于日常業(yè)務(wù)交流中的商業(yè)性、非敏感信息,在符合監(jiān)管當(dāng)局的各項(xiàng)要求,并且母公司與分支機(jī)構(gòu)有數(shù)據(jù)傳輸協(xié)議時(shí),監(jiān)管當(dāng)局應(yīng)當(dāng)允許。二是基于金融集團(tuán)財(cái)務(wù)審計(jì)的并表需要,各金融機(jī)構(gòu)往往會(huì)按年或特定目的進(jìn)行審計(jì)報(bào)告,這對(duì)銀行機(jī)構(gòu)經(jīng)營(yíng)、國(guó)家監(jiān)管都至關(guān)重要,國(guó)際上對(duì)此類數(shù)據(jù)傳輸持不同的態(tài)度。有些對(duì)總部集團(tuán)和第三方機(jī)構(gòu)附以相同的傳輸條件,有些對(duì)第三方機(jī)構(gòu)提出更為嚴(yán)格的監(jiān)管要求,有些嚴(yán)格禁止向第三方機(jī)構(gòu)提供金融數(shù)據(jù)。
由于經(jīng)濟(jì)體量、發(fā)展模式和水平的不同,各經(jīng)濟(jì)體采用了不同的監(jiān)管模式,制定了特色鮮明的數(shù)據(jù)跨境流動(dòng)監(jiān)管法規(guī)和制度。歐盟對(duì)數(shù)據(jù)收集、使用和傳輸持極為嚴(yán)格的監(jiān)管態(tài)度,而美國(guó)倡導(dǎo)在合法合規(guī)基礎(chǔ)下的數(shù)據(jù)流動(dòng)和共享。我國(guó)則居于二者之間。近年來,發(fā)達(dá)經(jīng)濟(jì)體、發(fā)展中國(guó)家通過數(shù)據(jù)監(jiān)管和司法主權(quán)在利益讓渡中進(jìn)行博弈,制定了大量本地區(qū)的數(shù)據(jù)監(jiān)管規(guī)則,并進(jìn)行廣泛推廣,值得我國(guó)借鑒和學(xué)習(xí)。
銀行業(yè)作為金融數(shù)據(jù)控制者中最有代表性的金融行業(yè),其全球化經(jīng)營(yíng)的特征也最為明顯,因此本文試圖通過分析歐盟對(duì)銀行跨境傳輸金融數(shù)據(jù)的有關(guān)規(guī)定,來探究歐盟模式下規(guī)制金融數(shù)據(jù)跨境流動(dòng)的立場(chǎng)與邏輯。
歐盟長(zhǎng)期以來都將“人權(quán)和隱私保護(hù)”作為其數(shù)據(jù)立法的重點(diǎn)。在相關(guān)法規(guī)沒有出臺(tái)前,各種原則性規(guī)定充當(dāng)著保護(hù)個(gè)人信息權(quán)利的最高準(zhǔn)則。例如《歐洲人權(quán)公約》第8條規(guī)定了個(gè)人隱私和通信自由,不受非法侵害的權(quán)利。1981年歐洲理事會(huì)通過了《關(guān)于自動(dòng)處理的個(gè)人數(shù)據(jù)保護(hù)公約》,成為全球有關(guān)數(shù)據(jù)保護(hù)的第一份具有國(guó)際約束力的國(guó)際法律文書,比較全面地規(guī)定了數(shù)據(jù)流動(dòng)的基本原則、跨境流動(dòng)的特殊規(guī)定和國(guó)際協(xié)調(diào)機(jī)制。1995年歐盟委員會(huì)通過了95/46/EC指令,進(jìn)一步促進(jìn)了個(gè)人隱私保護(hù)與成員國(guó)數(shù)據(jù)的自由流動(dòng)。2016年的《通用數(shù)據(jù)保護(hù)條例(GDPR)》基本替代了95/46/EC指令,增加了個(gè)人數(shù)據(jù)權(quán)利,對(duì)個(gè)人數(shù)據(jù)做了更為細(xì)致的分類和分級(jí),提出了比較系統(tǒng)的跨境數(shù)據(jù)流動(dòng)條件和程序。為了統(tǒng)一監(jiān)管,歐盟設(shè)立了歐盟數(shù)據(jù)保護(hù)委員會(huì)(以下稱EDPB)來解決成員國(guó)范圍內(nèi)的數(shù)據(jù)傳輸和監(jiān)管爭(zhēng)議。歐盟《支付服務(wù)指令I(lǐng)I》其中第94條明確規(guī)定,支付機(jī)構(gòu)獲取和傳輸個(gè)人支付數(shù)據(jù)時(shí)必須以95/46/EC指令為依據(jù),且需獲得個(gè)人的明確同意和授權(quán)。
與歐盟不同,美國(guó)采用“分行業(yè)、分層級(jí)”的立法模式,聯(lián)邦在各細(xì)分行業(yè)法案中規(guī)定了專門的數(shù)據(jù)和隱私保護(hù)條款,各州也會(huì)根據(jù)本州實(shí)際情況制定一些綜合性或?qū)iT性的隱私數(shù)據(jù)保護(hù)法規(guī)。其中涉及銀行等金融數(shù)據(jù)的相關(guān)法規(guī)主要包括以下幾部法案:
1933年的《聯(lián)邦證券法》規(guī)定了公司數(shù)據(jù)保護(hù)與防止泄露的義務(wù),成為金融消費(fèi)者保護(hù)的重要法規(guī)之一?!豆叫庞脠?bào)告法(2018年修訂)》規(guī)定了在信用報(bào)告機(jī)構(gòu)報(bào)告消費(fèi)者信用信息時(shí)需準(zhǔn)確及免受錯(cuò)誤信息影響的義務(wù)。1999年的《金融現(xiàn)代化法案》規(guī)定,非經(jīng)消費(fèi)者同意不能將非公開的個(gè)人信息用于對(duì)外共享和營(yíng)銷。2010年的《多德-弗蘭克華爾街改革和消費(fèi)者保護(hù)法》禁止對(duì)金融消費(fèi)者實(shí)施欺詐和不公平的交易行為,并設(shè)立了消費(fèi)者金融保護(hù)局專門進(jìn)行監(jiān)管和保護(hù)。2018年的《澄清海外合法使用數(shù)據(jù)法案》規(guī)定了域外數(shù)據(jù)管轄,通過雙邊協(xié)議和司法協(xié)助,用戶可直接訪問外國(guó)的電子數(shù)據(jù)。2019年的《國(guó)家安全與個(gè)人數(shù)據(jù)保護(hù)法提案》限制本國(guó)境內(nèi)企業(yè)和個(gè)人數(shù)據(jù)跨境流向。美國(guó)對(duì)數(shù)據(jù)采取了一定的保護(hù)措施,但其并不排斥數(shù)據(jù)跨境流動(dòng),反而注重?cái)?shù)據(jù)經(jīng)濟(jì)價(jià)值的最大化,為了實(shí)現(xiàn)這一目標(biāo),美國(guó)積極簽署諸多雙(多)邊貿(mào)易協(xié)定,以《美墨加協(xié)定》為例,其禁止數(shù)據(jù)存儲(chǔ)本地化,禁止限制合理范圍內(nèi)的跨境數(shù)據(jù)傳輸。
我國(guó)對(duì)于跨境數(shù)據(jù)傳輸一直持謹(jǐn)慎態(tài)度,相關(guān)立法明確規(guī)定了數(shù)據(jù)跨境傳輸及本地化的有關(guān)條款。近幾年,相關(guān)立法也在不斷完善,形成了“公法與私法并重”的雙軌立法模式,同時(shí)輔以行政法規(guī)、各行業(yè)部門規(guī)章及其他的規(guī)范性文件。
從上位法來看,我國(guó)《數(shù)據(jù)安全法》第21、31和36條將數(shù)據(jù)分級(jí)分類的具體權(quán)限下放至各行業(yè)部門,關(guān)鍵設(shè)施的數(shù)據(jù)存儲(chǔ)設(shè)備須位于我國(guó)境內(nèi),需要跨境傳輸?shù)臄?shù)據(jù)必須經(jīng)過國(guó)家有關(guān)部門的網(wǎng)絡(luò)和安全審查。至于基于國(guó)際司法協(xié)助產(chǎn)生的數(shù)據(jù)流動(dòng)請(qǐng)求,我國(guó)依照管理會(huì)審查雙邊有無相關(guān)條約、協(xié)定或者互惠先例。《數(shù)據(jù)安全法》還強(qiáng)調(diào)了相關(guān)主體在數(shù)據(jù)“收集、使用、處理”方面的安全義務(wù)及責(zé)任。此外,我國(guó)《個(gè)人信息保護(hù)法》詳細(xì)規(guī)定了有關(guān)信息收集、使用處理的基本原則、禁止性規(guī)定和補(bǔ)救措施。
中國(guó)人民銀行、銀保監(jiān)會(huì)和證監(jiān)會(huì)等部門出臺(tái)了大量的金融監(jiān)管規(guī)定。如《征信業(yè)管理?xiàng)l例》第24條規(guī)定了有關(guān)境內(nèi)征信信息本地化存儲(chǔ)和加工的基本原則,還提出了有關(guān)信息跨境提供時(shí)需滿足我國(guó)法律、行政法規(guī)和行業(yè)規(guī)定的基本要求,即符合必要性、合理性、合法性的要求?!吨袊?guó)人民銀行金融消費(fèi)者權(quán)益保護(hù)實(shí)施辦法》明確規(guī)定了個(gè)人金融信息的范圍,即身份信息、財(cái)產(chǎn)信息、賬戶信息、信用信息、交易信息及其他相關(guān)信息,第29條要求有關(guān)機(jī)構(gòu)在處理相關(guān)金融信息時(shí)應(yīng)當(dāng)遵循上述三個(gè)要求,給予消費(fèi)者相關(guān)信息收集、處理和使用的同意和知情權(quán),明確了有關(guān)機(jī)構(gòu)收集方式的透明性與合法性限度。
1.歐美監(jiān)管規(guī)則的博弈與合作。歐美在參與國(guó)際經(jīng)貿(mào)合作的同時(shí),也在積極推行自己的相關(guān)規(guī)則,爭(zhēng)奪國(guó)際數(shù)據(jù)治理話語權(quán)。歐盟自GDPR頒布實(shí)施以來,一改其嚴(yán)格的數(shù)據(jù)流動(dòng)規(guī)制,轉(zhuǎn)而積極向全球推廣“歐盟模式”,通過GDPR中數(shù)據(jù)傳輸?shù)摹俺浞中哉J(rèn)定原則”,給加拿大、日本等12個(gè)國(guó)家以“充分性”認(rèn)定,為這些經(jīng)濟(jì)體在實(shí)施同等數(shù)據(jù)保護(hù)水平基礎(chǔ)上與歐盟成員國(guó)進(jìn)行跨境數(shù)據(jù)傳輸?shù)於嘶A(chǔ)。美國(guó)在2011年推出“跨境數(shù)據(jù)自由流動(dòng)”模式,并將《跨境隱私規(guī)則》《全球跨境隱私規(guī)則宣言》成功上傳至APEC系統(tǒng)內(nèi)部,相較于GDPR,其數(shù)據(jù)保護(hù)門檻較低,執(zhí)行機(jī)制更富有彈性,作為推動(dòng)亞太地區(qū)數(shù)據(jù)流動(dòng)的區(qū)域性制度安排,成為許多國(guó)家參與國(guó)際數(shù)據(jù)治理的首選,這對(duì)歐洲模式進(jìn)入亞太地區(qū)帶來極大的挑戰(zhàn)。這兩種模式并非完全對(duì)立,它們?cè)诤芏喾矫娑加薪梃b和融合。歐盟過去的跨境數(shù)據(jù)流動(dòng)規(guī)則過于嚴(yán)格,不利于跨境數(shù)據(jù)流動(dòng)及其經(jīng)濟(jì)價(jià)值的發(fā)揮,在這一點(diǎn)上GDPR借鑒了美國(guó)模式的一些做法。而美國(guó)在跨境數(shù)據(jù)自由流動(dòng)的基礎(chǔ)上也制定了諸多關(guān)于個(gè)人隱私、國(guó)家安全的法規(guī),為有效降低數(shù)據(jù)跨境流動(dòng)風(fēng)險(xiǎn)提供保障。歐美通過談判簽署《歐美隱私盾協(xié)議》,旨在數(shù)據(jù)安全的前提下促進(jìn)兩地區(qū)數(shù)據(jù)跨境流動(dòng)。2020年7月,由于美國(guó)有關(guān)監(jiān)視制度不尊重歐盟公民權(quán)利,并將其國(guó)家利益置于歐盟公民個(gè)人利益之上,歐盟法院判決歐美之間簽署的“隱私盾”協(xié)議無效。所以歐盟和美國(guó)的新一輪談判還需對(duì)雙方的權(quán)利義務(wù)進(jìn)行重大修改。
表1 歐、美、印、中金融數(shù)據(jù)相關(guān)立法比較
2.發(fā)展中國(guó)家監(jiān)管規(guī)則的博弈與合作。雖然歐美等發(fā)達(dá)經(jīng)濟(jì)體具有國(guó)際數(shù)據(jù)監(jiān)管規(guī)則的主要話語權(quán),但發(fā)展中國(guó)家數(shù)字經(jīng)濟(jì)發(fā)展?jié)摿ψ?、體量大,后發(fā)制度和規(guī)則優(yōu)勢(shì)明顯,能夠形成符合自身發(fā)展?fàn)顩r的數(shù)據(jù)法規(guī)。由于發(fā)展水平不同,數(shù)據(jù)對(duì)不同國(guó)家的敏感和重要程度不同,發(fā)展中國(guó)家之間及與發(fā)達(dá)國(guó)家之間容易產(chǎn)生數(shù)據(jù)監(jiān)管沖突。但單就發(fā)達(dá)經(jīng)濟(jì)體的高標(biāo)準(zhǔn)規(guī)則而言,其又可成為發(fā)展中國(guó)家立法的藍(lán)本,有助于減少發(fā)展中國(guó)家的學(xué)習(xí)和試錯(cuò)成本。印度近年來先后推出大量有關(guān)個(gè)人數(shù)據(jù)保護(hù)及數(shù)據(jù)存儲(chǔ)本地化的法規(guī),并呈現(xiàn)“嚴(yán)格限制”的特點(diǎn)。2018年7月,印度監(jiān)管當(dāng)局發(fā)布了《個(gè)人數(shù)據(jù)保護(hù)法提案(2019)》,其在很大程度上借鑒GDPR中有關(guān)域外管轄權(quán)、敏感個(gè)人數(shù)據(jù)及個(gè)人可攜帶權(quán)、被遺忘權(quán)的規(guī)定。在數(shù)據(jù)監(jiān)管方面,印度和歐盟類似,但較歐盟更為嚴(yán)格,這在一定程度上有了與歐盟數(shù)據(jù)監(jiān)管當(dāng)局合作的基礎(chǔ)。但是對(duì)美國(guó)、中國(guó)和其他發(fā)展中國(guó)家而言則意味著更高更嚴(yán)的數(shù)據(jù)壁壘和合作成本。而且,印度相繼缺席APEC、RCEP、CPTPP等區(qū)域性貿(mào)易協(xié)定,不認(rèn)可有關(guān)自由貿(mào)易與數(shù)據(jù)跨境流動(dòng)的主張,無論是基于國(guó)內(nèi)產(chǎn)業(yè)保護(hù)還是國(guó)家安全、數(shù)據(jù)安全的考量,都無益于國(guó)家間的開放與發(fā)展。近兩年我國(guó)加大了對(duì)跨境數(shù)據(jù)的國(guó)家安全和個(gè)人隱私等方面的審查,在APEC跨境隱私規(guī)則框架下,我國(guó)又積極參與了亞太地區(qū)國(guó)家間“基于可信的數(shù)據(jù)流通”。
3.各國(guó)銀行監(jiān)管當(dāng)局的博弈與合作。在制定和實(shí)施數(shù)據(jù)流動(dòng)相關(guān)規(guī)則時(shí),各國(guó)金融監(jiān)管機(jī)構(gòu)都是基于本國(guó)的金融安全和穩(wěn)定來考量,而要維護(hù)全球銀行業(yè)穩(wěn)定,避免發(fā)生系統(tǒng)性金融風(fēng)險(xiǎn),則需要各國(guó)的共同努力。首先,為保護(hù)金融消費(fèi)者權(quán)益和本國(guó)的金融安全,各國(guó)不得不制定相關(guān)金融消費(fèi)者權(quán)益保護(hù)、數(shù)據(jù)安全法和反洗錢等方面的法規(guī)。其次,銀行機(jī)構(gòu)的跨國(guó)經(jīng)營(yíng)和國(guó)際監(jiān)管需要使各國(guó)監(jiān)管當(dāng)局合作和信息共享成為必然,巴塞爾協(xié)議對(duì)各國(guó)銀行監(jiān)管當(dāng)局提出了基本要求,即要積極推進(jìn)本國(guó)各部門之間合作與信息共享的恰當(dāng)安排,東道國(guó)與母國(guó)金融監(jiān)管當(dāng)局通過實(shí)行信息交換與分享的雙(多)邊安排,提高國(guó)際銀行業(yè)監(jiān)管的透明度,從而達(dá)到國(guó)際金融監(jiān)管合作與相關(guān)數(shù)據(jù)合規(guī)、安全跨境流動(dòng)的目的。
作為貿(mào)易與經(jīng)濟(jì)大國(guó),中國(guó)制定本國(guó)的數(shù)據(jù)監(jiān)管法律法規(guī),積極參與國(guó)際規(guī)則的制定與國(guó)際合作,在維護(hù)本國(guó)數(shù)據(jù)主權(quán)的基礎(chǔ)上,釋放數(shù)據(jù)的內(nèi)在價(jià)值具有重要意義。
我國(guó)雖有金融數(shù)據(jù)保護(hù)的基本法律和行業(yè)法規(guī)、規(guī)章,但是如何在具體運(yùn)用中將二者無縫銜接則是關(guān)鍵。第一,銀行金融數(shù)據(jù)分級(jí)分類應(yīng)與上位法保持一致,行業(yè)內(nèi)、企業(yè)間也應(yīng)該保持相關(guān)標(biāo)準(zhǔn)的相對(duì)一致性,按照《個(gè)人金融信息保護(hù)技術(shù)規(guī)范》中有關(guān)個(gè)人信息分級(jí)分類標(biāo)準(zhǔn),采取不同的跨境傳輸要求,明確個(gè)人數(shù)據(jù)權(quán)利屬性,使公民個(gè)人維權(quán)路徑多元化。第二,金融機(jī)構(gòu)在跨境金融數(shù)據(jù)傳輸過程中遵守法定義務(wù)及完善追責(zé)機(jī)制,能有效監(jiān)管數(shù)據(jù)控制、使用者的行為,保護(hù)數(shù)據(jù)安全。第三,在上位法的指引下,通過具體規(guī)則來補(bǔ)充金融機(jī)構(gòu)客戶信息和機(jī)構(gòu)數(shù)據(jù)跨境流動(dòng)監(jiān)管細(xì)則,實(shí)現(xiàn)銀行等金融機(jī)構(gòu)數(shù)據(jù)監(jiān)管的全覆蓋。第四,細(xì)化數(shù)據(jù)跨境流動(dòng)規(guī)則具體條文。我國(guó)相關(guān)法律法規(guī)對(duì)個(gè)人數(shù)據(jù)與其跨境傳輸?shù)囊?guī)定基本類似,即滿足“合法性、合理性、必要性”且不涉及國(guó)家安全,經(jīng)過審查后就可以跨境傳輸,但我國(guó)境內(nèi)收集的數(shù)據(jù)必須存儲(chǔ)在中國(guó)境內(nèi)。我國(guó)現(xiàn)行法律對(duì)“合法性”的規(guī)定較為詳細(xì),“合理性與必要性”方面則需要中國(guó)人民銀行和銀保監(jiān)會(huì)等部門,在考慮用途、目的、傳輸手段、業(yè)務(wù)類型、影響程度等要素的基礎(chǔ)上制定有針對(duì)性的審查標(biāo)準(zhǔn)。最后,明確數(shù)據(jù)法權(quán)屬性。我國(guó)有關(guān)法律規(guī)定中并沒有明確提出“個(gè)人數(shù)據(jù)權(quán)利屬性”,不利于個(gè)人數(shù)據(jù)的權(quán)利保護(hù)。我國(guó)可借鑒歐美等國(guó)的做法,明確個(gè)人數(shù)據(jù)權(quán)利的屬性,以便于確定其對(duì)應(yīng)的救濟(jì)途徑,被侵害主體最終應(yīng)以“人身權(quán)”糾紛來維護(hù)自身的數(shù)據(jù)權(quán)益,還是以“財(cái)產(chǎn)權(quán)”糾紛來得到應(yīng)有的救濟(jì)。
目前,我國(guó)數(shù)據(jù)監(jiān)管主體呈現(xiàn)“分散式、多層級(jí)”的特征,銀行數(shù)據(jù)安全和跨境傳輸監(jiān)管的機(jī)構(gòu)眾多,既包括國(guó)家互聯(lián)網(wǎng)信息辦公室、國(guó)家安全領(lǐng)導(dǎo)機(jī)構(gòu),又包括中國(guó)人民銀行、銀保監(jiān)會(huì)等部門,再加上金融行業(yè)本身的分業(yè)特點(diǎn),形成了數(shù)據(jù)監(jiān)管主體之間權(quán)力交叉、重疊甚至沖突的監(jiān)管局面。
首先,為實(shí)現(xiàn)我國(guó)銀行業(yè)的統(tǒng)一、有序監(jiān)管,可以在人民銀行、銀保監(jiān)會(huì)、國(guó)家安全和其他有關(guān)部門合作的基礎(chǔ)上,通過各部門數(shù)據(jù)權(quán)利的讓渡,將金融數(shù)據(jù)權(quán)利集中到某個(gè)機(jī)構(gòu)統(tǒng)一監(jiān)管,其他銀行業(yè)務(wù)監(jiān)管則由原管轄機(jī)關(guān)負(fù)責(zé),由讓渡機(jī)關(guān)負(fù)責(zé)涉及本部門的監(jiān)管數(shù)據(jù)的備案、審核和監(jiān)督。
一方面各部門之間建立信息共享機(jī)制。銀行業(yè)務(wù)數(shù)據(jù)、機(jī)構(gòu)自身數(shù)據(jù)以及監(jiān)管部門的貨幣政策、宏觀微觀審慎監(jiān)管數(shù)據(jù)需要相互流動(dòng)和共享才能破除信息不對(duì)稱,實(shí)現(xiàn)監(jiān)管透明、一體的目標(biāo)。中國(guó)人民銀行、銀保監(jiān)會(huì)等監(jiān)管部門之間需要建立數(shù)據(jù)監(jiān)管合作與共享的便利化安排,簽訂相應(yīng)的共享協(xié)議,明確劃分各自的權(quán)利與義務(wù),按照數(shù)據(jù)類型和級(jí)別采取不同的衡量標(biāo)準(zhǔn)來共享數(shù)據(jù)。各部門可以在合作的基礎(chǔ)上,建立銀行監(jiān)管數(shù)據(jù)中心,納入統(tǒng)一監(jiān)管框架,所涉部門間可以通過相互授權(quán)使用數(shù)據(jù),銀行機(jī)構(gòu)則可以通過申請(qǐng)審查使用相關(guān)數(shù)據(jù)。
作為全球第二大經(jīng)濟(jì)體和貿(mào)易大國(guó),我國(guó)銀行分支機(jī)構(gòu)遍布全球,基于業(yè)務(wù)、母國(guó)和東道國(guó)的監(jiān)管要求,其數(shù)據(jù)跨境傳輸需求量十分龐大,其中有些是基于正常業(yè)務(wù)需要,有些是監(jiān)管當(dāng)局的要求,這些數(shù)據(jù)在符合有關(guān)法律法規(guī)的基礎(chǔ)上是可以正常傳輸?shù)摹5敲绹?guó)以國(guó)際政治、安全等理由對(duì)我國(guó)有關(guān)銀行機(jī)構(gòu)頻頻采用不合理的審查手段和制裁措施,嚴(yán)重制約我國(guó)銀行業(yè)國(guó)際化經(jīng)營(yíng)。2019年,美國(guó)對(duì)三家中資銀行分支機(jī)構(gòu)進(jìn)行調(diào)查,認(rèn)為三家機(jī)構(gòu)違反了《愛國(guó)者法案》,從而直接判決中資銀行向其提供本地存儲(chǔ)的相關(guān)客戶數(shù)據(jù)。這無疑侵害了我國(guó)的司法主權(quán)、數(shù)據(jù)主權(quán)和企業(yè)利益。我國(guó)應(yīng)以《中華人民共和國(guó)反洗錢法》《中華人民共和國(guó)反外國(guó)制裁法》《數(shù)據(jù)安全法》為支撐積極維護(hù)數(shù)據(jù)主權(quán)。首先,要積極回應(yīng)外國(guó)對(duì)我國(guó)的無端金融制裁和數(shù)據(jù)強(qiáng)制獲取,必要情況下可基于本國(guó)法律對(duì)外國(guó)機(jī)構(gòu)予以同等制裁,但要審慎使用,以防止引發(fā)一系列的金融風(fēng)險(xiǎn)。其次,通過金融、外交等官方部門與制裁國(guó)當(dāng)局進(jìn)行交涉,表明我國(guó)立場(chǎng),必要時(shí)可協(xié)助調(diào)查,堅(jiān)決維護(hù)中方金融機(jī)構(gòu)的合法權(quán)益和中國(guó)司法主權(quán)、數(shù)據(jù)主權(quán)完整與外國(guó)監(jiān)管機(jī)構(gòu)的合作與數(shù)據(jù)交換安排協(xié)議。最后,我國(guó)應(yīng)在放寬外資銀行準(zhǔn)入,推動(dòng)中國(guó)銀行機(jī)構(gòu)在境外設(shè)置分支機(jī)構(gòu)的同時(shí),做好國(guó)家安全、數(shù)據(jù)安全審查和反洗錢、反壟斷調(diào)查,營(yíng)造寬嚴(yán)相濟(jì)的金融和跨境數(shù)據(jù)流動(dòng)環(huán)境。
做好數(shù)據(jù)合規(guī)管理和風(fēng)險(xiǎn)控制,對(duì)促進(jìn)銀行高效監(jiān)管、推動(dòng)跨境數(shù)據(jù)合法、合理、必要的流動(dòng)和抵制外國(guó)政府不當(dāng)制裁具有重要意義。
一是加強(qiáng)數(shù)據(jù)合規(guī)治理。銀行作為數(shù)據(jù)控制者,要遵守國(guó)內(nèi)網(wǎng)絡(luò)安全、數(shù)據(jù)安全、個(gè)人信息保護(hù)、反洗錢等法律法規(guī)的相關(guān)義務(wù)。在此基礎(chǔ)上,制定集團(tuán)內(nèi)數(shù)據(jù)分類手冊(cè)、數(shù)據(jù)治理合規(guī)框架和操作標(biāo)準(zhǔn),定期開展數(shù)據(jù)合規(guī)審查。在跨國(guó)經(jīng)營(yíng)和數(shù)據(jù)傳輸過程中,做好東道國(guó)盡職調(diào)查工作,熟悉監(jiān)管當(dāng)局關(guān)于銀行合規(guī)經(jīng)營(yíng)和數(shù)據(jù)流動(dòng)的相關(guān)法規(guī),確保數(shù)據(jù)境內(nèi)外存儲(chǔ)和傳輸?shù)陌踩?、保密、合法、合?guī)。
二是完善風(fēng)險(xiǎn)控制機(jī)制。在合規(guī)經(jīng)營(yíng)的基礎(chǔ)上,銀行機(jī)構(gòu)還應(yīng)做好數(shù)據(jù)跨境流動(dòng)的風(fēng)險(xiǎn)預(yù)警與控制。要采取適當(dāng)?shù)募夹g(shù)保證數(shù)據(jù)存儲(chǔ)和使用的安全,在跨境傳輸過程中要確保其滿足“合法、合理、必要和目的正當(dāng)”的要求,接收方要做好數(shù)據(jù)保密和處理工作。應(yīng)做好風(fēng)險(xiǎn)隔離和業(yè)務(wù)審查,確保境內(nèi)外業(yè)務(wù)沒有涉及與東道國(guó)政治或經(jīng)濟(jì)利益沖突的制裁方;如果有,應(yīng)盡早與本國(guó)監(jiān)管當(dāng)局溝通,做好風(fēng)險(xiǎn)隔離,必要時(shí)應(yīng)做好被制裁準(zhǔn)備,如數(shù)據(jù)備份、替代性業(yè)務(wù)、機(jī)構(gòu)轉(zhuǎn)移、風(fēng)險(xiǎn)資金啟用,尋求替代性合作機(jī)構(gòu)等。
三是數(shù)據(jù)跨境要審慎傳輸。銀行數(shù)據(jù)跨境傳輸不能有求必應(yīng)。機(jī)構(gòu)首先應(yīng)審查其目的和用途是否正當(dāng),如果是日常業(yè)務(wù)需求或是母國(guó)監(jiān)管的需要,則符合母國(guó)和東道國(guó)的基本條件就可以進(jìn)行相關(guān)傳輸。如果屬于第三方審計(jì)機(jī)構(gòu)或東道國(guó)監(jiān)管的要求,則應(yīng)進(jìn)行審慎選擇,基于第三方審計(jì)傳輸需要母國(guó)與東道國(guó)的審查,對(duì)此應(yīng)是持附條件準(zhǔn)許的態(tài)度。對(duì)于東道國(guó)的監(jiān)管要求,如果是基于合理審查要求且符合母國(guó)相關(guān)數(shù)據(jù)保護(hù)法規(guī),則可以分享相關(guān)數(shù)據(jù)。如果是基于制裁或是涉及母國(guó)國(guó)家安全、個(gè)人隱私等關(guān)鍵數(shù)據(jù),則可以在拒絕的基礎(chǔ)上請(qǐng)求母國(guó)相關(guān)監(jiān)管機(jī)構(gòu)出面協(xié)商,最終不予傳輸或通過篩選和脫敏后予以傳輸。
數(shù)據(jù)作為各國(guó)經(jīng)濟(jì)發(fā)展的關(guān)鍵生產(chǎn)要素,具有不可估量的價(jià)值。銀行業(yè)作為一國(guó)戰(zhàn)略產(chǎn)業(yè),其數(shù)據(jù)更關(guān)乎國(guó)家安全與金融穩(wěn)定。我國(guó)應(yīng)在學(xué)習(xí)和借鑒歐美等國(guó)數(shù)字監(jiān)管規(guī)則的基礎(chǔ)上,制定符合本國(guó)國(guó)情的數(shù)據(jù)監(jiān)管法規(guī),積極利用雙(多)邊平臺(tái),倡導(dǎo)國(guó)際銀行監(jiān)管數(shù)據(jù)跨境流動(dòng)的中國(guó)方案。首先,我國(guó)可利用巴塞爾協(xié)議委員會(huì)平臺(tái),在“一帶一路”倡議下,與沿線國(guó)家銀行監(jiān)管當(dāng)局積極簽署雙邊監(jiān)管合作諒解備忘錄和監(jiān)管合作協(xié)議,細(xì)化銀行監(jiān)管數(shù)據(jù)交換、分享和保密條款。在此基礎(chǔ)上,可以試圖建立“一帶一路”框架下的區(qū)域性銀行監(jiān)管合作規(guī)則,在符合條件的情形下上傳相關(guān)規(guī)則至國(guó)際規(guī)則框架之中,形成跨境銀行監(jiān)管數(shù)據(jù)流動(dòng)的“區(qū)域樣板”。其次,各監(jiān)管當(dāng)局可以借鑒G20和APEC組織模式,確定正式或非正式會(huì)談形式的區(qū)域銀行業(yè)監(jiān)管組織框架,在維護(hù)本國(guó)數(shù)據(jù)主權(quán)和利益的前提下,與各國(guó)在銀行數(shù)據(jù)監(jiān)管和數(shù)據(jù)流動(dòng)方面達(dá)成共識(shí)。最后,我國(guó)在RCEP、CPTPP等多邊數(shù)字貿(mào)易協(xié)定與雙邊數(shù)字貿(mào)易協(xié)定的談判和修訂中,應(yīng)積極維護(hù)以中國(guó)為代表的發(fā)展中國(guó)家的利益,在銀行監(jiān)管和相關(guān)數(shù)據(jù)流動(dòng)條款中體現(xiàn)中國(guó)的主張和立場(chǎng),為包括銀行業(yè)在內(nèi)的數(shù)字服務(wù)業(yè)國(guó)際化發(fā)展奠定基礎(chǔ)。