为了深入落实国家大数据战略，推动大数据产业交流与合作，展示我国大数据产业最新发展成果，2019年6月4日至5日，由中国信息通信研究院、中国通信标准化协会主办，大数据技术标准推进委员会承办的2019大数据产业峰会在北京国际会议中心隆重开幕。6月5日，大数据安全论坛隆重举行。
金老师的演讲内容特别丰富 不仅为我们详细地解析了医疗行业个人信息保护自身的特点和应当关注的重点，也从基于健康医疗数据安全指南标准的内容为我们介绍了在医疗健康行业数据保护的措施和工具上的选择和应用。无独有偶，金融行业作为信息密集型和价值密集型行业，金融业领域的大数据安全保护同样引人关注，下面有请对外经济贸易大学数字经济与法律创新研究中心执行主任许可博士，他的演讲主题是“金融数据的二元性：破解安全与利用的悖论”，有请许博士。
对外经济贸易大学数字经济与法律创新研究中心执行主任 许可
感谢陈主任的介绍，也非常荣幸能有机会在这里和大家分享我们关于金融数据的想法。在开始演讲之前，我想稍微再多说两句，为什么以金融数据作为讨论的对象。我们都知道整个的数据研究和数据的立法，在传统来说都是大数据，都是Big Data，像欧盟的GDPR里讲的一般数据或者通用数据的保护。但是我们越来越发现，随着我们的研究和产业的发展，传统的将数据一揽子的保护或者同等的保护是不太适应现状的，我们发现数据必须遵循着它所使用的场景进行在不同场景下的保护。实际上我们看欧洲和美国的大数据发展产业，非常清楚地看到在欧洲试图建立一个一揽子的统一的数据保护框架，而在美国，它的数据的保护侧重于一些特殊的领域，比如说金融、医疗健康、通信，但是从后果来看，大一统地采取一部法律来管理所有的数据风险的这么一种做法并不是那么有助于整个数据行业的发展。刚才金老师谈到了数据的分级分类，在分级分类的基础之上再进一步的立法当中我一直倡导的观点是说能不能分级分类分行业？这个“行业”实际上就是金融行业、医疗行业，未来可能有更多的行业类型，但是无论如何，将数据进行一个统一的适用所有的数据类型显然是不符合现在产业发展的。
正因如此，我们要去深入到不同的应用场景之中去探讨数据的保护和数据利用这一对非常复杂的矛盾。谈到金融数据，首当其冲的一个问题是到底什么是金融数据，金融数据有几个界定，传统的界定来说，就像我们都知道中国金融监管是主体监管，或者简单说叫持牌机构，它是有金融监管部门——银保监、央行来去发的一些牌照，只有持有金融牌照的这些机构在开展业务时获取保存使用转移的个人数据和非个人数据才构成金融数据，这是传统的金融数据定义。实际上金融数据定义在美国也是这样，但是他们叫金融隐私。但是随着金融的泛化，尤其是互联网金融的兴起，我们发现越来越多的主体参与到了金融的服务之中，以至于现在的整个监管部门的思路已经从产生的主体监管，我只管那些持牌机构，慢慢向功能监管或者行为监管演进。里面的核心问题就是说尽管你不是金融机构，但是你从事的叫作金融性质的活动，你可能也会受到《金融法》和金融监管部门的监管。在现代的金融数据里面已经突破了持牌机构，不是只有持牌机构的数据才叫金融数据，那些非持牌机构或者叫类金融机构，比如现在各个地方金融局所监管的小贷公司、典当行，都有可能成为金融活动的主体，我们现在讨论金融数据的时候不太限于传统的金融机构，而是向类金融机构拓展，这是基本的界定。
谈论金融数据的时候有两个不同的类别，我们要分类，第一个类别是个人金融数据和个人有关的，还有非个人金融数据。实际上大家关注的焦点始终落在金融数据上，对于非个人金融数据，银保监，包括之前的银监会出台了很多关于金融数据的管理办法，更多的是从如何大化地去管理金融数据的价值，保证它的安全出发。这里面现在说比较简单，但是在个人金融数据的领域非常复杂，因为涉及到很重要的一种利益，就是我们个人的隐私。所以在金融数据的讨论之中，在立法和学术的研究之中，非常重要的问题，最关键的问题不是金融非个人数据，而是个人金融数据或者叫金融个人数据。什么叫金融个人数据？一般来说它分成几种类型：首先是个人的身份信息，这个毫无疑问，我们去银行办理业务，他们要填一个表，申请一个信用卡要填表，这个表里把这些业务全部列出来了，个人财产信息，比如我们到银行申请贷款，就要提供你所有资产的证明，个人的账户信息，很简单，我们的银行开户，会有证券公司开户，我们就会有这些信息。信用信息，主要反映的是信用卡的还款情况，大家一定要注意这是非常狭义的信用信息，还有金融的交易信息，这里面进行了哪些金融的转账和第三方或者是和其他的卡相互之间的交易等等，最后还有衍生信息。
无论是哪些信息，有一点是肯定的，就是它必须是能够识别到特定的自然人或者与自然人相关联。这些信息林林总总，我们会看到它很重要的一个特征，它是一个敏感信息，在我国的《数据保护法》《网络安全法》类似的规定里面都有要求，数据包括一般信息或者一般数据或者敏感数据，所谓敏感数据是指一旦泄露滥用都会导致人身财产安全的威胁，极易引发个人名誉、身心健康遭到损坏或者歧视性待遇的个人信息，如果用刚才金老师所说的“三分法”，讲的是说敏感信息的泄露或者不当利用会导致你的安全造成损害，而不是简单保密性问题，所有数据三性问题之外如果产生泄露不仅仅伤害的是数据本身的三性，而且还有数据主体或者是整个社会的这么一种安全。所以在敏感数据和一般数据的分类中我们发现，金融数据基本上都属于敏感数据。《国家标准国家信息安全规范》里面谈到了银行的账号鉴别的信息、存款信息、房产信息、信贷信息、交易流水记录这些都属于个人的敏感信息，所以我们用这个界定反过头来去看刚才我们所说的个人金融数据的话，就发现几乎所有的金融数据都会落在敏感信息的这么一个场景下，其实好理解，我们每个人都不愿意告诉别人自己有多少钱、多少套房子，相对来说确实是比较敏感的。但是这种敏感除了出于个人隐私的考虑之外，更重要的是说我们担心这种信息一旦被泄露就会导致你的人身财产安全受到威胁。我们都知道山东非常悲惨的女孩的故事，徐玉玉为什么会被诈骗？很简单，因为她被黑客攻击数据库之后，发现国家会给她一个奖励，这个实际上就是财产信息，她就被黑客诈骗了。财产信息可能和你的财产是密切相关的，所以它确实属于一个个人的敏感信息。
正是因为如此《人民银行关于银行业金融机构做好个人金融信息保护工作的通知》《大数据个人金融信息保护技术规范》，后面一个正在制定过程之中，这里列出两个，还有不少关于金融数据和金融信息的保护的法律法规、规范性文件都是从高度敏感性出发，将尽可能保护金融信息不被第三人知悉、不泄露安全作为金融信息、金融数据的核心的基本原则。这里面特别谈到了确保安全、选择同意，既然是个人的核心利益，自然要大程度地去尊重每个人，刚才金老师谈到在医疗行业一定要保护你的自主同意，其实也很类似，如果说医疗行业损害的可能是你的身体的话、你的人身权的话，金融行业数据滥用可能导致你的财产权受到损害，从现在的法律规范来看，都将选择同意、确保安全作为基本的要求和核心的要求。但是这里面提出一个问题，如果我们仅仅将金融数据理解成是高度保密的，或者叫高度敏感的，可能导致的问题是说数据利用不足，我们可以将整个的数据看成这么一个相互对立的，或者是相互对应的两个方向，一个方向是保密，一个方向是利用，或者一个方向是安全，一个方向是利用。我们可以这么看，如果是安全的，很简单，我们就锁在一个盒子里面，尽可能少让人接触，让它保持一个不被外界所探知的这么一个境地，那就好了，这是大程度的保护安全。但是另一方面它会削弱你的应用，因为没有人能看到这个数据，没有人将这个数据和其他数据进行融合，不存在数据的加工，不存在数据和其他数据的汇聚，自然就没有利用。
如果我们仅仅看到了金融数据的敏感性，而忽略了金融数据的其他面向，比如利用的面向，就会对它的金融发展产生不利的影响。比如刚才选择同意这么一个原则，只有主动点击同意或者签字，否则是不允许收集我的数据，这么一种对于金融数据的规则的设置，可能会导致金融风险的上升，这是我的一个结论，有论据支撑吗？实际上是有的。
我们先看一个营商环境报告，我们都知道今年世行2019年全球营商环境报告的排名中，中国有一个大幅的跃升，中国现在位居46位，直接上升了32位。关于营商环境的提升，我不知道大家清不清楚这件事情，从国务院到各地方都在通过很多的制度改进，包括法律的修改来去促进营商环境的提升、营商环境的优化。在营商环境里面有一个特别重要的指标或者一个重要的内容是获得信贷。中国是一个非常金融抑制的国家，大量的信贷是流向到了国有企业，而中小企业、小微企业、个体工商户实际上是没有办法拿到信贷的，没有办法获得信贷就不可能去从事经营活动，因为资金是整个经营活动的血液，没有资金就做不了事情，所以在营商环境报告里面获得信贷是一个非常重要的指标。获得信贷怎么实现？怎么保证你能够获得信贷？在营商环境报告里面引用了著名的一篇文章，这篇文章是2004年的，作者是著名的经济学家Shleifer，世行引用这篇文章指出，获得信贷要强烈依赖于一个条件，红线跳出来了，信息的共享。我只有知道你的财产信息怎么样、信用记录怎么样、在哪儿住、联系方式是什么，等等，我才愿意把钱贷给你。对于大企业来说可能不需要，对于大企业、对于国有企业来说，我有抵押品、有股权质押，有质押品、有抵押品就可以提供很多的获得信贷的担保，但是对于小企业来说，对于小微企业来说，他只能通过大量的信息披露来去获得信贷。这就是世行报告最基础的，在获得信贷领域最基础的理论基础，谈到的它必须是一个信息的共享。这是世行报告的例子。
这边还有一个例子，这个例子很有意思，这个例子发生在美国加州。这是加州的地图，加州从南到北是一个非常狭长的州。在加州有不同的城市，这些不同的城市对于金融信息的保护程度是不同的，有些城市是说对于金融信息的共享和利用必须要经过你的民事同意，刚才谈到的opt in的机制，必须打钩或者签名表示民事同意，你的数据才可以和其他人共享，才允许其他人对你的数据进行使用。有的相反，不需要民事同意，只要漠视同意就可以了，opt out的机制。opt in和opt out机制在不同地区产生不同的影响，这篇论文是在金融危机之后的论文，通过比较不同地区对于金融数据保护方式的不同发现一个很有趣的结果，就是在金融数据强保护，必须选择同意的时候金融风险上升了，为什么？它的解释也很有意思，他说如果你可以进行允许，不允许对方去分享你的数据，大家为了拼命竞争，因为我要拉客户，因为我不允许竞争数据就意味着我的数据只能在我的银行或者我的金融机构里面进行放贷，这个时候为了去锁定客户，他就会倾向于给客户一些信贷，但是这种信贷缺乏信息导致了信贷的质量下降，风险风控能力下降，导致了2008年以后的违约率的上升，金融危机造成违约率上升，这就是一个很有趣的例子。opt in这么一种机制和opt out相比有可能降低信贷质量，提升金融风险。
正因如此，我们要重新思考一下金融数据，它确实是高度敏感性的，毫无疑问，它关系到每个人的隐私，同时对于金融数据的这么一种滥用或者是泄露可能会造成你的财产安全受到威胁，属于高度敏感性，但是另一方面有公共性的层面，金融数据很多时候并不是为了你而存在的，他是为了第三方而存在的，为了那些金融机构为你提供服务而存在的，所以这里面的核心观点是说金融数据可能是金融信用的基础，而金融信用是管理金融风险的关键。我们都知道获得信贷，或者刚才谈到的金融产品的供给，它是依赖于一个信用作为基础的，但是没有信息，当你在很多的小企业、很多的个人，在没有充分抵押品、没有充分信用担保的情况下，我只能依赖于经由信息而产生的信用，所以我这里面的想法是说，我们能不能再重新认识金融数据，将敏感性作为一个维度，而将公共性作为另外一个维度去放松选择同意的要求，采取一些漠视同意或者是为防控风险所必需的灵活事由，来促进数据的流动。
就分享到这里，谢谢大家。
热门专题
