兰台商规 | 个人金融信息处理的公私平衡 ——如何理解“为履行法定职责或者法定义务所必需”
发布日期:
2023-03-01

前文《全周期总结:个人金融信息保护的特别要求》已经就个人金融信息的内容与分类、分类分级特点、生命周期的生命环节及其特殊要求进行对比讨论,也按环节对法律规定、国家标准与行业标准提出的个人金融信息保护要求进行了初步总结,本文将接续以讨论在实务中个人金融信息保护相关的一些争议问题。

《个人信息保护法》第十三条[1]明确有个人信息处理者无需取得个人同意即可处理个人信息的若干情形,适用于个人金融信息的处理。实务中,个人金融信息的处理场景常面对公权私益的平衡,对于《个人信息保护法》第十三条第(三)项“为履行法定职责或者法定义务所必需”这一情形的适用较为常见,却也较容易产生适用上的疑问。

一、 “为履行法定职责或者法定义务所必需”包含履行“法定职责”与“法定义务”两种不同情况

为履行法定职责或法定义务实际包含了两种情况,法定职责的情况是指法律规定处理者负有特定公共任务,而法定义务的情况是指法律规定处理者对于处理行为负有义务,其不能拒绝处理个人信息[2]。在这两种情况下,个人信息处理者无需征得同意就可以进行个人信息处理。

举例而言,公安机关对经济犯罪进行侦查活动中要求特定金融机构协助查询某个人信息主体在本机构的存款信息,从公安机关的角度,其属于履行法定职责,依据《民事诉讼法》第一百四十四条第一款规定的“人民检察院、公安机关根据侦查犯罪的需要,可以依照规定查询、冻结犯罪嫌疑人的存款、汇款、债券、股票、基金份额等财产。有关单位和个人应当配合”,无需征得该个人信息主体的同意,是否告知特定个人信息主体将取决于告知会否影响侦查,对应《个人信息保护法》第三十五条规定的除外情形,即“有法律、行政法规规定应当保密或者不需要告知的”、“告知将妨碍国家机关履行法定职责的”。而对于被要求提供信息的金融机构,则属于履行“法定义务”,依据也为《民事诉讼法》第一百四十四条第一款“…有关单位和个人应当配合”。

二、 “为履行法定职责所必需”的主体范围包括国家机关,也包括具有公共管理职能的组织,但二者取得信息的强制性程度应有差异

履行法定职责的主体包括国家机关,这一般少有争议,而按照《个人信息保护法》第三十七条规定:“法律、法规授权的具有管理公共事务职能的组织为履行法定职责处理个人信息,适用本法关于国家机关处理个人信息的规定”,综合参考《数据安全法》第五章“政务数据安全与开放”规定了国家机关为履行法定职责进行数据处理的相关原则与要求,该章节最后一条,第四十三条明确“法律、法规授权的具有管理公共事务职能的组织为履行法定职责开展数据处理活动,适用本章规定”,笔者理解,对“履行法定职责所必需”适用的主体范围应解释为包括国家机关,也包括“具有公共管理职能的组织”。

在取得信息的强制性程度方面,公安机关为了侦查犯罪取得个人金融信息,其强制性程度相对较高,法律规定相关单位和个人“应当”配合,毕竟刑法保护的法益除了个人信息主体的私益以外,也包括国家利益、公共秩序、单位与集体利益,以及保护个人的生命安全,履行职责受阻可能危害这些法益。具有公共管理职能的组织履行的职责重要性、危害后果弱于前者,所以有学者认为这类组织强制处理个人信息的必要性低于国家机关,个人不同意或拒绝提供,具有公共管理职能的组织不能采取强制手段[3]。

三、 如何理解“无需取得个人同意”

“无需取得个人同意”不等于免予“告知”。根据《个人信息保护法》第三十五条、第三十七条的规定,国家机关和法律、法规授权的具有管理公共事务职能的组织为履行法定职责处理个人信息,也应当按照该法规定履行告知义务,只有在符合“法律、行政法规规定应当保密或者不需要告知的”或“告知将妨碍履行法定职责”的情况下,才可以不进行告知。

因此,《个人信息保护法》第十三条在特定情况下作为取得个人“同意”的豁免,却不能等同于“告知-同意”的全部豁免,即使是国家机关在履行法定职责处理个人信息的情况下仍然以告知为原则,以符合条件的不告知为例外,那么金融机构等个人金融信息处理者在履行法定义务时若符合“无需取得个人同意”,也当然不会直接得出一并免予告知的结论,仍需具体情况具体分析。

四、  “为履行法定职责或者法定义务所必需”的场景分析

具体场景中,建议个人信息处理者判断是否是在履行法定职责或法定义务时要区分处理环节匹配依据,以下暂以反洗钱的法定职责与法定义务信息收集/提供环节为例:

【法定职责主体】国务院反洗钱行政主管部门或者其省一级派出机构

【法定职责依据】

《反洗钱法》第二十三条第一款

国务院反洗钱行政主管部门或者其省一级派出机构发现可疑交易活动,需要调查核实的,可以向金融机构进行调查,金融机构应当予以配合,如实提供有关文件和资料。

《反洗钱法》第二十五条第一款

调查中需要进一步核查的,经国务院反洗钱行政主管部门或者其省一级派出机构的负责人批准,可以查阅、复制被调查对象的账户信息、交易记录和其他有关资料;对可能被转移、隐藏、篡改或者毁损的文件、资料,可以予以封存。

【法定义务主体】金融机构和特定非金融机构

金融机构:从事金融业务的政策性银行、商业银行、信用合作社、邮政储汇机构、信托投资公司、证券公司、期货经纪公司、保险公司以及国务院反洗钱行政主管部门确定并公布的从事金融业务的其他机构。

特定非金融机构:

(一)房地产开发企业、房地产中介机构销售房屋、为不动产买卖提供服务。

(二)贵金属交易商、贵金属交易场所从事贵金属现货交易或为贵金属现货交易提供服务。

(三)会计师事务所、律师事务所、公证机构接受客户委托为客户办理或准备办理以下业务,包括:买卖不动产,代管资金、证券或其他资产,代管银行账户、证券账户,为成立、运营企业筹集资金,以及代客户买卖经营性实体业务。

(四)公司服务提供商为客户提供或准备提供以下服务,包括:为公司的设立、经营、管理等提供专业服务,担任或安排他人担任公司董事、合伙人或持有公司股票,为公司提供注册地址、办公地址或通讯地址等。

【法定义务依据】

《反洗钱法》第三条

在中华人民共和国境内设立的金融机构和按照规定应当履行反洗钱义务的特定非金融机构,应当依法采取预防、监控措施,建立健全客户身份识别制度、客户身份资料和交易记录保存制度、大额交易和可疑交易报告制度,履行反洗钱义务。

《反洗钱法》第二十三条第一款(同上)

《反洗钱法》第三十四条(履行反洗钱义务的金融机构范围)

《反洗钱法》第三十五条  应当履行反洗钱义务的特定非金融机构的范围、其履行反洗钱义务和对其监督管理的具体办法,由国务院反洗钱行政主管部门会同国务院有关部门制定。

银办发〔2018〕120号《中国人民银行办公厅关于加强特定非金融机构反洗钱监管工作的通知》(履行反洗钱义务的特定非金融机构范围)

上述主体范围、信息范围及对应依据,将适用于反洗钱工作中反洗钱行政主管部门调查“收集”和金融机构、特定非金融机构向前述部门“提供”这一环节。存储亦为处理环节之一,义务机构在应对“存储”时,其相应义务依据应有变化,比如时限依据则应符合《反洗钱法》第十九条第三款,即“客户身份资料在业务关系结束后、客户交易信息在交易结束后,应当至少保存五年”。同理,笔者认为,义务机构应当确保对特定资料的存储满足特定时间,该时长无需取得特定个人的同意,但应当就本机构将要存储的时间告知个人。

再如大额可疑交易报告工作,义务机构依据《中华人民共和国反洗钱法》《中华人民共和国中国人民银行法》《中华人民共和国反恐怖主义法》《金融机构大额交易和可疑交易报告管理办法》等法律法规进行大额交易和可疑交易报告时,报送要素内容包含个人金融信息,不是响应特定机关现时提出的调查要求,而是义务机构主动对符合条件者定时报送,此时也属于履行法定义务的场景,无需取得个人同意,但作为报送要素的特定个人金融信息在获取时应是合法收集,如为特定业务收集,则需要遵循《个人信息保护法》的要求取得该信息被用于特定业务的“告知-同意”,且应同步对个人信息主体就无需同意的场景履行必要的告知义务。

个人金融信息处理者应避免过度扩大解读《个人信息保护法》第十三条“为履行法定职责或者法定义务所必需”的范围,也应注意理解无需取得个人同意也非不是禁止取得个人同意,在设计对客协议、产品个人信息保护规则时,除了业务场景和外包等合作场景之外,也应提前考虑配合调查、审计、依法报送等涉及个人金融信息处理的特殊场景,提前设置条款明确告知,并在具备条件的情况下取得用户同意,充分保障个人信息主体的权益,妥善处理公权与私益的平衡难题。

[1]《个人信息保护法》第十三条

符合下列情形之一的,个人信息处理者方可处理个人信息:

(一)取得个人的同意;

(二)为订立、履行个人作为一方当事人的合同所必需,或者按照依法制定的劳动规章制度和依法签订的集体合同实施人力资源管理所必需;

(三)为履行法定职责或者法定义务所必需;

(四)为应对突发公共卫生事件,或者紧急情况下为保护自然人的生命健康和财产安全所必需;

(五)为公共利益实施新闻报道、舆论监督等行为,在合理的范围内处理个人信息;

(六)依照本法规定在合理的范围内处理个人自行公开或者其他已经合法公开的个人信息;

(七)法律、行政法规规定的其他情形。

依照本法其他有关规定,处理个人信息应当取得个人同意,但是有前款第二项至第七项规定情形的,不需取得个人同意。

[2]《论个人信息保护与利用的平衡》,申卫星,中国法律评论公众号2021-10-26发布,《中国法律评论》2021年第5期合集,网址https://mp.weixin.qq.com/s?__biz=MzA5NDI0MzgyMA==&mid=2651907315&idx=1&sn=695e5193f343e4125ce32a1fa9a9f271&chksm=8bb5da70bcc253669c8585003d12bb38f3570a55e8112c3b60a9a3f213ae25ef8e3b8215834f&token=1583043874&lang=zh_CN#rd,浏览时间2023-02-19。

[3]《论个人信息处理中无需取得个人同意的情形》,程啸、王苑,2021-08-14 16:50天津来源:澎湃新闻·澎湃号·政务,https://www.thepaper.cn/newsDetail_forward_14043607