作者:丁宇翔
來源:《中國應用法學》2022年第6期
發(fā)布時間:2022-06-27 22:49:47


隨著中國證券市場的不斷發(fā)展壯大以及銀行業(yè)務(wù)的證券化發(fā)展,[1]中國金融市場中的證券投資者數(shù)量持續(xù)攀升。[2]這意味著證券領(lǐng)域個人信息的保護需求也將不斷顯現(xiàn)和提高。在證券發(fā)行和交易場景下,單就主體而言,投資者、上市公司高管等都是典型的信息主體,證券公司、證券交易所、上市公司等都是典型的信息處理者,上述信息主體與信息處理者在證券發(fā)行和交易中存在多種可能的法律關(guān)系,并且都會涉及個人信息的處理,在實際處理中有很強的特殊性。就個人信息的內(nèi)容而言,有交易流程信息如委托、成交、清算信息等,有交易種類信息如融資融券、轉(zhuǎn)融通、股票質(zhì)押信息等。這些不同種類的個人信息在保護強度、保護規(guī)則及保護例外方面均有差別。[3]職是之故,證券發(fā)行和交易場景下,個人信息的保護會面臨很多復雜局面,尤其是在裁判實踐中如何應對這種特殊性和復雜化,值得予以關(guān)注和研究。
一、多重法律關(guān)系視角下證券發(fā)行交易需要處理的個人信息
(一)證券發(fā)行中需要處理的個人信息及其類型
證券發(fā)行階段,證券的發(fā)行人為募集資金或變更股權(quán)結(jié)構(gòu),需依法向投資者以同一條件招募和出售證券。以最典型的公開發(fā)行股票為例,在此過程中,在發(fā)行人端,發(fā)行人需要聘請中介機構(gòu)完成審計報告、法律意見書等諸多事宜,這就構(gòu)成了發(fā)行人分別與中介機構(gòu)之間的服務(wù)合同和保薦合同關(guān)系。在準備就緒正式發(fā)行股票時,需要與證券公司簽訂承銷協(xié)議,從而形成委托代理關(guān)系。同時,還需要與銀行簽訂代收股款協(xié)議,從而形成委托合同關(guān)系。在履行上述法律關(guān)系義務(wù)中,發(fā)行人需要處理來自三個方面的個人信息:一是處理來自發(fā)行人股東和實控人方面的個人信息。主要有自然人實控人及持股5%以上的自然人股東的國籍、永久境外居留權(quán)信息、身份證號碼、住所等;自然人控股股東和實控人直接或間接持有發(fā)行人的股份是否存在質(zhì)押或其他爭議的信息。此外還有前十名自然人股東及其在發(fā)行人處擔任職務(wù)的信息等。二是處理來自發(fā)行人的高級管理人員和核心技術(shù)人員的個人信息。主要是上述人員的姓名、國籍及境外居留權(quán)、性別、年齡、學歷、職稱、主要業(yè)務(wù)經(jīng)歷、曾經(jīng)擔任的重要職務(wù)及任期、現(xiàn)任職務(wù)及任期、核心技術(shù)人員的主要成果及獎項,最近一年從發(fā)行人及其關(guān)聯(lián)企業(yè)領(lǐng)取收入及所享受的其他待遇和退休金計劃信息,兼職信息,相互之間存在親屬關(guān)系的信息,與發(fā)行人所簽協(xié)議、重要承諾及其履行等信息。[4]此外,鑒于發(fā)行人高級管理人員,尤其是某些標志性高管人物,如巴菲特之于伯克希爾,對于公司業(yè)績的重要性,標志性高管人物的健康信息,也可能成為需要處理的個人信息。[5]三是處理來自中介機構(gòu)特定人員及其關(guān)聯(lián)人員的個人信息。主要是披露保薦機構(gòu)保薦代表人及其配偶、董監(jiān)高擁有發(fā)行人權(quán)益及在發(fā)行人處任職的信息,保薦機構(gòu)控股股東、實控人、重要關(guān)聯(lián)方與發(fā)行人控股股東、實控人、重要關(guān)聯(lián)方相互提供擔?;蛉谫Y的信息,在投資者說明會、業(yè)績說明會、路演等投資者關(guān)系活動中機構(gòu)調(diào)研人員的行蹤信息等。[6]
在發(fā)行人與投資者之間,主要是一級市場的證券買賣法律關(guān)系,同時也有發(fā)行人與證券公司的委托代理關(guān)系(已如前述),還有投資者與證券公司之間的委托代理關(guān)系(下文詳述)。該法律關(guān)系中需要處理的個人信息主要是投資者在一級市場的交易信息,包括交易委托、成交、委托撤銷、價格、數(shù)量、交易方式等信息。
在投資者端,投資者要購買新股,必須通過證券登記結(jié)算機構(gòu)開立用于準確記載其所持的證券種類、名稱、數(shù)量及相應權(quán)益和變動情況的證券賬戶。同時,投資者還需要通過證券公司開設(shè)專門用于證券交易用途的資金賬戶,通過該賬戶證券公司對投資者證券買賣交易進行前端控制以及清算交收和計付利息等。而證券公司也要對投資者進行適當性審查。此外,投資者還必須通過銀行開立用于存放和管理其證券買賣用途的交易結(jié)算資金的銀行賬戶。于是,投資者就分別與登記結(jié)算機構(gòu)、證券公司、銀行之間建立了服務(wù)合同或委托合同關(guān)系。上述法律關(guān)系中需要處理的個人信息主要有:賬戶信息,如賬戶編碼、賬戶開通和撤銷時間、姓名、身份證號碼、賬戶狀態(tài)、簽約狀態(tài)、資金轉(zhuǎn)出上限和下限等;鑒別信息,如登錄密碼、賬戶查詢密碼、交易密碼、驗證碼、動態(tài)口令、短信驗證碼、密碼提示問題答案等;資產(chǎn)信息,如收入來源和數(shù)額、資產(chǎn)、債務(wù)等;投資信息,如投資經(jīng)驗、投資目標、風險偏好及可承受的損失、誠信記錄等信息。[7]
(二)證券交易中需要處理的個人信息及其類型
證券交易階段,投資者將在法定的交易場所,按照特定的交易規(guī)則,對依法發(fā)行并交付的證券進行買賣流通。在此過程中,除投資者之間成立證券買賣法律關(guān)系之外,投資者還將分別與證券公司成立委托代理關(guān)系。在信用交易的情況下,投資者還將與證券公司成立借貸關(guān)系。這些法律關(guān)系中需要處理的個人信息主要有:資產(chǎn)變動信息,如持倉變動、在途資金、資金變動、積分及其變動等;交易方式信息,如集中競價交易、協(xié)議轉(zhuǎn)讓、大宗交易、做市交易、回購交易等;信用交易信息,如融資金額、融券數(shù)額、應還的回購證券款、應還的融資本金、利息、罰息、應還的融券市值、強行平倉記錄等;場內(nèi)合約信息,如轉(zhuǎn)融通、股票質(zhì)押、債券回購、報價回購、約定購回合約等。
需要指出的是,由于持續(xù)信息披露要求的存在,證券發(fā)行階段所處理的股東和實控人信息、高管及核心技術(shù)人員信息、中介機構(gòu)特定人員信息在證券交易中還可能被多次處理。比如,年度報告中仍然需要披露持股5%以上股東、控股股東及實控人信息,高管的任職、持股變動、報酬等信息。同時,投資者在發(fā)行階段的賬戶、身份信息等基礎(chǔ)個人信息,在其后的二級市場仍然使用,故在證券交易中也會被證券公司、證券登記結(jié)算機構(gòu)、證券交易所、交易結(jié)算資金賬戶銀行等信息處理者多次處理。
二、證券發(fā)行交易中個人信息保護規(guī)則適用的結(jié)構(gòu)性約束
(一)證券發(fā)行交易中個人信息的雙重交織
在證券發(fā)行和交易中需要處理上文分析列明的諸多個人信息,呈現(xiàn)出敏感個人信息、非敏感個人信息與個人金融信息、非金融信息雙重交織的面相。
一方面是敏感個人信息與非敏感個人信息的交織。按照敏感程度,即造成侵害和危害后果上的容易性程度,[8]個人信息被區(qū)分為敏感個人信息和非敏感個人信息。對于敏感個人信息要符合《中華人民共和國個人信息保護法》(以下簡稱《個人信息保護法》)第28條第2款規(guī)定的特別要求方可予以處理,并給與更為便捷和低成本的保護。[9]從《個人信息保護法》第28條第1款的列舉內(nèi)容看,金融賬戶被作為敏感個人信息。因此,上述證券發(fā)行交易中證券賬戶、資金賬戶、銀行賬戶信息應屬于敏感個人信息。但是,證券發(fā)行交易中還有諸如自然人股東及其在發(fā)行人處擔任職務(wù)的個人信息、發(fā)行人高管的業(yè)務(wù)經(jīng)歷信息、核心技術(shù)人員的成果信息等很多其他個人信息,依照“致害風險+風險概率”這一敏感個人信息的核心判斷標準,[10]這些個人信息的處理并不明顯具有致害風險,應歸為非敏感個人信息。
另一方面是個人金融信息與非金融信息交織。國家標準《個人金融信息保護技術(shù)規(guī)范》第4.1條將賬戶信息、鑒別信息、金融交易信息、個人身份信息、財產(chǎn)信息、借貸信息和其他反映特定個人金融信息主體某些情況的信息歸為個人金融信息。據(jù)此,證券發(fā)行和交易中的很多個人信息屬于個人金融信息。然而,其中的其他一些個人信息,如本次發(fā)行前自然人股東與其他股東的關(guān)聯(lián)關(guān)系信息、發(fā)行人高管的職務(wù)信息、兼職信息、相互之間存在親屬關(guān)系的信息等,則不屬于個人金融信息。由于個人金融信息在安全管理和安全技術(shù)方面有不同于非金融信息的要求,比如,在傳輸環(huán)節(jié),個人金融信息通信雙方應通過有效技術(shù)手段進行身份鑒別和認證,[11]但非金融信息則沒有這樣的要求。這就導致同是證券發(fā)行和交易中處理的個人信息,其處理的安全技術(shù)和安全管理存在不同的標準和規(guī)則,如果違反這些標準和規(guī)則,可能產(chǎn)生不同的法律后果。以上這種敏感信息、非敏感信息與金融信息、非金融信息雙重交織的情況決定了,看似統(tǒng)一、整體的證券發(fā)行和交易場景下,個人信息的保護卻是多元的、復雜的,這將可能構(gòu)成證券發(fā)行和交易中個人信息保護規(guī)則適用的結(jié)構(gòu)性約束。
(二)個人信息保護規(guī)則適用的結(jié)構(gòu)性約束
證券發(fā)行和交易中廣泛存在敏感個人信息、非敏感個人信息與個人金融信息、個人非金融信息雙重交織的情況。其中某些個人信息既是敏感個人信息,也是個人金融信息,比如證券賬戶信息、資金賬戶信息等。敏感個人信息和個人金融信息在保護的目標上不盡相同,前者的保護旨在維護自然人人格尊嚴、人格自由和重大人身財產(chǎn)權(quán)益;[12]而后者的保護,則旨在維護自然人的重大財產(chǎn)權(quán)益。但是,二者在保護的強度上卻具有一致性,越是敏感的個人信息,越會受到高強度的保護;同樣,越是等級高的個人金融信息,越會受到高強度的保護。由高到低等級?。茫?、C2、C1三類個人金融信息,其保護強度基本上可以對應于高敏感度、中敏感度和低敏感度的個人敏感信息。這種情況下,證券發(fā)行和交易中處理的個人信息保護一般不會產(chǎn)生結(jié)構(gòu)性的約束。
然而,也有些個人信息既是個人金融信息,同時也是個人非敏感信息。比如,投資者證券賬戶、資金賬戶的開立時間信息、資金賬戶的開戶機構(gòu)信息、單純的賬戶余額信息等,這些個人信息雖然屬于個人金融信息,卻未必是個人敏感信息。這就進一步加劇了證券發(fā)行和交易中處理的個人信息在構(gòu)成上的多元性和復雜性。這一特質(zhì)使得證券發(fā)行和交易場景下,個人信息保護規(guī)則的適用必須是個別的、具體的?!秱€人信息保護法》中規(guī)定的個人信息保護規(guī)則,適用于作為非敏感個人信息的某一證券發(fā)行交易個人信息時,并不要求其處理需要具有特定的目的和充分的必要性,并采取嚴格保護措施。但該個人信息卻可能同時是個人金融信息,需要同時適用比非金融信息更為嚴格的個人金融信息保護標準和規(guī)則。于是,證券發(fā)行和交易場景下的個人信息保護規(guī)則適用,可能形成個人非敏感信息保護規(guī)則和個人金融信息保護規(guī)則的競爭適用,從而形成對個人非敏感信息保護規(guī)則的約束。需要指出,這種約束緣于證券發(fā)行交易中處理的個人信息構(gòu)成上的復雜性,是一種結(jié)構(gòu)性的約束,也是不同特質(zhì)耦合于同一個人信息時難免遭遇的規(guī)則適用現(xiàn)實。這種約束在其他各行業(yè)領(lǐng)域亦不鮮見,但在證券發(fā)行和交易領(lǐng)域更為顯著。
三、證券發(fā)行交易中個人信息保護規(guī)則適用的監(jiān)管性約束
(一)證券發(fā)行交易中處理的個人信息的私人性與公共性
證券發(fā)行和交易中處理的各類個人信息,是信息主體在自身參與證券發(fā)行和交易活動中產(chǎn)生的,它們基本屬于私域內(nèi)容,信息主體并不當然同意甚至并不當然明知對這些信息的處理,它們首先是私人性的信息。這一定位意在揭示,不論證券發(fā)行和交易中有幾多合法合理的處理依據(jù),都應首先尊重這些個人信息的私人性。如果缺失這一點,很可能會“冷落”所有受憲法保護的權(quán)利的行使。[13]同時,在金融業(yè)的實踐中,公共管理和私人經(jīng)濟目標似乎在一個立基于信息收集和闡述基礎(chǔ)上的風險管理機制中相互交織,[14]公共性在個人金融信息的特質(zhì)中同樣非常明顯,證券發(fā)行和交易場景下更是如此。投資者的個人信息雖然具有私人性,但在不得不實施的證券監(jiān)管下,投資者部分個人信息如真實姓名、身份證號、資信狀況、甚至其證券賬戶使用情況信息等的提供都是不可避免的,除非他選擇放棄投資。這就使得證券發(fā)行和交易中處理的個人信息常常服務(wù)于證券公共管理,呈現(xiàn)出較強的公共性。這種私人性與公共性兩極并立的特質(zhì)決定了,證券發(fā)行交易中處理個人信息需要兼顧公共管理的需要,這將構(gòu)成證券發(fā)行和交易中個人信息保護規(guī)則適用的監(jiān)管性約束。
(二)反洗錢監(jiān)管的約束
一般而言,反洗錢首先是銀行業(yè)金融機構(gòu)在公法上的義務(wù)。但在證券業(yè)金融機構(gòu)中,反洗錢的義務(wù)同樣較為明顯。在互聯(lián)互通日益發(fā)展的大數(shù)據(jù)時代背景下,證券交易所互連的法律框架一直在處理諸如數(shù)據(jù)庫的特殊權(quán)利、反洗錢報告義務(wù)等。[15]在履行反洗錢義務(wù)時,證券業(yè)金融機構(gòu)最為依賴三項基礎(chǔ)性機制,即客戶身份識別制度、客戶身份資料和交易記錄保存制度、大額和可疑交易報告制度。這三項制度的核心內(nèi)容都是對投資者個人信息的處理,而其中后兩項制度下,證券業(yè)金融機構(gòu)可以突破知情同意規(guī)則的限制,對投資者個人信息進行收集、存儲、使用、傳輸?shù)纫话阈缘奶幚怼T诼男蟹聪村X義務(wù)的操作中,證券公司的大額交易和可疑交易信息監(jiān)測系統(tǒng),可能直接根據(jù)投資者的收入與交易規(guī)模、是否為頻繁交易、是否為大額交易、是否為分散轉(zhuǎn)入或分散轉(zhuǎn)出、交易是否為快進快出,交易對手是否異常分散或異常集中、資金來路與去路等實時情況形成的衍生個人信息,[16]進行分析、研究,確定其是否為可疑交易,并及時上報主管機關(guān)。這已經(jīng)是對投資者進行數(shù)據(jù)畫像并進行自動化決策。但在這一處理過程中,作為個人信息處理者的證券業(yè)金融機構(gòu),卻并不完全遵循《個人信息保護法》規(guī)定的知情同意規(guī)則和第24條中規(guī)定的自動化決策義務(wù)規(guī)范。同時,因證券交易較一般的匯兌業(yè)務(wù)更為復雜,需要更多信息判斷是否屬于可疑交易,證券經(jīng)營機構(gòu)還會要求客戶適時更新其開立賬戶時已經(jīng)登記的相關(guān)身份信息,如果投資者拒絕,其賬戶可能被采取限制資金轉(zhuǎn)入轉(zhuǎn)出,限制辦理轉(zhuǎn)托管等措施,[17]這在一定程度上也突破了《個人信息保護法》第16條的保護精神。于是,在反洗錢監(jiān)管的要求下,證券發(fā)行和交易中的個人信息保護受到制約。
(三)反欺詐監(jiān)管的約束
在證券發(fā)行和交易中,證券發(fā)行人、證券經(jīng)營機構(gòu)等主體采取欺詐手段引誘投資者買入賣出證券,或?qū)嵤┢渌`背投資者真實意思,損害其利益的行為,都屬于證券欺詐行為。實踐中,比較典型的證券欺詐行為主要有內(nèi)幕交易、操縱市場、虛假陳述和欺詐客戶等,其中虛假陳述最為多見。證券發(fā)行和交易中的“三公”(公開、公平、公正)原則是我國證券市場的基礎(chǔ)性制度設(shè)施,其中公開原則又是證券法的精髓之所在。證券欺詐直接違反公開原則,進而損害證券市場的公平和公正價值,是各國證券市場監(jiān)管的重中之重。在反證券欺詐的過程中,強制信息披露扮演著舉足輕重的角色。為預防和制止證券發(fā)行人、證券經(jīng)營機構(gòu)等主體對投資者的欺詐,證券法中的強制信息披露除了主要會計數(shù)據(jù)、財務(wù)指標、股票債券發(fā)行及變動情況、重大事件及其對公司影響等信息外,還包含有大量的個人信息,尤其是發(fā)行人控股股東、實控人的個人信息。因為在發(fā)生虛假陳述時,他們更可能是“問題制造者”。[18]此外,發(fā)行人高級管理人員及核心技術(shù)人員的個人信息,中介機構(gòu)特定人員及關(guān)聯(lián)人員的個人信息也常常被要求披露。對于這些個人信息的強制披露,是反證券欺詐的法律要求,突破了知情同意規(guī)則。在一些特別情況下,甚至更具私人性的結(jié)婚信息也要無視知情同意規(guī)則而讓位于反證券欺詐的要求。比如,上海游久游戲股份有限公司兩位大股東結(jié)婚,形成一致行動關(guān)系,因該結(jié)婚的個人信息沒有披露,二人被中國證監(jiān)會上海監(jiān)管局給予行政處罰,并因該證券虛假陳述行為而被訴請民事賠償。[19]因此,在反證券欺詐監(jiān)管的要求下,個人信息保護規(guī)則的適用也會受到制約。
(四)投資者適當性審查監(jiān)管的約束
證券經(jīng)營機構(gòu)在銷售證券產(chǎn)品或者提供服務(wù)的過程中,應當勤勉盡責,審慎履職,全面了解投資者情況,深入調(diào)查分析證券產(chǎn)品或者服務(wù)信息,科學有效評估,充分揭示風險,基于投資者的不同風險承受能力以及證券產(chǎn)品或者服務(wù)的不同風險等級等因素,提出明確的適當性匹配意見,將適當?shù)淖C券產(chǎn)品或者服務(wù)銷售或提供給適合的投資者。為此,證券經(jīng)營機構(gòu)必須首先了解投資者。相應地,投資者必須向證券經(jīng)營機構(gòu)提供關(guān)于自己的真實個人信息(比如收入來源、資產(chǎn)、負債等)以供了解。如果投資者拒絕提供,則證券經(jīng)營機構(gòu)在履行釋明告知的前置義務(wù)后,[20]可以拒絕向其銷售證券、提供服務(wù)。這在一定程度上也構(gòu)成了對《個人信息保護法》第16條的制約。在普通投資者申請轉(zhuǎn)化為專業(yè)投資者時,證券經(jīng)營機構(gòu)可以根據(jù)需要追加了解投資者相關(guān)信息,對投資者在本經(jīng)營機構(gòu)的交易軌跡進行分析評估,從而確定是否同意投資者的轉(zhuǎn)化。此外,證券經(jīng)營機構(gòu)還可能根據(jù)投資者和產(chǎn)品或者服務(wù)的信息變化情況,主動調(diào)整投資者分類、產(chǎn)品或者服務(wù)分級以及適當性匹配意見。上述過程實際上都是單方面在對投資者進行數(shù)據(jù)畫像,在一定程度上突破了知情同意規(guī)則。
四、證券發(fā)行交易中個人信息保護規(guī)則適用的合理性約束
(一)證券發(fā)行交易中個人信息的保護強化與共享強化
隨著個人金融信息保護水平的提升以及《個人信息保護法》的施行,證券發(fā)行和交易中的個人信息保護越來越得到強化。然而,這只是問題的一面。其另一面是,證券發(fā)行和交易中個人信息被強化保護的同時,也呈現(xiàn)出越來越被共享的明顯趨勢。
一方面是發(fā)行人端個人信息的共享。在證券發(fā)行中,哪怕是非公開發(fā)行,也同樣需要將部分本具私人性的個人信息予以刊登公告。比如,自然人發(fā)行對象及高級管理人員最近5年受過的與證券市場有關(guān)的行政處罰、刑事處罰的種類、結(jié)果、日期、原因等信息。[21]而在證券交易環(huán)節(jié),為貫徹持續(xù)信息公開的要求和履行其他法定義務(wù),持有發(fā)行人5%股份以上股東、實控人、發(fā)行人高級管理人員等的個人信息都會被多次地予以大范圍公開處理。另一方面是投資者端個人信息的共享。投資者個人信息會被多次在發(fā)行人、證券公司、登記結(jié)算機構(gòu)、證券交易所、交易結(jié)算資金賬戶銀行甚至幫助這些機構(gòu)處理數(shù)據(jù)信息的科技公司之間傳輸。更重要的是,證券經(jīng)營機構(gòu)為了提升交易的有效性和準確性,降低自身交易成本,除了信息隔離墻制度所排除的內(nèi)幕信息及未公開的信息外,越來越利用其集團化優(yōu)勢共享投資者個人信息,以實現(xiàn)其利益最大化。在此背景下,看似簡單的違背個人信息保護法理的個人信息公開現(xiàn)象,實質(zhì)上有著個人金融信息合理流動的政策考慮,從而對個人信息保護規(guī)則適用形成合理性的約束。
(二)個人信息合理流動形成的約束
隨著電子支付手段的日益發(fā)展,交易已經(jīng)不是無記名的鈔票、票據(jù)之間的交換,而更多是各類金融機構(gòu)、數(shù)據(jù)科技公司分類賬中信息條目的修改。[22]如此背景下,對個人賬戶等信息進行嚴格的封閉式保護,幾乎在客觀上無法完全做到。同時,各類金融交易中的個人信息具有明顯的價值屬性,它本身也會與其他成千上萬的個人金融信息匯集成金融公司、科技公司的企業(yè)數(shù)據(jù)。而企業(yè)數(shù)據(jù)天生具有流動和共享的面相,現(xiàn)代金融業(yè)的一個副產(chǎn)品是,與第三方共享的數(shù)據(jù)的質(zhì)量和數(shù)量都在增加。[23]具體到證券發(fā)行和交易領(lǐng)域,除為了履行上述反洗錢、反欺詐、投資者適當性審查等義務(wù)而進行的個人信息共享外,證券公司信息隔離墻范圍之外的個人信息的適時共享對于證券產(chǎn)業(yè)自身發(fā)展亦具有獨立的價值。
其一,有助于提升運營效率。證券經(jīng)營機構(gòu)內(nèi)部對投資者個人信息的共享,能夠大大降低其內(nèi)部各子公司的客戶獲取成本,優(yōu)化其銷售渠道,整合利用內(nèi)部的資源,減少內(nèi)部單元之間單打獨斗所抬高的營銷成本,促進本機構(gòu)甚至本集團內(nèi)各項業(yè)務(wù)的協(xié)同發(fā)展。
其二,有助于進行統(tǒng)一的風險管理。在證券公司與其子公司之間,甚至在證券公司與其集團內(nèi)部其他金融公司之間對投資者個人信息的共享,可以通過算法進行大數(shù)據(jù)分析,從而準確評估證券市場、甚至整個金融市場是否存在系統(tǒng)性風險、區(qū)域性風險及其他風險,更好地優(yōu)化內(nèi)部金融資源的分配,避免風險在集團內(nèi)部甚至整個證券市場無序傳導。
其三,有助于提升客戶忠誠度創(chuàng)造更多價值。證券公司及其子公司,甚至證券公司與其集團內(nèi)部的保險、銀行等金融公司共享客戶個人信息,能夠使得金融企業(yè)更好地為客戶提供金融產(chǎn)業(yè)鏈上更加全面的金融產(chǎn)品和服務(wù),穩(wěn)固并擴展客戶群,為金融企業(yè)創(chuàng)造更多價值。
正是因為個人金融信息有著上述獨立價值,2020年11月施行的《金融控股公司監(jiān)督管理試行辦法》提出了金融控股公司內(nèi)部共享客戶信息的命題,但仍然嚴格恪守知情同意規(guī)則。然而,在歐美個人金融信息保護實踐已經(jīng)突破知情同意規(guī)則,追求關(guān)聯(lián)方信息無障礙流通的國際背景下,[24]我國金融發(fā)展要想不失先機、同臺競爭,對個人金融信息流通限制的軟化將是必然的選擇,這也就形成了對一般個人信息保護規(guī)則適用的合理性制約。
(三)自愿信息披露的約束
投資者知情權(quán)也是證券法竭力維護的價值目標之一。對于投資者知情權(quán)而言,強制信息披露劃定了較為清晰的信息邊界,滿足了合法性視角下的投資者知情權(quán)。但有些信息,雖然并非強制信息披露的范圍,但可能是投資者知情權(quán)的合理期待范圍。此時,《中華人民共和國證券法》(以下簡稱《證券法》)第84條提供了自愿信息披露以茲補充。自愿信息披露不是絕對的“自愿”,而是有很多要求。首先就是《證券法》第84條第1款規(guī)定的影響性標準,即影響“投資者作出價值判斷和投資決策”的信息。同時,自愿信息披露也要遵循持續(xù)性和一致性的要求,不得選擇性披露等。[25]因此,自愿披露看似“自愿”,實則附一定之規(guī),其承載的價值目標是回應投資者合理的知情訴求。于是,部分個人信息會落入自愿披露的信息范圍,其中較為典型的是發(fā)行人或上市公司高級管理人員和核心技術(shù)人員的個人信息。對于倚重企業(yè)家個人魅力的公司而言,核心高管的健康信息,在強制信息披露中已經(jīng)有所要求。但在強制披露范圍之外的其他健康信息,也仍可能存在廣大投資者的合理關(guān)切。比如,持續(xù)多年慢性病的核心高管完全恢復健康。對于這樣的個人信息,即使未經(jīng)高管本人同意,上市公司也可能根據(jù)投資者的合理期待而予以披露。而對于倚重核心技術(shù)的成長性公司而言,核心技術(shù)人員無涉商業(yè)秘密的個人學術(shù)轉(zhuǎn)向、最新學術(shù)研究重點等信息,即使不屬于強制信息披露范圍,亦應根據(jù)該個人信息對投資者決策的影響情況,而予以披露。以上種種,也構(gòu)成了對個人信息一般保護規(guī)則的約束和限制,背后體現(xiàn)的是高管及核心技術(shù)人員個人信息保護與投資者知情權(quán)的平衡問題。
五、個人信息保護規(guī)則在證券發(fā)行交易中的司法調(diào)適
(一)規(guī)則適用約束下涉證券發(fā)行交易個人信息保護的調(diào)適機制
結(jié)構(gòu)性約束之下,裁判者面臨如何適用不同屬性個人信息的相關(guān)規(guī)則的難題。調(diào)適的方法是首先識別該個人信息的屬性,之后根據(jù)該個人信息的屬性,確定具體的適用規(guī)則。當個人信息呈現(xiàn)多種屬性時,如既是非敏感的個人信息,同時也是個人金融信息,調(diào)適的邏輯是要適用保護強度更高的規(guī)則,也就是一般的個人信息保護規(guī)則需要在一定程度上容讓個人金融信息保護規(guī)則。
監(jiān)管性約束之下,因反洗錢、反欺詐和投資者適當性審查中突破知情同意規(guī)則必須有合法性依據(jù)。但《個人信息保護法》第13條未窮盡列舉除知情同意規(guī)則之外的所有合法性依據(jù),這就需要在現(xiàn)有規(guī)范框架內(nèi)進行解釋。所以,監(jiān)管性約束的調(diào)適機制就是對相關(guān)法律條款的解釋適用。
合理性約束之下,裁判者面臨金融業(yè)發(fā)展和個人信息保護,投資者知情權(quán)益和個人信息保護之間的抉擇。需要抉擇的兩端都值得保護,裁判者需要對此進行權(quán)衡,而比例原則是非常典型的權(quán)衡技術(shù)。[26]因此,合理性約束的調(diào)適機制是,如何科學恰當運用比例原則進行合比例地審查,在金融發(fā)展和個人信息保護之間,在知情權(quán)益和個人信息保護之間尋求妥當?shù)钠胶狻?/span>
以上三種規(guī)則適用約束之下,結(jié)構(gòu)性約束的調(diào)適機制相對較為宏觀且容易把握,而監(jiān)管性約束和合理性約束的調(diào)適機制則更為細致,需要予以精細化地闡述,以下著重探討。
(二)監(jiān)管性約束之下個人信息保護規(guī)則的解釋論調(diào)適
《個人信息保護法》第13條中,可以作為證券發(fā)行和交易中突破知情同意規(guī)則處理個人信息依據(jù)的只能是該條第1款第三項,即“為履行法定職責或者法定義務(wù)所必需”。其中,法定職責涉及公權(quán)力機關(guān),本文與此無涉。而這里的“法定義務(wù)”之“法”,究指法律、行政法規(guī),抑或是還包括規(guī)章及其他規(guī)范性文件,則需探明。從內(nèi)容來看,第13條第1款第七項使用了“法律、行政法規(guī)”的表達?!秱€人信息保護法》中凡是使用開放性引致條款的地方,都用“法律、行政法規(guī)”的表達。比如,第19條“除法律、行政法規(guī)另有規(guī)定外”。從文義解釋的角度分析,“法律、行政法規(guī)”是確定不包括規(guī)章和其他規(guī)范性文件的。從體系解釋的角度分析,第13條第1款第三項中“法定義務(wù)”之“法”應與其他處的“法律、行政法規(guī)”保持一致。因此,這里“法定義務(wù)”之“法”應僅指法律和行政法規(guī)。這一結(jié)論亦可從權(quán)威學者和人員對《個人信息保護法》的釋義中得到印證。[27]
然而,發(fā)行人、上市公司、證券公司等履行反洗錢、反欺詐、投資者適當性審查等義務(wù),突破知情同意規(guī)則,依據(jù)的規(guī)范卻未必都是法律、行政法規(guī),而大都是效力層級較低的其他規(guī)范性文件。比如,投資者適當性審查的主要規(guī)范依據(jù)是《證券期貨投資者適當性管理辦法》,反欺詐信息披露的重要規(guī)范依據(jù)包括《公開發(fā)行證券的公司信息披露內(nèi)容與格式準則第1號——招股說明書》等。這就意味著,裁判實踐中以《個人信息保護法》第13條第1款第三項“履行法定義務(wù)”為由突破知情同意規(guī)則,可以在一定程度上解決問題,但不能解決全部問題,甚至不能解決大部分問題。因此,調(diào)適的具體路徑還需另尋他途。
證券市場瞬息萬變,必須適時修改《證券法》以資應對。比之其他法域,我國《證券法》的修改其實遠遠不夠。[28]于是,中國證監(jiān)會的部門規(guī)章甚至其他規(guī)范性文件就不得不成為維護我國資本市場公共秩序的重要制度資源,從而成為我國資本市場公共秩序的一部分。根據(jù)《中華人民共和國民法典》(以下簡稱《民法典》)第8條的規(guī)定,民事主體從事民事活動,不得違背公序良俗。而公序良俗就是公共秩序和善良風俗,[29]資本市場的公共秩序就屬于公序良俗。至此,《個人信息保護法》第13條“履行法定義務(wù)”不能解決的那部分監(jiān)管性約束問題,就可有另外的調(diào)適路徑,即以公序良俗原則解決。具體的思路是,在反欺詐、投資者適當性審查情形下,處理相關(guān)個人信息雖然突破了知情同意規(guī)則,但這些突破關(guān)乎資本市場公共秩序,屬于公序良俗應有之義,依據(jù)《民法典》第8條,相關(guān)的信息主體不得違背。
(三)合理性約束之下個人信息保護規(guī)則的合比例調(diào)適
1.作為調(diào)試工具的比例原則
合比例調(diào)適的基本工具是比例原則。關(guān)于比例原則的具體內(nèi)容,學說上較多歸納為三項子原則或四項子原則,本文采三項子原則說。比例原則的三項子原則為:適當性原則,即行使權(quán)利的方式和手段應該適當,以有助于實現(xiàn)行權(quán)目的為已足;必要性原則,即在所有可得行使權(quán)利的方式和手段中應該選擇損害最小的那一種,以必要為限;均衡性原則,即行使權(quán)利的方式與目的應合乎比例,不因小失大或得不償失,以均衡為宜。[30]在合比例調(diào)適中,需要結(jié)合權(quán)利行使的目的,逐一用三項子原則進行檢視審查,最終得出妥當結(jié)果。
2.個人信息合理流動約束下的合比例調(diào)適
證券發(fā)行和交易場景下個人信息的流動,如金融控股公司與其所控股機構(gòu)之間、其所控股機構(gòu)之間的流動,如何可以突破一般的知情同意規(guī)則而取得合法性,取決于其流動是否合理。以知情同意規(guī)則為核心的個人信息保護規(guī)則,其目的旨在保護信息主體對其信息被處理的決定權(quán)和選擇權(quán)。[31]用比例原則的第一項子原則適當性原則進行檢視,行使權(quán)利的方式和手段有助于實現(xiàn)上述目的即可。在知情同意規(guī)則為核心的個人信息保護規(guī)則之下,針對證券發(fā)行和交易中個人信息的處理一般要求取得信息主體的同意,這是有助于實現(xiàn)其行權(quán)目的的,符合適當性原則。
用比例原則的第二項子原則必要性原則進行檢視,需要對實現(xiàn)權(quán)利的可能方式進行比較。知情同意規(guī)則在具體實現(xiàn)時至少可以有兩種方式:其一是取得個人的一般性同意,其二是取得個人的書面同意。以上兩種方式中,第一種方式不強求書面同意,不會給義務(wù)主體造成過高的成本,損害較小。而第二種方式一律要求書面同意,會給義務(wù)主體造成過重的負擔,損害較大。兩相比較之后,不強求書面的一般性同意損害較小,而《個人信息保護法》第13條第1款第一項規(guī)定的知情同意規(guī)則正是采取了“一般性同意”的方式,符合必要性原則。
用比例原則的第三項子原則均衡性原則進行檢視可以發(fā)現(xiàn),證券發(fā)行和交易中一般性地處理個人信息要求信息主體同意是可以的。但在涉及金融控股公司與其所控股的證券公司、證券公司及其子公司之間時,所有個人信息的流動如果均需信息主體的同意,則產(chǎn)生的后果不僅是金融控股公司及證券公司因內(nèi)部信息壁壘造成的巨大運營成本,更會危及金融控股公司內(nèi)部、證券公司各業(yè)務(wù)條線及子公司對風險的計量、匯總、預警和監(jiān)控,直接損害同一業(yè)務(wù)、同一客戶相關(guān)風險信息的集中管理,[32]聯(lián)動損害到交易所市場,并在某一領(lǐng)域累積、擴散,加劇區(qū)域性金融風險。[33]與之相反,投資者個人信息僅僅在金融控股集團內(nèi)部以及證券交易所等這樣一個緊密聯(lián)系且相對嚴密的閉環(huán)內(nèi)共享,整體風險則屬可控。鑒此,證券發(fā)行和交易中絕對遵守知情同意規(guī)則,會產(chǎn)生不合比例的效果。實踐中應秉持均衡性指向的調(diào)適思路:第一,對于證券賬戶登錄密碼、交易密碼、銀行卡磁道信息等?。茫愁悅€人金融信息和個人非金融信息,應恪守知情同意規(guī)則,不做任何調(diào)適;第二,對于?。茫病ⅲ茫鳖悅€人金融信息,投資者授權(quán)處理時,可解釋為對金融控股集團或證券公司及其子公司整體的授權(quán),[34]隱私政策或投資者另有聲明的除外;第三,對于?。茫病ⅲ茫鳖愋畔?,如果在金融控股公司或證券公司外的登記結(jié)算機構(gòu)、證券交易所等業(yè)務(wù)關(guān)聯(lián)金融機構(gòu)進行共享,只要該處理沒有超出最初目的,且使用場景一致,可以解釋為符合知情同意規(guī)則。
3.自愿信息披露約束下的合比例調(diào)適
自愿信息披露約束是來自投資者合理知情權(quán)益的約束。用第一項子原則適當性原則進行檢視,證券發(fā)行和交易中個人信息的處理一般要取得信息主體的同意,自愿信息披露更是如此,這有助于信息主體權(quán)利目的的實現(xiàn),適當性原則不成問題。用第二項子原則必要性原則進行檢視,自愿信息披露下亦未一律要求信息主體書面同意,沒有給上市公司等信息處理者造成較大負擔,也符合必要性原則。用第三項子原則均衡性原則進行檢視,需要審查信息主體個人信息權(quán)益和投資者合理知情訴求是否衡平。從發(fā)行人或上市公司端看,自愿信息披露具有多樣性、靈活性,尤其是自主性,[35]這使得涉及高管或核心技術(shù)人員個人信息的自愿披露更要遵守知情同意規(guī)則。但從投資者端看,絕對的知情同意要求,有時會漠視投資者合理關(guān)切和期待。尤其是某些個人信息在此前已經(jīng)自愿披露過,則根據(jù)持續(xù)性和一致性的要求,在該個人信息發(fā)生變化時亦應落入自愿披露的范圍。所以,自愿信息披露時絕對貫徹知情同意規(guī)則,也會產(chǎn)生不合比例的后果,有違均衡性原則。具體調(diào)適要點如下:第一,發(fā)行人、上市公司未取得同意而在自愿披露中將信息主體與投資者作出價值判斷和投資決策明顯無關(guān)的個人信息披露,裁判中應認定為違反知情同意規(guī)則;第二,前期已經(jīng)在自愿披露文件中披露的個人信息發(fā)生變化,發(fā)行人、上市公司在未征詢信息主體意見的情況下將變化后的個人信息予以自愿披露的,裁判中應認定為未違反知情同意規(guī)則,除非信息主體此前已有明確的相反意見;第三,自愿信息披露時,信息主體同意在境外披露其相關(guān)個人信息,發(fā)行人、上市公司未征詢其意見而同時在境內(nèi)披露的,裁判中應認定未違反知情同意規(guī)則;第四,發(fā)行人、上市公司有理由認為核心高管、核心技術(shù)人員的非敏感個人信息極有可能對投資者作出價值判斷和投資決策產(chǎn)生影響,在未征詢信息主體意見情況下進行披露的,裁判中可秉承理性投資者標準,[36]酌情認定未違反知情同意規(guī)則。
【注釋】
丁宇翔,北京金融法院審判一庭負責人,三級高級法官,法學博士。
本文系國家社科基金重點項目“民法典實質(zhì)債法規(guī)范體系研究”(22AFX015)的階段性成果。
[1]黃達、張杰編著:《金融學》(第五版),中國人民大學出版社2020年版,第274頁。
[2]據(jù)中國結(jié)算的統(tǒng)計,2022年8月,我國新增(月增)證券自然人投資者124.25萬,截至2022年8月底,我國自然人證券投資者達2.08億,同比增長8.3%。參見中國證券登記計算公司官網(wǎng),?。瑁簦簦穑海鳎鳎鳎悖瑁椋睿幔悖欤澹幔颍悖睿洌辏螅簦辏猓玻悖澹睿簦澹颍撸簦辏猓纾螅瑁簦恚?,2022年9月19日訪問。
[3]丁宇翔:《個人信息保護糾紛理論釋解與裁判實務(wù)》(第二版),中國法制出版社2022年版,第7-8頁。
[4]《公開發(fā)行證券的公司信息披露內(nèi)容與格式準則第1號——招股說明書》第58-64條。
[5] Alexis?。拢颍铮鳎睢。樱簦铮耄澹?, An?。粒穑穑欤濉。帷。模幔。耍澹澹穑蟆。樱瑁幔颍澹瑁铮欤洌澹颉。樱酰椋簦蟆。幔簟。拢幔骸。粒睢。牛幔恚椋睿幔簦椋铮睢。铮妗。帷。茫铮颍穑铮颍幔簦濉。希妫妫椋悖澹颍В蟆。蹋澹纾幔臁。模酰簦。簦铩。模椋螅悖欤铮螅濉。龋澹幔欤簦琛。校颍铮猓欤澹恚蟆。簦铩。樱瑁幔颍澹瑁铮欤洌澹颍螅。裕澹幔蟆。祝澹螅欤澹幔睢。蹋幔鳌。遥澹觯椋澹?, vol.17,?。睿铮?,?。樱穑颍椋睿纭。玻埃保保。穑穑常埃常常埃担?/span>
[6]《上海證券交易所上市公司自律監(jiān)管指引第1號——規(guī)范運作》第7.2.6條,《深圳證券交易所上市公司自律監(jiān)管指引第1號——主板上市公司規(guī)范運作》第7.2.6條。
[7]《證券期貨投資者適當性管理辦法》(2022年修正)第6條。
[8]程嘯:《個人信息保護法理解與適用》,中國法制出版社2021年版,第259頁。
[9]前引[3],丁宇翔書,第9頁。
[10]朱蕓陽:《個人金融信息保護的邏輯與規(guī)則展開》,載《環(huán)球法律評論》2021年第6期。
[11]《個人金融信息保護技術(shù)規(guī)范》(JR/T?。埃保罚保玻埃玻埃┑冢叮保矖l。
[12]江必新、郭鋒主編:《〈中華人民共和國個人信息保護法〉條文理解與適用》,人民法院出版社2021年版,第266-267頁。
[13]?。剩酰欤椋濉。牛。茫铮瑁澹?,?。祝瑁幔簟。校颍椋觯幔悖。椋蟆。疲铮颍。龋幔颍觯幔颍洹。蹋幔鳌。遥澹觯椋澹?,?。郑铮欤保玻叮。桑螅螅酰濉。罚玻埃保?,?。穑保梗埃担?/span>
[14]?。帧。幔欤澹颍椋帷。疲澹颍颍幔颍?,?。茫颍铮螅螅瑁幔簦悖瑁椋睿纭。校颍椋觯幔悖骸。疲椋睿幔睿悖椋幔臁。桑睿簦澹颍恚澹洌椋幔颍椋澹螅А。模幔簦帷。校颍幔悖簦椋悖澹蟆。猓澹簦鳎澹澹睢。蹋幔鳌。牛睿妫铮颍悖澹恚澹睿簟。幔睿洹。模幔簦帷。牛悖铮睿铮恚?,?。牛酰颍铮穑澹幔睢。模幔簦帷。校颍铮簦澹悖簦椋铮睢。蹋幔鳌。遥澹觯椋澹鳌。ǎ牛模校蹋。郑铮欤?,?。桑螅螅酰濉。?,2020,p.533.
[15]?。遥幔洌椋怼。校铮欤悖幔?,?。樱簦铮悖搿。牛悖瑁幔睿纾濉。桑睿簦澹颍悖铮睿睿澹悖簦椋铮睿蟆。幔睿洹。蹋澹纾幔臁。桑螅螅酰澹蟆。椋睢。模幔簦帷。牛悖瑁幔睿纾?, Masaryk?。眨睿椋觯澹颍螅椋簦。剩铮酰颍睿幔臁。铮妗。蹋幔鳌。幔睿洹。裕澹悖瑁睿铮欤铮纾。觯铮欤保保。桑螅螅酰濉。?,?。疲幔欤臁。玻埃保?,?。穑常叮埃?/span>
[16]楊丹妮:《監(jiān)管升級背景下的證券公司反洗錢可疑交易認定新探——基于證券交易所“異常交易”認定規(guī)則之啟示》,載《區(qū)域金融研究》2019年第4期。
[17]江蘇省徐州市云龍區(qū)人民法院[2019]蘇0303民初5775號民事判決書。
[18]丁宇翔:《證券發(fā)行中介機構(gòu)虛假陳述的責任分析——以因果關(guān)系和過錯為視角》,載《環(huán)球法律評論》2021年第6期。
[19]上海市高級人民法院[2020]滬民終479號民事判決書。
[20]郭鋒等:《中華人民共和國證券法制度精義與條文評注》(上冊),中國法制出版社2020年版,第490頁。
[21]《公開發(fā)行證券的公司信息披露內(nèi)容與格式準則第25號——上市公司非公開發(fā)行股票預案和發(fā)行情況報告書》第11條。
[22]?。粒欤澹。牵欤幔洌螅簦澹椋?, Financial?。疲颍澹澹洌铮怼。幔睿洹。校颍椋觯幔悖。椋睢。簦瑁濉。校铮螅簦茫幔螅琛。祝铮颍欤?,?。茫幔簦铩。剩铮酰颍睿幔?, Vol.41, Issue?。玻。樱穑颍椋睿纾樱酰恚恚澹颉。玻埃玻?,?。穑玻罚保?/span>
[23]?。停幔簦簟。粒睿洌颍酰螅。校颍铮簦澹悖簦椋睿纭。疲椋睿幔睿悖椋幔臁。校颍椋觯幔悖。椋睢。簦瑁濉。疲椋睿裕澹悖琛。牛颍幔骸。痢。危澹鳌。茫幔簦澹纾铮颍。铮妗。疲椋睿幔睿悖椋幔臁。遥澹悖铮颍洌蟆。裕瑁幔簟。模澹螅澹颍觯濉。校颍铮簦澹悖簦椋铮?,?。希耄欤幔瑁铮恚帷。茫椋簦。眨睿椋觯澹颍螅椋簦。蹋幔鳌。遥澹觯椋澹?,?。郑铮欤矗矗。桑螅螅酰濉。?,?。樱穑颍椋睿纭。玻埃玻?,?。穑常埃叮?/span>
[24]邢會強、姜帥:《數(shù)字經(jīng)濟背景下我國金融控股公司信息共享機制的完善》,載《金融評論》2021年第6期。
[25]《上市公司治理準則》(2018年)第91條第2款;《上海證券交易所股票上市規(guī)則》(2022年1月修訂》第2.2.12條第2款;《深圳證券交易所創(chuàng)業(yè)板股票上市規(guī)則》(2020年12月修訂》第5.2.6條第2款。
[26]鄭曉劍:《比例原則在民法上的適用及展開》,載《中國法學》2016年第2期。
[27]楊合慶主編:《中華人民共和國個人信息保護法釋義》,法律出版社2022年版,第48頁;前引[12],江必新、郭鋒主編書,第126頁。
[28]彭冰:《新版證券法修改的“得”與“失”》,澎湃網(wǎng),https://www.thepaper.cn/newsDetail_forward_5381426,2022年10月6日訪問。
[29]黃薇主編:《中華人民共和國民法典釋義》(上),法律出版社2020年版,第26頁。
[30]劉權(quán):《目的正當性與比例原則的重構(gòu)》,載《中國法學》2014年第4期;紀海龍:《比例原則在私法中的普適性及其例證》,載《政法論壇》2016年第3期。
[31]前引[27],楊合慶主編書,第45頁。
[32]《證券公司全面風險管理規(guī)范》第31條,《證券公司另類投資子公司管理規(guī)范》第21條。
[33]歐陽資生、路敏、熊家毅:《數(shù)字普惠金融發(fā)展對中國區(qū)域性金融風險的影響研究》,載《西安財經(jīng)大學學報》2021年第5期。
[34]王炳文:《金融控股公司語境下金融信息保護與信息共享的平衡路徑》,載《北方金融》2020年第7期。
[35]周友蘇主編:《證券法新論》,法律出版社2020年版,第319頁。
[36]丁宇翔:《證券虛假陳述前置程序取消的輻散效應及其處理》,載《財經(jīng)法學》2021年第5期。
0人贊
+1
