與此前的征求意見稿相比，《辦法》刪除了部分條款，涉及目前個人信息保護領域的重要問題或者熱點問題，尤其是可刪除權、數據跨境、數據共享、數據遷移等。中國人民銀行在答記者問中稱在延續原有的金融信息保護專章。

2020年9月15日，中國人民銀行發布《金融消費者權益保護實施辦法》，將2016年的政府規范性文件《中國人民銀行金融消費者權益保護實施辦法》修改并上升到政府部門規章層面的立法層級，引起了金融機構和社會各界的廣泛關注。

金融消費者權益保護具有非常重要而現實的意義。

首先金融消費者權益保護在金融領域具有對主動防范化解系統性金融風險發揮 “減震器”和“舒壓閥”的基礎性作用;

二是當前金融領域產品和服務創新多、復雜性強，而我國金融消費者整體金融知識素養仍有待提升、抗金融風險能力較差，因此金融消費者合法權益易被侵害從而遭受重大損失。

三是金融消費者權益保護領域在最近幾年金融亂象中出現的一些熱點案例和社會輿論表明金融消費者權益保護出現了新的問題，缺乏有針對性的罰則和保護措施。因此國家層面近年來先后出臺了資管新規、九民紀要等監管規定或者司法文件加以規制。

此次《金融消費者權益保護實施辦法》的出臺進一步加強了金融消費者權益的保護。根據最高人民法院《關于準確理解和適用刑法中“國家規定”的有關問題的通知》，刑法中的“國家規定”是指，全國人大及人大常委制定的法律和國務院制定的行政法規;根據最高人民法院、最高人民檢察院《關于辦理侵犯公民個人信息刑事案件適用法律若干問題的解釋》，“國家有關規定”是指，違反法律、行政法規、部門規章有關公民個人信息保護的規定。從現有的規范來看，刑法語境下的“國家規定”包括法律和行政法規，“國家有關規定”包括法律、行政法規、和規章，在任何情形下均不包括規范性文件，也即規范性文件無法成為刑事犯罪定罪量刑的依據。此次實施辦法將立法層級由規范性文件上升為規章，違反該辦法有觸犯刑法的風險。現就該辦法從兩個角度提出一些思考。

一、 個人金融信息保護問題越來越突出

傳統理念上，保護金融消費者利益主要強調的是客戶的資金安全，但是在互聯網大數據時代，以個人隱私為重點的個人信息保護之重要性越來越高。如何在大數據時代加強個人隱私保護同時促進金融數據共享和合理使用亦面臨難題，金融消費者保護迫切需要融入大數據和人工智能時代下的數據保護理念。近年來互聯網金融領域如P2P問題和金融機構風控外包問題上，金融機構以外的數據公司或者所謂金融科技公司通過非法數據爬蟲等手段收集使用大量個人金融數據，在缺乏合法性的情況下幫助金融機構或者P2P公司實現貸款風控或者債務催收等目的，造成了負面的社會后果，2019年已經有一大批此類公司被公安機關調查。

所以必須看到金融數據控制者已經從通常認為的傳統金融持牌機構包括銀行、證券公司、保險演變到也包括脫胎于互聯網企業的新型持牌金融機構甚至非金融機構等，都對金融消費者的個人金融信息保護帶來重大挑戰。

2017年《網絡安全法》出臺后，尤其是2019年國家網信辦和金融監管部門起草制定了大量的個人信息保護相關的監管規定，例如《數據安全管理辦法》、《網絡安全審查辦法》、《個人信息出境管理辦法》等，中國人民銀行亦將《個人金融信息(數據)保護試行辦法(初稿)》征求意見。2020年金標委還發布了《個人金融信息保護技術規范》(JR/T 0171—2020)，尤其值得指出的是專門性法律《個人信息保護法》和《數據安全法》已被列入了十三屆全國人大常委會立法規劃，《數據安全法》2020年已經向社會公布征求意見稿。同時2019年至今，國家網信辦等部門不斷加大APP治理，很多頭部金融機構包括一些大型商業銀行都被爆出違法違規收集個人信息的不足被要求整改。

在此次中國人民銀行發布的《金融消費者權益保護實施辦法》中，針對2016年的《實施辦法》對金融信息的收集和使用的規定，新規增加了間接收集個人信息渠道“合法”要求，間接獲取了以非法方式收集的個人信息是不能使用的;明確遵循合法、正當、必要原則下告知信息收集的目的、范圍、方式后，收集金融信息需要獲得明示同意;更加嚴格限制“用于營銷、用戶體驗改進、或者市場調查”之目的收集個人信息;不能超出法定或者約定范圍使用消費者金融信息;增加金融機構確認發生信息安全事件后告知消費者。這些方面均有所進步，有助于保護金融消費者權益。不難預見這些監管規定在出臺后將對金融消費者的個人信息保護產生重大的影響，金融機構將面臨前所未有的責任義務來保護金融消費者的個人信息。

但是相比較之前的征求意見稿，從金融消費者個人信息保護來看，正式稿將之前征求意見稿中的幾項重要增加內容均刪除，包括：

(1)增加消費者有權要求停止使用、更正不準確信息和要求刪除的權利，金融機構僅在“法律”和“行政法規”另有規定的情形下，才可以拒絕更正和刪除;

(2)在中國境內收集的消費者金融信息的存儲、處理和分析應當在中國境內進行。因業務確需跨境傳輸的必須滿足接收方必須是金融機構的關聯機構，且需滿足一定條件，就可以跨境傳輸;

(3)對分包商/委托處理方的管理義務規定中，金融機構必須審查評估外包服務商能力、簽訂協議明確權利義務、采取審查監督措施、并且最終對外包服務商的行為負責，合作關系終止后，金融機構應當監督外包服務供應商及時銷毀從金融機構獲取的消費者金融信息;

(4)數據主體有權獲取自己的數據并傳輸給指定第三方，鼓勵金融機構在技術可行的前提下，基于金融消費者的請求，將其金融信息轉移至金融消費者指定的其他金融機構。

對此令人意外，因為這幾項規定均是目前個人信息保護領域的重要問題或者熱點問題，尤其是可刪除權、數據跨境、數據共享、數據遷移等。中國人民銀行在答記者問中稱“在延續原有的金融信息保護專章的基礎上，以實現保護金融消費者信息安全權為目的，從信息收集、披露和告知、使用、管理、存儲與保密等方面進行了優化。”因此或許可以推斷數據安全是此次實施辦法的重點，金融消費者對個人信息控制權的訴求并非重點。

此外筆者認為，正式稿相對于征求意見稿的幾項個人信息保護規定內容的刪除可能是因為個人信息保護法尚未制定出臺，甚至連征求意見稿都尚未公開發布，在頂層的一些法律設計尚未確定的情況下不宜在人民銀行的規定中突破上位法，做出過于激進的規定。未來可以在數據安全法、個人信息保護法正式出臺后再加以修訂加入。

二、 金融消費者概念和范圍尚需統一認識

2016年《中國人民銀行金融消費者權益保護實施辦法》則僅規定“在中華人民共和國境內依法設立的為金融消費者提供金融產品和服務的銀行業金融機構，提供跨市場、跨行業交叉性金融產品和服務的其他金融機構以及非銀行支付機構(本辦法統稱金融機構)適用本辦法。”而在此次《金融消費者權益保護實施辦法》中，將適用機構規定為在中華人民共和國境內依法設立的為金融消費者提供金融產品或服務的銀行業金融機構、非銀行支付機構，商業銀行理財子公司、金融資產管理公司、信托公司、汽車金融公司、消費金融公司以及征信機構、個人本外幣兌換特許業務經營機構參照適用本辦法。法律、行政法規另有規定的，從其規定。這種規定明確將證券公司、保險公司排除，而2016年的實施辦法某種程度還有一定彈性。

形成這一問題的原因即是各方對金融消費者范圍認識不一，尤其對于證券領域的投資者，是否應納入金融消費者范圍爭議依然較大，不少觀點認為證券領域的投資者與銀行、保險領域的金融消費者在法律關系等各方面都有差異，且長期使用投資者保護的概念，使用金融消費者的概念不利于培養理性投資者。但是在2019年最高人民法院的《九民紀要》列舉的金融消費者案件包括銀行理財產品、保險投資產品、信托理財產品、券商集合理財計劃、杠桿基金份額、期權及其他場外衍生品等高風險等級金融產品，以及為金融消費者參與融資融券、新三板、創業板、科創板、期貨等高風險等級投資活動提供服務等，實際上是將證券領域的很多投資產品和服務囊括其中。

對此筆者認為，人民銀行的辦法對金融消費者范圍的規定雖然有意見不統一、部門協調難度較大等原因，但是從客觀上看會造成金融監管和金融司法的不同結果，這對于金融機構認真落實金融消費者保護、金融消費者爭議的有效解決以及行政執法、司法都帶來一定的負面影響。在國內金融消費者的理論體系尚不成熟，尚未達成共識的情況下，目前制定法律、行政法規層次的金融消費者權益保護立法時機不成熟，但是人民銀行的規章可以對金融消費者的范圍做出綜合性的界定，至少可以將金融消費者概念作為一個理念性的頂層概念，在傾斜性保護原則的基礎上，把一些最為基礎、原則的規定放進去，而對于金融消費者具體權利義務的規定，因為不同金融產品和金融業務場景的較大差異，仍由各不同金融領域的立法和監管規定來規范。這樣的安排實現了金融機構和金融消費者之間的相對平衡保護，也符合中國央行在金融監管領域的地位不斷提升以及金融統一監管的趨勢。

而從境外的金融消費者保護情況來看，金融監管體制亦和金融消費者的范圍有較大相關性，例如英國《金融服務與市場法》確立的大一統金融綜合監管體制將FSA作為單一金融監管者，該法中的消費者范圍也幾乎囊括了各類金融領域;美國的《金融服務現代化法》雖然確定混業經營、混業監管的原則，但是基于美國投資者保護已經是一套成熟、相對獨立的系統化制度，并沒有像英國一樣建立大一統的金融消費者概念，《多德弗蘭克法案》的金融消費者亦指銀行業消費者，與SEC的投資者保護平行。從我國的金融監管體制來看，當前實質上也是在從嚴格的金融分業監管逐步走向金融混業監管，從金穩會成立并將辦公室設在人民銀行到人民銀行的三定方案即可以看出。在這個背景下，將金融消費者設計為一個理念化的頂層概念，保留現在的證券領域投資者概念，不失為一個各方可以接受的安排。

但是需要注意一點，金融消費者是否包括所有投資者類型?從金融消費者的理念來看，是要對此類人群給與類似于消費者的傾斜性保護，那么到底對什么樣的人群需要給與傾斜性保護?筆者認為投資者可以分為個人投資者和機構投資者，也可以分為普通投資者和專業投資者。對于證券基金期貨領域的專業投資者，無論其是個人還是機構，都不宜劃在金融消費者范圍內，而如果在證監會相關適當性管理辦法認定的專業投資者范圍之外的投資者，無論個人還是機構都應當納入金融消費者的范疇加以傾斜性保護。

綜上，建議如果不能在短期內出臺專門針對金融消費者的法律，可以考慮將金融消費者概念視為一種理念性的概念，超越于不同監管部門法下的各種購買產品/接受服務的人群概念，人行的實施辦法可以側重于提出一些金融消費者權益保護原則性、普遍適用、倡導性的規定，而在具體的保護措施上仍然根據產品和服務類型適用部門法律和監管規定。

作者簡介：上海市法學會金融法研究會理事、基金專委會秘書長;上海金融業聯合會金融法治專委會理事;先后在上海市金融服務辦、瑞銀證券、長江產業基金從事合規法律管理工作;現為上海市協力律師事務所資深顧問、法學博士。