楊東，睿信方略互聯網金融專業委員會首席法律專家，中國人民大學法學院副院長、中國人民大學金融科技與互聯網安全研究中心主任。國家發展與戰略研究院研究員，中國人民大學法學院金融法研究所秘書長、中國人民大學金融創新與風險治理研究中心籌建負責人。全國人大法工委、財經委“證券法”、“電子商務法”立法小組專家咨詢組和課題組成員。中國“金融統合法”理論、“市場型間接金融”理論和“眾籌金融”理論的創立者和提出者。是我國互聯網金融、眾籌金融監管和法律研究、金融消費者保護研究、互聯網反壟斷問題研究的先驅者之一和旗幟性代表人物。
一、百行征信成立的重大意義
2017年年底，被稱為“信聯”的個人征信信息平臺終于以“百行征信有限公司”的形式正式籌建，并將會獲得首張個人征信業務牌照。在之前很長一段時間，學界一直在呼吁給八家個人征信試點單位及時下發個人征信牌照，從而促進個人征信市場化發展。但是現實卻是由于八家試點單位的股權結構過于集中，存在影響個人征信的結果公正性。因此個人征信牌照遲遲不能下發。而為了解決個人征信機構股權過于集中的問題，被稱之為“信聯”的“百行征信”橫空出世，其中中國互聯網金融協會持股36%，芝麻信用管理有限公司、騰訊征信有限公司、深圳前海征信中心股份有限公司、鵬元征信有限公司、中誠信征信有限公司、考拉征信有限公司、中智誠征信有限公司、北京華道征信有限公司分別持股8%。百行征信的出現解決了股權獨立性的質疑，但是個人征信機構的發展并沒有如同預期一般順利。包括數據安全、機構內部的利益公平分配、關系數據真實準確等在內的諸多問題依然缺乏令人信服的解決方案，在缺乏世界范圍內可借鑒的成熟經驗下推出的百行征信注定是“摸著石頭過河”，這也就意味著百行征信必然會受到了社會的廣泛質疑。
但是就個人而言，還是應當肯定百行征信的現實意義，要為百行征信加油鼓勁。古代法制最發達的是古羅馬，在羅馬帝國時期的法學家們就形成一個共識，皇帝的一個新的敕令剛剛頒布，或者是元老院的一個法令剛剛出臺，不要忙著去批評它，要適當地為它唱唱贊歌。因為新法實施之初便被廣泛批評，不利于其善良的立法本意的表現。在個人征信領域也與此類似，百行征信成立的最大意義就在于打破了個人征信市場的壟斷局面，這意味著人民銀行征信中心對于個人征信市場的壟斷將被打破，也為后來者獲取個人征信牌照提供了現實的借鑒。因此，對于百行征信的成立，我們不應在創建伊始便萬般攻訐，而是以包容發展的眼光去看到新生事物。更重要的是，百行征信這一個人征信機構具有極大的可塑性，與其去反對、唱衰百行征信，不如思考如何去促使百行征信歸集各家機構的數據，推動個人征信相關制度的構建與完善，促進我國個人征信的健康有序發展。
二、正確處理征信中公平與征信效率的關系
德國法學家耶林曾說：“法律的目標是在于在個人與社會利益的沖突之間構成平衡，實現利己主義和利他主義的完美結合。”對于個人征信而言，公平是個人征信所追求的首要目標，其與效率、秩序等理念有機融合，共同體現在個人征信體系構建過程中。
（一）個人征信的公共服務屬性
個人征信服務的性質決定了在征信活動中公平與效率兩大原則的主次位階，也決定了個人征信市場的現實與未來。一般而言，公共服務是指由政府或公共組織或經過公共授權的組織提供的具有共同消費性質的公共物品和服務，作為公共服務往往更加強調公平分配，而相對應的商業服務，由于其營利性的現實需要，往往更加側重于效率。但是這二者并非是非此即彼，而是相互融合。在個人征信中的公共服務具有了公共物品的特性：一是非排他性，二是非競爭性。一旦個人征信這種公共服務存在，人人可以享用，如便利的交通，使所有乘客都能得到方便快捷的服務，個人征信是面向全體公民的一項服務，不排除任何人接受這一服務的權利；而非競爭性就是說一個人的消費和收益，不會影響其他人的消費和收益，個人征信作為一種帶有公共性質的服務，一方面其服務主體并不排斥任何主體，另一方面，其服務并不對他人的消費和權益產生競爭性。從這一角度看，個人征信應當是一個公共服務無疑。
但是，隨著數據的價值越來越被各方重視，應用領域的不斷拓展，個人征信行業除了公共服務屬性之外，其商業屬性越發明顯。特別是大數據的廣泛運用使得個人征信的外延不斷拓展，記錄在互聯網上的行為數據非常多，不僅僅是信貸數據，更多的消費數據及其他關系數據被納入征信體系，能夠更真實、全面地反映信息主體的信用情況，個人征信除了傳統的信貸還延伸到了無押金租賃物品、無押金租賃房屋等領域，極大地便利了人民群眾的生活。隨著征信產品的品種、功能越來越豐富，諸如芝麻信用分的產品層出不窮，信用評分能夠貫穿我們生活衣食住行的方方面面，從而在公共服務之外發揮著其商業服務的功能。
（二）個人征信機構發展的基本理念：公平高于效率
個人征信的公共屬性決定了對于個人征信業而言，必須將維護全體社會成員的個人征信公平放在效率之前。博弈論中的一條真理就是“十個監督者不如一個競爭者”，競爭越充分，市場發揮出來的效率越高。但是不可忽視的是個人征信業中充分的競爭往往導致壟斷數據寡頭的出現，而這就進一步催化了各種侵犯信息主體權利，打破數據公平的事件發展。特別是2016年支付寶推出的“圈子”功能，更是被戲稱為“支付鴇”。中國人民銀行副行長陳雨露就表示，征信業務活動應充分體現社會的公平正義，既不能將征信產品當作把人分為不同階層、不同群體的工具，也不能應用于某些低俗的社交活動，背離征信的本意。
現有的個人征信其根本的公共服務屬性并沒有改變，但是其服務中越來越多的商業元素，使得我們又必須同時重視其效率，滿足社會對于個人征信的需求。截至2017年5月底，我國大約還有1.65億左右的18周歲（含本數）以上人口，游離于現有征信體系之外，只有讓盡可能多的社會成員納入到征信體系，享受到個人征信帶來的便利。從這個角度說，百行征信必須將更多的社會成員納入征信體系，這就需要強調個人征信的效率。
三、以法律規范個人征信市場運行
公平的理念需要現實法律的支撐，效率的提升也需要法律防止其異化，沒有現實法律制度維護的公平效率注定是一句口號。我國的個人征信法律到目前為止，僅有一部《個人征信業管理條例》，對于很多個人征信的關鍵性問題并沒有進行說明，這就需要在以后的立法中不斷去填補在這一方面的漏洞。
首先，最主要的就是對于個人征信基本法律概念的界定。我國的個人征信法律需要解決的一系列問題，其中最為核心與關鍵的就是個人征信、誠信、信用的基本概念與相互關系。比如說對于個人征信的定義，是否個人征信僅僅就是指債務人信息的歸集？相關業內人士認為個人征信是對債務信息的歸集，但是在現實中如果僅僅將債務信息的歸集作為個人征信適用，那么包括信用出行、信用租房等創新將完全被劃定為個人征信之外，這就需要我們用發展的眼光看到個人征信的發展。
其次，對于個人征信中隱私保護模式的構建。對于隱私保護，當前學界有兩種聲音，一種是站在個人的視角，通過將個人隱私權這一人格權進行具體化，切實加強對于個人隱私的保護；而另一種聲音是站在數據產業發展的角度，構建新型的數據財產權利，對此，我國已經有學者提出要構建新型數據財產權以促進數據產業的發展。個人認為，需要通過賦予數據財產權，進而將數據中的所有權、使用權、收益權進行界定，從而在根本上為相關數據產業的發展在法律上奠定基礎。
最后，在遵守現有法律法規的同時，發揮機構自治和行業自律的作用也是至關重要的。現階段大數據征信業態監管的法律法規并不是很完善，征信機構既要遵守現有的法律法規，又要嚴格自律。一方面，每個數據企業都應當建立起健全的機構內部治理機制；另一方面，我國征信行業還沒有相關的行業自律組織，這在一定程度上也影響了法律法規及相關監管政策由上而下的傳導，這也是百行征信落地之后必須重視的一項重大任務。
四、以技術實現個人征信的隱私保護
隱私保護一直是個人征信業無法回避的問題，從一個法律人的角度看待個人征信中的隱私保護，常常感覺到力不從心，現實生活的復雜性使得技術總有辦法突破法律的種種限制，侵犯他人的隱私。從世界范圍看，隱私保護與數據孤島是個人征信業與生俱來的困境，雖然西方國家對于隱私保護有著成熟完善的法律體系，美國的《隱私法案》、《金融服務現代法》，歐盟的《關于個人數據處理和數據自由流動的個人保護指令》等法律法規的頒布實施為信息主體權益保護提供了比較完善的制度支撐，但是對于個人隱私保護依然無法根絕。2015年10月，美國三大征信局之一的Experian宣稱一個包含T-Mobile客戶信息的服務器被入侵，造成約1500萬個人信息暴露；2017年3月，全球征信機構鄧白氏公司的一個大約52GB的數據庫發生泄露，有將近3370萬獨有電子郵件地址和聯系信息曝光；2017年9月7日，Equifax公布，該公司遭遇了一起因黑客入侵而導致大規模數據泄露事件，約有1.43億人的個人信息被泄露，目前美國人口為3.23億人，這意味著近半美國人很可能陷入危險之中。
解決個人隱私保護這一世界級難題，需要技術與法律的協調。在法律之外，還有技術，積極適用區塊鏈技術或是解決個人征信中隱私保護的根本途徑。個人隱私保護是一個技術問題，而法律由于其天然的滯后性，無法及時解決不斷進步的技術帶來的各種挑戰。現有的區塊鏈技術為實現個人隱私保護提供了強有力的技術支撐，特別是零知識證明理論上已經可以實現對于個人征信中的隱私保護，而其主要有三大原理：1. 零知識證明——哈希函數(也稱散列函數)，可以生成文件的數字指紋，即將原始數據編碼為特定長度的由數字和字母組成的字符串后記入區塊鏈，任何內容和格式完全相同的文件只會生成同一個哈希值，對文件的任何微小修改都會改變哈希值，因此可以通過哈希值比對驗證文件是否一致。就算同處于聯盟鏈中的其他機構破解了非對稱加密，得到的也僅僅是一個缺乏具體含義的哈希值，有效避免了聯盟鏈中的其他機構非法獲取用戶數據，實現了對于個人數據的有效技術保護。2. 將哈希值存儲到聯盟鏈中，由眾多機構共同維護、儲存、見證該區塊鏈，如果要修改哈希值必須通過半數以上的機構，在機構數量足夠多的情況下，修改哈希值的難度將會接近于無限大，這就保證了區塊鏈的不可篡改。3. 驗證文件是否被篡改，將文件通過計算工具計算哈希值，然后和存證在區塊鏈上的哈希值做比對，若結果一致，則證明文件沒有被修改過，否則即為不同文件。這也就意味著從源頭上杜絕了個人征信機構對于該哈希值的修改。
以上三大原理，區塊鏈實現了篡改可發現、可靠性的要求，賦予信息主體上傳數據的相應的法律效力基礎上，又保留了信息主體對于其上傳數據的控制力，使得信息主體第一次得以在保護隱私且不被篡改的情況下真正地控制其上傳的個人數據。對我國建立伊始的百行征信而言，由于其本身涉及多個參股公司，如果各個公司之間分享數據，這就帶來更大的數據泄露風險。因此百行征信必須積極地應用區塊鏈技術，在架構上積極使用分布式組織形式，以聯盟鏈，甚至是公有鏈的形式進行個人數據的維護與儲存，積極探索區塊鏈與個人征信的結合。
總而言之，百行征信的出現對于我國個人征信業而言是巨大的利好，特別是百行征信模式對之后的個人征信業務牌照發放起到了一個借鑒與示范的良好作用。相信在百行征信之后，更多的符合監管條件的個人征信機構將會出現在市場上，從而構建起我國功能互補、層級豐富完善的個人征信新格局。
來源：《中國信息安全》
