二、国际社会个人信用征信法规的评价

考察国际社会信用征信的法规，多数国家的征信立法主要是针对个人数据的保护，而涉及企业征信的内容很少。大部分国家没有为信用征集活动或机构单独立法。除美国以外，几乎所有其他经济发达国家都是以个人数据保护为主要立法对象，信用征信只作为“个人数据保护法”的规范对象之一。从根本上讲，各国征信立法的基本目的就是调节隐私保护与征信活动之间的矛盾，但各国的倾向性有很大差别。[1]

（一）美国个人信用征信法规的特点和缺陷

美国的征信法规体现了对个人信用征信的积极扶持、信用报告业以行业自律为主的管理体系和较宽松的个人隐私保护立法的特点，对国内征信机构的快速发展和社会信用总量的增长产生了直接推动作用。

1．立法对个人信用征信的积极扶持。首先，在立法目的上，美国制定法律和法规时力图在保障消费者隐私权与促进信用报告业发展及保证银行体系安全稳定之间寻找一个平衡点。而国会尤其希望通过提高消费者信用信息的透明度来减少银行体系的风险、维持公众对金融体系的信心，国会在FCRA的开篇就阐明其立法目的是欲通过个人信用报告机构提供的消费者报告，减少银行体系的资产风险、维持公众对银行体系的信心，从而保持银行体系的安全与稳定。其次，在立法方式上，美国采取了对信用征信单独立法的方式，如FCRA。再次，在立法内容上，FCRA将金融行业作为一个特别的信息使用者与其他使用者区别对待，该行业收集和获取消费者个人信息均不需经信息主体授权，将信用报告出售给某些第三方(如与消费者之间已存在借贷或保险合同的贷款银行、保险机构)时也常常无需信息主体的同意，从而相应扩大了金融业与征信业的权利，这一点在金融服务现代化法中也有明确的规定。[2]

2．以行业自律为主的管理体系。美国对个人信用征信长期以来主要采取自律方式，即依靠征信机构的自我约束和行业协会的监督来实现，在立法上对信用征信机构和征信活动的约束不多，体现在消费者隐私权保护上，也不如欧洲国家全面且严格。

3．较宽松的个人隐私保护立法。对于所有向征信机构提供消费者个人信用信息的主体，FCRA许可其不需信息主体授权而将个人信息转让给征信机构，但提供信息主体负有保证该信息正确、及时、完整的义务。此外，FCRA许可征信机构可向商业促销者出售消费者信用报告，并且事先并不要求取得被征信个人的同意，除非消费者行使了“选择退出”权利，明确通知信用报告机构将自己从此类促销名单上删除。可见，消费者向金融机构和征信机构所主张的隐私权受到了较大程度的克减。

但美国的征信法规也存在着以下缺陷：

1.过度扩大了信用征信机构的权利，克减了消费者的隐私权，极易诱发对消费者个人信息隐私的侵权行为。首先，FCRA允许征信机构向商业促销机构出售符合特定标准的目标消费者名单，虽然它规定商业促销者在取得名单时必须对消费者是善意的，即承诺向名单中的消费者提供商业信用，但是在实际操作容易被报告机构和商业促销者滥用从而侵犯消费者的隐私权。虽然消费者有“选择退出”的权利，但消费者要自行承担不作为所致的后果，FCRA对其权益的保护是不积极的。其次，FCRA中规定征信机构还可自行判定报告需求方是否有合理的商业需要从而向它认为是具有合理商业需要的第三方出售消费者报告，该规定非常模糊，实践中完全依赖企业和行业自律，极易引发对消费者的隐私侵权问题。[3]此外，FCRA对没有对敏感数据进行定义也没有对敏感数据的收集和使用进行限制。同时在补偿责任的规定上，FCRA对于使用不正确或过时信息的征信机构没有刑事处罚，这就起不到应有的约束作用。而且在实施过程中，“故意违约”和“疏忽违约”是很难区别开来的，因而该法的民事责任就显得软弱无力。[4]

2.对信用征信的自律管理方式缺乏一定的约束力，典型的表现是未规定信息提供主体提供信用信息的强制性义务。FCRA和GLBA都规定金融机构向信用报告机构提供客户的个人信用信息为一项权利而不是义务，这就隐含了某些金融机构可出于垄断客户资源的目的而拒绝向信用报告机构提供消费者信用信息的可能，最终损害优质客户的信用利益。但政府已意识到了自律方式的不可靠，意图以加强他律(立法和监管)方式来改进，以消除或减少公众对信用良好的消费者最终得不到其保持和谨慎利用信用的全部利益的担心。如在2001年1月18日，联邦金融机构检查委员会就发布声明告诫信用发放机构不要向信用报告机构隐瞒债务人的信息。[5]

（二）欧洲国家（主要是欧盟）个人信用征信法规的特点和缺陷

与美国的征信立法不同的是，欧洲国家（主要是欧盟）在发展个人信用征信和保护隐私权的平衡中更偏重于后者。

1．欧盟国家历来注重对个人隐私权的保护，消费者在个人信用征信中的隐私权受到完整的保护。[6]根据指令，消费者对自己的个人信息拥有保密权、支配权、知情权、更正权、维护权。消费者可以向信息提供者、征信机构和信息使用者主张个人信息隐私权，其个人信息隐私权未受到克减。

2．以全面立法方式确立对个人信用征信的管理，尤其是对消费者隐私权的保护。欧盟在个人信息的保护方面规定比较严苛，如通过立法禁止或限制征集敏感数据。这也许在相当程度上源于欧洲长期以来习惯于用全面立法的形式保护个人隐私权，在这些法律中，征信业并没有被作为一个特殊的情况处理，其权利和义务与一般的数据管理者没有区别。预防任何消费者隐私的可能滥用行为是欧盟内部管理信用机构行动的许多章程的目标。[7]

在协调个人权利保护与征信行业发展的矛盾方面，立法的不同倾向必然导致国家之间征信业长期发展结果的重大差别。欧洲国家信用征信起步时间与美国大致相同，但是由于欧洲国家更为重视个人隐私的保护，对征信机构的限制较多，征信机构的运作成本较高，大体上都必须承担以下两类经营成本：一是为尊重消费者的隐私权必须支出的成本，至少包括下列八种：在收集信息时征求消费者同意的成本；出售消费者报告时征求消费者同意的成本；出售消费者报告时核实买方身份及权利的成本；为保证信息的正确、及时、完整而持续投入的数据库硬件设备和软件成本；为满足消费者的知情权要求所需建立的自动或人工服务系统接口的成本；为满足消费者的异议权和错误信息更正权要求所需保持的自动或人工核查系统的运营成本；为保证信息的安全性与秘密性而采取的安全措施的成本；当消费者反对处理自己的信用信息时征信机构的机会成本等。二是由于可能发生侵犯消费者隐私权而导致赔偿的成本，即或有负债的确认及实际发生赔偿时的冲销，包括因职员的泄密、操作不当、设备故障、管理失误等可归责于征信机构的原因所致信息差错和泄密而给消费者造成的经济损失及精神损害赔偿。[8]与美国相比，欧洲消费信用的总量是比较少的，欧盟成员国之间也缺乏共享的消费者信用历史，这在某种程度上限制了资本货物和人员的流动，所以欧盟数据保护指令力图打破个人数据在成员国之间的流动限制，但由于它所规定的对个人数据的收集和使用方面都非常严格，对信用报告机构而言，获取个人信息和出售信用报告都比较困难，使它们相对于美国的同行处于竞争上的劣势，不仅欧洲消费信用的总量远不及美国，消费者的借款成本也高于美国。[9]

第二部分：信用征信中消费者个人信息隐私权的保护

随着个人信用征信业的发展，个人信用信息的商业化已成为必然。但信用征信在促进信息透明和经济发展的同时，也产生了侵犯消费者个人信息隐私权的负面效应。因此，如何处理好保护消费者个人信息隐私权和推动信用征信发展的关系已成为个人信用征信业的核心问题。该部分在研究消费者个人信息隐私权及其特点的基础上，借鉴各国对个人信息隐私权保护的立法经验，对我国隐私权保护的立法现状进行分析，针对信用征信中加强对消费者个人信息隐私权的保护提出了若干建议。