数据流通与共享对于金融控股公司的重大意义

首先，数据流通与共享顺应了金融机构的数字化转型。在大数据时代，海量的数据规模、快速的数据流转、动态的数据体系和多样的数据类型赋予数据前所未有的价值，以至于著名杂志《经济学人》将其比喻为21世纪的石油。随着现代网络信息技术的发展，金融业由金融电子化和金融信息化，正在向移动化、网络化、数据化、智能化迈进。在这一数字化转型中，数据的收集、汇聚和流通为各种个性化服务和风控模型奠定了基础，降低了金融服务成本、促进供需精准匹配，显著提升了金融运作效率，并且激发出新业态和新模式，推动金融业务向形态更高级、分工更精准、结构更合理、空间更广阔的阶段演进，最终驱动实体经济和虚拟经济、区域经济和全球经济的升级转型和创新跨界。孤立的数据没有意义，数据的孤岛应被打破。要激活金融数据的价值，必须依赖于数据的流通与共享。

其次，数据流通与共享是金融控股公司发挥协同效应的关键一环。在现代金融业的运作过程中，商业银行、投资银行、证券、保险等金融机构之间的边界越来越弱化，大幅降低各种金融业务互动与合作的成本，使企业更加容易地打破组织壁垒、实现规模经济和协同效应。正因如此，金融混业经营已是世界金融业的大势所趋。以金融控股公司为中心，各个关联公司得以在统一平台上相互支援，通过销售协同、运营协同、投资协同、财务协同和管理协同，提供综合性、一体化的金融服务，提升金融机构的经营效率，最终形成高度协同性和战略性的核心竞争力。这恰恰要求金融控股公司进行组织和流程的再造，发挥资金、技术、研发、人才、营业、信用的流动和共享优势。作为各个关联公司重要资产的数据，自然概莫能外。

最后，数据流通与共享有利于防范金融风险。一般而言，金融风险包括信用风险、操作风险和跨市场、跨行业的系统性风险。其中，信用风险是金融业面临的最主要风险，其根源于金融机构与其交易对手之间的信息不对称。数据流通与共享不但有助于扩大金融机构的数据规模、加速数据流转，而且不同的数据来源令数据类型多样化，金融机构得以从多维度、全方位、无遗漏地判断交易对手的信用等级与信用水平，显著提高风险识别能力，降低信用风险。其二，就操作风险而言，数据流通与共享有助于在多个公司之间建立闭环式管理和统一的风险计量体系，将整改管理、违规积分管理、流程优化、现场检查审计等系统模块无缝对接，及时核查整改处罚，提升合规管理的有效性和针对性。其三，数据在企业与企业之间，企业与政府之间的流通与共享，是金融综合监管、防范系统性的基础。通过风险数据的实时共享，监管模式由之前监管方单一治理转变为利益相关方共同治理，由此带来风险处理全局性、动态性和前瞻性，消解了系统风险的累计与发酵。

 各国鼓励金融控股公司的数据流通与共享

尽管强化对个人数据的保护已得到全球共识，但由于金融数据天生所具有的公共性，即其不但关系到数据主体人格，更关系到社会对该主体的经济评价，世界各国对于金融数据多不强调“个人控制”的理念，转而采取鼓励数据流通和共享的立法立场，以避免个人过分美化自身信用、结果损及他人的“道德风险”。其中，尤以美国1999年《金融服务现代化法》为典型。作为美国经济大萧条时期以来对金融服务业法律体系的最大修正，《金融服务现代化法》彻底改变了1933年的《格拉斯-斯蒂格尔法》，允许一个金融控股公司可以拥有商业银行、投资银行、保险公司以及其他各类公司。事有凑巧，在国会对该法进行讨论之时，恰逢美国银行盗卖客户资料案（Hatch v. U.S. Bank）的审理。尽管这一案件以和解结案，却促使联邦众议员采取立法行动，将个人数据保障加入其中。与此同时，人们更意识到数据流通与共享对于金融业务重组是必不可少的，正如美国财政部货币监理署官员John Hawke Jr.在国会听证会时所言：“整个金融服务业领域，就是一个信息导向的企业，以信息交换方式提供有利于消费者和金融机构是重要的市场功能，可以促进信用卡、投资、保险或其它的金融交易”。故此，《金融服务现代化法》第五章力图平衡不同的诉求，寻找个人数据保护的最佳路径。

利益平衡的结果就是采取金融控股公司关联方和非关联方二元分置的规则设计。这里的“非关联方”是指与金融控股公司不具有下述关系的实体：1）金融机构的关系企业；2）与金融控股公司具有共同所有关系；3）属于金融控股公司依事实上的公司控制而形成的关系企业。针对“关联方”，金融控股公司可以自由地向其传输个人数据，可在此情形下，金融机构应在合同关系成立以及每年度以“通知书”的形式明确向用户披露共享信息类别。针对“非关联方”，个人数据的流通和共享则应受到“公平信息实践”的限制，即应遵循“通知/注意”、“选择/同意”、“接近/参与”、“完整/安全”和“执行/补偿”的具体规则。详言之，在向非关联方共享数据之前，金融机构应以书面、电子或其他形式，将数据共享的类型、非关联方的类型、数据使用的目的、用户拒绝共享的权利等事项告知用户；用户应得到如何行使拒绝共享的说明，并有权随时退出。只有在满足上述要求后，个人数据方可用于为用户提供必需的服务，或金融机构自身经营，包括推销自身产品或联合推销。但不论如何，金融机构不得将账号、信用卡账号、账户交给非关联方，用于其直接营销（电话营销、电子邮件或其他营销）。

《金融服务现代化法》对他国的立法产生了深刻影响。2009年，韩国以该法为基础，修改《金融控股公司法》。其48条之二一改之前对金融数据共享的限制，规定：金融控股公司可以以营业为目的，向其所属的金融公司等提供有关金融交易内容的信息或者资料以及其他被允许的个人信用信息。然而，在2014年韩国史上最大规模的信用卡信息泄露案后，该条款因舆论压力不得不有所改变。2014年11月，该条款被修改为：除非获得用户同意，金融控股公司只有处于管理目的，才能共享用户信息。可人们很快发现，该规定对数据共享的目的、范围和期限的限制过于严苛，大大阻碍了金融控股公司的发展。为此，2018年5月，韩国金融服务委员会表示，为满足物联网和大数据分析等新技术的需求，将考虑逐步采用美式数据共享监管模式，允许企业在未获得用户初始同意的情况下收集和使用一些“非必要”的个人数据。总之，韩国的金融控股公司立法呈现出从严格到宽松再到严格，现在又趋向宽松的监管态势，充分说明了金融数据流通与共享需求的“刚性”。

我国金融控股公司个人数据流通与共享的顶层设计

在万物互联的时代，每个人都已经或将要数据化，个人数据权利由此成为我们所珍视的法律价值。但是，也正如欧盟《一般数据保护条例》（GDPR）的序言所强调的：个人数据保护并非绝对权利，必须根据比例原则考虑其在社会中的作用，并与个人和家庭生活、通讯自由、思想、意识和宗教自由、言论和信息自由、商业活动自由等其他权利相平衡。故此，个人数据的保护规则不能整齐划一，而应在纷繁复杂的场景下，作出因地制宜的架构设计。就金融控股公司的监管立法而言，我们要特别注意其在落实服务实体经济、防范系统风险的同时，依然有着推动金融控股公司发展的远大使命。正如美国《金融服务现代化法》是在金融全球化和日本、英国等国强大金融产业压力下做出的变革一样，我国金融市场正逐步开放，尚处于分业经营状态的国内银行、证券、保险业面对着国际金融巨头的残酷挑战。基于此，我国应借鉴《金融服务现代化法》的观念，将“效率与竞争”作为金融控股公司监管立法的重要基准。立基于此，金融控股公司数据流通与共享的规则应从如下两方面展开：

一方面，应允许个人数据在金融控股公司和其关联公司之间充分流通与共享。金融控股公司的优势在于整合不同业务领域中有形或无形资产，充分发挥协同效用。作为数字经济的生产要素——数据的协同自然是不可或缺的一环。金融控股公司为用户提供服务和防范风险的目的，足以正当化其个人数据的使用，而无需另外获得用户的授权。但是，为避免金融控股公司滥用该规则，仍应赋予用户充分的数据权利，加以制衡。例如，在首次收集个人数据时，金融控股公司应在网站首页或APP显著位置向用户清晰、明了地告知其数据可能与其关联公司共享，包括共享的范围、目的和保存期限；个人数据仅能用于其关联公司法定经营范围之内的目的等。最后，金融控股公司对各关联公司的个人数据侵权行为要承担连带责任。这既与国际通行的“金融控股公司加重责任制度”一脉相承，也最大限度地维护了用户权益。

另一方面，应限制个人数据从金融控股公司向非关联方的流通与共享。这是因为，当个人数据流向非关联的第三方时，将产生不可控的风险。首当其冲的是“不当使用风险”，即违反目的限定原则，破坏用户对于个人数据使用的期待。其次是“数据安全风险”，即金融控股公司管控数据供应链和数据生态安全风险的能力因第三方的存在而可能被削弱。最后是责任认定和救济不足风险，在数据泄露或滥用的情形下，由谁以及如何对用户承担赔偿责任并不明确，同时第三方可能因资信不足无法让用户获得充分救济。正因如此，我们应摒弃《金融服务现代化法》的“选择退出”模式，遵循我国《网络安全法》《金融消费者权益保护实施办法》《关于银行业金融机构做好个人金融信息保护工作的通知》的规定，坚持“选择进入”规则，即未经用户自主选择同意，金融控股公司不得将其个人数据与非关联方之外的第三方共享。

总之，“执其两端，用其中于民”。只有动态地反思个人数据保护和金融发展这对矛盾，有取有舍，才是我国金融控股公司监管立法的“中道”。