大数据时代我国金融信息保护机构的模式选择

【摘要】金融信息保护机构是金融消费者信息权保护制度的重要组成要素。世界范围内来看，个人信息保护监管设置有两种方式，即以欧盟为代表的统一监管模式与美国为代表专门监管模式。为了应对大数据等新兴技术带来的挑战，各国纷纷通过强有力的法律实施和执法惩戒，以增强个人对信息的有效控制。特别是2016年欧盟《通用数据保护条例》，突出强调了各成员国数据保护机构的独立地位和监管权力。在数据保护机构的职责及比较分析两种模式的优劣基础上，目前可采取由我国现有金融监管机构，即银行保险监督管理委员会、证监会分别履行银行保险、证券市场的消费者信息保护职责、中国人民银行负责监管信息的交流与协调之模式较为妥当。
【关键词】金融信息保护机构 模式选择 监管职责 大数据
* 本文刊载于《证券法律评论》（2018年卷）
从现有的大多数国家及地区的个人信息保护法律制度来看，信息保护机构是其不可或缺的组成要素。虽然在国际社会中，不同国家及地区的信息保护机构之称谓不同，但其性质、职能都有一定程度上的相似性。信息保护机构作为信息权益保障实施的核心，信息处理活动的监管者和执法机关，不仅监督信息控制者的信息收集、处理及使用活动，还有权对公私机构和个人实施的信息处理活动进行调查，并对违法行为实施处罚及制裁等。
一、个人信息保护机构设置模式概述
为了切实有效的执行个人信息保护制度，国际组织、国际会议的指南、政策上大都明确建议各个成员国设立专门的个人信息保护机构，并强调该执行机构要具有独立性及履行职责相匹配的权限。例如，OECD《1980年指南》第19条就指出，在国内实施第二、第三部分原则时，成员国应该为保护与个人数据有关的隐私和个人自由建立法律、行政或其他类别的程序或机构。《联合国个人数据指南》第8条，各国设立专门机关，尤其独立、公正的执行数据保护规定。欧盟《1995年指令》第28条，各成员国应当规定一个或多个公共机构对监督成员国依照本指令采取的有关规定在其境内的适用负责。还特别强调，这些机构在行使其职权时应当完全独立。《马德里决议》第23条，各国应根据国内法的要求设立一个或多个监督机构，负责监督各项原则的遵守情况。该等监督机构应公正、独立、有相关技术、有充分权力并有足够的资源以处理数据当事人的投诉，主导必要的调查和干预行动，确保个人数据处理方面法律得以执行。相比较而言，《APEC隐私保护纲领》有关执行制度相对宽松，成员国可以根据本国国情采取数据保护机构外的其他途径，保护个人数据（第31条）。
（一）个人信息保护机构的设置模式
从世界范围内来看，个人信息保护监管设置有两种方式，一是以欧盟为代表的统一监管模式，不仅有统一的国内数据保护法，还设立专门的信息保护机构，对包括公营机构及私营机构的全部领域实施集中监管。欧洲国家，英国、法国、德国、比利时、意大利、瑞士、西班牙、葡萄牙、荷兰、丹麦、卢森堡等国，以及受欧盟模式影响的我国香港、澳门地区、澳大利亚、新西兰、韩国、加拿大、马来西亚等国都设立了专门的个人信息保护机构。[1]
二是美国模式，即不设立专门的信息监管机构，由各个职能部门根据各自的权限进行监管，个人信息保护仅为其监管职责的一部分。例如，美国联邦贸易委员会以禁止不正当和欺诈性商业行为侵害消费者权益为依据，保护私人领域中的个人信息；美国联邦通信委员会负责督促电信运营商来保护相关电话使用者的消费者隐私；美国健康与公众服务部保护健康领域的个人隐私；联邦金融监管机构负责金融领域的个人隐私保护。
（二）个人信息保护机构职责
从各个国家及地区的个人信息保护机构的立法规定来看，其职责主要集中在宣传教育、管理、调查、执法监督、制裁等方面。
欧洲的数据保护机构在组织和职责上有很多相似性，最主要的差异就是部分国家采用“监察专员”（ombudsman）模式，如芬兰、匈牙利及瑞典；而另一些国家则是“管理”（regulation）模式，如法国、波兰及西班牙。[2]两种模式的区别在于：监察专员模式下，监管机构主要基于向其提出请求的个人，提供救济。例如要求对有关的个人数据进行修正，可能的话还要求赔偿，通常情况下数据保护机构并不主动介入数据控制者的经营活动。而在管理模式下，数据保护机构更关注法律是否得到切实的遵守，不论个人是否提起投诉申请，数据保护机构都会依职权主动进行相应的检查，以确保法律的执行。
1、行政指导
作为专门信息保护执法机构，制定信息领域的执法政策、文件，并对不同领域的自律规范进行指导，可以让个人信息保护制度得以更好的实施。
例如，西班牙《个人数据保护基本法》第37条，数据保护委员会发布法律或其他规范性条款中规定的授权事项；在可适用且不影响其他机构的职权的情况下，发布使处理操作符合本法原则的必要指示；发布指导，给出安全建议。澳门个人资料保护办公室自2007年成立后，出台了一系列相关领域在个人资料保护方面的指引性文件。[3]虽然这些文件并不具有约束力，但可以让社会大众更好的了解个人资料保护的内容，更有利于《个人资料保护法》的实施。同样地，香港个人私隐专员公署针对不同医疗、金融、移动通讯、人力资源领域，也出台了相关指引。[4]
2、受理申诉
受理信息主体提起的有关信息处理方面的纠纷，系信息保护机构的一项重要职责。
欧盟1995年《个人数据保护指令》第28条第4款，各监管机构应当听取任何人或其代表提出的涉及个人数据处理与其权利保护相关的主张，并告知其结果。各监管机构应当特别听取在适用第13条（例外及限制）采用的国内规定时任何人提出关于审查数据处理合法性的主张，并应告知其已经开始审查。根据指令，大部分欧洲国家在其信息保护立法中都规定了受理申诉的内容。[5]如，西班牙《个人数据保护基本法》第37条，数据保护机关受理数据主体的申请及投诉；奥地利《联邦个人数据保护法》第30条，任何人都有权以数据管理者或处理者对其权利构成侵害为由，向数据保护委员会提出申请。
3、行政调查
行政调查，系执法机构的一项主要权力，即指信息保护机构有权进入信息控制者或处理者的营业场所、办公场所，查阅相关电脑设备及其他信息存储设备，进入系统程序，取得有关信息，以判断企业或其他组织是否遵守个人信息保护制度的相关规定。
欧盟1995年《个人数据保护指令》第28条，监管机构应被特别赋予调查权，即获取有关数据的权力以及收集为履行监管职责所必需的所有信息的权力。虽然指令做了原则性规定，但就实地调查的范围、条件和具体要求上，各成员国国内法的规定也各不相同。
法国《数据处理、数据文件和个人自由法》第44条，CNIL的成员及CNIL委派进行专业服务的官员为履行职责，从上午6时至晚上9时，可以获取用于个人数据处理专门目的的地方、所处、环境、设备或建筑物，但私人用途的地方、处所、环境、设备或建筑物除外。如果管理场所的负责人反对调查，则调查人必须经高级法院院长批准，或者委托管辖处所所在地法官批准。CNIL主席向该法官提交请求书，法官根据民事诉讼法的规定作出决定。访问调查应当在授权法官的批准及监督下进行。访问期间，他可以进入该处所，也可以随时中断或延缓调查访问。
德国《联邦数据保护法》第38条，只要是为了履行监管机构职责之必要，就应当授权由监管机构指派进行监督的人员在工作时间进入被监管主体的财产或营业场所并在那里进行测试和检查。上述人员可以查阅业务文件，尤其是保存的个人数据及数据处理程序。负有提供信息的义务人应当许可此类措施的实行。
瑞典《个人数据保护法》第43条，监管机构有权依据其监督职能，获得个人数据处理的信息及文件，对个人数据处理设施进行检查。[6]
奥地利《联邦个人数据保护法》第30条第4款，为了实现检查的目的，在告知房屋所有人和管理人后，在行使调查权需要的限度内，数据保护委员会可以进入数据应用程序实施的房屋，操作数据处理设备，启动接受检查程序，并制作存储媒介的复件。[7]
荷兰《个人数据保护法》第60条，数据保护委员会可依职权或应数据当事人的控诉对数据处理开展调查，将结果告知有关当事人，并听取意见。第61条，注册办公室成员和特别人员、注册办公室秘书处官员、其他依据注册办公室决定指派的人员有权不经宅主同意进入其住宅。[8]
我国香港地区《个人资料（私隐）条例》也规定了专员的调查权。第38条，凡专员收到一项投诉；或者合理理由相信有符合下列情形的作为或行为，即已经或正在由资料使用者作出的或从事的、关乎个人资料的、及可能属于违反本条例规定的，则专员须就有关资料使用者进行调查，以确定在有关的投诉中指明作为或行为是否属违反本条例下的规定。
由此可见，相比瑞典、德国、荷兰、奥地利等国数据保护机构能够完全进入相关场所、设施并获取相关资料不同，法国CNIL进入场所进行检查的程序更为复杂，如果遭到反对的话，还需要获得当地法院的批准。英国的信息保护专员只有在公司同意或有搜查令的情况下才能进入公司内部进行检查。[9]奥地利法还特别强调调查权的行使应以对管理者及第三方造成最小干预的方式进行，避免因为行政权力的过度介入而影响到信息控制者的正常运营活动。
4、实施制裁
对涉嫌违法的信息处理行为，信息保护机构都有权采取相应监管执行措施，提醒、建议或警告、训诫，或者命令封存、删除和销毁数据，或者采取临时性监管措施如停止处理或最终性禁令，或者罚款等，以制止、惩罚违法行为。
法国《数据处理、数据文件和个人自由法》第45条规定了针对违反法定义务的数据控制人，CNIL可以采取多种制裁措施，按照严重性程度，依次为警告或限期停止、罚款、停止处理禁令、撤销批准等。在紧急情况下，CNIL在经过双方听证后，可以决定处理中断（最长中断期为3个月）；决定部分被处理的数据贴标隔离（最长贴标隔离期限为3个月）等。第47条，罚款应与违法严重性及其获利多少相适应。如果是第一次违反，罚款数额不应超过150000欧元；如果在第一次罚款确定之日起5年内第二次违反，则罚款数额不应超过300000欧元，或者对于法人不超过最后一个财政年度总营业额的5%，但不应超过300000欧元。多数欧洲国家其信息保护机构都有权命令封存、删除或销毁数据以及临时或永久禁止违法数据处理，如丹麦、荷兰等，但是德国、瑞典及意大利的数据保护机构没有命令删除或销毁数据的权力。
瑞典《个人数据保护法》第45条，若监督机构判定个人数据的处理系以或可能以非法方式进行，应通过提示或类似程序尽力修正。若依任何方式都不能得到修正或情况紧急，监管机构可以失职罚款为条件，禁止个人数据控制者用存储以外的任何方式继续处理个人数据。这里需要注意的是，瑞典数据监管机构无权直接删除数据，但可以向其所在郡的行政法院申请删除非法处理的个人数据（第47条）。
从上述规定看，行政罚款数额通常会比较高，处罚力度更趋刚性，数据保护机关不会轻易采用，一般是作为违法行为制裁的最后手段采用。[10]在采取该措施前，通常会发布警告或训诫就可以达到迫使违法行为人及时纠正违法行为的目的。
除了行政罚款，有些国家对于违法行为还规定了刑事责任。如，瑞典《个人数据保护法》第49条，故意或疏忽违反本法规定处理个人数据，以及向注册人提供不真实信息的，向监管机构提交的通知书中提供了不真实信息，以及违反规定向第三国传输个人数据，或者疏于按照本法要求提供通知等情形，将被处以罚金或6个月以下监禁，情况严重者，处以2年以下监禁。情节轻微的，不予处罚。
但是，实践中对违法者极少提起刑事制裁程序。刑事制裁主要针对那些屡教不改、主观恶性比较强的违法者，如不顾数据保护机构的反复警告仍然保留未登记数据库的数据控制者，或者故意藐视法律而出售个人信息的机构或个人。因为，很多欧洲国家的数据保护机构不是刑事司法机关，按照惯例通常会向警察或公诉机关检举违反数据保护法的违法行为，如奥地利、意大利、西班牙、丹麦及荷兰等国。
除了上述正式的制裁措施外，为了让数据控制者更好的遵守数据保护法，信息保护机构也会采取一些非正式的措施，如公开批评或点名。虽然这不是具体的惩戒，但是毕竟会对公司声誉造成负面影响，因为消费者通常会关注数据保护机构的这些声明。例如，2000年德国发生微软Windows2000操作系统问题。为了防止可能出现的风险，德国联邦政府要求微软公司披露Windows2000的源代码，以便检查是否存在“天窗”（trap door），但该要求被拒绝。德国政府为此进行公开的批评，最后微软公司同意从Windows2000中完全清除Diskeeper软件。[11]
5、信息公开
欧盟1995年《个人数据保护指令》就指出，监管机构应当将其活动每隔一段时间就写成报告，这些报告内容应予公开。通常，信息保护机构都会编制年度报告，对其一年内的执法活动如处理查询及投诉、个案处理等进行总结和评价，并就执法过程中出现的重点问题提出相应的意见和建议，引起本国立法机关、司法机关或其他行政机关的重视，让相关问题得以充分的讨论及思考。多数欧洲国家数据保护法都规定了这项职责。[12]
我国香港个人资料私隐专员公署自成立起，每年都公布年报，就该年度的法律工作、投诉工作、审查工作、推广工作进行回顾和总结。我国澳门个人资料保护办公室2016年8月公布的《2015年度报告》，总结了个人资料保护办公室2015年期间开展有关个人资料保护的工作，包括法律查询、个案调查、跟进申请、协调及推动法律的执行等方面，同时亦回顾了相关的国际及区际交流、社区关系、宣传和推广工作。同时，报告还指出澳门单牌车进出横琴措施，其保险承投所需的车主个人资料跨境转移问题以及团体提出设立的博彩借贷人资料库，其可能涉及的个人资料收集处理等个人资料保护领域中的焦点问题。
6、宣传教育
作为信息保护法的执法机构，向社会大众及信息控制者宣传教育普及个人信息保护制度内容，让更多的企业及组织、个人了解信息领域的权利及义务，是其一项主要职责。例如，英国《数据保护法案》第51条就规定，专员应当在其认为适当的范围内，鼓励商会备置并向其成员宣传实施本法良好做法的行为准则。
从实际运作情况来看，我国香港及澳门地区在教育宣传工作方面成果斐然。香港个人私隐专员公署在其官网上专门设有“教育及培训”栏目，里面开设专业研习班、网上学习平台、条例简介讲座、申请举办机构内部讲座、行业保障私隐活动、培训教材、国际会议及资讯科技讲座等内容。以网上学习平台为例，公署推出网上课程《研发流动应用程式》、《内部资讯科技管理的资料保障》、《最新的资讯及通讯科技与资料保障》、《中小企业个人资料私隐自学课程》、《零售业保障私隐面面观》、《个人资料（私隐）条例培训课程“课后评估”》、《医护人员保障个人资料私隐自学课程》、《酒店从业人员保障个人资料私隐自学课程》等，方便资料使用者可以直接在网上便利的了解到条例的相关规定，以及结合行业特点的个人资料保护的相关知识。同时，为了使律师、银行服务人员、保险机构、人力资源等领域从业人员等获得信息保护的培训，还定期开设个人资料专业研习班，包括隐私管理系统、资料保障法律实务研习班、资料保障与查阅资料要求、保险业的资料保障、直接促销活动的资料保障、银行/金融服务的资料保障、人力资源管理的资料保障等课程。不仅如此，为了提高香港市民对《个人资料（私隐）条例》的认识和理解，公署每月定期举办条例简介讲座，公开接受报名。例如，“智能手机的隐私陷阱”、“善用网上资料和社交网络保护个人资料兼广交好友”、“三招破五网络私隐陷阱”、“流动通讯日新月异教你善用新APPs保护个人资料”等结合市民日常生活的讲座，以通俗易懂的语言、图片及故事性内容让大家能够非常容易地了解到个人信息保护的基本常识。针对资料使用者，如果企业或其他组织需要了解更多条例的规定及在实务中如何更好的进行个人资料的保护，还可以向公署提出申请，要求举办机构内部讲座。
为了使公营机构可以在执行《个人资料保护法》过程中起到表率作用，我国澳门特区个人资料保护办公室在公营机构中全面展开上述法律的普及工作，包括讲解会、专题讲座、培训课程等，[13]协助市民掌握个人资料保护的相关规定，清晰自身的权利与义务，学会保护自身和他人的个人资料。同时，还全面开展个人资料处理的通知、申报。通过上述活动，公营机构可以全面检视其内部的个人资料处理情况，按照法律原则去分析相关的处理是否符合法律要求，特别是是否违反适度原则、是否具有正当性、是否确保当事人的权利等。对于私营机构，由于各行业的资料处理存在较大的差异性，个人资料保护办公室从行业需求出发，分门别类地进行宣传及指导。在这个过程中，其在行业协会的协助下，与各领域机构进行面对面的执法讨论，为其更好的执行法律提供指引。此外，个人资料保护办公室通过印制宣传单、宣传品、年报等，在各种场所放置宣传资料供市民免费领取等方式扩大宣传的范围，力求社会民众都能普遍了解到保护个人资料私隐权的重要性。[14]此外，澳门个人资料保护办公室应负责实体的要求，就具体的个人资料处理发出法律意见书，可以帮助企业或组织在处理个人资料时就合法性、正当性及适度性提出具体意见。
7、跨境国际交流合作
作为信息领域的监管机构，自然也肩负代表本国政府与其他国家信息监管机构进行跨境监管交流合作的职责。如英国《数据保护法案》第54条就明确规定，数据保护专员与其他EEA国家的监管机构或欧盟委员会进行交流合作。
8、保密义务
欧盟1995年《个人数据保护指令》第28条第7款，成员国应当规定监管机构成员及其全体官员对其所接触到的秘密信息负有保密义务，即便在其任其结束之后，这种保密义务仍然存在。基本上，欧洲大部分国家的数据保护立法均作了此项规定。例如，比利时法第34条，在不违反第32条第2款规定的情形下，委员会的委员、工作人员以及被请求协助的专家，有义务对基于职务履行获得的有关事实、措施或者信息保密。[15]
二、大数据背景下信息监管者的独立性和执法权力不断被强化
应该说，个人信息保护制度除了有明确的立法指引外，更要有执法机构的法律实施和执法保障。为了应对大数据、互联网、方位追踪等新兴技术带来的挑战，无论欧盟、抑或美国，都通过强有力的法律实施和执法惩戒，以加强个人对自身数据信息的有效控制。
欧盟2016年《通用数据保护条例》突出特点，即强化了各成员国数据保护机构的独立地位和监管权力。1995年《个人数据保护指令》施行后，虽然各成员国的国内数据保护法大都规定了数据保护机构应为独立机构，不得接受其他机关指示，同时应具有充分的资源，如办公场所、人员、经费等，以保障其履行职责的独立性。[16]但从实际运行情况看，由于面临着资源紧张的困境，很多成员国的数据保护机构不足以独立完成其法定职责。[17]为此，GDPR特别强调了数据保护机构的独立性。监管机构独立履行其职责，免受来自外部直接或间接影响，也不接受任何其他机构的指示；不得从事与履行职责不兼容的其他职务或从事其他有报酬的工作。各成员国应当保障监管机构自身独立的选人用人权，而且其财务支出属于国家预算的一部分。
GDPR第57条，具体规定了监管机构的职责，包括：监督和实施本条例；推动社会大众对个人数据活动之风险、规则、保障措施及权利的了解和认知，儿童数据处理要特别引起大众的关注；提出有关自然人数据保护的相关建议；帮助数据控制者及处理者对于本条例规定之义务的认知；基于数据主体的请求，向其提供相应信息，如果合适的话，与其他成员国的监管机构进行合作；处理数据主体、机构或协会的投诉，并在合适的情况下调查投诉的主题、告知投诉处理的进展，并在合理时间内答复调查结果；与其他监管机构进行合作，如信息共享、提供帮助等；根据本条例进行调查，包括根据其他监管机构或行政机构提供的信息开展调查活动；监测有关信息及通讯发展技术对个人数据保护产生的影响；采纳标准合同条款；建立并维护数据保护的影响评价指标；基于处理者相关的处理操作建议；根据第40(1)(2)条鼓励数据控制者或处理者拟定行为准则或建立认可数据保护的认可机制，并给出意见及予批准提供充分保障措施的行为准则以及认可标准；施行认可机制的定期审查；起草并发布鉴定机构的资格标准，以监测行为准则及认可机构；批准标准合同条款、约束性公司规则、参与欧盟数据保护理事会的活动；保留违反本条例的行为以及监管机构所采取的措施之内部记录等。
为了确保上述职责的顺利实施，GDPR第58条赋予监管机构三项权力，即：（1）调查权（investigative power），如命令数据控制者和处理者及其代表提供为履行监管职责所需的所有信息；执行审计形式的调查和对认可机制的审查；通知数据处理者或控制违反条例的行为；可以进入数据控制者及处理者的经营场所，接触到处理设备。（2）纠正权（corrective power），如针对数据控制者或处理者可能违反条例规定的行为进行警告；对控制者或处理者已经违反条例规定的行为进行训诫；命令数据控制者或处理者按照数据主体要求或者条例要求的特定方式并在一定期间内履行义务；命令控制者告知个人数据遭泄露的情况；对数据处理施加临时性或终局性限制；命令更正、删除或限制数据处理及告知个人数据披露的接收方；撤销证书或命令认可机构撤销证书，或当证书不在符合要求时，命令认证机构禁止颁发证书；罚款；命令中止个人数据向第三国或国际组织进行传输。（3）批准及建议权（authorisation and advisory power），如向控制者提供事先协商程序的建议；依职权或依申请，向成员国议会、政府或其他机构以及公众发表有关数据保护的意见；发布意见和批准行为准则；授权认证机构；发放证书及许可认证的标准；采纳及批准标准合同条款；批准约束性公司规则；批准行政性安排。需要注意的是，上述权力也只是最低要求，各成员国可以赋予监管机构其他额外权力。
同时，GDPR针对违法行为，具体列举了监管机构在实施行政处罚时应考虑的因素，如故意还是过失、先前违法行为、被侵害的个人数据的种类、是否采取了减轻损害的措施等等。同时，明确了罚款额的上限标准，即按照违法行为类别分为两档：第一档针对那些不能履行条例规定义务的数据控制者及数据处理者，不履行条例规定义务的认证机构以及不履行规定义务的有关行为准则的监督主体等，上述违法者将被处以一千万欧元或者前一年度全球营业额的2%，以两者中较高者为准。第二档针对未能说明如何获得了用户的同意、违反数据处理之一般性原则、侵害数据主体的合法权利、以及拒绝服从监管机构的执法命令等性质更为严重的违法行为，违法者将被处以两千万欧元或者企业前一年度全球营业额4%，以两者中较高者为准（第83条）。显而易见，数据保护机构的处罚限额和力度都明显地加大和提升。
在美国，联邦贸易委员会、联邦通信委员会、金融消费者保护局等执法机构，对侵害隐私权的违法行为实施零容忍，并施以重罚。例如，2015年《消费者隐私权利法案草案》就明确规定，任何违反本法案的行为都被视为是《联邦贸易委员会法案》第五部分项下的“不公平行为”或“欺骗行为”（unfairor deceptive acts）。联邦贸易委员会（FTC）将处以高达25,000,000美元的民事罚款。罚款的计算方式，既可以按照该主体违反法案的天数累计计算并由FTC确定罚款的具体数额（不超过35000美元），也可以按照遭受直接损害的消费者的数量累计计算（不超过5000美元）。只有当FTC向相关主体通知其所涉嫌的违法行为，并在45日内要求其答复时，才能采用后一种罚款的计算方式。针对违法行为，州检察官也可以采取申请禁令救济的方式。美国联邦通信委员会（FCC）对手机相关的电信运营商进行相应的管制，如果运营商未经手机用户同意就将用户数据和信息用于它途，或者将用户信息进行二次销售，都将受到严厉的惩罚。为了强化救济程序，在2016年11月“有关保护宽带客户及其他通讯服务的保护的报告和指令”中，FCC特别强调将于2017年2月启动在宽带服务客户合同中强制性纳入仲裁要求的规则。[18]
韩国在其2011年《个人信息保护法》中，进一步完善了个人信息的事后救济程序法。一方面，该法进一步扩大了“个人信息纷争调停委员会”的职权，改变过去只调解民间领域的个人信息纷争、不调解公共领域的个人信息的不周全问题，能够为双方信息纠纷的解决提供调解途径。而且，为了便于及时受理个人信息侵害案件，韩国还专门设立了“个人信息侵害申告中心”。一旦发生个人信息侵害事件，受侵害的信息主体可以拨打该中心的电话，申报个人信息被侵害的事实。另一方面，鉴于一些情形下个人信息的被侵害方往往人数众多，该法第7章专门规定了个人信息的团体诉讼制度。而且，该法将侵害个人信息的违法行为的处罚上限提升至10年以下有期徒刑，最高可处10亿韩元的罚款。[19]
英国2017年《数据保护法案》第六部分赋予信息专员广泛的执法权限。信息专员不仅保留了1998年《数据保护法》规定的监管权力，还获得了更多的执法权限。第148条规定，如果信息专员认为数据控制者或处理者违反了本法相关规定，行为人不遵守评估通知或者执行通知，专员可以书面处罚通知形式要求该行为人向专员支付一定数额的罚款。针对不同违法情节，英国新法案专门引入了两个概念，即标准最大数额（the standard maximum amount）及更高最大数额（the higher maximum amount）。前者是指如果涉及企业，1亿欧元或前一年度全球营业额的2%，以较高者为准，如果其他情形按1亿欧元计算；后者是指如果涉及企业，2亿欧元或前一年度全球营业额的4%，以较高者为准，如果不涉及企业按2亿欧元计算。如果违反了执行通知，处罚应为更高最大处罚数额。显而易见，相比GDPR，英国新法案设定的处罚限额和力度都有明显的加大和提升。
综上，大数据时代的数据价值更多体现在对零散而大量的原始数据的深度挖掘和分析，提炼出更有经济价值的信息。这种特征也使得传统个人信息保护的重心从原来的“告知同意”模式，转变为“事后控制”模式，因此强化个人信息违法行为的事后救济处罚机制、加大执法力度、完善诉讼及非诉程序成为新形势下个人信息保护制度发展的一个共有趋势。
三、我国金融信息保护监管机构的模式选择
（一）监管模式比较分析
事实上，两种监管模式各有优劣。从总体上看，设立专门信息保护机构之监管模式，将监管权限集中于一个专职部门，有利于监管权限的行使，对公私领域、不分行业实施监管，能够实现执法标准、执法程序的相对统一。但其弊端在于不区分行业领域实行统一化标准，往往会忽视不同行业信息保护的个性化要求。而且，设立一个独立的专司信息保护的监管机构，要拨付相应的机构运营费用，监管成本必然上升。相比之下，后一种模式更倾向于关注各领域的个性、特殊性，由该领域的监管当局承担个人信息保护职责，鉴于各监管当局长期从事相关行业监管，积累了丰富的监管经验，监管措施不仅有针对性且更具实效性。但不足之处也非常突出，即监管当局只是附带性实施该领域的个人信息保护，在监管力量、人员配比、资源投入等方面都有所欠缺，而且监管标准在不同行业存在差异，可能导致监管套利问题的出现。
就目前的立法实践来看，采用专门立法保护模式的相关信息法律法规大都不会深入到每一个行业领域的每一个信息保护细节，毕竟各个行业在信息储存时限、可加工信息甄选、数据主体权利延伸等方面，都存在着差异性。[20]为了克服在具体行业上存在的不足，即便采用专门信息保护机构模式的部分国家及地区也会针对不同行业制定具体行业指引，引导并规范不同领域的信息处理行为及活动。如前所述，我国香港及澳门地区发布了相关行业指引，积极督促该领域企业或其他机构遵守《个人资料保护法》的规定。金融行业因其行业特点，提供的准公共产品的特性，更需要执行性法规的存在，且基于保险、银行、证券等不同金融领域的划分，可能还需要更加细化的执行性法规存在。这种执行性法规与以往的行业规则或是行业习惯不同，它是由政府信息保护机构发布的，因此应当算作政府信息保护立法中的一个重要组成部分，政府信息保护机构即成为执行性法规的制定者和执行者。
（二）我国金融信息保护的监管机构设置选择
就目前我国国内信息保护法制现状看，个人信息权尚未成为法律上明确认可的一项具体人格权，也还未出台专门的个人信息保护法，更不要说设立专门的信息保护机构了。故而，在信息保护机构设置选择上，现阶段可采取由我国金融监管机构，即证监会、银行保险监督管理委员会履行证券期货、银行及保险市场的消费者信息保护职责、中国人民银行负责监管信息的交流与协调之模式较为妥当。金融监管机构不仅对于金融机构执行信息保护政策及履行信息保护义务的情况进行监管，同时也要对金融消费者进行信息保护方面的宣传教育。为了更好的履行信息保护职责，作为金融领域的信息保护机构还需要与其他领域的执法机构进行配合，以确保信息保护工作落到实处。
具体而言，金融监管当局更着眼于履行以下监管职责：（1）制定相关的金融信息保护规定，以便于金融机构根据该规定调整自身的信息保护政策；（2）定期审查金融机构信息保护部门提交的信息保护政策，并与金融机构的信息保护部门随时保持联系，监督其履行保护义务的行为；（3）受理金融消费者提交的与信息安全有关的争议，并提出解决方案。金融机构一旦涉嫌侵犯金融消费者信息安全，权益被侵犯的金融消费者往往人数众多。在这种情况下，金融监管当局可以作为第三方对被侵权的金融消费者群体与金融机构直接的纠纷进行调解，以谋求对纠纷事实的认定和争议解决的快速合理处置方法。对于金融消费者，监管机构则应强调教育引导作用，强化金融消费者对信息权和数据安全的认知，提高自身的维权意识。
待我国个人信息保护立法发展到新的阶段，如出台专门的信息保护法，这时再谈设立专门信息保护机构才有了法律上的基础。可由该机构统一负责整个信息领域的保护职责，同时在金融领域与上述金融监管机构积极合作，如联合发布金融信息保护的专门规章或通知意见等规范性法律文件，就金融行业的信息保护作具体的执行性规定。
[1]英国称之为“数据保护专员”（the DataProtection Commissioner）；法国称为“国家信息与自由委员会”（The Commission Nationale DeL’Informatique et Des Libertés,CNIL）；德国联邦一级称为“联邦数据保护专员”（Federal Commissioner for Data Protection），州一级为州数据监管机构（Supervisory Authority）；西班牙称为“数据保护委员会”（Agencia de Proteccion de Datos）；比利时称为“保护个人隐私权利委员会”（Commission de la protection de la vieprivee）；意大利称为“格然特”（Garante per la protezione dei datipersonali Piazza di Monte Citorio）；芬兰称为“数据保护督查办公室”（Office of the Data Protection Ombudsman）；爱尔兰称为“数据保护专员”（Data Protection Commissioner）；荷兰称为“数据保护机构”（Dutch Data Protection Authority, College beschermingpersoonsgegevens,CBP）；韩国称为“个人信息保护委员会”；我国香港地区为个人私隐专员公署；我国澳门地区为个人资料保护办公室。
[2]参见[德]Chistopher Kuner著：《欧洲数据保护法》，旷野、杨会永等译，梁光严、刘蔚审校，法律出版社2008年版，第16页。
[3]截止2016年底，该办公室根据澳门《个人资料保护法》的规定，共制定了12份有关个人资料处理的指引性文件，包括：《关于工作场所个人资料保护原则——雇主对雇员活动监察的指引》、《关于职业介绍所处理顾客个人资料的实务注意事项》、《使用指纹/掌形考勤设备的问题》、《有关采用指纹/掌形意外识别生物特征技术之考勤设备的问题》、《关于应用面型特征资料考勤系统的查询》、《关于涉及个人资料的公共档案的保存期的意见》、《间接收集个人资料中的资讯权问题》、《在互联网上发布个人资料的注意事项》、《非高等教育机构处理个人资料的注意事项》、《商户处理支付卡持卡人身份证明文件资料的指引》、《非高等教育机构处理个人资料的注意事项》、《为选举宣传目的处理个人资料的指引》、《流动应用程式开发的指引》。
[4]在生物特征资料领域，《收集及使用生物辨识资料指引》（2015年7月）；在儿童私隐领域，《经互联网收集及使用个人资料：以儿童为对象的资料使用者注意事项》、（2015年12月）《儿童网上私隐——给家长及老师的建议》（2015年12月）、《儿童手册：保护私隐尊重别人》（2004年3月）；在银行、信贷领域，《银行业界妥善处理客户个人资料指引》（2014年10月）、《个人信贷资料实务守则》（2013年1月）、“认识《个人信贷资料实务守则》——共用按揭资料作信贷评估的常见问题”（2015年10月）；在企业管治领域，《私隐影响评估》（2015年10月）、《私隐管理系统最佳行事方式指引》（2014年2月）；在收集、查阅资料方面，《拟备收集个人资料声明及私隐政策声明指引》、《资料使用者如何妥善处理查阅资料要求及收取查阅资料要求费用》（2016年6月）、“如何行使你在《个人资料（私隐）条例》下的查询个人资料权（常见问题及答案）”（2016年6月）、《资料使用者如何妥善处理改正资料要求》（2012年12月）、《查阅资料要求表格》《2012年9月》；在资料外泄方面，有《资料外泄事故的处理及通报指引》（2016年12月）、《资料外泄事故通报表格》（2010年6月）；在直接促销领域，《直接促销新指引》（2013年1月）、“根据《个人资料（私隐）条例》行使你同意及拒绝直接促销活动的权利”（2015年9月）；在竞选方面，《竞选活动指引》（2015年8月）；在人力资源管理领域，《人力资源管理实务守则》（2016年4月）以及《雇主及人力资源管理者指引》（2016年4月）；在跨境资料转移方面，有《保障个人资料：跨境资料转移指引》（2014年12月）。在零售、物业、美容、移动电话服务供应商、医疗等领域都有相应的指引。
[5]有学者认为在受理有关事项范围上存在差异，并举例奥地利及芬兰法，个人仅将关涉查询和修改资料等权利提交资料保护机构处理。但笔者查阅了芬兰法及奥地利法，都没有发现上述范围上的限制。如果在范围上对申诉事项进行限制，相当于提升准入门槛，势必会大大阻碍信息主体积极行使其救济权利，挫伤其保护自身合法权益的积极性，本身也不符合个人信息保护立法的本意。参见孔令杰：《个人资料隐私的法律保护》，武汉大学出版社2009年版，第249页。
[6]关于瑞典法相关规定中文翻译，参见周汉华主编：《域外个人数据保护法汇编》，法律出版社2006年版，第305页。
[7]关于奥地利法相关规定中文翻译，参见周汉华主编：《域外个人数据保护法汇编》，法律出版社2006年版，第101页。
[8]关于荷兰法相关规定，参见周汉华主编：《域外个人数据保护法汇编》，法律出版社2006年版，第267页。
[9]参见[德]Chistopher Kuner著：《欧洲数据保护法》，旷野、杨会永等译，梁光严、刘蔚审校，法律出版社2008年版，第17页。
[10]例如，2000年7月，西班牙数据保护委员会认为微软IbericaSRL公司在没有征得数据主体同意、没有向数据主体提供充分信息的情况下进行个人数据的处理及传输，对该公司课以一千万比索的罚款（相当于约6万欧元）。参见[德]Chistopher Kuner著：《欧洲数据保护法》，旷野、杨会永等译，梁光严、刘蔚审校，法律出版社2008年版，第56页。
[11]参见[德]Chistopher Kuner著：《欧洲数据保护法》，旷野、杨会永等译，梁光严、刘蔚审校，法律出版社2008年版，第57页。
[12]德国《联邦数据保护法》第26条，联邦数据保护专员应当每两年向联邦议会提交一份行动报告。此报告应当告知联邦议会和公众在数据保护领域的重要进展。英国《数据保护法》第51条第2款规定，专员应在本法规定的职能范围内，以其认为适当的形式披露其认为可以有助于公众尽快了解本法实施情况、良好做法或其他事项的信息，并可以就上述事项提出建议。第52条，提交议会审议的报告及行为准则。西班牙《个人数据保护基本法》第37条，定期出版文件列表及其他必要信息；草拟年度报告提交司法部。比利时《个人数据处理的隐私权利保护法》第33条，委员会应向立法会议每年递交一份关于其工作活动的年度报告。
[13] 2015年，个人资料保护办公室以“资讯安全”为主题，以青少年为重点宣传对象，推出了系列具有针对性的宣传活动，如举行“青少年安全上网”研讨会、“安全上网”学生中文征文比赛等，并与教育界合作制定《非高等教育机构处理个人资料行为守则》、编制《隐私教与学》个资保护辅助教材等。2015年度，办公室共召开《个人资料保护法》讲解会41场，参与人数2123；研讨会及讲座7场，参与人数1027；开设培训课程119场，参与人数为2511，成效显著。参见2016年8月30日出版的《个人资料保护办公室年度报告2015》。
[14]参见陈海帆、赵国强主编：《个人资料的法律保护：放眼中国内地、香港、澳门及台湾》，社会科学文献出版社2014年版，第13-15页。
[15]关于比利时法相关规定翻译内容，参见周汉华主编：《域外个人数据保护法汇编》，法律出版社2006年版，第156页。
[16]如法国法第21条规定，CNIL成员在行使职权过程中不得接受任何机构的任何命令；荷兰法第52条规定，委员会在履行职责过程中应保持独立。
[17] Commission of theEuropean Communities, Analysis and Impact Study on the Implemantation ofDirective EC 95/46 in Member States, 2003, p38.
[18] Federal Communications Commission, Report and Oder: Protecting the Privacy of Customers of Broadband andOther Telecommunications Services, FCC 16-148, November 2, 2016.
[19]参见康贞花：“韩国《个人信息保护法》的主要特色及对中国的立法启示”，《延边大学学报》2012年第4期，第69页。
[20] Mario Viola de Azevedo Cunha, MarketIntegration Through Data Protection: An Analysis of the Insurance and FinancialIndustries in the EU, Springer, 2013, p200.