■曾 远

一、问题的提出

随着金融科技发展，大型科技公司和互联网企业进入金融领域增加了个人金融信息安全的复杂性和风险性。为此，中国人民银行等五部委在《金融业标准化体系建设发展规划（2016—2020年）》中，将金融信息安全标准化作为规划的重要拼图。《个人金融信息保护技术规范》《信息安全技术个人信息安全规范》《支付信息保护技术规范》等个人金融信息安全标准，正逐步在监管层面发挥着其“标准化”作用，织密了个人金融信息保护制度网络，促使金融类机构在各类企业服务文本（包括隐私政策、用户服务协议、信息安全告知、服务章程）中，向监管机构和社会传达尊重并保护公民个人金融信息的态度。切换视角发现，在各类因个人金融信息安全问题所产生的侵权纠纷或合同纠纷中，金融类机构通常会以“已经建立符合国家技术标准的个人信息安全管理体系，非常重视客户个人信息的保护，视客户信息为经营生命线，严格保护客户的个人信息”，甚至以“标准不是法律”作为其免责的抗辩事由。在此类案件的司法裁判过程中，法官对事实判断、裁决依据是以《合同法》《侵权责任法》条款为主，但难以见到标准的身影。虽然在个人金融信息保护领域的行政监管与司法裁判有着各自不同的制度逻辑与规范依据，但应看到，基于个人金融信息保护的立场，法律规范与标准均可视为个人金融信息保护工具，二者在个人金融信息保护功能上具有同质性。……