《条例》第二十三条规定,征信机构应当建立健全征信信息保密管理制度,建立信息查询内部分级管理制度,在信息收集、整理、保存、加工和使用过程中确保信用信息不被泄露。征信机构的工作人员应严格遵守保密制度,不得擅自查询或越权查询该机构拥有的信息,不得泄露在业务工作中获悉的信息。这对征信机构的安全保护义务起到很好的法律规范作用。

3.保持独立、公正的义务

信用信息对个人关系重大,信用信息的公正性就显得尤其重要。如果征信机构受某种利益的左右,信用档案信息失去了公正、客观性,不仅不能服务于社会,提高经济运行效率;相反还会贻害于人,成为扰乱市场的一个根源。因此,征信机构作为独立于市场交易的第三方,应客观、公正地收集信用信息,提供信用信息服务。不应受到除法律以外的政府、企业或个人的干涉。《条例》中对于这点并没有提出,笔者认为在总则或征信机构的一般规则中应有所体现。

二、对个人信用档案主体的保护

个人信用档案主体,就是指其信用信息被征信机构收集、处理和利用的人,即被征信人。对于个人信用档案主体的称呼,美国使用的是“消费者”,而欧盟使用的则是“数据主体”。一般而言,个人信用档案主体应当为个人(即自然人),而不包括法人或其他组织。

整个信用档案管理流程是围绕个人信用信息展开的,个人信用档案的建立又是以个人信用信息在一定范围内公开为前提的,因此不可避免地会涉及到个人信用档案主体的隐私问题,这也是个人信用档案立法的焦点。《条例》对个人信用档案主体的保护,从“总则”中的基本原则到“分则”中的具体规则都有体现。但是笔者认为《条例》对于个人信用档案主体的保护是不全面的,随着个人权利空间的逐步拓展和权利种类的渐趋细化,与个人信用档案有关的个人权利不仅包括隐私权,还有可能涉及个人的信用权、自由权、姓名权、名誉权等多种人格权。因此应充分明确个人信用档案主体的信息权。

为了有效规避公民信息在经济社会中可能受到的侵犯,我国个人信用档案立法应强调个人信用档案主体享有以下信息权利③:

个人信用信息同意权,是指个人信用档案主体决定其信息是否被该征信机构征收,基于何种目的、以何种方式在什么范围被处理、利用的权利。《条例》也规定除了行政机关、司法机关以及法律、法规授权的具有管理公共事务职能的组织已经依法公开的信息和其他已经公开的信息外,征信机构收集、保存、加工个人信息应当直接取得信息主体的同意。

个人信用信息知情权,是指个人信用档案主体有权知道其信用信息处理情况。个人信息知情权是实现个人信息权其他方面的基础,因为只有个人信用档案主体才会对自身的信息存在高度的敏感性,最容易发现个人信用信息中的错误,能积极主动更改错误信息和已过时信息,从而保证收集和使用信用信息的准确性和完整性。《条例》第三十九条中的“信息主体有权按照国务院征信业监督管理部门的规定向征信机构查询自己的信用档案。信用档案应包括信用信息、信用信息来源和信用信息查询记录”正体现了这一点。

个人信用信息更正权,是指个人信用档案主体发现其信用信息不正确、不完整、未更新,可要求有关征信机构更正、补充的权利。个人信用信息更正权的赋予,既是个人信用信息知情权演绎和发展的必然逻辑,也是实现对个人隐私权保护的有效制度安排。

个人信用信息删除权,是指个人信用档案主体要求征信机构删除其信息的权利。在个人信用档案管理中,对确认为错误的信息,征信机构非法储存、超范围储存、逾期储存个人信用信息的,个人信用档案主体均有权要求予以删除。

应该说《条例》中以上规定对公民的信息更正、删除、保密权的保护是比较完善的,但是对异议处理完毕以后除了书面答复个人信用档案主体外,还应免费提供一份信用档案,以保证个人信用档案主体了解自己的异议处理的最终情况。

个人信用信息救济权,当个人信用档案主体的权利受到侵害时,应获得事后的民事、行政、司法上的补救。《条例》第四十一条规定,信息主体认为征信机构、信用信息提供者和信用信息使用者侵害其合法权益的,可以向国务院征信业监督管理部门投诉。救济制度可以启动个人信用档案主体对征信机构、信用信息提供者、信用档案使用者的监督程序,使我国对个人信用档案主体的保护制度更加完善。

个人信用信息封锁权,是指个人信用档案主体对其信用信息的准确性向征信机构提出异议,在异议未解决期间,个人信用档案主体有权要求征信机构以一定方式暂停信息继续处理和利用。另外,当双方对信用资料的正确性发生争议,征信机构又无充足理由证明的情况下,也必须对该信用信息进行封锁,不能予以提供。这是《条例》中所欠缺的,笔者认为有必要增加。个人信用档案信息的封锁权可以保障异议处理期间,公民的合法权益。

三、对信用档案信息提供者的规制

个人信用档案信息提供者,是指为征信机构提供其掌握的关于公民的信用信息的社会组织或个人,如银行、保险公司,公共服务部门(如水、电、气)等。