贷超和助贷侵犯公民个人信息的责任边界和辩护要点

2023-04-28

引入：

今年3月，银保监会办公厅下发《关于开展不法贷款中介专项治理行动的通知》，要求各银保监局、各银行业金融机构要深刻认识不法贷款中介乱象的严重危害，成立专项治理行动领导小组，制定具体工作方案，部署开展为期六个月的不法贷款中介专项治理行动。近期，部分贷超平台和助贷企业深陷侵犯公民个人信息罪的漩涡。事实上，贷超平台和助贷企业作为沟通具有贷款需求的用户和提供贷款的放贷企业的中介平台，总是不可避免地需要收集用户与贷款相关的个人信息，以帮助用户更好地匹配合法合规的放贷公司。如何把控平台企业正常经营和对公民个人信息权益保护的界限是企业合规中需要考量的重要命题，本文将从贷超平台和助贷企业定位特殊性和用户知情同意规则入手，讨论对贷超平台和助贷企业涉侵犯公民个人信息的责任边界和辩护要点。

一、审视贷超平台和助贷企业定位的特殊性

信息技术时代，许多公司通过互联网向境内外自然人提供产品或者服务，公民为享受网络服务，不可避免地需要将个人信息进行一定程度的公开，因此如果过度干涉企业对于个人信息的收集，将不利于企业为公民提供互联网服务。贷超和助贷公司就是前文所提及的需要收集公民个人信息的企业的典型。贷超和助贷机构备受诟病的原因之一是行业门槛较低，没有专门的牌照。但事实上，贷超和助贷机构无牌照，一是目前我国尚未为该行业准入设置本来相应的牌照类型，二是工商营业执照允许从事中介业务，这本身就是牌照的一种。因此，贷超和助贷公司实际上是同时面向需要贷款的特定人群和提供贷款服务的放贷机构的中介平台，在二者之间承担起了沟通交流、需求匹配的桥梁作用，一定程度上促进了互联网金融服务的发展与繁荣。

（一）收集公民个人信息具有必要性

贷超和助贷公司作为促进贷款人与放贷机构交流的网上中介平台，收集公民个人信息是提供服务的前提和必要条件，公司通过收集贷款人的需求和了解个人经济状况和还款能力，为其匹配合适的放贷公司，从而促进贷款意向的达成，因此贷超和助贷公司收集公民与贷款目的相关的个人信息具有必要性。在此种情况下，公司面向的是有贷款需求的特定人群，需要贷款的人是非常期望自己的信息能够被贷款机构了解，其自愿被收集信息，且签署了分发授权，这样才能尽快实现贷款目的。综上，在对贷超和助贷公司适用侵犯公民个人信息罪时，要充分考虑公司业务的特殊性质，要尊重贷款人的自由意志，不能机械适用法条，认为只要大量收集公民个人信息即为犯罪。

（二）审视贷超和助贷公司收集公民信息的行为方式

侵犯公民个人信息罪将“侵犯”一词限缩为“非法出售、非法提供、非法获取”这三种行为方式，法益保护范围很大但是行为方式有限，在此之外的行为方式不属于此罪名的规制范围。实务中，贷超和助贷公司全部是经过当事人同意合法取得了公民个人信息，主要表现为注册APP时自愿输入个人信息，而非以爬虫、购买、未经同意等方式非法取得。如果，贷超和助贷公司在收集和处理有贷款需求的用户的个人信息时遵循了合法、正当、必要和诚信原则，在条款中明确了收集个人信息的范围和使用目的，则不属于法条规制的非法取得的三种行为方式。当然，或许存在公司合法取得信息后非法利用的行为方式，但根据罪刑法定原则，非法利用还未明确纳入法条规制范围，则不属于刑法处罚范围。事实上，除了审视公司取得公民个人信息的行为方式，还要审视公司是否采取措施保护个人信息，如按照法律、法规及监管规定的最短期限内保留公民现有个人信息、当个人信息超出保存期限，对其进行删除或匿名化处理等措施，以证明公司行为方式的危害程度较低。

（三）审视贷超和助贷公司与放贷公司的合作协议

事实上，个人信息已经成为社会交往和社会运营的工具，互联网平台在为公民个人提供服务的时候，总是不可避免地需要收集和使用个人信息。因此，对于企业收集个人信息的行为不可一概而论，需要结合企业收集个人信息的处理目的、处理方式、个人信息的种类以及对个人权益的影响、可能存在的安全风险等，具体分析企业行为对公民权益的影响^[1]。前文提及，贷超和助贷公司的一个重要作用就是沟通需要贷款的用户和提供贷款的公司，因此公司往往需要与不同规模、不同性质的放贷公司订立合作协议，共享用户信息。一方面，贷超和助贷公司不能采取任何非法手段获取公民信息，应当在公民知情同意的情况下，为了解当事人贷款需求，自愿收集当事人填写后与贷款相关的个人信息；另一方面，贷超和助贷公司在与合法合规的贷款机构合作时，均需与其签订合同，确保公民信息不被非法泄露，不使用于与放贷无关的活动。因此，审视贷超、助贷公司与放贷公司的合作协议，也是为其辩护的重要突破点。辩护时可以审视合作协议是否明确告知相关用户其采集信息的行为及信息的用途并仅在授权范围内使用相关用户信息、是否保证将客户个人信息仅用于为客户提供贷款撮合服务、是否承诺对用户提供的各类信息及资料严格保密，积极维护双方及用户的合法权益、是否约定未经许可泄露公民个人信息，应当承担赔偿责任。以上证据可以证明贷超和助贷公司仅在职权范围内收集公民个人信息，并在与放贷公司合作过程中，以合约的形式，明确要求公司按照使用目的保管好公民个人信息，已经履行了中介服务平台的一般注意义务。

二、善用知情同意规则

用户的知情同意是企业采集用户行为信息应遵守的一项原则，是用户行为信息采集的合法性基础。同意原则根植于契约自治理论之中，在行为信息采集的场景下，不同的互联网企业与用户之间均存在着内容近似的合同关系，而企业对用户行为信息的采集恰是用户与企业所订立合同的内容之一。具体而言，互联网服务合同是双务合同，一方面企业为用户提供诸多的网络产品或服务，另一方面则相应地是用户为企业所贡献的价值。后者既可能体现为直接的现金给付，如用户所支付的注册费、会员费或直接为产品付出的费用。也可能是间接的、潜在的价值让渡，其典型正是企业对用户进行的行为信息采集^[2]。因此，对于用户个人信息的采集和使用，用户知情同意规则具有重要理论和实践价值。

（一）被害人同意行为在侵犯公民个人信息罪的引入

被害人同意的行为，是指行为人在被害人同意的前提下实施的损害被害人利益的行为，侵犯公民个人信息罪，必然以有“违反被害人的意志”为构成要件，被害人同意阻却违法性的实质理由并非法益侵害结果符合被害人自我决定，也并非法益侵害结果被正当化，而是危险行为符合被害人自我决定。我国刑法学界通说认为：“公民依法自由处分自己的合法权益应该受到法律的保护，法律不能禁止，更不能制裁。行为人在征得被害人同意的条件下实行的损害被害人利益的行为，在客观上不具有社会危害性，在主观上也不具有反社会的恶性，所以，被害人同意的行为排除社会危害性，不负刑事责任。”实践中，贷超和助贷公司面向的是有迫切贷款需要的用户群体，将个人信息登记到平台，使平台帮助其尽快寻找到放贷对象，是用户自主意志的决定结果，此举不仅没有侵犯公民合法权益，反而是在公民知情同意的情况下，帮助公民缓解资金缺口，不具有社会危害性。

（二）知情同意规则的构建

有观点认为，即使是征得用户同意的数据处理行为，仍然具有侵犯公民个人信息罪的可能性。但笔者认为，知情同意规则已经是现有互联网运行框架下平衡公司利益和公民合法权益最佳的制度设计，如果知情同意规则都不能有效保护社会主义市场经济体制下的商业运营活动，则没有规则可以实现公司经营利益和用户合法权益的有效平衡，刑法不应过多干涉互联网正常的经营活动，应在充分尊重用户自由意志和企业经营活动的基础上，为市场经济服务。知情同意规则的构建立足于我国新出台的《个人信息保护法》包括：

一是，告知环节。企业针对信息采集行为的主体、行为信息的类别和使用目的、采集后的处理行为和用户行为信息流向的第三方等方面，均应履行告知义务。

二是，同意环节。用户可自行同意是否接受信息的收集和使用，但同时根据《个人信息保护法》，企业应当赋予个人撤回同意的权利，一旦用户撤回同意，企业则不能保存用户个人信息。

三是，使用环节。企业在收集和使用个人信息的过程中要严格遵循收集目的，不得将信息用做他用，从用户个人利益出发采取对用户信息伤害最小的措施进行使用。四是，信息的后续处理环节。企业合法收集使用信息的同时，也不得将收集来的信息违法使用，需事前告知信息可能流向的第三方，保护用户个人信息权益。

（三）重点注意《用户注册协议》和《用户隐私政策》

基本上，所有互联网公司在收集公民个人信息前，都会通过《用户注册协议》和《用户隐私政策》践行知情同意规则。一般情况下，贷超和助贷公司旗下APP会在注册时，强调用户必读上述两个协议，并提醒用户可自愿勾选是否同意。协议内容明文表示会遵守法律法规规定保存个人信息，向用户明示个人信息的收集范围，并将此部分进行加粗处理，会承诺仅将收集信息用于贷款相关目的，并为用户提供侵权的救济方式。值得提示的是，很多时候贷超和助贷公司涉刑，不是因为其收集用户信息本身，而是在收集信息后与第三方共享的行为被认定为不合法。因此应当重点审查，《用户注册协议》和《用户隐私政策》是否有关于信息的后续处理环节的条款。公司不能在未经同意和授权的情况下，与其他公司、组织和个人共享用户的个人信息，但是如果公司提示用户为促进贷款，需要与关联公司、授权合作伙伴、供应商、服务提供商、借贷、支付、保险、推广业务合作伙伴等主体共享用户信息。则根据前文对知情同意规则的评述，此类共享符合贷超和助贷公司推动贷款服务合作的目的，明确告知了用户信息可能流向的第三方，用户勾选同意是对自身权利的处分，不属于违法使用。

三、依据宽严相济的刑事政策，建议对涉案企业采取少捕慎诉的态度

事实上，对于贷超和助贷公司涉侵犯公民个人信息罪的辩护，也顺应了现行的市场经济政策。习近平总书记曾多次强调“要千方百计把市场主体保护好，为经济发展积蓄基本力量。”为全面贯彻落实习近平法治思想，充分发挥检察职能优势，更好推动企业依法守规经营，服务经济社会高质量发展，各地检察院开展了涉案企业合规改革。

涉案企业合规改革，是指检察机关对于办理的涉企刑事案件，在依法作出不批准逮捕、不起诉决定或者根据认罪认罚从宽制度提出轻缓量刑建议等的同时，针对企业涉嫌的具体犯罪，结合办案实际，督促涉案企业作出合规承诺并积极整改落实，促进企业合规守法经营，减少和预防企业犯罪。目前，已有上海、江苏、山东等多地检察院纳入涉案企业合规检察改革试点，并在企业合规改革中取得了显著成效。检察院对涉嫌经营活动中犯罪的企业及相关人员，经审查决定对其进行合规考察的，给予一定的整改考察期。期满后，经第三方组织评估认为整改到位的，检察机关依法作出不起诉决定或提出从宽处理建议；对综合考虑企业情况和法律政策直接决定不起诉的，则以检察建议的形式引导企业进行合规建设，以实际行动助力企业活下来、留得住、经营好。

目前，打击侵犯公民个人信息犯罪案件过程中，司法机关都在强调全链条打击。所谓全链条打击，应当指涉案企业犯罪的全链条，而不是业务的全链条。贷超和助贷机构的存在符合互联网金融的发展规律，也实际上促进了互联网金融的发展，不应当对其进行全盘否定。在用户和放贷机构之间，可能存在多层次的中介机构，应该是谁作恶打谁，谁侵犯公民个人信息打谁，而不是将所有中介机构都一杆子打死。

综上，在为涉案贷超和助贷企业辩护时，也要充分考虑涉案企业合规改革对案件处理结果的影响。贷超和助贷平台作为互联网金融信息提供商，收集并使用个人信息具有必要性，为沟通放贷商和贷款用户起到了不可或缺的桥梁作用，应当积极建议检察院依法落实宽严相济的刑事政策和少捕慎诉慎押的刑事司法政策，积极推进涉案企业合规改革，保持市场经济主体的运行活力，防止“办理一件案子，拖垮一个企业”的情况发生。

参考文献：

[1]高富平：《个人信息使用的合法性基础——数据上利益分析视角》，载《比较法研究》2019年第2期，第72-85页。

[2]郑佳宁：《知情同意原则在信息采集中的适用与规则构建》，载《东方法学》2020年第2期，第198-208页。

本文作者：

声明：            

本文由德恒律师事务所律师原创，仅代表作者本人观点，不得视为德恒律师事务所或其律师出具的正式法律意见或建议。如需转载或引用本文的任何内容，请注明出处。