数据可携带权的金融法构造——《金融法》草案视角下开放金融数据共享的权利基础与制度路径
2026-08-03
一、问题的提出
随着金融科技的快速发展与数字化转型的深入推进，数据已成为驱动数字经济模式创新、催生新的经济形态的核心力量。[1]在金融领域，金融数据不仅是金融机构提升风险识别精准度的关键要素，更是国家战略资源与金融安全的重要组成部分。[2]然而，处于集中状态的资本、数据要素使金融市场趋于封闭，形成数据寡头垄断的市场格局，抑制了金融创新，并引发了金融消费者保护面临的数据困境。[3]
为应对上述挑战，开放银行（Open Banking）与开放金融（Open Finance）作为金融数据治理中的两大数字金融监管举措应运而生。其核心逻辑在于赋予金融消费者将其数据转移至第三方服务商的权利，从而打破数据垄断、促进市场竞争。2026年，《中华人民共和国金融法（草案）》（以下简称《金融法》草案）发布，确立了“全覆盖监管”理念与“实质重于形式”的穿透式监管原则。[4]我国《个人信息保护法》第45条也已经确立了个人信息可携带权：“个人请求将个人信息转移至其指定的个人信息处理者，符合国家网信部门规定条件的，个人信息处理者应当提供转移的途径”。然而，《金融法》草案虽然在第83条确立了数据分类分级保护的法定地位，但对于如何实现数据权利保护，促进金融数据共享、打破数据孤岛，特别是对于作为开放金融基石的“数据可携带权”（Data Portability Right），仍缺乏系统性的制度安排。
在此背景下，本文旨在探讨：在《金融法》制定的语境下，数据可携带权在金融法中应如何构造？其权利基础为何？又应通过何种制度路径实现金融数据共享与安全的价值平衡？
二、数据可携带权的理论基础与金融法语境下的特殊性
（一）数据可携带权的一般理论
数据可携带权最初作为个人信息保护的一项基本权利，在欧盟《通用数据保护条例》（GDPR）第20条中得到确立。其核心要义是“无需重新输入数据即可在两个系统之间轻松转移数据的能力”。[5]关于数据可携带权的理论基础，学界主要存在三种学说：其一，“个人信息自决权说”，认为数据可携带权是个人信息主体对其信息进行控制和支配的延伸，旨在增强个人对自身数据的掌控力；其二，“数据财产权说”，主张数据具有经济价值，数据可携带权实质上是赋予数据主体对数据资产的处分权；其三，“竞争政策工具说”，强调数据可携带权的功能在于降低用户的转换成本，打破平台的数据锁定，从而促进市场竞争与创新。[6]
（二）金融法语境下的特殊性
在金融法语境下，数据可携带权的构造面临特殊挑战，这源于金融数据的多重属性的矛盾。首先，金融数据兼具个人信息属性、商业秘密属性与公共基础设施属性。一方面，客户基础信息和交易记录属于高度敏感的个人隐私；另一方面，金融机构基于原始数据加工生成的信用评分、风控模型等衍生数据，凝结了机构的智力投入，具有商业秘密属性。[7]
其次，金融数据共享面临着安全与普惠的内生张力。正如学者沈伟所指出的，普惠金融发展与金融数据安全之间存在数据收集与隐私保护、数据共享与数据流动监管、科技创新与风险防控、数据贫困陷阱和金融数据垄断等四个维度的内生张力。[8]当前“安全为首、共享为辅”的监管理念在一定程度上阻碍了金融数据流动，降低了金融数据的共享效率，违背了普惠金融的成本可负担原则。[9]
最后，金融消费者在数据共享网络中处于弱势地位。金融服务提供者通过海量数据的“横向关系”精准绘制用户画像，算法的不透明性与不可解释性演化为歧视与差别定价的助推器，加剧了信息不对称。[10]
三、比较法视野：数据可携带权在开放金融中的制度实践
（一）欧盟模式：从PSD2到FIDA的演进
欧盟在金融数据共享领域的立法实践体现了从权利本位向竞争政策工具的功能转型。2015年修订的《内部市场支付服务指令》（PSD2）引入了“账户访问规则”，标志着零售支付市场向授权的新进入者解绑的决定性一步。[11]该规则明确赋予第三方提供商（TPPs）在无需与银行达成事先协议的情况下请求账户信息的权利，其核心目的在于加强银行业和金融服务业的竞争，并为开放银行环境铺平道路。[12]2023年，欧盟进一步提出《金融数据访问框架》（FIDA）提案，将数据共享的范围从支付账户扩展至抵押贷款、投资、养老金等更广泛的金融产品，标志着从开放银行向开放金融的全面升级。
（二）科技驱动的TechFin挑战
在探讨比较法经验时，必须关注到金融科技发展带来的市场主体变迁。传统金融机构（Incumbents）正面临来自TechFin（科技金融公司，即以数据、科技出生，通过掌握大量数据转入金融行业的新巨头公司）公司的严峻挑战。TechFin公司（如阿里巴巴的蚂蚁金服、腾讯等）与传统的FinTech初创企业不同，它们从技术和数据开始，将金融服务添加到其价值链中。[13]TechFin公司利用其在非金融服务领域积累的海量客户数据，跨界进入金融市场，这种从数据中介到金融中介的转变，通过其对于数据的大量占有和垄断，极大地重塑了市场竞争格局，也对现有的金融监管框架提出了新的挑战。[14]这也进一步凸显了通过数据可携带权打破数据垄断、实现数据公平获取的必要性。
四、我国金融数据可携带权的制度现状与困境
（一）现行制度安排的局限
我国《个人信息保护法》第45条确立了个人信息可携带权：“个人请求将个人信息转移至其指定的个人信息处理者，符合国家网信部门规定条件的，个人信息处理者应当提供转移的途径”，但该条款属于原则性规定，缺乏在金融领域的具体实施细则。在金融监管层面，中国人民银行发布了《商业银行应用程序接口安全管理规范》等技术标准，但这些规范主要侧重于技术安全防控，未能从权利配置与行为规制的角度系统构建金融数据共享制度。《金融法》草案虽然在第83条强调了数据分类分级保护，并在第51条确立了“实质重于形式”的穿透式监管原则，将所有金融活动纳入监管，[15]但对于如何促进数据共享、打破数据壁垒，仍付之阙如。
（二）我国针对可携带权的司法态度发展
我国对于个人数据可携带权的的研究在《个人信息保护法》出台之前就有探索，充分表现出我国司法实践对于数据共享的明确态度。其中典型案例为腾讯诉搜道案和新浪微博诉今日头条案。在腾讯诉搜道案当中，腾讯与搜道就微信当中的账号数据问题发生争议。[16]法院针对本案提出数据主体有权在提供数据的同时要求数据迁移的各方均采取严格的隐私和安全保护措施，对该项权利的行使设置一定条件明确禁止未经授权的数据转移。
而在新浪微博诉今日头条案中，微博主张头条擅自抓取、搬运明星微博，构成不正当竞争行为。[17]在本案当中法院主张，数据可携带权在我国并无直接法律依据，该案中的数据迁移与数据可携带权存在一定差异。其一，数据迁出平台是否知情。迁出方与迁入方是基于法律规定的义务而实施数据迁移的，迁出方对于迁移事项应当是知道且附有协助义务的。其二，数据迁移发起是否基于用户主观意愿。域外的数据可携带权实践更多是适用于用户主动实施迁移的情形，而新浪微博诉今日头条案中更多体现的是企业方的意志，这种行为实质上并不属于个人数据可携带权的相关范畴，不能得到法院支持。
由此可见，从我国司法实践态度角度，数据可携带权的适用须有明确的法律依据、经用户主动请求迁移数据、且考量涉他信息所涉及的他人利益和对公共利益的影响。
《个人信息保护法》出台之后，针对个人信息数据可携带权的相关条文仍然停留在原则性阶段。相关法院在司法裁判当中仍然只能结合《个人信息保护法》的精神，对于数据可携带权进行解读。数据可携带权因为其天然属性，与数据竞争产生强关联性。部分企业主张利用个人信息数据可携带权抗辩数据的反不正当竞争。以小红书数据反不正当竞争案为例，小红书起诉被告某公司利用技术手段非法抓取小红书平台内包括用户账号信息、用户商业合作信息等四类数据，并通过其旗下“某小红”产品为用户提供小红书数据监控及监测服务等。[18]被告主张小红书平台的用户数据属于已公开的用户个人信息，二被告作为小红书平台数据服务商，有权在合理范围内处理该等个人信息，未损害用户个人权益，且有利于促进小红书平台生态健康发展。同时，小红书对其平台数据服务市场具有市场支配力量，其无正当理由拒绝向二被告开放共享小红书平台用户数据，其行为构成滥用市场支配地位的拒绝交易行为。法院指出，小红书平台数据是规模化的具有商业价值的数据集合，具有超出原始信息内容的增量价值。但个人信息保护法规定的个人信息可携带权的适用至少需要满足以下要件：（1）可携带权指向的数据是个人数据，如果是无法识别数据主体的数据，不适用可携带权。（2）个人数据的处理必须是由数据主体主动提出。该案为数据可携带权与数据竞争问题边界问题作出明确划分。
（二）可携带权落地的三大实际制度困境
然而当前我们的数据可携带权距离落地实施，仍然存在三大实际制度困境有待解决。
第一，可携带性面向的贯彻深度有限。既定多层数据治理框架并未系统规制数据可携带性的实现路径。数据可携带权能否扩张适用于非个人数据（如小微企业数据）存在争议，且授权数据外部转移的实体要件和操作流程不够清例如，如果将数据可携带权扩张适用于小微企业，是否会导致相关数据过于庞大，增加数据可携带权实现成本。
第二，互操作性面向的贯彻广度狭窄。缺乏统一通用的API标准。现有规范多为推荐性标准，导致不同金融机构之间的接口无法互通，增加了第三方服务商的接入成本，限制了数据互操作性的实现。这就进一步导致，相关金融机构之间实现数据可携带权的成本过大，不仅仅需要整理、保存数据，还需要推进不同金融机构之间的API端口协调问题。
第三，可救济性面向的贯彻力度不足。应对不法访问及使用侵害的救济机制不完善。在开放金融网络中，数据流转涉及数据提供者、数据接收者、第三方服务商等多个主体，一旦发生数据泄露或滥用，责任认定困难，消费者的合法权益难以得到有效救济。
五、数据可携带权的金融法构造：权利基础与制度设计
（一）权利基础的重新界定：权义复合方案
在金融法语境下，数据可携带权不应仅仅被视为一项消极的个人信息防卫权，而应被重构为“促进竞争的个人权利”。它融合了“个人信息自决权说”与“竞争政策工具说”的双重逻辑。一方面，它是金融消费者控制自身数据流向的权利体现；另一方面，它是监管部门打破金融机构数据垄断、促进市场竞争的政策工具。因此，我国开放金融制度应采用权义复合方案：在赋予数据主体可携带权的同时，对金融机构课以强制性的数据互操作性义务（Data Interoperability Obligation），使权利与义务相对应，确保数据能够安全、高效地在不同主体间流转。
（二）权利客体的分类构造
并非所有的金融数据都应当适用可携带权。依据金融监管的数据基础理论，应当构建以“数据—信息—知识—行为”（DIKA）为组成要素的概念体系。在制度设计上，必须对数据客体进行精细化分类：其一，可携带数据，主要包括客户基础信息、交易记录、账户余额等“原始数据”，应当无条件允许客户携带；其二，限制携带数据，包括金融机构基于原始数据加工生成的信用评分、用户画像等“衍生数据”，应在保障机构合法权益的前提下，通过商业协商或合理补偿机制实现共享；其三，不可携带数据，涉及国家金融安全、系统性风险监测的宏观审慎数据，严禁通过个人可携带权渠道流出。
六、制度路径的选择：《金融法》草案的完善建议
（一）立法层面：确立金融数据共享促进机制
建议在《金融法》草案中增设“金融数据共享与互操作”专章或专条。明确金融消费者的数据可携带权，并规定具有市场支配地位的大型金融机构及TechFin平台的强制数据开放义务。同时，授权国务院或金融监管总局制定《开放金融数据共享管理条例》，细化数据共享的范围、标准与责任分配。
（二）监管层面：建立统一的准入与协调机制
依托《金融法》草案的“全覆盖监管”理念，建立针对第三方数据服务商（TPPs）的统一准入许可制度。TPPs必须满足严格的信息安全、资本充足与内控要求方可接入金融数据网络。同时，完善多部门协同监管机制，消除多头监管带来的规则碎片化，防范监管套利。
（三）技术标准层面：强制性API与隐私计算
由中国人民银行牵头，联合行业协会制定具有强制约束力的金融数据API互操作性国家标准，确保不同机构系统间的无缝对接。此外，大力推广联邦学习、多方安全计算等隐私计算技术在金融数据共享中的应用，实现数据可用不可见，从技术底层化解安全与共享的张力。
七、结语
在《金融法》制定的历史契机下，构建科学的金融数据共享法律框架，是实现金融监管现代化的必由之路。数据可携带权作为开放金融的基石，其在金融法中的构造必须超越单一的个人信息保护视角，融入促进竞争与打破垄断的公法价值。通过确立权义复合方案、引入元规制模式以及制定统一的互操作性标准，我们能够在保障金融数据安全的前提下，最大限度地释放数据要素的普惠价值。唯有在安全与共享的动态平衡中，我国的数字金融方能在法治的轨道上行稳致远。
参考文献：
[1]吴江羽. 金融科技背景下金融数据监管法律框架构建[J]. 金融与法律, 2020(11): 76-85.
[2]沈伟. 金融数据安全保护的法理基础与体系优化[J]. 华东师范大学学报（哲学社会科学版）, 2025(06): 56-72.
[3]沈伟. 金融数据安全保护的价值平衡与制度建构——安全与普惠的张力弥合[J]. 现代法学, 2025(03): 36-54.
[4]尹振涛. 以立法护航数字金融行稳致远[J]. 中国党政干部论坛, 2026(07): 51-54.
[5]任妍姣. 金融数据流通利用的行为法进路——以开放银行与开放金融为切入点[J/OL]. 金融法苑, 2026.
[6]Borgogno O, Colangelo G. Data sharing and interoperability: Fostering innovation and competition through APIs[J]. Computer Law & Security Review, 2019, 35(5): 105314.
[7]尚博文, 郭雳. 金融监管的数据基础：原则提炼与法治因应[J]. 中国人民大学学报, 2026(02): 91-107.
[8]莫旻丹. 从政府规制到元规制：金融机构数据治理的模式转型[J]. 南方金融, 2025(12): 65-78.
[9]张永亮. 金融监管科技之法制化路径[J]. 法学期刊, 2024.
[10]王远志. 我国银行金融数据跨境流动的法律规制[J]. 法学期刊, 2024.
[11]马尚琦, 王勇. FTAs框架下金融数据跨境规制的不足及中国对策[J]. 江苏社会科学, 2025(06).
[12]沈伟. 制度型开放赋能金融监管现代化：以自贸区规则对接与路径创新为视角[J]. 行政法学研究, 2026(03).
[13]Zetzsche D A, Buckley R P, Arner D W, et al. From FinTech to TechFin: The regulatory challenges of data-driven finance[J]. New York University Journal of Law and Business, 2018, 14(3): 723-795.
[14]Creemers R. China's Data Protection Framework: From Fragmentation to Comprehensive Legislation[J]. Journal of Cybersecurity, 2022.
[15]Arner D W, Castellano G, Selga R. Financial Data Governance[J]. Hastings Law Journal, 2023, 74.
[16]FSB/IMF. The Financial Crisis and Information Gaps: DGI-2 Report[R]. Financial Stability Board, 2022.
[17]Buckley R P, Arner D W, et al. FinTech: Finance, Technology and Regulation[M]. Cambridge University Press, 2021.
[18]World Bank. Global Findex Database 2017[R]. Washington DC: World Bank, 2018.
本文作者：
声明：
本文由德恒律师事务所律师原创，仅代表作者本人观点，不得视为德恒律师事务所或其律师出具的正式法律意见或建议。如需转载或引用本文的任何内容，请注明出处。
