个人信用信息征信体系中相关机构的赔偿责任——从“一美元的个人信用官司”说起

近来，杭州出现一起“一美元的个人信用官司”，引起了媒体和社会大众的关注。2003年9月24日，沈某按照银行的催款单，提前一天归还了其在工行国际牡丹卡（Visa国际组织成员卡）上的透支款14美分。但一个月后，工行杭州市羊坝头支行（以下简称工行）给沈某寄送的对账单表明，其是在银行规定的欠款归还日期9月25日之后的26日方才归还其透支款的，并因此认定其恶意透支，扣罚沈某滞纳金1美元。沈某事后与工行联系，工行承认系自身记账工作存在错误，并退还了误扣的1美元。但沈某认为，工行的这一行为已经给自身造成了错误的不良信用记录。作为补救措施，沈某要求工行向Visa国际组织总部及Visa组织各中国区域会员银行（广东发展银行等6家银行）做出书面的更正、道歉启示。除此之外，沈某还依据《浙江省实施《消费者权益保护法》办法》第52条规定，要求工行另行支付1美元，以作为侵害其信用的赔偿。经审理，一审（2005年4月）、二审（2005年7月）法院均以工行已经更正错误信息，并已退还多收的1美元，而沈某未能证明此项错误记录给其造成了实际损害，且其要求工行赔礼道歉的诉讼请求缺少可操作性为由，驳回了沈某的诉讼请求。[1]
     
      [评析]
      本案因为涉及到当前我国正在建设的个人信用信息征信体系建设，故而备受各方关注，成为了一个热点问题。所谓个人信用信息征信体系是指，由专门的个人信用信息征信机构收集有关当事人的信用信息，并传播给其他社会主体，如此，在信用交易双方之间起到信息沟通的作用，促进信用交易的透明化和安全。[2]1999年，上海市建立了全国第一个地方性个人信用联合征信服务系统。2006年1月，中国人民银行联合全国各商业银行建成全国联网的“个人信用信息基础数据库”。这一数据库目前已收录的自然人数已达到3.4亿人，其中有信贷记录的人数约为3500万人。到2005年底，收录个人信贷余额2.2万亿元，约占全国个人消费信贷余额的97.5%。[3]与此相配套，2005年8月，中国人民银行出台了第一部全国性个人征信法规――《个人信用信息基础数据库管理暂行办法》。如此，个人以往在某银行或机构所形成的个人信用记录将成为其以后获得授信的重要依据，存有不良信用记录者，势必影响其以后获得授信的机会。个人信用记录也就因此成为个人的“第二张身份证”，“信用值千金”。
      个人信用信息征信体系的建立对于保障信用交易的安全自然具有重要意义，但随之而来的问题是，因为个人信用信息的记录、收集、传播等环节都是由有关机构来完成的，当事人缺少参与，那么，在个人信用信息的利用过程中，如何保证当事人的合法权益，防止有关机构的不当行为给当事人造成损害，以及在有关机构存在错误行为时，如何对当事人的损失进行赔偿等问题，都是一个完善的个人信用信息征信体系所不可缺少的组成部分。上述案例虽然争议标的不大，只有1美元，但其反映出了在建立个人信用信息征信体系过程中，如何保障当事人的权益，如何定性有关征信机构的不当行为，以及如何对当事人实施救济等一系列复杂问题。由于我国个人征信体系还处于初建阶段，这些问题，实践中还没有形成统一的答案。也正因为此，杭州出现的这一案例成为了大家关心的热点问题。因此，本文拟借助各国个人征信体系实践以及我国现有的相关作法，结合个人征信的理论基础，围绕着上述案例，就上述几个当前大家关心的问题予以分析和解释，并提出自己的一些看法。
     
      一、个人信用信息征信体系运行实况简介   学术论文发表网
      个人信用信息征信体系在不同的国家或地区有不同的结构和运作方式，但大致而言，其基本规则是一致的，即由专门的个人信用信息征信机构从金融、贸易、公用事业等单位收集有关个人的信用记录，而在符合特定目的的情况下，允许有关单位查询个人的过往个人信用记录。具体程序，我们简要介绍如下：
      1、个人信用信息的收集。个人信用信息的收集是由专门的个人征信机构负责的。在德国，该业务是由唯一的一家机构，“夏华征信公司”负担的。[4]而在美国，该业务主要由三大征信公司，即Equifax（艾奎法克斯），Trans Union（环联），Experian（益百利）分享。[5]我国目前各商业银行联网使用的“个人信用信息基础数据库”是由中国人民银行征信中心负责的。
      个人信用信息征信机构一般通过和个人信用信息资料提供单位签订合作协议，从而获得稳定、持续的个人信用记录。个人信用信息征信机构获得个人的全部的各种各样的信用交易的历史记录，是不可能。因为个人的有些信用交易是无法跟踪或监控的，其交易信息也是无法获知的。通常，个人信用信息征信机构主要是获取当事人与那些大型的、垄断的金融、贸易、服务、公用事业等单位信用交易的历史记录。如在德国，个人征信机构夏华公司的资料提供单位包括：分期付款业者、邮局银行信用部、各银行、租赁公司、催收公司、邮购公司、信用卡公司、零售百货业者。[6]我国“个人信用信息基础数据库”是由全国各商业银行将其与个人信贷交易的信息定期提供给该数据库而形成的，根据计划，今后，水、电、通讯等公用事业单位与个人交易的信用信息也将定期提供给该数据库。[7]个人征信机构一般会和这些资料提供单位签订合作协议，后者将定期地、不间断地将其与个人的信用交易的信息，诸如交易金额、融资期限、是否拖欠等等，通报给个人征信机构。
      个人信用信息征信机构对于其所收集的个人信用信息应当采取适当的方式确保其准确性。个人的以往信用记录直接关系到其今后在社会上获得授信的能力，因此，个人征信机构必须采取适当的途经确保个人信用信息的准确性。所谓准确性，是指“应该努力确保所收集、持有的个人资料是准确、相关、适时、完整的。不应持有、使用过时的资料，应该使用反映最新情况的资料。”[8]例如，英国数据保护法保护原则之三、之四分别规定，“个人数据应具充分性、相关性，并不超越其作处理之目的”，“个人数据应是准确的，并且必要时保持更新。”[9]再如，我国《个人信用信息基础数据库管理暂行办法》第6条规定，“商业银行应当遵守中国人民银行发布的个人信用数据库标准及其有关要求，准确、完整、及时地向个人信用数据库报送个人信用信息。”
      当然，个人信用信息征信机构还应当采取适当的措施，维护个人信用信息的保密性，防止其被不法破坏、窜改、窃取、泄漏等等。
      2、个人信用信息的查询。对于个人信用信息征信机构所收集的个人信用信息，有哪些机构可以查询或了解呢？对于此，在国际上有两种不同的作法。一种是所谓的“封闭性系统”，即只有向个人信用信息征信机构提供当事人信用信息的有关机构或单位才可以查询，如德国个人征信机构夏华公司。我国目前的“个人信用信息数据库”也是采用的这种作法。根据《个人信用信息基础数据库管理暂行办法》第12条，只有为该数据库提供信息的各商业银行方才可以使用该数据库。还有一种是“开放性系统”，社会上所有符合特定条件的机构或单位都可以查询，如美国的各大个人征信机构，均是如此。
      各国关于查询个人信用信息的法定条件并不相同，但总体而言，查询个人信用信息一般必须是为了满足预测或评估与当事人有关的信用交易的风险的需要，即是为了维护与当事人有关的经济活动的安全的需要。总结各国立法例，一般而言，有关单位或机构查询个人信用信息的理由只能限于以下几种：1、为了进行某些法定的信用交易，如银行信贷、保险、分期付款交易、信用卡业务等等；2、出于某些法定的公务需要；3、出于账款催收的需要；4、出于劳动就业的需要；5、颁发某些资格证书的需要。除了以上几种情形外，如果是为了进行某种信用交易，在征得当事人同意的情况下，交易对方也可以查询个人信用信息。需要特别强调的是，各国一般均明确规定，查询个人信用信息的理由，只限于法律所明确规定的几种情形，决不得超越其范围查询个人信用信息。正如美国学者所言，“关于个人信用报告的使用，没有非法使用的例外情形，只有受到限制的合法使用，除此之外的，都是非法的使用。”[10]此举显然是为了保护个人信用信息的隐秘性，防止个人隐私的泄露。
      在我国，根据《个人信用信息基础数据库管理暂行办法》第12条规定，各商业银行查询个人信用信息数据库的事由仅限于下列几项：（1）审核个人贷款申请的；（2）审核个人贷记卡、准贷记卡申请的；（3）审核个人作为担保人的；（4）对已发放的个人信贷进行贷后风险管理的；（5）受理法人或其他组织的贷款申请或其作为担保人，需要查询其法定代表人及出资人信用状况的。
     
      二、个人信用信息征信体系中相关机构的责任  学术论文发表网
      个人信用信息征信体系中，如果相关机构错误地记载或传播当事人的信用信息，甚至于是故意地制造或散布当事人的虚假信用信息，造成当事人损失的，自然应当承担赔偿责任。对此，各国立法均有明确的规定，如《美国公平信用报告法》第616条和第617条、《德国联邦个人资料保护法》第8条、《奥地利资料保护法》第28条、台湾《电脑处理个人资料保护法》第27条和第28条。我国《个人信用信息基础数据库管理暂行办法》对此还缺少明确规定，但是，无论是从法理，还是从社会公正的角度，相关机构因为自身过错形成当事人错误的个人信用信息，或不正确使用个人信用信息，给当事人造成损害的，自然应当承担赔偿责任，即便《个人信用信息基础数据库管理暂行办法》没有相关规定，依据民法的基本原理，也应当做出如上的判断。因此，我们认为，今后司法实践中，如果相关机构因为不当使用个人信用信息造成当事人损害的，当事人自然应当承担赔偿责任。
      既然相关机构因为不当使用个人信用信息造成当事人损害的，应当承担赔偿责任，那么，我们又应当如何来判断相关机构的责任呢？依照前述个人信用信息征信体系的介绍，我们可以发现，如果仅仅是个人信用信息提供单位提供了错误的信用信息，甚至于个人征信机构也记载了错误的个人信息，但只要没有向有关查询人提供该项错误信息，则该项错误信用信息并不会给当事人造成损害，自然，相关机构也就谈不上赔偿责任。当然，相关机构对于错误的信用信息还是负有更正责任的。但是，值得研究的是，是否只要相关机构提供、记载、传播了当事人的错误信用信息，并因此给当事人造成损失，则必然地就应当向当事人承担损害赔偿责任呢？总结各国立法例，其实也未必。
个人征信体系中的相关机构每天要面对难以计数的、大量的个人信用信息，而且，这些信息大多辗转数个机关，方才最终汇总到个人征信机构手中，所以，某种程度上讲，要确保每个人的每一条个人信用信息都是准确的，是不可能的。因此，如果每发生个人信用信息不准确的情况，即认为相关机构未尽到应有的职责，从而追究其责任，则显然是不恰当的。纵观各国立法例，其实，各国都贯彻了相关机构的“合理程序原则”，即，只要各机构在提供、收集、处理个人信用信息过程中贯彻了“合理程序原则”，尽到了适当的注意义务，那么，其即无需承担个人信用信息不准确的责任，否则，其就应当为其所提供、收集、处理的个人信用信息不准确并因此而给当事人造成的损失承担责任。
      例如，在美国，“美国法院判断个人信用报告是否符合准确性的要求，主要看个人信用报告机构是否采取了合理的程序以确保信用信息的真实性，如果信用报告机构已经尽到了这样的注意义务，则即便存在信用报告不准确的情况，也不会被追究责任。”[11]当然，所谓的“合理程序原则”较为严格。比如说，对于个人征信机构的雇员是否进行了合理的培训，使其掌握收集、更新、发布正确的个人信用报告的技能等等，都是判断个人征信机构是否尽到“合理程序原则”的依据。[12]
      在德国，《德国联邦个人资料保护法》第8条规定，“非公务机关依本法或其他资料保护法，因错误或未经同意处理当事人个人资料，当事人得请求损害赔偿。”据此，当事人在相关机构因自身错误造成当事人损失的时候，是可以要求予以赔偿的。但是，该法第9条规定，“处理或受托处理个人资料之公务及非公务机关，应采取必要之技术及组织措施，以符合本法规定，以及本法附则所列要求。但要求为必要措施之耗费，应仅限于其保护目的所要求之程度，有合理之相当性。”依此条款，相关机构对于确保个人信用信息的准确性所负担的责任也不是无限制的，其只要尽到了“必要之技术及组织措施”即可，换言之，若相关机构在尽到了上述“合理”注意义务之后仍造成当事人损失的，当可以以此免除责任。
      在奥地利，《奥地利资料保护法》第28条第2款规定，“违法本法或及依据本法订定之施行规则规定，处理、利用及传递资料，当事人除请求损害赔偿外，得依本法及依据本法订定之施行规则规定，请求停止及排除违法行为。”据此，在相关机构提供、记载错误信息，造成当事人损害时，当事人自然可以要求损害赔偿。但是，该法第10条第1款规定，“资料管理人或受托处理人所属利用资料单位，应有适当措施以维护资料之安全。并依使用资料之类别，考量技术可行性与经济合理性采取必要措施，保障资料合法利用，防止资料被非法滥用。”[13]依此规则，如果相关机构已经尽到了“技术可行性与经济合理性采取必要措施”，则即便记载传播了当事人的错误信用信息，也可以免于承担赔偿责任。
      此外，需要强调的是，如果相关机构构成了对当事人的损害赔偿，那么相关机构不仅仅要赔偿当事人的经济损失，如丧失信用交易的机会而产生的损失，还要赔偿当事人因此而遭受的精神损失。如在美国，根据《公平信用报告法》“赔偿消费者的损失，包括财产损失，也包括精神损失（如精神上的痛苦、羞辱等）”。[14]在台湾，依据《电脑处理个人资料保护法》第27、28条规定，“被害人虽非财产上之损害，亦得请求赔偿相当之金额；其名誉被侵害者，并得请求为回复名誉之适当处分”。
     
      三、对本案的分析
      本文以上对于个人信用信息征信体系的构成、运作，以及相关机构的赔偿责任做了简要介绍，现结合上述案例的案情，对于本案进行一些分析：
      第一，工行的确系因自身的原因使沈某产生了错误的不良信用信息。沈某已经在规定期限以前偿还了透支款，乃工行自身电脑系统原因而使未能及时入帐。所以，是工行原因造成了沈某错误的不良信用记录。对于此点，双方并无异议。
      第二，工行的此项行为是否给沈某造成了损害？如前所述，当事人的个人信用信息不是当然地、自发地予以公开或传播，而必须是由个人信用信息提供单位提供给个人信用信息征信机构，而后，相关查询人在符合特定条件下方才可以查询当事人的信用信息。对于工行是否已经将沈某的此项不良信用信息提供给相关个人征信机构，在案件一审时双方均未予以证明，在二审时，工行提供了一份材料试图证明，工行以及Visa组织均未将此项不良信用记录提供给相关的个人征信机构。但可惜的是，由于工行的此项证据是在二审时提出的，超过了举证时限，所以未被法庭采信。因为人民银行设立的“个人信用信息基础数据库”是从2006年1月才运行的，所以，如果工行也的确未将本行的相关信用信息提供给国际上的个人征信机构的话，我们可以认为，因为工行并未将此项错误不良信用信息提供给个人征信机构，那么，其是不可能给沈某造成不良后果的，所以，其只要予以更正错误信息即可，而无需予以赔偿损失。学术论文发表网
      现在假设，如果工行已经将该错误不良信用信息提供给了相关个人征信机构，此时，沈某还必须证明，已经有相关机构从个人征信机构处查询获得了此项不良信用信息，并造成了自己的损失。如果沈某不能证明已经有相关机构从个人征信机构处查询获得了此项不良信用信息，那么，因为工行没有给其造成实际损失，故沈某也只能要求工行将其在个人征信机构处的错误的不良信用信息予以更正，而不能要求赔偿。
      第三，如果工行已经将此项错误不良信用信息提供给个人信用信息征信机构，并经相关单位查询、使用，给沈某造成了实际损失，那么，工行是否就一定要承担赔偿责任呢？如前所述，由于相关机构每天要处理的个人信用信息数量是十分庞大的，程序也是相当复杂，难免挂一漏万，要相关机构确保绝对地万无一失有时是强人所难，不够现实。因此，各国立法均强调相关机构必须遵循“合理程序原则”，只有在相关机构未能依据法律尽到自己应当尽到的职责，并造成他人损害时，方才承担赔偿责任。所以，本案中，即使工行提供了错误的个人信用信息，并给沈某造成了损失，但如果工行能够证明自己在工作过程中已经尽到了合理的注意义务，履行了正当的程序，其也可以因此免除赔偿责任。需要特别强调的是，此项证明责任应当由工行来承担，而非沈某承担。这主要是因为，证明工行的内部程序是否合理、尽职，对于沈某而言，显然是无法完成的，所以，从举证责任合理分担的角度而言，自然应当由工行来承担。在二审过程中，沈某举证证明，工行在2003年至2004年中5次错误扣罚了沈某的滞纳金（此项证据也因为是在二审中提出，超过了举证时限，因而被法庭拒绝采信）。如果事实果真如此，那么，工行自身的管理体系可能的确存在问题，由此而给当事人造成了错误的不良信用信息，并造成当事人损失的，应该承担损害赔偿责任。