单用途商业预付卡应“调查需要”能披露预付卡购卡人信息吗｜MHP君悦评论

单用途商业预付卡经营主体从事预付卡商事交易活动，需要收集、使用、储存、传输购卡人的大量公民个人信息，因此经营主体应当履行保障购卡人的个人信息安全性之义务。如果单用途商业预付卡行业监管机构就相关事项开展行业调查，要求经营主体披露其已经获取的购卡人个人信息，则亦需要进一步考虑行业调查过程中经营主体披露行为的合法合规性。

公民个人信息权是重要的民事权利之一。2013年，最高人民法院、最高人民检察院、公安部联合发布《关于依法惩处侵害公民个人信息犯罪活动的通知》，将公民个人信息定义为“能够识别公民个人身份或者涉及公民个人隐私的信息、数据资料”。2017年最高人民法院、最高人民检察院联合 发布的《关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》规定，公民个人信息包括直接识别的公民个人信息、间接识别的公民个人信息和“反映特定自然人活动情况的各种信息”。一般认为，能够识别特定个人的一切信息均属于公民个人信息，包括但不限于姓名、出生日期、身份证件号码、个人生物识别信息、住址、通信通讯联系方式、通信记录和内容、账号密码、财产信息、征信信息、行踪轨迹、住宿信息、健康生理信息、交易信息等。

从单用途商业预付卡行业相关法律法规来看，《单用途商业预付卡管理办法（试行）》第十六条规定，发卡企业和售卡企业应对购卡人及其代理人的身份信息和交易信息保密，除法律另有规定外，不得向第三方提供。《上海市单用途预付消费卡管理规定》第七条规定，经营者应当对收集的消费者个人信息严格保密，不得泄露、出售或者非法向他人提供；第九条规定，本市建设统一的单用途卡协同监管服务平台（以下简称协同监管服务平台），归集经营者单用途卡发行、兑付、预收资金等信息，但不归集消费者个人信息。相关行政管理部门应当对通过协同监管服务平台获悉的有关经营者的商业秘密予以保密，确保信息安全。目前，单用途商业预付卡行业相关法律法规尚未明确发卡企业和售卡企业向第三方提供购卡人身份信息和交易信息的具体规定，因此，我们认为应当以公民个人信息权保护相关的法律法规作为参考依据。

从消费者权益保护层面来看，《中华人民共和国消费者权益保护法》第十四条规定，消费者在购买、使用商品和接受服务时，享有人格尊严、民族风俗习惯得到尊重的权利，享有个人信息依法得到保护的权利。

从公民个人信息权保护相关法律法规层面来看，《中华人民共和国民法总则》通过第一百一十一条明确“自然人的个人信息受法律保护。任何组织和个人需要获取他人个人信息的，应当依法取得并确保信息安全，不得非法收集、使用、加工、传输他人个人信息，不得非法买卖、提供或者公开他人个人信息”。《网络安全法》规定个人信息是指“以电子或者其他方式记录的能够单独或者与其他信息结合识别自然人个人身份的各种信息”；该法第四十二条规定，网络运营者不得泄露、篡改、毁损其收集的个人信息；未经被收集者同意，不得向他人提供个人信息。但是，经过处理无法识别特定个人且不能复原的除外。

中华人民共和国国家质量监督检验检疫总局、中国国家标准化管理委员会颁发的《信息安全技术个人信息安全规范》（GBT 35273-2017）第8.4条关于个人信息公开披露的条款规定，个人信息原则上不得公开披露。个人信息控制者经法律授权或具备合理事由确需公开披露时，应充分重视风险，遵守以下要求：a）事先开展个人信息安全影响评估，并依评估结果采取有效的保护个人信息主体的措施；b）向个人信息主体告知公开披露个人信息的目的、类型，并事先征得个人信息主体明示同意；c）公开披露个人敏感信息前，除8.4b）中告知的内容外，还应向个人信息主体告知涉及的个人敏感信息的内容；d）准确记录和保存个人信息的公开披露的情况，包括公开披露的日期、规模、目的、公开范围等；e）承担因公开披露个人信息对个人信息主体合法权益造成损害的相应责任；f）不得公开披露个人生物识别信息。

第8.5条关于共享、转让、公开披露个人信息时事先征得授权同意的例外规定，以下情形中，个人信息控制者共享、转让、公开披露个人信息无需事先征得个人信息主体的授权同意：a）与国家安全、国防安全直接相关的；b）与公共安全、公共卫生、重大公共利益直接相关的；c）与犯罪侦查、起诉、审判和判决执行等直接相关的；d）出于维护个人信息主体或其他个人的生命、财产等重大合法权益但又很难得到本人同意的；e）个人信息主体自行向社会公众公开的个人信息；f）从合法公开披露的信息中收集个人信息的，如合法的新闻报道、政府信息公开等渠道。

由此可见，作为购卡人个人信息控制者，经营主体应当在公开披露购卡人个人信息前获得个人信息主体的授权同意，除非前述公开行为属于“无需事先征得个人信息主体的授权同意”的例外情形。

从行政法层面来看，《单用途商业预付卡管理办法（试行）》第五条规定，商务部负责全国单用途卡行业管理工作。县级以上地方人民政府商务主管部门负责本行政区域内单用途卡监督管理工作。目前，我国尚未出具行政监管部门就获取公民个人信息进行行政调查有关的实体性或者程序性法律法规。

在上海的单用途卡行业监管机制下，仅有《上海市单用途预付消费卡管理规定》第二十三条规定单用途卡行业主管部门和单用途卡行政执法部门在监督管理过程中，可以“进行现场检查，向经营者及其工作人员询问、调查有关情况，查阅、复制有关合同、发票、账簿以及其他相关资料”，没有对持卡人的个人信息调查程序进行明确规定。

我们认为，经营主体应当依照法律、行政法规的规定和与用户的约定，处理其保存的个人信息，未经被收集者同意，不得向他人提供个人信息，除非法律、行政法规中存在例外情形的规定。目前而言，单用途商业预付卡行业尚未出台具体明确的关于规范监管机构如何获取或者经营主体如何向监管机构提供公民个人信息的法律法规。在面对监管机构要求提供相关购卡人个人信息时，我们建议经营者可以要求监管机构出具相关行政调查文件，列明要求提供信息的事由与目的、信息类别与范围等内容，以此作为经营主体提供购卡人个人信息的依据。同时，我们认为，公民个人信息行业自律监管是多元监管的重要补充，因此，我们建议单用途商业预付卡行业监管机构以及行业协会及时制定切实有效的购卡人公民个人信息监管与披露规则，有利于实现公民个人的信息安全与信息保护。