投资者信息遭泄露，互金平台责任几何？

作者: 谭鸿   

我们经常看到一些报道如某P2P平台遭受黑客攻击，以致大量投资者的身份证复印件等个人信息被泄露，某知名电商平台因内部员工非法出卖用户的个人资料和交易记录等信息给电话诈骗犯罪分子，致使许多用户遭受诈骗。上述案例屡见不鲜。

在得数据者得天下的大数据时代，对于互金企业来说，投资者个人信息及平台交易数据已经成为了一种无形资产，互金平台存有大量投资者身份证、手机号码、银行卡账号等个人信息及相关交易数据。若上述信息及数据被不当收集和使用，投资者在享受普惠理财便利的同时也面临着信息被泄露的风险，轻则遭受短信轰炸，重则掉入诈骗陷阱。

投资者的信息被不当收集和使用，实际上侵犯了投资者的知情权、隐私权和信息安全权等重要权利。笔者在本文中将为大家介绍互金平台对投资者信息泄露可能承担哪些法律责任？互金平台在收集和使用投资者信息的过程中应该如何履行相关义务，保护投资者的信息安全？投资者如何维护自己的合法权益？

一、互金平台对投资者信息泄露承担哪些法律责任？

从现有的案例来看，用户信息泄露主要包括平台恶意泄露、内部员工泄露、以及黑客攻击等方式。

1、若是平台恶意泄露投资者信息，则平台将承担因泄露投资者信息的法律责任。

根据《网络安全法》和《网络交易管理办法》等相关法律的规定，互金平台违规收集、使用投资者信息，视情况而定将受到责令改正、给予警告、罚款、关闭网站等不同的行政处罚；根据《消费者权益保护法》、《国务院办公厅关于加强金融消费者权益保护工作的指导意见》《侵权责任法》等相关规定，平台将承担侵犯投资者的知情权、隐私权和信息安全权的法律责任，给予投资者民事赔偿（也可能存在违约责任）；根据《刑法》第二百五十三条之一的规定，承担构成侵犯公民个人信息罪的刑事责任。平台违反国家有关规定，将在提供服务过程中获得的公民个人信息，出售或者提供给他人，构成单位犯罪的，对单位判处罚金，直接负责的主管人员和其他直接责任人员，按照以下情形从重处罚：情节严重的，处三年以下有期徒刑或者拘役，并处或者单处罚金；情节特别严重的，处三年以上七年以下有期徒刑，并处罚金。

2、若因内部员工泄露或黑客攻击系统导致泄露投资者信息，此时平台是否承担法律责任需考虑是否存在过失。

若平台采取了相应的技术措施和其他必要措施保护投资者信息安全，以及在发生投资者信息泄露的情况是采取了补救措施，履行了法定义务，则平台具备免责情形，若未采取保护措施、补救措施以及未向有关主管部门报告，则根据《网络交易管理办法》、《网络安全法》的相关规定则将承担相应的法律责任。同时也因为存在过错，将承担民事侵权/违约责任，在刑事责任方面，则构成侵犯公民个人信息罪的过失犯。

二、互金平台在收集和使用投资者信息时应当注意什么？

保护投资者的信息安全是互金平台应当履行的法定义务，同时也是赢得投资者信赖的基础。互金平台在获客的同时，应当遵守相关法律的规定，履行职责，保护投资者的信息安全。根据《网络交易管理办法》第十八条、《征信业管理条例》第二十条规定、《网络安全法》第三十七条、《网络借贷信息中介机构业务活动管理暂行办法》第二十七条规定，互金平台保护投资者的信息安全需要做到以下几点：

1、收集、使用投资者信息需经投资者同意，并公开收集、使用投资者信息的规则

互金平台制定网络理财服务合同时，应当注意在合同中明示收集、使用投资者信息的目的、方式和范围，且经投资者同意，注意不得收集与提供的服务无关的个人信息。如果存在将收集的投资者的信息提供给关联公司和第三方使用的情形，应当经投资者同意或得到投资者的授权。互金平台或其他信息使用者应当按照与投资者的约定或在投资者授权范围内使用投资者的信息。同时应当注意，若在平台的交易规则、声明等文本中约定收集和使用投资者信息的相关条款，需经投资者确认，能够证明这些条款是经投资者同意的。

2、充分提示风险

互金平台通常会提供格式条款，根据《网络交易平台合同格式条款规范指引》第九条、第十条的规定，互金平台不得在合同格式条款中免除或者减轻自己对收集的投资者个人信息和经营者商业秘密的信息安全责任，并应当采用显著方式提请投资者注意与其有重大利害关系、对其权利可能造成影响的安全注意事项和风险警示等内容。因此互金平台需在合同中充分提示投资者信息可能被泄露、篡改、冒用等风险。

3、建立健全投资者信息保护制度

根据《网络安全法》第四十条、第四十二条和《网络交易管理办法》第十八条的规定，互金平台具有对其收集的用户信息严格保密、建立健全用户信息保护制度、采取补救措施以及向有关主管部门报告等法定义务。

4、未经许可，不得向境外提供境内用户信息

对于P2P平台及其资金存管机构、其他各类外包服务机构还应当遵循《网络借贷信息中介机构业务活动管理暂行办法》关于保护出借人与借款人信息安全的规定，例如在中国境内收集的出借人与借款人信息的储存、处理和分析应当在中国境内进行。除法律法规另有规定外，P2P平台不得向境外提供境内出借人和借款人信息。

以上是互金平台在收集和使用用户信息过程中保障投资者知情权、隐私权和信息安全权的一些重要措施。同时，互金平台在履行保护投资者信息安全义务的基础上，应当注意留存对自己有利的证据，以便维护平台的权益。在今年爆出的京东商城3名员工越权登录公司数据库系统，非法获取京东商城用户个人信息后出售给电话诈骗犯罪分子的案件中，由于能查询客户信息的电脑上方安装了监控探头，最终确认非法获取用户信息的员工。同时京东商城因未被证明存在过失而免受此次风波的影响。

三、投资者维护自身信息安全需关注什么？

投资者需认真阅读服务合同和相关的声明、规则，现在互金平台提供的格式合同条款繁多，投资者往往因其麻烦便忽视这些重要条款，尤其是文本中特别加粗、下划线等明示的条款。投资者需明确自己的信息将被用于什么目的、范围、方式，以及是否存在被第三方使用。同时一些服务网站、平台可能存在不定时地修改、变更服务合同，那么投资者还应当注意互金平台修改合同格式条款是否提前7天予以公示，是否收到平台的通知，并注意下载协议或截图等方式保留相关证据，以便纠纷出现后维护自身权益。

总结：互金企业在获取用户信息，争夺大数据市场的同时应当注重保护投资者的信息安全，获得用户信赖才是获取用户信息数据的稳固的基础。反观国外，微软起诉美国政府获取个人信息的行为侵犯用户的知情权，在国家安全与个人知情权的冲突中微软选择保护个人信息安全，作为企业取得用户信赖的重要性不言而喻。当然，作为法律服务者，我们提示互金企业应当注重保护投资者信息安全，维护投资者的隐私权、知情权和信息安全权！

谭鸿

金诚同达律师事务所律师、互联网金融项目负责人，原中伦文德互金律师团队联合创始人。主要为互联网金融企业提供法律服务，擅长互联网金融平台产品交易结构设计、业务合规诊断、争议解决与诉讼等。在第三方支付、电商、小贷、商业保理、互联网保险、供应链金融、消费金融、金交所等领域有丰富的实战经验。并在多家知名媒体发表互联网金融法律实操作品100余篇。