文/张书慧 北京市隆安律师事务所上海分所
近日，著名脱口秀演员王越池（艺名：池子）与笑果文化的纠纷大戏被中信银行抢了风头。一份池子个人近两年的银行流水成了焦点。
5月6日，池子在个人微博中指责中信银行股份有限公司泄露其个人账户交易信息。
5月7日凌晨，中信银行向池子公开道歉，并对该支行行长作出撤职处理。
同日，上海银保监局宣布介入调查。
此事件被媒体称为“池子事件”。“池子事件”再一次引起社会对公民个人金融信息保护的关注。
一、个人金融信息保护的历史发展
公民个人金融信息是公民个人信息的一部分，包括公民个人身份信息、个人财产信息、个人信用信息、个人账户信息、个人金融交易信息和衍生信息等。银行系统对个人信息保护始于25年前。
1995年9月10日实施的《商业银行法》第二十九条第二款规定：“对个人储蓄存款，商业银行有权拒绝任何单位或者个人查询、冻结、扣划，但法律另有约定的除外。”从文意解读角度看，当时的立法不够严谨，个人账户信息是否提供的自主权在银行。也就是说，当有单位或者个人来要求银行实施查询、冻结、扣划行为时，接受还是拒绝由银行决定。可见，在当时社会背景下，个人信息安全已经得到了重视，但尚未充分。
2000年3月20日，国务院第285号令发布《个人存款账户实名制度规定》，共12条。其中，第八条规定：“金融机构及其工作人员负有为个人存款账户的情况保守秘密的责任。金融机构不得向任何单位或者个人提供有关个人存款账户的情况，并有权拒绝任何单位或者个人查询、冻结、扣划个人在金融机构的款项；但是，法律另有规定的除外。”这是第一次明确金融机构对个人信息的保密义务，明令禁止金融机构向第三方提供个人存款账户的情况。
2011年1月21日，中国人民银行下发《关于银行业金融机构做好个人金融信息保护工作的通知》，首次对个人金融信息作出界定，并提出保护要求。第四条明确规定：“银行业金融机构不得篡改、违法使用个人金融信息。使用个人金融信息是，应当符合收集该信息的目的，并不得进行以下行为：……（二）向本金融机构以外的其他机构和个人提供个人金融信息，但为个人办理相关业务必需并经个人书面授权或同意的，以及法律法规和中国人民银行另有规定的除外；……”各家商业银行几乎都以此为指导，拟订了自己的个人金融信息安全保护内部规定。
2015年8月29日，《商业银行法》进行修订，未对1995年《商业银行法》第二十九条第二款的规定进行修订。
二、中信银行非法提供个人银行流水的行为系违法行为
中信银行向笑果文化提供的池子的个人银行流水是个人储蓄存款情况，也是个人账户信息。中信银行员工的行为违反了《个人存款账户实名制度规定》和《关于银行业金融机构做好个人金融信息保护工作的通知》的相关规定。这两个文件从性质看，前者属于行政法规；后者属于规范性文件。中信银行员工对前者的违反是认定其违法行为的主要原因。
三、中信银行对“池子事件”的处置是否得当
《商业银行法》第七十三条规定：“商业银行有下列情形之一，对存款或者其他客户造成财产损害的，应当承担支付迟延履行的利息以及其他民事责任：……（三）非法查询、冻结、扣划个人储蓄存款或者单位存款的；……”第七十五条规定：“商业银行有本法第七十三条规定的情形之一或者有下列情形之一，由中国人民银行责令改正，有违法所得，没收违法所得，并处违法所得一倍以上三倍以下罚款，没有违法所得的，处五万元以上三十万元以下罚款：……”
《人民银行关于银行业金融机构做好个人金融信息保护工作的通知》第十条规定：“中国人民银行及其地市中心支行以上分支机构受理投诉或发现银行业金融机构可能未履行个人金融信息保护义务的，可依法进行核实，认定银行业金融机构存在违反本通知规定，或存在其他未履行个人金融信息保护义务情形的，可采取以下处理措施：（一）约见其高管人员谈话，要求说明情况；（二）责令银行业金融机构限期整改；（三）在金融系统内予以通报；（四）建议银行业金融机构对直接负责的高级管理人员和其他直接责任人员依法给予处分；（五）涉嫌犯罪的，依法移交司法机关处理。”
由以上规定可以得出一个结论，提出两个疑问。结论是中信银行的处理方式符合《通知》要求，并且非常及时。疑问一是央行上海总部去哪儿了？疑问二上海银保监局干啥去了？因为处罚权在央行，央行应当有所动作，而银保监好像……
四、为什么个人金融信息保护总是出问题
中信银行的这位员工一句“满足大客户的要求”，气得千千万万国人跳了起来。那么，为什么个人金融信息保护总是出问题呢？
笔者认为：主要原因有两个：一是利益引诱；二是违法成本偏低。对于前者，笑果文化是中信银行的大客户，如果不满足它的要求，人家换开户行怎么办？对于后者，如笔者前面所描述的法律法规的规定，认定中信银行行为违法的直接依据的《个人存款实名制规定》对此类违法行为没有任何处罚措施，而《商业银行法》也仅是五万到三十万的罚款，这对于银行来讲不够有威慑力。
但是，国家在个人金融信息保护方面的作出的努力是有目共睹的。2019年10月，《个人金融信息(数据)保护试行办法(初稿)》发布，是个人金融信息保护的又一次进步，值得期待。
五、池子维护其合法权益的法律途径
（一）民事法律途径
个人金融信息是公民个人隐私的重要部分，依法应当得到保护，在受到侵害时，有权向司法机关提起侵权之诉以保护自己的合法权益。《侵权责任法》第二条规定：“侵害民事权益，应当依照本法承担侵权责任。 本法所称民事权益，包括生命权、健康权、姓名权、名誉权、荣誉权、肖像权、隐私权、婚姻自主权、监护权、所有权、用益物权、担保物权、著作权、专利权、商标专用权、发现权、股权、继承权等人身、财产权益。”第十五条规定：“承担侵权责任的方式主要有：（一）停止侵害；（二）排除妨碍；（三）消除危险；（四）返还财产；（五）恢复原状；（六）赔偿损失；（七）赔礼道歉；（八）消除影响、恢复名誉。以上承担侵权责任的方式，可以单独适用，也可以合并适用。”笔者认为，中信银行和笑果文化侵犯池子隐私权的主观过错明显，侵权行为也成立。应当说，如果如果诉至法院，很有可能获得法院的保护。问题在于他的具体诉请是什么？从前面的救济方式可以看出，停止侵害、排除妨碍、消除危险、返还财产、恢复原状、消除影响、恢复名誉都不适用，只有赔礼道歉和赔偿损失。赔礼道歉，中信银行第一时间就做出了，而且是公开道歉，我想池子和他的律师也不会再主张了。那么，赔偿损失怎么办？笔者认为，损害事实方面的证据组织情况是案件的胜负手。在笔者可及范围，尚未检索到相似判例。
（二）刑事法律途径
最近几年，对于公民个人信息保护，公安机关也作出巨大努力，侵犯公民个人信息犯罪也是多发犯罪。2019年9月，“爬虫技术”备受关注，多家公司涉嫌侵犯公民个人信息犯罪被立案侦查。根据办案经验判断，如果该员工有多次类似行为，信息数量达到公安机关立案追诉的标准，公安机关不会袖手旁观。根据最高院、高检院《关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》规定：非法获取、出售或者提供财产信息50条、交易信息500条，其他金融信息5000条以上的属于“情节严重”，应当依法追究刑事责任。