《金控监管办法》第23条第1款确立的信息共享机制存在诸多缺憾，但《金控监管办法》只是一个试行办法，在《个保法》颁布后具有修订空间。目前，应当清晰认识到：第一，这款规则受《个人金融信息（数据）保护试行办法》尚未出台背景下个人金融信息规则滞后、散乱的制约，虽然实现了有法可依，但是单薄的内容无法有效平衡个人金融信息共享场景中的保护与利用。第二，从大的趋势和域外比较来看，这款规则确立的一律“择入式同意”的授权模式背离了欧（德）美金融大国的主流做法，将使我国金融控股公司及其所控机构承受较多负担，在国际竞争中处于劣势。因此，对该机制的完善应当回归最初原点，重新定位、定向、定则。
（一）制度定位：集团内信息共享属于个人信息共享的特殊机制
国内立法者应当清晰地认识到，金融控股公司集团内信息共享机制属于个人信息共享的特殊机制，此种共享场景不同于通常的信息共享场景，应予区别对待。我国当前对此施加与一般信息共享无异的严苛要求，显然是制度定位的失误。理由如下：
其一，从历史来看，集团内信息共享长期以来扮演着信息共享的特殊角色。在金融业发展初期，银行对客户奉行信息保密制度，在长达数百年的时间里，由于竞争等因素，金融机构信息都是封闭的。而唯一的信息流通就是金融集团内部的信息共享。其二，域外多采取了对集团内信息共享与一般个人信息共享相区分的制度构建。既包括了偏重信息利用的美国，也包括了个人信息保护以严格著称的欧盟。集团内的信息共享俨然不受传统授权模式的制约。我国虽然守成，但在现行立法体例下，并没有将之简单地交给今后规定一般个人金融信息事宜的《个人金融信息（数据）保护试行办法》，而是专门在《金控监管办法》中创制规则，并在目前个人金融信息共享被严格限制的境遇下为之首开通道，实际上也隐含着这一认知。其三，从集团内信息共享本身的功用和构造来看，对此也确实有区别对待的必要。一方面，从功用而言，金融控股公司集团内信息共享能够实现精准营销、节约成本、金融创新、风险控制等多方面优势，极大地推动金融服务业的发展，符合数字经济下金融业的转型要求。此种信息共享既惠及自身又惠及客户。如果套用一般个人信息共享规则，将不利于整个金融业的发展和各方利益的促进。另一方面，从信息共享的场景来看，此种信息共享边界较为清晰。集团内所有获得客户信息的公司均由金融控股公司主导并统一协调，受到统一的约束。因此相较于一般的个人信息共享，风险系数较小且可控。其四，结合我国国情，也有必要将之区别于一般个人信息共享制度。我国金融市场总体上属于新兴加转轨的发展中国家市场，金融服务业一直以来都处于国际贸易逆差地位，金融机构的国际竞争力欠缺。但与此同时，我国金融服务业的对外开放已提上议事日程，我国金融机构面临着来自国际同行的全方位竞争。而这些域外竞争对手普遍具有混业经营的特征和优势，这将使我国分业经营体制下的金融机构很难与之展开平等的竞争。这就需要作为我国混业经营主要载体的金融控股公司有所作为。而金融控股公司的发展很大程度上依赖信息共享机制的驱动和协同。
（二）制度定向：仍要实现个人金融信息保护与利用的平衡
虽然金融控股公司集团内信息共享机制在授权方面可以豁免一般个人信息共享的授权要求，但是这并不意味着这一机制在其他方面可以不受限制。客观来看，其仍属于信息共享的范畴，个人信息保护与利用的冲突仍然存在。尽管个人金融信息在集团内的共享效用有目共睹，但是金融控股公司的信息利用毕竟是逐利性的，且其相对于客户具有优势。在金融科技日新月异的背景下，这一情况进一步加剧，严重者甚至会危及信息主体的人身权益和财产权益。实践中，金融机构在业务过程中未经客户明示同意就进行深度挖掘、再次利用，甚至进行共享转让的做法已经出现。
从欧美经验来看，金融控股公司集团内的信息共享在授权方面享受着事前“豁免授权”的待遇，却依然需要在事前、事中、事后遵循一系列规则，而这些规则甚至更为严苛，以实现不同利益间的精妙衡平。没有此种衡平，个人金融信息的共享就难以成为长效机制。而此种着眼于整体，强调保护与利用并重，并对个人金融信息实施事前、事中、事后一体化规制的做法也成为了大数据时代的显著趋势。因此，监管机构在完善我国金融控股公司集团内信息共享机制时，也应当正视信息保护与利用的客观现实和制度潮流。在明晰特殊制度定位的前提下，仍要以实现个人金融信息保护与利用有机平衡为调整目标，设计好有关配套举措。
（三）制度定则：授权模式的改革与配套举措的跟进
在制度定位和制度定向指引下，制度定则致力于建设科学可行的规则。具体而言，首先基于制度定位的考量，应当改革目前“一律同意”的授权模式，放宽目的限制，促进金融控股公司的发展。其次，基于利用与保护相平衡的考量，跟进有关配套举措。一方面要限缩制度适用范围、信息共享范围，另一方面要优化金融机构的告知义务，明确金融控股公司及其子公司的行政责任和民事责任。
１.改革授权模式
（１）对集团内信息共享“授权”采取择出式同意模式
应改革当前一律要求同意的授权模式，摒弃传统的择入式同意。那么，在择出式同意模式和无需同意模式之间，我国该采取何种模式？我们认为，虽然采用无需同意模式最能减轻金融控股公司及其所控机构的负担，提升我国金融控股公司国际竞争力，使之与欧美大国并驾齐驱，是金融控股公司集团内信息共享授权的最理想的状态，但是采取这样一种模式，对我国目前而言还不具有可行性。从不同的角度来看，无需同意模式的定位有所不同。从意思表示理论出发，可以将之视为一种将沉默拟制为同意的做法。在这一定位下，无需同意虽无同意之形式，却有同意之实质，其与明示同意具有同等法律后果，同受表意人行为能力的限制与意思表示相关法律规则的约束。而从处理个人信息正当依据的角度来看，又可以将无需同意模式视为除知情同意外处理个人信息的其他合法依据，直接绕开知情同意理论。此种情形类似于ＧＤＰＲ中基于数据控制者正当利益而设置的正当化事由，但数据控制的利益应当不与数据主体的利益、基本权利和自由相冲突。因此，若要对授权模式进行变革，我国有两种选择方案。但是从当前的情形来看，这两种方案短期内都难以进行。我国《民法典》第１４０条规定，沉默拟制为同意应当由法律规定。同时，我国《个保法》第１３条规定，设定处理个人信息的其他合法事由，最低也需要行政法规来确定。回归到现实，我国目前的《金控监管办法》仅仅是一个部门规章，这一规范级别今后虽然可能随着金融控股公司重要性的凸显而升格，但势必需要较长时间。但是，如果采取择出式同意就可以绕开上述限制。因为在这一理解维度下，择出式同意本质上就是民法中的默示同意，《金控监管办法》可以对之予以规定。相比传统的择入式同意，择出式同意已具备了较大的灵活性，能够节省金融机构的成本，促进数据迅速进入分析应用领域，提高数据的流通效率。因此，基于现实考量，我国对金融控股公司集团内的信息共享应采取择出式同意的授权模式，待有关条件成熟，《金控监管办法》升格为行政法规后再采取无需同意的授权模式。
（２）放宽目的限制
知情同意原则受到正当目的原则和必要原则的限制。在二者的限制下，个人信息处理的目的必须明确、合法、合理，信息处理必须与处理目的直接相关，同时限于实现目的的最小必要范围。在信息共享方面，《个保法》第２３条对此予以了规定。《个人金融信息（数据）保护试行办法（征求意见稿）》第９条也规定：“金融机构应当按照与信息主体的约定处理、使用个人金融信息。处理、使用时确有必要超出约定事项的，金融机构应当另行取得信息主体的明示同意”。
针对放宽目的限制问题，我国目前主要形成了两种观点。第一种观点认为应当照顾到金融控股公司的正当利益，在目的限定方面，应当放宽至各方持有的“金融许可证”所载明的经营范围之内的目的。第二种观点则认为，基于对客户保护的考量，即使是“金融控股公司内部共享数据，也需要受到搜集和使用目的限制”。总体而言，二者均坚持目的限制立场，其争论的关键点在于限制程度。
我们认为采取第一种观点较为妥当。首先，这一观点洞悉了放宽目的限制的正当需要和必然趋势，与欧美做法相近。一方面，“如果需要告知使用目的或任何目的变化都需要实施告知同意，实质上就等于扼杀大数据红利”。以大数据技术为基础的数据协同更是金融控股公司的命脉，动辄偏离最初目的就需要重新履行合规手续无疑会给金融控股公司带来较大的负担。另一方面，虽然欧盟全能银行也受到ＧＤＰＲ的目的限制，但因为自身作为整体取得业务授权，落实个人数据保护规则，并且对基于内部管理目的的信息传输享有正当利益，实际上也享受着放宽的待遇。而美国对此则一向持宽松态度，依据前述ＣＰＢＲ中的规定，即便是高敏感信息，也仅要求使用场景与提供时一致。其次，这一观点主张的放宽仍是有边界的、可平衡的、可解释的。金融控股公司集团内信息共享对象因为是特定的，所以即使放宽至各方所持有的金融许可证载明的经营范围，其仍然在可以控制的法律界限之内，风险总体水平并未发生大幅变动，完全可以依托后续举措予以抑制。而且，此种放宽与初次收集使用的场景具有较高的关联度和功能兼容，符合大多数客户的一般预期。
２.配套举措的跟进
（１）限缩改革后授权模式的适用范围
金融控股公司集团内信息共享属于关联方之间的信息共享。然而，关联关系并非是单一的、明确的。这一点从《公司法》第216条的释义中即可看出。一般来讲，集团内母子公司的关系通常最为紧密，风险最小，它们之间的协同效应对金融控股公司的发展效用也最大，与前述制度定位最为契合。因此，按信息共享的场景，可以将集团内信息共享区分为集团内子公司的信息共享与集团内关联非子公司的信息共享。总的来看，后者相较于前者，共享参与者范围迅速扩展，不但具有额外的风险，而且超出了一般客户的预期。从域外看，美国采用广义关联方的范围进行信息共享一直备受诟病。因此，作为授权模式改革的平衡，我国应当限缩改革后授权模式的适用范围，对共享场景予以实质判断，将之限于集团内子公司信息共享的场景，维持现行《金控监管办法》确立的范围。
（２）限缩信息共享的范围
从欧盟、美国的经验来看，虽然结合个人信息敏感度对个人信息进行差异化的保护和利用已成为国际趋势，但是否将个人金融信息整体或某一部分认定为个人敏感信息仍不明确，欧美对此也未形成有效做法和正式法律。我国台湾地区对此积累了一定的经验，但给金融控股公司带来了不小的负担。因此，一方面，我国大陆不宜照搬我国台湾地区的做法，对金融控股公司集团内信息共享进行严格的前端限制，以免削弱金融控股公司的发展空间和国际竞争力。另一方面，我国也应当正视此种趋势的合理性，考虑将有关信息排除在共享之列。
在我国现行实践中，由中国人民银行发布、全国金融标准化技术委员会归口的两部行业标准率先对个人金融信息进行了分类保护与利用。第一部是前述提及的《个人金融信息保护技术规范》。该标准根据未经授权查看或变更后所产生的影响和危害，将个人金融信息按敏感程度从高到低分为Ｃ１、Ｃ２、Ｃ３三个类别。此外还单列了对于两种或两种以上经过组合、关联、分析后可能产生高敏感程度的信息，要求针对同一信息在不同场景中可能处于不同类别的进行识别，从而采取针对性保护措施。第二部是2020年9月23日发布的《金融数据安全数据安全分级指南》。该标准在前一标准的基础上，依据数据安全性遭受破坏后对客户、机构及行业所造成影响的范围和程度，将数据定级为四级，前三级分别对应了前述Ｃ３、Ｃ２、Ｃ１类信息。此外，该标准在附录Ａ给出了数据级别升降变化事宜，在附录Ｂ列出了详细的归类和细分参考表。虽然这两部标准均属金融行业推荐标准，不具有强制约束力，但是作为当下个人金融信息保护与利用的引领性文件，其精细化的定级和详细的列举仍然具有较大的参考价值。它们遵循了对敏感信息处理施加某些特殊限制条件，从而对敏感信息给予更高的注意以及特殊保护的逻辑。
因此，我们认为，在金融控股公司集团内信息共享场景下，对于其列举的高度敏感的Ｃ３类信息，即用户鉴别信息，如银行卡密码、网络支付交易密码、账户登录密码／交易密码／查询密码等，以及Ｃ２类信息中的用户鉴别辅助信息，已凝聚了很强的共识，除了法定例外，应当原则上禁止共享。一方面，其列举范围不仅与美国2015年《消费者隐私保护法案（草案）》规定的个人敏感信息高度重合，而且欧洲、我国台湾地区也未将此等信息列入共享范畴。另一方面，我国《个保法》也已明确将“金融账户”规定为个人敏感信息，与之相关的鉴别信息当然应一同归属。而对于其列举的其他Ｃ２类信息、Ｃ１类信息以及预测信息，其敏感度的区分实际上不甚容易，延续着敏感信息与一般信息分类的模糊性特征，因而出于对客户的保护，应当统一适用择出同意模式。
（３）优化金融机构的告知义务
我国《个保法》第17条第1款是规定我国个人信息处理前如何告知的基本规范。该款规定个人信息处理者应当向信息主体告知其身份和联系方式、处理目的、处理方式，处理的个人信息种类、保存期限、个人行使本法规定权利的方式和程序以及法律、行政法规规定应当告知的其他事项。金融控股公司信息共享应对此一体遵循，同时还应当着力从以下方面重点提升告知同意的有效性：
第一，应当明确，采用择出同意模式后，充分告知仍是金融控股公司所控机构共享个人信息需遵循的法定义务，并应当突出“单独告知”和“权利告知”。一方面，《个保法》第２３条要求一般个人信息共享需取得个人的单独同意，虽然目前专门规定个人金融信息的规章和规范并未要求单独同意，但是个人金融信息比一般个人信息特殊且重要，相关金融规范屡屡强调“特定处理”、“明示同意”；如果一般个人信息共享都需要单独同意，那么按照举轻以明重的法理，个人金融信息的共享更应当征得个人的单独同意。另一方面，在权利告知中既应当包括择出同意模式下的选择退出权，也应当包括信息主体依法享有的其他个人信息权。我国《个保法》已规定了丰富的个人信息权，应当借鉴ＧＤＰＲ的经验，用较为显著的方式告知信息主体享有的权利以及行使权利的必要信息。这样一种做法能够促使信息主体从传统的消极被保护者向治理参与者转变，弥合传统知情同意的不足。
第二，借鉴ＧＤＰＲ中要求向信息主体告知自动化处理、用户画像可预期后果的做法，可以将自动化处理和用户画像的可预期后果纳入告知内容。此种预测个人信息容易引发被人操纵的疑虑和恐慌，具有突出的人格利益。在实践中，一些金融集团已在隐私政策中有所实践。《个保法》第24条对此也予以了规制，应当尽快将这些有益经验规定入《金控监管办法》中。
第三，优化隐私说明书，使之易懂、清晰、显著，并尽可能简短。数据治理具有技术性、复杂性、应时性的特征，不可能完全依赖国家制定的正式法律，因而对软法产生大量的需求。因此，金融业的行业协会应结合行业特点，牵头就基本要素作出标准的框架性模板，个人信息国家标准已在此方面进行了有益尝试。为了达到上述目的，一些简明的图表也应当被鼓励使用。
第四，为了确保信息主体知情权，还应当进行第二次告知。“传统模式下银行在获取授权时披露的信息有效期仅限于获取授权那一刻，这与大数据时代高频率的数据处理与共享需求是背道而驰的”。因此，集团内子公司在首次使用被共享的信息时，应当再一次向客户履行上述告知义务，而且这次的告知应区别于其他事项，专就信息共享情况进行告知，具体的告知要求应与初次告知一样，突出权利告知和提供行使权利的必要信息。ＧＤＰＲ与美国均对二次告知有所规定。但美国的年度告知义务负担沉重，已饱受批判。
第五，可考虑为告知义务设定例外。告知义务会带来成本和负担，因此，有必要运用设置例外情形这一普遍的衡平经验。按前述ＧＤＰＲ的做法，主要情形与通常设定例外的法理相同，主要涉及信息主体已拥有、特别法规定、不对等的过高成本、事实不可能、特别法定保密义务。对比来看，美国则在“择出式同意”模式下设置了过多的例外而饱受诟病。因此我国对此也应当慎重。我国《个保法》第18条初步规定了两项例外。建议以此为基准，结合金融行业的特殊性，遵循比例原则摸索建立这一机制。
（４）明确责任规则
在现行实践中，金融机构在数据共享的相关条款中多强调其拥有与合作伙伴共享数据的权利，却甚少或者模糊地提及其应当承担的义务与责任。
一方面，对于上述告知义务等要求，如果涉及合规问题但具有产生损害个人权益的可能性，《金控监管办法》应当设定监管措施。《个人金融信息（数据）保护试行办法（征求意见稿）》第37条、38条规定了违法处理、使用信息的法律责任和违法提供信息的法律责任。《消费者权益保护法》第56条第1款规定的责令改正、根据情节单处或者并处警告、没收违法所得、处以违法所得一倍以上十倍以下的罚款等均可资借鉴。
另一方面，如果对信息主体造成了损害性后果，有关民事责任形态应当为连带责任。虽然这一场景下还有按照过错各负其责的方案，但连带责任有着先行赔付的优势，明显有利于对信息主体的保护。此外，实施此种做法的法理还在于：“既然金融集团之间享有全能银行制下的权利，也应尽全能银行制下的义务，即金融控股公司及其子公司应为个人金融信息的侵权承担连带赔偿责任”。这一责任内容具有特殊性，建议《金控监管办法》在法律责任一章予以明确。
