丁宇翔
随着中国证券市场的不断发展壮大以及银行业务的证券化发展，〔1〕黄达、张杰编著：《金融学》（第五版），中国人民大学出版社2020 年版，第274 页。中国金融市场中的证券投资者数量持续攀升。〔2〕据中国结算的统计，2022 年8 月，我国新增（月增）证券自然人投资者124.25 万，截至2022年8 月底，我国自然人证券投资者达2.08 亿，同比增长8.3%。参见中国证券登记计算公司官网，http://www.chinaclear.cn/zdjs/tjyb2/center_tjbg.shtml，2022 年9 月19 日访问。这意味着证券领域个人信息的保护需求也将不断显现和提高。在证券发行和交易场景下，单就主体而言，投资者、上市公司高管等都是典型的信息主体，证券公司、证券交易所、上市公司等都是典型的信息处理者，上述信息主体与信息处理者在证券发行和交易中存在多种可能的法律关系，并且都会涉及个人信息的处理，在实际处理中有很强的特殊性。就个人信息的内容而言，有交易流程信息如委托、成交、清算信息等，有交易种类信息如融资融券、转融通、股票质押信息等。这些不同种类的个人信息在保护强度、保护规则及保护例外方面均有差别。〔3〕丁宇翔：《个人信息保护纠纷理论释解与裁判实务》（第二版），中国法制出版社2022 年版，第7-8 页。职是之故，证券发行和交易场景下，个人信息的保护会面临很多复杂局面，尤其是在裁判实践中如何应对这种特殊性和复杂化，值得予以关注和研究。
（一）证券发行中需要处理的个人信息及其类型
证券发行阶段，证券的发行人为募集资金或变更股权结构，需依法向投资者以同一条件招募和出售证券。以最典型的公开发行股票为例，在此过程中，在发行人端，发行人需要聘请中介机构完成审计报告、法律意见书等诸多事宜，这就构成了发行人分别与中介机构之间的服务合同和保荐合同关系。在准备就绪正式发行股票时，需要与证券公司签订承销协议，从而形成委托代理关系。同时，还需要与银行签订代收股款协议，从而形成委托合同关系。在履行上述法律关系义务中，发行人需要处理来自三个方面的个人信息：一是处理来自发行人股东和实控人方面的个人信息。主要有自然人实控人及持股5%以上的自然人股东的国籍、永久境外居留权信息、身份证号码、住所等；
自然人控股股东和实控人直接或间接持有发行人的股份是否存在质押或其他争议的信息。此外还有前十名自然人股东及其在发行人处担任职务的信息等。二是处理来自发行人的高级管理人员和核心技术人员的个人信息。主要是上述人员的姓名、国籍及境外居留权、性别、年龄、学历、职称、主要业务经历、曾经担任的重要职务及任期、现任职务及任期、核心技术人员的主要成果及奖项，最近一年从发行人及其关联企业领取收入及所享受的其他待遇和退休金计划信息，兼职信息，相互之间存在亲属关系的信息，与发行人所签协议、重要承诺及其履行等信息。〔4〕《公开发行证券的公司信息披露内容与格式准则第1 号——招股说明书》第58-64 条。此外，鉴于发行人高级管理人员，尤其是某些标志性高管人物，如巴菲特之于伯克希尔，对于公司业绩的重要性，标志性高管人物的健康信息，也可能成为需要处理的个人信息。〔5〕Alexis Brown Stokes,An Apple a Day Keeps Shareholder Suits at Bay: An Examination of a Corporate Officer"s Legal Duty to Disclose Health Problems to Shareholders,Texas Wesleyan Law Review,vol.17,no.3,Spring 2011,pp.303-305.三是处理来自中介机构特定人员及其关联人员的个人信息。主要是披露保荐机构保荐代表人及其配偶、董监高拥有发行人权益及在发行人处任职的信息，保荐机构控股股东、实控人、重要关联方与发行人控股股东、实控人、重要关联方相互提供担保或融资的信息，在投资者说明会、业绩说明会、路演等投资者关系活动中机构调研人员的行踪信息等。〔6〕《上海证券交易所上市公司自律监管指引第1 号——规范运作》第7.2.6 条，《深圳证券交易所上市公司自律监管指引第1 号——主板上市公司规范运作》第7.2.6 条。
在发行人与投资者之间，主要是一级市场的证券买卖法律关系，同时也有发行人与证券公司的委托代理关系（已如前述），还有投资者与证券公司之间的委托代理关系（下文详述）。该法律关系中需要处理的个人信息主要是投资者在一级市场的交易信息，包括交易委托、成交、委托撤销、价格、数量、交易方式等信息。
在投资者端，投资者要购买新股，必须通过证券登记结算机构开立用于准确记载其所持的证券种类、名称、数量及相应权益和变动情况的证券账户。同时，投资者还需要通过证券公司开设专门用于证券交易用途的资金账户，通过该账户证券公司对投资者证券买卖交易进行前端控制以及清算交收和计付利息等。而证券公司也要对投资者进行适当性审查。此外，投资者还必须通过银行开立用于存放和管理其证券买卖用途的交易结算资金的银行账户。于是，投资者就分别与登记结算机构、证券公司、银行之间建立了服务合同或委托合同关系。上述法律关系中需要处理的个人信息主要有：账户信息，如账户编码、账户开通和撤销时间、姓名、身份证号码、账户状态、签约状态、资金转出上限和下限等；
鉴别信息，如登录密码、账户查询密码、交易密码、验证码、动态口令、短信验证码、密码提示问题答案等；
资产信息，如收入来源和数额、资产、债务等；
投资信息，如投资经验、投资目标、风险偏好及可承受的损失、诚信记录等信息。〔7〕《证券期货投资者适当性管理办法》（2022 年修正）第6 条。
（二）证券交易中需要处理的个人信息及其类型
证券交易阶段，投资者将在法定的交易场所，按照特定的交易规则，对依法发行并交付的证券进行买卖流通。在此过程中，除投资者之间成立证券买卖法律关系之外，投资者还将分别与证券公司成立委托代理关系。在信用交易的情况下，投资者还将与证券公司成立借贷关系。这些法律关系中需要处理的个人信息主要有：资产变动信息，如持仓变动、在途资金、资金变动、积分及其变动等；
交易方式信息，如集中竞价交易、协议转让、大宗交易、做市交易、回购交易等；
信用交易信息，如融资金额、融券数额、应还的回购证券款、应还的融资本金、利息、罚息、应还的融券市值、强行平仓记录等；
场内合约信息，如转融通、股票质押、债券回购、报价回购、约定购回合约等。
需要指出的是，由于持续信息披露要求的存在，证券发行阶段所处理的股东和实控人信息、高管及核心技术人员信息、中介机构特定人员信息在证券交易中还可能被多次处理。比如，年度报告中仍然需要披露持股5%以上股东、控股股东及实控人信息，高管的任职、持股变动、报酬等信息。同时，投资者在发行阶段的账户、身份信息等基础个人信息，在其后的二级市场仍然使用，故在证券交易中也会被证券公司、证券登记结算机构、证券交易所、交易结算资金账户银行等信息处理者多次处理。
（一）证券发行交易中个人信息的双重交织
在证券发行和交易中需要处理上文分析列明的诸多个人信息，呈现出敏感个人信息、非敏感个人信息与个人金融信息、非金融信息双重交织的面相。
一方面是敏感个人信息与非敏感个人信息的交织。按照敏感程度，即造成侵害和危害后果上的容易性程度，〔8〕程啸：《个人信息保护法理解与适用》，中国法制出版社2021 年版，第259 页。个人信息被区分为敏感个人信息和非敏感个人信息。对于敏感个人信息要符合《中华人民共和国个人信息保护法》（以下简称《个人信息保护法》）第28 条第2 款规定的特别要求方可予以处理，并给与更为便捷和低成本的保护。〔9〕前引〔3〕，丁宇翔书，第9 页。从《个人信息保护法》第28 条第1 款的列举内容看，金融账户被作为敏感个人信息。因此，上述证券发行交易中证券账户、资金账户、银行账户信息应属于敏感个人信息。但是，证券发行交易中还有诸如自然人股东及其在发行人处担任职务的个人信息、发行人高管的业务经历信息、核心技术人员的成果信息等很多其他个人信息，依照“致害风险+风险概率”这一敏感个人信息的核心判断标准，〔10〕朱芸阳：《个人金融信息保护的逻辑与规则展开》，载《环球法律评论》2021 年第6 期。这些个人信息的处理并不明显具有致害风险，应归为非敏感个人信息。
另一方面是个人金融信息与非金融信息交织。国家标准《个人金融信息保护技术规范》第4.1 条将账户信息、鉴别信息、金融交易信息、个人身份信息、财产信息、借贷信息和其他反映特定个人金融信息主体某些情况的信息归为个人金融信息。据此，证券发行和交易中的很多个人信息属于个人金融信息。然而，其中的其他一些个人信息，如本次发行前自然人股东与其他股东的关联关系信息、发行人高管的职务信息、兼职信息、相互之间存在亲属关系的信息等，则不属于个人金融信息。由于个人金融信息在安全管理和安全技术方面有不同于非金融信息的要求，比如，在传输环节，个人金融信息通信双方应通过有效技术手段进行身份鉴别和认证，〔11〕《个人金融信息保护技术规范》（JR/T 0171-2020）第6.1.2 条。但非金融信息则没有这样的要求。这就导致同是证券发行和交易中处理的个人信息，其处理的安全技术和安全管理存在不同的标准和规则，如果违反这些标准和规则，可能产生不同的法律后果。以上这种敏感信息、非敏感信息与金融信息、非金融信息双重交织的情况决定了，看似统一、整体的证券发行和交易场景下，个人信息的保护却是多元的、复杂的，这将可能构成证券发行和交易中个人信息保护规则适用的结构性约束。
（二）个人信息保护规则适用的结构性约束
证券发行和交易中广泛存在敏感个人信息、非敏感个人信息与个人金融信息、个人非金融信息双重交织的情况。其中某些个人信息既是敏感个人信息，也是个人金融信息，比如证券账户信息、资金账户信息等。敏感个人信息和个人金融信息在保护的目标上不尽相同，前者的保护旨在维护自然人人格尊严、人格自由和重大人身财产权益；
〔12〕江必新、郭锋主编：《〈中华人民共和国个人信息保护法〉条文理解与适用》，人民法院出版社2021 年版，第266-267 页。而后者的保护，则旨在维护自然人的重大财产权益。但是，二者在保护的强度上却具有一致性，越是敏感的个人信息，越会受到高强度的保护；
同样，越是等级高的个人金融信息，越会受到高强度的保护。由高到低等级C3、C2、C1 三类个人金融信息，其保护强度基本上可以对应于高敏感度、中敏感度和低敏感度的个人敏感信息。这种情况下，证券发行和交易中处理的个人信息保护一般不会产生结构性的约束。
然而，也有些个人信息既是个人金融信息，同时也是个人非敏感信息。比如，投资者证券账户、资金账户的开立时间信息、资金账户的开户机构信息、单纯的账户余额信息等，这些个人信息虽然属于个人金融信息，却未必是个人敏感信息。这就进一步加剧了证券发行和交易中处理的个人信息在构成上的多元性和复杂性。这一特质使得证券发行和交易场景下，个人信息保护规则的适用必须是个别的、具体的。《个人信息保护法》中规定的个人信息保护规则，适用于作为非敏感个人信息的某一证券发行交易个人信息时，并不要求其处理需要具有特定的目的和充分的必要性，并采取严格保护措施。但该个人信息却可能同时是个人金融信息，需要同时适用比非金融信息更为严格的个人金融信息保护标准和规则。于是，证券发行和交易场景下的个人信息保护规则适用，可能形成个人非敏感信息保护规则和个人金融信息保护规则的竞争适用，从而形成对个人非敏感信息保护规则的约束。需要指出，这种约束缘于证券发行交易中处理的个人信息构成上的复杂性，是一种结构性的约束，也是不同特质耦合于同一个人信息时难免遭遇的规则适用现实。这种约束在其他各行业领域亦不鲜见，但在证券发行和交易领域更为显著。
（一）证券发行交易中处理的个人信息的私人性与公共性
证券发行和交易中处理的各类个人信息，是信息主体在自身参与证券发行和交易活动中产生的，它们基本属于私域内容，信息主体并不当然同意甚至并不当然明知对这些信息的处理，它们首先是私人性的信息。这一定位意在揭示，不论证券发行和交易中有几多合法合理的处理依据，都应首先尊重这些个人信息的私人性。如果缺失这一点，很可能会“冷落”所有受宪法保护的权利的行使。〔13〕Julie E.Cohen,What Privacy is For,Harvard Law Review,Vol.126,Issue 7,2013,p.1905.同时，在金融业的实践中，公共管理和私人经济目标似乎在一个立基于信息收集和阐述基础上的风险管理机制中相互交织，〔14〕Valeria Ferrari,Crosshatching Privacy: Financial Intermediaries" Data Practices between Law Enforcement and Data Economy,European Data Protection Law Review (EDPL),Vol.6,Issue 4,2020,p.533.公共性在个人金融信息的特质中同样非常明显，证券发行和交易场景下更是如此。投资者的个人信息虽然具有私人性，但在不得不实施的证券监管下，投资者部分个人信息如真实姓名、身份证号、资信状况、甚至其证券账户使用情况信息等的提供都是不可避免的，除非他选择放弃投资。这就使得证券发行和交易中处理的个人信息常常服务于证券公共管理，呈现出较强的公共性。这种私人性与公共性两极并立的特质决定了，证券发行交易中处理个人信息需要兼顾公共管理的需要，这将构成证券发行和交易中个人信息保护规则适用的监管性约束。
（二）反洗钱监管的约束
一般而言，反洗钱首先是银行业金融机构在公法上的义务。但在证券业金融机构中，反洗钱的义务同样较为明显。在互联互通日益发展的大数据时代背景下，证券交易所互连的法律框架一直在处理诸如数据库的特殊权利、反洗钱报告义务等。〔15〕Radim Polcak,Stock Exchange Interconnections and Legal Issues in Data Exchange,Masaryk University Journal of Law and Technology,vol.11,Issue 2,Fall 2017,p.360.在履行反洗钱义务时，证券业金融机构最为依赖三项基础性机制，即客户身份识别制度、客户身份资料和交易记录保存制度、大额和可疑交易报告制度。这三项制度的核心内容都是对投资者个人信息的处理，而其中后两项制度下，证券业金融机构可以突破知情同意规则的限制，对投资者个人信息进行收集、存储、使用、传输等一般性的处理。在履行反洗钱义务的操作中，证券公司的大额交易和可疑交易信息监测系统，可能直接根据投资者的收入与交易规模、是否为频繁交易、是否为大额交易、是否为分散转入或分散转出、交易是否为快进快出，交易对手是否异常分散或异常集中、资金来路与去路等实时情况形成的衍生个人信息，〔16〕杨丹妮：《监管升级背景下的证券公司反洗钱可疑交易认定新探——基于证券交易所“异常交易”认定规则之启示》，载《区域金融研究》2019 年第4 期。进行分析、研究，确定其是否为可疑交易，并及时上报主管机关。这已经是对投资者进行数据画像并进行自动化决策。但在这一处理过程中，作为个人信息处理者的证券业金融机构，却并不完全遵循《个人信息保护法》规定的知情同意规则和第24 条中规定的自动化决策义务规范。同时，因证券交易较一般的汇兑业务更为复杂，需要更多信息判断是否属于可疑交易，证券经营机构还会要求客户适时更新其开立账户时已经登记的相关身份信息，如果投资者拒绝，其账户可能被采取限制资金转入转出，限制办理转托管等措施，〔17〕江苏省徐州市云龙区人民法院〔2019〕苏0303 民初5775 号民事判决书。这在一定程度上也突破了《个人信息保护法》第16 条的保护精神。于是，在反洗钱监管的要求下，证券发行和交易中的个人信息保护受到制约。
（三）反欺诈监管的约束
在证券发行和交易中，证券发行人、证券经营机构等主体采取欺诈手段引诱投资者买入卖出证券，或实施其他违背投资者真实意思，损害其利益的行为，都属于证券欺诈行为。实践中，比较典型的证券欺诈行为主要有内幕交易、操纵市场、虚假陈述和欺诈客户等，其中虚假陈述最为多见。证券发行和交易中的“三公”（公开、公平、公正）原则是我国证券市场的基础性制度设施，其中公开原则又是证券法的精髓之所在。证券欺诈直接违反公开原则，进而损害证券市场的公平和公正价值，是各国证券市场监管的重中之重。在反证券欺诈的过程中，强制信息披露扮演着举足轻重的角色。为预防和制止证券发行人、证券经营机构等主体对投资者的欺诈，证券法中的强制信息披露除了主要会计数据、财务指标、股票债券发行及变动情况、重大事件及其对公司影响等信息外，还包含有大量的个人信息，尤其是发行人控股股东、实控人的个人信息。因为在发生虚假陈述时，他们更可能是“问题制造者”。〔18〕丁宇翔：《证券发行中介机构虚假陈述的责任分析——以因果关系和过错为视角》，载《环球法律评论》2021 年第6 期。此外，发行人高级管理人员及核心技术人员的个人信息，中介机构特定人员及关联人员的个人信息也常常被要求披露。对于这些个人信息的强制披露，是反证券欺诈的法律要求，突破了知情同意规则。在一些特别情况下，甚至更具私人性的结婚信息也要无视知情同意规则而让位于反证券欺诈的要求。比如，上海游久游戏股份有限公司两位大股东结婚，形成一致行动关系，因该结婚的个人信息没有披露，二人被中国证监会上海监管局给予行政处罚，并因该证券虚假陈述行为而被诉请民事赔偿。〔19〕上海市高级人民法院〔2020〕沪民终479 号民事判决书。因此，在反证券欺诈监管的要求下，个人信息保护规则的适用也会受到制约。
（四）投资者适当性审查监管的约束
证券经营机构在销售证券产品或者提供服务的过程中，应当勤勉尽责，审慎履职，全面了解投资者情况，深入调查分析证券产品或者服务信息，科学有效评估，充分揭示风险，基于投资者的不同风险承受能力以及证券产品或者服务的不同风险等级等因素，提出明确的适当性匹配意见，将适当的证券产品或者服务销售或提供给适合的投资者。为此，证券经营机构必须首先了解投资者。相应地，投资者必须向证券经营机构提供关于自己的真实个人信息（比如收入来源、资产、负债等）以供了解。如果投资者拒绝提供，则证券经营机构在履行释明告知的前置义务后，〔20〕郭锋等：《中华人民共和国证券法制度精义与条文评注》（上册），中国法制出版社2020 年版，第490 页。可以拒绝向其销售证券、提供服务。这在一定程度上也构成了对《个人信息保护法》第16 条的制约。在普通投资者申请转化为专业投资者时，证券经营机构可以根据需要追加了解投资者相关信息，对投资者在本经营机构的交易轨迹进行分析评估，从而确定是否同意投资者的转化。此外，证券经营机构还可能根据投资者和产品或者服务的信息变化情况，主动调整投资者分类、产品或者服务分级以及适当性匹配意见。上述过程实际上都是单方面在对投资者进行数据画像，在一定程度上突破了知情同意规则。
（一）证券发行交易中个人信息的保护强化与共享强化
随着个人金融信息保护水平的提升以及《个人信息保护法》的施行，证券发行和交易中的个人信息保护越来越得到强化。然而，这只是问题的一面。其另一面是，证券发行和交易中个人信息被强化保护的同时，也呈现出越来越被共享的明显趋势。
一方面是发行人端个人信息的共享。在证券发行中，哪怕是非公开发行，也同样需要将部分本具私人性的个人信息予以刊登公告。比如，自然人发行对象及高级管理人员最近5 年受过的与证券市场有关的行政处罚、刑事处罚的种类、结果、日期、原因等信息。〔21〕《公开发行证券的公司信息披露内容与格式准则第25 号——上市公司非公开发行股票预案和发行情况报告书》第11 条。而在证券交易环节，为贯彻持续信息公开的要求和履行其他法定义务，持有发行人5%股份以上股东、实控人、发行人高级管理人员等的个人信息都会被多次地予以大范围公开处理。另一方面是投资者端个人信息的共享。投资者个人信息会被多次在发行人、证券公司、登记结算机构、证券交易所、交易结算资金账户银行甚至帮助这些机构处理数据信息的科技公司之间传输。更重要的是，证券经营机构为了提升交易的有效性和准确性，降低自身交易成本，除了信息隔离墙制度所排除的内幕信息及未公开的信息外，越来越利用其集团化优势共享投资者个人信息，以实现其利益最大化。在此背景下，看似简单的违背个人信息保护法理的个人信息公开现象，实质上有着个人金融信息合理流动的政策考虑，从而对个人信息保护规则适用形成合理性的约束。
（二）个人信息合理流动形成的约束
随着电子支付手段的日益发展，交易已经不是无记名的钞票、票据之间的交换，而更多是各类金融机构、数据科技公司分类账中信息条目的修改。〔22〕Alex Gladstein,Financial Freedom and Privacy in the Post-Cash World,Cato Journal,Vol.41,Issue 2,Spring/Summer 2021,p.271.如此背景下，对个人账户等信息进行严格的封闭式保护，几乎在客观上无法完全做到。同时，各类金融交易中的个人信息具有明显的价值属性，它本身也会与其他成千上万的个人金融信息汇集成金融公司、科技公司的企业数据。而企业数据天生具有流动和共享的面相，现代金融业的一个副产品是，与第三方共享的数据的质量和数量都在增加。〔23〕Matt Andrus,Protecting Financial Privacy in the FinTech Era: A New Category of Financial Records That Deserve Protection,Oklahoma City University Law Review,Vol.44,Issue 3,Spring 2020,p.306.具体到证券发行和交易领域，除为了履行上述反洗钱、反欺诈、投资者适当性审查等义务而进行的个人信息共享外，证券公司信息隔离墙范围之外的个人信息的适时共享对于证券产业自身发展亦具有独立的价值。
其一，有助于提升运营效率。证券经营机构内部对投资者个人信息的共享，能够大大降低其内部各子公司的客户获取成本，优化其销售渠道，整合利用内部的资源，减少内部单元之间单打独斗所抬高的营销成本，促进本机构甚至本集团内各项业务的协同发展。
其二，有助于进行统一的风险管理。在证券公司与其子公司之间，甚至在证券公司与其集团内部其他金融公司之间对投资者个人信息的共享，可以通过算法进行大数据分析，从而准确评估证券市场、甚至整个金融市场是否存在系统性风险、区域性风险及其他风险，更好地优化内部金融资源的分配，避免风险在集团内部甚至整个证券市场无序传导。
其三，有助于提升客户忠诚度创造更多价值。证券公司及其子公司，甚至证券公司与其集团内部的保险、银行等金融公司共享客户个人信息，能够使得金融企业更好地为客户提供金融产业链上更加全面的金融产品和服务，稳固并扩展客户群，为金融企业创造更多价值。
正是因为个人金融信息有着上述独立价值，2020 年11 月施行的《金融控股公司监督管理试行办法》提出了金融控股公司内部共享客户信息的命题，但仍然严格恪守知情同意规则。然而，在欧美个人金融信息保护实践已经突破知情同意规则，追求关联方信息无障碍流通的国际背景下，〔24〕邢会强、姜帅：《数字经济背景下我国金融控股公司信息共享机制的完善》，载《金融评论》2021年第6 期。我国金融发展要想不失先机、同台竞争，对个人金融信息流通限制的软化将是必然的选择，这也就形成了对一般个人信息保护规则适用的合理性制约。
（三）自愿信息披露的约束
投资者知情权也是证券法竭力维护的价值目标之一。对于投资者知情权而言，强制信息披露划定了较为清晰的信息边界，满足了合法性视角下的投资者知情权。但有些信息，虽然并非强制信息披露的范围，但可能是投资者知情权的合理期待范围。此时，《中华人民共和国证券法》（以下简称《证券法》）第84 条提供了自愿信息披露以兹补充。自愿信息披露不是绝对的“自愿”，而是有很多要求。首先就是《证券法》第84条第1款规定的影响性标准，即影响“投资者作出价值判断和投资决策”的信息。同时，自愿信息披露也要遵循持续性和一致性的要求，不得选择性披露等。〔25〕《上市公司治理准则》（2018 年）第91 条第2 款；
《上海证券交易所股票上市规则》（2022 年1月修订》第2.2.12 条第2 款；
《深圳证券交易所创业板股票上市规则》（2020 年12 月修订》第5.2.6条第2 款。因此，自愿披露看似“自愿”，实则附一定之规，其承载的价值目标是回应投资者合理的知情诉求。于是，部分个人信息会落入自愿披露的信息范围，其中较为典型的是发行人或上市公司高级管理人员和核心技术人员的个人信息。对于倚重企业家个人魅力的公司而言，核心高管的健康信息，在强制信息披露中已经有所要求。但在强制披露范围之外的其他健康信息，也仍可能存在广大投资者的合理关切。比如，持续多年慢性病的核心高管完全恢复健康。对于这样的个人信息，即使未经高管本人同意，上市公司也可能根据投资者的合理期待而予以披露。而对于倚重核心技术的成长性公司而言，核心技术人员无涉商业秘密的个人学术转向、最新学术研究重点等信息，即使不属于强制信息披露范围，亦应根据该个人信息对投资者决策的影响情况，而予以披露。以上种种，也构成了对个人信息一般保护规则的约束和限制，背后体现的是高管及核心技术人员个人信息保护与投资者知情权的平衡问题。
（一）规则适用约束下涉证券发行交易个人信息保护的调适机制
结构性约束之下，裁判者面临如何适用不同属性个人信息的相关规则的难题。调适的方法是首先识别该个人信息的属性，之后根据该个人信息的属性，确定具体的适用规则。当个人信息呈现多种属性时，如既是非敏感的个人信息，同时也是个人金融信息，调适的逻辑是要适用保护强度更高的规则，也就是一般的个人信息保护规则需要在一定程度上容让个人金融信息保护规则。
监管性约束之下，因反洗钱、反欺诈和投资者适当性审查中突破知情同意规则必须有合法性依据。但《个人信息保护法》第13 条未穷尽列举除知情同意规则之外的所有合法性依据，这就需要在现有规范框架内进行解释。所以，监管性约束的调适机制就是对相关法律条款的解释适用。
合理性约束之下，裁判者面临金融业发展和个人信息保护，投资者知情权益和个人信息保护之间的抉择。需要抉择的两端都值得保护，裁判者需要对此进行权衡，而比例原则是非常典型的权衡技术。〔26〕郑晓剑：《比例原则在民法上的适用及展开》，载《中国法学》2016 年第2 期。因此，合理性约束的调适机制是，如何科学恰当运用比例原则进行合比例地审查，在金融发展和个人信息保护之间，在知情权益和个人信息保护之间寻求妥当的平衡。
以上三种规则适用约束之下，结构性约束的调适机制相对较为宏观且容易把握，而监管性约束和合理性约束的调适机制则更为细致，需要予以精细化地阐述，以下着重探讨。
（二）监管性约束之下个人信息保护规则的解释论调适
《个人信息保护法》第13 条中，可以作为证券发行和交易中突破知情同意规则处理个人信息依据的只能是该条第1 款第三项，即“为履行法定职责或者法定义务所必需”。其中，法定职责涉及公权力机关，本文与此无涉。而这里的“法定义务”之“法”，究指法律、行政法规，抑或是还包括规章及其他规范性文件，则需探明。从内容来看，第13 条第1 款第七项使用了“法律、行政法规”的表达。《个人信息保护法》中凡是使用开放性引致条款的地方，都用“法律、行政法规”的表达。比如，第19 条“除法律、行政法规另有规定外”。从文义解释的角度分析，“法律、行政法规”是确定不包括规章和其他规范性文件的。从体系解释的角度分析，第13 条第1 款第三项中“法定义务”之“法”应与其他处的“法律、行政法规”保持一致。因此，这里“法定义务”之“法”应仅指法律和行政法规。这一结论亦可从权威学者和人员对《个人信息保护法》的释义中得到印证。〔27〕杨合庆主编：《中华人民共和国个人信息保护法释义》，法律出版社2022 年版，第48 页；
前引〔12〕，江必新、郭锋主编书，第126 页。
然而，发行人、上市公司、证券公司等履行反洗钱、反欺诈、投资者适当性审查等义务，突破知情同意规则，依据的规范却未必都是法律、行政法规，而大都是效力层级较低的其他规范性文件。比如，投资者适当性审查的主要规范依据是《证券期货投资者适当性管理办法》，反欺诈信息披露的重要规范依据包括《公开发行证券的公司信息披露内容与格式准则第1 号——招股说明书》等。这就意味着，裁判实践中以《个人信息保护法》第13 条第1 款第三项“履行法定义务”为由突破知情同意规则，可以在一定程度上解决问题，但不能解决全部问题，甚至不能解决大部分问题。因此，调适的具体路径还需另寻他途。
证券市场瞬息万变，必须适时修改《证券法》以资应对。比之其他法域，我国《证券法》的修改其实远远不够。〔28〕彭冰：《新版证券法修改的“得”与“失”》，澎湃网，https://www.thepaper.cn/newsDetail_forward_5381426，2022 年10 月6 日访问。于是，中国证监会的部门规章甚至其他规范性文件就不得不成为维护我国资本市场公共秩序的重要制度资源，从而成为我国资本市场公共秩序的一部分。根据《中华人民共和国民法典》（以下简称《民法典》）第8 条的规定，民事主体从事民事活动，不得违背公序良俗。而公序良俗就是公共秩序和善良风俗，〔29〕黄薇主编：《中华人民共和国民法典释义》（上），法律出版社2020 年版，第26 页。资本市场的公共秩序就属于公序良俗。至此，《个人信息保护法》第13 条“履行法定义务”不能解决的那部分监管性约束问题，就可有另外的调适路径，即以公序良俗原则解决。具体的思路是，在反欺诈、投资者适当性审查情形下，处理相关个人信息虽然突破了知情同意规则，但这些突破关乎资本市场公共秩序，属于公序良俗应有之义，依据《民法典》第8 条，相关的信息主体不得违背。
（三）合理性约束之下个人信息保护规则的合比例调适
1.作为调试工具的比例原则
合比例调适的基本工具是比例原则。关于比例原则的具体内容，学说上较多归纳为三项子原则或四项子原则，本文采三项子原则说。比例原则的三项子原则为：适当性原则，即行使权利的方式和手段应该适当，以有助于实现行权目的为已足；
必要性原则，即在所有可得行使权利的方式和手段中应该选择损害最小的那一种，以必要为限；
均衡性原则，即行使权利的方式与目的应合乎比例，不因小失大或得不偿失，以均衡为宜。〔30〕刘权：《目的正当性与比例原则的重构》，载《中国法学》2014 年第4 期；
纪海龙：《比例原则在私法中的普适性及其例证》，载《政法论坛》2016 年第3 期。在合比例调适中，需要结合权利行使的目的，逐一用三项子原则进行检视审查，最终得出妥当结果。
2.个人信息合理流动约束下的合比例调适
证券发行和交易场景下个人信息的流动，如金融控股公司与其所控股机构之间、其所控股机构之间的流动，如何可以突破一般的知情同意规则而取得合法性，取决于其流动是否合理。以知情同意规则为核心的个人信息保护规则，其目的旨在保护信息主体对其信息被处理的决定权和选择权。〔31〕前引〔27〕，杨合庆主编书，第45 页。用比例原则的第一项子原则适当性原则进行检视，行使权利的方式和手段有助于实现上述目的即可。在知情同意规则为核心的个人信息保护规则之下，针对证券发行和交易中个人信息的处理一般要求取得信息主体的同意，这是有助于实现其行权目的的，符合适当性原则。
用比例原则的第二项子原则必要性原则进行检视，需要对实现权利的可能方式进行比较。知情同意规则在具体实现时至少可以有两种方式：其一是取得个人的一般性同意，其二是取得个人的书面同意。以上两种方式中，第一种方式不强求书面同意，不会给义务主体造成过高的成本，损害较小。而第二种方式一律要求书面同意，会给义务主体造成过重的负担，损害较大。两相比较之后，不强求书面的一般性同意损害较小，而《个人信息保护法》第13 条第1 款第一项规定的知情同意规则正是采取了“一般性同意”的方式，符合必要性原则。
用比例原则的第三项子原则均衡性原则进行检视可以发现，证券发行和交易中一般性地处理个人信息要求信息主体同意是可以的。但在涉及金融控股公司与其所控股的证券公司、证券公司及其子公司之间时，所有个人信息的流动如果均需信息主体的同意，则产生的后果不仅是金融控股公司及证券公司因内部信息壁垒造成的巨大运营成本，更会危及金融控股公司内部、证券公司各业务条线及子公司对风险的计量、汇总、预警和监控，直接损害同一业务、同一客户相关风险信息的集中管理，〔32〕《证券公司全面风险管理规范》第31 条，《证券公司另类投资子公司管理规范》第21 条。联动损害到交易所市场，并在某一领域累积、扩散，加剧区域性金融风险。〔33〕欧阳资生、路敏、熊家毅：《数字普惠金融发展对中国区域性金融风险的影响研究》，载《西安财经大学学报》2021 年第5 期。与之相反，投资者个人信息仅仅在金融控股集团内部以及证券交易所等这样一个紧密联系且相对严密的闭环内共享，整体风险则属可控。鉴此，证券发行和交易中绝对遵守知情同意规则，会产生不合比例的效果。实践中应秉持均衡性指向的调适思路：第一，对于证券账户登录密码、交易密码、银行卡磁道信息等C3 类个人金融信息和个人非金融信息，应恪守知情同意规则，不做任何调适；
第二，对于C2、C1 类个人金融信息，投资者授权处理时，可解释为对金融控股集团或证券公司及其子公司整体的授权，〔34〕王炳文：《金融控股公司语境下金融信息保护与信息共享的平衡路径》，载《北方金融》2020 年第7 期。隐私政策或投资者另有声明的除外；
第三，对于C2、C1 类信息，如果在金融控股公司或证券公司外的登记结算机构、证券交易所等业务关联金融机构进行共享，只要该处理没有超出最初目的，且使用场景一致，可以解释为符合知情同意规则。
3.自愿信息披露约束下的合比例调适
自愿信息披露约束是来自投资者合理知情权益的约束。用第一项子原则适当性原则进行检视，证券发行和交易中个人信息的处理一般要取得信息主体的同意，自愿信息披露更是如此，这有助于信息主体权利目的的实现，适当性原则不成问题。用第二项子原则必要性原则进行检视，自愿信息披露下亦未一律要求信息主体书面同意，没有给上市公司等信息处理者造成较大负担，也符合必要性原则。用第三项子原则均衡性原则进行检视，需要审查信息主体个人信息权益和投资者合理知情诉求是否衡平。从发行人或上市公司端看，自愿信息披露具有多样性、灵活性，尤其是自主性，〔35〕周友苏主编：《证券法新论》，法律出版社2020 年版，第319 页。这使得涉及高管或核心技术人员个人信息的自愿披露更要遵守知情同意规则。但从投资者端看，绝对的知情同意要求，有时会漠视投资者合理关切和期待。尤其是某些个人信息在此前已经自愿披露过，则根据持续性和一致性的要求，在该个人信息发生变化时亦应落入自愿披露的范围。所以，自愿信息披露时绝对贯彻知情同意规则，也会产生不合比例的后果，有违均衡性原则。具体调适要点如下：第一，发行人、上市公司未取得同意而在自愿披露中将信息主体与投资者作出价值判断和投资决策明显无关的个人信息披露，裁判中应认定为违反知情同意规则；
第二，前期已经在自愿披露文件中披露的个人信息发生变化，发行人、上市公司在未征询信息主体意见的情况下将变化后的个人信息予以自愿披露的，裁判中应认定为未违反知情同意规则，除非信息主体此前已有明确的相反意见；
第三，自愿信息披露时，信息主体同意在境外披露其相关个人信息，发行人、上市公司未征询其意见而同时在境内披露的，裁判中应认定未违反知情同意规则；
第四，发行人、上市公司有理由认为核心高管、核心技术人员的非敏感个人信息极有可能对投资者作出价值判断和投资决策产生影响，在未征询信息主体意见情况下进行披露的，裁判中可秉承理性投资者标准，〔36〕丁宇翔：《证券虚假陈述前置程序取消的辐散效应及其处理》，载《财经法学》2021 年第5 期。酌情认定未违反知情同意规则。