个人信用信息“异议权”保护的四大路径

个人信用信息异议权在保障个人信用信息权益层面发挥着重要作用，但在个人信用信息异议权的立法中存在异议处理程序不完善、不良信息保存规则不合理、信息处理者事先告知义务缺失以及举证责任规定不一致等问题。为解决上述问题，应在结合我国实际情况的基础上借鉴域外有益经验，完善异议处理程序，细化异议处理机制，确保个人信息主体能够充分行使个人信用信息异议权。

一、问题的提出

近年来，我国社会信用体系建设在取得重要进展的同时，个人信用权益也得到了进一步的拓展。个人信用评价建立在个人信用信息准确性基础之上，个人信用信息的准确与否直接影响到个人信用评价结果的正确程度。

个人信用信息在社会生活中的重要性日益凸显，但影响其准确性的各种因素和行为层出不穷，有关个人信用信息的异议案件数量呈逐年增加态势。个人信用信息异议权作为个人要求更新或纠正与实际情况不符的失实信用信息的一项重要权利，在保护个人信用信息方面发挥着重要作用。

个人信用信息异议权是指个人信息主体认为个人信用信息存在遗漏、不准确、超时留存等失实情形下，向信息处理者提出异议并要求更正、删除的权利。

现阶段，有关保护个人信用信息异议权不同效力层级的法律法规呈现出系统化“防护网”的构建趋势。个人信用信息异议权的本质在于保证个人信用信息的真实性和准确性，为防止失实个人信用信息的频现，应充分保障个人信息主体行使异议权。

但目前行使个人信用信息异议权的配套保障机制仍存在诸多不完善的地方，出现了权利主体行权受阻、义务主体义务履行不全面、异议处理流程缓慢、举证责任不清等问题。现存问题不仅使个人信息主体的正当权益受到严重侵害，而且也阻碍了社会信用体系建设的推进。针对现存问题应采取相应的措施，规避潜在的法律风险，保障个人信息主体的合法权益，推进社会信用体系建设高质量发展。

二、我国个人信用信息异议权的立法现状

当下，我国已形成系统化的法律体系以规范个人信用信息异议权的行使规则与处理机制，涵盖的法律有《民法典》、《个人信息保护法》（以下简称《个保法》），行政法规有《征信业管理条例》（以下简称《条例》），部门规章有《征信业务管理办法》（以下简称《办法》）、《个人信用信息基础数据库管理暂行办法》、《社会信用服务机构执业管理办法》、《个人信息处理中告知和同意的实施指南》以及40余部地方性社会信用立法等相关法规，这些法律法规共同构成了我国个人信用信息异议权的法律制度框架。

个人信用信息异议权的行使是围绕不同主体采集、使用、提供、传输个人信用信息等行为而进行的一个动态过程，如果个人信息主体对相关义务主体提供的信用信息持有否定或反对态度，则会触发个人信用信息异议的权利机制。通过梳理上述不同效力等级的法律法规可以发现，有关个人信用信息异议权的立法主要从以下几个方面进行具体的规定。

（一）个人信用信息异议权的主体范围

个人信用信息异议权行使过程中所涉及的主体包括提出异议的权利主体和有义务处理个人信用信息的义务主体。在权利主体层面，主要讨论申请异议的主体范围限制；在义务主体层面，根据受理个人信用信息的义务主体所处阶段不同，进行分类论述。

1. 权利主体

我国《民法典》第1037条和《个保法》第2条在法律层面明确提出，个人信用信息异议申请的主体为自然人。从域外来看，大部分国家和地区将异议申请提出的主体也限定在自然人范围内。例如，日韩两国都在其《个人信息保护法》中规定“个人信息是与自然人有关的信息”“个人信息主体本人有权提出异议申请”。

当前，对于将个人信息主体规定为“年满十八周岁自然人”或“完全民事行为能力人”的限制条件存在一定争议。地方性社会信用立法对信息主体是否限制年龄的规定不一，如北京、山东等地的《公共信用信息管理办法》将行权主体限定为年满十八周岁的自然人，但大部分地方性社会信用立法并未对信息主体的年龄作任何限制。

随着现代社会对个人信用信息管理的不断深化，未成年人被纳入个人信用体系范畴的概率增大。我国《未成年人保护法》规定，未成年人或监护人有权行使更正、删除未成年人信息的权利，但该规定并未与个人信用信息有关的立法相衔接。未成年人群体由于心智不成熟，认知水平不健全，难以准确合理地评估自己所实施的行为可能导致信用评价受损，因此需要给予该群体一定的倾斜性保护。然而，将未成年人完全排除在个人信息主体之外，相当于否认了未成年人对信用信息的所有，这种限制有失合理性。

基于未成年群体的特殊性，可以有选择地将其信用行为或信用记录纳入信用评价，针对不同的信用信息类型进行分类，实行不同层级的信用监管模式，而不是排除未成年人行使个人信用信息异议的权利。因此，未成年人群体的个人信用信息同样需要受到法律保护，符合条件的未成年人可独立提出或由监护人代为提出异议申请。

2. 义务主体

个人信用信息异议权的义务主体是指法律规定有义务处理个人信息主体提出的异议申请，并采取一系列措施来更正或删除失实信用信息以维护个人信息准确性的主体，包括征信业监管机构和个人信息处理者。

（1）征信业监管机构。《条例》第4条明确，我国征信业监管机构是国务院征信业监督管理部门及其派出机构。征信业监管机构除履行监管职能之外，还受理个人信息主体的异议申请或投诉业务。若逾期未处理或未按照相关程序对异议信用信息进行核查处理，征信业监管机构还需承担相应的法律责任。

（2）个人信息处理者。根据《个保法》《条例》《办法》等法律法规，个人信息处理者还可细分为信息提供者、信息使用者以及信息评价者。其中，信息评价者主要指征信机构，根据信息来源不同可分为公共征信机构（中国人民银行征信中心）和个人征信机构。个人信息处理者在处理个人信息时需具备合法性基础，所以《个保法》第13条规定，个人信息处理者处理个人信息需征得个人授权同意，但同时规定了在特定条件下可独立处理个人信息的例外情形。

（二）个人信用信息异议权的具体内容

我国《民法典》《个保法》等法律法规对个人信用信息异议权的规定相互契合，个人信用信息权利主体提出异议申请的同时，有权要求更正或删除失实信用信息。

1. 提出异议

当个人信息主体发现个人信用评价失实时，可向个人信息处理者提出异议。我国《民法典》第1029条和第1037条、《条例》第25条以及《办法》第26条均对“异议”有所规定。个人信息处理者在受理异议申请后，需依据法定程序进行处理，并对处理结果作出书面答复。

异议程序作为保护个人信用信息异议权人合法权益的重要步骤和手段，不仅为其提供了启动申诉的平台，更是在实践过程中展现出高度的便利性。个人信用信息异议程序的完备程度不仅直接影响到能否有效行权，而且关系到未来司法救济途径的实施。如果在异议过程中权利主体提出的异议能得到合规处理，个人信用信息权益将得到最大程度的保护。

2. 要求更正、删除

个人信用信息异议权人认为信用信息存在失实的，可要求个人信息处理者进行更正或删除，但两者在适用情形上有所不同。“更正”的适用情形为个人信用信息不准确或个人信用信息不完整，而《个保法》第47条第1款对于“删除”具体规定了5类适用情形。经核查后，个人信息处理者发现有必要更正或删除的，应立即采取措施，并对处理结果作出书面答复。若应处理而未处理或违反相关处理程序规则的，个人信息处理者应承担相应的法律责任。

（三）个人信用信息异议权的救济途径

1. 投诉或举报

在个人信息处理者驳回或未积极处理异议申请时，个人信息主体可向有关部门投诉或举报以保障个人信用权益。如《条例》《办法》均规定，信息主体可向有关征信监管部门或派出机构投诉。同时，《社会信用服务机构执业管理办法》第29条也规定，个人可向行政主管部门投诉或举报信用机构的违法行为。收到投诉的有关机构应在受理后的20日内及时核查并将处理结果以书面形式进行反馈。经核实审查后发现信用报告确实有误的，权利主体可凭借书面结果要求个人信息处理者进行更正或删除。

2. 提起诉讼

《个保法》第50条规定，个人信息处理者拒绝个人信息权利主体行使权利的，权利主体可向法院起诉。《条例》第26条也规定，信息主体若认为信息处理者损害其合法权益可直接向法院起诉，而且个人信息主体向法院起诉并不以个人信息处理者拒绝权利主体行使异议权为前置程序。权利主体可根据义务主体所违反法律的性质不同提起民事、行政以及刑事诉讼。截至2024年4月22日，中国裁判文书网中有关个人信用信息异议权的案例有316件，其中民事案例314件，刑事和行政案例各1件。

3. 行政复议

个人信用信息与公共信用信息领域存在交叉重叠部分，个人信用信息中的部分信息也隶属于公共信用信息范畴。而公共信用信息的处理者是被授予管理权限的行政机关或组织，在处理信用信息过程中作出的驳回异议申请、拒绝更正失实信息的行政行为直接影响了个人信息主体的信用评价，产生了相应的法律效果。

借鉴公共信用信息领域行政复议的成功经验，一些地方的社会信用立法已经前瞻性地赋予个人信息主体不服异议处理结果时提起行政复议的救济权利。如《重庆市社会信用条例》第46条、《江苏省社会信用条例》第71条、《广东省社会信用条例》第49条均有所提及。

三、个人信用信息异议权立法中存在的问题

（一）异议处理程序不完善

虽然《条例》第25条对信息主体的异议权和异议处理机制进行了相应的规定，但实践中仍存在诸多问题，难以有效保护个人信息主体的异议权。

1. 异议处理期限不合理

《条例》第25条规定，信息处理者须在收到异议申请之日起的20日内处理完毕，对异议处理期限作了统一限定。在现行的异议制度中，因其规定的处理期限固定，缺少适度弹性，在实务中存在个人信息处理者为满足答复规定的时限而不能确保核查处理质量的情况。

事实上，对某些事实清晰、关系明确的个人信用信息失实情况，个人信息处理者可以在规定的期限内甚至超前核查处理完毕。然而，在实际处理过程中，大部分个人信用信息的异议核实工作面临着跨部门、跨层级的复杂挑战。异议处理涵盖调查、取证、核实等多个环节，涉及的部门和步骤流程较多，加之缺乏更为细化的规范和约束机制，使得异议处理的进程缓慢、所耗周期长，规定期限与实务相脱节。

当前，我国规定的个人信用信息异议处理期限存在合理之处，但异议情况错综复杂，对不同复杂程度的异议处理适用统一的期限缺乏灵活性。

2. 异议处理过程缺乏个人监督机制

个人信息处理者在采集个人信用信息的过程中，个人信息主体并未与其有直接的联系接触。当个人信用信息出现失实时，有关的信息处理机构并未及时通知个人，而是当个人出于某种需要自行查询信用信息时才发现异常。而且相关法律法规仅笼统地规定了异议处理程序，在个人信息主体行使个人信用信息异议权、进入异议处理程序后，有关的个人信息处理者履行完核查处理职责后，只给当事人一个最终的书面答复。个人信用信息异议权人对其自身信用信息的变化和异议处理情况有权及时知晓，而异议处理过程的不透明极大阻碍了个人信用信息异议权的行使，并且对个人信用权益的保护产生了不容忽视的消极影响。

当前，个人信息主体只能通过自身以外的个人信息处理者或监管机构来了解异议处理过程中的进展情况，无法参与异议处理全流程，因此无法监督异议处理的各个环节。

3. 异议处理程序标准化规定不足

尽管我国有关法律法规对异议处理应坚持的原则、环节流程以及法律责任进行了规定，但是其中对异议处理程序的规定不够具体且没有形成标准化规范。目前，虽出台了《个保法》《条例》《办法》等法律法规，但还未有与之配套的具体实施细则。因此，在处理异议申请时，由于没有对具体处理程序进行规范限制，个人信息处理者可能在处理同样情形的异议事项时出现不同的操作方法，这也会影响个人信用信息异议权的真正实现。

（二）不良信息的保存规则不合理

个人信用信息的存储时间应当有所限制，并且这种限制应当基于个人信用信息的负面行为所产生的原因。为了激励个人履行信用承诺，维护个人信用报告的良好评价，国家在对失信人员进行惩戒的同时又会保障其信用修复的合法权益。

《条例》第16条严格规定了不良信息的保存期限为5年，超过5年的不良信息要予以删除。个人信用主体以不良信息的保存期限超过5年为由请求个人信息处理者依法进行删除时，多数情况下个人信息处理者未尽到删除义务，致使个人信用信息异议权人被迫承受超时的处罚。

《条例》对不良信息的保存期限进行单一规定，没有考虑到不同程度的失信行为所造成的危害效果的不同。因此，有必要在对不良信息进行类型划分的基础上，分别实行与之对应的保存期限。在目前的个人信用体系中，不良信息保存期限的设定太过简易，不仅阻碍轻度不良信息的信用修复进度，而且也不利于有效约束严重失信的个人信息主体。

（三）信息处理者事先告知义务缺失

随着《个保法》的实施，个人信息处理者的告知义务规则得到了进一步完善。《个保法》细化了个人信息处理者告知义务中所涉及的内容、履行时间、履行方式、例外情形以及特殊情形下的不同告知要求等事项，为个人信息处理者提供了系统化的指引。个人信息处理者应以履行告知义务为原则，不履行告知义务为例外。若个人信息处理者未准确、完整地向个人信息主体履行告知义务，将导致个人信息主体不能准确地了解全情，无法作出真实有效的意思表示。

然而，个人信息处理者在实践中经常忽视告知义务的履行，导致个人信息主体难以及时知悉自己的信用信息及其变化情况，大部分个人信用信息异议权人在因特定需求查询信用报告时才发现自身失信状况。个人信息主体主张个人信息处理者有事前告知不良信息的义务，未履行事前告知义务的主体违法应担责。而个人信息处理者通常会辩称事前告知不是必经步骤，因为可以将个人信息主体在事前签署的授权协议视为已尽告知义务。双方就告知义务进行争论的原因在于，现有法律法规对于不良信息的告知义务规定尚不明确，导致实践中二者的信息不对称，损害了个人信用信息异议权人的合法权益。

（四）举证责任规定不一致

精确地判定个人信用信息异议过程中的举证责任主体，可以使失实的个人信用信息得到及时修正，有效保证异议程序的顺利进行以及权利主体的充分行权。《民法典》《个保法》分别从名誉权和个人信息保护两个路径对个人信用信息异议权进行了保护，但两者适用的归责原则有所不同。

在不同的保护路径下，个人信用信息异议权人与个人信息处理者所承担的举证责任存在差异，且举证难度也有所不同。损害名誉权的法律后果是被侵权方的社会评价降低。依据《民法典》规定，侵害名誉权的归责原则适用“谁主张，谁举证”制度，即过错责任原则。被侵权人需要在诉讼中承担侵权人构成侵权的举证责任，若被侵权人无法证明，则须承担举证不利的法律后果。

在法院采用名誉权的保护模式进行审理的司法实践中，个人信息主体对于社会评价降低的损害后果难以举证证明。因此，部分判例中存在不能准确适用“社会评价降低”的损害后果要件，导致出现同案不同判的司法乱象。

《个保法》第69条规定，个人信息处理者承担过错推定责任。考虑到个人信息主体在个人信息处理过程中处于弱势地位，由提供证据更为便利的个人信息处理者承担举证责任，改变了个人信息主体与个人信息处理者之间举证能力不对等的局面。在采用个人信息保护的模式下，将举证责任进行倒置，由个人信息处理者证明是否存在免责事由以及是否存在过错，但还需进一步阐明，在该归责原则下个人信息处理者的过错责任类型以及如何确定损害赔偿额等具体内容。

四、完善个人信用信息异议权立法的对策建议

（一）完善异议处理程序

1. 细化异议处理期限

设置异议处理期限是为了督促个人信息处理者对权利主体提出的异议及时受理核查，确保个人信用信息异议权人的合法权益及时得到保障。然而，现行的异议处理期限过于固定且缺少适度弹性，不利于实现个人信用信息异议机制设立的真正目的。

相较于我国的异议处理期限，一些国家在个人信用信息异议处理上采用了更为灵活的期限设置。美国在《公平信用报告法》中规定异议处理期限为30日，允许存在特殊情况时进行延长但不得超过15日。欧盟《通用数据保护条例》规定任何情形下异议处理期限不得超过1个月，但在必要情形下可再延长2个月且控制者需将延长原因告知数据主体。

因此，可参考国外经验并结合我国实际，将个人信用信息异议处理期限细分为三类：对于一般异议申请适用20日的处理期限；对于事实清晰、容易处理的异议申请设置比20日更短的处理期限；对疑难情形应允许在20日基础上适当延长，对于延长期限还可以设置上报机制，并将延长期限的理由、具体延长时间等信息及时通知信息权利主体。

2. 强化个人监督机制

个人信用信息是评价个人信用水平的重要依据，一旦出现失实情形将对个人信用生活的各方面产生影响，个人信用信息异议权人有权监督各阶段的异议处理流程。

一方面，在向个人信息处理者提出异议申请后，个人信息主体应有权随时查阅各阶段的异议处理结果、证据、理由等详情，并且能够在各环节发表自己的意见，个人信息处理者需对此及时予以答复。

另一方面，在异议处理过程中，个人信息主体可向个人信息处理者提供从其他解决途径获得的涉及该异议的裁判文书或办理结果，为个人信息处理者提供可供参考的依据来判断是否应当进行修正。个人信息主体参与异议处理的全过程，并可清晰直观地了解到异议处理实情，主体双方也可以形成良性的沟通交流，处理过程中的沟通细节还能为后续的诉讼、投诉提供证据，提高异议处理效率。

3. 细化异议处理程序的标准化规定

现行法律法规对异议处理程序的规定不够具体细化，相关机构还需出台配套的实施细则对异议处理程序进行统一的标准化规定，对异议处理程序在各环节的具体要求进行合理规制，为实践中异议处理程序的具体操作提供法律依据。

首先，不同法律法规规定的异议处理细节有所不同，实施细则应统一其中关于异议处理流程的细节，确保在整个处理过程中能够遵循一致的规则和步骤。

其次，实施细则还应明确异议处理程序中应坚持的处理原则，如公正、透明、高效等，以确保处理结果的公正性和合理性。

再次，为了更好地应对不同复杂程度的异议情况，实施细则可以引入异议分级处理机制。通过对异议进行分级，可以对不同级别的异议申请采取不同的处理措施，提高处理效率，同时也能更好地保障当事人合法权益。

最后，监督审查机制也是确保异议处理程序公正、有效运行的关键一环。实施细则应明确监督审查的主体、方式、程序等，确保对异议处理全过程的监督，防止个人信息处理者的不当操作或职权滥用。通过细化异议处理程序的标准化规定，不仅可以规范异议处理的操作流程，提高处理效率和质量，还能强化对个人信用信息权益的保护力度。

（二）健全不良信息保存规则

不同类型的不良信息对个人产生的影响有所不同。当前我国对不良信息未进行分类，而且将保存期限统一规定为5年，偏离了个人信用体系中失信惩戒制度设立的真正目的。为此，有必要将不良信息进行合理归类，对不同类型的不良信息规定不同的保存期限，针对不同的失信行为进行相应的惩罚，保障个人信息主体的信用修复权。

在不良信息保存方面，也可借鉴域外的成功经验。比如美国将负面信息的保存期限分为三类：对民事诉讼、刑事犯罪等方面的负面信息保存7年；个人破产信息保存10年，而且特殊情形下可以延长保留期限；但对于特别严重的情形，美国采取了负面消息不受保存期限限制的更为严厉的举措。阿根廷《个人数据保护法》规定负面信息保存期限为5年，虽然保存期限单一，但还规定若能够偿还债务，个人的负面信息可在两年内予以删除。智利也有类似规定，对当事人的清偿行为进行有效的激励，促使个人对自身的负面信用行为进行及时补救。

我国可参考上述国家的做法，在对不良信息进行分类的基础上，根据其对个人的影响程度不同，采取相应的保存期限及激励机制。

（三）细化事先告知义务规则

在个人信用体系中，不良信息的事先告知义务，对及时发现并纠正失实信用信息至关重要，能有效预防后续因个人信用信息不准确而引发的异议和纠纷。我国相关立法中规定了信息处理者在上报不良信息之前，应事先告知个人信息主体。但现行立法对告知义务的各方面规定过于宽泛，信息处理者往往忽视履行，致使个人信息主体无法得到及时通知。

鉴于个人信用信息所具有的敏感私密性以及经济价值，应当对“告知”进行更加严格的规定。对此，对信息处理者事先告知义务的有关规定，应尽可能地细化明确，使事先告知义务成为信息处理者的一项必经的履职程序，更好地保障个人信用信息异议权人的合法权益。

首先，在告知的方式上，可采用多元化的告知方式，除书面文字形式之外，还可采用视频、音频的方式，以便照顾到弱势群体的利益。其次，在告知内容方面，除应告知个人信息处理者的身份信息、保存期限、处理方式等内容之外，还可借鉴我国《信息安全技术个人信息安全规范》（GB/T35273—2020）中信息处理者对不同类型的个人信息履行不同要求的告知义务，比如对于一般的个人信用信息需告知可能产生的后果，对于个人敏感信息需额外告知数据安全能力。

此外，需要明确事先授权不能取代事先告知义务，规定个人信息处理者可根据不同的使用目的适用不同的授权书，还可允许个人信息主体对单项信用信息进行授权。再次，在强化了告知义务履行的可行性后，还需依法明确未履行告知义务的法律责任，否则对个人信息处理者不具有约束力。

（四）明确举证责任分配机制

在个人信息主体以名誉权为路径寻求保护的过程中，部分法院以“社会评价并未降低”为由认定信息处理者不构成侵权，对于原告要求更正、删除失实信息的诉讼请求不予支持。在实践中，个人信用信息的评价报告只能由本人或经本人授权的主体查询，不具有社会公开性，个人信用评价被不特定的社会公众知悉的概率非常小，所以个人信息主体很难向法院证明“社会评价降低”的损害结果。若在法院审理过程中仅存在个人信用信息失实但并不能证明社会评价降低，容易对证明程序和审理过程产生阻碍。所以，为维持证明评判准则的一致性，在有证据证明失实信用信息被不特定的社会公众知悉且致使社会评价降低的案件中，法官可适用《民法典》的规定进行审判。而对于仅存在个人信用信息失实但无法证明社会评价降低的案件中，法官应采用另一条路径进行审判，解决名誉权保护路径下个人信用信息异议权人的证明困境。

《个保法》的过错推定责任与《民法典》的过错推定责任相比有其特殊性。《个保法》中个人信息处理者的“过错”体现为对其应履行法定义务的违反，是一种非普遍性的责任。而个人信息处理者包括的义务主体类型多样，不同的义务主体因其法定职责不同对“过错”的证明也应有所区别。但相关法律条文并未对个人信息处理者的过错类型进行区分，而且对于责任的损害赔偿额也没有具体规定。

为了更精确地界定责任范围，可将过错推定责任中的过错类型分为单纯侵害个人信息权益的过错，以及以个人信息为媒介侵害其他民事权益的过错，而且就两者内部又可细分为多种行为类型。在损害赔偿方面，可依据个人信息处理者获得的利益计算个人信用信息异议权人的损失，发挥侵权法规的预防和填平功能。

五、结论

随着我国社会信用体系建设的稳步推进，个人信用已成为社会治理的一项重要工具，从单纯的道德评价发展成为一种综合性评价标准。个人信用信息异议权是个人信息主体对抗失实信用评价的重要权利，能够纠正个人信用评价不准确、不客观的问题。只有有效解决当前制约个人信用信息异议权有效行使的一系列问题，才能最大限度发挥异议机制的积极效应，充分保障个人信用体系的健全发展，构建起充满活力、健康有序的信用社会。

转自源点credit，注：本文作者胡兰玲（天津师范大学 法学院）、刘淑敏（天津师范大学 法学院）