重磅！征信业新规要来了！互联网巨头拟纳入监管，个人信息保护成重点

一屉小笼包

1月11日，人民银行发布《征信业务管理办法（征求意见稿）》（以下简称《征求意见稿》），向社会公开征求意见。这是继2013年《征信业管理条例》及《征信机构管理办法》实施后，征信行业迎来的又一重磅新规。

《征求意见稿》指出，征信机构应当通过互联网、营业场所、委托其他机构等多种方式为个人信息主体提供每年两次免费信用报告查询服务。同时，征信机构采集信用信息，应当遵循“最少、必要”的原则，不得过度采集。

依据《征求意见稿》，以信用评分方式对外提供服务的企业被纳入规制范围，个人信息保护成为重点，这意味着头部互联网平台遭受新的监管，滥用数据的无资质企业迎来重击，银行业授信业务将产生较大影响。

金融科技行业专家苏筱芮表示，此次央行下发《征求意见稿》在预期中。去年年末，国务院曾提出健全社会信用体系，积极稳妥推进个人征信机构准入。此次向社会公开征求意见，正是对国务院“健全社会信用体系”的贯彻落实与积极响应。

明确信用信息采集原则
央行表示，2013年《征信业管理条例》颁布实施以来，我国征信业进入快速发展的数字征信时代，征信新的业态不断涌现，但由于缺乏明确的征信业务规则，导致征信边界不清，信息主体权益保护措施不到位等问题不断出现。在此背景下，央行依据《征信业管理条例》并结合征信业务发展的实际，起草了《征求意见稿》。

《征求意见稿》共七章四十六条，对信用信息采集，信用信息整理、保存、加工，信用信息提供、使用等方面作出相关规定。

据了解，《征求意见稿》所称信用信息，是指为金融经济活动提供服务，用于判断个人和企业信用状况的各类信息。包括但不限于：个人和企业的身份、地址、交通、通信、债务、财产、支付、消费、生产经营、履行法定义务等信息，以及基于前述信息对个人和企业信用状况形成的分析、评价类信息。

《征求意见稿》指出，征信机构采集信用信息，应当遵循“最少、必要”的原则，不得过度采集。此外，不得以下列方式采集信用信息：一是以欺骗、胁迫、诱导的方式；二是以向被采集的个人或企业收费的方式；三是从非法渠道采集；四是以其他侵害信息主体合法权益的方式。

在信用信息提供、使用上，征信机构应当通过互联网、营业场所、委托其他机构等多种方式为个人信息主体提供每年两次免费信用报告查询服务。同时，《征求意见稿》还规定，征信机构不得以删除不良信息或不采集不良信息为由，向信息主体收取费用。

目前数字经济发展已达到新高度，传统的金融机构征信管理已越来越难以满足全面、准确衡量个人和企业主体信用状况的相关需求。

据统计，全国在校大学生4000万人，工作5年以内的毕业生3900万人，民政低保人群约6000万人，全国小微企业主的数量超过8000万，这些人群和企业中的大部分是信用“白户”或“准白户”。该群体未与银行等金融机构发生过信贷关系，信贷状况空白，银行无法以此判断授信与否。

随着大数据技术与金融科技的发展，传统的金融机构无法覆盖到“白户”，金融科技通过替代数据提供了信贷服务，是对监管的一种突破。

现在，征信业迎来了新的监管。
中南财经政法大学数字经济研究院高级研究员金天解释，相比于2013年《征信业务管理条例》，《征求意见稿》最大区别在于对互联网线上生态信息的引入，使征信服务从传统的银行信用，延展到广泛的商业信用和与信用相关的更多替代数据领域。

“近几个月来，有关方面进一步意识到线上消费支付、财富管理、本地生活、社交关系等海量数据集中沉淀在少数几家平台机构，可能会对征信行业的发展、金融系统的稳定等带来一系列问题挑战。因此，出台此《征求意见稿》正当其时。”金天说。

中国（深圳）开发研究院金融与现代产业研究所副所长余凌曲向透露，征求意见稿的出台体现出较大的问题导向意识，即针对个人征信提出了很多要求。

相比发展多年已相对成熟的企业征信，个人征信在我们国家才刚起步。自2015年1月中国人民银行下发《关于做好个人征信业务准备工作的通知》、同意8家社会机构开展个人征信业务以来，至今已有5年，但个人征信牌照仅下发了2张——2018年2月获批的百行征信以及2020年12月获批的朴道征信。

由此可见，不少机构未达到个人征信牌照发放的监管标准。余凌曲认为，在当前经济形势下，提升消费对经济的作用，需要个人征信来发挥基础的功能。

个人征信此前曾在多个互联网平台开展过试点，余凌曲介绍，在试点过程中发现存在很多问题。

金天认为，比较突出的问题在于采集个人信用信息时，获得的用户授权不清晰，例如需要采集哪些信息、进行何种用途描述过于笼统；同时，用户只能选择“接受”（全部接受）或“不接受”，如果不接受则无法继续业务办理和享受相关产品服务，这实际上是利用其强势市场地位，不当引导甚至压迫用户接受授权条件。

中国银行业协会首席法律顾问卜祥瑞说，征信问题不少，结合对个人和企业信息保护法治需要，有必要规范。

不难看出，《征求意见稿》与现行法律法规相衔接。吸收《民法典》《网络安全法》《消费者权益保护法》等有关个人信息保护的内容，考虑与《个人信息保护法（草案）》的衔接，细化个人信息保护力度。

“当前借助各种新技术新应用手段泄露、篡改、毁损、窃取信用信息或利用信用信息谋私，非法收集、买卖信用信息不时发生，完善征信配套法规制度，强化法律问责非常迫切。”中国社科院法学所副研究员周辉表示。

提出五种相关禁止行为

值得注意的是，《征求意见稿》对征信机构提出了相关禁止行为。具体看来，征信机构不得提供以下征信服务和产品：一是对信用评价结果进行承诺；二是使用对评价结果有暗示性的内容、借用政府部门或行业协会的名义进行市场推广；三是以胁迫、欺骗、诱导的方式向信息主体或信息使用者提供征信产品和服务；四是对征信产品和服务进行虚假宣传；五是其他影响征信业务客观公正性的征信产品和服务。

记者注意到，前不久，央行对鹏元征信有限公司开出一张1979.55万元的罚单。处罚依据是，鹏元征信因未经批准擅自从事个人征信业务活动，企业征信机构任命高级管理人员未及时备案。

值得注意的是，《征求意见稿》第四十四条指出，以“信用信息服务、信用服务、信用评分、信用评级、信用修复”等名义对外提供征信功能服务，适用本办法。苏筱芮认为，这意味着市场上以“大数据征信”“个人征信”等名义的机构需要持牌合规经营，否则将会如鹏元征信一样，因存在未经批准擅自从事个人征信业务活动而收到央行罚单。

苏筱芮表示：“总体看，文件从适用主体、适用范围、信用信息定义、采集方式、整理保存加工方式、提供使用方法、信用信息安全、监督管理等方面对征信业务活动及信用信息使用的全流程进行指导与规范，一方面能够完善征信相关的监管框架，另一方面也有助于机构回归征信业务本源，有助于征信业健康、可持续发展”。

《征求意见稿》出台后，将对哪些机构及业务造成较大影响？

“涉及到以信用评分的方式对外提供服务的，例如蚂蚁金服和京东等，按照此次征求意见稿必须持牌，按照规定成为征信机构，否则的话就是非法经营。”对外经济贸易大学数字经济与法律创新研究中心执行主任许可说。

金天表示，由于个人信息保护的严格规定，对信息密集型企业的经营展业等行为影响较大。企业无论是在产品营销、用户运营还是员工招聘的过程中，都需要根据《征求意见稿》要求自查和端正相关行为。

“从目前的市场格局看，不少从事大数据、反欺诈等业务的金融科技企业涉及到个人征信业务，甚至不具备征信资质的企业也在开展征信业务，因此对于缺乏资质的企业有一定的制约。”刘斌认为，对于过度采集个人或企业数据的征信机构、金融科技公司也提出了要求，《征求意见稿》有利于对于规范征信市场，打击滥用数据的无资质企业。

与之对应的，卜祥瑞认为，对银行业授信业务也将产生较大影响。

除了上述企业之外，余凌曲表示，对于个人征信行业，将会产生规范发展的作用，《征求意见稿》出台之后，行业将更加开放，更多有能力的合规机构会提供更多服务；此外将对全社会、对中国整个经济体系产生影响，在未来的信用经济社会里，将有更多行业和市场交易依托个人征信业务的发展。

金融信用信息事关国家经济金融安全，经济金融安全是我国整体安全的一个重要的组成部分。在全球化大潮中，数据跨境流动带来价值收益的同时，风险也与日俱增，亟需提高防范和化解风险的能力。“十四五”规划建议要求维护金融安全，守住不发生系统性风险底线。

“很多国内外互联网科技公司都在跨境开展业务。过去常常出现的问题是个别国家猜忌、指责中国企业不当采集当地用户数据。”金天分析，实际上，中国用户数据流出境外的风险也现实存在的。《征求意见稿》对征信机构跨境业务活动的有关规定，为跨境征信业务提供了重要的规范和指导，有望从法律上防范跨境非法信息贩卖的风险。

《征求意见稿》对信用信息安全也作出相关规定，例如，对个人征信机构、保存或处理50万户以上企业信用信息的企业征信机构，应当符合以下要求：一是系统测评为国家信用信息安全等级保护三级或三级以上；二是设立信息安全负责人，由公司章程规定的高级管理人员担任；三是设立专职部门，负责管理信息安全工作，定期检查有关业务及征信系统的安全管理制度及措施执行情况。

苏筱芮表示，目前，信息安全、隐私保护领域存在一些乱象，例如违规收集与使用信息，强制、频繁、过度索取用户权限，超范围收集信息，欺骗误导用户主体下载App等。此次《征求意见稿》提出“采集个人信息，应当告知采集的目的、信息来源和信息范围等，采集非公开的企业信用信息，应当取得企业同意”，有助于规范征信机构信用信息采集方式，对客户主体充分履行告知义务，有利于保护金融消费者的合法权益。

个人点评：
这是继2013年《征信业管理条例》及《征信机构管理办法》实施后，征信行业迎来的又一重磅新规。随着大数据技术与金融科技的发展，传统的金融机构无法覆盖到“白户”，金融科技通过替代数据提供了信贷服务，是对监管的一种突破。在我国征信市场处于快速发展之际，《办法》的出台顺应了数字经济时代发展的需要，也代表了未来的发展方向。

相比发展多年已相对成熟的企业征信，个人征信在我们国家才刚起步。以信用评分方式对外提供服务的企业被纳入规制范围，个人信息保护成为重点。这意味着头部互联网平台遭受新的监管，例如蚂蚁金服和京东等，按照此次征求意见稿必须持牌，按照规定成为征信机构，否则的话就是非法经营。