一、数字征信时代：数字经济下的必然，征信监管的挑战

（一）互联网大数据征信的发展

在过去短短的近十年中，征信行业发生了飞速的发展，大数据分析能力的进步与普惠金融需求的扩大，催生了一大批类征信金融科技服务企业，提供包括风控、身份验证、反欺诈等在内的一系列产品。

除了技术进步带来的突破性提升以外，大数据征信的发展其实也是市场需求使然。根据央行数据显示，截止2019年底，征信系统收录自然人信息约10.2亿条，收录企业及其他组织信息约2834.1万户。这个数字并未覆盖数字经济下广泛的活跃群体，比如大学生、小微企业主等未曾和传统金融机构发生借贷关系的自然人。而数字征信则利用互联网的优势，涵盖了更多不同场景下采集和积累的用于判断企业和个人信用状况的各类信息，如个人支付、消费相关数据、银行持卡人数据、交通信息、通信信息、互联网金融借贷黑名单信息等等。虽然这些信息相对于传统征信所采集的信息而言与个人信用关联度较弱，但往往金融科技企业通过算法模型的不断创新，由大数据征信产品对传统征信无法覆盖到的大量“白户”进行一定程度的个人信用评分和信用评级，弥补了市场需求中的空白。

除此之外，由于传统央行征信数据应用于金融机构借贷等场景较为有限，互联网业态下类征信产品的广泛应用可以克服前者的局限。除了互联网金融产品外，互联网类征信产品更是应用在如住宿、租车免押金、签证申请等各类场景。《个人信息保护法》与《办法》的出台也正是契合了当前互联网金融各类业务形态蓬勃发展的社会场景，便于运营者及时履行合规义务。

（二）征信行业的监管历史与动态

如前面所述，数字征信的蓬勃发展带来了征信业务边界不清晰和个人信息主体权益保护不到位的问题。针对此，央行及其他国家机关是否有推动征信体系的建设与发展的探索与举措呢？

关于征信行业边界及资质要求不清晰的问题，央行已着手建立了国家性的基础数据库，并稳健地推动征信机构的市场化。中国人民银行征信中心（即金融信用信息基础数据库）于2006年正式成立。2013年3月15日施行的《征信业管理条例》（以下简称“《条例》”）中明确了金融信息基础数据库的法律地位。同时，《条例》中明确了个人征信机构采取“审批制”，企业征信机构采取“备案制”的监管框架。截至目前，通过人行备案的企业征信机构约为130多家，然而截至目前已经获得牌照的个人征信机构仅为“百行征信有限公司”和“朴道征信有限公司”两家。整体来看，央行对于个人征信机构牌照的发放非常谨慎。

针对个人金融数据的保护，尤其是信用信息的保护问题，近几年来监管机构也积极响应，个人信息保护要求呈现不断提高的整体趋势，行业特定法规、政策和标准也不断出台。截至目前，有关征信行业发展及信用信息保护的主要法规及政策性文件梳理如下：

特别是在2020年12月25日国务院政策例行吹风会上，中国人民银行副行长陈雨露充分肯定了非借贷类替代数据在征信系统建设中的作用，他表示“人民银行牵头的国家金融信用信息基础数据库，是全球最大的征信系统，同时由市场化的征信机构自主采集企业和个人的征信信息，就是非信贷的征信信息，目前也已经成为我国征信体系的重要组成部分。”[2]

与此同时，监管机构对于个人征信业务开展的规范化提出了更严格的要求。2020年下半年，人行等多个金融监管部门约谈各大互联网金融平台，提出整改要求。中国人民银行于2020年12月30日对相关个人征信机构开出罚单，没收该征信机构因擅自从事个人征信业务活动获益的1917.55万元，并处罚62万元。在这样征信市场规范化要求日益完善的趋势下，《办法》也应运而生。

二、《征信业务管理办法》要点解读

（一） “征信业务”和“信用信息”的定义

征信业务边界不清晰一直是征信业市场主体的合规难点。什么样的业务算是征信业务呢？相较于《征求意见稿》，《办法》中增加了对征信业务的定义，即“对企业和个人的信用信息进行采集、整理、保存、加工，并向信息使用者提供的活动。”此外，《办法》在《条例》的基础上，进一步对“信用信息”作出了下述定义。

《办法》所指的征信业务下所覆盖的信息种类非常广泛，既包括用于识别判断企业和个人信用状况的基本信息、借贷信息和需要结合具体业务场景和实际情况进行判断的其他相关信息，还包括“基于前述信息形成的分析评价信息”，一般指金融科技公司基于用户的基本信息与其他信息通过模型计算出的个人信用分，因其属于综合自有或结合第三方个人信用状况信息形成的对信用的评价，也将纳入征信信息的范围。建议相关企业在履行合规义务时，暂且采取较宽范围的判断机制，待相关标准及执法细则进一步明确时再参照调整。

由于替代类数据在征信行业中的作用日显重要，单从数据类型本身出发可能较难判断相应的处理行为是否构成征信业务。根据《办法》第三条的定义，更多是从数据处理活动的目的来判断，如数据处理目的（1）“为金融等活动提供服务”，并且（2）“用于识别判断企业和个人信用状况”，尤其是涉及第（2）点时，则很可能与该类数据相关的处理活动都构成征信业务。

值得注意的是，《办法》并未对上述两个目的给予进一步解释与明确。从广义理解，市场上大部分征信类服务都将被包括在内，而从事识别、分析、计算得出个人信用状况、为金融等活动提供服务的相关处理行为的企业，也需获得相应的资质与牌照。此外，《办法》要求个人征信机构应当向中国人民银行报告与其合作的信息提供者。

《办法》第五条规定金融机构不得与未取得合法征信业务资质的市场机构开展商业合作获取征信服务，结合上述第十四条，可以体现出对驻贷平台“断直连”的总体要求。大数据公司只有在与持牌征信机构合作的情况下，由持牌征信机构向中国人民银行报告后，方可为金融经济活动提供个人信用信息。然而，具体的合作模式，以及众多大数据公司与数量有限的持牌征信机构合作，是否最终演变成为通过持牌征信机构走一个“通道”，持牌征信机构是否能够真正实现对大数据公司所提供的数据服务的有效监督和审查，尚待更深入的探讨，这也有待于监管机构进一步阐释与探索。

参考《办法》第九条和第十条，大数据公司自身，首先应确保其信息来源、信息质量、信息安全、并得到信息主体的授权等。同时需明确与持牌征信机构合作时各自在获得用户同意、信息采集、加工处理、信息更正、异议处理、信息安全等方面的权利义务和责任。大公司在对用户数据进行分析后向征信机构进而向金融机构提供的基础信息、分析数据和判断结果等均需要征得用户的同意。

另值得注意的是，如前所述，对企业和个人信用状况形成的分析评价信息也被定义为“信用信息”，如果将此类产品或者信息（画像、评分、评级）对外实质提供，则也适用本《办法》。在征求意见稿的基础上，《办法》新增的“‘实质’提供”要件，进一步强化和扩大了《办法》的适用范围。因此，大数据公司即使自己未使用“信用信息服务”“信用服务”“信用评分”“信用评级”“信用修复”等名义，但只要对外实质提供以上产品，就应当适用《办法》。

整体来看，企业开展个人征信业务必须事先获得中国人民银行发布的许可牌照。当涉及个人信息处理时，应比照金标委去年发布的《个人金融信息保护技术规范》（JR/T0171-2020）的要求。可以看出，目前监管机关的规制范围不仅仅局限于持牌机构，还涉及金融信息处理的非持牌机构（如从事企业征信业务）也应当予以重视，从事信用评级业务的，还应当依法办理信用评级机构备案。

（二）个人及企业信用信息的跨境传输

作为金融市场一项重要“基础设施”板块，央行近年来不断部署征信行业的对外开放，这对于建立稳定且与全球金融接轨的金融市场而言至关重要。2016年5月，央行与商务部发布联合公告，明确外商投资设立企业征信机构实行国民待遇。根据该公告，设立个人征信业务的外商投资机构应当符合《条例》第六条和《征信机构管理办法》的规定，并需要取得中国人民银行的前置许可。该项工作的开展卓有成效，自2016年以来，已有华夏邓白氏办理企业征信机构、益博睿征信（北京）有限公司和科孚（上海）商务信息服务有限公司三家外资征信机构通过了备案，在中国境内开展企业征信服务。

《办法》在上述对外开放工作的基础上，就跨境征信业务场景提出了数据保护方面的详细要求，主要可总结为三个维度：

1. 本地化存储及备案的要求

《办法》第三十九条明确在中国境内开展征信业务及其相关活动的，采集的企业信用信息和个人信用信息都应当存储在境内，这也呼应了《网络安全法》《数据安全法》和《个人信息保护法》对于关键信息基础设施运营者在中华人民共和国境内运营中收集和产生的个人信息和重要数据应当在境内存储的法律要求。同时《办法》第四十一条进一步对征信机构与境外征信机构合作的场景作出规定，即需要在合作双方协议签署后、业务开展前由征集机构履行向中国人民银行报告的义务。

2. 跨境传输个人信用信息

《办法》第四十条规定，如征信机构向境外提供个人信用信息，需要符合法律法规的要求。在《个人信息保护法》的框架下，数据跨境传输需要遵守一系列的合规要求，包括数据跨境安全评估（包括个人信息的数量、范围、敏感度、接收方保护水平等）、个人信息主体单独同意、采取“四选一”的保护措施等等。《中国人民银行关于银行金融机构做好个人金融信息保护工作的通知》等法律法规对于某些特定数据类型的跨境传输还作出了限制，甚至禁止出境。这些都是征信机构在进行信用信息跨境传输前应重点考量的因素，同时需要结合具体的业务场景判断适用的法规及合规的出境流程。这对企业自身合规体系的准确性与完备性提出了较高的要求，建议企业尽早采取相应的合规措施。

3. 跨境传输企业信用信息

除对个人信用信息有跨境传输的限制外，《办法》第三十六条还对跨境传输的企业征信信息提出了如下要求：“向境外信息使用者提供企业信用信息查询产品和服务，应当对信息使用者的身份、信用信息用途进行必要的审查，确保该信息用于贸易、投融资等合理用途，且不得危害国家安全”。

以上从一定角度也代表了我国对于数据出境的严格管制标准，建议涉及跨境业务的企业尽早搭建完备且合规的数据出境体系。

三、新规下的征信行业数据保护合规要点提示

《办法》共八章，第一章“总则”和第八章“附则”对于新规的整体适用性、征信行业的原则性要求等作出了整体的规制与明确。其余章节沿袭了目前中国个人信息保护的框架与思路，结合数据生命周期与征信行业的具体业态，对于信用信息的采集，整理、保存、加工、对外提供、使用、信息安全等作出了较为全面的合规要求。整体上与《民法典》《网络安全法》《个人信息保护法》和GBT/35273-2020《信息安全技术 个人信息安全规范》等法律法规和国家标准的规制要求一脉相承。以下，我们将逐一梳理和阐释：

（一）信用信息的采集

《办法》第二章对于个人信用信息和企业信用信息的采集环节作出了明确规定，整体应当采取合法、正当的方式，遵循最小、必要的原则，不得过度采集信用信息。因此，征信机构在采集个人或企业信用信息时应仔细衡量该类信息是否与信用状况的分析与评价有较为直接的关联，是否为实现上述目的所必须，尽量减少不必要的信息采集，同时应结合《条例》第十四条的禁止和限制要求。

1. 征信机构直接采集个人和企业信用信息

《办法》第十二条要求征信机构在直接采集个人信用信息时，应明确告知个人信息主体采集的目的，并在个人信息主体同意后方可采集。《办法》第十五条要求征信机构在直接采集企业信用信息时，应当基于合法的目的，不得侵犯商业秘密，虽然删除了《征求意见稿》中需要取得企业同意的要求，但实际上留给企业通过合同的方式自行约定。

2. 征信机构间接采集信用信息：信息合法性审核及合约约定

当征信机构通过信息提供者间接采集信用信息时，需要制定相关制度，对信息提供者的信息来源、信息质量、信息安全、信息主体授权等进行审核[3]，即根据《办法》第十三条规定，信息提供者是否向信息主体履行其信息将提供给征信机构的告知义务并获取个人主体同意。除此之外，在征信机构与信息提供者所签署的合约中，双方应对信息采集、加工处理、信息更正、异议处理、信息安全等方面明确各自的责任和义务[4]。这两方面的要求整体与一般个人信息保护工作中，通过第三方间接收集个人信息的合规逻辑思路一致。

以上对于征信机构的合规性要求非常高，不仅要自身做到合规以满足监管要求，同时还要对与其合作的信息提供者进行实质性审查和充分的背景调查（类似于传统的供应商尽职调查）以满足自身合规要求，这将最大程度地避免因信息提供者的违规而给征信机构自身带来损害和负面影响。

3. 向中国人民银行报告

个人征信业务机构另外一项需要特别注意的义务是，经营个人征信业务，应当制定个人信用信息的方案，并向中国人民银行报告采集的信用信息类型、信息来源、采集方式、个人信息主体合法权益保护制度等事项及其变化。鉴于目前个人征信机构“审批制”的框架，有意申请个人征信机构牌照的企业应重点关注此项合规义务。

《办法》中将《征求意见稿》的“报备”要求修改为“报告”，一字之差体现出主管机关从“报告备案”到“报告审批”的监管态度转变。

（二）信用信息的整理、保存与加工

1. 建立错误更正机制

《办法》第十六至十八条要求征信机构不得篡改原始信息，应当遵循客观性原则，并且采取措施提高征信系统信息的准确性，保障信息质量。如在信息使用的过程中发现错误的，应当及时响应。如该错误的信息由个人信息提供者处采集，则征信机构应及时联系并通知信息提供者更改。如错误信息主要由于内部错误引起，应及时更正并优化信用信息内部处理流程。

2. 存储技术安全及时间要求

《办法》第二十条延续了《条例》对于个人不良信息的保存期限的规定，应当存储至不良行为或事件终止之日起5年，到期后征信机构应当进行删除。如征信机构将其作为样本数据的，应进行匿名化处理。

虽然《办法》删除了《征求意见稿》中对于个人身份识标识信息具体的存储策略，即将其与其他信息分开保存，并实行物理隔离，但在个人信息保护要求日益严格的监管情况下，仍建议征信机构应尽力落实该条的要求。

（三）信用信息的提供与使用

《办法》第二十一条首先对信用信息提供、使用作出原则性要求，即遵循公平性原则，不得设置不合理的商业条件限制不同的信息使用者使用，不得利用优势地位提供歧视性或者排他性的产品和服务。而对具体场景的合规要求详细如下：

1. 对信息使用者建立动态审查机制

《办法》第二十二条和第二十三条要求征信机构对于信息使用者进行审查，审查的内容应包括信息使用者的身份、业务资质、使用目的等。同时，征信机构应该采取技术手段，对信息使用者接入征信系统的网络和系统安全、合规性管理措施进行评估与检测，还应当重点对查询行为进行监测，以保障信息使用者查询个人信息时获取了信息主体的同意，且查询手段合法合规。如有违规行为，应停止提供服务。

这同样对征信机构的合规性提出了更高要求。除了要对其信息提供者做到审查之外，对其信息使用者同样需要做到审查（类似于传统的 KYC义务），尽可能识别信息使用者的真实身份而免遭欺诈，或者避免因提供的信息被滥用或者被用于非法用途，从而给企业或个人信息主体带来负面影响和损失。

2. 提供个人信息主体的查询、异议、投诉的渠道

遵从《个人信息保护法》的框架，即数据处理者应响应个人信息主体请求，提供个人信息副本，《办法》第二十五条规定，个人信息主体有权每年两次免费获取本人的信用报告，征信机构可以通过互联网查询、营业场所查询等多种方式为个人信息主体提供信用报告查询服务。

综合考虑信用信息的特殊性和《个人信息保护法》中规定的信息主体有权请求更正、补充其个人信息，《办法》第二十六条规定，信息主体认为信息存在错误、遗漏的，有权向征信机构或者信息提供者提出异议；认为侵害自身合法权益的，可以向所在地中国人民银行分支机构投诉；进一步明确了信息主体的权利和行权机制。

3. 具体征信服务的细化合规要求

《办法》第二十一条对征信机构对外提供征信产品和服务提出了原则性规定，要求遵循公平性原则，不得设置不合理的商业条件限制不同的信息使用者使用，不得利用优势地位提供歧视性或者排他性的产品和服务。《办法》第二十八至三十条具体列举了征信机构提供的产品，并分别提出了细化的合规要求，特别建议公司注意对用户画像、自动化决策等行为的适用规则：

以上2、3两项，提供此类产品和服务的企业应尤其注意：在适用本《办法》的上述两项要求时，如果针对个人主体，还必须事先取得个人征信牌照；换言之，需在取得牌照的前提下，满足以上要求。

4. 明确禁止的征信服务/产品与行为

由于信用信息在金融市场及商业活动中有举足轻重的基石作用，信用评价对于个人信息主体的权益可能产生巨大的影响，故《办法》第四章还通过相关条款明令禁止了可能对信息主体权益造成损耗或影响信用评估客观公正性的行为。比如，第二十七条明确征信机构不得以删除不良信息或者以不采集不良信息为由，向信息主体收取费用。除此之外，第三十二条禁止提供包括对信用评价结果进行承诺、对征信产品和服务进行虚假宣传等在内的征信服务和产品。

（四）信用信息安全

征信机构同时应当搭建完善的内控体系，通过采取必要的技术手段及安全管理制度，确保信用信息的安全。除了上文提到的，信用信息跨境传输的保护要求外，征信机构还可着手从以下角度入手，建立一个完善有效的内部信用信息保护体系：

1. 日常运营维护的管理

《办法》第三十五条要求征信机构采取技术与管理双重手段确保征信系统的运行设施设备、安全控制设施设备及互联网应用程序的安全。并且，需要维护征信系统的日常运维管理，保障系统物理安全、通信网络安全、区域边界安全、计算环境安全、管理中心安全。

2. 人员管理

首先，《办法》第三十六条要求征信机构在相关人员的录用、离岗、考核、安全教育、培训和外部人员访问管理等方面做好人员安全管理工作。借鉴搭建企业内部个人信息保护体系的经验与思路，征信机构可通过《员工保密协议》《关键岗位人员保密协议》《离职保密协议》等文件对于员工的安全保密义务作出明确约束，同时积极组织员工进行安全培训与考核，确保制度流程的贯彻与实施。

其次，征信机构应建立《信用信息访问流程与制度》和《外部人员信息访问流程》，对于能够访问信用信息员工的权限和范围作出规定，并准确记录员工查询信用信息的时间、方式、内容、途径等细节。

3. 建立应急处置制度

由于信用信息的高度重要性，征信机构应提前建立内部的《数据安全事件响应策略》，明确处理相应事件的流程，采取必要措施、相关人员的责任义务等。在发生危机事件时，立即采取减损措施，并向中国人民银行及其省会（首府）城市中心支行以上分支机构报告。

4. 规模较大企业征信机构和个人征信机构所需的额外保护措施

在《征求意见稿》的基础上，《办法》提高了对企业征信机构信用信息安全的监管门槛，从保存或处理50万户以上企业信用信息修改为100万户以上。

个人征信机构、或保存或者处理100万户以上企业的企业征信机构，应满足额外的信用信息保护要求，包括核心业务信息系统网络安全保护等级具备三级或者三级以上安全保护能力；设立信息安全负责人和个人信息保护负责人；设立负责信息安全和个人信息保护工作的专职部门、制定相关制度流程并组织定期检查执行情况等。[6]

（五）监督管理

《办法》的第六章提出了对于征信机构的双重监督模式。除了中国人民银行及其省会（首府）城市中心支行以上分支机构可对征信机构的征信内控制度建设、征信业务合规经营情况、征信系统安全情况等进行检查外，征信机构应向社会公开一系列事项，包括采集的信用信息类别、信用报告的基本格式内容，异议处理流程等，接受社会监督。双重监督模式的建立也大幅提高了征信机构工作的透明度。

针对个人征信机构，《办法》在《征求意见稿》的基础上新增了合规审计要求。个人征信机构应当每年对自身个人征信业务遵守《个人信息保护法》《条例》的情况进行合规审计，并将合规审计报告及时报告中国人民银行。

此外，《办法》还进一步明确信息提供者和信息使用者的监管机构。违反《条例》规定，侵犯信息主体合法权益的，由中国人民银行及其省会（首府）城市中心支行以上分支机构依法对其检查和处理。

（六）法律责任

《办法》在第七章单独规定了违规行为的罚则，并且增加了对直接负责的主管人员的处罚机制。

四、结语

从整体来看，《办法》响应了数字征信时代的潮流，同时也是征信行业规范化发展重要的一步，尤其是对于替代性数据的认可，有助于传统征信行业在数字经济下进行转型，向社会提供更全面准确的信用评估产品和服务。在个人信息保护方面，《办法》整体延续了当前一般行业对个人信息保护的基本要求，要求征信机构重视对征信信息全生命周期范围内的合规保护，落实《个人信息保护法》的合规，并且明确要求企业内部应当制定相应的内部制度，可以看出监管机关监管的重点不再囿限于企业对外展示的内容，而已经逐渐转向了搭建企业内部制度、合规措施、流程等方面。

《办法》在附则中也对从事征信业务机构的合规整改明确提出了具体时间要求，即在《办法》施行（2022年1月1日）前未取得个人征信业务经营许可或者未进行企业征信机构备案但实质从事征信业务的机构，应当自《办法》施行之日起18个月内完成合规整改，否则将承担法律责任。因此，特别提醒相关企业注意尽早开展合规工作。

[1] 中国人民银行，《<征信业务管理办法（征求意见稿）>起草说明》，第一页。

[2] 国务院政策例行吹风会，http://www.gov.cn/xinwen/2020zccfh/49/index.htm.

[3] 《办法》，第九条。

[4] 《办法》，第十条。

[5] 替换了《征求意见稿》中的“报备”要求。

[6] 《办法》，第三十四条。