鹏元征信擅自从事个人征信业务 个人数据报告中含多项敏感信息

原标题：鹏元征信个人数据业务惹争议

法治周末记者 宋媛媛 霍建清

近一段时间，鹏元征信被罚事件持续引发舆论关注。

老牌征信机构鹏元征信因“未经批准，擅自从事个人征信业务活动”等被央行合计罚没接近2000万元，成为全国首个因擅自从事个人征信业务被处罚的征信机构。而鹏元征信旗下的移动互联网个人及企业数据查询工具——天下信用，目前仍在开展个人数据报告业务。

由于天下信用的个人数据报告中存在职业身份、居住地、收入、房产、出行等多项敏感个人信息，不少用户误认为通过天下信用查询的报告即为征信报告。

天下信用所出具的这份个人数据报告究竟是什么性质，是否合规？其数据来源渠道又如何？

擅自从事个人征信业务活动被罚

企查查信息显示，鹏元征信成立于2005年4月8日，注册资本20115亿元，是一家专门开展个人征信、企业征信、企业评级、企业及个人信用管理的专业征信机构。

2015年1月，央行下发《关于做好个人征信业务准备工作的通知》，同意包括鹏元征信、芝麻征信、腾讯征信等在内的8家社会机构开展个人征信业务，此后这8家成为第一批试点的机构。

2016年开始，鹏元征信就上线了提供个人数据报告查询、企业数据报告查询业务的“天下信用”。

由于信息孤岛、信息误采误用等问题一直未能得到很好地解决，最终，包括鹏元征信在内的8家机构均未拿到牌照。2018年年初，第一张个人征信业务牌照，颁给了百行征信。

虽然没有拿到个人征信业务的牌照，但鹏元征信的个人数据业务并未停止，而且还逐渐“走红”，频繁出现在各消费金融公司或者小贷平台公众号的菜单栏，或者APP内。有互金从业者透露，一些合作借贷平台为天下信用导流，会按阶梯量级作相应提成。

然而，2020年12月30日，中国人民银行公示的一纸行政处罚书，给鹏元征信势头正劲的个人数据业务敲响了“警钟”。这份处罚书显示，鹏元征信因存在“未经批准，擅自从事个人征信业务活动”“企业征信机构任命高级管理人员未及时备案”，被没收违法所得19175499.29，并处罚款62万元。

对于处罚，鹏元征信在其官方公众号发布公告：“本次处罚是由于我们在2019年对机构客户提供的个人报告中，少量报告含有个人贷款信息。”并表示，“我们已于2019年年底完全停止对外提供含有个人贷款信息的报告，完成了央行要求的全部整改内容，现有业务和产品符合法律法规要求，可以继续为用户提供服务。”

法治周末记者注意到，目前，天下信用仍在开展个人数据报告业务。报告中，虽然没有了个人贷款信息，但是仍然包含姓名、手机号码、身份证、职业身份、居住地、收入信息、出行信息等大量个人信息。

此外，除了天下信用自身的渠道，“还呗”“好分期”等贷款平台仍留有天下信用个人数据报告查询入口，并以“预防个人风险”“了解失信风险，提高成功率”等词语，提示用户购买。

法治周末记者还注意到，在各类公开投诉平台，充斥着大量对天下信用的投诉，不少用户误认为通过天下信用查询的报告即为征信报告。有的消费者受借贷平台（省呗、如期分期、好分期等）“提高成功率”等词语的引导，购买了个人数据报告，后发现该份报告或“含金量”不高，或与本人实际情况不符，缺少征信记录等有效信息；还有的消费者在未被提示的情况下，被天下信用扣除大量风险评估费……

个人数据报告该如何定义？

未被冠以个人征信的“名号”，却包含大量个人信息，天下信用个人数据报告该如何定义？又是否合规？

1月25日，在人民银行举行的“金融支持保市场主体”第五场发布会上，人民银行征信管理局副局长田地明确表示，个人征信业务需要持牌经营，并纳入征信监管。打着大数据公司、金融科技公司等旗号，未经人民银行批准擅自从事个人征信业务的行为，均属于违法行为。

一位业内人士指出，部分非持牌机构对个人信用信息的理解上有偏差和侥幸，利用个人征信市场的模糊地带“打擦边球”，实际上开展的个人信息业务可能具有个人征信性质。

中闻律师事务所合伙人律师李亚向法治周末记者表示，能够记录个人信用活动、反映个人信用状况的报告就是信用报告，借贷数据只是个人信用活动的一部分，收入、房产、工作单位，甚至水电费的缴纳情况都应当属于信用活动。

对于如何看待天下信用的个人数据业务，浙江垦丁律师事务所律师朱莎向法治周末记者讲出了自己的看法。她认为，个人征信业务不能简单等同于个人数据业务。

“因为大数据时代，电商、游戏、社交平台、网约车等各类消费行业都存在获取个人信息的情况，根据《中华人民共和国民法典》和《中华人民共和国个人信息保护法（草案）》以及相关行业的要求，机构对依法获得相应授权的个人信息是有权进行开发利用（如按照约定进行分析、储存、传输、披露）。

但是，并不是所有因此产生的数据报告都属于个人征信内容，需要区别对待：机构如果为了非金融相关的，自身经营、业务推广需要进行数据处理，其本质是一种技术手段，而不是对外提供信息服务，不应当作为征信内容（例如运营用户大数据画像提炼出最有效的广告投放策略）。

反之，如果是对外用于给金融超市、信贷平台的，且作为向贷款放款等主体提供参考依据的，应当认定这类数据报告是为了开展征信业务。”朱莎说。

个人数据来源何处？

记者注意到，在天下信用个人数据报告中，不仅包括用户姓名、手机号码、身份证等信息，还包括职业身份、居住地、收入信息、出行信息等多项敏感个人信息。这些信息又从哪里取得？是否合规？

朱莎介绍，个人信息的收集、传输和披露需要符合《中华人民共和国民法典》以及《中华人民共和国个人信息保护法（草案）》、GB/T35273-2020《个人信息安全规范》以及具体行业规范的要求。概括起来如：已经遵守法律、法规和监管要求，制定和公布有关个人信息保护和隐私保护的相关政策；对收集、存储、使用、共享来自于终端用户的个人信息，其已经获得终端用户充分必要的授权、同意和许可；敏感类个人信息还建议获得用户的单独授权同意；遵从信息收集的最小、必要原则，未超出业务需求收集用户个人数据；采取了物理、技术、管理隔离等措施审慎保护终端用户的个人信息，防止丢失、误用、非授权存取或者泄露。

根据上述原则，只有在有证据证实为了“公共安全”以及“重大公共利益”等特殊情况下，才可以不经过用户同意而收集、使用、披露用户的个人信息。

1月26日，记者就个人信息来源的问题向鹏元征信核实。客服人员表示，目前拒绝接受媒体采访，只有用户的问题才可以解答。随后记者填写了姓名、身份证号码，并缴纳了39.9元，购买了个人数据报告服务，并再次拨通了客服电话，以消费者的身份询问鹏元征信数据来源等问题。客服人员表示会将问题提交给领导。

截至发稿前，记者虽然未得到明确回复，但鹏元征信的相关负责人向法治周末记者表示，公司已经在央行的监督指导下整改，整改的结果也得到了央行的认可，绝对保证是在合法合规的前提下运营，至于存在的一些不合理情况，可以继续讨论或改进。

征信新规将出

监管仍在加码

从2015年1月，鹏元征信等8家机构试点个人征信业务，到2018年2月，8家机构被认定无一合格，不予颁发牌照，可以见得，开展个人征信业务的门槛不低。

朱莎表示，虽然我国征信业相对起步较晚，但是国家对于开展个人征信业务有着比较严格的准入门槛。包括信息安全、注册资金、高管资历、机构的专业性和独立性等方面均需要符合要求。而且，在实践的过程中，这个门槛还在不断的提高。

有业内人士认为，未来有资格运营个人征信的企业应该少而精，因为个人征信领域涉及公众个人信息安全，不仅需要专业而且还要在领域内积累较高的公信力，从而取得消费者和信贷机构的信任。

然而，近年来，随着线上信贷市场的快速发展，个人征信市场需求大幅上升，个人征信市场出现了一定的模糊地带，可能会造成个人信息安全隐患。

对此，朱莎向法治周末记者表示，央行1月15日颁布的《征信业务管理办法（征求意见稿）》将有利于进一步厘清个人征信的边界。如其第三条规定：“信用信息是指为金融经济活动提供服务，用于判断个人和企业信用状况的各类信息。包括但不限于：个人和企业的身份、地址、交通、通信、债务、财产、支付、消费、生产经营、履行法定义务等信息，以及基于前述信息对个人和企业信用状况形成的分析、评价类信息。”这条规定对数据处理，特别是对用于金融信息服务的涉及到的个人信息作了进一步说明，将有利于厘清边界，减少个人征信市场上“打擦边球”情况的出现。

责任编辑：钟娴