個人信息“斷直連”未必是壞事
作者：林先海 2021-07-13根據WEMONEY研究室于2021年7月7日報道，中國人民銀行征信管理局下發通知，要求互聯網平臺機構在與金融機構貸款合作助貸等業務中實現個人信息與金融機構的全面“斷直連”。有些業內人士對此持悲觀態度，認為此舉會對互聯網助貸等合作業務造成重大負面影響，甚至認為助貸業務將劃上休止符。筆者對此則持不同觀點，筆者認為，個人信息“斷直連”對于互聯網助貸業務未必是壞事，反而更有利于業務合規、可持續發展。
一、個人信息“斷直連”的基本含義解讀
根據WEMONEY研究室的具體報道，個人信息“斷直連”的具體含義是指：“按照個人征信業務整改工作要求，平臺機構在與金融機構開展引流、助貸、聯合貸等業務合作中，不得將個人主動提交的信息、平臺內產生的信息或從外部獲取的信息以申請信息、身份信息、基礎信息、個人畫像評分信息等名義直接向金融機構提供，須實現個人信息與金融機構的全面‘斷直連’。”[i]
1、“斷直連”的基本含義是，金融機構的信息入口只能是征信機構，這類似于前幾年第三方支付機構與商業銀行的“斷直連”
根據上述內容及相關報道，所謂“斷直連”是指相關數據應經過“平臺-征信機構-金融機構”的路徑進行對接，即金融機構只能經過征信機構獲取征信數據，互聯網平臺只能和征信機構對接。這個整改特別類似于前幾年第三方支付機構與商業銀行的“斷直連”。
第三方支付業務發展早期，第三方支付機構一般通過在不同商業銀行開設賬戶的方式從而實現不同商業銀行用戶之間款項的即時劃轉結算，這種方式具有快速便攜的特性，但是，這種業務對接模式徹底屏蔽了中國人民銀行對于交易信息、資金劃轉的監控，不利于監管部門統一把控金融風險。于是，2017年8月4日，中國人民銀行支付結算司發布《關于將非銀行支付機構網絡支付業務由直連模式遷移至網聯平臺處理的通知》（銀支付〔2017〕209號），要求自2018年6月30日起，支付機構受理的涉及銀行賬戶的網絡支付業務全部通過網聯平臺處理。網聯平臺類似于線下支付清算機構銀聯，其意在于徹底解決第三方支付機構脫離監管自行清算的問題。
類似于第三方支付業務的斷直連，個人信息斷直連的目的亦在于解決各機構自行對接個人信息數據的亂象，將其收歸持牌征信機構統一管理，以最終解決個人信息保護的問題，這不僅關涉個人利益，亦關涉國家安全。近期熱點問題滴滴事件便充分說明了該問題。
2、“斷直連”的范圍包含無法識別特定個人的信息，大數據公司需重新探討其業務模式的合規性
根據上述內容，監管部門對于斷直連的業務范圍界定較為寬泛，不僅包括明文個人信息，還包括無法識別具體信息的個人畫像評分信息，這將對同盾、百融等大數據公司的業務模式造成重大影響。
我國《網絡安全法》規定，“網絡運營者不得泄露、篡改、毀損其收集的個人信息；未經被收集者同意，不得向他人提供個人信息。但是，經過處理無法識別特定個人且不能復原的除外。”根據該規定，無法識別特定個人的信息不受法律法規禁止未經授權收集共享的范圍限制，大數據公司一般參照該規定認為其提供數據分析結果的行為不違反法律法規規定，不屬于征信業務，有些大數據公司于近年來亦提出了“數據可用不可見”[ii]的技術，以進一步支撐其業務合規性。
而個人信息“斷直連”的要求明確否定了大數據公司對其業務合規性的解釋理由。大數據公司需重新探討其業務模式的合規性。
二、個人信息“斷直連”是合規發展的必然
個人信息“斷直連”是合規發展的必然，可以說是早有征兆，從近期以來的法規發布、領導講話、行政許可、處罰等一系列動作均可以看出端倪。
1、《征信業務管理辦法（征求意見稿）》的相關內容可以稱為個人信息“斷直連”的法律依據
中國人民銀行于2021年1月11日發布《征信業務管理辦法（征求意見稿）》，該文件明確規定，“本辦法所稱信用信息，是指為金融經濟活動提供服務，用于判斷個人和企業信用狀況的各類信息。包括但不限于：個人和企業的身份、地址、交通、通信、債務、財產、支付、消費、生產經營、履行法定義務等信息，以及基于前述信息對個人和企業信用狀況形成的分析、評價類信息。”該文件明確將“基于前述信息對個人和企業信用狀況形成的分析、評價類信息”界定為信用信息，這與個人信息“斷直連”中的“個人畫像評分信息”納入征信相契合。
2、相關領導在多個場合提及整頓個人征信合規
根據相關報道，2020年年底，人民銀行召開“長三角征信一體化”工作推進現場交流會，會議提及，我國征信業服務領域逐步從銀行信用擴展到商業信用以及與信用相關的替代數據領域。替代數據征信信息互聯互通是當前構建全覆蓋社會征信體系的重要步驟。利用替代數據為金融和經濟活動提供信用管理服務，在本質上屬于征信活動，需要納入征信監管。[iii]目前互聯網平臺內留存的個人消費、行程等數據即屬于替代數據，按照該精神，該等數據均屬于征信范疇數據。
2020年12月25日，在國務院政策例行吹風會上，中國人民銀行副行長陳雨露介紹完善失信約束制度健全社會信用體系有關情況，提到：“根據《民法典》和《征信業管理條例》等法律法規的要求，人民銀行將會繼續完善征信業務管理辦法，將所有為金融經濟活動提供服務的，用于判斷企業和個人信用狀況的信息服務，全部納入征信監管，實行持牌經營。對非法從事征信業務的行為，依法依規嚴肅查處。”[iv]從嚴打擊違法征信活動將成為監管部門的一項重點工作。
3、監管先后約談螞蟻集團及其他13家互聯網平臺，要求合法合規經營個人征信業務
2020年12月26日及2021年4月12日，人民銀行、銀保監會、證監會、外匯局等金融管理部門先后兩次聯合約談螞蟻集團，兩次約談中均提及要求合法合規經營個人征信業務，2020年12月26日約談的要求為：“依法持牌、合法合規經營個人征信業務，保護個人數據隱私。”2021年4月12日約談的要求為：“打破信息壟斷，嚴格落實《征信業管理條例》要求，依法持牌經營個人征信業務，遵循“合法、最低、必要”原則收集和使用個人信息，保障個人和國家信息安全。”[v][vi]
2021年4月29日，人民銀行、銀保監會、證監會、外匯局等金融管理部門聯合對部分從事金融業務的網絡平臺企業進行監管約談，參與約談企業包括騰訊、度小滿金融、京東金融、字節跳動、美團金融、滴滴金融、陸金所、天星數科、360數科、新浪金融、蘇寧金融、國美金融、攜程金融等13家網絡平臺。其中一項重要整改要求便是：“打破信息壟斷，嚴格通過持牌征信機構依法合規開展個人征信業務。”[vii][viii]
4、兩張征信牌照獲批，征信機構之間已有明確分工
早在2015年，人民銀行便已著手個人征信牌照事宜。2015年1月，人民銀行印發《關于做好個人征信業務準備工作的通知》，要求芝麻信用管理有限公司、騰訊征信有限公司、深圳前海征信中心股份有限公司、鵬元征信有限公司、中誠信征信有限公司、中智誠征信有限公司、拉卡拉信用管理有限公司、北京華道征信有限公司等八家機構做好個人征信業務的準備工作，準備時間為六個月。但其后無任何一家機構通過審核獲得個人征信牌照。
2018年2月初，人民銀行批準百行征信有限公司個人征信業務許可，這是第一張個人征信業務牌照，百行征信由中國互聯網金融協會與芝麻信用、騰訊征信、前海征信、考拉征信、鵬元征信、中誠信征信、中智誠征信、華道征信等8家機構作為股東成立。
2020年12月，人民銀行批準樸道征信有限公司個人征信業務許可。而該許可從受理申請到獲批，用時不到一個月。[ix]
我國現行征信機構包括央行征信與百行征信、樸道征信，根據21世紀經濟報道對樸道征信董事長趙以邗的訪談，目前各征信機構之間互為補充、錯位發展，“央行征信主要是共享持牌金融機構掌握的個人和企業借貸信息。百行征信主要從事互聯網金融領域借貸信息的共享，為互聯網金融機構及持牌金融機構提供征信服務。樸道征信力圖通過市場化機制，采集個人信貸信息以外的信用數據，通過對這些數據進行分析、整理、加工，對個人的信用狀況做出判斷，幫助金融機構觸達客戶、識別客戶、判斷客戶，幫助缺乏信貸記錄或只有少量借貸記錄的人群享受普惠金融服務。”[x]征信機構之間的明確分工可以覆蓋包括信貸數據及替代數據在內的全方位數據，為個人信息斷直連打下了基礎。
5、二代征信系統上線標志著征信基礎設施進一步完善
根據相關報道，央行征信中心于2020年1月17日啟動二代征信系統切換上線工作，自2020年1月19日起，面向社會公眾和金融機構提供二代格式信用報告查詢服務。與一代征信報告相比，二代征信報告主要是豐富了基本信息和信貸信息內容，改進了信息展示形式，提升了信息更新效率。例如，二代征信報告會顯示“共同借款”信息，并留有水電費繳費信息格式（目前尚未收集該信息）。[xi]這意味著我國征信基礎設施在逐步完善。
6、鵬元征信獲得首張個人征信業務罰單，滴滴旗下25款APP因違規收集個人信息被下架，代表監管從嚴治理的決心
個人征信業務領域一直存在著有法可依但執法模糊的質疑。
而根據中國人民銀行2020年12月30日公示行政處罰信息顯示，鵬元征信有限公司因存在未經批準擅自從事個人征信業務活動等違法行為，被沒收違法所得1917.55萬元，并處罰款62萬元，合計罰沒1979.55萬元。
國家互聯網信息辦公室于2021年7月9日發布《關于下架“滴滴企業版”等25款App的通報》，稱“滴滴企業版”等25款App存在嚴重違法違規收集使用個人信息問題，并要求各應用商店對其進行下架處理。
這一系列處罰，預示著監管部門從嚴治理個人信息違規行為的決心。
三、個人信息“斷直連”對金融機構及互聯網平臺而言，均有利可圖
1、個人信息“斷直連”助力金融機構實現自主風控
監管部門早在2017年便已發布《關于規范整頓“現金貸”業務的通知》（整治辦函〔2017〕141號），明確規定“銀行業金融機構與第三方機構合作開展貸款業務的，不得將授信審查、風險控制等核心業務外包。”2020年發布的《商業銀行互聯網貸款管理暫行辦法》（中國銀行保險監督管理委員會令2020年第9號）亦明確規定：“互聯網貸款業務涉及合作機構的，授信審批、合同簽訂等核心風控環節應當由商業銀行獨立有效開展。”
在目前開展的互聯網助貸等合作業務中，自主實施核心業務是合規的重點工作。絕大部分核心業務環節均可以通過技術改進的方式實現由金融機構自主實施，唯獨風險數據來源這一環節無法由金融機構自主完成，而風險數據又是互聯網貸款業務中實現風險控制的重要依據。鑒于不同的互聯網平臺掌握不同維度生態圈內的數據，而此類數據并不會在不同互聯網平臺及征信機構之間共享，這被稱之為“數據孤島”，甚至有傳言在數據領域存在故意數據污染的情況。在這種數據環境背景下，金融機構幾乎無從獲得完全可靠用于實現風控的風險數據，依賴互聯網平臺則成為必然，完全實現自主風控則成空談。而個人信息“斷直連”則可以助力金融機構實現自主風控，在個人信息“斷直連”的整改要求下，互聯網平臺需將數據共享給征信機構，從而打破了數據孤島，金融機構從征信機構獲取數據，可以避免獲取到被污染的錯誤數據，從而進一步促進金融機構利用官方數據進行自主風控，促進互聯網貸款業務的合規發展。
2、個人信息“斷直連”助力互聯網平臺數據業務合規
在互聯網平臺與金融機構合作的互聯網助貸等合作業務中，個人信息數據是互聯網平臺經營的重要生產資料，個人信息合規亦是互聯網平臺最為關注的問題，嚴重情況下甚至會產生刑事責任。例如，在“杭州魔蝎數據科技有限公司、周江翔、袁冬侵犯公民個人信息案”（審理法院：浙江省杭州市西湖區人民法院；案號：(2020)浙0106刑初437號；裁判日期：2021.01.14）中，杭州魔蝎數據科技有限公司（魔蝎公司）為金融機構發放互聯網貸款提供數據服務，因違法收集個人信息的行為，魔蝎公司及直接負責的主管人員和其他直接責任人員被認定為構成侵犯公民個人信息罪，魔蝎公司被判處罰金人民幣30000000元，直接負責的主管人員和其他直接責任人員被判處判處有期徒刑三年（緩刑期限不等）并處罰金。
而個人信息“斷直連”則可以助力互聯網平臺數據業務合規。在個人信息“斷直連”的整改要求下，互聯網平臺可以將數據共享給征信機構，并因此可以獲取收益。這在《征信業務管理辦法（征求意見稿）》中有所體現，《征信業務管理辦法（征求意見稿）》規定：“與征信機構合作，為金融經濟活動提供個人或企業信用信息的其他信息處理者，應當在簽署合作協議后向中國人民銀行或其副省級城市中心支行以上分支機構報備”。這條規定相當于對掌握個人數據信息的互聯網平臺開展業務提供了合規依據。
四、互聯網助貸業務現有應對建議
1、短期建議：維持現有業務并關注整改進度，確保個人信息合規
如前分析，筆者認為，個人信息“斷直連”并不是要禁止互聯網助貸業務的發展，而是有利于互聯網助貸業務合規發展。鑒于征信機構在整改后的業務結構中會發揮重要的中轉作用，未來可能會批準更多個人征信牌照，而無論是從征信機構業務優化還是從系統開發調整的角度，這都需要一個過程。參照第三方支付斷直連的整改進度，自2017年8月發布相關文件，到2019年1月14日實現100%集中交存，整個過程持續了一年多。
筆者認為，在整改過程中，相關業務并不會要求停止，但各機構應及時與監管部門溝通進度，對于個人信息相關業務應注意參照相關法律法規要求實現合規，避免因違規收集、使用個人信息等問題而影響業務。
2、長期建議：金融機構應提前準備進行技術升級
個人信息“斷直連”的整改有助于金融機構合規開展自主風控，而金融機構在合規獲取豐富的風險數據后亦應具備相應的處理能力，金融機構應提前完善自己的風控模型等技術，確保個人信息“斷直連”整改后具備扎實的對接能力。
3、長期建議：互聯網平臺應考慮技術輸出
個人信息“斷直連”整改的具體措施尚未披露，互聯網平臺與征信機構對接的具體方式尚不確定，例如，互聯網平臺通過征信機構與金融機構對接，其提供的數據是否可限定使用范圍，是否可排除未參與合作的其他金融機構，這些都具有不確定性。若互聯網平臺對其提供給征信機構的數據仍有控制權，則互聯網平臺尚可依據數據資源開展業務獲利，而若互聯網平臺對其提供給征信機構的數據沒有控制權，則互聯網平臺的業務模式應考慮進行轉型。技術輸出是互聯網平臺進行業務轉型的重要方向。金融機構的技術能力較弱，而互聯網平臺基于其多年業務積累的數據分析經驗可以為金融機構提供風控模型開發、維護等核心風控環節的技術服務。此外，互聯網平臺還可以開展數據委托處理相關服務業務。個人信息“斷直連”并不意味著禁止數據委托處理。數據委托處理的法律性質屬于我國民法典規定的代理行為，根據我國民法典規定，民事主體可以通過代理人實施民事法律行為，這是委托處理的法律依據。同時，我國《個人信息保護法草案》亦對此予以認可，根據《個人信息保護法（草案二次審議稿）》規定，“個人信息處理者委托處理個人信息的，應當與受托方約定委托處理的目的、期限、處理方式、個人信息的種類、保護措施以及雙方的權利和義務等，并對受托方的個人信息處理活動進行監督。受托方應當按照約定處理個人信息，不得超出約定的處理目的、處理方式等處理個人信息；委托合同不生效、無效、被撤銷或者終止的，受托方應當將個人信息返還個人信息處理者或者予以刪除，不得保留。未經個人信息處理者同意，受托方不得轉委托他人處理個人信息。”這將成為個人信息委托處理業務的重要依據，但互聯網平臺在開展該業務過程中應注意合法合規處理個人信息，不得違法保留個人信息或用于約定范圍外的用途。
[i] 央行要求網絡平臺的個人信息與金融機構全面“斷直連”，網址：https://baijiahao.baidu.com/s?id=1704675134170080746&wfr=spider&for=pc，最后訪問日期：2021年7月10日。
[ii] 同盾率先實現全站業務系統敏感數據“可用不可見”，網址：https://baijiahao.baidu.com/s?id=1672071680443700232&wfr=spider&for=pc，最后訪問日期：2021年7月10日。
[iii] 央行：利用替代數據提供信用管理服務 需要納入征信監管，網址：https://baijiahao.baidu.com/s?id=1686145299496461260&wfr=spider&for=pc，最后訪問日期：2021年7月10日。
[iv] 國務院政策例行吹風會介紹完善失信約束制度健全社會信用體系有關情況，網址：https://www.sohu.com/a/440635759_589061，最后訪問日期：2021年7月10日。
[v] 中國人民銀行副行長潘功勝就金融管理部門約談螞蟻集團有關情況答記者問，網址：http://www.pbc.gov.cn/goutongjiaoliu/113456/113469/4153479/index.html，最后訪問日期：2021年7月11日。
[vi] 中國人民銀行副行長潘功勝就金融管理部門再次約談螞蟻集團情況答記者問，網址：http://www.pbc.gov.cn/goutongjiaoliu/113456/113469/4229432/index.html，最后訪問日期：2021年7月11日。
[vii] 金融管理部門聯合約談部分從事金融業務的網絡平臺企業，網址：http://www.pbc.gov.cn/goutongjiaoliu/113456/113469/4241211/index.html，最后訪問日期：2021年7月11日。
[viii] 注：題外話，此處約談還包括要求規范赴境外上市行為，而滴滴亦在此次約談范圍內，可見其上市后立即被查似乎有一定的緣由。
[ix] 不到1個月樸道征信有限公司火速獲批，系第二家個人征信公司，網址：https://baijiahao.baidu.com/s?id=1687045890877775266&wfr=spider&for=pc，最后訪問日期：2021年7月11日。
[x] 21專訪丨樸道征信董事長趙以邗：與央行征信、百行征信互為補充、錯位發展，網址：https://m.21jingji.com/article/20210607/herald/08aca1dbb875da69cf7fce829db1c356.html，最后訪問日期：2021年7月11日。
[xi] 國是幫你問｜二代征信報告來了！怎么查？有何不同？，網址：https://baijiahao.baidu.com/s?id=1656147607616265557&wfr=spider&for=pc，最后訪問日期：2021年7月11日。
