央行再出重拳！征信管理办法即将落地 不得过度采集信用信息

信息的合法合规使用将得到保障。

1月11日，央行发布《征信业务管理办法(征求意见稿)》(下称“《办法》”)，从信用信息采集的要求，信用信息整理、保存和加工的方式，信用信息提供、使用注意事项，信用信息安全保护和相应的监管措施等方面，规范针对个人和企业、事业单位等组织开展征信业务及其相关活动。

央行表示，我国征信业进入快速发展的数字征信时代，征信新的业态不断涌现，但由于缺乏明确的征信业务规则，导致征信边界不清，信息主体权益保护措施不到位等问题不断出现。为提高征信业务活动的透明度，保护信息主体合法权益，推动信用信息在信息提供者、征信机构和信息使用者之间依法合规使用，央行依据《征信业管理条例》并结合征信业务发展的实际，起草了《办法》。

《办法》指出，征信机构采集的个人不良信息的保存期限，自不良行为或事件终止之日起5年。不良信用信息到期的，征信机构应当删除，作为样本数据的，应当进行去标识化处理，移入非生产数据库保存，确保个人信用信息不被直接或间接识别。

值得注意的是，相比于2013年出台的《征信业管理条例》，《办法》对信用信息和征信业务做了更明确的规定，使征信监管有法可依。将为金融经济活动提供服务、用于判断个人和企业信用状况的各类信息界定为信用信息，其信息服务活动为征信活动。当前实践中，利用该信息对个人或企业作出的画像、评价等业务界定为征信业务，属于《办法》的约束范围。

也就是说，像互联网电商将客户消费信息与客户基本信息相结合，为客户进行“信用画像”并为其提供金融产品或金融服务的行为，也都属于征信活动，需遵守《办法》规定。

信用信息采集应遵循“最少、必要”原则

据央行介绍，央行自2016年即开展了《办法》的调研起草工作，成立专门起草工作组，先后到多家征信机构、金融机构进行现场调研，了解征信业务开展的具体操作流程，借鉴参考国外征信业务的相关管理经验，广泛征求和听取相关部委、外部专家、征信机构、金融机构、央行分支机构的意见和建议。

“各方普遍认为，征信进入新时代，面临新挑战，出台《办法》十分必要，并且时机已经成熟，建议加强对信用信息的采集、加工、对外提供等各个环节进行监管，保护信息主体合法权益、增加征信有效供给，实现征信业的高质量发展。”央行称。

根据《办法》，在中华人民共和国境内，对个人和企业、事业单位等组织(以下统称企业)开展征信业务及其相关活动的，适用本办法。本办法所称信用信息，是指为金融经济活动提供服务，用于判断个人和企业信用状况的各类信息。包括但不限于：个人和企业的身份、地址、交通、通信、债务、财产、支付、消费、生产经营、履行法定义务等信息，以及基于前述信息对个人和企业信用状况形成的分析、评价类信息。

《办法》较大篇幅的从保护个人和企业合法权益角度对信用信息采集、整理、保存和加工进行了规定。《办法》强调，征信机构采集信用信息，应当遵循“最少、必要”的原则，不得过度采集，并提出以下四种信用信息采集方式不得使用：

(一)以欺骗、胁迫、诱导的方式；

(二)以向被采集的个人或企业收费的方式；

(三)从非法渠道采集；

(四)以其他侵害信息主体合法权益的方式。

同时，《办法》要求，征信机构经营个人征信业务，应当制定采集个人信用信息方案，并就采集的数据项、与信用的相关度、信息主体权益保护等事项向央行报备。

细化个人信息保护力度

除了对信用信息的采集方式提出“负面清单”外，《办法》为保障信用信息安全，对信用信息的使用也提出诸多明确的限制性要求。

央行也表示，《办法》与现行法律法规相衔接。充分吸收《民法典》、《网络安全法》、《消费者权益保护法》等现行法律法规有关个人信息保护的内容，充分考虑与《个人信息保护法(草案)》的衔接工作，吸收相关立法原则和精神，细化个人信息保护力度。

《办法》指出，信息使用者使用征信机构提供的信用信息，应当用于合法、正当的目的，不得滥用。征信机构不得以删除不良信息或不采集不良信息为由，向信息主体收取费用。

《办法》也对征信机构员工获取信用信息提出严格要求。按规定，征信机构应当严格限定查询、获取信用信息的工作人员的权限和范围。征信机构应当建立工作人员查询、获取信用信息的操作记录，明确记载工作人员查询、获取信用信息的时间、方式、内容及用途。

此外，相比于《征信业管理条例》，《办法》对信用信息跨境流动提出更为细化的规定。《办法》提出，征信机构向境外提供企业信用信息查询服务，应当审查信息使用者的身份、用途，确保信用信息用于跨境贸易、融资等合理的用途，并采取单笔查询的方式提供。征信机构不得将某一区域、某一行业批量企业的信用信息传输至境外同一信息使用者。征信机构向境外提供企业信用信息的，应当向央行备案。