一、数字经济时代个人信息保护面临的挑战

个人信息在我国现有的法律体系中主要以“已识别”和“可识别”特定自然人为界定标准。我国《个人信息保护法（草案）》规定，个人信息是以电子或者其他方式记录的，与已识别或者可识别的自然人有关的各种信息。关于个人隐私，我国《民法典》将其明确为自然人的私密空间、私密活动和私密信息。个人信息与隐私在私密信息领域存在交叉关系，隐私强调“私密性”，而个人信息强调“可识别性”。

由于征信系统属于重要的国家金融基础设施，征信数字资产具有较强的社会公益性，信用信息与“隐私”的关系需要辩证分析。汪路认为，包含个人正负面信贷信息及其他替代性信息在内的信用信息与公共利益息息相关，征信机构采集的信息应理解为非个人隐私。

而且，隐私属于私人、私事，对于判断信息主体的还款能力和还款意愿，其作用有限，征信机构也不应采集个人的隐私信息。按照有关要求，金融从业机构需要充分关注信息来源、加工、使用和共享等环节的合法性和合理性，按照“最小必要”的原则采集和处理个人信息，充分保护信息主体的知情权、同意权、访问权、修改权、删除权等合法权益。

目前，我国数字经济总量和增速位居世界前列。中国信息通信研究院的测算数据显示，2019年数字经济总量占 GDP 比重超过三分之一。

随着数字经济与实体经济加速融合，以及信息技术在生产、流通等环节的深度应用，一方面，数据成为重要的生产要素之一，为推动经济循环建设提供新动能。个人信息作为数据的重要来源之一，其采集和利用必然为数据使用者带来商业价值，为国家和社会带来公共利益。另一方面，掌握大数据运用能力与算法技术的商业组织具有一定的“准公共权力”属性，此类机构与信息主体存在持续的不对称关系，可能侵害信息主体的合法权益，自由放任的数据市场无法自发形成有效秩序，个人信息泄露和滥用等现象亟待整治。

随着金融科技的快速发展，我国个人信息保护面临新挑战。

一是过度收集。随着互联网的发展，移动App成为消费者经济生活中的一部分，也成为商业机构获取消费者各类信息、挖掘数据商业价值和定向推送的重要途径，引发了普遍的强制授权、过度索权、违规植入SDK、超范围采集消费者敏感信息、侵犯消费者权益的现象，也增加了身份盗窃、电信诈骗的风险。

二是滥用和泄露。目前，贩卖个人信息已形成“源头—中间商—非法使用”的黑色产业链，严重侵害公众合法权益。

三是身份歧视。随着大数据和人工智能技术的广泛应用，身份识别和交易真实性受到挑战，价格歧视、地域歧视等大数据“杀熟”现象备受争议，精准营销与定向推送在便利消费者开展商业活动的同时也加重了社会对个人信息滥用的担忧。

四是数据安全风险。大数据场景和云存储增加了系统建设、信息流失、信息泄露和黑客攻击风险，也可能发生由于算法不精而将“垃圾信息”（如失效信息等）当作“有效信息”等现象。随着数据量剧增，风险扩散和恶意程序传播速度将明显提高。区块链的分布式架构和共识机制在保证数据可信度的同时，也面临着技术性能、数据存储和风险管理等挑战。

五是数据确权与交易。数据确权难导致数据市场“数据不敢用”“数据过度用”的情况并存，数据交易不规范，且缺乏有效监管，数据质量规范、价值量化等标准均有待完善。

由于征信业属于数据密集行业，征信制度设计的重要一环是确保数据安全及个人信息保护，保障公共安全和社会稳定。万存知认为，大数据与征信在原理上不同，不可直接运用于征信，两者在信息权益保护的内容和方式上存在差异。李真提出，征信行业个人信息保护的逻辑应当是达到有效保护个人隐私与促进征信行业创新的均衡。

目前，国际上关于个人信息保护的立法体系主要分为欧盟模式和美国模式。欧盟模式侧重于将个人信息视为基本权利的客体，美国模式侧重于突出个人信息的公共流通属性及言论自由。《个人信息保护法（草案）》《数据安全法》正在加紧制定出台，随着此类法律法规的实施，我国有望形成一种有效平衡数据流动与个人信息保护的中国模式。

国际经验表明，征信行业个人信息保护制度发展具有吸纳国际标准、明确采集范围、保护合法权利、保障数据准确安全、规范使用途径、明确处罚标准等特点。

（1）吸纳信息保护国际标准。联合国、经合组织和欧洲委员会先后制定的个人信息保护有关公约持续影响着各国个人信息保护立法体系的选择。美国联邦贸易委员会提出了公平信息实践原则（FIPP）及个人信息采集的告知、选择、可访问性、安全等四项原则。

欧盟《通用数据保护条例》（GDPR）明确了个人信息保护的七项基本原则，即合法性、合理性和透明性原则，目的限制原则，数据最小化原则，准确性原则，限期存储原则，数据完整性与保密性原则，以及问责制原则。其他国家和地区在上述思想的基础上进行本土化规定，呈现增加信息控制者风险防范和数据安全治理责任的发展趋势。

（2）明确信用信息采集范围。美国允许采集个人信用相关的正负面信息，《诚实信贷法》（TLA）和《信用卡发行法》（CCA）不允许收集任何有关信息主体的种族、宗教信仰、医疗记录、政治立场、刑事犯罪记录等信息。

德国、意大利、瑞典等国严格限定采集的信息要与信用活动直接相关，以信用付款记录为主，禁止采集个人收入、资产、纳税类等信息，个人信用报告一般不包括银行存款账户余额、种族、宗教信仰、健康状况、刑事犯罪记录和收入信息等。

（3）保障信息主体基本权利。多数国家通常会通过法律规范赋予信息主体知情权、选择权、纠正权/异议权、重建信用记录权等保障性权利。知情权和选择权方面，美国的信用信息采集及使用一般采取“通知（opt-out）”模式，但是美国《公平信用报告法》（FCRA）要求对就业目的查询、医疗信息使用以及运用个人信息进行市场营销等，需要取得信息主体的书面同意。

异议权方面，美国个人征信行业建立了消费者异议争端集中解决系“E-OSCAR”，英国《消费信贷法》（CCA）规定征信机构需在28天内完成异议处理工作。重建信用记录权方面，美国规定正面信息保留10年，负面信息中个人破产记录保留10年，民事判决、逮捕记录、缴纳欠税滞纳金记录等负面记录保留7年。

（4）确保信用信息准确安全。多数国家规定征信机构应当采取措施保证数据库安全运行和数据及时更新，防止数据被越权访问、丢失或滥用。美国FCRA 及其实施条例要求征信机构、数据报送机构设置合理程序，最大限度确保数据准确性和安全性。

此外，美国三大个人征信机构根据法律要求，共同搭建了针对身份失窃者、欺诈受害者以及复杂状况的异议处理系统，互相通知处理情况。

（5）规范信用信息使用范围。2012年美国消费者金融保护局在 FCRA 的“规章 V”（Regulation V）中明确列举获取个人信用报告的十类合法目的，包括法院传票、本人委托、贷前贷中贷后管理、就业雇佣、保险决策、其他合法商业交易申请、账户复查、儿童抚养、执照颁发或社会福利、投资评价等。部分欧洲国家限定使用目的，并要求书面授权。

（6）明确违规行为处罚标准。较高的处罚标准有助于降低信用信息泄露、滥用等风险。欧盟GDPR规定了欧盟成员国监管当局有矫正性处罚权力和行政罚款权力：对违法行为较恶劣的，除所规定的矫正性处罚措施外，施加最高2000万欧元或相当于上年全球营业收入总额4%的罚款。

针对2017年世界三大征信机构之一的艾克菲（Equifax）涉及1.43亿用户的信用记录泄露事件，美国监管机构2019年宣布，Equifax要支付6.5亿美元的费用与监管机构达成和解。

在数据商业价值逐渐明显的当代，数据资产的安全价值、增值价值及普惠性质得到高度关注，我国个人信息保护制度建设已取得阶段性成效。

（1）信息保护法规框架基本建成。近年来，尤其是“十三五”期间，我国个人信息保护法律体系持续完善，多层次、广覆盖的规范体系初步形成。

2013年，《征信业管理条例》从征信机构管理、征信业务规则、信息主体权益保护、金融信用信息基础数据库和征信监督管理等五个方面，明确了信息主体的知情权、选择权、异议权等各项权利，限制采集收入、存款等信息，禁止采集个人的宗教信仰、基因、指纹、血型、疾病和病史等信息。

2021年1月，中国人民银行发布《征信业务管理办法（征求意见稿）》（以下简称《办法》），明确信用信息包括个人和企业的身份、地址、交通、通信、债务、财产、支付、消费、生产经营、履行法定义务等，将以“信用信息服务、信用服务、信用评分、信用评级、信用修复”等名义对外提供征信功能服务纳入监管，再次明确“最少必要”的信息采集原则。

此外，中国人民银行将推出《个人金融信息保护暂行办法》，对信用服务行业、大数据市场的信息使用规范提出更为明确的要求，加大个人信息在金融经济活动中依法合规使用的规范力度。

（2）信用保护标准体系有序完善。目前，全国信息安全标准化技术委员会、全国金融标准化技术委员会相继出台《个人金融信息保护技术规范》（JR/T0171—2020）、《金融数据安全 数据安全分级指南》（JR/T 0197—2020）、《信息安全技术 个人信息安全规范》（GB/T 35273—2020）、《金融业数据能力建设指引》（JR/T 0218—2021）等标准规范，网上银行、金融云、移动金融APP、金融分布式账本、金融科技创新应用等金融科技标准中也对个人信息保护和安全管理提出了明确要求。

其中，《个人金融信息保护技术规范》明确个人金融信息包括账户信息、鉴别信息、金融交易信息、个人身份信息、财产信息、信贷信息等信息，对数据全生命周期的个人金融信息保护提出规范性要求。《金融业数据能力建设指引》明确了金融业数据能力建设遵循用户授权、安全合规、分类施策、最小够用、可用不可见等五项基本原则。《信息安全技术 个人信息安全规范》规定在收集个人生物识别信息前应单独告知收集、使用目的、方式、范围及存储时限等并征得明示同意，个人生物识别信息与身份信息分开存储。

征信的本质是共享，信息共享与数据保护是征信业务发展的一体两面。一方面，市场化征信机构借助商业手段协助有关部门探索解决数据跨部门、跨行业和跨国界共享的问题，平衡信息保护与数据流动之间的关系，促进数据确权及价值挖掘；另一方面，征信机构依法合规共享信息以及监管部门的政策支持有助于规范信用服务行业的数据交易与共享行为，用“良币”驱逐“劣币”，助力金融消费者保护。

作为国家重要金融基础设施，征信的基本前提假设是“让历史告诉未来”，通过共享债务人的信息，反映企业或个人的偿债能力和偿债意愿，降低信息不对称，促进金融经济活动的可持续发展。根据行业发展“S 型曲线”“二八原则”，征信机构在实现自身发展，以及开拓新业务、进入新行业新领域的过程中，拓展的头部机构数量与覆盖人数、信息总数有较强的正相关关系。

虽然头部数据源机构的数量占行业总数的10%~20%，其持有的数据量却能达到总体的60%~80%。因此，市场化征信机构通过信息中枢的形式集成金融机构及其他数据源的信用信息， 打破金融机构间点对点、端对端的信用信息传递模式，助力授信方减少逆向选择，防范道德风险，帮助信息主体获得信贷机会，促进金融普惠。

首先，除信贷信息外，数字经济时代，信用信息服务领域逐步从银行信用扩展至商业信用及政务、商务等信用替代数据领域。2021年1月，《办法》将信用信息的范围扩至为金融经济活动提供服务，用于判断个人和企业信用状况的各类信息。

由于信用信息具有自然垄断特性，与公共征信机构相比，市场化个人征信机构在替代数据源拓展、商业模式、对价机制、业务创新等方面具有明显优势，能通过商业对价、一户一策、数据价值分红等模式在自然人与非银金融机构、自然人之间的民间借贷、自然人履行法定义务等领域实现数据共享。

随着“信用信息”内涵的不断丰富，征信服务可归集和共享的数据范围持续扩大，市场化征信服务将进一步促进个人信息的共享、流动和价值挖掘，助力建设适应数字经济时代的现代征信体系，促进市场化征信行业持续健康发展。

其次，市场化个人征信机构能够通过数据分析与挖掘打造个性化、多元化、定制化的服务体系，逐步形成覆盖贷前、贷中和贷后全流程的征信产品集群，以产品和服务促进数据共享。

在选择数据分析模式时，持牌征信机构不仅关注模型预测的准确性和高效性，也持续关注模型的可追溯、可解释性，优先选择逻辑回归、决策树等分析模型，并持续探索神经网络等新型机器学习技术的应用空间。例如，国际信用评分巨头FICO仍采用传统的逻辑回归技术，强调信贷相关性、可解释性以及跨经济周期的长期适用性与稳定性。

再次，市场化个人征信机构也能够促进信用信息的跨境共享。2020年，中国人民银行等四部委发布《关于金融支持粤港澳大湾区建设的意见》，要求“推动跨境征信合作，支持粤港澳三地征信机构开展跨境合作，探索推进征信产品互认”。

有关工作可以由粤港澳三地市场化个人征信机构牵头，探索推进三地征信报告互认和互相查询，从法律法规、互认顺序、共享场景、共享标准、场景拓展、区块链应用等方面探索分阶段、分步骤推进征信互认的可行路径，按照“先业务后机构”“先征信后信用”“先入境后出境”“边研讨边实操”的流程逐步推进大湾区跨境征信共享有关工作。

近年来，部分金融科技机构以数据服务、信用服务的名义违法违规开展征信、类征信业务的现象较普遍，存在无授权采集、“一次授权、无穷采集、无限使用”等问题，这与从事个人征信业务的征信机构应持牌等法律法规的要求相违背，侵害了个人和企业等信息主体的合法权益。

《2019年中国互联网网络安全报告》显示，2019年累计发现我国重要数据泄露风险与事件3000余起，其中400余起涉及存储重要数据或大量公民个人信息。随着《办法》的发布，信用信息的内涵进一步丰富，迫切需要持牌征信机构在个人信用信息保护方面发挥更大的作用。

根据有关法律法规的要求，持牌征信机构采集个人信息时需要遵循“最小必要”原则，告知采集的目的、信息来源和信息范围等。在坚持依法合规、信息安全、隐私保护的经营底线和行稳致远的生命线的基础上，持牌征信机构能够通过优化价格机制、股权机制等方式激励数据共享，以数据保护性开发为指导，制定个人数据保护的标准，依托数字技术体系，建立涵盖产品安全、操作安全和系统安全的信息安全保障体系，充分发挥数据合规中枢的平台价值。

同时，打破互联网巨头的数据垄断地位，推动信用信息规范共享，更充分、更全面地保障信息主体合法权益，筑牢信用信息安全的堤坝，促进信用信息合规、合理、良性流动。

外部数据接入环节，持牌征信机构不断完善数据接入管理制度，并强化监督执行，确保接入数据合法合规。产品服务环节，持牌征信机构可通过传输加密、评分化输出数据、协议约束、定期授权审查、现场访谈、异常扫描与监控等机制，最大限度地约束下游合作机构依法合规的使用征信服务及产品。

2021年中国人民银行工作会议明确，个人征信业务必须持牌经营，金融经济活动中用于信用评价的替代信息纳入征信监管，大数据行业有望得到净化与规范。