央行万存知：个人信用信息用于共享单车是征信信息滥用

题图来源：视觉中国

今年4月，ofo、永安行、bluegogo、Hellobike、funbike、优拜六家“共享单车”品牌宣布与蚂蚁金服旗下的芝麻信用公司合作，推出“免押金扫码租车”服务。芝麻信用评分一定分数以上可以通过支付宝扫码免押金骑行。

据财新网记者粗略计算，通过支付宝“扫一扫”可使用全国约一半共享单车。在业内人士看来，这相当于芝麻信用分被用于客户营销。

对此，中国人民银行征信管理局局长万存知在《个人信息保护与个人征信监管》一文中指出，若征信机构为共享单车企业的资金安全管理提供服务，似乎还是正道。但如果征信机构与共享单车企业合作，以信用的名义约束租车人，防止自行车被毁坏，则有点本末倒置。

万存知认为，个人信息在征信中必须“有限使用”。具体说来，“有限”的标准就是，特定用途特定授权，没有授权原则上就不能使用。从国内外经验来看，个人征信信息一般用于信用交易领域（即放贷活动及贷后管理），不宜在其他领域广泛交叉使用，否则容易导致侵害个人信息隐私权益的法律风险。

据公开资料显示，2015年，人民银行年同意8家社会机构进行个人征信开业准备。首批开展个人征信业务准备工作的共8家机构，包括芝麻信用管理有限公司、腾讯征信有限公司、深圳前海征信中心股份有限公司、鹏元征信有限公司、中诚信征信有限公司、中智诚征信有限公司、拉卡拉信用管理有限公司和北京华道征信有限公司。

然而到目前为止，个人征信牌照仍未下发。万存知表示，从监管标准判断，这8家机构目前没有一家合格。主要原因在于：

一是各家为了追求依托互联网的所谓业务闭环，市场信息链被分割，信息覆盖范围受限，产品有效性不足，不利于信息共享；

二是8家机构各自依托某一企业或企业集团，业务上和公司治理结构上不具备第三方征信的独立性，存在利益冲突；

三是8家机构对征信的基本理念和基本规则了解不够，而且也没严格遵守，在没有以信用登记为基础且数据极为有限的情况下，根据各自掌握的有限信息进行不同形式的信用评分并对外进行使用，存在明显的信息误采误用问题。

万存知强调，在当代，独立的个人或经济组织，想独自办一家征信公司，尤其是从事个人征信业务的公司，无论在理论上、道义上、法律上还是在实践上，绝无可能。据世界银行专家的总结，当今国际上没有一个征信机构是由某一金融机构或某一企业集团独立发起成立的。但是，如果若干人、若干经济组织，从自愿共享客户信息的角度出发联合起来申办一家个人征信公司，则是完全可能的。（钛媒体记者李程程整理报道）

以下是万存知《个人信息保护与个人征信监管》全文，原刊于《中国金融》杂志：

征信业应坚持的原则与共识

征信业是对个人信用信息依法进行产业化共享的行业。个人信息权益保护构成个人征信监管的核心内容。因此，在个人征信市场准入和业务活动开展中，应坚持三个原则：第三方征信的独立性原则、征信活动中的公正性原则、个人信息隐私权益保护原则。

根据以上三个原则，在征信工作中还应坚持已得到社会各界广泛认同的五项共识。一是正确理解征信。征信跟资金有关，主要是考察借款人的还款意愿和还款能力，而不是仅看他的还款能力。因此，大数据不是征信，征信和诚信也有区别。二是个人征信机构不应该太分散，数量不能太多，市场准入的标准应该较严、门槛较高。三是征信应该坚持在政治上的正确性。比如，现在利用大数据可以掌握的信息很多，一些机构根据这些信息对个人“画像”，描述其身份、社会地位、生活习惯、消费能力等特征，并对其进行信用评分。很多人跟我交流说这个很管用，特别是在做产品策划、产品营销的时候。作为一个商业组织，通过这种大数据“画像”方式做市场营销无可厚非。但是，假如做征信，把社会公众“画成”三六九等，会导致对部分群体作出歧视性安排，这种做法不仅经不起科学推理，而且有悖社会公平和正义。四是征信机构不能滥用客户信息。征信机构要从保护个人信息、保护个人隐私权益方面出发，所有信息使用应该授权，应该特定用途，特定授权，不能一次授权反复使用、多次使用、无限使用。五是征信产品的运用场景应该主要在信贷领域，而不是什么领域都能用征信产品。

个人信息保护与征信监管的关系

根据我国法律规定，个人信息严格受法律保护。机关单位和金融、医疗、教育、商业、交通、电信等企事业经济组织，对掌握的个人服务对象和个人客户信息应当保密；若要对外提供，则须符合有关法律法规的规定。我国《政府信息公开条例》规定，对于政府机关在履职中所掌握的个人信息，能依法公开的，应无条件公开。信息公开是信息共享的自然方式。

经济主体的内部客户信息管理不属于征信，其个人客户信息保护受法律法规的约束。经济主体之间直接进行客户信息共享，通常都是因为存在利益合作关系，而我国现行法律规定并不支持这样做。但从风险内控和发展来讲，经济主体之间自愿通过第三方进行客户信息共享，不仅可能，而且在现实中逐步演变成现代征信业。所以征信在某种意义上，就是对不公开的个人信息进行共享的一种方式。因此，征信业就是能对个人信息进行产业化共享的行业。

我国《征信业管理条例》对个人信息共享限定在信用信息领域，并列出了禁止共享的信息项目清单。对于能共享的个人信用信息，法律赋予了个人知情权、同意权、纠错权、诉讼权以及退出权。有鉴于此，在共享个人信息过程中加强对个人信息的保护，就构成了征信监管的核心内容。

个人征信只采集和共享债务信息

征信只共享债务人（不含政府和金融机构）的债务信息，主要目的是用于防范信用违约风险。这里的债务信息大体有两类：一类是个人在金融、商品买卖等社会生活各个领域的负债历史记录，另一类是与判断其偿债意愿和偿债能力有密切关系的信息。

征信活动是一种信息服务，但不是所有的信息服务都是征信。共享债务人的债务信息构成征信的逻辑主线，这是在信息服务领域区分征信机构和非征信机构的基本标准。

社会上存在一种误解，认为个人的负债信息就是一种不好的信息。不好的信息在征信中也叫不良信息或者负面信息。但负债信息不等于负面信息。负债信息既包括负面信息，如欠债不还等逃废债信息；也包括正面信息，如对负债本身及其正常偿还的记录。

我国现阶段个人的负债活动及其信息记录主要存在于三个领域。其一，个人与持牌金融机构发生借贷融资形成的负债及偿债记录，以及为负债担保形成的或有负债记录。其中包括房贷、车贷、学贷等各种贷款，信用卡透支，以及为贷款和信用卡额度提供的担保等。在我国，这个领域的负债信息平均约占个人总负债的85%。其二，个人与非持牌金融机构等市场主体在各种消费中形成的负债及偿债记录，如赊购、水电气话先消费后付款形成的欠款等（它们可归结为企业对个人的商业信用），以及个人之间的民间借贷。这个领域的负债信息平均约占个人总负债的10%。其三，公权机关所掌握的个人在履行法定义务过程中形成的负债记录（如欠税、欠缴的社会保障费、欠交的行政罚款）以及法院判决后未执行的应赔偿而未赔偿的欠款等。这个领域的负债信息平均约占个人总负债的5%。

个人信息在征信中的使用方式

个人信息在征信中的使用方式可以概括四个字——有限使用。“有限”的标准就是，特定用途特定授权，没有授权原则上就不能使用。从国内外经验来看，个人征信信息一般用于信用交易领域（即放贷活动及贷后管理），不宜在其他领域广泛交叉使用，否则容易导致侵害个人信息隐私权益的法律风险。

以目前急剧扩张的共享单车市场为例，共享单车企业是借助共享单车这个介质，以押金的方式在进行社会集资，并借助押金资金池的巨额资金进行资本运作。其中最大的风险在于共享单车企业如何管理高达百亿的押金资金池，并确保用户的押金随时可以退付。征信机构能否将其掌握的个人信用信息直接提供给共享单车企业进行风控管理？我个人认为，若征信机构为共享单车企业的资金安全管理提供服务，似乎还是正道。但如果征信机构与共享单车企业合作，以信用的名义约束租车人，防止自行车被毁坏，则有点本末倒置。因为自行车毁坏与否，是企业自身的管理和业务模式设计问题；而没有租车人本人的授权，征信机构是无权自动对外提供租车人信用信息的，否则就属于征信信息滥用。

总而言之，征信只宜用于在借钱还钱中防范信用违约风险，而不宜广泛用于政府、企业和个人等经济行为人的内部经营管理。

征信与社会信用体系建设的关系

征信与社会信用体系建设既有区别，又有联系。其区别在于：征信是采集那些不能无条件公开或者已经公开却不便自由获取的个人和企业信息并依法进行有限共享的一种方式及其制度安排；社会信用体系建设则是通过不同层级的制度安排，来促进政府、企业和个人等经济行为人诚实守信，目的在于营造一种守信受益、失信受罚的社会信用环境。社会信用体系建设一般包括三个层级的要求：一是在道德层面的宣传教育，培育诚实守信的信用观念；二是政府、企业和个人等经济行为人自身内部的具有自我约束性的信用管理，即在主观上应自觉守信，而不能恶意失信；三是通过推动信息共享来从外部对政府、企业和个人等经济行为人进行市场化约束。

社会信用体系建设中的信息共享包括两个方面：一是通过政府信息公开这个机制进行共享；二是将不能公开的信息通过征信这个机制依法进行共享。这里为什么要强调信息共享？是因为“阳光是最好的消毒剂”，在诚实守信这个环节出现的许多问题，往往都是因为信息不对称导致套利而形成的。

由此可见，征信是社会信用体系建设的一个有机组成部分，但不是全部，两者的内涵和外延不同；两者的内在联系在于，征信是社会信用体系建设在信息共享这个层面的一个基础性的制度安排。

必须严把征信市场准入关

人民银行作为国务院征信业监督管理部门，对个人征信机构的设立依法进行行政审批。为探索个人征信机构市场准入的管理经验，人民银行在2015年同意8家社会机构进行个人征信开业准备，至今已有两年的时间。开业准备之所以延续到现在，有三个意想不到的因素：一是未想到在这个过程中遇上互联网金融整顿，这项工作至今未结束；二是未想到社会公众个人信息保护意识空前高涨，监管部门秉持审慎审批的原则，对8家进入开业准备阶段的机构提出了更高的要求；三是未想到8家机构开业准备的实际情况离市场需求和监管的要求差距那么大。

就目前我们掌握的情况看，8家从事个人征信开业准备的机构存在的突出问题有三个：一是各家为了追求依托互联网的所谓业务闭环，市场信息链被分割，信息覆盖范围受限，产品有效性不足，不利于信息共享；二是8家机构各自依托某一企业或企业集团，业务上和公司治理结构上不具备第三方征信的独立性，存在利益冲突；三是8家机构对征信的基本理念和基本规则了解不够，而且也没严格遵守，在没有以信用登记为基础且数据极为有限的情况下，根据各自掌握的有限信息进行不同形式的信用评分并对外进行使用，存在明显的信息误采误用问题。因此，从监管标准判断，8家机构至今没有一家合格。

社会上也有人认为，个人征信市场准入过于严格，一般的机构都过不了关，不如“先放后收”，先开业后规范。

我认为不能采取这个策略。根据我的了解，现在有许多人想从事征信业务。国家工商行政管理局提供的最新材料显示，目前全国注册登记的企业中，企业名称或业务范围中含“征信”字样的公司，有50多万家。这50多万家公司中，有大约20万家想从事个人征信。试想一下，如果监管部门发出20万张个人征信牌照会是一个什么样的结果？个人信息滥用必定导致征信市场大乱。

由于个人征信与个人信息保护密切相关，所以个人征信市场绝对不能走“先乱后治”的道路。对个人征信准入的态度，实际上是对个人信息保护的态度，是对人民群众切身利益的态度，也是对维护社会稳定的态度。

也有人担心，如果个人征信机构牌照不能尽快放开，多批一些，怎么能形成个人征信产业呢？衡量征信业是不是一个产业，标准不在于征信机构的数量，而在于征信这套机制能否构成完整的产业链。征信机制有三个组成部分，即信息提供者、征信机构和信息使用者，征信机构只是其中的一个环节。以征信机构为信息共享的平台，各行各业的信息提供者与使用者本身就构成了一个完整的产业链。

到底什么人可以办个人征信？我在这里想告诉大家的是，在当代，独立的个人或经济组织，想独自办一家征信公司，尤其是从事个人征信业务的公司，无论在理论上、道义上、法律上还是在实践上，绝无可能。据世界银行专家的总结，当今国际上没有一个征信机构是由某一金融机构或某一企业集团独立发起成立的。但是，如果若干人、若干经济组织，从自愿共享客户信息的角度出发联合起来申办一家个人征信公司，则是完全可能的。

我在这里想特别强调的是，一些行业协会的会员信息共享平台，实际具有征信的功能，因为会员来自全社会，所以它已不限于内部性了，应接受国务院发布的《征信业管理条例》的约束。

此外，外资能否在中国独立办个人征信公司？答案是肯定的，而且外资申请审批办理个人征信已经实现国民待遇。

总而言之，人民银行在征信市场管理上，历来主张发挥政府和市场两个方面的积极性和优势。未来新批设的个人征信机构，将完全按市场规则组建和运行。至于什么时候个人征信牌照能够发出来，这主要取决于我们基础工作的进度和质量。在发放牌照之前，一些基础工作和研究要做透，措施要做稳妥，还要与各个方面深入细致的协调，需要做大量工作。对于符合审慎监管条件的个人征信申请机构，人民银行将积极稳妥地尽快推进个人征信牌照发放工作。

对个人征信市场要进行分类监管

个人征信涉及面广，为提高监管的针对性和有效性，宜实施分类监管：一方面，对信息提供者和信息使用者的监管要求应有所差别；另一方面，对在不同业务范围活动的个人征信机构，也应在监管上有所差别。

需要注意的是，我国对个人征信机构的监管严于对企业征信机构的监管，这也符合国际通行做法。未来，根据发展需要，个人征信机构可以兼营企业征信业务，比如在小微企业征信服务领域；但企业征信机构若想直接兼营个人征信业务，则需要另行审批。

个人征信机构市场的未来

为了认真贯彻落实习近平总书记关于“抓紧建立覆盖全社会的征信系统”的重要讲话精神，人民银行未来批设的个人征信机构，其业务范围将主要覆盖前述第二、第三个领域的个人负债活动，因为第一个领域的个人负债活动已为中国人民银行征信中心所覆盖。人民银行征信中心目前已覆盖全国所有持牌金融机构的放贷业务，也覆盖了极为少量的第二、第三个领域的个人负债活动。可以说，就覆盖范围和信息数量而言，人民银行征信中心已成为全球最大的个人征信机构。

对此，也许有人会说，按这个思路，还有必要新批设个人征信机构吗？让人民银行征信中心再进一步扩大覆盖范围不就行了吗？而实际上，受信息提供者和信息使用者的核算基础、管理体制、技术保障、专业队伍等长期因素所限，征信中心对上述第二、第三个领域的个人负债活动，无论是现在还是将来都做不到全覆盖。所以，在征信中心之外，我们还需要培育新的力量予以补充。

也许有人还会问，征信系统为什么要覆盖全社会？这是因为在征信制度下，没有被覆盖的社会经济领域，往往是骗子云集、风险最高的领域，为防止信用违约风险跨行业、跨市场、跨地域转移传播，征信需要做到覆盖全社会。

由于征信信息系统具有自然垄断的特性，不具有进行同质竞争的市场基础，而且从个人信息保护角度也不宜进行同质竞争，所以未来新批设的个人征信机构，原则上不与人民银行征信中心开展同质业务，新老征信机构在业务范围上错位发展，功能互补。

要建设覆盖全社会的征信系统，未来新批设的个人征信机构应具有在全国范围内对前述第二、第三个个人负债领域，全面开展业务的综合能力。同时，监管部门应严格控制这类机构的数量，防止不同机构不同信息平台对信息链的分割。

要做到征信覆盖全社会，新批设的个人征信机构应与人民银行征信中心按市场规则，在合理定价的基础上，建立信息共享机制。此外，对于个性化和差异化极大的个人征信服务，要不要借鉴欧美发达市场的经验，发展一些专业化的征信机构进行专项服务，这是一个需要大家共同研究探讨的问题。

更多精彩内容，关注钛媒体微信号（ID：taimeiti），或者下载钛媒体App