李春谊：征信业务管理办法简评

　　文/新浪财经意见领袖专栏作家 李春谊

　　目录

　　一、 制定背景回顾

　　二、 海内百川、对征求意见稿进行了大规模修改

　　三、 与时俱进，在征信领域贯彻落实了《民法典》《网络安全法》《数据安全法》《个人信息保护法》等上位法规定

　　四、 坚持初心，确立了适应数字时代经济高质量发展的现代化征信体系的若干重要规则

　　五、 施行及过渡期

　　内容摘要：

　　《征信业务管理办法》历经多年讨论酝酿，终于今年十一前正式颁布，对于征信行业而言，可谓重磅发布、正当其时。

　　正式办法的条文与今年年初发布的征求意见稿相比，出现了较大程度的修改。征求意见稿的绝大部分条款都进行了实质内容或词语表述上的增删、修改。

　　正式办法广泛征求并合理采纳了各方所提出修改建议，较征求意见稿其规范性、严谨性、可操作性得到显著提高。笔者就征求意见稿所提出的五项修改建议，在正式办法中得到完全采纳，包括删除属人管辖条款、“最少、必要”仅适用于个人征信、采集企业非公开信息无需征得企业同意而仅要求“基于合法的目的，不得侵犯商业秘密”、必须具备等保三级的企业征信机构的业务规模要求调高等。

　　数安法所确立的数据处理合规要求、数据出境合规要求等；个保法所确立的个人信息处理规则，信息主体、信息处理者、监管机构各方权利义务，在征信业务办法中得到充分贯彻实施。

　　征信业务办法确立了适应数字时代经济高质量发展的现代化征信体系的若干重要规则，包括但不限于：三维度划定征信业务边界，征信业务必须持牌经营，针对数据公司的断直连、限通道、强制上报、双层风险监管制度，征信业务活动全过程合规制度等。其中的制度创新亮点在于“断直连”以及六项征信机构的强制上报制度。

　　根据征信管理办法的施行日期及过渡期安排，断直连可至2023年6月底前完成整改，而已持牌的征信机构从现在开始仅有3个月时间根据征信业务办法进行合规整改。

　　正文

　　9月30日下午，中国人民银行官网发布了中国人民银行令〔2021〕第4号《征信业务管理办法》。正式颁布的《征信业务管理办法》（以下简称“征信业务办法”或“正式办法”）共有八章五十三条，将于2022年1月1日起施行。征信行业讨论多时、期待已久的重磅部门规章终于落地。

　　一、制定背景回顾

　　我国征信行业的基础法规《征信业管理条例》2013年颁布实施以来，我国征信业进入快速发展的时代、新的征信业态不断涌现。原有的征信业务规范体系，已无法完全规范征信边界，权益保护、数据安全等新问题。为此，中国人民银行一直致力于制定部门规章层级的《征信业务管理办法》。

　　《征信业务管理办法（草稿）》于2016年5月27日内部征求意见，但其条文内容未予公开。2021年1月22日，在监管层对金融行业进行“严监管”“强供给”“保安全”的强有力举措的背景下，中国人民银行全面更新该办法并发布《征信业务管理办法（征求意见稿）》（以下简称“征求意见稿”）向社会征求意见。该征求意见稿表达了监管层要求对征信行业现状进行整顿规范的意志，其中关于扩大信用信息范围、提高业务规范要求、强化持牌准入资格、征信辅助机构设定等规范引起社会热议。

　　2021年6月颁布的《中华人民共和国数据安全法》（以下简称“数安法”）、8月颁布的《中华人民共和国个人信息保护法》（以下简称“个保法”），对征信行业影响巨大。征信业本质上属于数据处理产业、个人征信业务即为个人信息的处理。无论是数安法、个保法的主体权益保护体系、监管治理方法等宏观层面内容，还是二部法律的具体规范以至名词定义等微观层面内容，都促使征信业务管理办法的立规者突破部门、行业的局限，从国家数据安全、金融安全、个人信息保护的整体格局中找准征信业务的定位，同时根据上位法界定调整征信业务管理办法的权益体系、治理路径、名词定义。

　　因此，为满足新时代征信业规范发展的需求，《征信业务管理办法》进行了充分调研、广泛征求并吸收各方意见，并且根据新颁布的数安法、个保法进行了调整。《征信业务管理办法》于十一国庆前一日正式颁布，对于征信行业而言，可谓重磅发布、正当其时。

　　二、海内百川、对征求意见稿进行了大规模修改

　　9月底正式办法的条文与今年年初发布的征求意见稿相比，出现了较大程度的修改。

　　首先是条文数量，征求意见稿共四十六条，而正式办法共五十三条，数量增加七条。章节数量上，征求意见稿共七章，正式办法增加第七章“法律责任”共八章。

　　其次是条文内容，据笔者统计，征求意见稿的绝大部分条款都进行了实质内容或词语表述上的增删、修改，内容完全未进行修改的仅有3条且全部在附则中。

　　更为重要的是，征求意见稿中多项引发讨论的内容，包括属人管辖原则、征信信息的范围、企业征信业务原则、征信辅助机构等，都进行了调整或删除。

　　上述修改体现了立规者以务实虚心的态度，认真审视了征求意见稿中的不足，并广泛征求并吸纳了来自各方的意见。

　　笔者在2021年2月10日向中国人民银行征信管理局呈送了《征信业务管理办法（征求意见稿）》反馈意见说明并附具体修改建议明细表，提出多项修改建议。

　　正式办法中，笔者所提出的五项修改建议（可能其他专家学者也提出了相同的建议）得到完全采纳，包括：

　　删除属人管辖条款（征求意见稿第二条第二款、正式办法第二条）

　　调整禁止“歧视性安排”“排他性服务”的表述（征求意见稿第四条、正式办法第六条、第二十一条）

　　不要求“最少、必要”原则适用于全部征信活动（征求意见稿第五条），变更为仅适用于个人征信（正式办法第七条）

　　不要求采集企业非公开信息需征得企业同意（征求意见稿第十二条），变更为“基于合法的目的，不得侵犯商业秘密”（正式办法第十五条）

　　将必须具备等保三级的企业征信机构的业务规模调高为“处理100万户以上企业信用信息”（征求意见稿第三十条、正式办法第三十四条）

　　同时，笔者提出的征求意见稿“具体规则应有上位法的依据并保护适配性”“应与人民银行已有的金融以及征信业规范相适配”“应与解决新问题加强监管的立法目的相适配”的修改原则建议，在正式办法中均得到了体现。

　　因此，正式颁布的办法广泛征求并合理采纳了包括笔者在内的各方所提出修改建议，较征求意见稿，其规范性、严谨性、可操作性得到显著提高。

　　三、与时俱进，在征信领域贯彻落实了《民法典》《网络安全法》《数据安全法》《个人信息保护法》等上位法规定

　　在征信业管理办法征求意见稿发布之前，民法典已生效。在征求意见稿征求意见期截止之后，《数据安全法》《个人信息保护法》又先后颁布。

　　数安法所确立的数据处理合规要求、数据出境合规要求等，在本次正式办法中均有体现。

　　个保法所确立的个人信息处理规则，信息主体、信息处理者、监管机构各方权利义务，在征信业务办法中得到充分贯彻实施。

　　四、坚持初心，确立了适应数字时代经济高质量发展的现代化征信体系的若干重要规则

　　1．三维度划定征信业务边界

　　《征信业务管理办法》按照依法采集、为金融等活动提供服务、用于识别判断企业和个人信用状况等三个维度，将符合上述标准的基本信息、借贷信息、其他相关信息，以及基于这些信息的分析评价信息界定为信用信息。

　　正式办法明确将借贷信息以外的征信替代数据纳入征信信息范围，确立了以信息用途（用于识别判断信用状况）而非信息本身内容（基本信息、借贷信息或其他相关信息）来界定征信信息的规则。

　　相较于征求意见稿“为金融经济活动提供服务”的表述，正式办法“为金融等活动提供服务”的表述，同样未将征信信息局限于服务金融业的信息。但该规定以是否主要服务于金融活动为标准，相对划分了央行主管的征信机构、与发改委主管的综合信用服务机构的区别。

　　在中国人民银行有关负责人就《征信业务管理办法》答记者问时，介绍“《征信业务管理办法》定义的征信管理范畴不涉及非商业合作的信息服务。比如，国家机关以及法律法规授权的具有管理公共事务职能的组织依职责直接向金融机构提供个人或企业信息的，以及汽车经销商、房产营销中介等市场机构依法代金融机构收集客户信息但并不对客户信息分析处理营利的，不适用本办法。互联网平台开展助贷等相关业务符合征信业务定义的，适用本办法。”

　　结合正式办法用“金融等活动”代替“金融经济活动”、答记者问时所列举均为服务金融业的业务场景、以及正式办法所规定的“断直连”仅限于金融机构的规定，笔者认为正式办法所界定的征信业务范围较征求意见稿有所收窄。“为金融等活动提供服务”可以理解为服务于金融业的信用信息必然属于征信信息，但服务于其他行业的信用信息是否属于征信信息仍然需要进一步的立法明确。

　　2．征信业务必须持牌经营

　　强调从事行信业务必须获得个人征信业务许可、企业征信机构备 案、信用评级机构备案三项持牌条件之一。

　　3．确立针对实质提供征信信息的互联网平台、数据公司等市场机构的断直连、限通道、强制上报、双层风险监管制度

　　金融机构不得与未取得合法征信业务资质的互联网平台、数据公司等市场机构开展商业合作获取征信服务。个人征信机构应当将与其合作，进行个人信用信息采集、整理、加工和分析的信息提供者，向中国人民银行报告。个人征信机构应当规范与信息提供者的合作协议内容。信息提供者应当就个人信用信息处理事项接受个人征信机构的风险评估和中国人民银行的情况核实。

　　较征求意见稿中提出的要求“与征信机构合作，为金融经济活动提供个人或企业信用信息的其他信息处理者，应当在签署合作协议后向中国人民银行或其副省级城市中心支行以上分支机构报备”的征信辅助机构报备方案，正式办法坚持了金融业务必须持牌经营的原则，但在法治化、市场化之间找到了更合理平衡点。具体包括：（1）“断直连”不仅包括个人征信业务，而且包括企业征信业务。金融机构采购任何征信服务都需要通过持牌的个人征信、企业征信机构的通道；（2）取消了征求意见稿中的数据公司作为申请主体向央行“报备”的“征信辅助机构”准持牌制度，变更为个人征信机构向央行上报数据提供者的强制报告制度；（3）信息提供者应接受个人征信机构的风险评估及央行的情况核实，对数据公司进行两个层级的风险监管；（4）强制上报制度及双重风险监管仅限于个人信息提供者，未及于企业征信信息提供者。

　　上述制度凸显了征信持牌机构尤其是个人征信机构的市场优势，同时也相应强化了其风险控制的职责及法律责任。

　　据笔者的行业观察，2021年7月7日中国人民银行征信管理局已发通知，要求互联网平台机构在与金融机构贷款合作助贷等业务中实现个人信息与金融机构的全面“断直连”。实际上，“断直连”在办法颁布前已经开始实施。

　　4．征信业务活动全过程合规制度

　　正式办法规定了征信信息采集、整理、保存、加工，提供以及使用的全过程合规制度，规定了信息流转各环节中征信机构、信息主体、信息提供者、信息使用者四方的权利义务和责任，并规定了央行在各环节中的监管职权。

　　其中的制度创新亮点在于六项征信机构向央行的强制上报制度，包括：个人征信业务方案上报制度、个人信息提供者报告制度、三类服务事项（信息查询、信用评价类、信用反欺诈产品和服务）上报制度、信息风险上报制度、境外征信机构合作上报制度、个人信息保护合规审计报告上报制度。

　　上述制度给征信机构的合规经营带来了更高的要求，需要征信机构进行深入学习、整改执行。

　　五、施行及过渡期

　　征信业务办法将自2022年1月1日起施行。

　　考虑互联网平台、数据公司等机构与金融机构业务合作的现状，对本办法施行前未取得征信业务资质但实质从事征信业务的市场机构给予了一定的业务整改过渡期，应当自本办法施行之日起18个月内，即2023年6月30日之前完成合规整改。

　　根据上述施行日期及过渡期安排，断直连可至2023年6月底前完成，而已持牌的个人及企业征信机构仅有3个月时间根据征信业务办法进行合规整改。

　　作者简介：李春谊，北京市中咨律师事务所高级合伙人，首都经济贸易大学兼职研究生导师，中国政法大学法律硕士学院兼职教授，长期从事征信业法律实践及理论研究，担任多家征信机构法律顾问。

　　(本文作者介绍：北京市中咨律师事务所高级合伙人，首都经济贸易大学兼职研究生导师，中国政法大学法律硕士学院兼职教授，长期从事征信业法律实践及理论研究，担任多家征信机构法律顾问)