商业银行违规查询个人信用报告的成因及对策——基于人民银行监管视角

周猛麟

商业银行违规查询个人信用报告的成因及对策
——基于人民银行监管视角

周猛麟

《社会信用体系建设规划纲要2014～2020》提出，保护信用信息主体权益。然而，随着征信知识的普及，个人信用报告逐渐成为人们生活中的经济“身份证”，金融机构违规查询个人信用报告事件时常发生，个人信用信息外泄的案件层出不穷，严重侵犯了信息主体的合法权益。本文通过案例剖析，全面分析商业银行违规查询个人信用信息的主要原因，并借鉴国外相关监管经验，然后从基层央行监管视角下提出对策建议，以便更好地保护个人信用信息。

商业银行；违规查询；个人信用报告；防范措施

周猛麟（1978-），湖南澧县人，硕士研究生，中国人民银行湘西州中心支行。（湖南吉首416000）

一、我国征信系统发展现状及问题产生的原因

2013年3月15日实施的《征信业管理条例》（以下简称《条例》），第二十七条规定国家为防范金融风险、促进金融业发展提供相关信息服务，设立金融信用信息基础数据库(以下简称征信系统)，极大地推动了我国征信事业的快速发展。截至2015年末，个人征信系统收录8.8亿自然人数，其中3.8亿人有信贷记录，全年日均查询173万次；企业征信系统收录企业及其他组织2120万户，其中577万户有信贷记录，全年日均查询24万次。尤其是有力促进了动产融资服务，截至2015年末，融资服务平台累计注册机构7.8万家，促成应收账款融资业务2.8万笔，融资金额达14387亿元。然而，由于信用报告内含信息的巨大价值，随着民间借贷、商业交易、互联网金融等方面的迅速发展，导致其市场需求即利益空间巨大，一些征信系统查询网点工作人员，尤其是商业银行基层网点工作人员，违规查询他人个人信用报告，造成了严重的后果。究其原因主要有：

（一）适用于处罚违规查询、买卖个人信用信息法律法规不健全

一是个人信息权益保护方面的立法较为缺乏。目前，我国对个人信息权益保护的立法散见于《刑法修正案（七）》、《民法通则》、《商业银行法》、《侵权责任法》等法律法规；新修订的《消费者权益保护法》也主要适用一般商品和服务消费，对金融消费领域适用性并不强。金融法律多侧重维护金融市场的稳定，即使是《商业银行法》、《证券法》、《保险法》等，整体上注重行政监管和刑事处罚，且处罚金额较少，而对金融消费者保护存在不足。二是《条例》部分条款操作性不够明确。如在第三十八条、四十条中明确“有违法所得的，没收违法所得。给信息主体造成损失的，依法承担民事责任；构成犯罪的，依法追究刑事责任”，但是在实际工作中难以判定是否有违法所得，难以确定损失，导致难以追究民事责任或刑事责任，从而导致违规查询、买卖个人信用信息成本较低。三是缺少相关配套规章制度。《个人信用信息基础数据库管理暂行办法》主要从信用信息的报送整理、查询、异议处理以及安全管理等方面对个人信用信息基础数据库进行了规范，但有些规定已不能适应或满足当前征信工作发展需要，如处罚金额方面的规定与《条例》不一致，从而导致在实际处罚中难以执行。

（二）人民银行分支机构现行异常查询监管处置手段落后

一是人民银行分支机构对异常查询缺乏监管手段。当前，人民银行分支机构无权限及时掌握并处置系统异常查询情况，如发生征信查询异常情况，人民银行分支机构只能在每月初上级机构下达通报后知悉并进行核查；如遇发生特别差额异常查询情况，具有管辖权的人行分支机构会被上级机关逐级通知并进行核查处置，被违规查询期间的大量个人征信报告存在被泄露的风险。二是日常监督管理作用有限。目前基层人民银行征信监督主要以现场检查为主，而每年的现场检查也只是选择辖内部分商业银行进行检查，加之各商业银行征信查询档案都是纸质档案，手工翻阅检查已不能适应当前商业银行成千上万份档案资料进行检查的要求。另一方面，人民银行分支机构征信部门无法对商业银行个人和企业的信用报告查询日志进行分析研究，特别是不能对节假日、下班时间等存在查询风险隐患时间段查询的信用报告进行重点分析研究。

（三）商业银行等查询机构内部管理不严格

从以往发生案件反馈的结果来看，有的商业银行等查询机构对“征信系统”查询账号及密码管理不规范，授权机制形同虚设，增加了查询的随意性和违规风险。同时，商业银行未能严格落实“一岗双责”，业务风险防控意识不强，岗位每日自查、部门每周督查、职能部门每月检查、行领导不定期巡查”的监督检查机制不到位，从而导致部分员工利用职务之便，使用自己账号进行违规查询。

二、征信领域个人信息保护的国际经验

尽管我国征信管理及个人信用信息保护从立法和监管都取得了长足进步，但与西方发达国家相比，仍存在较大差距。因此，借鉴西方发达国家较为完备个人信息保护机制的成功经验，具有重要现实意义。

（一）市场化多头监管的美国模式

美国实行联邦制，银行由国民银行和州银行构成双线银行体系，因此征信领域个人信息监管和保护散见于各监管机构中。根据美国宪法规定,联邦和州都有立法权，但“联邦法律优于州法”，州法只适用于本州。因此，在联邦法律的基础上，各部门制定了相应的法律法规，其信用管理功能是随着市场发展和有关法律的建立而指派或自然分配给各有关部门，较好保护了信用主体个人隐私权。1970年颁布的《公平信用报告法》（Fair credit reportact）是美国征信法规体系建立的基础，在此基础上形成了分散立法的格局。之后美国国会又陆续颁布了《平等信用机会法》(Equal creditopportunityact)、《公平信用结账法》、《电子资金转账法》、《诚实租借法》等一系列的法律法规，其中与个人征信关系最密切的是《公平信用报告法》和《平等信用机会法》。此外，联邦贸易委员会、美联储等部门制定的针对某些条款的实施条例，以及与条例配套的操作指引，规范征信机构、报数机构、查询用户的行为，使得法律要求易于操作和落实。这些法律法规共同构成了美国的征信法规体系，将信用信息的采集、加工、使用的全过程都纳入法律的保护范围之内，对美国征信体系的健康发展意义重大。次贷危机后，美国政府进一步完善了征信体系建设，先后出台《信用卡问责、责任和信息披露法案》（2009年）、《多德-弗兰克华尔街改革和消费者保护法案》（2010年），进一步强化对金融消费者信息保护，并对原先分散于美联储、货币监理局和联邦存款保险公司等机构的消费者权益保护职责进行整合，成立金融消费者保护局(CFPB)，进一步强化监管职责，并下设消费者教育办公室，加强金融消费教育与宣传活动。

（二）政府主导监管的英国模式

英国立法的主要特点是以政府为主导的征信机构和国家层面上的法律法规，金融机构在征信过程中必须严格遵守机关法律法规，具有统一立法。早期的金融监管法律主要包括《公平交易法》、《消费者信贷法》、《信用机构法》、《保险公司法》、《金融服务法》、《银行法》及《互助协会法》等。这些早期相关立法没有明确提及“金融消费者”概念，对金融消费者权益的有关规定比较模糊。1986年《金融服务法》侧重强调行业自律，对消费者的保护性规定较少。随后，英国发生保险公司拒付保险金事件、1991年国际商业信贷银行倒闭和1995年巴林银行倒闭事件、保险和养老金产品销售欺诈案件等，这些金融事件引发了大量纠纷，暴露出来的问题逐渐引起立法者对金融消费者利益保护问题的关注，并开始了一系列的金融改革，改革成果之一是出台《金融服务与市场法》（2000年），明确将保护消费者列为四大监管目标之一，赋予金融服务管理局（FSA)全面的单一监管权和促进公众对金融体系全面了解的职责。

（三）政府为主导和监管并重的日本模式

在监管机构设置上，日本的金融监管由金融厅负责，作为金融监管的最高行政部门，有权监管整个金融市场。同时，日本行业协会的内部制度，全国银行协会（JBA）、贷金业协会（JFSA）和消费者信用协会（JCA）的规章制度，对征信机构的个人信息保护具有自律约束作用。因此，政府主导制定了《个人信息保护法》、《金融行业的个人信息保护指引》等法律法规，对个人信息的采集、个人信息的保护、政府信息的公开等都有较为完备的法律规定。一是制定了《个人信息保护法》、《金融行业的个人信息保护指引》等法律法规，规定姓名、住址等代表个人的信息受法律保护。同时又制订了《贷款业规制法》（2006年修订版）、《分期付款销售法》（2008年修订版）、《行政改革委员会行政信息公开法纲要》等法律法规，为征信机构收集政府部门保有的信用信息提供法律依据和支撑。

发达国家征信领域金融消费者权益保护的主要经验启示：一是征信领域立法逐渐健全。随着经济金融的发展，有关征信行业立法增加，法律修订频率加快。二是个人权益保护进一步强化。关于采集、使用征信信息的立法规定趋于严格，征信机构、信息提供者、信息使用者责任义务增加，公共征信系统与私营征信机构保护金融消费者权益的责任义务标准趋同。三是监管机制进一步完善。行政管理部门职责明晰，监管机制逐渐完善，处罚种类和力度加大，参与各方违法成本加大，立法成效显著。四是金融知识宣传力度进一步加大。监管部门积极主动开展金融知识宣传教育，一方面是向消费者宣传普及金融知识，另一方面是规范金融服务机构及其他社会组织的宣教行为。

三、相关建议

（一）进一步健全征信领域消费者权益保护的法制建设

一是制定专门的个人信息保护法律。根据我国国情，修订完善现有法律，制定如《个人信息保护法》等专门的信息保护法律，加大对个人信息泄露案件的处罚力度，从法律角度强化个人信息保护。二是建议尽快出台《〈征信业管理条例〉实施细则》。针对《条例》中不明确或者模糊的地方，出台《〈征信业管理条例〉实施细则》，对相关问题进行明确，提高其可操作性。三是尽快出台《条例》配套规章制度。规范信息提供者、信息使用者、征信机构的个人征信和企业征信业务，保护信息主体合法权益；建议制定金融信用信息基础数据库的管理制度，规范信贷业务机构向金融信用信息基础数据库报送和查询信息行为。如出台《征信机构管理办法》，再根据征信机构业务运行过程中的问题，制定个人征信业务管理办法和企业征信业务管理办法；出台《金融信用信息基础数据库管理办法》，加强对信息主体的保护。在征信信息安全方面，尽快制定《征信信息安全标准》，确保征信信息安全。

（二）进一步完善基层央行征信查询和监管机制

一是进一步完善征信系统个人查询验证条件。一方面，开通征信系统即时通讯验证功能。包括进行录入登录、更正更新、查询等各项业务发生时，系统将同步向信息主体发送相关信息，并取得授权反馈，信息主体不即时授权则无法查询，确保信息主体完全的知情权，使信息主体清楚了解何人、何时、何事及在何种情形下处理或利用其个人信息，确保整个过程有信息主体的参与。另一方面，进一步完善影像采集信息系统。在大力推广自助查询机的基础上，进一步完善人工查询步骤，在每笔征信查询前提供被查询人授权影像，待审核通过后才能进入信用报告查询界面，以便当征信系统有预警异常查询时，可调阅征信查询影像档案进行核对，使征信非现场监管常态化。二是向人行分支机构征信系统下放查询、监测、处置权限。建议人总行调整分支机构尤其是市州中支及以下分支机构在“征信系统”中的异常情况查询、监测权限，如增加双休日、节假日和下班时间分析预警功能；外地身份证本地大量异常查询预警功能；当日查询数量和日平均查询数对比预警功能，提高分支机构及时处置相关违规查询能力，防范个人信用信息泄露。如当商业银行在一定时间段内查询用户查询数量明显超出平时查询量的5～10倍后，系统将自动“冻结”该用户查询权限，需人行分支机构调查核实后视情况开放查询权限。三是加大对金融机构征信业务现场检查力度。人民银行分支机构作为征信机构的管理部门，应加大对金融机构的检查力度，尤其是新设金融机构以及地方法人金融机构，重点防范其违规查询和违规使用金融信用信息基础数据库，规范其对征信异议、投诉的受理与反馈；督促金融机构严格按照《条例》及各项征信规章制度，切实完善相关业务流程、建立健全征信内控制度，形成征信内控制度报备机制和征信相关业务报告机制。

（三）进一步强化商业银行内控制度建设

一是各商业银行清查历史遗留的冒名贷款隐患。从冒名贷款的典型风险征兆入手，重点检查2008年之前的贷款，且产生了不良信用记录或者还未能还清的客户，切实维护金融消费者权益。二是金融机构要自觉按照《条例》规定开展相关活动。及时梳理现有制度，检查和修改业务文书、业务系统，更加重视征信信息内控机制、授权体系等建设，加强征信用户管理和征信工作人员管理，严禁违规使用信息主体的信用信息。三是金融机构充分披露必要信息。以全面落实《关于加强金融消费者权益保护工作的指导意见》（2015年11月）为契机，金融机构通过通俗易懂的语言，及时、真实、准确、全面地向金融消费者披露可能影响其决策的信息，充分提示风险，不得发布夸大产品收益、掩饰产品风险等欺诈信息，不得做虚假或引人误解的宣传，建立良性信息传导机制。

（四）进一步加大征信领域宣传教育力度

一是普及诚信教育。以建设社会主义核心价值体系、培育和践行社会主义核心价值观为根本，将诚信教育贯穿公民道德建设和精神文明创建全过程。推进公民道德建设工程，加强社会公德、职业道德、家庭美德和个人品德教育，传承中华传统美德，弘扬时代新风，在全社会形成“以诚实守信为荣、以见利忘义为耻”的良好风尚。二是加大征信信息主体权益保护的专题宣传。结合“3·5”学雷锋活动日、“3·15”国际消费者权益保护日、“6·14”信用记录关爱日、“金融知识宣传月”、“12·4”全国法制宣传日等公益活动，积极开展直接面向金融消费者的权益保护宣传教育活动。充分发挥“12363”金融消费权益保护咨询投诉电话作用，引导其通过合法合规手段维护自身权益。三是积极探索建立征信宣传教育长效机制。一方面，积极探索将征信知识教育纳入国民教育体系，充分发挥学生是中国未来社会的主体与栋梁作用，把诚信意识和征信知识渗透到社会的每个阶层和家庭；另一方面，全面推行金融宣传教育与金融综合服务站的有机结合，进一步扩大县域以及偏远乡村金融宣传教育的力度。

[1]2015年末我国个人征信系统收录8.8亿自然人数.和讯网.http://news.hexun.com/2016-05-13/ 183837626.html.

[2]中国人民银行、银监会、证监会、保监会联合调研组.英国金融消费权益保护机构设置[J].中国金融，2013，(8):80～81.

[3]王秋香.日本征信市场的特点及启示[J].北京金融评论，2015，(2)：252～259.

F832.29

A

1006-169X（2017）01-0093-04