大数据征信法律制度与监管研究——以我国首张征信牌照的发放为背景

(四川省社会科学院 四川 成都 610072)

一、大数据征信的发展背景

(一)大数据征信

大数据征信依托金融科技，并且在数据共享和征信领域使用数据分析和模型为互联网金融发展提供重要的基础设施支持。互联网金融发展最为重要的内容就是风险控制，而征信作为一种信息的整合则是风险控制的关键之处。征信活动的开展依赖于大量信息的收集、整理和分析。而大数据最核心的价值就是对于数据的精确收集、整理、优化、调整。通过大数据技术，可以更加全面地分析用户数据。大数据的诞生，有助于在金融领域对于风险的事前预判。但这并不意味着是生搬硬套的对大数据以及金融产业进行复制、粘贴，通过数据化的整理和分析出一个具有导向性的“数据集”。近年来，互联网金融如雨后春笋般涌现，成为中国经济发展的新生力量。互联网金融为大数据征信的发展提供了巨大的应用前景。

(二)首张征信牌照的发放

早在2016年，国际银行带头人某银行就推出全球API开发中心。一些主要国际银行也采取相应措施开放API并积极接受金融数据共享。在金融数据共享浪潮中，银行利用其基本业务构建大型平台。

2018年中国人行颁发我国关于个人征信业务的第一张牌照予以百行征信公司，作为我国第一张征信牌照的下发意味着征信的网络大数据时代即将来临。但截至2017年底，征信管理局仍明确表示目前没有一家达到要求。中国互联网金融协会带动八家市场机构共同出资成立百行征信公司。信联的成立是为了记录民间私人金融活动，填补央行征信的空白。对于大数据征信，其参照数据主要来自于政府、金融机构和私营企业。在百行征信得到个人征信牌照之前，其余8家征信机构虽获得试点资格，但最后都未获得征信牌照，主要原因就在于没有一个机构达到中央银行要求的信息共享。

(三)与传统征信之间的调和

大数据时代下的征信将大量、全面和广泛的互联网数据处理成征信数据。传统征信一般表现出信息不对称、反欺诈能力和精确风险定价方面的不足，大数据征信的出现可以弥补在这方面的缺陷。大数据征信创新主要表现在四个方面：覆盖面广，信息维度多样化，应用场景丰富，信用评估综合，导致征信成本降低，征信效率提高。但是大数据征信也面临着诸多困难，例如随着征信业务涉及的数据采集范围不断扩大、数据处理的自动化和暗箱化、数据储存规模的飞速扩张，强大的技术驱动导致制度供给和业务发展之间的矛盾愈发尖锐，在数据类别和内涵的实用性，征信机构的独立性，隐私保护和多方监管的有效性。随着大数据征信的不断发展，这也将成为各国在处理相关问题的共性。

二、大数据征信存在的问题

(一)征信数据采集笼统不规范

在获取信用数据时，并未根据需采集的具体范围进行精准获取，而是通过各种渠道尽可能挖掘信用信息，这就导致了数据财局范围的偏差，使得市场认同的个人征信共享的信息类别不再局限于债务信息的范畴。用户的个人信息涉及的各类生活服务场景数据，被一些非合法化的征信机构广泛用于信用评估系统中。国际上通过分级管理，对征信机构的信息质量管理要求较为严格，并设置相应的处罚措施。由于目前信息采集权的保护体现为监管指导性和事后修正性，缺乏及时的干预和矫正。市面上的大多数机构通过匿名或者对数据采取碎片化的处理方式，以此规避应当被处以监管的处罚。虽在方式处理上一定程序了减弱、消除了信息与信息主体之间的关系，但是在其应用数据时还是会准确的定位到信息主体本身。

(二)需完善对个人征信主体的保护

1.信息安全事件频发

从“某公司遭遇网络黑客攻击事件”和某著名社交网络公司用户信息泄露事件可以看出，当发生信息安全事件时，一般都表现为信息安全系统的漏洞以及合作机构的违规授权。但这也体现了当前在制度顶层设计中关于个人信息保护还有待完善。

2.缺乏同意权退出机制

一般用户在征信业务中，授予机构查询个人信息时，同意权一旦行使就不可撤销或难以撤销，目前还缺乏对相应权利的保障，并且法律法规对于授权设置了诸多的前置条件，并不利于对个人征信主体的保护。

3.知情权益难以实现

互联网环境下，信息主体在授权查询相关信息时，授权条款以电子协议的方式展示给用户，但对于授权条款的具体描述、授权用途约定等方面较为模糊，与此相较，信息主体相当处以一个弱势的地位。

4.信用重建举步维艰

当今大数据时代缺乏“被遗忘权”，信息重建依赖于征信搜集的信息。诸如市场衍生的以大数据、人工智能和区块链技术应用为基础开展“类征信业务”的机构，监管尚未完全建立，导致信用记录若需重建，只能局限于征信机构内部，而外部的不实或者不良信息无法更正，用户个人权益无法保障。

(三)独立第三方原则模糊化

国外征信业一般要遵循“信息采集者与信息产生没有任何关系”的独立第三方原则。大数据征信机构多由互联网企业发起。这些互联网企业沉淀了大量的用户数据，从事征信业务具有先天的优势，但他们既生产数据，又评估数据，还使用数据。其本身就不符合“独立第三方”的资格，会影响征信产品的公正性和独立性。以芝麻信用为例，芝麻分可用在租车、旅游、办签证等场景，而其数据主要源自阿里系统，这就意味着个人为了提高芝麻分，必须在阿里生态圈做更多事。中国人行作为国家权力机关，具有中央银行的公信力，人行征信处于完全独立的地位，而且不以盈利为目的。

三、目前的大数据征信监管体系

(一)我国监管框架不完整

1.监管模式出现少部分的监管框架空白

就目前来看，个人用户信息征信市场具有监管资质的仅有征信中心和百行征信两个合法经营主体。针对某些尚未进行实质性参与的征信机构，仍缺乏监管力度。监管机关应当结合当前金融科技的发展，进行合理统筹，有的放矢，引导其在合规监管的情况下开展征信业务。

2.监管模式体现为监管指导和事后修正，无法及时干预和矫正

政府监管必须发挥主导作用，平衡各方利益，制定数据共享标准，共享规范。特别是在保障用户的利益方面，必须做好责任分工的权利划分。

(二)国际上大数据征信监管的具体模式

国际上征信监管成熟的国家，总体上在大数据征信更加注重推进金融数据贡共享，将征信监管对象的范围根据自身特点进行适当扩展，这已成为一种行业监管发展趋势。

1.反自动化决策(画像)权的立法回应。美国并未直接进行法律制度上的规制，而更多地表现为监管当局对征信机构的业务指导，督促相关机构在使用自动化决策时充分考虑各种因素，提高风险防范的意识。

2.更加强化同意权与知情权。欧盟对数据授权重新进行了定义，即数据主体授权必须是其被告知情况下自愿并特定给出的明确表示，且用户大量的知情内容成为了同意权行使的条件。

3.明确信息泄露通知义务。我国《网络安全法》的原则性规定并未对通知的程序和流程有详尽的规定。欧盟、美国和澳大利亚在信息泄露的通知制度规定上较为详尽，但是在一些具体的规定上存在差异。欧盟和澳大利亚是侧重于存在危害性，通知要求上亦有不同。

四、加速大数据征信立法进程

(一)以市场化为原则

从追诉市场主导出发，对个人征信狭义及广义的定义进行扩充，并且把握监管的核心内容与主要方式，在监管对象、适用范围上进行适当扩展；立足目前市场发展的局限性，强化国家对业务规则的规制，增大强制力干预，建立共享数据的相关法律体系，更好保护征信市场主体的权益关系。

(二)更需完善和补充个人征信业务的规则

加快《征信业务管理办法》及相关法规的拟定，明确知情权、同意权、信用记录重建权和救济权。例如在信息披露义务方面，大数据征信机构应保证数据处理程序的透明度，披露业务流程和信用评估模型，它为信息主体提供了便利，可以查看信息主体收集的信心，有效保护信息主体的合法权益。

(三)适应互联网金融的新趋势，加大对大数据征信的监管

根据大数据征信发展的路径和模式，探寻大数据征信的监管措施：一是机构监管与行为监管相结合。二是对监管进行层级分类。

(四)强化信息披露力度，保障信息主体的合法权益

加强大数据征信的信息披露，是保障信息主体的知情权与异议权的重要手段。美国联邦贸易委员会曾呼吁，应赋予消费者对自身数据更多的知情权和控制权，切实保护消费者权益。大数据征信机构应对客户进行充分的信息披露，及时向消费者披露采集的个人信息，解释算法模型的运作，分析和预测数据；事先告知客户数据如何采集和使用，以及数据采集使用的目的；告知第三方查询和使用数据必须事先获得用户许可，用户有权禁止自己的数据被交换分享或者被纳入任何大数据集。