为什么"买数据"是租赁风控最贵的一条路

本文是「征信风控服务」系列第 3 篇。

先看一个数字。按最高人民法院、最高人民检察院的司法解释（法释〔2017〕10 号），非法获取、出售或者提供征信信息五十条以上，即构成侵犯公民个人信息罪的"情节严重"。

五十条，对一家日审几百单的租赁公司来说，是一个上午的量。

市场上兜售"征信同款数据"的渠道从来没有绝迹过。这篇文章把红线的位置画清楚：哪些做法碰不得、采购方要担什么责任、以及怎么用四个问题识别一个数据服务是否合规。

一、灰色数据是怎么流通的，为什么现在风险更高

2022 年之前，市场上确实存在大量"擦边"数据产品：有的来自违规爬取，有的来自持牌机构内部人员违规导出，有的把征信报告字段拆散后包装成"多头借贷分"“信贷风险分"转售。

两件事改变了局面：

• 2021 年 11 月，《个人信息保护法》施行，处理个人信息必须有合法性基础，“来源不明"本身就是问题；
• 2022 年 1 月，《征信业务管理办法》（中国人民银行令〔2021〕第 4 号）施行，从事个人征信业务必须持牌，金融机构不得与未取得合法征信业务资质的市场机构开展商业合作获取征信服务。

在此前后，多家大数据风控公司因数据来源问题被立案调查，行业经历了一轮清退。留下来的合规市场，参与者收敛为持牌体系：人行征信中心、持牌个人征信机构、备案的企业征信机构。这张持牌版图的完整介绍，见本系列第 7 篇 。

二、红线在三个层面同时存在

要特别说明的是第三层的适用对象：这条罪名处罚的从来包括买方。“非法获取"与"出售、提供"并列入罪，采购来源不明的征信数据，本身就是刑事风险行为，与"我只是用来做风控"的用途无关。

三、四个问题，识别一个数据服务是否合规

采购任何涉及个人信用信息的服务之前，把这四个问题问完：

1. 资质：对方是人行征信中心的接入机构、持牌个人征信机构，还是备案企业征信机构？都不是，就不要谈了；
2. 授权：每一次查询，能不能对应到信息主体本人签署的、用途明确的授权？授权是逐笔的还是"一揽子"的？
3. 用途：合同里写明的数据用途，和你的实际用法一致吗？超出授权用途使用，合规基础就没了；
4. 留痕：查询记录、授权档案能不能完整调出来？监管检查时，拿不出留痕等于没做。

四个问题都过，才是可以合作的对象。顺带说一句：合规服务的形态往往不是"给你数据”，而是在持牌机构体系内完成评估、向你输出风险结论。数据不出持牌机构，恰恰说明这个服务是合规的。

可信金科服务持牌金融机构的征信系统八年，我们把同样的合规标准用于为租赁类公司设计风控路径。

合规声明：所有征信信息的获取与使用，严格以信息主体明确授权为前提，限于约定的风控用途，全程留痕可审计。我们不从事、不协助任何形式的"征信修复”，不参与面向个人的贷款撮合，不以任何形式买卖或转售征信数据。

如需对照这四个问题评估你正在使用的数据服务，欢迎通过下方联系方式与我们沟通。