一、立法环境的变化

相较征求意见稿，《征信业务管理办法》正式稿的监管力度大大加强。毕竟从征求意见结束至正式发布的约8个月时间内，立法环境发生了很大的改变。

1.监管约谈13家头部网络平台

2021年4月29日，人行、银保监会、证监会、外汇局等金融管理部门联合对13家从事金融业务的网络平台（腾讯、度小满金融、京东金融、字节跳动、美团金融、滴滴金融、陆金所、天星数科、360数科、新浪金融、苏宁金融、国美金融、携程金融）约谈并提出了七大整改要求。其中与征信业务密切相关的第三和第七条，释放出在征信领域将提升监管强度的政策信号。

2.网络平台个人信息与金融机构“断直连”的通知

2021年7月9日多家媒体披露，央行征信管理局向4月被约谈的平台下发“断直连”通知，要求平台机构在与金融机构开展引流、助贷、联合贷等业务合作中，不得将个人主动提交的信息、平台内产生的信息或从外部获取的信息以申请信息、身份信息、基础信息、个人画像评分信息等名义直接向金融机构提供，须实现个人信息与金融机构的全面“断直连”。

该通知导致该类平台与银行合作中再加一道征信“防线”，贷款服务业务流程将按“平台-征信机构-金融机构”进行设计，征信业务的经营逻辑面临颠覆。

3.《个人信息保护法》颁布

2021年8月20日《个人信息保护法》颁布。这部法律具有划时代的意义，标志着我国网络数据法律体系继《网络安全法》、《数据安全法》之后又一项重要的基础法规被完善。

《个人信息保护法》为《征信业务管理办法》提供了更为直接的上位法渊源，其对于征信业务的影响是全方位的。整体来看，个保法是非行业属性法，是基础法律，各行业只要涉及处理个人信息都要遵守，因此从法条本身看并不直接针对征信行业。但若具体到行业运作各个业务细节，就会发现个保法对业务模式、运营方式等都是颠覆性的——只要过程涉及个人信息处理都会被个保法限制。而且由于法条没有明文针对征信业务，没有明确的界限可以去规避。

二、重要内容解读

《征信业务管理办法》有以下主要内容：

1. 明确信用信息的定义，大幅度扩展征信的范畴

与征求意见稿相比，正式稿对于“信用信息”的定义表述有较大调整。

原来征求意见稿的表达是：

“为金融经济活动提供服务，用于判断个人和企业信用状况的各类信息。包括但不限于：个人和企业的身份、地址、交通、通信、债务、财产、支付、消费、生产经营、履行法定义务等信息，以及基于前述信息对个人和企业信用状况形成的分析、评价类信息。”

是列举法，而到了正式稿，则变为：

“依法采集，为金融等活动提供服务，用于识别判断企业和个人信用状况的基本信息、借贷信息、其他相关信息，以及基于前述信息形成的分析评价信息。”

是描述+列举法，其重要意义在于提炼出了信用信息的认定标准，即“依法采集”“为金融等活动提供服务”和“用于识别判断企业和个人信用状况”三大标准。而其中“其他相关信息”的表述则总结了近年来金融领域信用信息的重要变化——金融领域的信用信息不仅包括借贷信息，还包括替代数据。按照世行的定义，借贷信息以外的数据被统称为替代数据，采集和利用替代数据刻画企业和个人的信用状况，正成为近年的新趋势。

此外《征信业务管理办法》还大幅扩展了征信的范畴，以“信用信息服务”“信用服务”“信用评分”“信用评级”“信用修复”等名义对外实质提供征信服务的，均适用本办法，意味着大量自身不获取个人信息但是通过第三方的数据进行建立风控模型并向银行提供服务，也要纳入征信范畴，需要持牌经营。但是此类机构一般规模太小，不能自己生产信用信息，央行也不可能给其发放个人征信牌照。

2. 明确征信管理的边界

新规定义的征信管理范畴不涉及非商业合作的信息服务。比如，国家机关以及法律法规授权的具有管理公共事务职能的组织依职责直接向金融机构提供个人或企业信息的，以及汽车经销商、房产营销中介等市场机构依法代金融机构收集客户信息但并不对客户信息分析处理营利的，不适用本办法。

互联网平台开展助贷等相关业务符合征信业务定义的，适用本办法。关键还是看助贷机构采集的个人信息范畴。总体而言如果自身不存储个人信用信息的助贷机构，只是做引流不属于征信；或者仅仅向金融机构提供风控模型的付出服务，自身不对个人信用信息进行加工处理，只是协助金融机构进行处理也不属于征信。

线下引流的助贷机构类似平安普惠，如果自身不存储个人信用信息也可以豁免征信。但是普惠担保因提供担保服务，也需同时保存个人信用信息，如果不对这些信息进行分析处理则可以豁免征信的认定。所以未来平安普惠这种模式，核心是判断其赚得的是引流费用，还是信用分析的费用。只赚引流费不属于征信，若赚得的是信用分析的费用则属于征信。

而对于助贷机构比如金融360、乐信而言，其目前的主要业务（如消费贷、分期商城等）资金来源主要对接金融机构，其主要是进行信息收集存储加工处理，在此基础上建立风控模型， 提供信用信息、用户画像、评分、评级、信用修复等服务，则需要遵守《征信业务管理办法》的规定。

对于联合贷款机构，从正式稿的表述看，似乎没有明确联合贷款机构可以豁免征信新规。但从之前银保监会发布的互联网贷款管理办法补充文件看，联合贷主要是银保监会来约束，已经要求30%出资比例，要求资金方单一集中度25%限制，所以笔者认为联合贷可能会豁免征信的要求，但在个人信息保护层面肯定同样适用，需要个人提前授权。

类似蚂蚁集团的芝麻信用，未来和下属子公司蚂蚁征信会错位展业。芝麻信用服务于商业场景（免押金、签证等)；蚂蚁征信则服务于金融场景。二者长远看可能会有重叠的应用场景，短期界限分明。未来淘宝天猫收集到的个人信息要和蚂蚁征信建立清晰的隔离墙，只有征信范围内的数据才能给到征信机构（个人授权前提下），然后所有金融信贷服务都只能用征信数据及其加工品（客户画像、评分），不能直接从原始数据进行加工建立模型。

3.再次明确征信行业的牌照分类

《征信业务管理办法》对征信行业的牌照分类是继承了《征信业管理条例》和《征信机构管理办法》的相关规定，同时再次进行了明确，即：

• 从事个人征信业务的，应当依法取得中国人民银行个人征信机构许可；

• 从事企业征信业务的，应当依法办理企业征信机构备案；

• 从事信用评级业务的，应当依法办理信用评级机构备案。

对从事个人征信业务提出了更高的牌照要求，突出对个人信息的保护，而《征信业管理条例》和《征信机构管理办法》也对申请个人征信牌照规定了相当高的门槛。实际上能满足以上要求的也只能是少数互联网巨头。

目前，央行已批设两家市场化个人征信机构、备案134家企业征信机构和59家信用评级机构，初步形成人民银行征信中心与市场化征信机构优势互补的发展格局。

4. 征信机构对外提供征信产品和服务应当遵循公平性原则

《征信业务管理办法》规定，征信机构不得设置不合理的商业条件限制不同的信息使用者使用，不得利用优势地位提供歧视性或者排他性的产品和服务。这也意味着，尽管目前的征信机构类似蚂蚁征信、一般垄断其获取的数据，今后则需要强制实施开放生态。

该规定可上溯到个保法的个人信息可携带权规定。根据个保法第四十五条，个人可以要求个人信息处理者将其个人信息转移给其指定的其他个人信息处理者，这将打破互联网巨头的数据垄断，互联网巨头不能将个人信息据为己有，个人信息的使用权处理权属于个人所有。

这一条款的重要意义在于赋予个人对自己信息的处分权利，虽然还没上升到财产权利的程度，还不能交易流通、不能权益化，但已是一大进步。个人信息处理者，特别是互联网巨头对个人信息没有所有权和处分权，更无权进行交易获利，这点其实从近期强制腾讯、阿里、头条等机构相互开放链接入口不得屏蔽也能看出来。

落实到征信领域，央行也秉承同样思路，征信机构也不能垄断，尤其是未来的蚂蚁征信，需要向全市场提供公平公允的服务，比如微众银行接入蚂蚁征信，则蚂蚁征信也要提供和蚂蚁消费金融公司或者网商银行一样的服务。

5. 征信机构的个人信用信息采集、保存、加工、使用

《征信业务管理办法》对于个人信用信息采集要求严格防控个人信用信息的过度采集，主要规定有两项：一是最小、必要的原则；二是本人同意，并且明确告知信息主体采集信用信息的目的。要求严格防控个人信用信息的过度采集。

关于本人同意的规定如果结合个保法来看，需要注意个人作为信息所有者，具有“同意”及“撤回其同意”（即“授权”与“撤销授权”）的权利。通过“赋权”、“确权”，避免以往实践中普遍出现的“一次授权、终身使用”现象，要求个人信息处理者需提供便捷的方式使信息所有人能够有效的撤回其“同意”，且其不得因此拒绝提供产品或服务。

征信机构需改造其客户端的界面展示，设置明显、有效、操作友好的操作路径，供客户随时撤销其授权。此外，授权程序将使信息采集工作变得非常繁琐，严重影响客户体验，如果客户真的在其中环节拒绝采集行为，根据个保法客户拒绝提供个人信息，服务机构不得拒绝提供服务，可是信息收集和前端认证又是必不可少的，所以征信机构还需要准备多套方案来防止客户真的选择拒绝，以保证完成验证和信息采集的工作。

以上要求不仅是对征信机构本身的约束，也延伸到征信机构合作的信息提供者，征信机构对信息提供者的信息来源、信息质量、信息安全、信息主体授权等进行必要的审查，应当将与其合作的信息提供者向人民银行报告。根据个保法，征信机构及其合作方需要明确约定在业务合作中的权利义务分担，个人可以向任何一方主张其应有的权利，共同处理个人信息的主体因此而承担连带责任，若其行为对个人产生了损害，则个人有权对任意一方、多方提出对其全部损失进行赔偿的要求。

对于个人信用信息保存应保证准确性，不得篡改原始信息，及时纠正错误。

对于个人信用信息的使用应对信息使用者的身份、业务资质、使用目的等进行必要的审查；保障查询个人信用信息时取得信息主体的同意，并且按照约定用途使用个人信用信息；应当基于合法、正当的目的使用，不得滥用信用信息。

提供画像、评分、评级等信用评价类产品和服务的，应当建立评价标准，不得将与信息主体信用无关的要素作为评价标准。

此外有两个事项需要注意：

• 根据《征信业管理条例》，部分信息属于限制采集信息，在充分告知信息主体采集使用可能产生的不利后果并取得充分授权情况下，才可以采集，如宗教信仰、基因、指纹、血型、疾病、个人的收入、存款、有价证券、商业保险、不动产的信息、纳税数额信息等个人隐私信息以及法律、法规规定禁止采集的信息。

• 根据《征信业务管理办法》，征信机构采集的个人不良信息的保存期限，自不良行为或者事件终止之日起为5年。个人不良信息保存期限届满，征信机构应当将个人不良信息在对外服务和应用中删除；作为样本数据的，应当进行匿名化处理。该条可上溯到个保法第四十七条个人信息保存的时效性规定，是该规定在征信业务中的具体落实，根据个保法规定在相应条件届满后，个人信息处理者应当主动，或者在个人要求下被动删除相应信息，鉴于个人信息资料对系统模型有重要的基础作用，确有保留这些数据的需求 ，而法律规定个人信息并不包括“匿名化处理后的信息”，因此征信机构在信息获取后如果能够做好匿名化处理，那么这种处理后的信息将具有不可还原性、不可识别性，无法再定位到个人特征，便可妥善储存，继续使用在其模型策略的优化更迭过程中。

  结合实践，类似蚂蚁征信和朴道征信其个人信用信息获取肯定是从母公司为主，这就需要母公司依法获取个人的授权。蚂蚁集团需要从支付宝用户和淘宝的用户那里重新弹出窗口让个人授权。

但是因为征信需要遵从最小、必要原则，所以个人征信机构从母公司获取征信数据范围可能会阉割，没有过往助贷机构向金融机构推送的个人信息那么丰富。比如地址、交通、采购商品信息需要被隐藏，支付和消费账单进行汇总应该可以作为征信数据；尤其是涉及到行程足迹这样的敏感信息肯定不能授权用作征信。

“个人征信机构应当规范与信息提供者的合作协议内容。信息提供者应当就个人信用信息处理事项接受个人征信机构的风险评估和中国人民银行的情况核实”；原文这个条款就是指蚂蚁集团把数据给到蚂蚁征信的时候，范围要控制好，且需要向央行报备并接受风险评估核实。

三、对助贷行业的影响

随着《个人信息保护法》、《征信业务管理办法》颁布，以及“断直连”等措施的实施，助贷行业未来将发生颠覆性的变革。

1. 未来助贷流程切割

未来大部分助贷将演变为征信+导流+贷后管理两个环节。也即整个助贷流程可能会被切割。

贷前本质上是批量个人信息查询服务不再是个人信用信息推送服务；当然这个批量查询收取查询费，金融机构可一次性做百万级的查询和白名单授信。

然后更为重要的是导流服务，比如金融机构在蚂蚁征信查询授信结束之后，最重要的还是在淘宝商城购物时候给你做导流，购物的时候提示你是否需要用这家机构的分期？而且这个提示应该是多家机构供消费者选择（当然最终只有一家机构愿意做授信除外）。

金融机构需要自主风控，这就意味着金融机构不能仅依据一个蚂蚁征信的信用分做授信。为了提高客户体验，笔者认为提前预授信是非常必要的。

最后是可能引入一家第三方担保机构提供担保，当然这个担保根据此前银保监会处罚（平安普惠和兴业银行上海分行）来看仍然需要提供多个担保机构供消费者选择，不能捆绑一家。担保机构也许已接入征信，或者是母公司的关联方。

此外个保法等法律法规的颁布也将使得助贷业务未来面临多头监管。助贷业务目前主要由央行、银保监会监管。但未来助贷业务在个人信息处理这个方向，会存在工信、网信、公安、市场监督等部门参与监管。若涉及到对助贷机构侵犯公民个人信息权利的公益诉讼，那么检察院、法院等司法部门也将介入。

2. 未来大量助贷机构的转型路径

以上法律法规的颁布及“断直连”的实施，使助贷业务难度大大增加。小的助贷机构可能难以为继，助贷行业未来可能出现巨头效应，而这些巨头可能实际上往往又会集助贷、征信，甚至是金融机构于一体，提供一条龙服务来减少成本，提高效率。例如蚂蚁金服—芝麻信用—网商银行，这样一来助贷行业作为一个独立的行业未来很可能会不断萎缩，一方面在巨头效应的作用下，中小助贷机构被淘汰，另一方面被征信机构挤压生存空间，最后业务成为征信机构的附庸。

笔者推测了中小助贷机构的几个转型思路：

（1）只提供风控服务和贷后管理服务，不接触客户信用信息；适合于此前本来也没有足够场景自己获取客户信息的机构；

（2）通过子公司征信机构提供征信服务，被央行招安，比如蚂蚁集团；

（3）纯粹做导流服务，个人信用信息授权的情况下直接给到金融机构；自身不做个人信用信息的分析加工，收取导流服务费。适用于自身流量平台但是又没有征信牌照的机构。

（4）广大中小助贷机构而言，可能野路子，不展开。

总之无法达到法规要求的“助贷”平台可以寻求与持牌征信机构合作，成为信息提供者等非持牌的服务机构，各种合作形式，实际上是对个人征信市场严格监管之下的一种补充，有助于形成具有中国特色的多层次个人征信细分市场。监管也为这类转型留出了足够的“过渡期”，根据《征信业务管理办法》规定，自2022年1月1日新规生效起计算，相关企业将有一年半的过渡期，这将是前述类征信企业转型的“黄金期”。

3. 花呗和借呗接入央行征信和未来可能成立的蚂蚁征信有什么区别？

花呗和借呗接入央行征信本质上是蚂蚁消费金融公司接入央行征信，这是应有之义。央行征信属于征信金融基础设施，实际是消费者信贷信息上传为主（贷后上传），事前查询为辅。央行征信颗粒度不会细到消费者行为数据，应该覆盖范围局限于金融信贷信息。

蚂蚁征信则主要服务于消费信贷的事前批量查询，尤其基于消费者行为数据做打分模型和客户画像。所以小额消费者信贷的事前查询主要还是依托蚂蚁征信。