触目惊心！ 倒卖个人信息黑市流通用户资料 6 亿条

近日，有媒体报道称，仅湖南一银行支行行长倒卖账号，就使得257万条公民信息遭泄露。

征信报告、账户明细、余额等，这本是个人的隐私。但是，湖南一银行支行行长，却出售自己的查询账号给中间商，再由中间商将账号卖给有银行关系的“出单渠道”团伙，再由另外一家银行的员工进入内网系统，大肆窃取个人信息。

报道称，绵阳警方最近破获公安部挂牌督办的“5?26侵犯公民个人信息案”，抓获包括银行管理层在内的犯罪团伙骨干分子15人、查获公民银行个人信息257万条、涉案资金230万元。

可以说，上述案件只是曝光了个人隐私信息被大量泄露的冰山一角。

据赛门铁克 2016《年度互联网安全威胁报告》显示，2015 年其统计的国家中个人信息记录失窃总量超过5 亿条。并且，互联网数据黑市中转职于网络诈骗的黑色产业大军高达 160万人，在黑市中流通的用户资料则高达 6 亿条。

与此同时，尽管中国征信市场上参与者众多，但行业水平却良莠不齐。一批无牌照、无约束甚至非法的机构和个人，正在倒买倒卖民众信息以牟取暴利，对正规征信机构造成了“劣币驱逐良币”的恶性后果。

此外，由于首批个人征信牌照迟迟未能下发，逐渐引发了市场的各种猜测和恶性竞争，加之我国征信业法律法规不健全，整个行业尤其持牌机构发展面临较大制约。

“劣币驱逐良币”

据工商注册信息库显示，目前市场上与“征信服务”相关的公司有 2000 家左右，其中完成备案的企业征信机构仅约 100 家左右，获得人民银行批准筹建的个人征信机构仅 8 家，即目前有资质的征信机构占整个征信市场的比例还不到5%。

以互联网金融征信为例。最新发布的中国社会信用体系发展报告（2017）表明，互联网金融领域的信用体系建设仍处起步阶段，各市场主体缺乏统一数据标准，信用数据采集和使用尚无明确细化的法律规定，信息采集可能超出限制范围，个人信息存在滥用风险。

此前，《征信业管理条例》规定，“禁止征信机构采集个人的宗教信仰、基因、血型和病史等个人信息 ；在未明确告知不良后果并取得书面同意前，不得采集个人的收入、存款、有价证券、不动产等信息”。

但由于互联网平台上存在大量个人隐私信息，且与大数据机构存在数据共享，实际上很难避免对禁止或限制类信息的采集。

另外，网络信息快速发展不断凸显个人信息的商业价值，也正因为此，不少机构习惯于通过网络平台从房产、金融、保险等渠道获取个人信息，亦有机构本身从事客户信息出售、转售的行为，未经授权的数据买卖严重侵害了信息主体的合法权益。

前海征信总经理邱寒对此表示，征信的法规体系还有待健全，美国也是用了几十年的时间才完善了整体的法规体系。但在我们的工作当中经常会有人提出，信息共享了以后怎么样保护大家的个人信息隐私，什么样的信息可以采集，什么样的信息可以使用，这一块的法规还不是特别明显，需要一段时间才能继续健全和完善它。

“举个简单的例子，在中国可能去使用这个人是否结婚、这个人是否有孩子、这个人受过什么样的教育水平去作为你的判断标准，他们并不觉得有什么不妥。可是在美国，这样的信息是被严令禁止公布的，如果你把整个种族、年龄列入你的评分卡，你立刻会被告上法庭，因为这可能影响一定的社会公平，他会认为你存在歧视。” 邱寒称。

关键是，我国并没有颁布单独的《个人信息保护法》，这将不利于对信息主体隐私权的司法保护，以及对权益受损害主体的补偿。

截至目前，我国相关法律法规并未对于征信机构在运营中收集、掌握的大量个人信用信息如何运用进行必要的规范；对于侵犯个人信息权益问题承担怎样的法律责任等问题，也没有作出严格且详实的规定。

传统征信与互联网征信的区别

来源：中国社会信用体系发展报告（2017）

互联网征信数据标准缺失

征信机构的核心竞争力在于征信数据的采集和使用，但征信机构起步阶段总体投资规模较小、协调力量薄弱，信用数据库难以归集到必要的信用信息数据。

互联网征信行业的信用信息采集缺乏明确的数据标准，特别是行业之间接口交换的相关标准、信用信息的使用规范等，存在一定的行业壁垒，无法实现各类数据平台与征信系统的互联互通、信息共享，影响了征信行业对于信用信息的征集和使用，在一定程度上阻碍了我国征信行业的发展。

随着互联网金融机构不断增多，互联网征信行业的发展也越来越快。但是，很多互联网征信企业的数据来源以本行业内数据为主，数据采集维度不够完整，尤其缺少金融机构的信贷数据作为支撑。

目前，大数据征信公司尚未接入人民银行征信系统，导致评分产品中缺少对银行信贷信息的衡量。

同时，与发达国家相比，我国征信行业信用信息采集的技术基础还不牢固，没有自己独特的数据分析技术，专业人才也比较少。

我国很多征信企业为了减少成本，复制其他企业的数据分析结果 ；不少企业缺乏对信用信息场景运用的分析以及驾驭信用评估技术的专业能力；这也是制约我国征信行业发展的一个瓶颈。

在互联网征信的条件下，虚拟化的信息搜索和整合以及数据库的生成是基本特点，而现场检查这一具体监管手段对此似乎缺乏着力点，非现场监管手段又缺乏时效性和连续性，难以达到监管机构预期效果。

来源：中国社会信用体系发展报告（2017）

信用信息交换和共享机制不完善

在金融征信领域，由金融机构向人民银行征信系统报送数据，信息共享较为充分。除银行信贷数据外，征信系统还采集了包括社保、公积金、民事裁决与执行、公共事业和行政奖励与处罚等方面的信息，而且这些非银行信贷数据的负面信息已经纳入人民银行信用报告中。

但这部分非银行信息的来源机构向征信系统提供信息的意识和积极性不高，数据更新不及时，共享机制不顺畅。

在政务征信领域，我国大量信用信息分散和封闭于各职能部门，缺乏数据归集的统一协调机制，存在信息的条块分割和部门垄断现象，部分地区存在信息更新滞后、企业参与积极性不高、部门联合力度不大等问题。

在技术标准方面，信用信息的国家标准尚待建立健全，各部门、行业和地方政府参照各自标准建设信用信息系统，系统间缺乏统筹协调 ；部分地区缺乏信息公开、共享和应用的具体制度和规范，给信息的跨行业、跨区域的交流和共享造成较大障碍。

在商业征信领域，征信机构的征信系统尚未实现与有关部门或领域的信用信息交换与共享，制约了民营征信机构发展。

此外，数据格式与质量参差不齐，也加大了民营征信企业建立完善数据库的难度。除了人民银行征信系统已具有较为完善的数据网络，传统的民营征信公司在企业征信与个人征信领域都受制于地域或行业限制，未能积累足够的信用数据。

而且，从信息主体的有效覆盖范围看，人民银行的征信数据覆盖面存在不足。截至 2016 年 9 月初，人民银行征信系统收录的自然人数量已经超过 9 亿，但拥有信贷记录的仅有 4.1 亿人，不足全国总人口数的三分之一 ；企业数量1828.0 万家，只有 420.3 万户有信贷业务记录，而这些企业中大部分是大型国有企业，并未覆盖广泛的中小型民营企业。

征信法律体系有待健全

在发达国家，征信法律体系一般由十几部甚至几十部法律组成。以美国为例，美国与征信相关的法律大约有 17 部之多，都以不同的方式规范管理征信活动，而我国目前还没有形成统一、专门的征信立法体系。

《征信业管理条例》是国务院颁布实施的我国唯一一部征信专业法规，对我国征信行业发展有一定支撑作用，但其法律效力比全国人大批准公布的法律效力要低。

同时其配套制度还有待完善，对征信机构和征信业务缺乏有效的管理手段和措施。

其次，我国尚未出台专门的信息保护法，征信业向更广泛领域发展缺少高层次法律支撑。在信息主体权益保护方面，仅有一些条文散见于《宪法》和《民法通则》等个别法律。

尤其是随着互联网金融的发展，信息来源泛化，征信机构在采集、使用、提供和披露信息主体信息时无法可依，征信活动的开展缺乏直接的法律依据，在信息采集和使用面临较大政策风险 。近年来，国内个别征信机构就曾因为涉嫌非法使用个人信息而受到管理部门严厉处罚。

此外，在互联网金融背景下，征信业务与互联网、金融和电子商务等行业的融合将日渐深入，征信信息采集和数据整合方式也将向数字化、网络化、信息化方向发展，迫切需要综合性法规和更具针对性的制度加以管理和规范。

业内认为，社会信用体系建设是以法律法规为依据，今后一段时间，应围绕“加快信用信息采集，促进信息共享 ；规范信用信息使用，保护信息主体权益”，颁布和完善一系列专门针对信用信息的法律法规，建立健全征信行业的法律体系。

根据互联网金融背景下征信市场的发展和变化，适时修订和完善现有征信法规，规定互联网金融的行业范围，加强对新型征信业务模式的规范管理，禁止滥用或信用信息造假。

同时，应提高后续制定制度的前瞻性，充分考虑互联网环境下征信活动的大数据特征，将互联网金融信用信息纳入管理范围。

标签：