誰偷走了我們的個人信息_風聞

近日，51信用卡有限公司被杭州警方突然調查，讓非法爬取個人隱私數據用於暴力催收的行業做法，浮出水面。

“別人在用（個人敏感數據），你不用就是落後。”事實上，受業務競爭的驅動，個人敏感數據的使用一直遊走在灰色地帶。2017年開始，《網絡安全法》等法規都對非法爬蟲等數據收集和使用行為早有規範，但一直屢禁不止。

直到《個人金融信息（數據）保護試行辦法（初稿）》（下稱《試行辦法》）出台，規範個人金融信息的收集與使用，非法爬蟲一時間成眾矢之的，各大數據公司因爬蟲業務被查的消息也隨之傳來。自今年9月以來，北京、杭州等地先後有10餘家大數據公司被警方調查，其中不乏頭部平台和國企，大數據行業風聲鶴唳。

個人金融信息被濫用到了該管管的時候了。

01

誰是非法爬蟲？

移動互聯網時代，數據是一種資產已成為各方共識。截至2019年6月，我國已有8.54億網民，當網民在各大互聯網電商平台、社交平台等產生的行為數據，與在運營商裏的身份數據，金融機構裏產生的信用數據，以及電子政府系統中產生的政務數據，匯聚在一起，通過大數據技術分析，可以形成用户畫像，具有極高的商業價值。 

個人金融信息是決定用户畫像是否精準的重要一環。個人金融信息的概念是從隱私權衍生而來，2011年，央行將個人金融信息保護範圍具體劃定為身份信息、財產信息、賬户信息、信用信息、金融交易信息、衍生信息及其他信息七類。

與其他個人信息不同，作為個人隱私信息最重要部分，個人金融信息具有財產權益的特性，通過它可以窺探用户的財力，還可以助力放貸業務風控。科技的介入，極大挖掘了個人數據的價值，用户在享受個性化、貼心服務的同時，個人隱私安全也隨之襲來。

“太瘋狂了，不管什麼數據都拿出來賣。”大數據行業從業人員朱偉對《南風窗》記者説，行業對個人敏感數據的使用一直處於灰色地帶，之前沒人管，大家都能相安無事。

近幾年，各地因暴力催收引發貸款人自殺的事故屢次發生，引發監管關注。10月21日，《關於辦理利用信息網絡實施黑惡勢力犯罪刑事案件若干問題的意見》出台，暴力催收行為的認定和定罪才有依據。

暴力催收的源頭就在於個人數據的違規收集，行業普遍採用的數據收集手段是網絡爬蟲。

爬蟲技術爬取個人數據主要有司法信息、電商信息、銀行卡信息、運營商信息、社交信息、開放數據等。一般來説，爬蟲抓取公開網絡的信息，是安全的；但如果抓取的是未公開、未授權的個人敏感信息，就涉嫌違法，違反的是2017年6月1日實施的 《網絡安全法》以及“兩高”相關司法解釋。

爬蟲技術本身是中性，關鍵在於如何使用。今年5月，國家網信辦發佈《數據安全管理辦法（徵求意見稿）》，在細化個人信息保護規定的同時，首次劃定了網絡爬蟲技術的法律紅線，“如自動化訪問收集流量超過網站日均流量三分之一，網站要求停止自動化收集時，應當停止”。

在《數據安全管理辦法（徵求意見稿）》發佈後，包括頭部平台同盾科技、51信用卡，國企平台天翼徵信在內的10餘家大數據公司接二連三被查，被查的原因大多與公司的爬蟲業務，涉及違規抓取個人數據、販賣個人隱私數據、助力暴力催收等有關。

有業內人士透露，在爬蟲爬取的這些數據中，受歡迎的往往是那些覆蓋度高、標準化程度高的數據，“非法爬取大部分集中在運營商數據以及類似個税、社保、信用卡數據等敏感數據”。

於是，爬蟲的違規抓取中，首當其衝的是個人金融數據。10月，《試行辦法》發佈，其中一條規定，“（金融機構）不得從非法從事個人徵信業務活動的第三方獲取個人金融信息。”將此波大數據行業的整頓蔓延到行業上游—與之合作的金融機構。

10月24日，央行發文緊急調研銀行與第三方數據公司合作情況，要求銀行上報第三方公司的名稱、股東背景、是否涉及爬蟲、數據來源是否合法合規或者有相關授權等。“我們也接到銀行的問詢函了，應該各家（數據公司）都會接到。”朱偉説。

據接近監管層的知情人士向媒體透露，網安部門聯合多個部門，針對大數據行業的亂象展開了整治行動，已有幾十家大數據公司進入了調查名單。“這次整頓對數據行業影響非常大，感覺又回到了之前的狀態”，不少銀行已經暫停和大數據公司的合作，而一些對外部數據和風控依賴比較大的網貸平台直接停擺。

現在，之前與大數據公司合作的甲方金融機構都在觀望，這些甲方機構甚至找到大數據公司，要求它們簽署“免責條款”或者“承諾書”，試圖隔離風險。

02

產業鏈和利益鏈

個人金融數據的商用始於2013年，網貸、消費金融等互聯網金融發展的井噴期。互聯網長尾人羣是這些平台的主要客羣，他們幾乎沒有徵信記錄，俗稱“金融白板用户”。

金融是對風險定價的業務，風險的價格即為利率，而利率的高低往往取決於用户的信用狀況，對白板用户的金融業務催生了平台對個人金融數據的需求，一時間，數據產業風雲鵲起。

“如果用自有的數據，能滿足80%的風控需求。”某持牌消費金融公司管理人員李振華告訴《南風窗》記者，但能否在競爭中控制好不良率，那20%的風控才是關鍵，於是，不少持牌消金公司甚至銀行都會接入外部數據，來補足風控能力，而一些網貸平台或小貸公司，則主要依靠第三方的數據。

有需求就有市場。據《21世紀經濟報道》，中國已初步形成較為清晰的數據行業市場格局，包括中國人民銀行徵信中心和百行徵信為代表的全面徵信機構、八家專業徵信信息提供商，以及5000~6000家從事大數據分析的企業。

 一般而言，這些大數據公司對數據治理包括採集、分析、應用三大環節。個人數據業務的亂象主要體現在，個人敏感數據的違規收集和濫用。如何定義違規收集？現在很多APP或平台，都會有用户授權的彈窗提醒，是不是就意味着，有了用户授權程序，個人信息就安全了呢？

答案顯然是否定的。實際上，在授權後，用户只知道自己提供了賬號和密碼，但平台在實際操作中採集了哪些信息成了“黑盒”。“大部分公司都涉及未授權獲取信息、超採、強制授權等諸多問題。”

個人信息的存儲和使用環節往往才是風險的集中點。一般來説，任何數據的採集和使用都遵循一次性原則，也就是説，這項服務結束後，數據方應該立即刪除因此次業務需要採集到的信息，不能留存。但行業不少人的做法是，將大部分金融數據留存下來，甚至利用用户數據二次開發和銷售，現實中，暴力催收就是對用户通訊錄信息的循環利用。

南方某報記者曾暗訪體驗，僅花700元就能買到銀行記錄、駕駛證記錄、開房記錄等11個項目在內的個人信息。

個人金融數據業務已經形成清晰的產業鏈：第三方大數據公司，通過爬蟲獲取個人非公開的敏感數據，將其打包給網貸平台、消費金融等金融機構，這些金融機構用來補充自身數據庫，用於對用户信息的交叉驗證，助力信貸業務的風險控制。同時，個人的運營商數據，即通訊錄數據又會用於催收環節，為風控兜底，形成風控的閉環。

個人金融數據是個人隱私的一部分，何以成為一門火爆的生意？最直接的原因莫過於，中國目前仍沒有出台《個人信息保護法》，對個人金融信息的保護散落在《商業銀行法》《網絡安全法》等相關法律中，個人金融信息保護應遵循的基本原則、程序和制度沒有統一的規範，長此以往，個人金融信息監管缺乏明確要求，為個人數據產業亂象提供了土壤。

如果追溯大數據業務需求的起點，個人金融數據灰色產業猖獗，歸根結底是因為中國徵信不夠發達，中國目前官方許可的徵信機構只有央行徵信和百行徵信，個人信用產品缺乏，與美國等發達國家豐富多樣的信用分產品相比，仍有差距。

截至2019年6月，央行徵信系統覆蓋9.9億用户，相比以前，覆蓋人羣有增加，但新問題是，央行徵信記錄缺失個人互聯網借貸記錄，很難準確描繪徵信用户多頭借債的情況，這也是這幾年銀行信用卡不良率上升的原因之一。

百行徵信是央行去年8月批准設立的國內首家個人徵信機構，由中國互聯網金融協會與芝麻信用、騰訊徵信、前海徵信等8家市場徵信機構共同組建，試圖建立統一的個人徵信系統。但如今覆蓋人羣有限，據《財新》報道，“目前包括百行徵信諸多股東在內的市場主要參與者，並不與百行徵信分享數據。”

03

“正規軍”入場

“部分機構存在收集信息範圍過大、未經消費者授權收集其個人金融信息、業務系統存儲不規範等情形。”這是今年5月，央行辦公廳下發的一份檢查通報，指出的金融消費權益保護的重點問題。事實上，從2018年開始，央行就不斷要求各機構開展金融消費權益的自查和整改，但依舊沒有阻擋暴力催收的惡性事件發生。

遠水救不了近火。徵信系統的完善並非一蹴而就的事情，當下能做的就是加強監管，提高非法收集和濫用個人數據的違法成本，《數據安全管理辦法（徵求意見稿）》《個人金融信息（數據）保護試行辦法》等法規應運而生。

《試行辦法》中，討論最多的是第十二條：“（金融機構）不得從非法從事個人徵信業務活動的第三方獲取個人金融信息。”

 這條規定有兩層意思，其一，銀行等金融機構合作的第三方將有嚴格要求，如前文提到，監管已經開始盤查與銀行合作的數據服務商。

其二，除了央行和百行徵信兩家持牌的徵信機構，任何機構，都不得采集個人金融信息。這就意味着，個人金融數據採集權，全部收歸官方徵信機構。

個人金融數據在使用和共享環節， 其價值發揮和安全保護是一對矛盾體。按照監管的邏輯，百行徵信作為個人徵信數據“大本營”，各大金融機構和互聯網平台將用户數據與百行徵信對接，百行徵信對個人金融數據進行統一的標準化處理後，對外輸出標準化的徵信報告和徵信分等產品，但現實的尷尬是，百行徵信內部股東都沒有實現數據的充分共享，其他機構共享數據的積極性也大打折扣，目前徵信數據的匯聚情況並不理想，信用報告的適用性存疑。              

 “現在個人金融數據沒法融通後，就意味着平台只能靠自己積累的數據和流量來做特定場景或特定領域的業務。”朱偉擔心，長期以往，用户享受的個性化服務也將受影響。

上海金融與法律研究院研究員傅蔚岡也撰文稱，個人信息（隱私）保護的本質是一種資源再分配，應該以市場作為配置主體。個人信息（隱私）保護政策要有彈性，且要把追求社會福利的最大化作為隱私保護的目標，保護隱私的同時也要允許合法的個人數據交換。

基於當下的現實，在徵信尚未完善的情況下，如何用好市場和監管“兩隻手”，平衡個人金融信息的價值發揮和安全保護是監管必須考慮的問題。

（文中部分人名為化名）

作者 | 南風窗記者 何治民

編輯 | 譚保羅

排版 | GINNY

南風窗新媒體出品