互联网公司开展个人信用评估业务模式合法性探析

近几年，随着多家头部大数据风控公司被警方刑事立案调查，上游开展个人用户信用评估业务的互联网企业面对监管压力相继完成数据业务的合规整改，通过获取用户前后端完整授权、明确透出第三方SDK，规范数据爬取行为、设置合作方“黑名单”等方式堵塞高风险业务漏洞，在应用程序的业务开展和隐私政策中，有关个人信息收集、存储、使用、加工、传输、提供等环节的规定相对趋于完善，相关企业涉嫌侵犯计算机信息系统，侵犯公民个人信息等罪名的案发风险逐步得以控制。尽管当前数据合规体检整改已经延伸至业务开展的神经末梢，但大家似乎缺少关注开展个人信用评估业务的根本问题，即业态存续的合法性问题。2022年1月1日起施行的《征信业务管理办法》彰显了中央监管部门加强征信行业整治的决心，个人征信服务市场也将迎来新一轮规范整顿，厘清行业存续可能存在非法经营行政违法、刑事犯罪风险等问题显得尤为紧迫。
企业“个人用户信用评估” 业务模式介绍
大数据风控公司的业务模式受公司侧重业务领域不同等因素的影响，模型在获取数据类别、应用场景、核心算法等方面会有所区别，但产品的底层运行逻辑基本是一致的，都是基于获取的用户数据对用户信用开展评估，并最终以分值或是报告等形式对外呈现、输出。以下我们列举两种比较常见的“个人用户信用评估”业务模式。
1.“大数据风控公司”模式
根据某大数据风控公司侵犯公民个人信息案件判决书显示，大数据风控公司主要与各网络贷款公司、小型银行进行合作，为其提供需要贷款的用户的个人信息及多维度信用数据。该大数据风控公司将其开发的前端插件嵌入网贷平台APP中，在用户使用APP借款时需在上述前端插件上输入其通讯运营商、社保、公积金、淘宝、京东、学信网、征信中心等网站的账号、密码，经过贷款用户授权后，大数据风控公司的爬虫程序代替贷款用户登录上述网站，进入其个人账户，利用各类爬虫技术，爬取上述企、事业单位网站上贷款用户本人账户内的通话记录、社保、公积金等各类数据，并按与用户的约定提供给网贷平台用于判断用户的资信情况，并从网贷平台获取费用。

2.App自有数据分析模式
与第一种模式不同，App自有数据模式获取数据的渠道主要在于为用户提供服务的同时收集、处理公民个人信息，部分数据被挖掘分析后用于网贷机构的贷款业务场景，所谓助贷反欺诈服务。在电商网购、预约订餐、移动支付、手机导航、网约车出行、网贷等业务领域，App收集到的个人数据往往与个人的消费能力、财富情况相关。例如对日常消费场所的判断，对生活区域的判断，以及对住址信息的判断等，不同的App应用场景所收集的数据类型、模型算法会有所差别。有的互联网公司通过集成SDK的方式多渠道获取App的相关用户数据开展分析、研判，中国信息通讯研究院和深圳市腾讯计算机系统有限公司联合发布的《软件开发包（SDK）安全研究报告（2021）》显示，部分SDK存在未经用户同意，私自调用权限隐蔽收集个人信息，私自通过自启动、关联启动等方式收集个人信息的行为。实践中，一些金融机构或者网络贷款公司也会采取与多家App运营公司合作的方式获取相关用户的信用信息，进而评估用户的信用情况，规避信贷风险。

无证经营“个人征信业务”系违法行为
1.法规、规章关于个人征信业务许可的规定
需要说明的是，该部分所提及的“违法行为”指行政法层面的违法，对于刑事违法性我们会在最后一部分予以讨论。法律法规层面，涉及征信业务监管的主要包括《征信业管理条例》（下称“《条例》”）和《征信业务管理办法》（下称“《办法》”）。根据《条例》第七条规定，申请设立经营个人征信业务的征信机构应当向国务院征信业监督管理部门提交申请，国务院征信业监督管理部门依法进行审查并作出批准或者不予批准的决定。未经批准，任何单位和个人不得经营个人征信业务。根据法律规定不难理解，如果企业经营的业务类型被认定为属于个人征信业务，而企业又未能取得个人征信业务经营许可证，那显然属于违法行为。《办法》第四条对此亦有规定。

2.个人征信业务的发展脉络
公开资料显示，目前取得个人征信业务经营牌照的企业只有两家，分别是百行征信和朴道征信。为了更好地了解监管侧对个人征信业务的监管思路，我们首先梳理一下个人征信业务发展的脉络。2015年，央行印发《关于做好个人征信业务准备工作的通知》，要求芝麻信用、腾讯征信、前海征信、鹏元征信、中诚信征信、中智诚征信、拉卡拉信用、华道征信等八家机构做好个人征信业务的准备工作，准备时间为六个月。【1】但此后相当长的一段时间，央行并未向任何一家机构下发正式的个人征信牌照。2017年4月央行征信管理局局长万存知对于为何八家机构没能拿到牌照做出解释，称八家进行个人征信开业准备的机构没有一家合格，在达不到监管标准的情况下不能把牌照发出去。【2】直到2018年2月，百行征信才获得我国首张个人征信业务牌照，官网显示百行征信由市场自律组织—中国互联网金融协会与芝麻信用、腾讯征信、前海征信、考拉征信、鹏元征信、中诚信征信、中智诚征信、华道征信等8家市场机构按照共商、共建、共享、共赢原则共同发起组建。至此可知，前期开展准备工作的芝麻信用、腾讯征西、鹏元征信等八家机构均未取得个人征信业务经营牌照，牌照最后由该八家入股组建的新机构百行征信取得。2020年12月，朴道征信获批成立，成为我国第二家持有个人征信业务牌照的机构。2021年1月，人民银行征信管理局副局长田地在人民银行“金融支持保市场主体”第五场发布会上明确指出，个人征信业务需要持牌经营，并纳入征信监管。打着大数据公司、金融科技公司等旗号，未经人民银行批准擅自从事个人征信业务的行为，均属于违法行为。【3】
1.《人民银行印发<关于做好个人征信业务准备工作的通知>》，http://www.gov.cn/xinwen/2015-01/05/content_2800381.htm], 2022年7月12日最近一次访问。
2.《8家个人征信机构至今无一合格发展征信机构须强化个人信息保护》，https://www.sohu.com/a/136802785_305272，2022年7月12日最近一次访问。
3.《央行：个人征信业务需要持牌经营并纳入征信监管》，http://money.people.com.cn/n1/2021/0126/c42877-32012509.html，2022年7月12日最近一次访问。

“个人用户信用评估”是否属于个人征信业务范畴
文章至此，我们需要回答一个疑问，本文所称的“个人用户信用评估业务”是否属于《条例》规制的“个人征信业务”范畴？关于如何区别征信业务与其他信息服务活动，央行征信管理局万存知局长曾表示，辨别一个机构是不是征信机构主要看它的信息内容，征信是一个信息服务活动，征信业是信息服务业，但并不是所有信息服务业、并不是所有信息服务活动都是征信。央行征信管理局副局长田地对《征信业务管理办法（征求意见稿）》（下称“《征求意见稿》”）解读时表示：“在这个办法里我们把为金融经济活动提供服务，用于判断个人和企业信用状况的各类信息均认定为信用信息，利用信用信息对个人和企业作出画像、评价等活动均认定为征信业务，从用途上明确了信用信息和征信业务的范围和边界。”【4】我们对《条例》、《办法》以及早先公布的《征求意见稿》进行梳理，对其中涉及到的“征信业务”、“信用信息”等概念作了归纳。
4.《央行：个人征信业务需要持牌经营并纳入征信监管》，http://money.people.com.cn/n1/2021/0126/c42877-32012509.html，2022年7月12日最近一次访问。

通过梳理我们不难发现，个人征信业务主要是指采集、整理、保存、加工个人信用信息，并向信息使用者提供的活动。而对于何为个人信用信息，《办法》规定用于识别判断企业和个人信用状况的基本信息、借贷信息、其他相关信息，以及基于前述信息形成的分析评价信息。最终生效的《办法》并没有采用《征求意见稿》中详细列举信用信息种类的定义方法，但我们从《征求意见稿》列举的信息类型中也能窥探监管侧把握信用信息范围的大致范围。《征求意见稿》规定的信用信息的范围较为广泛，个人身份、地址、交通、通信、债务、财产、支付、消费等信息，以及基于前述信息对个人信用状况形成的分析、评价类信息均属于信用信息。
我们将依照现行有效的法律法规，对市场上常见的两种“个人用户信用评估业务”模式是否属于征信业务逐一分析评议。
1.对“大数据风控公司”模式的评定
通过公开的判决信息，某大数据风控公司经过贷款用户授权后爬取通话记录、社保、公积金等信息，提供给网贷平台用于判断用户的资信情况。社保、公积金、淘宝网记录等信息显然是可以用以识别个人信用状况的基本信息，其将数据提供给网贷平台用于判断用户资信情况，有很大可能被认定为属于“为金融等活动提供服务”的行为，大数据风控模式应当属于《条例》、《办法》规定的个人征信业务活动的范畴。当然，我们也发现审理该案件的某区法院并未对公司开展业务的合法性问题进行评议，需要说明的是，区县法院的认定思路并不意味着司法机关在未来的办案实践中对于擅自开展此类业务均会持有默许的态度。
2.对APP自有数据分析模式的评定
App数据分析模式和大数据风控模式在运行逻辑上没有太大差别，区别可能主要体现在获取数据的渠道、方式，App会在为用户提供服务的同时收集、处理公民个人信息。App模式不仅收集账户余额、借贷往来等直接体现个人资信情况的数据，其分析研判的数据类型还可能包括“行为数据”，行为数据能够间接反映个人信用状况，有时甚至比直接数据更加准确。有的App会结合自身应用场景收集更多样化的数据类型，提供更精准的个人用户信用评估服务。通过分析市面上存在的类似App产品，它们对于个人用户信用评估的维度主要包括缴费、消费等行为，逾期记录等履约情况，学历工作信息，房产车产信息，位置信息，手机App下载信息等，有的会综合分析上述数据并对不同数据分别赋值，通过一定的算法得出关于用户的信用评估报告，报告的呈现方式多样，有的会是一个分值，类似FICO模式，有的则是文字性表述报告。这些数据类型显然属于《条例》、《办法》规定的信用信息，如果App运营商与借贷平台合作，向其提供信用评估结果，当然也极有可能被评定为从事个人征信业务活动。
监管侧的执法行动及合规警告
1.严厉处罚擅自从事个人征信业务企业
2020年12月22日，中国人民银行做出银罚字【2020】28号行政处罚决定书，对鹏元征信有限公司未经批准，擅自从事个人征信业务活动等违法活动予以处罚，没收违法所得近2000万元，并处罚款62万元，创下征信行业的最大罚单纪录。不难发现，鹏元征信是2015年央行印发通知要求做好个人征信业务准备八家机构之一，但是鹏元征信最终没能获得牌照，而其参股8%的百行征信拿到了牌照，作为股东的鹏元征信擅自开展个人征信业务活动，触发了监管红线，遭到严厉处罚。
2.监管侧明确指出擅自从事个人征信业务为违法
关于“大数据风控公司”业务模式的合法性问题，2022年1月央行征信管理局副局长田地在人民银行举行的“金融支持保市场主体”第五场发布会上明确表示，个人征信业务需要持牌经营，并纳入征信监管。打着大数据公司、金融科技公司等旗号，未经人民银行批准擅自从事个人征信业务的行为，均属于违法行为。
3.《办法》正式稿剔除“其他信息处理者”合法存续的依据
《征求意见稿》曾经为征信行业的“其他信息处理者”保留合法存在的空间，其第43条规定，与征信机构合作，为金融经济活动提供个人或企业信用信息的其他信息处理者，应当在签署合作协议后向中国人民银行或其副省级城市中心支行以上分支机构报备。该条规定的设置一度为市场上实际存在的第三方个人信用信息处理者提供合法存续的依据，但在《办法》正式稿中该条款被剔除，这从一定层面反映出监管侧对于开展个人征信业务审慎严格的态度。
4.设置18个月合规整改期限
《办法》第五十一条为未取得个人征信业务经营许可或者未进行企业征信机构备案但实质从事征信业务的机构预留了18个月合规整改期限。这体现出监管侧从征信业务市场的现状出发，考虑到过往大数据时代个人征信业务急速增长的既定事实，理解互联网企业短期内合规转型的实际困难，为企业设置较为宽松的合规整改期限。但截止到2023年6月，互联网企业相应的个人征信业务合规整改工作应当完成。
擅自开展个人征信业务具有成立非法经营罪的刑事风险
从上文分析可以看出，个人征信业务是属于审批制，即必须经主管部门批准，发放许可牌照后才可以开展，那么未经许可擅自开展相关业务，即会在一定程度上扰乱征信业务市场的正常运营秩序。情节严重时，则可能涉嫌构成非法经营罪，面临刑事制裁后果。以下对其中可能涉及的几个问题具体分析：
1.“擅自开展个人征信业务”是否违反国家规定
违反国家规定是构成非法经营的前提，首先要解决的问题就是《条例》是否是本罪所称的国家规定。根据《刑法》第九十六条规定，违反国家规定是指违反全国人民代表大会及其常委会制定的法律和决定，国务院制定的行政法规、规定的行政措施、发布的决定和命令。具体到本文所分析的个人征信业务，《条例》作为国务院管理征信业务及相关活动的规范性文件，法律层级属行政法规，自然属于国家规定的范畴，其中第七条第四款规定“未经国务院征信业监督管理部门批准，任何单位和个人不得经营个人征信业务”，明确将个人征信业务确定专门许可性业务，即意味着擅自开展相关业务就是对上述国家规定的违反，具备了构成非法经营的前提条件。且《条例》第三十六条明确规定擅自设立经营个人征信业务的征信机构或者从事个人征信业务活动，构成犯罪的，依法追究刑责。与其他前置行政法规相同，《条例》设置入罪切口，以实现行政监管和刑事处罚的衔接，尽管关于“构成犯罪”的罪名界定不够明晰，但实践中司法人员按照有一定的法条规定来支撑认定犯罪行为是相对保险、稳妥的处理方式。
2. 擅自开展个人征信业务能否达到严重扰乱市场秩序的程度
从非法经营罪的罪状看，还需要扰乱市场的行为达到情节严重的程度。最高人民法院发布的第97号指导案例王立军非法经营改判无罪案，【5】即是对司法实践中认定情节严重的规范和指导，指出判断违反行政管理有关规定的经营行为是否构成非法经营罪，应当考虑该经营行为是否属于严重扰乱市场秩序，对于虽然违反行政管理有关规定，但尚未严重扰乱市场秩序的经营行为，不应当认定为非法经营罪。从法规范目的来看，《条例》制定的目的是为了对征信活动进行规范和管理，引导、促进征信业健康发展，以保护当事人合法权益，推进社会信用体系建设。当前因为个人信息泄露引发的刑事犯罪、民事纠纷大量发生，公民个人信息保护工作日益加强，而征信业务更是涉及较多个人敏感信息，关乎社会公众的切身利益。征信行业注定将是一个强监管的行业，央行征信管理局万存知局长强调，“个人征信机构的数量不能太多，而且大家讨论比较一致的意见，就是个人征信市场准入的门槛应该高，应该根据个人数据保护的要求，这个门槛、准入的标准应该较严、较高才行。”从个人征信业务的发展脉络来看，央行征信管理局对于个人征信牌照发放态度极为慎重，历时7年时间也只有2家机构获得个人征信业务牌照，这也能体现出个人征信业务的敏感性和重要性。关于擅自开展个人征信业务的严重危害性，万存知局长在讲话中同时指出征信业务的无序和野蛮增长，势必会为公民个人信息的泄露和非正当使用提供温床，产生危害当事人合法权益的现实危险，进而危及我国信用体系的建设。从上述分析不难推知，擅自开展个人征信业务，除非是情节明显较轻，例如业务开展初期，规模较小，且未造成公民个人信息泄露等实害后果或引发相应危险的，可能给予行政处罚，其他情况则有较大可能符合情节严重的程度，具备通过刑罚予以规制的风险。
5.《指导案例97号：王力军非法经营再审改判无罪案》，https://www.court.gov.cn/shenpan-xiangqing-136361.html，2022年7月12日最近一次访问。
3.“擅自开展个人征信业务”的违法性认识
有企业可能会提出疑问，其对擅自开展个人征信业务的刑事违法性认识不足，不知者是否可以不处罚。这就涉及到对刑事犯罪主观要件中的一个关键要素的评判，即违法性认识。
在诸多法律中，刑事法是制裁后果最为严厉的，因此国家要动用刑罚手段对某种行为进行回应时，需具有一定的违法性认识，要求行为人认识到相关行为违反了法规范。当然，此处的法规范是包括行政法律在内，并不局限于刑法。行为人只要认识到自己的行为存在不符合法律的风险，可能给特定利益造成损害就可能被认定为具有违法性认识，而无需达到行为必须认识到自己行为可能触犯刑法的程度。比如，本文所称的个人征信业务，在未经允许擅自开展时，就会对正常业务的经营秩序造成干扰，同时这种无序状态也会更容易造成对公民个人信息的不正当使用和泄露，作为业内开展相关业务的企业或其他从业者，很难辩解不存在这种违法性认识。另外，还需要明确的是，违法性认识既包括“知道行为一定违法”，也包括“知道行为可能违法”，当行为人怀疑其行为有可能与法律相悖时，他就有义务立即停止行为，并确认其法律属性；如其在未排除违法嫌疑的情况下执意开展业务，即表明其对于违反法规范是一种放任态度，同样可能肯定具备违法性认识。尤其是本文所涉及的大多是互联网企业，企业作为法人主体，理应在合规经营方面有更高的要求。
4.目前存在的法律政策不确定性
上文仅是从法理层面的分析，因非法经营罪的特殊性，本文所述的擅自开展个人征信业务不属于非法经营罪的前三款规定，目前能适用的就是第四款兜底条款。但是对于兜底条款的规定，最高人民法院2011年4月8日发布的《关于准确理解和适用刑法中“国家规定”的有关问题的通知》指出：各级人民法院审理非法经营犯罪案件，要依法严格把握刑法第二百二十五条第（四）的适用犯罪。对被告人的行为是否属于刑法第二百二十五条第（四）规定的‘其他严重扰乱市场秩序的非法经营行为’，有关司法解释未作明确规定的，应当作为法律适用问题，逐级向最高人民法院请示。因此，该行为是否构成非法经营罪尚需具体办案的司法机关在审判实践中逐级请示，存在一定的法律政策不确定性。我们理解，最高人民法院对构罪与否的把握也会考虑上文提及的行为的社会危害性、刑事违法性和刑事处罚必要性等因素进行综合判断。需要提醒的是，对于刑事案件而言，法院的审判环节是最终程序，入口即立案是由公安机关决定，根据我们既往接受客户委托协助办理的相关调查案件来看，启动调查的往往都是县一级公安机关，即县级公安机关来京调查企业数据领域犯罪问题。而现实中各地区办案机关对于犯罪认定的思路有较大差别，当某类行为社会危险性较大，且具有较大可能涉嫌构成犯罪时，公安机关通常会启动刑事调查程序，那么企业往往就会面临刑事侦查、强制措施等现实紧迫的问题，这都需要企业在最初应对调查中妥善专业处置，尽快顺利化解。
整改建议
《办法》为未取得个人征信业务经营许可但开展此类业务的机构预留了合规整改期限。相关机构应当对照《办法》规定，开展业务模式的自查整改。未来可以在评估结果的呈现形式方面重新设计，做相应的合规调整。同时，与持牌机构开展业务合作也是整改的方向，当然这种合作模式需要不为法律法规所禁止，还可能需要让渡一部分自己资源优势。类似的整改方式还有很多，需要企业结合自己的业务模式统筹规划，切实防控自身的业务风险。