租赁风控的数据合规：获取征信数据必须满足哪些条件

本文是「征信风控服务」系列第 3 篇（从第 1 篇读起 ）。

先说明本文的范围：本文只讨论征信风控数据合规。 租赁业务本身依法合规，是任何风控方案成立的前提，但不是本文重点。

征信数据合规的第一条红线，可以用一句话概括：不能把征信数据当作普通商品买卖。

这里需要区分两件事。企业可以依法购买有资质机构提供的征信产品或服务；但付费取得来源不明的征信报告、字段明细、评分或标签，再自行复制、转交和反复使用，不会因为签了采购合同就变得合规。

真正要建设的是一套能够回答六个问题的机制：谁依法取得、基于什么业务取得、是否得到本人授权、用于什么目的、数据怎样保护、整个过程如何证明。

一、先划红线：五类方式不能作为合规路径

《个人信息保护法》 明确禁止非法买卖、提供个人信息，并要求个人信息处理具有明确、合理的目的，范围限于最小必要。《征信业务管理办法》 又把“信用信息”和“征信业务”的边界进一步说清：信用信息不仅包括原始数据，也包括基于这些数据形成的分析评价信息。

因此，下面五类做法都不能作为合规获取方式：

1. 从来源不明的渠道购买数据包。 对方不能说明数据从哪里来、由谁采集、基于什么授权取得，只承诺“字段多、价格低、接口快”。
2. 把报告改名为评分、画像或标签后转售。 不提供报告原文，不等于没有提供信用信息。只要产品用于判断个人信用状况，且包含基于信用信息形成的分析评价结果，就不能靠换名字绕开资质要求。
3. 借持牌机构名义代查再转交。 金融牌照不等于个人征信业务许可。查询资格来自该机构自己的真实业务，不能被出租；融资担保机构可以为自己承担的担保责任作判断，但不能把查询结果包装成数据产品转卖。
4. 先查询，后补授权。 授权日期晚于查询日期、授权对象不明、用途空泛、期限已过，或者用一次勾选覆盖后续不特定查询，都无法支撑当次查询。
5. 取得后超范围使用。 把为一笔业务取得的信息用于其他营销、其他客户、其他模型，或者通过表格、邮件、即时通信工具在无关人员之间流转，都会使原有授权和用途边界失效。

二、再看路径：直接接入之外，还有两种安排

对租赁场景来说，征信风控通常涉及三类路径。三类路径中，真正取得和使用征信信息的主体并不相同。

1. 符合条件的机构直接接入金融信用信息基础数据库

《征信业管理条例》 规定，金融信用信息基础数据库接收从事信贷业务的机构按规定提供的信贷信息，并为符合条件的信息使用者提供查询服务。机构完成准入和系统接入后，只能在自身真实业务范围内，基于约定用途查询和使用。

这条路径解决的是“机构自己取得并使用征信信息”。它不意味着集团内其他公司可以共享查询资格，也不意味着接入机构可以把报告转卖给合作方。

2. 向具备相应资质的征信机构采购征信产品或服务

个人征信实行许可制，企业征信实行备案制，两者不能混用。征信机构向外提供服务前，还要审查信息使用者的身份、业务资质和使用目的，并评估其接入网络、系统安全及合规管理措施。信息使用者仍须取得必要授权，并按约定用途使用。

所以，“对方持牌”只是起点。还要继续核对牌照是否覆盖个人征信、提供的产品是否在许可范围内、你的主体和使用目的能否通过审查。完整的主体版图见本系列第 7 篇 。

3. 在真实担保交易中，由担保机构形成逐单担保决定

对于不具备直接接入条件的租赁公司，可以评估由融资担保机构真实参与交易的方案。担保机构基于自己的担保责任、客户授权和内部风控规则完成评估，征信信息留在其受控体系内；租赁公司只接收这一单的担保决定，不接收征信报告、字段、评分或标签。

严格地说，第三条的实质是通过清晰的交易分工取得风险判断，租赁公司并不取得征信数据。它与代查数据的根本区别，在于担保责任真实、查询用于担保机构自己的承保决策、对外输出物止于担保决定。具体交易结构见下一篇 。

三、一条合规链路，至少要同时满足六项条件

路径不同，底层条件基本一致。不能只看合同里有没有“合规”两个字，要看以下六项能否逐笔落到系统和证据上。

数据安全也不能停在“部署了服务器”。《网络数据安全管理条例》 要求在等级保护基础上采取加密、备份、访问控制和安全认证等措施。《个人信息保护法》还要求按风险建立内部制度、分类管理、人员权限、培训和事件预案；处理敏感个人信息、开展可能对个人权益有重大影响的自动化决策等情形，还需要依法开展个人信息保护影响评估并留存记录。

授权怎么做：签了字只是第一步

业内常说的“强授权”，不是把授权条款做得更长，而是让授权的内容、取得过程和后续查询都能核验。人民银行的征信合规与信息安全考核标准 把要求落得很具体：查询前取得书面授权或合法电子授权，授权必须真实、合法、有效，并写清被授权对象、授权期限、查询原因及用途、授权主体和作出日期。授权日期晚于查询日期，或者不能提供授权原件，按该标准视同未取得授权。

2025 年施行的《个人信息保护合规审计管理办法》 又给出了一组审计检查点：同意是否在充分知情的前提下自愿、明确作出，目的、方式或信息种类发生变化后是否重新取得同意，告知文本是否清晰、显著，保存期限和撤回同意的途径是否明确。授权因此不能只是一份签过字的文件，还要能证明客户看到了什么、同意了什么，以及查询时授权是否仍然有效。

实际落地时，应当至少守住四个环节：

1. 先告知，再签署。 告知不能藏在冗长协议里。需要用清晰、显著的方式说明谁处理信息、为了哪一笔业务、处理什么信息、如何使用、保存多久，以及客户如何查阅、更正、撤回同意或提出异议。格式条款中的授权内容要作出足以引起本人注意的提示，不能借条款扩大查询和使用范围。
2. 授权内容要能约束用途。 “用于风险管理”“用于合作需要”一类表述过于宽泛。查询原因应当能落到具体业务关系，例如某一笔租赁申请或担保申请；被授权机构、查询用途和有效期限也要明确。后续如改变处理目的、方式或个人信息种类，应当重新取得同意，不能沿用旧授权覆盖新用途。
3. 电子授权要保留可验证的证据。 《电子签名法》 并不否定电子形式，但可靠电子签名要能够识别签署人、表明其认可文件内容，并能发现签署后的改动。因此，不能只保存一张“已勾选”截图；还应保存授权文本版本、展示页面、签署时间、身份核验过程以及电子签名或认证的验证材料，使授权内容能够随时调取且不被替换。
4. 查询前由系统做一致性校验。 建议把业务申请编号与授权记录绑定，查询前自动检查信息主体是否一致、被授权机构是否一致、授权是否在有效期内、查询原因是否与业务类型匹配。要素不全或校验不通过，系统直接阻断查询，不能依赖操作人员事后补材料。

是否必须“一笔一授权”，不宜脱离业务关系给出统一答案。现行规则的底线是查询前取得有效授权，并把用途和期限约定清楚；机构还可以根据自身制度和监管要求采用更严格的逐笔授权控制。对于持续业务或贷后管理查询，授权需要明确覆盖相应事项和期间，并履行必要的内部授权；不能用一次笼统勾选覆盖与原业务无关、期限不明的后续查询。

客户撤回同意、业务终止或者授权到期后，也要有相应的停用和处置机制。基于同意开展的后续处理原则上应当停止；法律、行政法规要求继续保存的，或者暂时不能删除的，应限制为存储和必要的安全保护，不再继续查询或用于新的业务。若涉及金融账户等敏感个人信息、向其他个人信息处理者提供个人信息，或者利用个人信息作出对个人权益有重大影响的自动化决策，还要根据具体情形判断是否需要单独同意、事前个人信息保护影响评估等额外措施。

留痕怎么做：不是留一条查询日志

“有授权书”和“系统里有查询记录”各自都不够。留痕的目标，是能够解释一笔查询为什么发生、谁批准和执行、查了什么、结果如何使用，以及出现异常后如何处置。

法规对查询登记已经提出了底线要求。上述人民银行考核标准要求逐条登记查询行为，如实记录被查询人或企业、有效证件号码、查询时间、内容及用途；调阅已存档信用报告等行为还要经过内部授权。《征信业务管理办法》进一步要求限制内部查询权限，并留存工作人员查询、获取信用信息的时间、方式、内容和用途。系统后台还应记录实名用户、操作内容和计算机网络地址，使操作可定位、可追溯。

在系统建设和项目验收中，建议把一笔业务的证据链拆成以下六组记录：

工程上可以用业务申请编号作为主索引，把授权记录、查询请求、访问使用和最终业务决定关联起来。验收时既要能从一笔业务顺查到全部证据，也要能从任意一条查询记录反查到对应业务和有效授权。这种“双向调取”是系统验收方法，不是法规中的固定术语，但它能直接检验留痕是否真正可用。

保存期限也不能一刀切。《个人信息保护法》要求个人信息原则上只保存实现处理目的所必要的最短时间；法定保存期限未届满的，从其规定。个人信息保护影响评估报告和处理记录至少保存三年，但这不等于所有征信授权和查询档案统一只保存三年。各类记录仍要根据适用的征信监管要求、业务档案规则和机构制度分别确定期限，并在到期后执行删除、匿名化或限制处理。

四、落地时先画一张数据流向图

判断一套方案是否扎实，可以先把数据流向画出来：

• 谁向客户告知并取得授权；
• 谁基于哪一笔真实业务发起查询；
• 原始数据进入哪个系统、存在哪里；
• 哪些岗位能够查看，技术服务方能否接触；
• 对外最终交付的是数据、征信产品，还是业务决定；
• 查询、使用、保存、删除和异常处置分别留下什么证据。

只要其中一段说不清，就不能靠“我们和持牌机构合作”这句话补过去。主体、业务、授权、系统控制和审计证据全部对应，才能构成完整的合规链路。

合规拿到数据只是前提。数据在手机租赁的审核台上具体怎么用、落成什么动作，见手机租赁的审核分层 。

本文是合规方案介绍，不替代具体项目的属地监管意见和机构法律合规审查。