文件发布：中国人民银行令〔2021〕第4号《征信业务管理办法》！

李威03

中国人民银行令〔2021〕第4号
征信业务管理办法
（第491期）

中国人民银行令〔2021〕第4号（征信业务管理办法）
中国人民银行令〔2021〕第4号
《征信业务管理办法》已经2021年9月17日中国人民银行2021年第9次行务会议审议通过，现予发布，自2022年1月1日起施行。
行 长 易纲
2021年9月27日
征信业务管理办法
第一章 总则
第一条 为了规范征信业务及其相关活动，保护信息主体合法权益，促进征信业健康发展，推进社会信用体系建设，根据《中华人民共和国中国人民银行法》《中华人民共和国个人信息保护法》《征信业管理条例》等法律法规，制定本办法。
第二条 在中华人民共和国境内，对法人和非法人组织（以下统称企业）、个人开展征信业务及其相关活动的，适用本办法。
第三条 本办法所称征信业务，是指对企业和个人的信用信息进行采集、整理、保存、加工，并向信息使用者提供的活动。
本办法所称信用信息，是指依法采集，为金融等活动提供服务，用于识别判断企业和个人信用状况的基本信息、借贷信息、其他相关信息，以及基于前述信息形成的分析评价信息。
第四条 从事个人征信业务的，应当依法取得中国人民银行个人征信机构许可；从事企业征信业务的，应当依法办理企业征信机构备案；从事信用评级业务的，应当依法办理信用评级机构备案。
第五条 金融机构不得与未取得合法征信业务资质的市场机构开展商业合作获取征信服务。
本办法所称金融机构，是指国务院金融管理部门监督管理的从事金融业务的机构。
地方金融监管部门负责监督管理的地方金融组织适用本办法关于金融机构的规定。
第六条 从事征信业务及其相关活动，应当保护信息主体合法权益，保障信息安全，防范信用信息泄露、丢失、毁损或者被滥用，不得危害国家秘密，不得侵犯个人隐私和商业秘密。
从事征信业务及其相关活动，应当遵循独立、客观、公正的原则，不得违反法律法规的规定，不得违反社会公序良俗。
第二章 信用信息采集
第七条 采集个人信用信息，应当采取合法、正当的方式，遵循最小、必要的原则，不得过度采集。
第八条 征信机构不得以下列方式采集信用信息：
（一）欺骗、胁迫、诱导；
（二）向信息主体收费；
（三）从非法渠道采集；
（四）以其他侵害信息主体合法权益的方式。
第九条 信息提供者向征信机构提供信用信息的，征信机构应当制定相关制度，对信息提供者的信息来源、信息质量、信息安全、信息主体授权等进行必要的审查。
第十条 征信机构与信息提供者在开办业务及合作中应当遵守《中华人民共和国个人信息保护法》等法律法规，通过协议等形式明确信息采集的原则以及各自在获得客户同意、信息采集、加工处理、信息更正、异议处理、信息安全等方面的权利义务和责任。
第十一条 征信机构经营个人征信业务，应当制定采集个人信用信息的方案，并就采集的数据项、信息来源、采集方式、信息主体合法权益保护制度等事项及其变化向中国人民银行报告。
第十二条 征信机构采集个人信用信息应当经信息主体本人同意，并且明确告知信息主体采集信用信息的目的。依照法律法规公开的信息除外。
第十三条 征信机构通过信息提供者取得个人同意的，信息提供者应当向信息主体履行告知义务。
第十四条 个人征信机构应当将与其合作，进行个人信用信息采集、整理、加工和分析的信息提供者，向中国人民银行报告。
个人征信机构应当规范与信息提供者的合作协议内容。信息提供者应当就个人信用信息处理事项接受个人征信机构的风险评估和中国人民银行的情况核实。
第十五条 采集企业信用信息，应当基于合法的目的，不得侵犯商业秘密。
第三章 信用信息整理、保存、加工
第十六条 征信机构整理、保存、加工信用信息，应当遵循客观性原则，不得篡改原始信息。
第十七条 征信机构应当采取措施，提高征信系统信息的准确性，保障信息质量。
第十八条 征信机构在整理、保存、加工信用信息过程中发现信息错误的，如属于信息提供者报送错误的，应当及时通知信息提供者更正；如属于内部处理错误的，应当及时更正，并优化信用信息内部处理流程。
第十九条 征信机构应当对来自不同信息提供者的信息进行比对，发现信息不一致的，及时进行核查和处理。
第二十条 征信机构采集的个人不良信息的保存期限，自不良行为或者事件终止之日起为5年。
个人不良信息保存期限届满，征信机构应当将个人不良信息在对外服务和应用中删除；作为样本数据的，应当进行匿名化处理。
第四章 信用信息提供、使用
第二十一条 征信机构对外提供征信产品和服务，应当遵循公平性原则，不得设置不合理的商业条件限制不同的信息使用者使用，不得利用优势地位提供歧视性或者排他性的产品和服务。
第二十二条 征信机构应当采取适当的措施，对信息使用者的身份、业务资质、使用目的等进行必要的审查。
征信机构应当对信息使用者接入征信系统的网络和系统安全、合规性管理措施进行评估，对查询行为进行监测。发现安全隐患或者异常行为的，及时核查；发现违法违规行为的，停止提供服务。
第二十三条 信息使用者应当采取必要的措施，保障查询个人信用信息时取得信息主体的同意，并且按照约定用途使用个人信用信息。
第二十四条 信息使用者使用征信机构提供的信用信息，应当基于合法、正当的目的，不得滥用信用信息。
第二十五条 个人信息主体有权每年两次免费获取本人的信用报告，征信机构可以通过互联网查询、营业场所查询等多种方式为个人信息主体提供信用报告查询服务。
第二十六条 信息主体认为信息存在错误、遗漏的，有权向征信机构或者信息提供者提出异议；认为侵害自身合法权益的，可以向所在地中国人民银行分支机构投诉。对异议和投诉按照《征信业管理条例》及相关规定办理。
第二十七条 征信机构不得以删除不良信息或者不采集不良信息为由，向信息主体收取费用。
第二十八条 征信机构提供信用报告等信用信息查询产品和服务的，应当客观展示查询的信用信息内容，并对查询的信用信息内容及专业名词进行解释说明。
信息主体有权要求征信机构在信用报告中添加异议标注和声明。
第二十九条 征信机构提供画像、评分、评级等信用评价类产品和服务的，应当建立评价标准，不得将与信息主体信用无关的要素作为评价标准。
征信机构正式对外提供信用评价类产品和服务前，应当履行必要的内部测试和评估验证程序，使评价规则可解释、信息来源可追溯。
征信机构提供经济主体或者债务融资工具信用评级产品和服务的，应当按照《信用评级业管理暂行办法》（中国人民银行 发展改革委 财政部 证监会令〔2019〕第5号发布）等相关规定开展业务。
第三十条 征信机构提供信用反欺诈产品和服务的，应当建立欺诈信用信息的认定标准。
第三十一条 征信机构提供信用信息查询、信用评价类、信用反欺诈产品和服务，应当向中国人民银行或其省会（首府）城市中心支行以上分支机构报告下列事项：
（一）信用报告的模板及内容；
（二）信用评价类产品和服务的评价方法、模型、主要维度要素；
（三）信用反欺诈产品和服务的数据来源、欺诈信用信息认定标准。
第三十二条 征信机构不得从事下列活动：
（一）对信用评价结果进行承诺；
（二）使用对信用评价结果有暗示性的内容宣传产品和服务；
（三）未经政府部门或者行业协会同意，假借其名义进行市场推广；
（四）以胁迫、欺骗、诱导的方式向信息主体或者信息使用者提供征信产品和服务；
（五）对征信产品和服务进行虚假宣传；
（六）提供其他影响征信业务客观公正性的征信产品和服务。
第五章 信用信息安全
第三十三条 征信机构应当落实网络安全等级保护制度，制定涉及业务活动和设备设施的安全管理制度，采取有效保护措施，保障征信系统的安全。
第三十四条 个人征信机构、保存或者处理100万户以上企业信用信息的企业征信机构，应当符合下列要求：
（一）核心业务信息系统网络安全保护等级具备三级或者三级以上安全保护能力；
（二）设立信息安全负责人和个人信息保护负责人，由公司章程规定的高级管理人员担任；
（三）设立专职部门，负责信息安全和个人信息保护工作，定期检查征信业务、系统安全、个人信息保护制度措施执行情况。
第三十五条 征信机构应当保障征信系统运行设施设备、安全控制设施设备以及互联网应用程序的安全，做好征信系统日常运维管理，保障系统物理安全、通信网络安全、区域边界安全、计算环境安全、管理中心安全等，防范征信系统受到非法入侵和破坏。
第三十六条 征信机构应当在人员录用、离岗、考核、安全教育、培训和外部人员访问管理等方面做好人员安全管理工作。
第三十七条 征信机构应当严格限定公司内部查询和获取信用信息的工作人员的权限和范围。
征信机构应当留存工作人员查询、获取信用信息的操作记录，明确记载工作人员查询和获取信用信息的时间、方式、内容及用途。
第三十八条 征信机构应当建立应急处置制度，在发生或者有可能发生信用信息泄露等事件时，立即采取必要措施降低危害，并及时向中国人民银行及其省会（首府）城市中心支行以上分支机构报告。
第三十九条 征信机构在中华人民共和国境内开展征信业务及其相关活动，采集的企业信用信息和个人信用信息应当存储在中华人民共和国境内。
第四十条 征信机构向境外提供个人信用信息，应当符合法律法规的规定。
征信机构向境外信息使用者提供企业信用信息查询产品和服务，应当对信息使用者的身份、信用信息用途进行必要的审查，确保信用信息用于跨境贸易、投融资等合理用途，不得危害国家安全。
第四十一条 征信机构与境外征信机构合作的，应当在合作协议签署后、业务开展前将合作协议报告中国人民银行。
第六章 监督管理
第四十二条 征信机构应当将下列事项向社会公开，接受社会监督：
（一）采集的信用信息类别；
（二）信用报告的基本格式内容；
（三）异议处理流程；
（四）中国人民银行认为需要公开的其他事项。
第四十三条 个人征信机构应当每年对自身个人征信业务遵守《中华人民共和国个人信息保护法》《征信业管理条例》的情况进行合规审计，并将合规审计报告及时报告中国人民银行。
第四十四条 中国人民银行及其省会（首府）城市中心支行以上分支机构对征信机构的下列事项进行监督检查：
（一）征信内控制度建设，包括各项制度和相关规程的齐备性、合规性和可操作性等；
（二）征信业务合规经营情况，包括采集信用信息、对外提供和使用信用信息、异议与投诉处理、用户管理、其他事项合规性等；
（三）征信系统安全情况，包括信息技术制度、安全管理、系统开发等；
（四）与征信业务活动相关的其他事项。
第四十五条 信息提供者和信息使用者违反《征信业管理条例》规定，侵犯信息主体合法权益的，由中国人民银行及其省会（首府）城市中心支行以上分支机构依法对其检查和处理。
第七章 法律责任
第四十六条 违反本办法第四条规定，擅自从事个人征信业务的，由中国人民银行按照《征信业管理条例》第三十六条进行处罚；擅自从事企业征信业务的，由中国人民银行省会（首府）城市中心支行以上分支机构按照《征信业管理条例》第三十七条进行处罚。
金融机构违反本办法第五条规定，与未取得合法征信业务资质的市场机构开展商业合作获取征信服务的，由中国人民银行及其分支机构责令改正，对单位处3万元以下罚款，对直接负责的主管人员处1000元以下罚款。
第四十七条 征信机构违反本办法第八条、第十六条、第二十条、第二十七条、第三十二条规定的，由中国人民银行及其省会（首府）城市中心支行以上分支机构按照《征信业管理条例》第三十八条进行处罚。
第四十八条 征信机构违反本办法第十四条、第二十一条、第三十一条、第三十四条、第三十九条、第四十二条规定的，由中国人民银行及其省会（首府）城市中心支行以上分支机构责令改正，没收违法所得，对单位处3万元以下罚款，对直接负责的主管人员处1000元以下罚款。法律、行政法规另有规定的，依照其规定。
第八章 附则
第四十九条 金融信用信息基础数据库从事征信业务、从事信贷业务的机构向金融信用信息基础数据库报送或者查询信用信息参照本办法执行。
第五十条 以“信用信息服务”“信用服务”“信用评分”“信用评级”“信用修复”等名义对外实质提供征信服务的，适用本办法。
第五十一条 本办法施行前未取得个人征信业务经营许可或者未进行企业征信机构备案但实质从事征信业务的机构，应当自本办法施行之日起18个月内完成合规整改。
第五十二条 本办法由中国人民银行负责解释。
第五十三条 本办法自2022年1月1日起施行。
中国人民银行有关负责人就《征信业务管理办法》答记者问

一、《征信业务管理办法》出台的背景是什么？
答：一直以来，人民银行高度重视征信业发展，坚决贯彻落实党中央、国务院决策部署，积极推动征信业市场化、法治化和科技化发展，在2013年国务院颁布实施《征信业管理条例》后，出台了《征信机构管理办法》等多项规章制度，征信法制框架持续完善。
近年来，随着数字经济的快速发展，互联网和大数据等新技术在征信领域广泛应用，大量有效“替代数据”被采集、分析和应用于判断企业和个人信用状况，征信已突破传统借贷信息共享的范围。同时，金融机构围绕小微企业融资和长尾客户普惠金融服务的征信需求不断提升，人民群众对高质量征信服务也提出了更高的要求。新时代背景下，已有的法律法规和制度不能完全覆盖征信的新业态、新特征。
为更好地贯彻“征信为民”的发展理念，满足新时代征信业规范发展的需求，切实保障征信市场主体的合法权益和信息安全，人民银行本着实事求是的原则，在充分调研的基础上，广泛征求并吸收各方意见，制定出台了《征信业务管理办法》。
二、《征信业务管理办法》的主要内容是什么？
答：《征信业务管理办法》以信用信息的采集、整理、保存、加工、提供、信息安全等全流程合规管理为主线，以明确征信业务边界、加强信息主体权益保护为重点。
一是明确信用信息的定义及征信管理的边界。《征信业务管理办法》按照依法采集、为金融等活动提供服务、用于识别判断企业和个人信用状况等三个维度，将符合上述标准的基本信息、借贷信息、其他相关信息，以及基于这些信息的分析评价信息界定为信用信息。从事个人征信业务应当依法取得个人征信许可；从事企业征信业务和信用评级业务应当依法办理备案。
《征信业务管理办法》定义的征信管理范畴不涉及非商业合作的信息服务。比如，国家机关以及法律法规授权的具有管理公共事务职能的组织依职责直接向金融机构提供个人或企业信息的，以及汽车经销商、房产营销中介等市场机构依法代金融机构收集客户信息但并不对客户信息分析处理营利的，不适用本办法。互联网平台开展助贷等相关业务符合征信业务定义的，适用本办法。
二是规范征信业务全流程。《征信业务管理办法》对信用信息采集、整理、保存、加工、提供和使用等征信业务的各个环节进行了明确规定。主要包括：信用信息采集应遵循“最小、必要”原则，不得过度采集；采集个人信用信息应当经信息主体本人同意，并明确告知信息主体采集信用信息的目的；征信机构要对信息来源、信息质量、信息安全、信息主体授权等进行必要的审查；信息使用者使用信用信息要基于合法、正当的目的，并取得信息主体的明确同意授权，不得滥用，等等。
三是强调信用信息安全和依法合规跨境使用。《征信业务管理办法》规定征信机构应当强化信用信息安全管理，明确信息安全负责人、设立专职部门，负责信息安全管理工作；应当加强内部人员信息安全管理，完善信息安全内控制度，防范信息泄露。《征信业务管理办法》允许在保障信息安全前提下，在跨境贸易、投融资等经济金融活动中依法合规使用信用信息。
四是提高征信业务公开透明度。《征信业务管理办法》规定征信机构应客观展示对外提供的信用信息内容，建立评分类产品的评价标准，使评价规则可解释、信息来源可追溯。征信机构应将评分方法、模型、主要维度要素等向人民银行报告，主动向社会公开采集信用信息的类别，信用报告的基本格式和内容，以及异议处理流程等。
三、《征信业务管理办法》对征信市场发展有何意义？
答：通过明确信用信息的定义和规范征信业务全流程，《征信业务管理办法》将进一步提升征信业市场化、法治化和科技化水平，助推征信市场健康有序发展。
一是明确了信用信息的定义及征信管理的边界，能够很大程度上消除市场对政策的不确定性预期，鼓励市场主体适应数字时代征信产品和服务变革需求，增加征信基础设施投资，更好地应用新兴科技推动征信业务创新发展。
二是将征信替代数据应用纳入监管，并强调从事征信业务需取得合法资质，可有效解决“无证驾驶”的问题，将原先游离于监管之外的新兴征信活动纳入法治监管的轨道，促进市场公平，维护国家金融稳定和金融安全。
三是对征信业务全流程进行更为具体的规范，既是对《征信业管理条例》等现有征信业法规制度的必要补充，也是《民法典》《网络安全法》《数据安全法》《个人信息保护法》等法律法规在征信领域贯彻落实的具体体现，将切实保护征信活动中各方参与主体的合法权益。
四是进一步强化对征信机构、信息提供者、信息使用者的合规要求，降低各参与方的合规风险和合规成本，促进金融机构和征信机构的专业化分工与协作，提升征信行业效率和征信活动市场主体的合规管理水平。
四、《征信业务管理办法》是如何落实《个人信息保护法》的？
答：《征信业务管理办法》按照对个人信息依法保护、有限共享的原则，与《个人信息保护法》关于个人信息主体权益的保护规定全面衔接。
一是与《个人信息保护法》在立法理念和基本原则上保持一致。《征信业务管理办法》贯彻《个人信息保护法》“告知-同意”的个人信息处理规则，采集个人信用信息应当采取合法、正当的方式，遵循最小、必要的原则，不得过度采集；从事征信业务及其相关活动，应当遵循独立、客观、公正的原则，不得危害国家秘密、侵犯个人隐私和商业秘密；使用信用信息，应当基于合法、正当的目的，不得滥用，等等。
二是强调对个人信息主体同意权的保护。《征信业务管理办法》规定，征信机构采集个人信用信息应当经信息主体本人同意，并明确告知信息主体采集信用信息的目的；信息使用者查询个人信用信息需取得信息主体同意，并按照约定用途使用。
三是注重对个人信息主体知情权的保护。《征信业务管理办法》规定，征信机构提供信用报告等信用信息查询产品服务的，应当客观展示查询的信用信息内容，并对查询的信用信息内容及专业名词进行解释说明；提供画像、评分、评级等评价类产品和服务的，应当建立评价标准，不得将与信息主体信用无关的要素作为评价标准。
四是强调对个人信息主体异议投诉权的保护。《征信业务管理办法》规定，信息主体认为信息存在错误、遗漏的，有权提出异议；认为自身合法权益受到侵害时，有权投诉。征信机构、金融机构应依法依规办理异议事项，人民银行分支机构应依法依规处理投诉。
五、人民银行对征信业“十四五”时期的发展是如何规划的？
答：征信业在优化资源配置、防范化解金融风险、维护金融安全和推动金融服务实体经济中具有重要作用。“十四五”期间，人民银行将坚决贯彻落实党中央、国务院决策部署，继续坚持征信市场化、法治化和科技化发展方向，以规范发展、创新提升为主线，以权益保护和信息安全为基本要求，着力构建适应数字时代经济高质量发展的现代化征信体系。
一是通过严肃监管规则促进征信业规范有序发展。《征信业务管理办法》发布实施后，人民银行将结合《民法典》《个人信息保护法》《征信业管理条例》和其他征信业制度规定，督促相关市场主体认真贯彻执行《征信业务管理办法》各项监管要求，严格依法合规经营，并对非法从事征信业务的机构和行为依法依规严肃查处。
二是通过市场化方式深化征信业供给侧结构性改革。按照“建立覆盖全社会的征信系统”的目标，继续推进征信市场基础设施建设，扩展信用信息共享覆盖范围，构建形成多层次、全方位、宽领域的征信体系。在巩固和发展好公共征信服务平台的基础上，根据市场需要引导国有资本、民营资本和社会力量积极参与，有序发展市场化征信机构，增加多层次征信供给。严防资本在征信领域的无序扩张，维护征信供给的公平正义。
三是通过鼓励科技应用保障征信市场主体的合法权益和信息安全。创新监管方式，强化对征信机构的合规要求，推动实现动态、可持续的征信监管科技，保障征信市场主体的各项合法权益，确保各类征信系统网络环境、技术构架安全可靠。鼓励征信机构依法应用新技术创新征信业务，在提升服务能力的同时，确保信息安全。
六、《征信业务管理办法》的过渡期如何安排？
答：《征信业务管理办法》充分考虑互联网平台、数据公司等机构与金融机构业务合作模式的调整，对本办法施行前未取得征信业务资质但实质从事征信业务的市场机构给予了一定的业务整改过渡期，过渡期为本办法施行之日至2023年6月底。过渡期内，人民银行将加强对相关机构的业务指导，分步骤推动实现平稳过渡。