文丨天元律师事务所 刘瑛 王玄
2017年6月1日《中华人民共和国网络安全法》（“《网络安全法》”）实施以来，其中与数据安全和个人信息保护有关的规范要求尤为引人关注。特别是近两年来数据安全事件、个人信息泄露事件频发，欧盟《通用数据保护条例》（“GDPR”）、美国加州《消费者隐私法案》（“CCPA”）等域外监管要求提升的背景下，对于作为网络运营者的企业，就所处行业、不同的业务和平台下在数据安全和个人信息保护方面有哪些问题，如何在《网络安全法》框架下结合行业特点和企业特性积极有效地应对、进而搭建与本企业相适应的数据合规体系。值《网络安全法》实施两年之际，天元将推出数据合规系列文章，从不同维度归纳和分享我们对问题的思考及实务经验。
互联网消费贷业务是将消费场景和小额贷款相结合的金融业务，在拉动经济和满足大众生活需要（特别是旅游、教育、文化、健康、养老等升级型消费需求）方面作用明显。与其他互联网平台相比，消费贷平台具有“金融”+“消费”的特点，因此，需要特别关注金融业务以及不同消费场景下的数据合规。本文将以消费金融公司通过互联网平台向用户提供消费贷款的模式为例，归纳和梳理相关数据管理合规要点。
一、消费贷所涉金融业务数据管理要点
（一）查询、收集个人征信信息的管理要点
收集和使用用户个人征信信息用于贷前审查、信用和风险评价、贷后管理，是消费贷业务的必要流程。除了各类互联网平台涉及的个人信息合规问题外，消费贷平台还需要特别关注个人征信信息收集和使用的合规问题。
1. 查询、收集的信息范围
消费金融公司会向中国人民银行征信中心以及其他有个人征信业务资质的机构查询、收集用户个人征信信息。为了充分了解、评估用户的信用情况，消费金融公司还可能会向征信机构之外的主体（例如公积金、社保等公共服务机构，物流、通信运营商、电子商务平台、其他互联网平台等第三方经营者）收集用户信息，所收集的信息可能包括用户的财产信息、关系人、资信状况、就业情况、收入情况、婚姻情况、学历信息、地址信息、位置数据、通讯行为、互联网使用行为等。
在收集这些信息时，一方面，需要关注将其用于信用评价的正当性和合理性，即这些信息是否能够准确反应个人信用情况、与个人信用的关联度如何；另一方面，即使收集这些信息用于信用评价具有合理性，也需要考虑其必要性，如果在征信机构提供的信息已经能够满足必要的信用评价需要时，再行广泛收集各类第三方提供的信息，其必要性会受到质疑。
2. 收集信息的目的和用途
实践中存在消费贷平台在授权文件中载明所收集信息的类型、范围与其用途、目的缺乏对应性的情况，用户无法分辨这些信息是基于贷前审查、信用评价的目的收集，还是基于改善服务、广告营销等其他目的收集。
3. 收集个人征信信息、取得用户授权的形式
通过平台服务协议或隐私政策集中取得用户授权，是互联网平台的通常做法。但是，消费贷业务涉及个人征信信息等敏感信息种类较多，且收集行为一般发生在用户申请贷款（而非注册为平台用户）时。因此，对于需要向征信机构等第三方查询、收集的用户个人征信信息，可以考虑在用户申请贷款环节、以用户签署专项授权书的方式取得授权。
（二）金融数据存储、管理要点
金融业属于《网络安全法》规定的关键信息基础设施，应当特别注意遵循《网络安全法》有关关键信息基础设施的运行安全要求，例如，开展消费贷业务，对于在中国境内运营中收集和产生的个人信息和重要数据应当在境内存储。
消费金融公司作为从事信贷业务的金融机构，应当参照《个人信用信息基础数据库管理暂行办法》《银行业金融机构数据治理指引》等监管要求进行金融数据报送、管理。
二、消费贷所涉消费场景的数据管理要点
由于消费贷业务具有消费和金融的双重特点，因此，消费贷平台除贷款服务外，通常也会创设消费场景，提供商品销售、分期购等服务，以使消费和贷款互相促进。
消费贷平台提供商品销售服务、同时具有电商平台属性的，需要关注电商平台特有的数据合规问题（具体见《电商平台数据合规法律要点|天元数据合规系列》）。实践中存在部分消费贷平台未就电商业务建立、健全服务协议和规则，或者未就电商业务中收集使用用户个人信息明确与用户约定的情形，需要注意规范。
天元数据合规服务
天元团队连续二十余年为TMT行业提供法律服务，对通信及互联网产业政策、行业发展和变迁历程、以及业务有着深刻的理解和感受。从2012年底全国人大常委会关于公民个人信息保护的第一个专门性法律颁布至今，天元持续为行业内领先的企业客户提供数据合规、用户个人信息保护、网络和信息安全方面的法律服务。天元数据合规服务包括：对企业的业务模式、业务规则、业务流程以及业务方案中涉及的用户个人信息保护、数据使用与安全、数据跨境等问题进行合规性审查和论证；为企业审查和起草用户个人信息协议、授权文件、隐私政策等文件；协助企业搭建数据业务合规体系，制订相关文件；以及数据合规培训。天元数据合规服务涵盖数据及个人信息的收集、使用、存储、管理、合作、经营以及数据跨境等业务及安全管理的全链条。