一纸新规，或许将改变数据行业的发展格局。

央行日前发布《征信业务管理办法（征求意见稿）》（下称《办法》）。这是继2013年《征信业管理条例》和《征信机构管理办法》实施后，征信行业有望迎来的又一重磅新规。

《办法》扩大了征信业务的监管范畴，并对信用信息做出更为广泛的界定，这是一个被业界广泛关注的新现象。“《办法》释放了一个信号：此前，许多与金融机构合作的数据公司都不在金融监管体系内，今后，他们都要纳入央行监管。”一位第三方数据服务公司CEO说。

▲在2018年中国国际金融（银行）技术暨设备展览会上，观众在中国人民银行征信系统打印自己的信用情况。图/新华社发

数据公司被纳入监管当然是好事，消费者的数据安全将进一步得到保护。但是，在《财经国家周刊》的采访调研中，也有一些数据行业从业人员提出了疑问。

从过往公开信息来看，在央行之前，网信、公检法、市场监管、消协、计算机安全等相关领域的主管部门，发文、约谈、检查、执法……都曾将数据行业纳入过管辖范围。

“我们要应对一轮轮的检查，哪个部门来都不敢怠慢，各个部门之间的监管也没有一个固定的标准和机制，企业疲于应付。希望能尽快立法统筹，减少企业的合规成本。”某企业数据安全负责人说。

央行出手，入局数据监管

当前，风控数据已经不限于金融领域的信贷数据进行收集、加工和使用。一些教育背景、社交活动、上网行为等信息，都被用于判断个人和企业的还款意愿和还款能力。

因此，一些互联网贷款公司在进行贷款审批的过程中，会尽可能多地采纳多元信息。这也促进了第三方数据公司的发展。在这个过程中，行业确实出现过买卖个人数据、侵犯公司隐私的事件发生。

这是央行出手规范征信行业的一个大背景。

那么，谁在这个监管范围内？

按照《办法》，“在中华人民共和国境内，对个人和企业、事业单位等组织（以下统称企业）开展征信业务及其相关活动的，适用本办法。”

对此，有金融行业人士提出，这一监管对象该如何判定？仅指持牌征信机构，还是包括一些第三方数据公司。“第三方的数据服务公司该怎么定性，何事可做，何事禁止，需要通过什么途径做，可能需要《办法》再进一步明确界定。”一位从业者认为。

《办法》最后提到：与征信机构合作，为金融经济活动提供个人或企业信用信息的其他信息处理者，应当在签署合作协议后向中国人民银行或其副省级城市中心支行以上分支机构报备。

“这是相关规定第一次使用‘其他信息处理者’这个说法。从业者可能第一反应是希望进一步明确：这说的是我吗？”一位投身风控行业逾十年的资深专家说。

除了监管对象，从记者调研反馈的情况来看，另一项行业人士认为需要在正式文件中明确的点，是数据界定标准。

按照《办法》，征信机构采集信用信息，应当遵循“最少、必要”的原则，不得过度采集。“银行类金融机构在风控及展业过程中会使用很多数据，因此最为关心的是该办法的可操作性。比如，涉及到‘交通、通信、债务、财产、支付、消费、生产经营、履行法定义务’等信息，如何界定‘必要、最少’原则。不同的界定标准可能会导致采取不同的措施，较为模糊的规定很可能对后续操作带来隐患。”某国有大行金融科技主管说。

▲图/图虫创意

尽快做好意见征集，确定细则，成了整个行业的期待。“银行一直在问，你们安不安全，能不能跟你们合作。《办法》正式出台后，我们再看，能做就做，不能做就关门吧。”前述数据服务公司CEO表示。

多头监管和管放平衡问题待解

其实，关于金融数据的规范和治理，各部门一直在行动。

2019年11月，公安机关开展APP违法采集个人信息集中整治，下架整改100余款违法违规APP，其中，包括光大银行、天津农商银行、天津银行等3家银行APP被点名。

2020年1月13日，国家计算机病毒应急处理中心点名25款应用，其中22款“未向用户明示申请的全部隐私权限，涉嫌隐私不合规”。金融领域有6款应用，包括民生银行、兴业银行两家股份制银行，以及内蒙古三家银行和海峡银行。

“数据的形态特别复杂，没边界，监管也是一样，现在是‘N龙治水’，有关部门都出动了，对APP的数据安全和隐私保护进行检查。”前述企业数据安全负责人说，“所有部门都来检测，这其实没有问题，但问题在于，标准是什么？每个部门都有自己的标准，这次检测说我们合格了，大家特别开心，下次检测说我们不合格，就要整改。”

此外，如果为银行提供服务的第三方公司都被划入“征信机构”，监管起来难免力不从心。

一方面是检查人手的不足。“央行征信部门起码要扩充好几倍才能够完成。如果落地很难，很多文件到最后有可能就成了空文，没有根治性效应，或者象征性地执法。”一位曾经在央行征信中心工作过的资深专家说到。

另一方面是监管技术的挑战。“机器学习、人工智能的各种评估方法不同于简单的数据收集和整理，它有非常强的技术性，并且在日新月异地发展。要监管技术，就要考虑有没有相应的技术能力来实现监管。”上述风控行业专家说。

有业内人士建议，在立法上，希望能够考虑个人隐私保护的短期压力和数据行业长期发展的平衡。在执法上，建议慎用媒体曝光和刑事手段。

“既然以规范为目的，就要规范的方式，而不是一棍子打死不给改错机会，要促成行业对话。其次，刑事手段的使用对营商环境，尤其是对私营企业经营者的安全感影响非常大。希望在规范的基础上要慎用刑事手段，多用管理、规范、沟通，让大家整改。”这位行业人士说。

记者采访的专家普遍认为，数据已经成为新基建的关键，随着行业发展阶段的变化，监管也宜从重拳治乱转变为建立秩序，对于这个新生事物，如何把握数据安全与行业发展之间的平衡，避免一放就乱，一管就死，是数字化时代摆在各主管部门面前的一大新课题。