只要你申请过贷款，大概率就有数据公司对你做出过评估，且评估指标几乎涵盖购物、出行、支付、外卖、手机卡中数据流量情况等各个维度。如今，甚或是你近一段时间内在凌晨上网的痕迹，亦会成为各家数据公司与互联网公司反欺诈产品风控维度上单独列出的常见一项，而这些指标或正在影响着金融机构对你的信用评价。

从2013年互联网金融火爆，到2020年疫情加速金融机构线上化业务转型，精准获客与线上风控服务需求暴增，数据公司与流量巨头基于海量数据的各种应用输出，逐步成为银行、证券、保险等金融行业无法抗拒与割舍的工具。

而在“为金融机构输出建模与技术系统搭建研发门槛较高，短期难以得到高回报，属于吃力不讨好”的论调下，数据公司普遍选择了更轻松暴利的“数据生意”——表面上，其从事着输出建模和提供咨询业务，但私下却在非合规地收集数据、加工买卖。在国内数据立法仍然真空的环境下，这些数据公司迅速做大规模。另外，还有企业征信公司违规涉足个人征信业务情况。

流量巨头掌控数据资源

谁拥有或掌握着我们在互联网上留下的痕迹？

中国银保监会主席郭树清曾发表演讲表示，“目前，各国法律似乎还没有准确界定数据财产权益的归属，大型科技公司实际上拥有数据的控制权。”

事实上，当你在上网社交、购物、娱乐、阅读时，已经进入数据采集的范围。

当接受免费或收费的服务时、安装打开APP时，用户都需要勾选用户隐私协议，约定平台对用户个人信息、上网痕迹等数据的采集、使用等权利。实际上，多数情况下这种勾选行为是带有强制性的，即不勾选就无法享受服务或使用APP。然而，这种勾选行为即代表着，平台获得了用户授权，可以采集用户数据，进而加工分析、共享给合作方，帮助其实现营销获客、金融风控等目标。

有监管科技专家告诉《中国经营报》记者，当前市场对数据商业化的定位并不清晰。互联网平台提供APP或服务，在免费获取用户海量数据并进行用户画像后，通常有两种做法：第一种是为金融机构加工数据、提供数据治理，将其变为商业判断；第二种是将数据运用于商业场景之中，找到用户需求，将购物、外卖、电影等商业场景引入，再布局消费信贷，利用数据资源和渠道优势与不具备获客能力的中小金融机构合作联合贷款助贷分润等等。

流量竞争的背后是对数据资源的野心。互联网流量平台一方面想尽办法采集更多维度的用户信息，另一方面寻找变现途径，利用这些信息谋取利益。

2020年中央经济工作会议将“强化反垄断和防止资本无序扩张”列为2021年八项重点工作之一，并明确提出要完善数据收集使用管理。

中国人民银行科技司司长李伟近期在一次内部研讨会上表示，近年来，一些机构违规滥用数据、扰乱市场秩序、侵犯消费者权益，引发一些突出的问题。比如凭借电商、社交媒体、游戏等领域积累大量用户群体和渠道优势，把持流量入口，通过一些霸王条款过度采集数据，成为数据寡头、搞赢者通吃。再比如，有的企业没有得到用户授权就肆意开展用户画像，然后进行“大数据杀熟”、过度营销和诱导消费。通过用户画像进行定制推送，侵犯金融消费者的知情权、选择权和隐私权。

马里兰大学教授弗兰克·帕斯奎尔（Frank Pasquale）提出的“算法黑箱”概念，将当下大数据时代称为“黑箱时代”。“黑箱”将所有重要信息记录清楚，个人只是信息的生产者，却不知道这些信息将被用于何处，会产生什么样的影响。

科技行业垂直媒体“浅黑科技”撰文举例，一个人如果在搜索引擎上搜了好多P2P平台的名字，甚至搜索了“不还花呗会怎样”之类的词汇，系统就可能认定此人的财务状况很差，可以给他打一个风险很高的分数。这时，如果他来到平台借钱，大概率将被拒绝。

第三方数据服务商的合规瑕疵

某金融科技公司产品负责人晓波向记者透露，“在监管合规要求之下，大数据公司转型压力非常大。”

相较于互联网公司基于自有平台用户数据开展业务或引入合作变现流量，数据公司合规性更加堪忧。不单单是因为其为银行等金融机构提供的快速核查欺诈和信用风险服务，与个人征信业务的边界模糊，其掌握数据来源也可能存在合规瑕疵。

比如，目前市面上数据公司提供数据产品的主要维度——多头借贷信息，即一般包括申请人一段时间内（7天到两年不等），在银行或非银行金融机构的申请次数。但这个次数是如何得出的呢？

晓波告诉记者，多头数据虽然经过去标示化等处理符合法律规范，但合规瑕疵始终存在。“机构并未授权大数据公司将用户在本机构申请记录提供给其他金融机构。再者，用户也未授权大数据公司可以将这个机构的信息，再次给别的机构提供服务。所以这两次授权都有可能存在瑕疵。”

记者获得的一家金融数据服务商的报价单就明确表示，该公司基于自有的海量数据，通过相关算法挖掘用户行为。服务项目包括身份证二要素验证（核查身份证姓名是否一致）、手机三要素验证（验证移动、联通、电信手机号与绑定身份证号和姓名是否一致）等。

“从合规性而言，谈何自有数据？以大数据公司提供的验证产品为例，身份证号与姓名是否一致的要素验证，第三方数据公司与服务C端的互联网平台不同，其自身并无C端平台，也无个人业务，按理也不会留存个人信息，本不会有掌握用户身份证号码与姓名的可能性。当金融机构请求核验要素，大数据公司为何能够达成服务（反馈数据验证结果）？”有从业者反问道。

记者注意到，有些大数据公司也注意到了合规要求。遂在其风控产品介绍中表示，其风控数据产品的底层数据均从合作的信贷机构处收集，即合规机构在合作期间上传的相关信息，所有数据的采集、加工、应用均经过所有人的授权许可。并特别表明：在无法取得合作方授权的情况下，公司将不留存此合作方的任何查询信息，无任何形式的网络爬取或短信截取。

不过，多位业内人士告诉记者，目前银行等金融机构出于自身保护的考虑，会将授权写得尽量笼统。

金融机构失去话语权

当前，消费信贷快速发展，个人征信需求越来越强。

奥纬咨询预计，中国消费信贷市场规模预计从2017年的10万亿元增长至2021年的16万亿元，年均复合增长率为12.47%。据公开报道，截至2020年11月末，央行征信系统收录有信贷记录的自然人6.1亿人。

与此同时，随着普惠金融的推进，金融机构开始深入三四线城市及农村地区，加快服务下沉客群市场成为趋势。但下沉市场客户大多在央行征信没有记录，属于征信“白户”，这给银行与非银机构准确判断个人信用提出了难题。

而在数据公司与互联网巨头的前后夹击之下，部分金融机构对其提供的大数据风控服务支持也逐步产生依赖。

有持牌消费金融公司高管对记者表示，目前公司很大成本是花在第三方数据上，因为央行征信之外的商业数据都是市场化的价格。“消费信贷市场普遍面临数据成本的压力。”

记者了解到，目前包括国有大行在内的金融机构，其风控在多头借贷信息领域普遍面对“非A即B”的选项。

“目前我们风控依赖数据，而数据是需要合作的，但靠我们一家数据远远不够，必须寻求外部合作。”另一家消费金融公司负责人也表示。

有业内人士表示，目前头部数据整合性公司，都是在行业市场化早期对接了不少渠道，因而快速崛起。

监管显然也注意到了这些风险。“有的企业有了数据等于有了筹码，就会出现妨碍公平竞争、攫取超额利益等现象。一些金融机构在数据合作中失去话语权，不正当竞争就此形成。”李伟表示。

中国银行法学研究会理事肖飒表示，日前央行发布的《征信业务管理办法（征求意见稿）》（以下简称“《管理办法》”）对于征信也进行了引导与规制。“我们发现其中增加了反歧视、反垄断性质的条款，同时，对于征信不公对个人和企业将产生的潜在危害进行了原则规定。”

在金诚同达上海办公室高级合伙人彭凯律师看来，目前对非持牌机构的监管已不断趋严。“在过去，数据行业与金融行业不受监管，边际成本极低：数据行业依靠数据分析能力可以批量化处理信用信息获利，金融行业依赖便捷、获取门槛低的信用分析结果进行风险判断和金融决策，但现在信息处理和使用均需要遵守信息安全的规范要求，包括遵循‘最少、必要’原则和用于合法、正当目的，数据行业和金融行业必须规范经营，野蛮生长将直接面临行政处罚甚至刑事风险。”

“对于大数据公司来说，当前最赚钱的仍是数据服务。数据产品利润率高，边际效应明显，但随着数据相关立法的不断完善，数据服务的合规性瑕疵会慢慢凸显。对于大数据公司，特别是本身就不产生数据的大数据服务公司，必须尽快割舍数据服务，向模型服务、风控咨询以及其他数据加工相关服务转型。”晓波强调。

行业普遍认为，数据加工业务虽然合规，但成本相对数据服务较高，银行驻场模式下要投入高人力运营成本，属于重资产模式。

对此，晓波认为，在当前情况下，大数据服务商需要思考的是如何让产品能够标准化。“大数据服务商已经完成了他们第一桶金的挖掘，当下最重要的是要思考第二业务发展点究竟在哪儿？”

金融科技行业专家苏筱芮告诉记者，开年就有企业征信机构收到巨额罚单，充分释放出这样一种市场信号：征信业务属于金融业务，必须持牌经营，需要经过中国人民银行批准，市场机构不得擅自从事个人征信业务活动。未来，从事数据利用、数据处理相关的工作，要更加重视信息安全、隐私保护与金融消费者的权益保护，持牌经营是监管导向。

告别野蛮生长

在监管持续收紧的背景下，留给数据行业合规转型发展已经所剩无几。

2021年1月11日，央行公布的《管理办法》，是继2013年《征信业管理条例》《征信机构管理办法》后，征信行业即将迎来的又一重磅新规。

山东潍坊市地方金融监管局副局长欧永生告诉记者，如《管理办法》落地执行，将是征信法治化建设的重要一步，将在引导征信业健康发展，完善征信体系等方面发挥重要作用。《管理办法》坚持了底线思维，对信用信息和征信业务做了明确规定，为开展征信活动，尤其是为市场开展个人征信活动设立标准、底线。“一方面进一步重申和落实凡金融业务和活动必须纳入监管的要求。另一方面，对保护信息主体权益提出了更高要求，明确了规范信用信息的使用，保障用于合法目的。”

欧永生表示，《管理办法》明确以“信用信息服务、信用服务、信用评分、信用评级、信用修复”等名义对外提供征信功能服务，适用本办法。应该说对目前社会上非持牌机构影响较大，将面临合规风险，一旦落地执行，将受到严格监管。

《管理办法》同时也明确金融科技公司可以与征信机构合作，提供有关数据处理服务；或者征信机构可以委托其他机构向信息主体提供免费信用报告查询服务。可以说，这是金融监管部门对金融行业归位尽责的要求，因此非持牌征信服务机构应该尽快转型，可按照办法提出的路径与征信机构进行合作；或者尽快向科技外包、技术赋能、业务聚合等纯科技类公司转型发展。

“数据行业与征信深度融合，在推动征信体系完善的同时也会带来数据行业的蓬勃发展。金融行业将随着征信行业的规范发展，进一步破解投融资双方的信息不对称，进一步创新更多基于信用的金融产品和服务，降低金融服务成本，提升金融服务实体经济效率和质量。”欧永生展望道。

在具体影响方面，彭凯表示，《管理办法》落地执行将主要给数据行业、金融行业带来“纳入监管的企业及业务范围增加、企业经营风险剧增、经营成本上升利润空间降低”等三方面的影响。

彭凯指出，根据现行的《征信业管理条例》第二条，“征信业务，是指对企业、事业单位等组织（以下简称企业）的信用信息和个人的信用信息进行采集、整理、保存、加工，并向信息使用者提供的活动。”在当时（2013年）的立法环境下，对信贷场景中的信贷记录类信息（包括借贷信息和逾期记录）进行处理是最常见的征信业务，而《管理办法》将“信贷”场景扩大到“为金融经济活动提供服务”，将信用信息种类和范围扩增为“用于判断个人和企业信用状况的各类信息。包括但不限于：个人和企业的身份、地址、交通、通信、债务、财产、支付、消费、生产经营、履行法定义务等信息，以及基于前述信息对个人和企业信用状况形成的分析、评价类信息。”由此，使得原先“信用信息”概念和范围界定不明的法律滞后局面被打破，原先不受《征信业管理条例》的数据行业和金融行业机构，都有可能被纳入央行征信监管。

“事实上，随着互联网科技（如大数据、AI算法、数据建模）和互联网金融平台（如P2P、小贷、互联网商业银行、分期购物平台等）的发展，市场对于个人征信的需求早已从信贷查询扩大到征信查询、进件审核、身份核验、债务清收、风险控制、大数据分析、信用评级、用户画像分析等。此前，这些业务未被定义为征信业务，如征信管理意见稿落地执行，从事上述业务将可能被定性为‘征信业务’，进而成为‘烫手山芋’。《征信业管理条例》第七条明确规定，‘未经国务院征信业监督管理部门批准，任何单位和个人不得经营个人征信业务。’一旦无证经营个人征信业务，就有可能面临着企业被取缔、没收违法所得，并处以5万元～50万元的罚款以及构成刑事犯罪的风险。”彭凯补充道。

晓波进一步表示，当前，国家正在加快推进个人信息保护法、数据安全法等新法律的出台，监管正在更大力度的规范个人信息的依法合规使用。大数据行业也将随之向好发展。“这是一个良币驱逐劣币的过程。在此过程中，保证持牌机构来开展个人征信业务，去依法合规的使用个人数据。原本的大数据服务商可以从事数据加工、数据洞察等分析服务。比如研发联邦学习、安全多方计算等技术，提高数据与数据之间的共享技术能力将会成为趋势。目前很多国家机关以及国企比如发改委、央行、税务总局、国家电网都将数据进行共享，建议下一步由政府牵头，建立规章制度与规范，推进行业标准的制定，相信未来通过国家力量，能够更好的发挥数据的价值，让数据要素市场良性发展。”

彭凯认为，未获得个人征信牌照的从业机构尚未到穷途末路之时，因为当前持牌机构只有百行征信和朴道征信，两家独大不符合市场需求，也不利于市场竞争，尤其是金融风控，不能缺少信用信息分析。对于非持牌征信机构，征信管理意见稿并非一棒子打死，非持牌机构可以取得征信机构的授权为个人信息主体提供免费信用报告查询服务，也可以与征信机构合作，为金融经济活动提供个人或企业信用信息及信息处理。但必须寻求持牌机构的授权或合作才能继续开展征信业务，无论是与持牌机构洽谈磋商的成本，还是支付的合作费用都是一笔飞来横‘债’。”

全联并购公会信用管理专业委员会常务副主任、研究员刘新海表示：“《管理办法》对信用信息进行了定义，并对采集和使用中的信用主体的信息保护和数据安全进行了规定。短期来看，会增加数据行业和金融行业的合规成本。但长期来看，通过保护信用主体权益来获得信用主体信任，对规范行业以及促进行业在数字经济中未来健康发展有积极作用，但关于信用信息的定义从专业角度有待商榷。”

值得注意的是，记者日前在暗访中发现，多家数据公司仍然对记者表示，其数据产品可以提供个人用户信息核验、信用风险与欺诈风险查询服务。对于数据行业未来的发展，本报将持续关注。