鹏元征信陷“通道”罗生门 超范围收集个人敏感信息
鹏元征信截至目前仍未取得“个人征信牌照”，旗下的数兜兜及天下信用存在超范围收集个人敏感信息的现象。个人隐私信息保护工作迫在眉睫，昔日八大个人征信试点机构之一的鹏元征信是否脚踩监管红线？
《投资壹线》刘逸伦
近日，有新闻媒体报道称，老牌征信机构鹏元征信有限公司（以下简称“鹏元征信”）旗下个人征信平台天下信用与现金贷平台合作收取砍头息，消息即出引发各方关注。
今年9月份，还有新闻媒体报道称，鹏元征信涉及个人敏感数据的产品数兜兜下架，从披露出的产品介绍来看，数兜兜涉及多项个人敏感信息，如手机核查及状体时长信息、个人卡交易流水信息等。
此外，《投资壹线》观察发现，天下信用APP的隐私政策中存在多项个人敏感信息的收集，并且在其隐私政策中明示可供关联及合作方使用。分析人士称，鹏元征信目前未取得个人征信牌照，对于这样的公司，其在收集个人敏感数据上应该有所限制和区别。
现金贷平台通道？
近日，据《消金时代》报道，天下信用与现金贷平台合作以“风险评估费”名义扣取贷款砍头息。《投资壹线》观察到，在聚投诉平台中，借款人陶先生于2019年10月14日在如期分期平台借款并到账16800元，APP显示每期还款1662.67元，总还款金额19952.10元。10月16日，陶先生银行卡被扣除840元，并收到短信通知天下信用扣除风险评估费用以加快放款速度。陶先生称，“本人从签约到扣款期间从未主动索求过该服务，同时担保费和风险评估报告费用在前期合同签署时并未写明扣款方式及时间，未明确说明不含在总金额之内。”
鹏元征信成立于2005年4月8日，法人代表为谷国良，主营业务为提供个人及企业风险筛查、智能风控分析决策及中小企业信用风险控制等综合信用服务。天下信用则是鹏元征信公司旗下的互联网个人报告查询服务平台，提供个人报告查询、企业信用报告查询、生活服务等功能。据天眼查显示，其实际运营方深圳凤凰木网络有限公司（下称“凤凰木网络”）成立于2017年5月5日，法人代表谷国良通过直接和间接持有的方式控股该公司56%的股份。
据《投资壹线》不完全统计，天下信用曾先后与9个现金贷平台合作，分别为如期分期、省呗、弹元宝、弹个花、蓝箭分期、闪电借、闪送现金、快鱼分期，天天速递。目前，在聚投诉平台，天下信用及其实际运营商凤凰木网络的投诉量达570例，解决量为494例。在已解决的投诉贴中，天下信用的工作人员会主动联系借款人与其沟通，若涉及退款事宜则由贷款平台进行解决。在聚投诉中，借款人程先生称，如期分期平台客服与其已取得联系并称（聚投诉）结案3天内退回475元天下信用评估费用，程先生已保存录音。
对于公司与现金贷平台联合收取砍头息的信息，鹏元征信公司方回应称，“针对近期网上对我公司严重不实报道，我们已迅速采取法律行为维护我们的合法权益。”
对于上述征信公司、保险公司与P2P、现金贷、消费金融机构这种合作模式，西南财经大学普惠金融与智能金融研究中心副主任陈文表示，息费加总不得超过36%，这个需要穿透来看，以任何方式变相收取高息费都是不允许的。如果征信公司为放贷平台提供了风控服务，也应当是放贷平台支付相应费用给征信公司。对于征信公司而言，在这样的一个过程中有通道化的倾向，在收取相应的服务费用同时，也不排除以各种关联交易或明目返还部分收益给放贷平台。
《投资壹线》就鹏元征信旗下天下信用公司与现金贷平台合作的具体内容向公司方求证，公司并未进行回应。
超范围收集个人信息
今年9月份，有新闻媒体报道称，鹏元征信涉及个人敏感数据的产品数兜兜下架，从披露出的产品介绍来看，数兜兜涉及多项个人敏感信息。《投资壹线》具体核实发现，数兜兜官方网站已无法打开，数兜兜工作人员告诉《投资壹线》，“官网正在修改，拟更完善产品服务，数兜兜及官网的使用及开放时间会另行通知。”
数兜兜是鹏元征信于今年8月份推出的在线数据撮合及交易平台，其不仅提供自营数据产品，还提供第三方数据产品。从媒体披露出的数兜兜产品介绍来看，其“风险信息查询”模块中包含了多种个人敏感信息，如“个人反欺诈分析（高级版）”产品项目提供了个人反欺诈综合报告，其中涵盖个人手机核查及状态时长信息。“卡多笔交易记录验证”项目则提供查询个人卡交易流水记录。据悉，鹏元征信提供的“手机核查及状态时长信息”，包含了手机号码、运营商名称、手机号码归属地、手机号码状态、手机号在网时长。
业内人士将上述信息称为“电信（运营商）数据”。10月末，有消息人士称，鹏元征信计划在11月停止电信数据产品，截至发稿前，该消息并未得到鹏元征信相关人士的印证。
此外，《投资壹线》发现，在天下信用APP的隐私政策中，有如下表述，“为了更好向您提供服务，您授权天下信用在您使用相关服务时收集您的信息，包括但不限于您的手机号码、账号信息、身份证件信息、交易信息、履约信息、联系信息、职业信息、政务信息、设备信息、资产信息、位置信息、银行账户信息、贷款信息等，具体如下图所示：
同时，在天下信用APP的隐私政策中，还显示了天下信用将和关联公司及授权合作伙伴共享个人隐私信息。不仅如此，据知情人士向《投资壹线》称，鹏元征信销售经理曾向客户销售天下信用个人征信报告接口，9月份大数据行业遭遇严监管风暴后，鹏元征信下架了多款数据产品。
值得注意的是，在天下信用APP注册环节用户必须同意其隐私政策内容方可完成注册，这在某种程度上预示着，其隐私政策中的所有内容已注册用户知悉并同意。
分析人士认为，征信机构或互联网服务提供者大多使用格式条款，格式条款的形式不影响合同效力，但隐私政策中如有涉及违反法律、行政法规强制性规定的霸王条款，则该条款无效。而在隐私政策中，除收集常规信息外，天下信用要求收集个人隐私信息还包括“政务信息、资产信息、日志信息、位置信息、生物特征及相关附加信息等”，这样的隐私政策格式条款显然属于过度收集个人隐私信息，涉及合同部分条款无效的情形。
《征信业管理条例》第十三条规定：“采集个人隐私信息应当经信息主体本人同意，未经本人同意不得采集，但是，依照法律、行政法规规定公开的信息除外”。上海市经建律师事务所主任应慧鹏律师认为，上述隐私政策中虽然告知用户会将收集来的信息与关联公司和授权合作伙伴共享的条款，但由于“关联公司”、“授权合作伙伴”、“必要的个人隐私信息”、“共享”等词汇过于模糊和宽泛，容易导致用户的个人敏感数据被无限制的传播、复制和利用，出现擅自披露、提供个人隐私信息的情况发生，应予以纠正，在收集个人隐私信息方面要遵守“必要与最少限度”的要求和合法的原则。
应慧鹏律师还称，除用户授权及提供经过处理无法识别特定个人且不能复原的以外，无论征信机构或者互联网服务提供者，如违法提供或者出售信息，给信息主体造成损失的，依法承担民事责任；构成犯罪的，依法追究刑事责任。
鹏元征信官网多个方面数据显示，目前其服务银行客户520多家，服务机构客户3500余家，年提供8.5亿份信息报告，中国平均每2个人就有1人使用鹏元征信的信息报告。
值得注意的是，2018年10月，鹏元征信成为国家发改委批准的27家“综合信用服务试点机构”之一，但截至目前仍未取得经行政许可的“个人征信牌照”。2018年2月，央行向百行征信有限公司颁发首张个人征信牌照，其中鹏元征信是八家市场机构股东之一，股份占比8%。
根据《征信业管理条例》，公司是否有资格开展个人征信业务，取决于条例中规定的是否取得国务院征信业监督管理部门批准。从这一角度来说，鹏元征信并未取得个人征信牌照。北京志霖律师事务所副主任赵占领称，“没有个人征信业务牌照但从事了个人征信业务的公司违反了相关法律规定，这涉及到行政管理的问题。”
关于鹏元征信及其旗下天下信用将如何有序开展个人征信业务，《投资壹线》将会持续关注。（投资壹线出品）■