金融機構(gòu)催收外包過程中個人信息保護問題研究

趙 坤

（中國互聯(lián)網(wǎng)金融協(xié)會，北京 102425）

一、金融機構(gòu)催收外包個人信息保護現(xiàn)狀

（一）催收外包成為金融機構(gòu)逾期債務催收的重要方式

催收外包指金融機構(gòu)將逾期債務委托給催收公司，由其在金融機構(gòu)授權(quán)的基礎上向債務人催收、主張債權(quán)，引導債務人履行債務清償責任的行為和過程?，F(xiàn)代金融產(chǎn)業(yè)鏈條分工不斷細化是金融市場發(fā)展成熟的必然趨勢。從國內(nèi)外信貸行業(yè)實踐看，發(fā)揮催收公司在人力資源、屬地資源、管理制度以及信息修復手段等方面的專業(yè)優(yōu)勢，有利于金融機構(gòu)降低催收成本、提高催收回款率。尤其中小金融機構(gòu)受管理能力、管理成本、系統(tǒng)支撐能力等因素制約，不具備大規(guī)模自建催收團隊的能力，因而更加依賴于外包催收。委外催收主要是商業(yè)銀行、消費金融公司等將逾期時間較長、逾期金額較大、客戶風險等級較高的貸款外包給催收公司。在業(yè)務結(jié)構(gòu)上，金融機構(gòu)委外催收主要為個人消費貸款、個人經(jīng)營性貸款和個人信用卡業(yè)務。常用催收方式包括電話催收、上門催收、法律催收。理賠追償主要是保險公司為各類個人消費信貸提供信用保證保險，當客戶出現(xiàn)違約時，保險公司承擔代償責任，同時協(xié)助銀行開展催收，其業(yè)務結(jié)構(gòu)和催收方式與委外催收大致相同。

（二）催收外包中的主要信息交互方式

金融機構(gòu)將逾期債務委托給催收公司，由催收公司向債務人催收、主張債權(quán)，要實現(xiàn)這一過程，金融機構(gòu)必須為催收公司提供一種可以觸達債務人的聯(lián)系方式，即金融機構(gòu)需要與催收公司進行債務人個人信息的交互。從行業(yè)實踐看，傳統(tǒng)信息交互方式是金融機構(gòu)直接通過郵件傳輸?shù)仁侄螌鶆杖诵畔⑥D(zhuǎn)移給催收公司，其弊端在于可能存在信息泄露或者信息倒賣等風險。為了規(guī)避這種風險，一些技術及資金實力較為雄厚的金融機構(gòu)開始自建統(tǒng)一的催收管理平臺，在這種模式下，催收公司直接通過金融機構(gòu)的催收管理平臺觸達債務人，在整個催收過程中，債務人的個人信息始終處于金融機構(gòu)可控系統(tǒng)內(nèi)部，大大降低了個人信息泄露風險。

1.郵件傳輸方式

部分金融機構(gòu)通過郵件加密傳輸方式將客戶信息提供催收公司（見圖1），催收公司下載客戶信息存儲在本地系統(tǒng)，金融機構(gòu)一般以合同約定方式要求催收公司采取敏感客戶信息脫敏、委案期結(jié)束后銷毀數(shù)據(jù)等措施保護個人信息。同時，金融機構(gòu)會定期或不定期派遣委外專員督導檢查催收公司個人信息保護措施落實情況。在郵件傳輸方式下，金融機構(gòu)需要與催收公司定期同步客戶還款信息，同步頻率一般為1-3天，少數(shù)機構(gòu)可以每30分鐘同步一次。此外，催收公司也可通過專線電話實時查詢借款人還款情況。

圖1 郵件加密傳輸信息方式

2.系統(tǒng)查詢方式

部分金融機構(gòu)通過自建內(nèi)外統(tǒng)一催收管理平臺，為催收公司開展業(yè)務提供客戶信息查詢服務（見圖2）。該方式避免了客戶信息“落地”到催收公司，但從行業(yè)實踐看，多數(shù)催收管理平臺采用明文顯示，仍然存在風險隱患。在信息同步上，一般由金融機構(gòu)或聯(lián)合放貸機構(gòu)為客戶提供還款通道，并將客戶還款信息實時同步到催收管理平臺。

圖2 自建催收系統(tǒng)信息查詢方式

從行業(yè)實踐看，傳統(tǒng)金融機構(gòu)主要采用加密郵件/sftp/接口傳輸方式與催收公司進行信息交互，個別機構(gòu)建立了內(nèi)外統(tǒng)一催收平臺，或兩種方式兼而有之。相比之下，多數(shù)互聯(lián)網(wǎng)金融機構(gòu)建立了內(nèi)外統(tǒng)一催收平臺，僅個別機構(gòu)仍采用傳統(tǒng)加密郵件/sftp/接口傳輸方式?？傮w而言，新興的互聯(lián)網(wǎng)金融機構(gòu)在線上化催收技術應用方面領先于傳統(tǒng)金融機構(gòu)。

（三）催收外包信息交互呈現(xiàn)規(guī)模大、維度廣的特征

1.信息規(guī)模大

互聯(lián)網(wǎng)金融的發(fā)展以及新技術的采用，使得金融機構(gòu)可以在風險和成本可控的情況下，經(jīng)營更大規(guī)模、具有“短小頻急”特點的個人消費信貸業(yè)務，在此過程中金融機構(gòu)會沉淀海量個人信息。與此同時，隨著金融機構(gòu)客群下沉以及經(jīng)濟周期等因素影響，逾期人數(shù)和待催收筆數(shù)有所上升，金融機構(gòu)對外部催收的需求增大，大規(guī)模逾期外包業(yè)務必然伴隨著海量金融用戶信息轉(zhuǎn)移。

2.信息維度廣

雖然《個人金融信息保護技術規(guī)范》等有關規(guī)定對個人金融信息保護提出了規(guī)范性要求，但個別金融機構(gòu)對外提供的客戶信息維度仍然較為寬泛，個人信息保護“最小夠用原則”尚未得到全面落實，除了客戶姓名、聯(lián)系電話、身份證號碼、銀行卡號、逾期金額、逾期時間以及緊急聯(lián)系人等基本信息外，還會提供婚姻狀況、學歷信息、個人及單位地址、社交信息、網(wǎng)絡行為信息等，保險公司則會額外提供客戶保單信息。

（四）金融機構(gòu)通過“技防+人防”落實個人信息保護要求

目前，金融機構(gòu)普遍建立了催收外包管理制度，通過“技防+人防”相結(jié)合的方式加強個人信息的保護。

在“人防”方面，主要通過建立催收外包管理制度對催收公司加以規(guī)范。首先，強化金融機構(gòu)內(nèi)部管理，加強“事前準入+事中監(jiān)測+事后處罰”，完善金融機構(gòu)個人信息保護各項內(nèi)控制度；其次，要求催收公司加強個人信息保護，與催收公司及催收人員簽署保密協(xié)議，要求催收公司定期開展員工培訓考核；最后，加強作業(yè)現(xiàn)場管理。作業(yè)場地實行封閉式管理，進行實時攝像監(jiān)控，禁止催收人員攜帶手機。不定期開展催收現(xiàn)場檢查，消除風險隱患。

在“技防”方面，部門金融機構(gòu)探索利用合規(guī)科技手段自建內(nèi)外催收統(tǒng)一管理平臺。一是系統(tǒng)上線前必須做滲透性測試，針對滲透性測試問題必須完成整改；二是貸后催收管理系統(tǒng)實施內(nèi)外網(wǎng)隔離，實現(xiàn)信息可訪問但不可保存；三是對催收員權(quán)限進行統(tǒng)一管理，自動保留信息查詢?nèi)罩荆ㄆ跈z查系統(tǒng)服務器漏洞，包括異常登錄、敏感信息查詢下載等；四是對客戶敏感信息進行脫敏，少數(shù)貸后催收管理系統(tǒng)的電話催收采用“一鍵呼出”方式；五是利用智能語音識別技術對通話內(nèi)容進行全程監(jiān)控，以便及時發(fā)現(xiàn)、處置催收人員的違規(guī)行為。

（五）逾期債務催收方式由線下轉(zhuǎn)為線上

隨著數(shù)字經(jīng)濟規(guī)模的擴大，線上催收優(yōu)勢更加凸顯，成為行業(yè)發(fā)展的必然趨勢。一是非接觸。為滿足新冠肺炎疫情期間社會各方對“非接觸式”金融服務的特殊需求，金融機構(gòu)開始依托線上渠道開展催收業(yè)務，降低人員聚集和面對面接觸風險。二是成本低。個人消費信貸業(yè)務具有小額分散的特點，線下催收難以覆蓋人工成本，短信、電話等線上催收方式成本相對較低。尤其是隨著人工智能技術的發(fā)展，部分金融機構(gòu)或催收公司開發(fā)了催收機器人及智能化的催收管理系統(tǒng)，可以根據(jù)歷史數(shù)據(jù)不斷優(yōu)化催收策略，增強預測外呼和人機協(xié)同，進一步提高催收效率，降低了催收成本。三是效率高。隨著金融科技的發(fā)展，大數(shù)據(jù)分析、人工智能語音等應用日漸增多，在一定程度上提高了線上催收的效率和效果。四是易管控。線下催收容易出現(xiàn)暴力催收、肢體沖突等問題，利用催收平臺開展線上催收可以對催收進行全程監(jiān)測管控，強化催收合規(guī)管理，減少可能引發(fā)的社會矛盾。

二、消費金融催收外包個人信息保護面臨的主要風險

（一）多數(shù)機構(gòu)采用傳統(tǒng)信息傳輸方式，個人信息保護存在風險隱患

傳統(tǒng)金融機構(gòu)采用“郵件傳輸方式”直接將個人信息提供給催收公司，導致個人信息脫離金融機構(gòu)信息安全區(qū)域管理，安全風險增大。此外，在傳統(tǒng)信息傳輸方式下，金融機構(gòu)需要與催收公司定期同步還款信息，對于部分未能催回欠款的客戶，還會轉(zhuǎn)送多家機構(gòu)催收，且無法保證催收公司在合作結(jié)束后及時銷毀客戶信息，個人信息保護風險隱患突出。部分互聯(lián)網(wǎng)金融機構(gòu)建立了統(tǒng)一的催收管理系統(tǒng)，提升了個人信息保護能力，但存在系統(tǒng)安全性不高、隱私保護不到位等問題?，F(xiàn)有催收管理系統(tǒng)信息查詢多為明文顯示，仍然存在安全隱患。

系統(tǒng)查詢方式在安全性上明顯優(yōu)于郵件傳輸方式，但傳統(tǒng)金融機構(gòu)在催收管理系統(tǒng)建設上相對遲緩，主要原因包括以下幾個方面：一是銀行等傳統(tǒng)金融機構(gòu)對于外部機構(gòu)直接訪問自身系統(tǒng)存在疑慮。在監(jiān)管部門尚未明確相關政策的情況下，直接將系統(tǒng)延伸至催收公司，可能會使客戶信息面臨更大的安全風險。二是部分中小金融機構(gòu)業(yè)務規(guī)模較小、技術能力有限，難以承擔自建系統(tǒng)的開發(fā)和運營成本。從行業(yè)實踐看，自建催收管理系統(tǒng)成本一般為100萬～500萬/每年，部分自建催收管理系統(tǒng)成本超過了1000萬/每年，且需要持續(xù)投入人力財力對系統(tǒng)進行維護、升級優(yōu)化等。三是催收公司傾向于采用自建催收管理系統(tǒng)，以便于充分發(fā)揮其在催收和信息修復等方面專業(yè)優(yōu)勢，為提高催收回款率，金融機構(gòu)往往對此采取默許態(tài)度。

（二）催收外包行業(yè)信息交互規(guī)模大、維度廣、機構(gòu)雜，加大個人信息保護難度

據(jù)銀保監(jiān)會公布的數(shù)據(jù)顯示，近年來金融機構(gòu)貸款逾期率、不良率呈上升趨勢，催收外包業(yè)務規(guī)模不斷增長，大規(guī)模催收外包必然伴隨著海量個人信息轉(zhuǎn)移。同時，催收外包信息交互維度仍然較為寬泛，涉及個人身份信息、金融資產(chǎn)狀況信息、賬戶信息、借貸信息以及個人信用信息、金融交易信息等。這些信息構(gòu)成了個人完整的金融消費畫像，一旦出現(xiàn)信息泄露將嚴重損害金融消費者合法權(quán)益，甚至引發(fā)社會信任危機。此外，催收市場魚龍混雜加大了個人信息保護工作難度。目前，全國共有數(shù)千家催收公司，不同公司在管理制度和技術水平上差別較大，增加了金融機構(gòu)的篩選成本，也加大了個人信息保護工作難度。

（三）個人金融信息保護標準落地執(zhí)行不到位，全生命周期個人信息保護機制有待加強

在國家層面，近年來人民銀行科技司、征信局分別從技術和業(yè)務等方面持續(xù)加強個人信息保護制度建設，相關工作取得顯著成效。2020年2月，人民銀行頒布實施了《個人金融信息保護技術規(guī)范》，規(guī)定了個人金融信息在收集、傳輸、存儲、使用、刪除、銷毀等生命周期各環(huán)節(jié)的安全防護要求，對于規(guī)范金融業(yè)機構(gòu)個人金融信息保護工作、提升金融數(shù)據(jù)風險防控能力具有重要意義。但從行業(yè)實踐看，目前仍有部分金融機構(gòu)對于個人信息保護不夠重視，或者因缺乏具體操作指引而在標準執(zhí)行層面存在困擾，個人信息保護要求尚未得到全面落實，非持牌金融機構(gòu)尤為嚴重。此外，由于金融機構(gòu)管理能力參差不齊，尤其中小金融機構(gòu)受資金規(guī)模和技術水平限制，對于催收公司的管理主要是遠程非現(xiàn)場督導，全生命周期個人信息保護機制有待加強。

三、相關建議

（一）探索建立統(tǒng)一的催收外包監(jiān)管科技基礎設施，不斷強化催收外包個人信息保護

針對傳統(tǒng)信息傳輸方式存在的安全技術風險，建議在現(xiàn)有個人信息保護監(jiān)管框架和標準化工作基礎上，充分發(fā)揮行業(yè)自律組織的資源優(yōu)勢和技術優(yōu)勢，探索利用“數(shù)據(jù)脫敏+多方安全計算”等金融科技手段，建立符合行業(yè)發(fā)展趨勢和金融機構(gòu)現(xiàn)實需要的催收外包監(jiān)管科技服務平臺。既打破當前貸后管理信息的“孤島”，實現(xiàn)信息綜合利用，提升全行業(yè)風控水平，又保障信息脫敏和按照規(guī)定用途使用，實現(xiàn)個人信息的全方位、全過程、全天候自動保護，促進行業(yè)合規(guī)發(fā)展。同時，利用獨立第三方行業(yè)自律組織的公信力整合各方資源，有利于降低各類機構(gòu)自行探索建設系統(tǒng)的時間成本和資金成本，優(yōu)化社會資源配置。

（二）積極推動個人信息保護標準落地實施，提升金融機構(gòu)數(shù)據(jù)治理能力

針對金融機構(gòu)、金融科技公司個人信息保護不到位的問題，建議在監(jiān)管部門指導下充分發(fā)揮行業(yè)自律組織作用，加大個人信息保護標準宣貫工作的力度，并加強標準測評和認證，積極推進標準的落地實施。通過標準、測評和認證三個環(huán)節(jié)形成個人信息保護管理閉環(huán)，促進個人金融信息的安全合規(guī)使用。此外，建議在個人信息保護政策框架下，結(jié)合催收外包業(yè)務特點，制定跨安全域個人信息保護操作指引和實施細則，建立完善覆蓋信息系統(tǒng)全生命周期的安全管理機制，切實防范個人金融數(shù)據(jù)被泄露、被篡改、被丟失和非授權(quán)訪問等風險，不斷提升金融機構(gòu)數(shù)據(jù)管理能力，充分挖掘數(shù)據(jù)要素資源價值潛力，促進金融市場的健康發(fā)展。

（三）充分發(fā)揮行業(yè)自律對行政監(jiān)管的補充作用，加強催收外包個人信息保護監(jiān)管科技支撐

建議依托催收外包監(jiān)管科技服務平臺加強行業(yè)監(jiān)管和自律管理，充分發(fā)揮行業(yè)自律對行政監(jiān)管的補充支撐作用。一是落實監(jiān)管政策和行業(yè)自律管理有關要求。依托行業(yè)自律組織資源，聯(lián)合“政產(chǎn)學研”各方力量，推動催收外包和個人信息保護有關監(jiān)管政策和行業(yè)自律管理要求內(nèi)嵌到監(jiān)管科技服務平臺中，提升全行業(yè)、全產(chǎn)業(yè)鏈個人信息保護能力；二是提供監(jiān)管科技服務支撐。針對監(jiān)管部門對于行業(yè)發(fā)展信息滯后的問題，應明確相關金融機構(gòu)或者金融基礎設施要為監(jiān)管部門提供監(jiān)管數(shù)據(jù)查詢接口。加強監(jiān)管部門對金融機構(gòu)、催收公司業(yè)務的實時監(jiān)測分析，以便及時了解行業(yè)發(fā)展動態(tài)，并根據(jù)行業(yè)最新發(fā)展實踐，加強業(yè)務合規(guī)動態(tài)管控，從而不斷提升金融風險的甄別、防范和化解能力。