个人信用信息

一句话定义：个人信用信息是指在借贷、赊购、担保、租赁、保险、使用信用卡等活动中形成的、能够反映个人履约状况的信息，以及由此衍生的行政处罚信息、法院判决裁定履行信息；它不是一个「什么都能装」的筐，法规用一张禁止采集清单和一张限制采集清单，把能装什么、装之前要不要额外征求同意，划得比一般人想象的窄得多。

这个窄，很多人没有概念。多数人以为「征信报告就是把我所有跟钱有关的事记下来」，实际上恰恰相反：跟钱最直接相关的那几类信息——收入多少、存款多少、买了多少理财、有几套房、交了多少税——恰恰是限制采集的。 真正的核心记录，是「你答应过什么、做到了没有」。

适用条件

一、两类清单：绝对禁止与相对禁止

条例第十四条只有两款，但它把个人信用信息的采集边界切成了三段。

第一段是绝对禁止。 禁止征信机构采集个人的宗教信仰、基因、指纹、血型、疾病和病史信息，以及法律、行政法规规定禁止采集的其他个人信息。这五类没有例外条款，不因为「本人同意」就能采。同意在这五类面前是无效的。

第二段是相对禁止。 征信机构不得采集个人的收入、存款、有价证券、商业保险、不动产的信息和纳税数额信息。但是，征信机构明确告知信息主体提供该信息可能产生的不利后果，并取得其书面同意的除外。

这六类有一个共同的例外通道，通道有两道门：第一道是「明确告知不利后果」，第二道是「取得书面同意」。 两道门都要过，只过一道不行。

第三段是「法律、行政法规规定禁止采集的其他个人信息」。 这是一个动态接口，把其他法律法规的禁止性规定接了进来。比如个人信息保护法对敏感个人信息的严格限制，就可以通过这个接口发挥作用。

三段的逻辑很清楚：有些信息，无论你怎么同意都不能采；有些信息，告知清楚了、书面同意了才能采；还有些信息，别的法律说不让采，这里也不让采。

二、绝对禁止的五类，为什么是这五类

这五类看起来杂乱——宗教信仰、基因、指纹、血型、疾病和病史。其实有一条共同的线：它们都与「信用」无关，但都可能被用来做歧视。

宗教信仰与还款能力、还款意愿没有任何统计上的因果关系，一旦进入信用评价体系，唯一的作用就是制造歧视。

基因是先天决定、终身不变的生物信息，一旦泄露无法更改。用基因做信用判断，在科学上没有依据，在伦理上不可接受。

指纹是生物识别信息，属于身份验证手段，不是信用信息。把它纳入征信，等于把「你是谁」和「你守信吗」混为一谈，而且指纹一旦泄露，终身无法重置。

血型与信用毫无关系，唯一可能的用途是健康风险推断，而这又落回歧视。

疾病和病史是最需要说清的一类。为什么禁止采集病史？ 因为一旦采集，保险公司、放贷机构就可能据此拒保、拒贷，而一个人得过什么病，与他的还款意愿没有关系。这一条保护的是「不因健康状况被金融系统排斥」的权利。

把这五类放在一起看，会发现一个共同的立法判断：征信记录能反映的，只能是「履约行为」；凡是不能反映履约行为、只能带来标签化后果的信息，一律不采。 这个判断标准，比清单本身更重要——遇到清单没列到的新类型信息，用这条标准去衡量，往往能得出正确答案。

值得注意的是，个人信息保护法第二十八条在 2021 年给出了敏感个人信息的定义和清单：生物识别、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹等信息，以及不满十四周岁未成年人的个人信息。条例 2013 年禁采的五类，与个保法 2021 年列明的敏感个人信息，高度重合。 立法有先后，判断逻辑一致：这些信息一旦泄露或者非法使用，容易导致人格尊严受侵害或者人身、财产安全受危害。

三、相对禁止的六类，那个例外通道怎么走

六类是：收入、存款、有价证券、商业保险、不动产的信息和纳税数额信息。

为什么这六类是「相对」而不是「绝对」禁止？ 因为它们与信用确实有关联。收入高、资产多，通常意味着还款能力强；纳税数额大，通常意味着经营规模大。关联是存在的，所以不能一刀切禁死；但关联不等于因果，所以不能随便采。

例外通道的两个要件，值得逐字拆。

「明确告知信息主体提供该信息可能产生的不利后果」——注意是「不利后果」，不是「用途」。 这两者差别很大。告诉他「我们会把你的收入用于评估」，是告知用途；告诉他「如果你提供了收入信息，而收入水平低于我们合作的机构的门槛，可能导致你的申请被拒绝」，才是告知不利后果。告知义务的重心在「不利」，不在「用途」。

「取得其书面同意」——书面，不是口头，不是勾选，不是默示。 在电子化场景下，可靠的电子签名、可追溯的确认记录，可以满足书面的形式要求；但一个默认勾选的复选框，通常不够。

两道门都要过。 只告知不书面同意，违法；只书面同意不告知不利后果，也违法。实践中出问题的，多是第二道门过了、第一道门虚设——同意书签了，但没人真的告诉过他可能有什么不利后果。

四、那句「不作为个人信息」的一刀

条例第十三条第二款：企业的董事、监事、高级管理人员与其履行职务相关的信息，不作为个人信息。

这一款解决的是企业征信的一个技术难题。做企业征信，必然要记录企业的法定代表人、股东、实际控制人、主要管理人员的相关信息——谁在控制这家公司、谁在签合同、谁被列为失信被执行人。如果这些信息一律算作个人信息，企业征信就没法做了。

所以立法者切了一刀：职务相关的，不算个人信息；职务之外的，仍然是个人信息。

「职务相关」的范围，通常包括：姓名、职务、任职期间、关联企业、因履职产生的行政处罚和司法记录。「职务之外」的范围，包括：家庭住址、个人联系方式、个人消费记录、家庭成员信息、个人健康状况。

这一刀在实务中的意义是双向的。对企业征信机构来说，它划出了可以采集的边界；对个人来说，它明确了哪些信息即使你当了董事长，也仍然受个人规则保护。

但要注意一个容易被忽略的推论：这一款只解决「是不是个人信息」，不解决「采集要不要同意」。 也就是说，即使某条信息被认定为「不作为个人信息」，采集它仍然要遵守企业信息采集的渠道规则（条例第二十一条），不能从非法渠道获取。

五、同意的三种形态，别混用

个人信用信息的采集以「同意」为基础，但同意不是一种，是三种，效力不同。

第一种是一般同意。 条例第十三条：采集个人信息应当经信息主体本人同意。这里的同意，形式要求相对宽松，但必须真实、自愿、知情。

第二种是书面同意。 出现在两处：条例第十四条第二款的相对禁止六类；条例第十八条的查询。书面这两个字，是为了留下可验证的证据。

第三种是「足以引起注意的提示」加「明确说明」。 条例第十九条：征信机构或者信息提供者、信息使用者采用格式合同条款取得个人信息主体同意的，应当在合同中作出足以引起信息主体注意的提示，并按照信息主体的要求作出明确说明。

这一条针对的是格式合同的通病：同意条款埋在一堆文字里，用户根本没看见。 立法者的要求是：不仅要「写进去」，还要「让人看得见」；不仅要「让人看得见」，还要「问了能答清楚」。

实践中「足以引起注意」的实现方式：加粗、加大字号、单独成段、单独弹窗、单独勾选。把这四种方式中的任何一种做到位，就基本满足；把这四种都省掉，只用一行小字带过，就不满足。

六、公开信息不是免费的午餐

条例第十三条有一句例外：但是，依照法律、行政法规规定公开的信息除外。

这句话常被理解成「公开的就不用同意」，进而被理解成「公开的可以随便用」。两层理解都不准确。

第一层，「公开」有法定范围。 依照法律、行政法规规定公开，意味着公开本身要有法律依据。裁判文书公开依据的是法院的公开规则，行政处罚公示依据的是行政处罚法的公示要求，企业登记信息公开依据的是市场主体登记管理条例。没有法律依据的「公开」，比如某个网站自己扒出来挂上去的，不是这里说的公开。

第二层，公开不等于可以无限制使用。 即使用了公开信息，仍然要受准确性义务、使用范围限制、不得非法转给的约束。个人信息保护法第十三条第一款第六项也留了同样的口子：「依照本法规定在合理的范围内处理个人自行公开或者其他已经合法公开的个人信息」——关键词是「合理的范围内」。

所以「网上都能搜到」这句话，在个人信息案件里从来不是有效的抗辩。能搜到，是公开状态；能不能拿去用、用到什么程度，是另一个问题。

七、准确性：谁对「这条是真的」负责

这是一个责任分配问题，条例把责任切成了两块。

征信机构这一块：条例第二十三条第一款，应当采取合理措施，保障其提供信息的准确性。 注意「合理措施」这个限定——它不要求绝对准确，要求的是流程上尽到努力：核对、校验、及时更新、处理异议。

信息提供者这一块：条例第十五条，向征信机构提供个人不良信息，应当事先告知信息主体本人。 这一条表面是告知义务，实质是纠错前置——在你把「他不还钱」这件事报上去之前，先告诉他一声，给他一个说明或者纠正的机会。

两块合起来，形成一个闭环：源头告知、机构核实、异议更正、结果反馈。 这个闭环里任何一环断了，准确性就得不到保障。

而条例第二十三条第二款还有一句极重要的话：征信机构提供的信息供信息使用者参考。

这七个字，是征信机构最重要的免责基础。它的意思是：征信报告不是判决书，不是终局认定，只是一个参考材料。 信息使用者不能拿着报告说「是征信机构说他信用不好，所以我不放贷」，因为报告本身已经声明了「仅供参考」。

反过来，这七个字也是信息使用者的紧箍咒：既然只是参考，你就有独立审核的义务。 完全依赖一份可能有错的报告作出拒贷决定，机构自己的过错跑不掉。

八、保存期限：不良信息五年，其他信息呢

条例只对个人不良信息规定了明确的保存期限：自不良行为或者事件终止之日起五年，超过五年应当删除。

其他信息呢？条例没有正面规定。 这留下的空间，要靠个人信息保护法第四十七条填补：处理目的已实现、无法实现或者为实现处理目的不再必要；个人信息处理者停止提供产品或者服务，或者保存期限已届满；个人撤回同意；个人信息处理者违反法律、行政法规或者违反约定处理个人信息——这些情形下，应当主动删除；未删除的，个人有权请求删除。

两条合起来看：不良信息有一条五年硬线，其他信息适用「目的必要」原则。 换句话说，一条正常的还款记录，理论上可以在你销户之后继续保留一段时间用于历史查询，但不能无限期保留；而一条逾期记录，无论你销没销户，五年一到就必须删。

这个区别在实务中经常被搞混。有人问「我的正常还款记录能不能删」，答案是通常不能，因为它是你信用历史的一部分，删了反而损害你的信用画像；有人问「我的逾期记录能不能留十年」，答案是不能，五年是上限。

九、境内处理与出境

条例第二十四条：征信机构在中国境内采集的信息的整理、保存和加工，应当在中国境内进行。

如前所述，这一条管的是三个动作——整理、保存、加工，不管采集。采集可以跨境，处理必须落地。

第二款：向境外组织或者个人提供信息，应当遵守法律、行政法规和国务院征信业监督管理部门的规定。这是一个授权条款，具体规则在数据出境的安全评估、标准合同、认证三条路径里。

对个人的意义：如果你的征信信息被传到境外，你不需要证明损害，只要证明「处理行为发生在境外」或者「信息被提供给境外主体」，就足以主张违规。 这是一个程序性的抓手。

十、泄露与倒卖：三层责任

个人信用信息一旦泄露或者被倒卖，责任分三层。

第一层是行政责任。 条例第三十八条列举的八项行为里，与信息本身直接相关的有四项：窃取或者以其他方式非法获取信息；采集禁止采集的个人信息或者未经同意采集个人信息；违法提供或者出售信息；因过失泄露信息。后果是单位五万到五十万罚款，责任人一万到十万，有违法所得的没收。

第二层是民事责任。 同一条明确：给信息主体造成损失的，依法承担民事责任。个人信息保护法第六十九条补上了举证责任的安排：处理个人信息侵害个人信息权益造成损害，个人信息处理者不能证明自己没有过错的，应当承担损害赔偿等侵权责任。这是过错推定，不是谁主张谁举证。

第三层是刑事责任。 侵犯公民个人信息罪。入罪的关键是「违反国家有关规定」加「情节严重」，情节的判断看信息条数、类型、获利数额、下游用途。

三层责任可以并行。一个人倒卖征信信息，可能同时面临行政处罚、民事赔偿、刑事追诉，三者不互相吸收。

十一、与敏感个人信息的关系

个人信用信息里有相当一部分，本身就是敏感个人信息。

金融账户属于敏感个人信息，这是个人信息保护法第二十八条明确列举的。生物识别（指纹、基因）、宗教信仰、医疗健康也在清单上——而这四类恰好是条例第十四条绝对禁止采集的。

两套规则的交集处，适用更严的那一套。条例禁采的，个保法也要求单独同意，两条叠加，结论是「绝对不能采」；条例要求书面同意的（相对禁止六类），个保法要求单独同意的（敏感个人信息），两条叠加，结论是「书面同意加单独同意，两者都要」。

这个叠加关系在实务中常被忽略。很多机构的合规文件只写了「取得同意」，既没有区分是否敏感，也没有区分是否单独，一旦被查，两个条文同时不满足。

法条依据

法条核对日期：2026 年 10 月 28 日。 以上条文均经法规库逐字比对：《征信业管理条例》为 2012 年 12 月 26 日国务院第 228 次常务会议通过、2013 年 1 月 21 日国务院令第 631 号公布、2013 年 3 月 15 日起施行的现行文本；《中华人民共和国个人信息保护法》为 2021 年 8 月 20 日第十三届全国人民代表大会常务委员会第三十次会议通过、2021 年 11 月 1 日起施行的现行文本；《中华人民共和国民法典》为 2020 年 5 月 28 日第十三届全国人民代表大会第三次会议通过、2021 年 1 月 1 日起施行的现行文本。

与相邻概念的区别

与「个人信息」的区别。 个人信息是上位概念，范围宽；个人信用信息是其中与履约状况相关的那一部分。征信业务处理的是后者，但因为两者高度重叠，实践中往往要同时适用个人信息保护法。

与「敏感个人信息」的区别。 敏感个人信息按「泄露后果」定义，个人信用信息按「内容属性」定义。两者是交叉关系，不是包含关系：金融账户既属于个人信用信息也属于敏感个人信息；一条普通的信用卡还款记录属于个人信用信息，但通常不属于敏感个人信息。交叉处适用更严的规则。

与「不良信息」的区别。 个人信用信息是全集，不良信息是其中的负面子集。全集里既有正面记录（按时还款），也有负面记录（逾期），还有中性记录（查询记录）。只有负面子集才有五年保存期限的硬约束。

与「企业信用信息」的区别。 保护强度不同，规则也不同。企业信息是「法不禁止即可采」，个人是「未经同意不可采、明令禁止不可采」。董监高的职务相关信息被切到企业侧，是这个区别的一个技术处理。

与「隐私」的区别。 隐私是私密空间、私密活动、私密信息，核心是「不被打扰」；个人信用信息是已经进入金融系统流转的信息，核心是「怎么被正当使用」。两者可能重叠，但请求权基础不同。

实操指引

一、判断一类信息能不能采，五步

第一步，看是不是条例第十四条绝对禁止的五类。 是，直接否，不用再问。

第二步，看是不是相对禁止的六类。 是，要同时满足「明确告知不利后果」和「取得书面同意」。

第三步，看是不是敏感个人信息。 是，要单独同意；如果同时属于相对禁止六类，还要书面同意。

第四步，看是不是「董监高职务相关信息」。 是，不作为个人信息，但仍要遵守企业信息采集的渠道规则。

第五步，看有没有其他法律法规的禁止性规定。 这一步靠动态接口，需要结合具体业务领域判断。

二、作为个人，怎么控制自己的信用信息

第一，看清授权条款。 每次签字或者点击同意之前，找那句「授权查询本人征信」，看清三件事：查什么、给谁查、用到什么时候。这三件事写不清楚的，就是有问题的授权。

第二，用好每年两次的免费查询。 条例第十七条给了这项权利。定期查，不是为了看分数，是为了看有没有不认识的查询记录、不认识的账户。

第三，发现异常，先固定证据。 查询记录、账户记录、时间戳，都要截图或者导出。征信记录最有价值的信息之一是「谁在什么时候查了你」，这条线索能反推出是谁在冒用你的身份。

第四，区分「真实但我不想让它留着」和「根本不真实」。 前者只能等五年，或者加本人说明；后者走异议。

三、作为机构，四条合规底线

第一条，不碰绝对禁止清单。 无例外，无同意空间。

第二条，相对禁止六类走完两道门。 告知不利后果加书面同意，两道都要留证据。

第三条，格式合同的同意条款要做到「足以引起注意」。 加粗、单独成段、单独勾选，三选一或叠加。

第四条，境内采集的信息，整理保存加工留在境内。 跨境传输另走安全评估、标准合同或者认证。

四、发生泄露后的四步

第一步，内部止损。 断开外传通道，锁定账号，保存日志。

第二步，评估范围。 泄露了哪些字段、涉及多少人、有没有敏感个人信息。涉及敏感个人信息的，通报义务和后果都更重。

第三步，履行通报。 个人信息保护法要求发生或者可能发生个人信息泄露、篡改、丢失的，应当立即采取补救措施，并通知履行个人信息保护职责的部门和个人。「立即」这两个字，是时限要求。

第四步，准备应对索赔。 过错推定之下，机构要自证无过错；日志、权限记录、加密措施、员工培训记录，都是自证材料。

常见问题

我的收入是银行代发工资时填的，这算征信机构采集吗？

不算。银行代发工资时掌握你的收入，是它作为用人单位开户行的业务记录，不是征信机构采集。但如果银行把这个收入信息报送给征信机构，那就是采集，要过第十四条第二款的两道门。

为什么我申请贷款时被要求提供房产信息，不是说不能采集吗？

这里要区分两个主体。放贷机构自己在审批时要求你提供房产证明，是它作为信息使用者收集业务必需材料，适用个人信息保护法的最小必要原则；征信机构采集不动产信息，才受第十四条约束。 但放贷机构如果把你的房产信息报送给征信机构，就要走两道门。

我在医院的就诊记录，会进征信报告吗？

不会。疾病和病史是绝对禁止采集的。如果征信报告上出现了医疗相关的记录，那不是采集，是泄露或者错误，可以直接提异议并追究责任。

征信报告上的「查询记录」也算个人信用信息吗？

算。查询记录反映「谁在什么时候因为什么原因查了你」，是个人信用信息的组成部分。这也是为什么「本人查询」和「贷款审批查询」「贷后管理查询」在报告上是分开列的——用途不同，含义不同。

我把身份证借给亲戚办贷款，记录会记在谁名下？

记在身份证对应的主体名下，也就是你。征信系统认的是身份信息，不是「谁实际用钱」。 你可以事后向亲戚追偿，但这笔记录在你还清之前不会消失。这也是为什么出借身份证的风险远大于出借一笔钱。

公司要求我提供个人征信报告才能入职，合法吗？

这要看岗位。金融机构的特定岗位、涉及资金管理或者高管职位，法律有明确的查询依据；普通岗位要求提供完整征信报告，通常缺乏必要性基础。 个人信息保护法要求处理个人信息具有明确、合理的目的，并与处理目的直接相关、采取对个人权益影响最小的方式。「我们想了解员工的财务状况」这个理由，对多数岗位来说是过宽的。

我能不能要求征信机构把一条真实的逾期记录改成「已结清」？

不能。「已结清」是事实状态，只有当你真的结清了，记录才会变成已结清。异议程序解决的是「记录与事实不符」，不是「记录与我的期望不符」。

征信机构说信息是银行报的，让我去找银行，这种推诿成立吗？

不成立。条例第二十五条给了你选择权：可以向征信机构提出异议，也可以向信息提供者提出异议。两者都有受理和处理的义务。征信机构不能以「不是我报的」为由拒收异议。

我的信用信息被内部人员倒卖，能主张什么？

三层都能主张。行政上向监管部门举报，触发第三十八条的处罚；民事上依个人信息保护法第六十九条主张损害赔偿，过错由机构自证；刑事上向公安机关报案，可能构成侵犯公民个人信息罪。三条路可以同时走。

五年之后记录自动消失，我需要申请吗？

条例的表述是「超过 5 年的，应当予以删除」。「应当」是对征信机构的义务，理论上不需要你申请。但实务中建议主动核查，因为系统迁移、数据合并等情形下，超期记录仍然存在的情况并非没有。 发现了就提异议，要求删除。

关联阅读： 征信业务的整体框架见征信业务；信息进来之后怎么加工成报告，见个人信用报告；负面子集见不良信息；两个端口见信用信息提供者与信用信息使用者。敏感个人信息的单独同意规则见敏感个人信息；通用概念见个人信息；账户层面的身份基础见账户实名制。信息被倒卖可能构成的罪名，见侵犯公民个人信息罪；泄露之后的维权路径，见个人信息被泄露、被人肉搜索怎么办？取证与维权全路径。