信用信息使用者

一句话定义：信用信息使用者是指从征信机构和金融信用信息基础数据库获取信息的单位和个人；它是征信链条的出口——报告被人拿去用，用的人就受三项约束：必须有你的书面同意并约定用途、必须按约定的用途使用、未经你同意不得转给第三方。

使用者这个角色，普通人往往只在自己被拒贷、被拒保、被拒租的时候才意识到它的存在。但它是整条链条上最需要被约束的一环——因为信息采集得再规范、报告出得再准确，只要使用端失控，前面所有努力都会归零。一份报告可以被查一百次，但每一次查询背后，都可能对应一次对你生活的实质影响。

适用条件

一、定义：一个「取」的动作

条例第四十四条第（二）项：信息使用者，是指从征信机构和金融信用信息基础数据库获取信息的单位和个人。

这个定义很干脆：只有「取」这个动作，没有别的。它不看你的身份，不看你的行业，只看你有没有从征信系统里拿过信息。

「单位和个人」这个表述意味着，使用者不限于金融机构。用人单位查员工征信（在法律允许的范围内）、房东查租客、平台查商户，理论上都可能成为使用者——前提是查询本身合法。

但要注意一个区分：「使用者」是法定身份，「查询行为」是事实行为。一次违法查询，查询者仍然构成「使用者」，只是他同时违反了使用者的义务。身份和行为的区分，在责任认定上很重要——它决定了适用哪一条罚则。

二、三类使用者：谁在查你

按查询目的分，使用者大致三类。

第一类，信贷审批类。银行、消费金融公司、汽车金融公司、小贷公司，在审批贷款、信用卡、担保时查询。这是最大的一类，也是「硬查询」的主要来源。

第二类，贷后管理类。已经放了款的机构，在贷后定期查询你的还款状态。这类查询通常不计入负面评价，因为它是已授信业务的常规管理。

第三类，非信贷类。包括：融资担保公司做保前审查；保险公司做信用保证保险核保；部分用人单位做背景调查；部分租赁公司在长租、设备租赁场景做审查。这一类的合法性差异最大，也是最容易越界的一类。

为什么「越界」多发生在第三类？因为前两类有明确的业务需要——不放贷就不用查，放了贷才有贷后管理。而第三类的「必要性」往往是机构自己论证的，论证不充分就变成过度收集。个人信息保护法要求处理个人信息具有明确、合理的目的，并与处理目的直接相关、采取对个人权益影响最小的方式。「我们想全面了解客户」这个理由，通常通不过这条标准。

三、第一项义务：书面同意加约定用途

条例第十八条是一句双要件的话：向征信机构查询个人信息的，应当取得信息主体本人的书面同意并约定用途。

两个要件，缺一不可。

要件一，书面同意。口头同意不够，默示同意不够，概括授权不够。「本人已阅读并同意」的一个勾选框，在电子合同里能不能满足「书面」，要看是否有可靠的电子签名或者可追溯的确认记录。实务中，凡是能证明「你在某个时点明确作出了同意表示」的留存，都可以主张满足书面形式。

要件二，约定用途。这一条比第一要件更容易被虚化。「用于风险评估」「用于业务办理」「用于内部管理」——这些写法都太宽，不构成有效的「约定」。

什么样的约定才算有效？标准是：具体到「这次业务」和「这个目的」。比如「用于本次个人住房贷款申请的授信审批」，就是一个有效约定；「用于我行各类信贷业务的审批」就偏宽；「用于我行所有业务」基本无效。

两个要件的关系：同意是「你答应了」，约定用途是「你答应的是这一件事」。只同意不约定，等于开了一张空白支票；约定了不书面，事后无从证明。

四、约定用途的三种写法，只有一种能用

用具体程度排个序。

第一种，宽泛型：「用于信贷业务」。这种写法在实务中大量存在，但在争议中基本站不住。因为它无法约束使用者的行为——既然是「信贷业务」，那查询之后用于营销、用于催收、用于其他客户的授信参考，都能装进这个筐。

第二种，中等型：「用于本次贷款申请的审批及贷后管理」。这一种相对可接受。它限定了两个目的：审批和贷后管理，且都指向「本次」这笔业务。超出这两个目的使用，就违反第二十条。

第三种，精确型：「用于本次个人住房贷款申请的授信审批，查询有效期三十日」。这一种最严密，也最难被规避。时间、目的、业务三要素齐全。

实务建议：签合同的时候，找那句授权条款，看它属于哪一种。属于第一种的，虽然不必然无效，但在争议中对使用者不利；属于第二、第三种且被违反的，维权底气就足。

五、第二项义务：不得用作约定外用途

条例第二十条：信息使用者应当按照与个人信息主体约定的用途使用个人信息，不得用作约定以外的用途，不得未经个人信息主体同意向第三方提供。

这一条的前半句，是「用途锁定」。

什么叫「约定以外的用途」？举三个真实场景：

场景一，授信审批查了，营销也用。你申请贷款时授权查询，之后银行把你的信用状况用于理财产品推荐。这是约定外用途，违反第二十条。

场景二，审批查了，催收也用。这在实务中争议较大。如果约定用途写的是「审批及贷后管理」，催收通常可以纳入贷后管理；但如果只写了「审批」，催收就超出了。

场景三，审批查了，给关联公司用。银行查完之后，把信用信息提供给自己的消费金融子公司、融资租赁子公司。这属于「向第三方提供」，除非取得你的单独同意。

违反的后果在条例第四十二条： 未按照与个人信息主体约定的用途使用个人信息，或者未经个人信息主体同意向第三方提供个人信息，情节严重或者造成严重后果的，对单位处二万元以上二十万元以下罚款；对个人处一万元以上五万元以下罚款；有违法所得的，没收违法所得；给信息主体造成损失的，依法承担民事责任；构成犯罪的，依法追究刑事责任。

注意「情节严重或者造成严重后果」这个限定。与第四十一条的表述一致。这意味着轻微违反可能不触发行政处罚，但民事上仍可能构成过错。而且个人信息保护法的责任体系是独立的——即使条例这一条不触发，个保法第六十九条的过错推定仍然适用。

六、第三项义务：不得未经同意向第三方提供

这一项与第二十条后半句对应，但个人信息保护法第二十三条给了更细的规则。

个保法第二十三条要求： 个人信息处理者向其他个人信息处理者提供其处理的个人信息的，应当向个人告知接收方的名称或者姓名、联系方式、处理目的、处理方式和个人信息的种类，并取得个人的单独同意。接收方应当在上述范围内处理；变更原先的处理目的、处理方式的，应当重新取得同意。

这一条把「向第三方提供」拆成了五个告知项加一个单独同意。五个告知项：接收方是谁、怎么联系、拿去做什么、怎么做、涉及哪几类信息。

为什么这么细？因为「向第三方提供」是信息失控的主要通道。你不知道信息去了哪家公司、那家公司拿去做什么、它会不会再转一手——所以法律要求：至少在转出的那一刻，让你知道去向。

「单独同意」这四个字，是这一条最硬的地方。单独同意意味着：不能放在一个总的授权包里，必须单独就「向第三方提供」这一件事征求同意。实务中常见的一揽子授权，就在这一步失守。

一个具体的推论： 如果银行在贷款合同里写了一句话「本人同意贵行将本人信息提供给贵行关联公司使用」，这能不能构成「单独同意」？答案取决于它是否被单独呈现、单独勾选。如果它只是整份授权条款里的一句话，通常不构成。

七、格式合同的「注意提示」义务

条例第十九条：征信机构或者信息提供者、信息使用者采用格式合同条款取得个人信息主体同意的，应当在合同中作出足以引起信息主体注意的提示，并按照信息主体的要求作出明确说明。

这一条与上一节的关系是：第二十条管「用途」，第十九条管「同意的形式」。

「足以引起注意」的具体标准，条例没写，实务中看四个做法： 加粗、加大字号、单独成段、单独弹窗或者单独勾选。四个做法叠一层，就比较稳；一个都不做，只用一行小字带过，就不满足。

「按照信息主体的要求作出明确说明」这一句，容易被忽略但很重要。它的意思是：你问了，对方必须答清楚。如果客服说不清「这条授权是干什么用的」，那就说明对方没有履行这一项义务。

这一条在诉讼中的用法： 原告可以主张「授权条款未作足以引起注意的提示，同意不成立」。这个主张不必然成功，因为它要结合具体呈现形式判断；但它能把举证责任推向对方——让对方证明自己确实做了提示。

八、使用者的独立审核义务：为什么不能全靠报告

条例第二十三条第二款有一句很短的话：征信机构提供的信息供信息使用者参考。

这句话的镜像含义，在讨论使用者义务时格外重要。

对征信机构，它是免责基础——我只提供参考，不替你判断。

对使用者，它是义务来源——既然只是参考，你就不能把它当作唯一依据。你有独立审核的义务。

这个推论在拒贷纠纷中很有用。银行的常见抗辩是「系统评分不通过」「征信显示风险高」；对应的回应是：评分和报告是参考，不是决定；你有义务审核是否有其他因素、是否记录有误、是否存在可解释的客观原因。

实务中，法院对「仅以征信记录为由拒贷」的态度，取决于合同约定。如果合同明确约定「征信不符合要求即可拒绝」，机构的裁量空间较大；如果没有约定，或者约定模糊，机构就需要说明其判断的合理性。「参考」这两个字的重量，在具体的合同条款里落地。

还有一层更实际的考虑： 报告可能是错的。如果使用者完全依赖报告作出决定，而报告是错的，使用者自己的过错也跑不掉。因为它本应尽到合理审核义务——至少在你提出异议、提供了反证的时候，应该重新看一遍。

九、自动化决策：算法拒贷的两个问题

这是使用端最前沿也最棘手的问题。个人信息保护法第二十四条给了三条规则。

第一条，透明度和公平公正。利用个人信息进行自动化决策，应当保证决策的透明度和结果公平、公正，不得对个人在交易价格等交易条件上实行不合理的差别待遇。「不合理的差别待遇」这六个字，是「大数据杀熟」和「算法歧视」的规范依据。

第二条，推送与营销要给拒绝选项。通过自动化决策方式向个人进行信息推送、商业营销，应当同时提供不针对其个人特征的选项，或者向个人提供便捷的拒绝方式。这一条主要针对营销场景，与征信关系较远，但它确立了「算法可拒绝」的原则。

第三条，重大影响决定的可解释与可拒绝。通过自动化决策方式作出对个人权益有重大影响的决定，个人有权要求个人信息处理者予以说明，并有权拒绝个人信息处理者仅通过自动化决策的方式作出决定。

这一条是拒贷场景里最有力的规范。它的三个要素是：

要素一，「对个人权益有重大影响的决定」。拒贷、拒保、拒绝授信额度调整，都属于这一类。判断标准是影响的实质程度，不是决定的形式。

要素二，「有权要求予以说明」。你可以要求机构解释「为什么拒」。注意，是「说明」，不是「公开算法」。机构不需要把模型代码给你，但需要说明「是基于哪些因素、哪条规则」。

要素三，「有权拒绝仅通过自动化决策的方式作出决定」。关键词是「仅通过」。你可以要求人工复核。这一条把「系统说了算」这个局面打破了一半。

实务中的用法： 被拒之后，书面要求机构说明理由并要求人工复核。如果机构拒绝，或者只回一句「综合评分不足」，这就构成了对第二十四条第三款的违反，可以作为投诉和起诉的依据。

还有一层容易被忽略的：评分高不等于通过，评分低也不等于拒。实务中很多机构把「征信评分」作为一个门槛值使用——低于某个分数直接系统拦截。这种「硬门槛」做法，恰恰是最容易被质疑「仅通过自动化决策作出决定」的。因为它排除了人工判断，也排除了对特殊情形的考量。合规的做法是：把评分作为参考因子之一，设置人工复核通道，并在拒绝时说明具体原因。这三步做齐，既符合个保法第二十四条，也是最好的免责证据。

十、使用者的四条红线

红线一，无同意不查询。没有书面同意，任何查询都违法。条例第四十条第三项「未经同意查询个人信息」是五万到五十万的罚款档。

红线二，超用途不使用。约定用途是审批，就不能拿去营销、拿去给关联公司。条例第四十二条是二万到二十万的罚款档。

红线三，未经同意不转给。转给第三方要单独同意，还要告知五个事项。个保法第二十三条。

红线四，不做无解释的自动拒绝。重大影响决定要给说明、要允许要求人工复核。个保法第二十四条第三款。

四条红线对应四种责任：行政、民事、刑事、以及监管层面的业务限制。对持牌机构来说，最后一种往往最痛——罚钱可以承受，业务受限不能承受。

十一、四类典型违规场景

场景一，「一次授权，终身查询」。你在 2019 年办卡时授权查询，之后每年被查好几次，用途写的是「贷后管理」。这类情况要看：卡还在用吗？如果在用，贷后管理有基础；如果已销户，继续查询就失去依据。

场景二，「授权给 A，实际给 B 查」。你在 A 银行签的授权，实际是 B 消费金融公司查的，因为 A 只是通道。这是典型的「未经同意查询」，因为你的同意是给 A 的，不是给 B 的。

场景三，「查完顺手做营销」。审批没通过，但你的信息进了营销名单，之后频繁收到贷款推销。这属于约定外用途，同时可能违反个保法关于自动化决策营销的规定。

场景四，「拒贷不给理由」。只回一句「综合评分不足」。这违反个保法第二十四条第三款的说明义务。

四类场景的共同点： 都不容易被发现，因为查询是静默的。唯一的发现途径是查自己的信用报告，看查询记录那一栏。这也是为什么本词条反复强调「每年两次免费查询要用满」——它是你唯一能看见「谁在看你」的窗口。

十二、五条常见误解

误解一，签了授权就可以随便查。授权限定了用途和范围。超出即违规。

误解二，只要是自家关联公司，就不算第三方。法律上的「第三方」看的是独立主体资格，不看股权关系。关联公司是独立的个人信息处理者，转给它就要单独同意。

误解三，报告上写了「逾期」，我拒贷就没有责任。报告是参考，你有独立审核义务。而且如果记录是错的，你的责任更重。

误解四，算法是中立的，所以拒贷没有歧视。算法反映的是训练数据和目标函数，这两者都可能是偏的。个保法第二十四条要求「结果公平、公正」，不是「过程中立」就够。

误解五，查询记录对我没影响。恰恰相反。查询记录既能证明「谁在看你」，也会因为过于密集而影响评价。它是报告里信息量最大的一栏。

法条依据

法条核对日期：2026 年 10 月 28 日。以上条文均经法规库逐字比对：《征信业管理条例》为 2012 年 12 月 26 日国务院第 228 次常务会议通过、2013 年 1 月 21 日国务院令第 631 号公布、2013 年 3 月 15 日起施行的现行文本；《中华人民共和国个人信息保护法》为 2021 年 8 月 20 日第十三届全国人民代表大会常务委员会第三十次会议通过、2021 年 11 月 1 日起施行的现行文本。

与相邻概念的区别

与「信用信息提供者」的区别。一个往库里送，一个从库里取。送的人管「该不该送、送得准不准」，取的人管「该不该取、取了怎么用」。银行常常既是提供者也是使用者，两套义务同时承担。

与「征信机构」的区别。机构是库的经营者，使用者是库的客户。机构不能自己决定给谁查——它必须核对「有没有书面同意」，因为第十八条第二款明确：征信机构不得违反前款规定提供个人信息。所以查询违规，机构也可能有责任。

与「个人信息处理者」的区别。使用者必然是个人信息处理者，但个人信息处理者的范围宽得多。征信条例给使用者加了更具体的义务（书面同意、约定用途），个保法给所有处理者加了通用义务（告知、单独同意、自动化决策规则）。两套规则叠加适用。

与「数据接收方」的区别。「接收方」是个保法第二十三条里的概念，指从处理者那里拿到信息的另一方。使用者是一个征信专门法上的角色，接收方是一个通用法上的角色。同一家公司可能同时是两者，适用的条文不同。

与「查询机构」的区别。这是同一个动作的两种叫法，但法律含义有差别：「使用者」强调持续的权利义务关系，「查询机构」强调单次行为。行政处罚里常用后者（第四十条第三项「未经同意查询个人信息」），民事案件里常用前者。

实操指引

一、看清一份授权条款，五个问题

问题一，授权给谁？是这家银行，还是「及其关联公司」？后者要警惕，因为关联公司是独立主体，转给它需要单独同意。

问题二，用来做什么？ 是「本次业务审批」，还是「各类业务」？越宽越要小心。

问题三，有效期多久？是一次性的，还是有期限？没有期限的授权，事后很难界定是否超期。

问题四，会不会转给第三方？有没有单独的勾选项？没有单独勾选，就主张未取得单独同意。

问题五，我能不能撤回？个保法给了撤回同意的权利。撤回之后，机构应当停止处理，但不能倒推已完成的处理违法。

二、发现被违规查询，四步处理

第一步，固定证据。 把报告上的查询记录截图或者打印，记下日期、机构、原因。

第二步，向查询机构书面质询。要求说明「依据什么授权查的、查了什么、用在哪」。书面质询的意义是：让对方留下书面回复，成为后续证据。

第三步，向征信机构提异议。说明「这条查询未经本人同意」。异议针对的是「记录的存在是否合法」，不是「记录准不准」。

第四步，向监管部门投诉。条例第四十条第三项是明确的罚则依据。

三、被算法拒贷，三步走

第一步，书面要求说明理由。依个保法第二十四条第三款，要求说明「基于哪些因素作出决定」。不要接受「综合评分不足」这种答复，要求具体化。

第二步，要求人工复核。同一条给了你「拒绝仅通过自动化决策作出决定」的权利。明确提出「要求人工审核」并留痕。

第三步，如果拒绝说明或者拒绝人工复核，投诉加起诉。请求权基础可以是个保法第二十四条，也可以是民法典第一千零二十九条（信用评价不当）。

四、给机构的三条合规建议

第一条，把授权条款拆细。「本次业务」「关联公司」「第三方」三类分开写、分开勾选。一揽子授权在争议中站不住。

第二条，用途要可追溯。每次查询记录用途代码，与具体业务编号绑定。万一被查，能拿出「这次查询对应哪笔申请」的证据。

第三条，拒贷决定要留人工痕迹。纯系统拒绝的风险最高。加一道人工复核，既是个保法的要求，也是最好的免责证据。

常见问题

我在手机应用上点「同意」，算书面同意吗？

通常算，但要满足两个条件：一是能证明「你确实点了」（有可追溯的确认记录）；二是这个同意是针对具体查询和具体用途作出的。 一个笼统的「同意用户协议」，通常不足以构成征信查询的书面同意。

银行说查询记录是我办卡时授权的，我记不清了，怎么办？

要求银行出示授权条款原件和你签字（或点击）的记录。举证责任在银行——它主张有授权，就要证明有授权。 拿不出来，就是未经同意查询。

我申请贷款被拒，银行只说「综合评分不足」，我能要个说法吗？

可以。个保法第二十四条第三款给了你要求说明的权利。 但要注意「说明」的边界：机构需要说明「基于哪些因素」，不需要公开模型。如果连因素都不说，就违反了这一条。

我拒绝仅通过自动化决策作出决定，银行就必须人工审吗？

法律给的是「有权拒绝」。行使这项权利之后，机构应当转为人工审核，或者说明为何无法人工审核。 如果机构直接无视，可以作为投诉事由。

银行把我的征信信息给了它的消费金融子公司，违法吗？

很可能违法。子公司是独立的个人信息处理者，转给它属于「向第三方提供」，需要单独同意并告知五个事项。 除非授权条款里对此有单独的、明确的同意。

公司要求我提供征信报告入职，算「使用」吗？

如果公司是自己查，属于使用者，需要你的书面同意并约定用途；如果是你查了之后交给公司，那属于你自己提供，不受第十八条约束，但仍受个人信息保护法约束。两种路径的法律性质不同，风险也不同。

房东要看我的征信报告，合法吗？

你自己查了给他看，是你自愿提供；房东自己去查，需要你的书面授权。但房东作为非金融机构，能不能查征信系统本身是个问题——个人征信查询的开放对象是有限制的。 实践中多是租客自己提供。

查询记录太多，会影响我的贷款吗？

可能会。密集的「贷款审批」类查询，会被理解为「到处在借钱」。 但这属于审批模型的判断，不是法定的负面记录。控制申请频率，是最简单的应对。

我发现银行超用途使用我的信息，能索赔吗？

可以。条例第四十二条明确「给信息主体造成损失的，依法承担民事责任」，个保法第六十九条还给了过错推定。 难点在损失的计算，需要具体证据——比如因为信息被用于营销而受到的实际损害。

使用者违规，征信机构有责任吗？

可能有。条例第十八条第二款：征信机构不得违反前款规定提供个人信息。 也就是说，机构在提供查询服务时，有核对「是否有书面同意、是否约定了用途」的义务。核对不严，机构也要担责。

关联阅读： 被取用的东西从哪来，见个人信用报告、个人信用信息；链条两端见征信机构与信用信息提供者；不服怎么救济见征信投诉。信息主体有哪些权利，见个人信息权益；哪些情形不需同意即可处理，见不经同意也能用你的个人信息？六种合法情形与企业最容易踩的两个坑；隐私与个人信息的请求权分野见隐私权。信用卡与网贷场景的高频问答见信用卡、网贷与征信；金融与支付类词条可在金融消费分类下按序查阅。