征信业务

一句话定义：征信业务是指对企业、事业单位等组织的信用信息和个人的信用信息进行采集、整理、保存、加工，并向信息使用者提供的活动；它不是一个行业名称，而是一段从信息源头到使用终端的完整流水线——法规用一句话把这段流水线的四个动作和一个出口写死，凡落在这条链上的活动都受征信规则约束，凡不落在这条链上的，哪怕同样在使用信用数据，也不归它管。

这个定义的重量，全在边界上。实务里绝大多数关于「这事算不算征信」「这个机构该不该受监管」的争议，答案都不在定义的第一句，而在定义后面那几款排除条款。只看「采集信用信息」这几个字，会觉得什么都是征信；把排除条款读完，会发现剩下的其实很窄，而且窄得有道理。

适用条件

一、四个动作：采集、整理、保存、加工

条例第二条把征信业务拆成四个连续动作加一个出口。这四个动作不是并列的选项，而是一条链上的四道工序，缺一道，整条链的性质就变了。

采集，是取得信息的行为。 采集的方式可以是直接向信息主体要，可以是向信息提供者要，也可以是从公开渠道抓取。条例第二十一条专门给企业信息的采集列了渠道：信息主体、企业交易对方、行业协会提供的信息，政府有关部门依法已公开的信息，人民法院依法公布的判决、裁定。注意这一条列举的是「渠道」，不是「义务」——它是给征信机构的合法来源清单，同时也是一条反向的边界：清单外的来源，尤其是不合法的来源，不能成为征信数据的入口。

整理，是把散乱信息变成结构化记录的过程。 一条逾期记录进入系统，要先归到某个主体名下，再归类到某类业务、某个时间段，还要做去重、匹配、纠错。整理环节最容易出问题的地方是主体识别——同名同姓、身份证号录错一位、企业名称变更，都可能让一条记录挂到别人头上。这就是为什么征信异议里「这条不是我的」占了很大比重，也是为什么条例把「保障其提供信息的准确性」写成了征信机构的法定义务。

保存，是让信息在系统里停留。 保存看起来最没有技术含量，其实法律含量最高：能存多久、存到期要不要删、删除是不是真的删干净，这三问对应的是保存期限规则、删除义务和删除的技术可行性。对个人不良信息，条例定了五年这条硬线；超过五年还留着，不是「管理不善」，是违法。

加工，是对信息做运算和转化。 加工包括打标签、算分数、做画像、生成报告。加工环节的合规风险往往被低估：输入是合法的，输出未必合法。用合法的逾期记录算出一个评分，如果这个评分被用来做了就业歧视，问题不在采集，在加工之后的使用。

四个动作串起来看，会发现一个结构：采集决定「能不能进来」，整理和保存决定「进来之后准不准、留多久」，加工决定「出去的时候是什么形态」。 三段各有各的规则，不能用一句「我们只是技术服务」全部绕开。

二、一个出口：向信息使用者提供

这是征信业务区别于其他数据业务的关键标志。一家银行自己收集客户数据、自己算违约概率、自己决定放不放贷，这是内部风控，不是征信业务——数据没有「提供」给外部主体。反过来，一家科技公司自己不开户不放贷，只把收集来的信用信息整理成报告卖给金融机构，这就是典型的征信业务。

出口这个要件在实务里还带来一个推论：征信业务的法律关系是三方的，不是两方的。 信息主体、征信机构、信息使用者，三方各有各的权利义务。信息主体有同意权、查询权、异议权；征信机构有核实义务、安全保障义务、删除义务；信息使用者有按约定用途使用的义务、不得转给的义务。这个三方结构，是理解后面所有规则的地基。

也因此，「我只是把数据卖给需要的人」这种说法，在法律上不会因为它听起来像中介就变得清白。只要存在向信息使用者提供这个出口，且提供的内容是信用信息，就已经踩在征信业务的定义上。 有没有牌照，是第二步的问题；是不是征信业务，是第一步的问题。第一步答错了，第二步再怎么解释都没用。

三、三个「不适用」：这条边界比定义本身更重要

条例第二条在给出定义之后，紧接着写了两款排除。这两款是整部条例最容易被跳过的部分，也是最有用的部分。

第一款排除：国家设立的金融信用信息基础数据库。 这个数据库进行信息的采集、整理、保存、加工和提供，适用本条例第五章的规定，不适用第二章到第四章的一般规则。这个技术处理的含义是：基础数据库不是「一家普通征信机构」，它是国家设立的基础设施，由专业运行机构建设、运行和维护，不以营利为目的。它的设立依据、信息来源、查询规则、收费原则，都在第五章单独写，不套用征信机构的设立审批那一套。

但这不等于基础数据库不受约束。条例第三十二条明确列了一串条文适用于基础数据库运行机构，其中包括第十四条（禁止采集的信息）、第十六条（不良信息五年）、第十七条（每年两次免费报告）、第十八条（查询需书面同意）、第二十二条（信息安全）、第二十三条（准确性）、第二十四条（境内处理）、第二十五条（异议）、第二十六条（投诉）。换句话说，基础数据库在「采集什么、留多久、谁能查、错了怎么办」这四件事上，与普通征信机构受同样的约束。 这一点是很多人误解的地方——以为「国家的库」就不适用异议和投诉程序，恰恰相反，条例专门用一条把它们接上了。

第二款排除：国家机关以及法律、法规授权的具有管理公共事务职能的组织，依照法律、行政法规和国务院的规定，为履行职责进行的企业和个人信息的采集、整理、保存、加工和公布。 这一款排除的是公权力履职行为。市场监管部门公示行政处罚信息、税务部门公开欠税信息、法院公布判决裁定，这些行为在形式上与征信业务高度相似，都是「采集整理加工后公布」，但性质完全不同：一个是行使职权，一个是经营活动。

这个区分有实实在在的诉讼意义。对行政处罚公示不服，走的是行政复议和行政诉讼；对征信报告上的记录不服，走的是异议和投诉。 两条路的被告、期限、举证责任全不一样。当事人搞错路径，法院不会替他换一条，只会驳回。所以「这条信息到底是谁放上去的、依据什么放上去的」这个问题，必须在一开始就问清楚。

条例第二十一条还留了一个衔接点：人民法院依法公布的判决、裁定，是征信机构采集企业信息的合法渠道之一。这意味着司法公开信息可以作为企业征信数据的来源，但来源合法不代表可以无限使用——采集进来之后，仍然要受准确性义务、使用范围限制的约束。

四、企业信用信息与个人信用信息：两套规则，不是一个尺度

条例对企业和个人用了两套宽严差别很大的规则，这个差别贯穿全篇。

企业侧，核心是「备案制加负面清单」。 设立经营企业征信业务的征信机构，符合公司法规定的设立条件即可，自公司登记机关准予登记之日起三十日内向所在地的派出机构办理备案，提交营业执照、股权结构说明、业务规则、信息安全措施等材料。门槛低、程序快，事后监管为主。采集上，条例第二十一条给了渠道清单，第二款只加了一句「不得采集法律、行政法规禁止采集的企业信息」——企业信息是「法不禁止即可采」。

个人侧，核心是「审批制加正面许可」。 设立经营个人征信业务的征信机构，要经国务院征信业监督管理部门批准，注册资本不少于五千万元，主要股东最近三年无重大违法违规记录，要有符合规定的信息安全设施设备和制度措施，董监高还要符合任职条件并取得核准的任职资格。采集上，条例第十三条要求经信息主体本人同意，第十四条直接列了禁止采集的清单。个人信息是「未经同意不可采、明令禁止不可采」。

为什么差这么多？因为企业信息在多数情况下已经通过工商公示、裁判文书、行政处罚公示等渠道公开，公开信息的保护强度天然低于未公开信息；而个人的借贷、担保、履约情况，绝大多数是不公开的私人事务，一旦被无约束地采集和流转，损害是不可逆的。

这个差别在实务里有一个高频误解：「我们只做企业征信，所以个人那套规则跟我们没关系」。 这句话只对一半。做企业征信确实不用个人征信牌照，但一旦业务过程中碰到了自然人——法定代表人、股东、实际控制人、个体户经营者——那部分信息的处理就要回到个人规则。尤其是个体工商户，它的债务与企业主个人高度重合，做企业征信时几乎必然会触到个人信息。边界不是按机构划的，是按信息主体划的。

条例第十三条第二款还专门处理了一个特殊情形：企业的董事、监事、高级管理人员与其履行职务相关的信息，不作为个人信息。 这一款解决的是「企业征信报告里写不写老板的名字」这个问题。答案是：写职务相关的那部分，不算处理个人信息；但职务之外的部分，比如这个人的家庭住址、个人消费记录，仍然是个人信息，仍然受个人规则约束。这一刀切得很细，但它切得对——否则企业征信要么没法做，要么必然违法。

五、征信业务与社会信用体系建设：两个词，两套法

这两个概念在日常语言里经常被混用，法律上却是两回事。

征信业务的法源是《征信业管理条例》，监管主体是中国人民银行及其派出机构，管的是「信用信息的商业流转」。社会信用体系建设的法源是国务院的一系列文件和各地方的社会信用条例，牵头部门是发展改革部门，管的是「守信激励与失信惩戒的制度安排」。

两者的交集在「信用记录」这个词上，但落点完全不同。征信体系里的信用记录，是给金融机构判断还款意愿和能力用的；社会信用体系里的信用记录，覆盖范围宽得多，可能包括欠缴水电费、违反交通规则、学术不端等等。一个人在社会信用体系里被记了不良记录，不等于他的征信报告上会有不良信息；反过来，征信报告上的逾期，也未必会被纳入社会信用体系的失信名单。

这个区分对当事人极其重要。有人接到通知说「你被列入失信名单了」，第一反应是去查征信报告，发现干干净净，于是以为搞错了。其实没错——他碰到的可能是社会信用体系里的某个名单，也可能是法院的失信被执行人名单，还可能是行业主管部门的黑名单。这三套名单的救济路径完全不同，先分清是哪一套，再谈怎么救。

条例第二十一条把「人民法院依法公布的判决、裁定」列为采集渠道，是一个精巧的安排：它在不改变各自法律性质的前提下，让司法信息可以流入征信系统。所以征信报告上会出现「法院判决」类的记录，这不代表征信机构在替法院执法，只代表它在采集公开的司法信息。

六、征信业务与大数据风控：同一种技术，两条合规路径

这是本词条最需要说清的一组对照。两者用的技术几乎一样——都是海量数据、模型、评分、画像。但合规路径分岔在一个点上：数据从哪来、给谁用。

大数据风控的特征是闭环。 平台在自己的生态里收集用户行为数据，用自己的模型算出一个分数，用这个分数决定给不给自己平台上的用户放款。数据不出圈，出口不存在，所以不构成征信业务。这条路走的是《个人信息保护法》的规则：告知、同意、最小必要、自动化决策的透明度。

征信业务的特征是开环。 数据从多方汇集，加工之后提供给第三方使用。一旦开环，就落进了条例的管辖范围，需要牌照、需要遵守采集禁止清单、需要遵守五年期限、需要接受异议和投诉。

现实中出问题的地方，恰恰在「半开环」。一个平台收集自己的数据，算出一个分，然后把分卖给合作的金融机构做授信参考——这一步跨出去，性质就变了。 2021 年以后，监管部门对「助贷平台向金融机构输出信用评分」这类模式的定性，正是沿着这个逻辑展开的：只要实质上向信息使用者提供了信用信息，就要按征信业务的要求来，不能靠「我不是征信机构」这句话免责。

对普通人的现实意义在于：你在某个购物平台上的行为数据，如果被拿去给银行做放贷参考，那它对你是「征信信息」，你就有权查、有权提异议。 很多人在维权时被一句「这是我们的商业数据，不是征信」挡回来，其实这句话在开环场景下站不住。

七、征信业务与信用评价：民法典留下的那个入口

《中华人民共和国民法典》第一千零二十九条写了一句很短但很有分量的话：民事主体可以依法查询自己的信用评价；发现信用评价不当的，有权提出异议并请求采取更正、删除等必要措施；信用评价人应当及时核查，经核查属实的，应当及时采取必要措施。

紧接着第一千零三十条规定：民事主体与征信机构等信用信息处理者之间的关系，适用本编有关个人信息保护的规定和其他法律、行政法规的有关规定。

这两条放在一起看，是一个「双层结构」：第一层，民法典给了你一个独立的、不依赖征信条例的请求权——信用评价不当，可以要求更正、删除；第二层，民法典又把征信机构这类主体整体转介到个人信息保护和征信行政法规上去。 前一层是权利基础，后一层是规则适用。

这个结构的好处是：即使某类主体不完全是「征信机构」，只要它在做信用评价，第一千零二十九条就能用。而如果它是征信机构，第一千零三十条就把整部条例拉进来，包括五年期限、异议二十日、投诉三十日这些具体规则。

实务中的用法是：起诉时先立侵权之诉（名誉权或个人信息权益），把第一千零二十九条作为请求权基础；同时在事实部分援引征信条例的具体义务，用来证明对方「未尽核查义务」。 两条腿走路，比只讲其中一条稳。

八、境内处理原则：数据可以进来，加工必须留在境内

条例第二十四条是一句容易被忽略但分量很重的话：征信机构在中国境内采集的信息的整理、保存和加工，应当在中国境内进行。

注意它的措辞：管的是整理、保存、加工这三个动作，而这三个动作恰好是征信业务四个动作里的后三个。也就是说，采集可以发生在境外，但采集回来的信息只要进入中国的征信机构，后续的处理必须留在中国境内。

这一条的立法意图很清楚：信用信息一旦出境，就脱离了本国的监管视野，出了问题无从追究。所以它选了「处理地」而不是「数据所在地」作为抓手。

第二款补了出口：征信机构向境外组织或者个人提供信息，应当遵守法律、行政法规和国务院征信业监督管理部门的规定。这是一个开放的授权条款，具体规则由下位规范填充，条例本身没有写「能不能给」、只写了「按规矩给」。

对个人的现实意义：如果你的征信信息被某机构传到了境外服务器上做模型训练，这本身就违反了第二十四条第一款，不需要证明你受到了实际损害，行为违规即可主张。这是一条「程序性违规」的抓手，举证难度比证明损害低得多。

九、三个禁止：国家秘密、商业秘密、个人隐私

条例第三条是原则条款：从事征信业务及相关活动，应当遵守法律法规，诚实守信，不得危害国家秘密，不得侵犯商业秘密和个人隐私。

三个禁止对应三种保护强度。国家秘密是绝对禁止，没有例外，没有同意可以突破。 商业秘密和个人隐私则要回到各自的专门法去判断边界——商业秘密看反不正当竞争法，个人隐私看民法典人格权编和个人信息保护法。

这一条在体系上的作用是兜底：即使某个行为在条例的具体条文里找不到对应的禁止性规定，只要它危害了国家秘密、侵犯了商业秘密或个人隐私，仍然违反第三条。所以起诉时如果具体条款不好套，第三条可以作为一个补充的规范依据，虽然它比较原则，单独用力度有限。

十、监管主体与手段

条例第四条把监管权给了中国人民银行，称「国务院征信业监督管理部门」，派出机构负责辖区内的监管。

监管手段集中在第三十三条，四类：进入机构现场检查；询问当事人和要求说明；查阅复制文件资料，对可能被转移、销毁、隐匿或者篡改的文件资料予以封存；检查相关信息系统。程序上有两条硬约束：进行现场检查或者调查的人员不得少于二人，并应当出示合法证件和检查、调查通知书。 这两条是当事人的程序性抗辩点——人数不够、证件没出示、通知书没有，检查程序就有瑕疵。

第三十四条给了一个应急权力：发生重大信息泄露等事件，监管部门可以采取临时接管相关信息系统等必要措施，避免损害扩大。这条权力的对象包括经营个人征信业务的征信机构、金融信用信息基础数据库、向基础数据库提供或者查询信息的机构。「临时接管信息系统」是一种很重的措施，它的存在本身就说明立法者对信用信息聚集风险的判断。

十一、无证经营：条例第三十六条那把刀

未经批准擅自设立经营个人征信业务的征信机构，或者擅自从事个人征信业务活动的，后果是：予以取缔，没收违法所得，并处五万元以上五十万元以下的罚款；构成犯罪的，依法追究刑事责任。

这条规定的结构值得注意：取缔在前，没收在中，罚款在后，刑责兜底。 「取缔」不是罚款，是让这个经营主体不能继续存在。对已经收了钱、已经采集了数据的机构，取缔之后数据怎么处理，条例没有在第三十六条写，要回到第十二条的逻辑去理解——征信机构解散或者破产时，数据库要转让、移交或者监督销毁，不能自行处置。

对个人的现实提示：市面上打着「征信修复」「征信洗白」旗号收费的机构，如果它实际从事的是代查、代改征信记录，可能同时踩到两条线——未经批准从事个人征信业务，以及非法获取公民个人信息。 这两条的后果都不轻，前者是行政责任，后者可能直接是刑事责任。

十二、边界为什么会成为诉讼争点

把上面这些拼起来，会发现一个规律：征信业务纠纷的胜负，常常不取决于事实，而取决于定性。 同一个行为，定性为「征信业务」还是「普通数据处理」，适用的规则、举证责任、赔偿标准全不一样。

被告方最常见的抗辩有三句：一是「我们不是征信机构」，二是「这是我们的商业数据」，三是「信息已经公开」。这三句话在有些案子里成立，在有些案子里不成立，分水岭就在本词条讲的两个要件上——有没有向信息使用者提供这个出口，提供的是不是信用信息。

原告方最常见的失误也有三个：一是不区分信息是谁放上去的，把行政处罚公示当成征信记录去告；二是不区分征信不良与失信名单，把法院的纳失措施当成征信错误去告；三是跳过异议程序直接起诉，被法院以「未穷尽内部救济」为由要求先走异议。

这三组错误，本质都是同一个问题：没把征信业务的边界画清楚。 边界清楚了，剩下的都是程序问题；边界不清楚，程序再对也打不赢。

十三、六条常见误解

误解一：征信就是查欠钱不欠钱。 不对。征信记录覆盖借贷、赊购、担保、租赁、保险、使用信用卡等各类合同的履行情况，还包括行政处罚信息和法院判决裁定的履行信息。它记录的是「履约信用」，不是「欠款金额」。

误解二：只有银行才做征信。 不对。经营个人征信业务需要牌照，目前持牌机构数量有限，但信用信息使用者的范围要宽得多，任何取得信息主体书面同意的机构都可以查询。使用端的口子比生产端宽，这是制度设计的常态。

误解三：征信机构对信息的真实性负责。 不完全是。条例第二十三条要求征信机构采取合理措施保障准确性，同时明确「征信机构提供的信息供信息使用者参考」。「参考」这两个字，是征信机构最重要的免责基础，也是信息使用者不能把责任全推给征信报告的原因。

误解四：征信业务只管个人。 不对。企业征信是征信业务的一大半，只是监管方式从审批改成了备案。

误解五：国家的数据库不受条例约束。 不对。条例第三十二条把九条核心规则接到了基础数据库运行机构身上。

误解六：征信业务属于金融业务，所以只受金融监管。 不完整。征信业务同时受个人信息保护法约束，两套规则并行，不是替代关系。

法条依据

法条核对日期：2026 年 10 月 28 日。 以上条文均经法规库逐字比对：《征信业管理条例》为 2012 年 12 月 26 日国务院第 228 次常务会议通过、2013 年 1 月 21 日国务院令第 631 号公布、2013 年 3 月 15 日起施行的现行文本；《中华人民共和国民法典》为 2020 年 5 月 28 日第十三届全国人民代表大会第三次会议通过、2021 年 1 月 1 日起施行的现行文本。

与相邻概念的区别

与「社会信用体系建设」的区别。 征信业务是商业活动，受《征信业管理条例》约束，监管部门是中国人民银行；社会信用体系建设是制度安排，受国务院文件和地方社会信用条例约束，牵头部门是发展改革部门。两者在「信用记录」这个词上交集，但名单不同、救济路径不同。一个重点：征信报告上的不良信息，和失信名单上的记录，是两套系统，不能互推。

与「大数据风控」的区别。 技术相同，路径不同。数据不出圈、只服务自家业务的，是内部风控，走个人信息保护法的规则；数据汇集后向第三方提供的，是征信业务，要走牌照和条例的规则。分水岭是「有没有向信息使用者提供这个出口」。

与「信用评价」的区别。 信用评价是一个更宽的概念，民法典第一千零二十九条给了它独立的请求权基础；征信业务是信用评价的一种特定组织形式，受专门行政法规约束。征信机构作出的评价适用征信条例，非征信机构作出的评价主要靠民法典和个保法。起诉时选哪个请求权基础，取决于对方的身份。

与「信用修复」的区别。 信用修复是社会信用体系里的制度，针对的是行政处罚信息的公示期和严重失信名单的移出；征信领域没有「修复」这个法定概念，只有异议更正、五年删除、本人声明三条路径。把这两个词混用，是「征信修复」骗局最常用的入口。

与「个人信息处理」的区别。 个人信息处理是上位概念，指对个人信息的任何操作；征信业务是其中的一个特定场景，因为涉及信用评价与金融风险判断，被单独加了一层牌照管理和更严的行为规则。征信业务必然构成个人信息处理，但个人信息处理不必然是征信业务。

实操指引

一、判断一个行为是否落入征信业务，按四步走

第一步，看有没有「提供」这个动作。 数据只在内部用，不外供，基本可以排除征信业务。第二步，看提供的是不是「信用信息」。 纯粹的身份核验、反欺诈名单，与履约信用无关，通常不算。第三步，看是不是「经营活动」。 国家机关履职采集公布，条例明文排除。第四步，看信息主体是个人还是企业。 个人侧要牌照，企业侧要备案，两条路径的合规成本差一个量级。

四步走完，答案基本清楚。如果四步走完还在灰区，就要看实质：监管判断的是「这个行为在功能上是不是在替代征信」，不是「这个主体自称什么」。

二、作为信息主体，怎么用好这条边界

第一，先分清记录是谁放上去的。 征信报告上每条记录都有「信息提供者」，看清楚是银行、是消费金融公司、还是某个平台。这一步决定了后面找谁提异议。

第二，先查再问。 条例第十七条给了每年两次免费获取本人信用报告的权利，先把报告拿到手，看清哪一条有问题、哪一天记上去的、金额多少。没有报告就投诉，等于空手打仗。

第三，区分「记录不实」和「记录属实但我不服」。 前者走异议，后者只能等五年或者靠说明。异议程序只纠错，不消除真实的不良记录，这个预期必须先摆正。

第四，遇到「这不是征信数据」的抗辩，回到出口要件。 问一句：这份数据有没有提供给第三方使用？如果提供了，且用于信用判断，那就是征信信息。

三、作为经营者，三条硬线不能碰

第一条，不持牌不做个人征信。 未经批准从事个人征信业务，条例第三十六条的后果是取缔加罚款，没有「先做后补」的空间。

第二条，不碰禁止采集清单。 宗教信仰、基因、指纹、血型、疾病和病史，这五类是绝对禁止；收入、存款、有价证券、商业保险、不动产和纳税数额，这六类是相对禁止，要明确告知不利后果并取得书面同意才能采。「客户自己填的」不构成免责，因为同意必须是知情之后的同意。

第三条，境内采集的信息，整理保存加工留在境内。 这一条的技术实现成本不低，但它是硬性的，没有「小规模豁免」。

四、写合同条款时的三个动作

动作一，在同意条款上做出「足以引起注意的提示」。 条例第十九条要求，采用格式合同条款取得同意的，要在合同中作出足以引起信息主体注意的提示，并按信息主体的要求作出明确说明。加粗、单独成段、单独勾选，都是「足以引起注意」的实现方式；把它埋在隐私政策第 37 条里，不是。

动作二，把用途写具体。 条例第二十条要求按约定用途使用。写「用于风险评估」太宽，写「用于本次贷款申请的授信审批」才是可执行的约定。

动作三，留好告知记录。 条例第十五条要求提供个人不良信息前事先告知本人。这个「事先」要有时间戳，否则事后无法证明。

常见问题

我在网上买东西的行为数据，算征信信息吗？

要看它去哪了。如果只在平台内部用来给你推荐商品，不算。如果被平台加工成信用评分，提供给银行做放贷参考，那就是征信信息，你有权查询和提异议。判断标准不是数据本身，是它的流向和用途。

为什么我的征信报告上有一条我从来没听说过的查询记录？

条例第十八条要求，向征信机构查询个人信息应当取得信息主体本人的书面同意并约定用途。如果你没签过，这条查询记录本身就是违法的证据。但要注意例外：法律规定可以不经同意查询的情形。 司法查询、行政查询属于这一类，这类查询通常会在报告上显示为「法院」「公安」等机构查询。

征信机构说他们只是「信息搬运工」，不用负责，对吗？

不对。条例第二十三条要求征信机构采取合理措施保障信息的准确性，第二十五条要求收到异议后二十日内核查处理，第三十八条把「未按照规定对异议信息进行核查和处理」「逾期不删除个人不良信息」都列为可罚行为，并且明确「给信息主体造成损失的，依法承担民事责任」。「搬运工」这个说法在民事责任上不成立。

企业征信不用牌照，是不是谁都能做？

备案是必须的。条例第十条要求，设立经营企业征信业务的征信机构，自公司登记机关准予登记之日起三十日内向所在地的派出机构办理备案。不备案的后果在第三十七条第二款：责令限期改正，逾期不改正的，按第一款处罚，单位二万元以上二十万元以下罚款。「不用审批」不等于「不用备案」。

征信业务和「信用中国」上的信息是一回事吗？

不是。信用中国等平台公示的主要是行政机关依法公开的信用信息，属于社会信用体系范畴；征信报告上的信息来自金融机构等信息提供者，属于征信体系范畴。两者有交集但不重合，查了一边干净，不代表另一边也干净。

我把自己的征信报告发给中介看，会有什么风险？

风险不在「发」，在「发了之后」。报告上有你的身份证号、住址、全部信贷记录、查询记录。中介拿到这些，可以拿去冒名申请贷款，也可以转卖。条例第二十二条对征信机构及其工作人员的查询有严格限制，但对你自己主动提供没有保护——主动提供之后，保护屏障就没了。

境外机构能做中国境内的征信业务吗？

条例第四十五条规定，外商投资征信机构的设立条件，由国务院征信业监督管理部门会同国务院有关部门制定，报国务院批准；境外征信机构在境内经营征信业务，应当经国务院征信业监督管理部门批准。两条路都要批准，没有「只做线上就不用批」的空间。

征信业务违规，除了罚款还会有什么后果？

条例第三十八条除了单位罚款五万到五十万、责任人罚款一万到十万，还有一句「给信息主体造成损失的，依法承担民事责任；构成犯罪的，依法追究刑事责任」。对经营个人征信业务的机构，情节严重或者造成严重后果的，还可以吊销个人征信业务经营许可证。吊销牌照是最重的行政处罚，等于逐出市场。

我只是帮朋友的公司查一下客户的征信，会有什么问题？

问题很大。未经信息主体书面同意查询个人信息，在条例第三十八条第一款第二项是「未经同意采集个人信息」，在第四十条第三项是「未经同意查询个人信息」，两条都是五万到五十万的罚款档。如果查的是基础数据库，还涉及第四十条。如果情节严重，可能触及侵犯公民个人信息罪。

征信业务的规则一直在变吗？

条例这一层没有大改，2013 年施行至今。变化主要发生在下位规范：个人征信业务的管理办法、信用评级业的管理规定、数据出境的安全评估办法，这些更新频率高。所以看具体操作规则时，不能只看条例，还要看现行的部门规章；但看权利基础和救济路径时，条例是最稳的。

关联阅读： 征信机构怎么设、牌照怎么拿，见征信机构；被采集的到底是什么，见个人信用信息；信息的两个端口，见信用信息提供者与信用信息使用者；最终的成品形态见个人信用报告。个人信息的通用处理规则见个人信息处理；账户层面的身份基础见账户实名制。《征信业管理条例》全文，可在法规原库查阅；报告记错之后怎么走程序，见征信报告有错误，怎么申请异议更正。金融与支付类词条，可在金融消费分类下按序查阅。