區(qū)塊鏈征信業(yè)務中的數據怎樣進行保護

大數據時代的到來，一方面意味著個人數據、企業(yè)數據的扁平化，另一方面數據使用過程中的問題也逐漸暴露，個人數據孤島、企業(yè)信息不對稱、個人和企業(yè)信用隱私數據公開等問題亟待解決。區(qū)塊鏈技術的出現，許多企業(yè)紛紛開始探索區(qū)塊鏈技術和征信的結合以解決前述問題，在此過程中的數據使用合規(guī)和征信資質問題應當予以重視。

一、征信業(yè)中的區(qū)塊鏈技術應用

（一）個人數據的收集和使用

《網絡安全法》和《GB／T35273—2017信息安全技術個人信息安全規(guī)范》（“《個人信息安全規(guī)范》”）中明確規(guī)定了個人數據的收集和使用規(guī)范。

1．個人信息的范疇

根據《網絡安全法》的規(guī)定，個人信息是指以電子或者其他方式記錄的能夠單獨或者與其他信息結合識別自然人個人身份的各種信息，包括但不限于自然人的姓名、出生日期、身份證件號碼、個人生物識別信息、住址、電話號碼等。

《個人信息安全規(guī)范》中規(guī)定，個人信息包括姓名、出生日期、身份證件號碼、個人生物識別信息、住址、通訊聯系地址方式、通信記錄和內容、賬號密碼、財產信息、征信信息、行蹤軌跡、住宿信息、健康生理信息、交易信息等。

因此，個人信息不僅包括可以單獨識別自然人個人身份的信息，如姓名、身份證號碼、電話號碼等，還包括與其他信息結合可以識別特定自然人個人身份或活動情況的信息，如住址、工作單位、郵箱地址、征信信息、健康生理信息等。是否具有“可識別性”是判斷信息是否屬于個人信息范疇的核心要件，而“身份可識別性”的界限在我國并沒有形成統一或具體的判斷標準，實踐中企業(yè)應當根據數據所屬行業(yè)、具體的識別方法和手段合理性等因素綜合判斷。

2．明確授權

《民法總則》確立了兩項重要的權利：第一，首次在法律上明確規(guī)定了隱私權的概念。第二，個人信息權。雖然民法總則沒有明確提到“個人信息權”的概念，但是明確規(guī)定“自然人的個人信息受法律保護。任何組織和個人需要獲取他人個人信息的，應當依法取得并確保信息安全，不得非法收集、使用、加工、傳輸他人個人信息，不得非法買賣、提供或者公開他人個人信息?！币虼?，我國立法和司法中充分尊重信息主體的自決權。

《網絡安全法》規(guī)定，網絡運營者收集、使用個人信息，應當遵循合法、正當、必要的原則，公開收集、使用規(guī)則，明示收集、使用信息的目的、方式和范圍，并經被收集者同意。網絡運營者不得收集與其提供的服務無關的個人信息，不得違反法律、行政法規(guī)的規(guī)定和雙方的約定收集、使用個人信息，并應當依照法律、行政法規(guī)的規(guī)定和與用戶的約定，處理其保存的個人信息。因此，對于屬于個人信息的數據，其收集、使用和處理都需要經過信息主體的明確同意。

《個人信息安全規(guī)范》中將個人信息分為個人一般信息和個人敏感信息，并提出默許同意和明示同意的概念。對于個人一般信息的處理可以建立在默許同意的基礎上，只要個人信息主體沒有明確表示反對，便可收集和利用。對于個人敏感信息，則需要建立在明示同意的基礎上，在收集和利用之前，必須首先獲得個人信息主體明確的授權。根據規(guī)范，個人敏感信息指的是一旦遭到泄露或修改，會對標識的個人信息主體造成不良影響的個人信息。個人敏感信息可以包括身份證號碼、銀行賬號、通信記錄和內容、行蹤軌跡等。個人一般信息則是指除個人敏感信息以外的個人信息。

3．脫敏數據的交易和保存

對于收集后的信息的使用，根據《網絡安全法》第四十條、四十二條、四十四條的規(guī)定，網絡運營者應當承擔嚴格的保密責任（包括必要的保密措施、補救措施及泄露后的通知義務），未經信息主體的同意，不得向他人提供個人信息，但是經過處理無法識別特定個人且不能復原的除外。任何個人和組織不得竊取或者以其他非法方式獲取個人信息，不得非法出售或者非法向他人提供個人信息。

另外，在《個人信息安全規(guī)范》中提到“收集個人信息后，個人信息控制者宜立即進行去標識化處理，并采取技術和管理方面的措施，將去標識化后的數據與可用于恢復識別個人的信息分開存儲，并確保在后續(xù)的個人信息處理中不重新識別個人?！?/p>

因此，收集數據應當經過處理后無法識別特定個人且不能復原，并且與個人信息的“身份可識別性”相同，目前我國并沒有統一的“不能復原”的判斷標準，因此實踐中應當根據數據的特殊適用范圍綜合考慮。

二、資質合規(guī)分析

對于計劃通過收集用戶數據的處理以提供征信服務的企業(yè)來說，根據我國現有法律規(guī)定，還應當具備一定的資質。

根據《征信業(yè)管理條例》和《征信機構管理辦法》，我國境內個人征信機構的設立需要經過中國人民銀行的批準，同時還需要同時具備以下條件：

出資額占公司資本總額5％以上或者持股占公司股份5％以上的股東信譽良好，最近3年無重大違法違規(guī)記錄；

注冊資本不少于人民幣5000萬元；

有符合中國人民銀行規(guī)定的保障信息安全的設施、設備和制度、措施；

擬任董事、監(jiān)事和高級管理人員應當熟悉與征信業(yè)務相關的法律法規(guī)，具有履行職責所需的征信業(yè)從業(yè)經驗和管理能力，最近3年無重大違法違規(guī)記錄，并取得中國人民銀行核準的任職資格；

中國人民銀行規(guī)定的其他審慎性條件。

另外，需要特別注意的是，根據上述法律規(guī)定，征信機構的信息系統應當按照國家信息安全保護等級測評標準，對信用信息系統的安全情況進行測評。征信機構信用信息系統安全保護等級為二級的，應當每兩年進行測評；信用信息系統安全保護等級為三級以及以上的，應當每年進行測評。

因此，對于打算通過區(qū)塊鏈技術突破現有征信數據應用問題的企業(yè)來說，一方面，在數據的獲取、使用、保存過程中應當遵循我國數據保護法律的要求，另一方面，在綜合技術測評后，應當建立符合業(yè)務需求，并且安全完備的信息系統。