《个人信息保护法》（2021 年实施）与《数据安全法》的实施，对租赁行业接入免押服务提出了明确的合规要求。免押风控依赖用户姓名、身份证号、手机号、信用分等个人信息，商家在接入时必须关注数据采集授权、最小化使用、风控目的限定、数据安全保障四大合规要点。本文结合法律条文与实战场景逐条解读。
一、数据采集授权：用户知情同意是前提
《个人信息保护法》第十三条规定，处理个人信息应当取得个人同意。租赁商家在采集用户信息用于免押风控前，必须履行告知-同意义务：
告知内容
- 数据处理者的名称与联系方式；
- 采集个人信息的种类与目的（明确标注“用于免押金风控评估”）；
- 个人信息的保存期限；
- 用户享有的查阅、复制、更正、删除权利。
授权方式
- **弹窗告知：**用户发起免押申请时弹出授权弹窗，用户主动点击“同意”后采集信息。
- **隐私政策：**在用户协议或隐私政策中明确免押风控相关条款，用户勾选确认。
- **不得默认勾选：**授权选项不得预先勾选，必须由用户主动选择。
**合规要点：**授权必须是“明示同意”，不能以“继续使用即视为同意”的方式规避用户主动授权。
二、最小化采集：只采风控必需的数据
《个人信息保护法》第六条规定，处理个人信息应当具有明确、合理的目的，并应当限于实现处理目的的最小范围。这就是最小化采集原则。
免押风控必需的数据范围
- **必需采集：**姓名、身份证号（实名认证）、手机号（联系方式与社交风控）。
- **按需采集：**芝麻信用分（授权查询）、设备指纹（自动采集，无需用户填写）。
- **禁止过度采集：**不得采集与风控无关的敏感信息，如生物识别信息（人脸、指纹）、精确定位轨迹（非租赁期间）、通信记录等。
**合规要点：**商家应定期审计风控数据采集清单，移除非必需字段。接入正规的免押数据对接服务商（如车数联）时，服务商应提供数据采集清单说明，明确每个字段的用途。
三、风控目的限定：数据不得挪作他用
《个人信息保护法》第六条的“目的限定原则”要求，个人信息仅可用于用户授权时的明确目的。免押风控采集的数据，只能用于风控评估，不得挪作他用：
- **禁止用于营销：**不得将风控采集的用户信息用于后续营销推送、广告定向。
- **禁止出售共享：**不得将用户数据出售给第三方，或与无业务关联的机构共享。
- **禁止用于其他业务线：**若商家有其他业务线（如二手车销售），不得将免押风控数据用于其他业务线。
- **变更用途需重新授权：**如需将数据用于新目的，必须重新获取用户授权。
**合规要点：**商家内部应建立数据使用隔离机制，免押风控数据与营销系统、CRM 系统的数据隔离，防止数据越界使用。
四、数据安全保障：加密存储与等级保护
《数据安全法》第二十七条要求，数据处理者应当建立健全全流程数据安全管理制度，采取相应的技术保护措施。免押风控数据涉及用户敏感信息，安全保障要求更高：
技术保障措施
- **加密传输：**用户姓名、身份证号等敏感字段需 AES-256 加密传输，防止中间人攻击。
- **加密存储：**敏感数据加密后存储于数据库，数据库本身具备访问控制与审计日志。
- **脱敏展示：**内部系统中身份证号、手机号脱敏展示（如 138****5678），减少数据泄露风险。
- **访问权限控制：**仅授权人员可访问原始数据，操作行为全程审计。
合规认证
正规的租车免押 API 服务商应通过国家信息安全等级保护三级认证（等保三级），这是金融与征信类业务的最低安全要求。商家在选择服务商时，应核实其等保认证资质。
五、用户权利保障：查阅、更正与删除
《个人信息保护法》第四章规定了用户对个人信息的各项权利，租赁商家需提供对应的履行机制：
- **查阅与复制权：**用户有权查阅其被采集的个人信息，商家应提供查询入口（如小程序内的“我的信息”页面）。
- **更正权：**用户发现信息有误时，商家应及时更正。
- **删除权：**在特定情形下（如授权撤销、业务结束一定期限后），用户有权要求删除个人信息。
- **撤回授权权：**用户有权随时撤回免押风控的授权，商家不得以撤回授权为由拒绝提供基础服务。
**合规要点：**风控数据的保存期限应明确，一般建议业务结束后保留 2 年（用于应对潜在纠纷与监管审计），到期后自动删除。
六、商家接入免押的合规清单
租赁商家接入免押服务时，建议对照以下合规清单自查：
- 用户授权流程是否实现“明示同意”（弹窗或勾选，非默认）；
- 隐私政策是否明确说明免押风控的数据采集目的与范围；
- 风控数据采集清单是否遵循最小化原则，无过度采集；
- 风控数据是否与营销系统隔离，未挪作他用；
- 敏感数据是否加密传输与存储；
- 是否提供用户信息查阅、更正、删除的入口；
- 合作的免押数据对接服务商是否通过等保三级认证；
- 风控数据保存期限是否明确，到期是否自动删除。
