— 政策解读
免押政策解读：个人信用信息保护法下，租赁商家如何合规接入免押
《个人信息保护法》与《数据安全法》实施后，租赁商家接入免押服务需关注数据采集授权、最小化使用、风控目的限定等合规要点。本文逐条解读。
· 作者：免押服务平台
《个人信息保护法》（2021 年实施）与《数据安全法》的实施，对租赁行业接入免押服务提出了明确的合规要求。免押风控依赖用户姓名、身份证号、手机号、信用分等个人信息，商家在接入时必须关注数据采集授权、最小化使用、风控目的限定、数据安全保障四大合规要点。本文结合法律条文与实战场景逐条解读。
一、数据采集授权：用户知情同意是前提
《个人信息保护法》第十三条规定，处理个人信息应当取得个人同意。租赁商家在采集用户信息用于免押风控前，必须履行告知-同意义务：
告知内容
- 数据处理者的名称与联系方式；
- 采集个人信息的种类与目的（明确标注"用于免押金风控评估"）；
- 个人信息的保存期限；
- 用户享有的查阅、复制、更正、删除权利。
授权方式
- 弹窗告知：用户发起免押申请时弹出授权弹窗，用户主动点击"同意"后采集信息。
- 隐私政策：在用户协议或隐私政策中明确免押风控相关条款，用户勾选确认。
- 不得默认勾选：授权选项不得预先勾选，必须由用户主动选择。
合规要点：授权必须是"明示同意"，不能以"继续使用即视为同意"的方式规避用户主动授权。
二、最小化采集：只采风控必需的数据
《个人信息保护法》第六条规定，处理个人信息应当具有明确、合理的目的，并应当限于实现处理目的的最小范围。这就是最小化采集原则。
免押风控必需的数据范围
- 必需采集：姓名、身份证号（实名认证）、手机号（联系方式与社交风控）。
- 按需采集：芝麻信用分（授权查询）、设备指纹（自动采集，无需用户填写）。
- 禁止过度采集：不得采集与风控无关的敏感信息，如生物识别信息（人脸、指纹）、精确定位轨迹（非租赁期间）、通信记录等。
合规要点：商家应定期审计风控数据采集清单，移除非必需字段。接入正规免押服务平台时，平台应提供数据采集清单说明，明确每个字段的用途。
三、风控目的限定：数据不得挪作他用
《个人信息保护法》第六条的"目的限定原则"要求，个人信息仅可用于用户授权时的明确目的。免押风控采集的数据，只能用于风控评估，不得挪作他用：
- 禁止用于营销：不得将风控采集的用户信息用于后续营销推送、广告定向。
- 禁止出售共享：不得将用户数据出售给第三方，或与无业务关联的机构共享。
- 禁止用于其他业务线：若商家有其他业务线（如二手车销售），不得将免押风控数据用于其他业务线。
- 变更用途需重新授权：如需将数据用于新目的，必须重新获取用户授权。
合规要点：商家内部应建立数据使用隔离机制，免押风控数据与营销系统、CRM 系统的数据隔离，防止数据越界使用。
四、数据安全保障：加密存储与等级保护
《数据安全法》第二十七条要求，数据处理者应当建立健全全流程数据安全管理制度，采取相应的技术保护措施。免押风控数据涉及用户敏感信息，安全保障要求更高：
技术保障措施
- 加密传输：用户姓名、身份证号等敏感字段需 AES-256 加密传输，防止中间人攻击。
- 加密存储：敏感数据加密后存储于数据库，数据库本身具备访问控制与审计日志。
- 脱敏展示：内部系统中身份证号、手机号脱敏展示（如 138****5678），减少数据泄露风险。
- 访问权限控制：仅授权人员可访问原始数据，操作行为全程审计。
合规认证
正规免押服务平台应通过国家信息安全等级保护三级认证（等保三级），这是金融与征信类业务的最低安全要求。商家在选择平台时，应核实平台的等保认证资质。
五、用户权利保障：查阅、更正与删除
《个人信息保护法》第四章规定了用户对个人信息的各项权利，租赁商家需提供对应的履行机制：
- 查阅与复制权：用户有权查阅其被采集的个人信息，商家应提供查询入口（如小程序内的"我的信息"页面）。
- 更正权：用户发现信息有误时，商家应及时更正。
- 删除权：在特定情形下（如授权撤销、业务结束一定期限后），用户有权要求删除个人信息。
- 撤回授权权：用户有权随时撤回免押风控的授权，商家不得以撤回授权为由拒绝提供基础服务。
合规要点：风控数据的保存期限应明确，一般建议业务结束后保留 2 年（用于应对潜在纠纷与监管审计），到期后自动删除。
六、商家接入免押的合规清单
租赁商家接入免押服务时，建议对照以下合规清单自查：
- 用户授权流程是否实现"明示同意"（弹窗或勾选，非默认）；
- 隐私政策是否明确说明免押风控的数据采集目的与范围；
- 风控数据采集清单是否遵循最小化原则，无过度采集；
- 风控数据是否与营销系统隔离，未挪作他用；
- 敏感数据是否加密传输与存储；
- 是否提供用户信息查阅、更正、删除的入口；
- 合作的免押服务平台是否通过等保三级认证；
- 风控数据保存期限是否明确，到期是否自动删除。
常见问题
租赁商家接入免押服务需要用户授权吗？
需要。根据《个人信息保护法》，租赁商家在采集用户姓名、身份证号、手机号等个人信息用于风控评估前，必须获得用户明确授权。授权方式包括弹窗告知、隐私政策勾选等，需明确告知数据用途与使用范围。
免押风控采集的用户数据可以用于其他目的吗？
不可以。《个人信息保护法》要求目的限定原则，用户数据仅可用于风控评估目的，不得挪作营销、出售或共享给第三方。如需变更用途，需重新获取用户授权。
免押服务平台如何保障用户数据安全？
正规免押服务平台通过国家信息安全等级保护三级认证，用户数据加密存储、最小化采集、授权后使用，严格遵循《个人信息保护法》与《数据安全法》，绝不向第三方出售或共享用户数据。
需要合规接入免押服务？
免押服务平台已通过等保三级认证，扫码添加微信获取合规接入方案。
微信号：my6889666