某互联网金融平台将风控模型涉及的个人信息委托给关联征信公司但隐私政策未披露关联关系及共享目的案（浙江省网信办，2024年9月）

【案件背景】
某互联网金融平台（以下简称“涉案平台”）是持牌的网络小额贷款公司，主营线上消费信贷业务。为建立风控模型和贷后催收策略，涉案平台自2021年起将借款人的个人信息（包括姓名、身份证号、手机号、银行卡号、通讯录、通话记录、短信记录、位置信息、消费记录、设备指纹等）委托给其全资控股的一家关联征信服务公司（以下简称“关联征信公司”）进行信用评分和风险评级。2024年4月，浙江省网信办在个人信息保护专项行动中发现涉案平台存在信息披露不充分的问题，进而立案调查。

【违法事实】
经调查查明：
（1）涉案平台的《隐私政策》中确实提到了“为评估您的信用状况，我们可能将您的个人信息提供给合作的第三方征信机构”，但并未披露该第三方征信机构实为涉案平台的全资子公司——二者具有直接的控股关系。用户无法从《隐私政策》中了解到这一关联关系，无法对数据共享的真实目的和风险做出知情判断。
（2）涉案平台委托给关联征信公司处理的信息范围远超风控所需的必要限度。除基本的身份信息和信用交易记录外，涉案平台还将借款人的手机通讯录、通话记录、短信内容、实时GPS位置、设备应用列表、社交媒体行为标签等高度私密的个人信息提供给关联征信公司。调查发现，其中通讯录和短信内容与信用评估之间无直接关联，属于过度处理。
（3）关联征信公司利用涉案平台提供的借款人数据，开发出了一套独立的信用评估产品，以商业化形式向其他金融机构销售。该商业使用行为超出了委托处理协议中约定的“为涉案平台提供风控评分服务”的处理目的，但涉案平台对此知情且未予制止。
（4）涉案平台对关联征信公司的数据安全审计流于形式——每年仅由集团IT审计部门出具一份内部审计报告，从未聘请独立第三方进行安全评估。调查发现，关联征信公司的数据库存在数个高危SQL注入漏洞，可被外部攻击者利用获取全部借款人数据。
（5）涉案平台在用户注销账户后，未及时通知关联征信公司删除该用户的个人信息，导致部分已注销用户的完整信用评分数据在关联征信公司系统中保留了长达2年。

【处罚决定】
浙江省互联网信息办公室依据《个人信息保护法》第六十六条，对涉案平台作出以下行政处罚：
（一）责令改正违法行为，重新修订《隐私政策》，全面披露与关联公司之间的委托处理关系和共享目的；
（二）暂停委托征信数据处理业务直至完成整改；
（三）处人民币100万元罚款；
（四）对直接负责的首席数据合规官处人民币10万元罚款。
此外，中国人民银行杭州中心支行依据《征信业管理条例》对涉案平台另处人民币30万元罚款，对关联征信公司进行约谈。

【典型意义】
本案为互联网金融领域的个人信息委托处理设立了重要的合规标杆：
第一，关联方之间的数据处理不能“隐身”。即使委托方和受托方之间存在控股关系，委托处理行为仍须满足告知同意的要求，且必须在隐私政策中清晰披露关联关系——用户有权知道自己的数据被谁处理、为何处理。
第二，委托处理的目的限制原则不可突破。受托方对数据的任何使用，都必须严格限定在委托协议约定的处理目的范围内。利用委托数据开发商业产品并对外销售的行为，严重违反了目的限制原则。
第三，本案揭示了金融数据委托处理中关联方特殊风险的监管关注：控股关系的存在容易导致合规监督失灵的“左手管右手”问题，独立第三方审计在此类场景中尤为必要。
第四，本案中银保监和人行的协同执法体现了金融个人信息保护的“多龙治水”格局——同一违法行为可能同时触犯《个人信息保护法》和行业监管法规，企业须注意多重合规风险。