现金贷数据江湖：1.5元就能买到一条借款人信息
【条款】
现金贷条款遗留争议
争议隐藏在现金贷的服务协议条款中。许多现金贷平台的合同条款中，都有一条内容为“授权第三方机构获取客户信息”的条款，有声音认为，这给网贷用户信息泄露乃至信息倒卖留下了口子。
按照常理，客户的信息资料不能提供给外界。但新京报记者调查发现，许多现金贷平台的合同条款中，都有一条内容为“授权第三方机构获取客户信息”的条款，有声音认为，这给网贷用户信息泄露留下了口子。
如爱又米《现金分期服务合同》第2.4条规定，借款人同意在第三方平台借款过程中，委托并不可撤销地授权爱又米及/或第三方平台，可以在第三方平台公开借款必须的个人信息，授权爱又米及/或第三方平台，在第三方机构查询保存和使用借款者的个人征信信息。
但对于这个“第三方平台”到底是什么，爱又米在条款中没有明确表述。10月29日，新京报记者咨询爱又米客服，得到的答复是第三方平台主要为“与平台合作的催收部门”。
网贷之家联合创始人石鹏峰认为，第三方通道有很多，但对于用户授权来说，应该明确指明是哪些第三方渠道，以及具体获取哪些信息，如何使用，而不应该是一个泛泛的授权说明。
北京盈科律师事务所律师方超强则认为，如果合同中笼统表述“信息可以提供给第三方或合作方、关联方”也是不合规的。必须明示这个“第三方”到底是什么机构?第三方拿到相关个人信息有什么用途?同样，也必须有如第三方拿到信息会有何风险的明示。
目前，只有少数平台对第三方拿到信息的风险作出了说明，如支付宝在隐私权政策中指出，“会与第三方签订保密协议，一经发现其违反协议约定将会采取有效措施乃至终止合作。”
《合同法》第四十条则规定，提供格式条款一方免除其责任、加重对方责任、排除对方主要权利的，该条款无效。
“如果用户不知道第三方或合作方是谁，APP将任何用户信息提供给第三方或合作方的表述都是无效。”方超强表示，“如果这样的表述有效，那就变成了只要APP方面认为是合作方，就可以给任何人用，我认为这严重侵害了用户的权利，不符合《合同法》规定。”
在中国政法大学互联网金融法律研究院院长李爱君看来，这一做法涉嫌违背了“相关性最小化原则”和“明示原则”。
李爱君称，在《网络安全法》和《消费者权益保护法》原则中都有关于“相关性最小化原则”：即借款人下载APP只是为了借款，平台需要对所有收集的数据、信息与借款有何相关性进行说明，并不是平台可以最大化、无限制地收集借款人个人信息。
不过，在业界眼中，这种方式属于“相对合法渠道”。
11月6日，某反欺诈技术公司副总裁张元表示，能够主动以合同文本的方式出现，属于相对合法渠道。“他们拿你的通讯录或通话记录的目的是两个，一是用来做评估，二是用来做催收。特别无担保、无抵押的现金贷是根据通讯录和通话记录来评估借款人的信用。但是现在大多数现金贷公司对通讯录的后一个目的被放在重点。某种程度上讲，这些现金贷公司的逻辑是，借款人你就是拿自己的隐私来换我的额度。”
■ 延伸
数据“清洗”后售价可达百元
现金贷获取的信息或许只是冰山一角，新京报记者调查发现，个人信息数据倒卖已成为高度分工并且颇具技术含量的产业，甚至还包括人工智能手段的应用。
人工智能技术应用数据买卖
有业内人士告诉新京报记者，现金贷领域只是个人信息数据倒卖的冰山一角，除此之外，倒卖已成为一个高度分工、技术含量很高的产业。里面的链条已经非常丰富和完善。
11月6日，某反欺诈技术公司副总裁张元表示，现金贷领域获取的手机号、通讯录等信息只是一个链条的开始，“这是一个江湖，基本上是三个环节”。
首先，是个人信息的直接获取。“如果你的数据不被泄露，他们是没有原材料的，也就不会进入交易流程”，张元解释道。
第二环节则进入了技术含量比较高的领域。国内某大数据公司战略合作与合规总监陈威表示，第一个环节获得的个人姓名、身份证号、手机号、电商平台的账号、银行卡账号、家庭住址、邮编等等都算是裸数据，“N个数据包似的出售，值不了多少钱”。但是经历第二环节的洗库、撞库、脱库、清洗等(数据行业术语)后的数据，精准匹配度就相当高了。”
“有些在此阶段的数据，可以在一个项目(以人名或身份证号)内全部出现，完成对一个人基本信息和生活情况的认定，价格就从几毛几分每条，变成了以元为单位。”但陈威认为这并不是真正大数据从业者最想要的数据结果。于是就出现了第三个环节，也是技术含量最高的环节。
AI等人工智能技术在第三个环节中出现。“例如，北京西路1320号与北京西路1318号这种地址信息的识别，AI发现一个项目中其他数据信息都一样，但只有这两个地址不同。AI就会在百度上自己查找1320号与1318号的区别到底在哪?很有可能这是同一栋楼，而机器所自主完成的就是对各种数据源进行印证、匹配。”陈威说。
据了解，经过这三个环节完成之后的个人信息数据，身价倍涨，每条能够以百元甚至更高价钱出售。
“谁的数据最多，谁就最容易泄露”
在业内人士眼中，目前从个人数据信息的获取途径看，有相对合法获取与彻头彻尾非法获取两种。
目前，相对合法角度收集或获取个人信息的公司或机构包括：大型互联网电商公司、快递物流公司、电信运营商、商业银行，以及公安、海关、教育、税务、社保等系统组成的“国家队”。
某大数据公司战略合作与合规总监陈威、某反欺诈技术公司副总裁张元，以及某征信公司副总裁杨毅都认为，这些公司或机构对个人数据信息泄露或倒卖，主观上都不存在动力，但在客观上，这些公司或机构，因为手中所拥有个人信息数据量级最大，成为数据泄露最大的“出口”。“我们讨论个人信息泄露的主要途径，首先就要看什么地方会有集中而大量的数据。谁拥有的数据最多、也就是最容易泄露的一方。”张元说。
在陈威看来，电商与快递物流渠道，大部分被泄露来源是从公司“内鬼”流出的数据，“当然也不排除某些高管的个人行为”，陈威接着说，“物流、互联网电商公司会有各种管理法则或罚则，以及各种监控手段，偷盗公司的个人用户信息后果很严重。但利润放在眼前，还是会有人愿意铤而走险。”
杨毅认为，与公司相比，政府部门、银行等公共机构通常不会去买卖数据，但是他们都有一个共同的问题，即他们的设备一般都不是自己供应、系统也不是自己开发的。因此会存在“后门”泄露的隐患。
但是另外一方面，市场是有需要的，“像银行的CRM系统(数据)，大家(征信、大数据等公司)都想要。好一点的做法是先拿授权，这样就变成了银行或三大电信运营商合法的代理。”陈威曾经有段时间的主要工作就是签署各种授权合同。
此外，大额交易数据也成为一个“通口”。张元补充道，“买房买车，这算是大额交易，可以直接推算，具有很强的金融属性和营销价值。所以一些开发商或4S店会将这类数据入库暗中出卖，造成个人信息泄露。”
还有一些本身非法获取个人信息并实现非法大量变现的途径，比较常见的是在手机中植入各种病毒、木马，通过不法手段，收取个人手机里的ID、钓鱼网站等等，“这就是彻头彻尾的非法行为。”杨毅说。
记者 罗亦丹 黄鑫雨 陈鹏
-
无相关信息
