香港信贷资料服务机构合规

金管局IC-6 V7的机构定义包括“從事提供個人信貸資料服務業務的任何資料使用者，不論該業務是否該資料使用者的唯一或主要業務”，并在信资通模式下具体指由业内公会挑选的机构。私隐专员守则第1.9、1.11条则从编制／处理个人资料、信用评分及向信贷提供者提供相关资料的实际服务界定CRA；只称科技或评分公司不能排除适用。

本页讲个人信贷资料处理、服务及银行采购合规，不把它包装成一张对所有资料公司有统一资本、规费和政府发证流程的“信贷资料牌照”。CRA、使用报告的信贷提供者，以及信资通独立资料平台营运者是不同角色；个人信贷、商业信贷及其他金融业务也须分开判断。

信资通是业内公会制定、获金管局支持的多家个人信贷资料服务机构模式。独立平台作为信贷提供者和CRA之间的加密资料转换站，并为完整资料维护主档案及备份；Report、评分及个人权利处理仍需各参与方落实职责，不因采用共用平台便自动解决资料质量和私隐问题。

平台于2022年11月28日开始运作，与2024年4月26日信资通开始提供服务是不同节点。引入多家服务旨在提升竞争、服务及韧性、减少单点失误；不是监管机构对信用评分、贷款获批或服务商商业回报的保证。

私隐专员守则第3.1条列CRA可收集的资料，包括获准的身份及联系资料、信贷提供者依第2.4条提供的信贷资料、指定官方债务及破产记录、追踪清单、查阅活动和评分等；不是可以任意汇集所有网络、社交或消费资料。是否能收集、保存、披露或用于评分，每一步均须独立核对。

第3.8条还限制报告披露，例如一般不得向另一订户透露原信贷提供者身份及账户号码；按揭资料亦有特别范围。资料存在数据库，不代表整份底层记录可向所有订户开放。

服务自身合规、业内公会挑选、银行采购及其他经营许可是不同事项。若业务另涉及贷款、银行业务、受规管投资活动或其他服务，应另核对应制度，不以信贷资料合规代替其他授权。

个人资料处理须遵守《个人资料（私隐）条例》。私隐专员依据该条例第12条发出实务守则，违反守则可在相关程序中产生违反适用法例要求的证据推定，但资料使用者可证明通过其他方式合规；不能将每一项建议做法都写成独立刑事发牌条件。法定保密责任也不会被守则允许的资料处理自动解除。

IC-6 V7首页列明它是金融管理专员依据《银行业条例》第16(10)条发出的法定指引，适用于从事提供个人信贷的认可机构。第1.4条说明与守则有矛盾时以守则为准；银行不遵守指引还可能影响持续符合认可准则的判断，不把银行侧义务不加区分地套给所有数据公司。

本页守则引用2013年1月第四修订；IC-6 V7自2026年6月12日生效，发出修订通告日是6月9日。IC-6附表1另列《多家个人信贷资料服务机构模式实务守则》及《管治架构》；行业条件、合同和技术接入须核当时文本，不能用公司注册或顾问整理资料代替正式获选。

CRA须按实际资料及服务判断角色；信贷提供者按守则附表1包括认可机构、其附属机构、持牌放债人，以及以租赁／租购方式为取得货品提供融资的业务人士。IC-6则专门针对其列明的认可机构，不能因此把全部参与者一概称为持有金管局银行授权。

个人信贷不只限个人自己借款：个人为另一人作按揭人或担保人时，相关或有负债及获准资料也可能纳入。商业客户报告涉及个人担保资料，不代表可不分字段地把整个公司资料库套用本页规则。

拟加入信资通的机构须核行业挑选、服务合同、连接及控制条件；本页不列未经确认的开放申请窗口、接入资格名单或统一政府审批时间。先明确是申请成为CRA、作为信贷提供者参与，还是为参与方提供技术处理。

在本页所列个人信贷守则及IC-6范围内，没有可据以对所有CRA套用的统一法定最低股本或政府“牌照申请费”表。涉及其他许可、行业挑选及合同的资源条件须另核，不把“本页没有该金额”解释为完全没有资金或系统要求。

预算应分资料质量与身份匹配、香港境内收集储存处理设施、加密传送、access control、log、安全销毁、纠正客服、audit、恢复及切换测试。银行管理层须投入足够资源完成平台连接，CRA与平台则需能提供合同要求的审计权及定期报告证据。

商业订阅、平台连接、系统开发、独立审计、第三方及顾问费用按实际范围约定；不把这些报价、ISO控制目标或最低运营预算虚构成政府统一规费或资本门槛。

CRA须培训处理个人信贷资料的员工，并为员工、外部承包商和订户建立书面使用规则及纪律／合同程序。技术支持能否读取明文资料、访问生产库或处理备份，应按实际权限和数据流核对，不能只依服务商所在地或“只做维修”判断。

银行查阅须限于获管理层授权、具相关私隐知识及培训的指定人士；授权和修改有书面记录。IC-6第5.3节访问控制要求避免共用密码、不得向未经授权的维修／服务商透露密码，查阅密码至少每季更改，指定终端也只供指定人员使用。

本页规则没有给所有CRA规定统一RO牌照或固定人数；仍须有足够实际资源落实资料质量、Safety、个人请求和合同义务，不能把顾问、银行采购或IT外包视为管理责任已转移。

订阅CRA服务不是无限查询授权。守则第2.8–2.11条区分提供／更新自身已提供资料、Apply、续期、现有信贷检讨及特定欠账监测，并要求每次向CRA确认实际允许情形。按揭宗数查阅另涉及个人书面同意及列明情况，不把其他场景一概视为已授权。

“检讨”限定为考虑增加信贷额、缩减／取消／降低信贷，或与个人制订／执行债务安排；一般市场研究、销售名单筛选或无实际检讨事项的批量查询不能仅因客户原已开户而改称检讨。

守则第2.12条禁止为向个人推销或宣传货品、设施或服务而查阅其CRA资料。合法检讨／续期与营销分开；实际查询目的、授权及通知证据须能与系统记录对应。

对2011年4月1日前已经存在且其后继续存在的按揭账户一般资料，IC-6第4章要求在提供现有正面按揭资料前取得订明同意，并核其有效性；该日以后收到的新造按揭申请，须在收集申请人资料前提供适当收集声明和通知。按揭宗数查阅的书面同意与提供资料的订明同意分别核对。

未取得现有按揭资料共享同意，不等于IC-6规定一律拒绝贷款；银行可继续处理申请，但须取得额外资料及判断还款能力与风险。撤回同意须按书面通知及及时传递程序处理，不编造保证获贷或撤回即全库删除。

申请由中介递交时，银行须核中介已获代为申请及相关查阅授权，并记录中介资料以防欺诈。未具该授权时须直接联络申请人核其意愿并告知可能查阅；后续函件收件人亦按指引处理，不能凭介绍人声称“客户已同意”直接放行。

筹建或接入没有在本页规则中统一规定新CRA若干周获牌。进度取决于实际角色、行业安排、合同、连接、系统和审计补救；准备完成、银行开始采购与获选接入分别记录，不把经营实施计划写成政府批核承诺。

运营期限按事件与责任人管理：账户资料从速更新，通常最迟在每个不超过31日的报告期结束时更新；特定还款、安排或撇账事件尽快处理。个人就该类事件提出更新要求，银行依IC-6第5.5.4条不得超过收到请求后14日。

CRA收到订户资料纠正请求，应及时咨询资料提供者；守则第3.19条规定40日内未获书面确认／改正，届满时按请求删除或修正。官方记录核实另依第3.20条及其证明例外，不把31日、14日、40日或24小时切换期限互相替代。

报告订阅、系统连接、定制分析、独立审计和顾问支持属于不同商业服务，按具体报价的币种、周期和包含范围确认；未核实的统一政府牌照费不填入预算。守则建议CRA自行负担独立合规审计费用，亦不等于政府审计收费表。

守则第3.18条就个人告知曾被使用该CRA报告的信贷提供者拒贷时，建议CRA迅速免费响应其查阅请求；在办公室提出且可行时即时提供，否则于请求后三个工作日内邮寄。适用情形与建议性质须说明，不推广成任何产品、订阅或报告都永久免费。

查阅、更正及拒贷后重新考虑并非信用改善或贷款批准服务；收费不得被宣传成可付费清除真实不利记录或保证提高分数。具体消费者免费服务及商业条款以有关机构当时安排核对，本页不替服务商制造报价。

资料提供前应作合理核实，发现错误须及时更新；若有争议，向CRA提供资料及CRA再披露报告时均应标示争议，解决后尽快更新。不能因资料仍在保留期限内而拒绝调查明显错误，也不应以过期报告作新信贷决定。

CRA须监控访问模式、安全删除与销毁资料，并记录已证实或疑似安全事件、受影响记录、成因和行动。银行要限制报告复印传阅、按需要知道原则访问，拒贷或终止借贷关系后，在没有其他获准用途时于合理时间内销毁有关报告。

获授权中介、技术承包商和订户实际使用情况均须纳入控制；安全销毁、纠正及事故整改要有可复核记录。外包、加密或合同已签不等于可以不持续监察。

守则对特定检讨查阅的“疑似异常查阅”有定义：同一信贷提供者在31日内就某个人作五次或以上列明检讨查阅。它不是每月可任意查询四次的安全额度；其他异常模式也须持续监测、调查和处理。

CRA对疑似异常查阅应在合理切实可行情况下尽快向订户高层及私隐专员报告。其订户访问日志须包含订户身份、日期时间、涉及个人、允许查询情形、检讨事项及相关报告，至少保存两年。

银行须比对内部查阅与CRA相关记录，调查不合理差异及异常，并保存查阅、调查和跟进文字记录至少两年；检讨通知或豁免通知的依据亦有两年记录要求。数据库内个人“查阅活动资料”的五年保留上限是另一类别，不与审计日志混为一谈。

保留期按资料类别和事件计算，不统一五年。守则第3.2条的账户一般资料，以仍有相关还款资料或账户终止两者较后为界；无重要欠账的还款资料一般按每项建立起五年，期间账户终止时另核终止后五年及适用删除请求。允许保留上限不是要求所有资料一律保留到最后一天。

重要欠账指拖欠超过60日。第3.3条按最终清偿／安排下最终清偿后五年，或个人通知并以指定证明证实解除破产后五年，两者较早为准；撇账不等于清偿。因破产撇账但未显示重要欠账的还款资料，第3.4B条有相应单独规则。

官方债务追讨或金钱判决资料一般为事件日起七年，破产宣告／解除的官方记录资料为相关破产宣告日起八年；这与账户还款资料的清偿／解除后五年不同。信用申请、报失及查阅活动亦有各自起算点。

已全清并终止的账户，如终止前五年没有重要欠账等条件符合，可于终止后五年内经信贷提供者提出删除请求；联名账户按共同指示，原信贷提供者再融资不自动等同符合该清偿条件。CRA核实后尽快删除，发现重要欠账疑点则先与资料提供者澄清。

可保留不代表可整段披露。守则第3.8条对信用申请、报失及查阅活动的报告披露一般限两年内建立的资料；还款资料按活跃或已终止账户有两年回溯及特定重要欠账／破产撇账例外。应在报告生成环节核字段及时间窗，不能只检查数据库删除日。

评分是另一用途：第3.10.5条限制使用五年以前建立的账户资料，已终止账户按终止前五年回溯。评分资料自身依第3.6.6条通常仅保留至建立日后下一个营业日结束；不因此推断合法底层账户资料也必须翌日全删。

第3.7条涉及符合《私隐条例》第62条豁免的特定资料继续保留；研发或模型标签本身不能自动产生豁免。应核实际目的、适用条件及其他责任，不能把资料永久留存或再营销一概写成允许。

IC-6第3.1条期望认可机构经平台与每家选定CRA共享资料，以维持各数据库全面；第7.3条另要求所有零售银行（包括数字银行）聘用多于一家CRA。这是共享覆盖与服务韧性两个层面，不能以聘一家服务便推断只需向一家报送。

第7.3条多机构切换规定一家CRA服务中断时，零售银行须在24小时内完成切换及恢复正常营运，不降低个人信贷服务、风险管理及控制。至少每12个月演习一次，涵盖技术、营运及风险管理，完成后取得非主要CRA书面确认活动成功及关键目标达成；银行管理层定期检讨政策与能力。

第7.4条要求聘用CRA的认可机构确保相关CRA与平台营运者在香港境内收集、储存和处理个人信贷资料，并以合同、审计权和定期报告监察。消费者主动提出并明确授权的跨境信贷申请是列明例外；单为技术或营运便利的境外转移，即使获同意也不应允许。

评估海外备份、远程支持及数据镜像时须看实际资料是否跨境；不能仅引用2013守则原收集目的条款，便宣称2026年银行采购下的数据可任意放海外。具体跨境产品及技术方案另核，不把消费者例外扩为常规境外运维。

CRA与订户书面协议须列双方守则责任、允许查阅的情况及控制程序。银行第7章合同还须保障持续监察、严重违规时终止、所提供账户数据的权利，以及终止后的删除、归还或转移与相应责任；停止接口不等于已完成所有资料处置。

守则第3.14及3.14A条把CRA自费聘用独立合规审计及涵盖ISO/IEC 27002控制目标或认可等效标准的IT安全审计列为建议做法；第3.14B条续列间隔不超过12个月、每次审计开始后三个月内交报告的安排。不能把ISO控制目标改写成政府统一颁发的CRA成立证照。

IC-6第5.7节则要求银行至少每年审核，报告交董事局或指定获授权者／委员会，评估安全事件、管理回应及改善建议。CRA独立审计、银行年度审核和行业合同核验应分别列明；2011年首次按揭共享审计的历史六至七个月节点，不是2026年新CRA的通用申请期限。

银行考虑CRA报告后，应在通知申请决定时说明曾参考报告及提供相关CRA联系途径；若个人要求更正已获处理，应按个人请求取得新报告重新考虑。参考多家CRA报告时，IC-6要求对所有相关报告履行该程序，不能仅告知其中一家。

资料更正不保证分数上升或贷款通过；真实且适用保留的不利记录不因付费而应被抹除。评分与资料提供不代替银行自身信贷判断，也不代表CRA或顾问可承诺批准。

IC-6第8章要求银行在资料显示客户可能确有还款困难时按相应框架体谅处理、讨论可接受方案，向适当客户说明综合债务纾缓计划等可能性，不应仓促催即还或削减额度。具体安排的资格和处理条件须另行确认，资料更正并不代替债务协商。

常见缺口包括把普通资料公司宣传成已获信资通资格、个人／商业规则混用、所有人共用密码、以营销伪装检讨查阅、争议报告不标注、五年保留误作五年完整披露、海外副本未核，以及合同终止后数据无人负责。

上线前把角色、查询理由、资料字段、身份匹配、同意／通知、权限和实际系统位置逐一对账，测试纠正、删除、事故、恢复及切换。每项义务列清适用主体、法律或建议性质、证据和责任人，并为测试缺陷指定整改期限及复核人。

HKComply（香港環信商業顧問有限公司）可按书面委托，协助界定CRA、信贷提供者、平台与技术处理角色，梳理规则和资料流、来源字段、通知及权限、保留披露与评分期限、订户合同、个人请求和事故流程，并整理审计与接入准备证据。

正式获选及接入由相关行业／平台程序和实际合同决定；申请人及管理层须提供真实资料并落实合法处理、系统位置、安全及服务能力，法律、技术安全及独立审计意见由适当专业人员负责。具体工作、费用和责任以书面委托为准。

支持服务不代表监管认可或特殊关系，不虚构统一政府发牌、资本、费用或获选日期，不保证信用评分、贷款审批或商业结果；不提供虚构身份／地址、查询授权或报告。