双新规落地，普通人贷款、隐私、反诈迎来新变化

（本文作者陈宏民，上海交通大学安泰经管学院教授、行业研究院副院长；作者杨云鹏，上海交通大学行业研究院助理研究员）

我们每个人每一次扫码、刷卡、转账，都在往这个巨大的数据池里不断注入新的“活水”。2026年一季度，全国各支付系统共处理支付业务3988.50亿笔，金额3580.95万亿元。其中，银联跨行支付系统处理业务877.53亿笔，日均处理业务9.75亿笔；网联清算平台处理业务2985.91亿笔，日均处理业务33.18亿笔。

2026年6月，国家互联网信息办公室联合中国人民银行、国家金融监督管理总局等六部门印发《金融信息服务数据分类分级指南》(下称《指南》）；与此同时，国家数据局印发《关于推进行业高质量数据集建设行动的实施方案》（下称《实施方案》）。两份文件几乎同时落地，释放出一个明确信号：数据本身不是资产，只有融入场景、解决实际问题，才能转化为真正的价值。支付产业积累了这么多年的数据“富矿”，是时候真正开始发光发热了。

一、每天几十亿笔交易，数据价值为何迟迟难以释放

支付数据有多值钱，其实不难想明白。每一笔支付背后，都连着谁在花钱、在哪儿花、花在什么地方——把这些信息整理好、放在一起看，就能画出消费热力图，算出行业景气指数，甚至提前判断一个区域的经济活跃度。银行可以用它做风控，电商可以用它做精准营销。

但现实中，这些数据的价值依然有很大开发空间。

首先是数据的归属问题。一笔扫码支付，牵扯到发卡银行、收单机构、清算机构等多方参与者，原始数据各家都有，加工后形成的新数据又该归谁？缺乏清晰的法定界定，导致各方都不敢贸然行动。

其次是缺乏统一的合规标尺。同样的交易流水数据，在A银行被从严管控，在B机构脱敏后却能投入建模应用。标准不统一，数据产品开发就只能在审查环节反复“拉抽屉”，始终形不成可复用的操作规范。

再者是外部数据获取不易。支付内部数据虽然体量庞大，但在小微企业信贷风控等场景中，迫切需要工商登记、税务申报、司法判决等外部公共数据进行交叉验证。但这些高价值公共数据要么尚未纳入授权运营范围，要么获取渠道有限、采购成本高昂，成为制约数据产品丰富度和模型精度的关键瓶颈。

二、从顶层立法到精准治理，政策体系逐步成型

金融数据治理的政策框架并非一蹴而就，而是经历了一个从顶层立法到行业细则、从原则性规定到精细化管理的渐进过程。

第一层是上位法奠基。2017年施行的《网络安全法》首次从法律层面确立了网络运营者的数据安全保护义务；2021年，《数据安全法》正式施行，从法律层面确立了数据分类分级保护这一基础制度。同年，《个人信息保护法》施行，三部法律共同构成了中国数据治理的“三大法律支柱”。

第二层是行业规则细化。2022年底，“数据二十条”发布，构建了数据资源持有权、数据加工使用权、数据产品经营权“三权分置”的产权运行新范式。此后，证监会、金融监管总局、中国人民银行陆续出台各自领域的数据安全管理办法。

第三层就是2026年6月，《指南》、《实施方案》这两份文件出台。它们把此前那些原则性的规定，变成了金融信息服务领域可操作、可对照的具体标准。金融数据治理正在从“有什么、管什么”转向“是什么、定几级”的精准管理新阶段。

三、两纸新规，为数据价值释放打开了制度空间

《指南》最大的突破，在于给出了一个科学精细的分类分级体系。在分类层面，按照业务属性将数据分为业务数据、用户数据和企业数据3个一级类别，进一步细分为9个二级类别和67个三级类别。此前大量处于“非核心非重要、但又有一定敏感性”的支付数据，因缺乏明确的制度定位而被从严管控。现在有了清晰的分类框架，每类数据的“身份”和“可流通半径”都有了明确界定。

在分级层面，《指南》将数据从高到低分为核心数据、重要数据、敏感一般数据、常规一般数据四个级别。敏感一般数据在落实相应保护措施后可有序流通，常规一般数据则可在保障安全的前提下高效利用。这相当于给大量沉睡的支付数据开辟了合规流动的通道。

《指南》还给出了从数据资源梳理、数据分类、数据分级、形成清单、报送重要数据目录到动态更新管理的完整操作流程。机构拿着文件对照附录就能定级，数据治理从此从主观判断转向“对照标准定级”。

与此同时，国家数据局印发的《实施方案》部署了强基扩容、标注攻坚、提质增效、应用赋能、管理服务、价值释放六个专项行动。《实施方案》明确提出要“形成‘场景牵引数据、数据驱动模型、模型赋能应用、应用创造价值’的‘数据飞轮’”，为支付产业以高质量数据供给支撑人工智能大模型训练提供了明确的行动指南。到2028年底，将建成一批覆盖重点领域、经过应用验证的行业高质量数据集。

四、新规落地，普通人能感受到什么变化

对普通消费者来说，最直观的是反欺诈体验会更好。如果银行的反欺诈模型如果能用上更多维度的数据，就能更快识别异常交易。比如一笔刷卡消费突然出现在你从未去过的城市，模型几秒钟就能判定风险并拦截，而不是等你发现钱没了再报案。这种“无感”的保护，背后靠的正是高质量数据的支撑。

再有办贷款场景。以前去银行申请房贷或消费贷，要准备一大堆材料，工资流水、社保记录、房产证明，跑好几趟还不一定批得下来。未来，随着不同来源的数据在安全合规的前提下实现融合，银行对个人信用状况的评估会更全面、更高效。信用良好的人，审批时间可能会从几天缩短到几小时甚至几分钟，真正实现“数据多跑路，群众少跑腿”。

还有一个看似不起眼却与不少人切身相关的变化——个人信息的“精简采集”。过去注册一个APP或开通一项金融服务，动不动就要勾选十几项授权，身份证、通讯录、位置信息全部上交，不勾选就用不了。随着分类分级制度的落地，金融机构将被要求遵循“最小必要”原则——只收集业务必需的数据，不能再“搭车”收集无关信息。你授权出去的个人数据，也会因为有了统一的定级标准而得到更有针对性的保护，该脱敏的脱敏，该加密的加密，不该存的用完就删。

当然，所有这些变化的前提，是数据能安全、合规地流动起来。支付数据是金融数字化的核心资产，也是人工智能时代不可替代的训练资源。但“有数据”不等于“用得好数据”。关键在于产业各方的协同行动与持续创新。所以眼下各银行、支付机构首先要做的，是对照新规把手里的数据分好类、贴好标签——哪些可以流通、哪些需要脱敏、哪些必须严格保护，都按统一标准来。这件事做完了，数据才能放心地用起来。

此外，新规还鼓励探索“衍生数据”的归属问题。举个例子，把某条商业街上所有商户的匿名化支付记录汇总，生成一份“商圈人气指数”，这份指数归谁？如果归属清晰了，数据持有方就敢放心拿出来交易，需求方也愿意花钱购买，整个数据市场才能真正转起来。

说到底，数据不是锁在保险柜里的金条。它更像水，只有流动起来，才能灌溉下游的田地。以前我们只做到了“管得住”，现在新规的目标是“用得好”。当支付数据与工商、税务、司法等公共数据在安全环境下实现融合应用，受益的不只是金融机构——你某天接到的那通诈骗电话被及时拦截、申请房贷时一天就批下来、注册APP时不再被索要一堆无关权限，这些看似微小的改变，都是数据流动带来的红利。

第一财经一财号独家首发，本文仅代表作者观点。