原标题：浦发、华夏信用卡逾期信息被层层转包
互联网平台与银行合作催收 欠款人亲戚、联系人信息均被泄露
■IT时报记者 吴雨欣
“只要签了委托书，我帮你要账，什么手段你别管，违法我来承担。” 催收共享平台上的一名注册“催客”告诉《IT时报》记者，他是全国近30万催收大军中的一员。
互联网催收模式今年发展迅速，平台试图通过云计算、大数据和智能化清收策略解决不良资产清收的最后一公里难题，传统银行也开始试水这类互联网模式下的欠款催收与转让，委外信用卡逾期业务。
大商机背后蕴含大风险，《IT时报》记者调查发现，使用一个虚假身份信息便可成功注册成为催客，而银行信用卡逾期用户和亲人的信息在层层转包中被轻易泄露。
身份认证形同虚设
数据显示，2016年不良资产的市场化投放规模达1.5万亿左右，而目前仅网贷行业预估的不良资产规模就达到2000亿元。传统的资产清收存在地域限制、催收时间长、人工成本高、效率低、投入产出比低等挑战，庞大的市场规模催生了一批催收共享平台，希望催收能由专业团队过渡到普通民众，人人做催收，于是催催宝、人人追、债无忧、火眼催收等十余种平台纷纷上线。
为了保证信息的合法来源和确保签约主体资格，每位参与者必须经过实名认证才能查看项目或是接单。8月1日，记者在地下黑市用5元钱购买了一套手持证件及身份证正反面信息，很轻易便在人人追、债无忧等平台被认证通过。
成为催客之后，记者却发现，普通的个人债务催收并非平台最核心的业务，银行信用卡逾期客户催收却是重中之重，“做信用卡催收吧。”人人追的客服不停地在电话里拉拢记者。
信用卡逾期，具有明显的小额、分散、失联等特点，出于成本考虑，银行多会把这部分业务打包给有资质的律师事务所。7月25日，北京农商银行银行卡部就信用卡坏账创新催收和人人追会谈时，人人追CEO周敬民强调了平台在长账龄信用卡催收方面的经验和不同于其他传统催收公司的特点：律师接单，合法合规催收；覆盖全国律师网络；整合大数据，辅助修复。
然而，对于没有律师资格的记者，人人追给出的解决方案是，让熟悉的律师朋友代为接单。
欠款人的亲戚、联系人信息都被泄露
“我们有大量浦发银行、华夏银行信用卡案源，能不能与我们合作催银行单？”当记者质疑银行催收案源能否外包时，人人追客服反复强调，这不是外包，是“业务合作”，“银行不会直接与催收公司合作，我们接单，你们催款，我们收佣金，剩下的你们赚，不然怎么挣银行的钱！”
经过一番周折，记者拿到了一份浦发银行信用卡逾期用户的信息。在这份逾期用户信息中，持卡人的姓名、身份证号、地址、工作单位一目了然。然而更令人心惊的是，欠款人的紧急联系人姓名、联系方式也都赫然在列，甚至欠款人亲戚的姓名、联系电话、地址也都在列表中清晰可见。
8月2日，记者以欠款人联系人的身份分别致电浦发银行与华夏银行，称自己受到了催收人的骚扰，咨询客服如何处理。浦发银行客服表示，银行给到外包公司的信息只限姓名与联系方式；华夏银行客服则表示，不想接到催款公司电话，只能让欠款人主动联系银行，更改联系人。
据了解，今年2月，华夏银行信用卡中心与人人追正式签约，是与人人追携手的第二家大型股份制银行信用卡中心，而人人追则宣称会整合企业、工商、司法、税务、求职招聘等多类公共数据，为债务人作信息补全，和尚跑没跑直接去问庙。但不知道其所言的“庙”，是不是欠款人的家人和亲戚朋友。
催收不是银行的强项，出于对用户数据安全的考虑，多会选择有律师资质的大公司合作，并要求公司签署保密协议，员工只能在内网查看资料，但外包公司的后期操作中，这一点并没有被坚持。一家成功拿到银行信用卡催收业务的企业负责人曾在公开场合表示，信用卡用户信息泄露在行业内司空见惯，但银行不说、外包公司不说、逾期用户更不说。
银行催收业务被层层转包
以了解业务为由，记者拿到了人人追发来的《华夏银行案件委托通知单》和《浦发银行案件委托通知单》，客服告诉记者，一旦催收公司确定与平台的合作关系，华夏银行及浦发银行的逾期持卡人信息就会批量发出。
“根据逾期时间，用户被分为不同的等级，逾期30天是M1、60天是M2、90天是M3，一般欠费3个月以内银行催收，3个月之后外包给公司，外包公司要回来的钱越多，提成也就越多。”一位曾帮银行催收的催客告诉《IT时报》记者。
根据《浦发银行案件委托通知单》显示，根据月度回款率的不同，催收服务费率从28%到37%不等，而平台收取的服务费也从3%到10%不等。华夏银行的案件则细分了客户登记，从M12到M24 ，不同等级根据不同的回收率，催收服务费和平台服务费不等。两家银行的委案周期都是3个月，每月结算当月佣金的70%，在委案期满后，按累计回款率达成情况，考核结算全部剩余应付佣金。平台对催收公司亦有考核，浦发银行的案件要求催收公司3个月的回款率考核目标为2.58%，每月回收率考核目标为0.86% ；华夏银行的案件则要求3个月的回款率考核目标为2.4%，每月回收率考核目标为0.8%。
根据中国银监会《关于进一步规范信用卡业务的通知》，明确要求银行业金融机构应审慎实施催收外包行为。实施催收外包行为的银行业务金融机构，应建立相应的业务管理制度，明确催收外包机构选用标准、业务培训、法律责任和经济责任等，选用的催收外包机构应经由本机构境内总部高级管理层审核批准，并签订管理完善、职责清晰的催收外包合同，不得单纯按欠款回收金额提成的方式支付佣金。
“有些不配合的用户不适合银行出面，暴力催收就发生在外包公司这一环。”上述催客告诉记者。
银行应对数据安全负责
银行委托的催收外包机构，能否层层转包呢？
“转包行为本身没什么问题，但银行对本身的数据安全负责，就要间接对使用他数据的供应商负责。银行对供应商的选择，针对信息安全（数据来源、传输、存储）应该有一套规则，选择时应按这个规则来选择厂商，所以问题不在转包，在于银行选择的厂商是否具备足够的信息安全规格与技术来确保信息安全。”资产处理服务提供商资易通CEO盛洁俪告诉《IT时报》记者。
“只要银行与企业之间没有签订合同禁止企业再转包，企业可以再转包，但银行与企业之间应签有保密协议，如果造成信息泄露，用户可以通过法律维护自己的合法权益。”上海法佳信息科技有限公司CEO黄麒律师告诉《IT时报》记者，提起诉讼的人应该是信息被泄露的欠款人或是担保人。黄麒直言，出于各方利益，生活中很难碰到此类案件，欠款人只想躲债，催款公司也不会主动站出来直指银行及催收外包机构泄露用户信息。不过，对因催收外包管理不力，造成催收外包机构损害欠款人或其他相关人合法权益的，银行业金融机构承担相应的外包风险管理责任，情节严重的甚至可采取责令限期整改，限制、暂停或停止其信用卡新发卡业务。
“如果欠款是真实的，银行完全可以按照法律程序主张权利去追讨，但欠钱不还和隐私被泄露是两码事，公民的隐私个人信息应受法律保护。即使银行要披露欠款人信息，也是有选择的披露，身份证号码、住址属于敏感信息，这些信息被公示，意味着金融机构不当泄露个人信息，欠款人及担保人可以向银行管理部门和公安部门寻求帮助。”北京市法学会电子商务法制研究会会长、中消协律师团团长邱宝昌说。