尾佣账簿转移并不意味着尽职调查期间可以任意传阅带有身份信息的客户数据库。买方首先应明确真正需要哪些信息、是否可以汇总或去标识化、谁可以查看，以及每个访问和转移阶段依赖什么法律依据。

交易方案应分别处理交割前尽职调查、交割时的数据迁移，以及交割后的客户联系。是否需要披露依据、同意或通知，取决于相关实体、信息类别、交易结构、最初收集目的及适用协议。应由各方的隐私及信贷法律顾问就此作出判断，而不能在收购模型中想当然。

从交易结构和数据地图入手

先梳理实体，再梳理文件：卖方、买方、持牌人或信贷代表、聚合商、贷款机构、技术供应商、境外服务商，以及拟议的数据室用户。然后记录由哪个实体持有或控制每一组数据，以及哪个实体将接收数据。客户记录留在同一公司的股权交易，与记录在不同实体之间转移的资产交易，在操作上并不相同。

OAIC 指出，如果《隐私法》适用于拟出售的企业，企业出售过程中的个人信息处理也受监管。其指引还区分整项企业所有权变更和个人信息买卖，并提醒买卖包括客户数据库在内的资产可能构成个人信息交易（OAIC — Selling a business；OAIC — Trading in personal information）。买方应请律师把这些区别应用于实际交易结构，而不是认为只要把记录称为“尾佣账簿的一部分”，隐私问题就已有答案。

数据清单应至少分别列示：

  • 贷款和贷款机构标识、余额、状态、佣金及还款数据；
  • 客户姓名、地址、联系方式及身份证明文件；
  • 事实调查、偿付能力资料、银行对账单及财务支持文件；
  • 信贷方案、评估、建议、文件记录及往来通信；
  • 投诉、困难处境或脆弱性信息及违规记录；以及
  • 同意记录、隐私通知、营销偏好和联系历史。

之所以需要区分，是因为现行 Privacy Act 1988 所载的澳大利亚隐私原则，分别涉及收集、通知、使用与披露、安全、访问和更正；它并未把所有转移问题化为同一个检验标准。

按信息可识别程度分阶段开展尽职调查

首先查看账簿层面的证据：每月尾佣收款、贷款机构组合、贷款金额区间、逾期标记、批次年份以及批次流失情况。如果需要抽样，应询问卖方能否使用掩码后的贷款编号，并隐去姓名、地址、账户号码、身份证明及自由文本记录。差异事项清单可以描述缺失或质量不佳的记录，而不暴露相关客户。

OAIC 指引称，卖方应考虑去标识化，并在评估客户群时避免提供姓名及其他标识。指引还建议维持实体、法律和电子层面的控制，例如在保密协议中加入隐私条款，并限制数据室访问。潜在买方通常应尽可能避免收集个人信息；复制文件或记录包含个人信息的笔记，本身也可能构成收集（OAIC — Selling a business）。

应设置分阶段关卡，而不是一次性开放整个客户关系管理系统：

  1. **汇总审查：**不含客户标识，但足以检验账簿经济性和集中度。
  2. **经删改的样本：**选择界定清楚的样本，隐藏标识并限制字段。
  3. **受控的差异审查：**只有某个问题无法以其他方式验证时，才在监督下访问范围有限的记录。
  4. **交割迁移：**仅在先决条件、许可和转移责任解决后进行。

对每个关卡，都应记录目的、获准用户、字段、访问日期、下载和打印权限、监控、删除或返还安排，以及事件升级路径。OAIC 的安全指引建议按“确有需要”原则限制访问、限制管理员权限，并在不再需要访问时及时撤销权限（OAIC — Guide to securing personal information）。

不要混淆披露、同意和通知

三者相互关联，但属于不同问题。APP 6 通常涉及为最初收集目的使用或披露信息，或者在例外情形适用时为次要目的使用或披露；例外包括获得同意，或个人可以合理预期且与最初目的相关的次要目的（OAIC — APP 6）。APP 5 涉及 APP 实体在收集个人信息时，采取合理步骤把指定事项通知个人，包括实体身份、收集目的、通常披露对象及隐私政策信息（OAIC — APP 5）。

因此，客户公告并不自动等同于同意；而同意机制也不一定是每种转移的正确答案。应向律师和隐私专家查明：

  • 每类信息最初为何收集，当时的通知和同意措辞是什么？
  • 拟议的尽职调查访问是否构成收集或披露，由哪个实体实施？
  • 交割转移和后续服务使用分别依赖什么依据？
  • 是否需要新的通知、同意、贷款机构或聚合商批准，或给予客户选择？
  • 买方是否拟将数据用于服务以外的营销，该用途是否已单独分析？
  • 是否有任何接收方、储存地点或支持团队位于境外？

应按数据类别和交易阶段记录答案。笼统保证卖方“遵守隐私法律”，并不能说明谁可以导出、接收、保留或联系每一名客户。

保存记录不等于开放无限制访问

房贷档案既可能用于证明以往的信贷协助，也可能用于处理未来的服务查询。ASIC 关于最佳利益义务的指引列举了评估、信贷指南、申请信息、申请结果、谈话、建议、利益冲突及文件记录等资料，并提醒保留期可能取决于贷款期限和再融资等因素（ASIC RG 273）。这支持制定记录保存方案，但其本身并不能决定在出售中谁可以接收这些记录。

迁移前，应把文件索引与逐笔贷款账簿核对，并抽样测试完整性、格式、加密、权限和恢复是否成功。还应分配旧系统、重复存档、电子邮件、录音及纸质文件的责任。为停用卖方和顾问账户、轮换凭证、确认备份、返还导出样本及取得删除确认书设定日期。保存不可篡改的迁移日志，记录转移内容、时间、来源、接收方及差异事项。

设计首次客户沟通

沟通应以浅显语言解释变化，但不能夸大已经转移的内容。在取得专业意见并考虑适用安排后，方案应确定发送人、相对交割的发送时间、接手实体和联系方式、拟议服务关系、隐私信息查阅方式，以及如何处理问题、更正、投诉或联系偏好。

还应为退回邮件、已停用电话号码、身份核验、脆弱客户及不愿互动的客户准备话术。应把运营性质的介绍与宣传营销分开。记录送达、退信、回复和跟进状态，但不要把客户没有回复视为同意的证据。

在移动数据前准备转移事件预案

在第一份带身份信息的记录进入数据室前，应约定事件处理方案。方案应指定响应负责人、保存日志、控制访问、在必要时暂停迁移、分配调查成本，并规范卖方、买方、聚合商、保险人和顾问之间的沟通。

OAIC 现行数据泄露指引概括了四个步骤：控制、评估、在需要时通知，以及事后复盘。该指引指出，受应通报数据泄露制度约束的实体必须评估疑似符合条件的数据泄露，并在规定情形下通知受影响个人和 OAIC（OAIC — Quick reference guide for responding to data breaches）。各方应及时取得专业意见，判断事件是否达到法定标准，以及由哪个实体牵头应对。

买方的决策记录

批准迁移前，应要求形成一份简明且经签署确认的明细表，列示：

  • 交易结构及相关实体；
  • 范围内的数据集和系统；
  • 每个访问阶段的法律依据和批准；
  • 数据室用户、控制措施和访问日志；
  • 迁移、保留、返还和删除责任；
  • 客户沟通负责人、措辞、时间和例外处理程序；以及
  • 数据泄露联系人、保险通知步骤及停工权限。

如果在约定关卡前就出现带身份信息的客户文件、卖方无法解释关键字段的来源或最初目的、下载访问没有日志，或交割后无人负责更正和投诉请求，就应暂停。目标不是收集尽可能庞大的数据集，而是建立一条从调查到服务均受控且有依据的路径。

相关阅读

资料来源

免责声明

本文仅提供一般信息，不构成法律、税务、会计、财务、信贷、估值或其他专业建议。具体情况各不相同。在采取行动或进行交易之前，请向具备适当资质的顾问寻求建议。