实名认证 API 合规要点:3 部法律 + 4 类违法情形的避坑清单

一句话结论

实名认证 API 本身合法——前提是服务商与权威数据源有正式书面授权链路,且你作为调用方遵守《个人信息保护法》《数据安全法》《网络安全法》《电话用户真实身份信息登记规定》等法规要求。

4 个底层法律框架

实名认证 API 的合规边界由这 4 部法规共同界定:

法规核心要求 《中华人民共和国个人信息保护法》(2021.11 施行)个人信息处理者需取得个人同意、最小必要、安全可控 《中华人民共和国数据安全法》(2021.09 施行)数据分类分级保护、数据处理活动合法合规 《中华人民共和国网络安全法》(2017.06 施行)网络运营者等级保护义务(等保 2.0) 《电话用户真实身份信息登记规定》(工信部)手机号实名登记要求

本文不构成法律意见,具体合规边界请咨询专业律师。

服务商侧 5 项必备合规能力

1. 数据使用授权链路清晰

与权威数据源持有书面授权协议

能在客户要求时提供授权证明

不能出示的 = 高风险,建议弃用

2. 经营范围合规

营业执照应包含增值电信业务或数据服务等经营范围

持有增值电信业务经营许可证(SP 证)

3. 业务安全保护(等保 2.0)

信息系统应通过网络安全等级保护 2.0测评

数据存储 / 传输 / 访问控制符合国家标准

加分项:ISO 27001、SOC 2 等国际认证(但不是必须)

4. 用户删除权支持

用户行使删除权时,必须支持

技术上确保数据库、缓存、日志都能彻底删除

5. 跨境传输限制

实名认证数据属于敏感个人信息,原则上不能跨境传输

出海业务需用当地合规服务商

调用方侧 6 项必做合规要点

1. 用户授权

调用实名认证 API 前,必须获取用户主动同意。推荐使用独立的《实名认证服务协议》弹窗,不要埋在通用《用户协议》里。

2. 数据最小化原则

只采集必需字段(如姓名 + 身份证号),不要多收

不要长期存储身份证号(用完即删,或只存哈希)

缓存不超过 24 小时(参考最小必要原则)

3. 用户查询 / 更正 / 删除权

用户可要求查询、更正、删除自己的实名认证记录。技术上要支持对应接口,并能确保日志中也能彻底删除。

4. 留存期合规

不同法规对实名记录留存期要求不同:

反洗钱场景:≥ 5 年

一般业务:保存到服务结束后 6 个月

出海业务:依当地法律

5. 数据本地化

境内业务:原则上数据不出境

必须出境的:通过数据出境安全评估才合规

6. 个人信息保护影响评估

处理敏感个人信息 / 跨境传输 / 自动化决策等场景,应开展个人信息保护影响评估,评估报告保存至少 3 年。

数据安全法的关键条款(已验证原文)

《数据安全法》是 2021 年 6 月 10 日通过的实名认证领域最直接相关的法律,其中两条与实名认证 API 业务关系最密切:

第 21 条(数据分类分级)

国家建立数据分类分级保护制度。关系国家安全、国民经济命脉、重要民生、重大公共利益等数据属于国家核心数据,实行更加严格的管理制度。各地区、各部门应当按照数据分类分级要求,对本地区、本部门以及相关行业、领域的数据进行分类分级管理。

实名认证数据虽然不属于国家核心数据,但属于个人敏感信息,应按较高等级保护。

第 27 条(数据处理活动规范)

开展数据处理活动应当依照法律、法规的规定,建立健全全流程数据安全管理制度,组织开展数据安全教育培训,采取相应的技术措施和其他必要措施,促进数据安全使用。利用互联网等信息网络开展数据处理活动,应当在网络安全等级保护制度的基础上,履行上述数据安全保护义务。

这一条直接对应到等保 2.0 测评要求——任何在线处理实名认证 API 的服务商都应通过等保测评。

来源:人大网《数据安全法》全文(http://www.npc.gov.cn/npc/c2/c30834/202106/t20210610_311888.html)

4 类违法情形

❌ 购买来源不明的实名认证 API ❌ 缓存超过必要期限且未告知用户 ❌ 把用户实名数据用于超出授权目的(如风控画像) ❌ 与无 SP 证 / 无授权的第三方共享实名数据

上述任何一条都可能触发最高 5,000 万元或上年营业额 5%的罚款(个保法第 66 条),情节严重的吊销许可证。

选服务商时的 5 个反问问题

数据从哪来?能不能出示书面授权链路?

数据存储位置?是否支持用户删除 / 更正?

是否通过等保测评?有效期到什么时候?

ICP 备案主体与对外宣传主体是否一致?

是否支持用户授权留痕?(用于事后追溯)

接入后日常合规清单

业务系统上线后,建议建立季度合规自检:

[ ] 调用日志是否完整保留 ≥ 6 个月

[ ] 缓存是否定期清理(≤ 24 小时)

[ ] 用户删除请求是否在 15 个工作日内响应

[ ] 是否每年更新一次《隐私政策》

[ ] 是否与服务商保持书面授权链路(每年续签)

常见误区澄清

误区 1:过等保就是合规

正解:等保 2.0 是基础要求,不是充分条件。个保法 + 数据安全法 + 等保 + 行业法规(金融 / 教育 / 医疗)共同构成合规框架。

误区 2:用户同意了就能用

正解:同意必须是自愿、明确、可撤回的。默认勾选 + 不勾选不能用不符合个保法要求。

误区 3:用云服务就免责

正解:调用方仍是个人信息处理者,承担合规主体责任。云服务商是受托处理,但不能转移合规义务。

关于诺正通

诺正通提供身份证号 + 姓名一致性核验 API,所有数据对接均经过正规授权链路,全程不滞留原始数据。如需了解详细合规资质或索取授权证明文件,请联系商务。

联系咨询

商务咨询:service@nztapi.com

合规咨询:compliance@nztapi.com