海外现金贷数据合规翻车实录：一国禁令、应用下架与 7550 亿罚单

海外现金贷数据合规翻车实录：一国禁令、应用下架与 7550 亿罚单

国内做现金贷，风控三板斧里少不了”读通讯录、看通话记录、扫相册”。到了海外，这一套却最容易先翻车——不是模型不准，而是监管根本不让你采。

2025 年以后，印度、印尼、菲律宾等主力市场相继把数据合规从”纸面要求”变成”执法红线”。今天这篇文章，我们用两个真实可考的翻车案例，把海外现金贷数据合规的坑一次性拆清楚。

一、案例 A：印度市场，通讯录权限直接触发应用下架

2025 年 5 月 8 日，印度储备银行 RBI 发布《数字借贷指引》（Digital Lending Directions, 2025），对数字借贷 App 的数据采集划出硬边界：

• 禁止访问通讯录、通话记录、电话功能、文件/媒体；
• 相机、麦克风、位置只能一次性、明示同意、且仅限 KYC 场景；
• 借款人数据必须存储在印度境内，海外处理的话须在 24 小时内删除境外副本并传回印度；
• 出借机构（RE）对其合作的 LSP、DLA 负全责。

一家我们暂且称为 M*****n 的出海现金贷团队，2024 年在印度上线时沿用了国内风控架构：App 安装时批量申请通讯录、通话记录、短信、位置、存储等权限，后台据此构建关系网络和反欺诈标签。2025 年指引生效后，M*****n 没有及时调整，导致被用户投诉至 RBI 与印度网络犯罪协调中心 I4C。

2026 年 1 月，德里高等法院在 Himakshi Bhargav v. Union of India & Ors. 案中直接要求 RBI 提交执法说明。同月，I4C 依据《信息技术法》第 79(3)(b) 条和 2021 年 IT 规则，要求 Google Play 在三小时内下架包括 M*****n 在内的多个借贷 App。印度电子信息技术部 MeitY 亦确认，截至 2025 年 7 月已依据第 69A 条封锁 87 个非法借贷应用。

代价是什么？

• 应用下架：Google Play India 分发入口瞬间归零，自然流量和 ASA 买量全部中断；
• 牌照问询：合作 NBFC 被 RBI 要求说明外包服务商的数据处理合规性；
• 品牌损伤：印度本地媒体和社交网络上”中国贷 App 窃取通讯录”的舆情发酵，老客召回成本翻倍；
• 合规整改：紧急迁移数据到孟买 AWS/孟买 Azure 区域，重构最小权限 SDK，耗时 4–6 个月。

二、案例 B：印尼市场，数据泄露与不当催收引发刑事调查

如果说印度是”权限越界”的典型案例，印尼则是”数据滥用 + 催收越界”叠加的翻车现场。

2025 年 11 月，印尼国家警察与 OJK 联合破获两个非法在线借贷平台 Dompet Selebriti 和 Pinjaman Lancar。警方通报称，两平台至少让 400 名用户受害，涉案资金被冻结 Rp14.29 亿（约 142.9 亿印尼盾），7 名运营者被列为嫌疑人。核心指控包括：

• 在用户还清贷款后继续骚扰催收；
• 以”曝光通讯录”威胁借款人支付额外费用；
• App 收集通讯录、设备存储、照片等远超借贷必要的数据；
• 服务器设在境外，数据跨境传输未获用户有效授权。

2026 年 6 月，OJK 又公开传唤持牌平台 Solusiku（PT Anugerah Digital Indonesia），原因正是消费者投诉其催收过程中”滥用个人数据、引入未经授权的第三方”。OJK 要求平台暂停相关催收、提交完整说明并自查整改，并强调”发现违规将实施行政处罚和/或其他监管措施”。

更具警示意义的是印尼商业竞争监督委员会 KPPU。2026 年 3 月底，KPPU 对 97 家在线借贷平台作出重罚裁决，总罚款金额高达 7550 亿印尼盾（约合 4700 万美元）。据行业媒体报道，被处罚平台中约九成具有中资背景，包括信也旗下 AdaKami、洋钱罐旗下 Easycash 等头部平台。处罚事由虽未全部指向数据合规，但”数据收集不透明、用户授权不充分”是多项处罚的共同事由之一。

2026 年 8 月，OJK 进一步发布 POJK 8/2026，要求在线贷款机构：

• 完整、准确、及时地向 OJK 报送交易数据；
• 指定一名董事对数据报送负责；
• 建立书面数据政策并定期内部审计；
• 禁止向第三方出售或共享用户信息（法律允许情形除外）。

三、根因：为什么数据合规总是先翻车？

复盘这两个案例，问题并不复杂，但几乎家家都会踩：

1. 把国内架构原样出海

   国内风控依赖通讯录、通话记录、设备画像做反欺诈和催收施压。到了印度、印尼，这些权限要么被 outright 禁止，要么需要明示同意且仅限特定场景。”先上线再补合规”的做法，在 2025 年以后行不通。

2. SDK 和第三方服务商埋雷

   M*****n 的 SDK 清单里有多家国内数据服务商，用户授权链路模糊。RBI 明确要求 RE 对 LSP 负责，一旦合作方违规，持牌机构同样被罚。

3. 数据本地化理解不到位

   不少团队以为”数据库在亚洲就近部署”即可。RBI 要求的是境内存储、境外处理 24 小时内删除；印尼则要求核心系统可监管、可审计，数据出境需有明确法律依据。

4. 催收环节的数据二次滥用

   采集通讯录本为反欺诈，结果在催收端被用来”爆通讯录”。一鱼两吃的做法在印度、印尼都会触发个人信息保护法与金融监管的双重处罚。

四、可复用清单：出海前把这五条做到位

如果你正在筹备新市场，建议把下面这张清单作为上线前的硬门槛：

• [ ] 权限最小化：只申请借贷功能必需的权限，通讯录、通话记录、短信默认关闭；
• [ ] 明示同意：每次敏感数据采集都要独立弹窗、说明用途、可撤回；
• [ ] 数据本地化：核心借款人数据存境内，跨境传输走标准合同条款 / 监管报备；
• [ ] SDK 审计：列出所有第三方 SDK，逐条核对数据流向和授权链路；
• [ ] 催收隔离：催收系统与风控数据做权限隔离，禁止用通讯录施压。

五、小结

数据合规不是法务部的事后补丁，而是产品架构层面的顶层设计。印度和印尼的案例说明，监管已经从”有没有隐私政策”进化到”你实际采了什么、存哪儿、谁在用、有没有滥用”。

对于出海现金贷团队来说，最便宜的合规方案是：在产品 0.9 版本时就按目标市场最高标准设计数据采集范围，而不是等应用被下架、牌照被问询后再亡羊补牢。

下一篇，我们聊另一个更容易踩雷的环节：催收被罚。