摘要

  • Ofcom 九月发布的指南解释英国通信服务提供商如何在现行法律框架下共享反诈数据。它既不是普遍披露义务，也没有新设访问客户记录的权力。
  • 运行层面的关键，是让每条信息保持准确、适度，并标明它是事实、迹象还是怀疑；如果警报后来被证伪，还必须能够纠正。

一场诈骗往往穿过多个环节后，任何一家运营商才能看到完整轮廓。电话可能先由批发运营商转接，再进入零售服务，冒充银行，最后诱使受害者把钱汇往另一家金融机构。每个参与者只掌握一部分：一个号码、一段异常流量、一宗投诉，或者一个收款账户。视野被割裂会拖慢识别；把片段拼起来，又可能让针对某个人或企业的怀疑传播得比原始证据更快、更远。

Ofcom 在 2026 年 9 月公布一份面向英国通信服务提供商的实务指南。指南由 Comms Council UK、英国 Home Office 和 Ofcom 共同编写，并听取了 Information Commissioner’s Office（ICO）的意见。Ofcom 鼓励运营商参考这份文件。但多方共同参与，并不会让指南变成新的法定披露通道，也不等于命令运营商交出所有可疑记录。它的作用是说明如何使用现有框架，让提供商更清楚何时、分享什么、以何种方式分享。

相关法律依据在今年早些时候发生变化。《2025 年数据使用与访问法》新增一项“认可的合法利益”处理依据，适用于为侦测、调查或预防犯罪（包括诈骗）所必需的数据处理。该条款于 2026 年 2 月 5 日生效。指南说明，依赖这一依据的提供商无须另做一份合法利益评估。这减少了一道程序，但不意味着任何个人数据都可以发送给任何接收方：必要性仍是法定条件，其他数据保护规则也继续适用。

指南要求提供商把理由说具体：要预防的伤害是什么？共享这些信息有可能帮助吗？能否用更少、可识别性更低的数据达到目的？接收方是否合适？是否需要访问限制、匿名化、假名化或数据共享协议？发送了什么、给了谁、原因是什么、预期得到什么结果？这些问题能把笼统的“反诈需要”变成一项之后可以复核的决定。

复核记录还要保留证据的不同状态。指南要求信息准确、及时，并清楚地区分事实与怀疑。流量突然升高、主叫号码标识异常或客户投诉，都可能是有用迹象，但单独来看，不能证明是谁导致的、客户是否故意行事，或者某家企业是否有责。一条经得起复核的通知，应说明谁在何时观察到什么，同时标明推断和不确定性。如果后来确认怀疑不成立，提供商应记录这一结果，并更新相应共享机制。

匿名化与假名化也不能混为一谈。删除姓名后的电话号码清单看似匿名，但如果提供商或接收方能把号码重新关联到个人，它仍可能属于个人数据。综合多种来源后，一组宽泛的通话模式也可能指向具体个人。指南建议在可行时降低数据的可识别性；但一个令牌、一段哈希值或汇总统计，并不能替代对“接收方还能推断出什么”的判断。

现成的反诈机制可以避免每家企业从头搭建所有交换渠道。指南区分政策与协调主体、数据共享组织以及一线信息入口，并列出 Cifas、Telecommunications UK Fraud Forum、Cyber Defence Alliance 和 National Trading Standards 等机构。配套材料中的案例涉及电话号码、通话记录、域名、恶意短信关键词以及其他信息。成熟机制可以提供接收方、流程和协作预期，却不会自动验证每一项新指控，也不会替另一家公司决定应采取什么商业措施。

配套案例还说明，“成效”数字需要分开阅读。一项案例称，2025 年第四季度有 1,275 个号码被停用，之后每月还有 300 至 400 个号码被处理，而相关问题仍在增加。Cyber Defence Alliance 的一个案例称，491 家曾接到已知语音钓鱼号码来电的企业被转介给银行，以供监测或调查；文件同时明确表示，无法得知其中多少家实际遭遇诈骗，也没有数据说明转介避免了多少损失。Cifas 报告称，其 National Fraud Database 有 200 万条活跃案件，2025 年录入 44.4 万宗，会员报告节省了 21 亿英镑。

这些数字能说明活动量、覆盖范围和运营规模，却没有共同的统计分母，也不是经独立审计的因果估算。停用号码是流程产出；“保护人数”可能是估算；转介案例不等于确认受害者；会员报告的节省额也不是反事实研究。配套材料有助于盘点已在运作的机制，但不能证明所有渠道效率相同。

指南也承认，仅靠数据保护分析无法解决所有边界。竞争法和被指控方的抗辩权不在其完整处理范围内。以反诈为目的的信息交流，不应成为竞争者协调商业排斥的借口。运营商需要把共享情报与集体拒绝互联或拒绝交易区分开。受到指控的运营商应能了解并质疑相关信息；如果客户被错误识别，纠正内容也应送达收到原始警报的同一批接收者。

因此，九月指南为一个早已由法律、监管机构、运营商、银行、反诈组织和执法部门构成的体系补上了实务连接。它的贡献在于让法律和操作路径更易理解，特别是对规模较小的提供商。它是否有效，应看后续决定和纠错的质量，而不是文件是否发布、交换了多少条记录，或未经限定地宣称挽回了多少诈骗损失。

来源：Ofcom 公告与指南；配套案例材料；《2025 年数据使用与访问法》附表 4；生效条例。; ICO 假名化指南; ICO 关于共享个人信息以预防和调查诈骗的指南; 英国电信行业反诈章程; 英国《2026—2029 年反诈战略》; Ofcom 面向电信提供商的指南 PDF