采集個人信息應當經信息主體本人同意，未經本人同意不得采集。但是，依照法律、行政法規規定公開的信息除外。
企業的董事、監事、高級管理人員與其履行職務相關的信息，不作為個人信息。 禁止征信機構采集個人的宗教信仰、基因、指紋、血型、疾病和病史信息以及法律、行政法規規定禁止采集的其他個人信息。
征信機構不得采集個人的收入、存款、有價證券、商業保險、不動產的信息和納稅數額信息。但是，征信機構明確告知信息主體提供該信息可能產生的不利後果，並取得其書面同意的除外。 征信機構對個人不良信息的保存期限，自不良行為或者事件終止之日起為5年；超過5年的，應當予以刪除。
在不良信息保存期限內，信息主體可以對不良信息作出說明，征信機構應當予以記載。 向征信機構查詢個人信息的，應當取得信息主體本人的書面同意並約定用途。但是，法律規定可以不經同意查詢的除外。
征信機構不得違反前款規定提供個人信息。 征信機構可以通過信息主體、企業交易對方、行業協會提供信息，政府有關部門依法已公開的信息，人民法院依法公布的判決、裁定等渠道，采集企業信息。
征信機構不得采集法律、行政法規禁止采集的企業信息。 征信機構應當按照國務院征信業監督管理部門的規定，建立健全和嚴格執行保障信息安全的規章制度，並采取有效技術措施保障信息安全。
經營個人征信業務的征信機構應當對其工作人員查詢個人信息的權限和程序作出明確規定，對工作人員查詢個人信息的情況進行登記，如實記載查詢工作人員的姓名，查詢的時間、內容及用途。工作人員不得違反規定的權限和程序查詢信息，不得泄露工作中獲取的信息。 征信機構應當采取合理措施，保障其提供信息的準確性。
征信機構提供的信息供信息使用者參考。
第二十四條 征信機構在中國境內采集的信息的整理、保存和加工，應當在中國境內進行。
征信機構向境外組織或者個人提供信息，應當遵守法律、行政法規和國務院征信業監督管理部門的有關規定。