博观而约取-《中国人民银行业务领域数据安全管理办法》解读 -

政策背景之下，中国人民银行在《中华人民共和国数据安全法》(以下简称“《数据安全法》”)等基础上牵头制定《中国人民银行业务领域数据安全管理办法(征求意见稿)》(以下简称“《征求意见稿》”),并于2023年号，以下简称“《管理办法》”),并将自2025年6月30日起施行。《管理共和国个人信息保护法》(以下简称“《个人信息保护法》”)及《网络数5为助力中国人民银行业务领域的金融从业机构更好地兼顾业务数据安全风险防控与业务长足发展，本文将基于《征求意见稿》,梳理《管理办法》的修订要点，并重点分析《管理办法》为中国人民银行业务领域的金融从业机构(包括中国人民银行业务领域金融机构以及经中国人民银行批准设立或者认定的其他机构，以下合称“金融从业机构”)提出的关键合规要点，以及提炼《管理办法》实施后金融从业机构需着力构建的全流程业务数据安全管理与技术保护体系，以期为金融从业机构打造适配数字化转型的合规管理体系提供可落地的实施建议，巩固夯实中国人民银行业务稳健有序发展的数据安全制度基础。一、继往开来：《管理办法》的演进路径与立法锚点1.贯彻“协同监管”思路，聚焦中国人民银行业务领域数据处理活动《管理办法》在《征求意见稿》基础上进一步微调并明确了中国人民银行业务领域及对应的业务数据定义，其中中国人民银行业务领域包括由中国人民银行承担监督和管理职责的货币信贷、宏观审慎、跨境人民币、银行间市场、金融业综合统计、支付清算、人民币发行流通、经理国库、征信和信用评级、反洗钱等业务领域。相应地，《管理办法》聚焦于金融机构以及经中国人民银行批准设立或者认定的其他机构在中国境内开展的中国人民银行业务领域数据相关处理活动。正如我们在《江春入旧年——<银行保险机构数据安全管理办法>解读》中所述，国家金融监督管理总局出台的《银行保险机构数据安全管理办法》(以下简称“《银保数安办法》”)与《管理办法》的相继出台，如落入国家金融监督管理总局监管范畴的相关主体 (如商业银行等),涉及开展银行间市场业务、金融业综合统计业务、支付清算业务、征信业务、反洗钱业务等中国人民银行业务领域业务并开展数据处理活动的，或将面临交叉监管态势。对此，《管理办法》充分贯彻落实《国务院办公厅关于深入推进跨部门综合监管的指导意见》提出的“完善各司其职、各负其责、相互配合、齐抓共管的协同监管机制”精神，一方面，在国家数据安全工作协调机制统筹协调下，中国人民银行及其分支机构开展业务数据安全监督管理工作，并通过加强与其他有关主管部门间的数据安全监督管理协作配合、信息沟通以及联合实施执法检查等方式共同构建多行业、广维度的数据安全治理体系。另一方面，即便是中国人民银行业务领域范围内的数据，中国人民银行及其分支机构也并非是唯一具有执法权力的部门；如涉及未履行数据出境安全评估或者保护认证等义务的，中国人民银行及其分支机构则将相关案件信息移送同级网信部门，并配合其予以处理。2.夯实金融数据安全治理整体架构，促进开发利用《管理办法》旨在聚焦金融机构以及经中国人民银行批准设立或者认定的其他机构在中国境内开展的中国人民银行业务领域数据相关处理活动，共7章56条，包括总则、业务数据分类分级与总体要求、全流程业务数据安全管理要求、全流程业务数据安全技术要求、业务数据安全风险与事件管理、法律责任及附则。从篇幅结构角度来看，《管理办法》贯彻沿用了“谁管业务，谁管业务数据，谁管数据安全”的原则，并在整体沿袭了《征求意见稿》的立法体例，以数据分类分级管理为制度基石，构建起覆盖管理制度、技术防护措施和风险防控机制的三维保障体系。就法律责任的设置而言，《管理办法》既确立了数据处理主体需普遍遵循的数据安全保护义务，又制定了从轻或者减轻行政处罚条款，在强化数据安全治理效能的同时，确保监管要求与金融业务正常运转的平衡。这种制度设计既衔接了《数据安全法》所确立的安全与发展并重的立法理念，也为金融数据流通提供了弹性化的规制空间。从条款修订的整体趋势来看，《管理办法》通过多维度的制度优化对《征求意见稿》进行完善：在立法技术层面强化规则的可实操性，在监管实践中响应业务发展的现实诉求，在规范体系上注重与上位法的衔接配合。《管理办法》创新性地构建了“普遍义务+例外豁免”的双层规范框架，既确立数据处理者需遵循的基础性安全保护要求，又针对自证合规与积极提供数据安全风险情报场景设置了从轻或者减轻行政处罚条款。可见，《管理办法》既具有纵向的规范系统性，又包含横向的操作指引性，形成了兼具体系化架构与实践指导价值的行业数据安全规范体系。《管理办法》以业务数据分类分级与总体要求(第二章)为基础，以全流程业务数据安全管理要求(第三章)为大框架，辅以全流程业务数据安全技术要求(第四章)对数据全生命周期的保护提出要求。此外，《管理办法》还关注业务数据安全风险与事件管理(第五章)整体管控数据安全风险，并明确了违反各类义务项下的法律责任(第六章),全面系统地维护业务数据安全。基于此，建议金融从业机构相关数据处理者的需要重点关注并贯彻落实下述数据安全保护义务。1.数据处理者合规义务群梳理级要求与总·建立健全数据分类分级实施制度和规范操作规程(第七条)·数据分类义务(第八条)·数据分级义务(第九条)·数据资源目录更新义务(第十条)·责任落实总体要求(第十一条)·明确重要数据负责机构(第十一条)·建立全流程安全管理制度(第十二条)·开展安全培训(第十三条)感性数据项；·数据分级包括一般数据、重要数据和核心数据；数据处理者需申报相关数据是否属于重要数据和核心数据；·每年至少更新一次业务数据资源目录。的专业人员，细化奖惩制度；备相关任职条件并能确保有效履行法定义务；·结合分类分级明确差异化的安全保护措施，规范各类内部审批和授权流程；保密协议；始个人生物识别信息；与数据提供方约定数据处理条款；在终端设备和移动介质中存储；用身份鉴别数据仅采取核验方式；需关注数据质量；高敏感性数据需采取安全措施；数据、无法泄露约定范围外的数据；据出境义务；不可被使用；5数据安全技九条)(第三十条)条)行必要检查；备份数据的可用性；·数据使用：采用数据脱敏措施降低高敏感性数据风险；展示、打印数据时标识使用信息；·数据传输：优先专线等传输；健全访问控制和安全隔离策略；高敏感性数据需加密传输；口清单；·数据公开：明确自身已公开数据是否允许被自动化工具采集；保障公开数据不被篡改；·监测数据处理活动风险(第三十九条)·监测数据安全风险情报(第四十条)·监测数据安全通报预警(第四十一条)·重要数据风险评估义务(第四十二条)·数据安全事件应急预案分级义务(第四十三条)缺陷等)并采取补救措施；·监测来自监管部门通报的数据安全缺陷；(业务数据安全风险与事件管理)·应急演练义务(第四十四条)数据安全审与事件管理)·定期审计义务(第四十五条)计义务(第四十五条)·发生重要或者特别重大事件后应开展专项审(1)明确企业数据处理合规要求7首先，针对涉个人信息业务数据的收集与提供，除法律、行政法规另有规定外，应当严格遵循《个人信息保护法》的告知与同意要求。然而，《数据安全法》并未对不包含个人信息的数据设置类似个人信息处理时的告知同意规则。由于《管理办法》所规制的业务数据处理活动同时涉及个人信息和非个人信息的数据两种类型，其第十五条的规定也应当适用于收集非个人信息的业务数据。具·除收集自行公开或者其他已经合法公开的业务数据的情形外，收集业务数据时应当依照法律、行政法规和中国人民银行相关规定取得个人同意或者组织授权，并落实相应告知义务。·非直接面向个人、组织收集其尚未公开的业务数据的，应当在合同或者协议中明确数据提供方保障业务数据来源合法性、真实性的义务。数据提供方未取得个人书面同意或者组织书面授权的，还应当要求其出具业务数据来源依法合规和数据真实性的必要佐证材料。其次，在对外提供非个人信息的业务数据时，《管理办法》第二十一条还提出了评估是否符合保守商业秘密约定的要求。最后，委托第三方处理数据时，《管理办法》第二十八条规定，数据处理者应当在合同或者协议中明确受托人需报告的重要事项委托处理事项完成后传输和删除业务数据的实施方式与时限要求、配合本机构监督其委托处理活动等义务。这一条款以部门规章的形式对非个人信息业务数据的合规要求予以固定，有助于规范金融从业机构委托第三方处理非个人信息数据的内部管控流程(2)衔接落地金融数据分类分级体系尽管数据分类分级是我国数据保护领域基于风险规制的思路始终坚持的监管工具，但在《数据安全法》所确立的“国家建立数据分类分级保护制度”的总体要求之下，如何深入各行业领域落实数据分级分类要求，一直以来都处于各行业各地区陆续试点摸索的阶对此，一方面，《管理办法》从业务关联性、敏感性和可用性三方面进一步延展细化了业务数据分类管理的体系性思路。同时，另一方面，《管理办法》在重申《数据安全法》对数据进行三级分级的要求(即一般数据，重要数据和核心数据)的基础上，具体规定了中国人民银行业务领域范围内重要数据目录形成路径和落地管理思路，即：·中国人民银行组织确定重要数据目录，金融机构等数据处理者则根据申报本机构存储的全量业务数据是否数据重要数据、核心数据，并相应填报重要数据目录；·中国人民银行汇总填报情况形成重要数据具体目录，经国家数据安全工作协调机制审定，从而确定重要数据的处理者并告知其对应的重要数据。就重要数据识别的准确性、完备性而言，《管理办法》在一定程度上通过中国人民银行与数据处理者间的充分信息交互，确保监管部门能够从业务实践出发，更加准确地识别重要数据，既避免遗漏可能对国家安全造成严重影响的数据，也防止过分扩大重要数据的范畴，致使金融从业机构等数据处理者在实践中开展业务时受到非必要的阻碍。从合规确定性角度考虑，《管理办法》所确立的上述机制，也确保了实际处理重要数据的相关数据处理者将被明确告知其所处理的重要数据，有助于控制数据处理者判断自身是否涉及重要数据处理活动的不确定性，从而降低相关合规要求适用与否的不确定性所带来的模糊成本或延迟成本。8(3)细化数据交互合规治理方案金融从业机构在开展业务时，为了充分了解客户并评估相关风险，通常需要与其他机构就自身的经营数据和所掌握的客户数据等进行共享交互。实践中，相关数据交互可能发生于关联主体之间，也可能发生于不同合作主体之间，以及在金融从业机构与客户的沟通交互过程中。因此，对于金融从业机构数据交互合规要求的设计，既要考虑到个人信息、重要数据等的安全管理要求，并对相关监管规则予以衔接和细化落地，同时对于与个人客户进行交互的特殊场景充分考虑金融业务开展过程中的实际业务需求，避免对金融从业机构的展业带来非必要的合规成本。就此而言，《管理办法》从管理思路上明确，对于从事业务所需的业务数据提供活动，数据应当核验数据接收方的身份，并在事前开展合法性评估，避免违法违规或违反保密条款提供业务数据；事中，应当通过业务数据清洗和真实性审查的方式保障数据质量，且除委托处理外原则上避免导出高敏感性数据项、或采取核验方式提供身份鉴别数据，以控制相关数据项的泄露风险；此外，对于提供的业务数据涉及个人信息和重要数据的，承接《网络安全数据安全管理条例》的相关要求，《管理办法》亦明确应当以合同形式明确数据处理者和数据接收方的相应数据安全保护义务、措施，以及数据提供的目的、方式、范围和数据安全事件告知义务等具体处理和应急响应安排，且应由数据处理者对数据接收方进行监督。在上述管理思路之下，就数据交互的具体技术方案，《管理办法》也提出，数据处理者原则上不使用邮件、即时通讯、在线文件存储等互联网信息服务或者移动介质传输高敏感性数据项；但与此同时，《管理办法》也为上述安排预留了例外，即个人请求向其传输与其相关的业务数据，不适用本项要求。我们理解，考虑到在金融从业机构等数据处理者在展业时与个人客户进行沟通的过程中，可能会因个人客户的要求而需通过邮件、即时通讯(如微信)、在线文件存储(如云盘)等方式向其提供相关业务数据；此时，如果生硬套用数据交互的相关技术限制措施，客观上可能与个人客户的合理预期和相关行业实践所背离。《管理办法》预留此项例外安排，有利于平衡数据交互的安全管理要求与金融从业机构展业实践的业务连续性，从而形成合理、合法且可执行的合规水位要求。(4)健全全流程数据安全技术治理规则从安全管理规范的落地执行角度考虑，金融从业机构不仅需要形成相应的组织管理体系，也需要明确的技术管理规则。就此而言，《管理办法》本次从数据收集、存储管理、使用脱敏、传输管控等的全流程视角下系统性地补充、完善了业务数据安全技术管理的相关要求，包括：在数据收集时，优先采用直接录入或信息系统间交互的方式收集业务数据，并采取关联信息交叉核验等技术措施，以保障数据收集的安全性和所收集数据的准确性；在数据使用时，对于高敏感性数据项进行脱敏处理，降低其识别至特定个人、组织的风险；在数据存储和传输过程中，则加强访问控制和安全认证，并采取相关加密机制，以保障数据在存储和传输过程中的安全性；等等。特别地，《管理办法》也从实操性角度出发，进一步对技术保护要求进行了细化：·其一，考虑到信息系统开发测试环境与生产环境的差异，《管理办法》明确，应当隔离信息开发测试环境与生产环境，且除开发测试环境与生产环境业务数据安全保护措施完全一致的情形外，生产环境数据项用于开发测试环境，应当履行内部审批程序并实施脱敏处理。9·其二，考虑到数据安全管理体系的溯源管理要求，一方面，《管理办法》要求数据处理者对业务数据处理互动进行日志记录，并提出了一般日志留存至少六个月、重要数据信息系统相关的业务数据处理活动日志留存至少一年、存储核心数据信息系统相关的业务数据处理活动日志留存至少三年的梯度管理要求。另一方面，就业务数据展示、打印，《管理办法》亦专门强调，应采取技术措施标识当前使用业务数据的业务处理账号和使用时间，以夯实溯源管理的落地细节。·其三，为与《网络数据安全管理条例》和《网络反不正当竞争暂行规定》的既有要求相衔接并进一步延展，一方面，《管理办法》要求数据处理者采用自动化工具方式从其他数据处理者收集业务数据的，应当遵守其规则、避免干扰网络服务正常运行或侵害其他机构网络服务合法运营权益；另一方面，《管理办法》要求数据处理者制定本机构公开的业务数据是否允许自动化工具收集的控制规则，并应采取必要措施保障公开的业务数据不被篡改，以进一步引导培育金融领域自动化工具采集数据的合规土壤和规范就此，我们理解，《管理办法》在梳理全流程安全技术规则的基础上，同样针对其中的安全管理痛点予以了针对性的规制和细化，从而建立健全点面兼顾、各有侧重的全流程数据安全技术治理机制，以巩固并深化金融领域数据安全管理与合规因应的机制。金融从业机构如违反《管理办法》的规定，中国人民银行及其分支机构会主要按照《数据安全法》第四十五条等上位法进行处罚。考虑到上述法律法规的法律责任上限均较高，同时也在部分情形下规定了“双罚制”,换言之，如违反《管理办法》,可能会对企业及直接负责的主管人员和其他直接责任人员造成较为严重的影响。近年来，个人金融信息保护与信息安全相关行政处罚的密集发布传递出显著信号，金融行业作为高风险领域，需加大数据安全投入，确保数据合规管理。而中国人民银行有关部门负责人就《中国人民银行业务领域数据安全管理办法》答记者问中，也明确提及“中国人民银行后续会进一步规范行政执法，督促相关数据处理者坚守合规底线