7月24日，为加强中国人民银行业务领域数据安全管理，央行发布《中国人民银行业务领域数据安全管理办法（征求意见稿）》（下称《办法》），并向社会公开征求意见。

　　《办法》分成总则、数据分类分级、数据安全保护总体要求、数据安全保护管理措施、数据安全保护技术措施、风险监测评估审计与事件处置措施、法律责任、附则八章，共五十七条。

　　《办法》明确适用范围为中华人民共和国境内开展的，中国人民银行承担监督管理职责各类业务相关的数据处理活动。此类业务涉及的数据处理者，开展对应数据处理活动时，应当遵守《办法》提出的管理要求。

　　当前，《办法》约束的数据处理活动主要包括：货币政策业务、跨境人民币业务、银行间各类市场交易业务、金融业综合统计业务、支付清算业务、货币管理和数字人民币业务、经理国库业务、征信业务、反洗钱业务等领域的数据处理活动。

　　来看六大要点：

　　1、数据按照精度、规模和对国家安全的影响程度，分为一般、重要、核心三级。数据处理者应当准确识别判定本单位信息系统存储的全量数据是否属于重要数据、核心数据。

　　2、数据处理者应当参考行业标准，根据数据遭到泄露或者被非法获取、非法利用时，可能对个人、组织合法权益或者公共利益等造成的危害程度，将数据项敏感性从低至高进一步分为一至五共五个层级。

　　3、使用第三层级以上数据项加工后产生的数据项，经评估确认无法识别至特定个人、组织，或者反映信息敏感程度明显低于原数据项时，数据处理者履行内部审批手续后，可视情降低敏感性层级，促进数据依法合规开发利用。

　　4、数据处理者在中华人民共和国境内收集和产生的数据，法律、行政法规有境内存储要求的，应当在境内存储。

　　5、非经中国人民银行和其他有关主管部门批准，数据处理者不得向国际组织和外国金融管理部门提供境内存储的数据。

　　6、重要数据的数据处理者应当自行或者委托检测机构，每年组织开展一次全面的数据安全风险评估工作。

　　填补制度保障空白，促进数据开发利用

　　央行指出，人民银行在过去一年充分调研总结行业数据安全成熟经验做法基础上，组织研究起草《办法》，全面衔接《中华人民共和国数据安全法》，细化明确中国人民银行业务领域数据安全合规底线要求，填补本领域数据安全管理制度保障空白，指导数据处理者优质高效合规开展中国人民银行业务领域数据处理活动，履行数据安全保护义务，保障消费者和企业用户的合法权益，促进数据要素市场高质量发展。

　　央行指出，《办法》条款的设立遵循三项原则：

　　一是与现有制度有效衔接。“重要数据应当境内存储”、“规定情形下申报数据出境安全评估”等条款，均为已出台上位法所明确法定义务的再次重申，未额外增加合规要求。

　　二是促进数据开发利用。明确提出鼓励数据处理者在保障安全合规前提下，积极促进数据高效流通和创新应用，并提出较敏感数据项加工后无法识别至特定个人、组织时，可降低敏感性层级，更好促进数据依法合规开发利用。

　　三是细化规范措施要求。对于上位法“采取相应的技术措施和必要措施”要求，既细化提出原则上应当采取的技术措施和管理措施，又明确特殊情形可通过内部审核审批、统一明确场景等方式弱化措施落实，避免合规义务“一刀切”。

　　将数据项敏感性分五个层级

　　《办法》规范了数据分类分级要求。强调数据处理者应当建立数据分类分级制度规程，梳理数据资源目录标识分类信息，在国家数据安全工作协调机制统筹协调下，根据中国人民银行制定的重要数据识别标准，统一对数据实施分级，严格落实网络安全等级保护和风险评估等义务，并在此基础上推动各数据处理者进一步做好数据敏感性、可用性层级划分，以便在全流程数据安全管理中更好采取精细化、差异化的安全保护管理和技术措施。

　　其中，《办法》明确，数据按照精度、规模和对国家安全的影响程度，分为一般、重要、核心三级。数据处理者应当准确识别判定本单位信息系统存储的全量数据是否属于重要数据、核心数据。

　　《办法》明确，在数据分级基础上，数据处理者应当参考行业标准，根据数据遭到泄露或者被非法获取、非法利用时，可能对个人、组织合法权益或者公共利益等造成的危害程度，将数据项敏感性从低至高进一步分为一至五共五个层级。

　　《办法》明确，数据处理者应当评估信息系统存储数据遭到篡改、破坏后可能对业务连续性造成的影响程度，明确恢复点目标要求。恢复点目标越严格，数据的可用性层级越高。

　　重要数据的处理者应明确数据安全负责人

　　《办法》提出了数据安全保护总体要求。强调数据处理者应当压实数据安全责任，建立数据安全问责处罚制度和数据处理活动全流程安全管理制度，制定数据安全培训计划。

　　《办法》要求，数据处理者应当明确其数据安全管理相关内设部门职责分工，配备足够数量的数据安全管理人员，并细化各类违规数据处理活动的定责问责规程，压实数据安全保护责任。重要数据的处理者还应当书面明确数据安全负责人和数据安全牵头管理内设部门。

　　《办法》明确，不同敏感性层级数据项在同一个数据处理活动中被处理，且难以采取差异化安全保护管理和技术措施的，应当统一采取最高敏感性层级数据项对应的安全保护管理和技术措施。

　　压实数据处理活动全流程安全合规底线

　　《办法》压实了数据处理活动全流程安全合规底线。针对收集、存储、使用、加工、传输、提供、公开和删除各环节，向数据处理者明确采取哪些安全保护管理和技术措施后，可视为总体满足尽职尽责的合规底线要求。

　　《办法》要求，基于加工生成的数据项面向个人提供自动化决策服务时，应当以适当方式说明加工目的、加工依赖数据基本情况和加工基本逻辑，提升决策的透明度。

　　《办法》明确，使用第三层级（数据项敏感性从低至高共五个层级）以上数据项加工后产生的数据项，经评估确认无法识别至特定个人、组织，或者反映信息敏感程度明显低于原数据项时，数据处理者履行内部审批手续后，可视情降低敏感性层级，促进数据依法合规开发利用。

　　《办法》要求，数据处理者在中华人民共和国境内收集和产生的数据，法律、行政法规有境内存储要求的，应当在境内存储。数据处理者因自身需要向境外提供数据，存在国家网信部门规定情形的，应当严格遵守其有关规定事前开展数据出境风险自评估并申报数据出境安全评估。

　　重要数据需每年开展一次全面数据安全风险评估

　　《办法》细化了风险监测、评估审计、事件处置等合规要求。强调数据处理者应当建立数据处理活动安全风险监测和告警机制，加强数据安全风险情报监测、核查、处置与行业共享，制定数据安全事件定级判定标准和应急预案，规范应急演练、事件处置、风险评估和审计等工作。

　　《办法》要求，重要数据的数据处理者应当自行或者委托检测机构，每年组织开展一次全面的数据安全风险评估工作，于下年度一季度末前向中国人民银行或其住所地分支机构报送风险评估报告，并按照行政法规要求向对应的网信部门报送。

　　此外，《办法》还明确中国人民银行及其分支机构可对数据处理者数据安全保护义务落实情况开展执法检查，以及数据处理者违反规定时对应的法律责任。