双规对比：金融机构数据合规特殊要点
数据合规是金融机构不可忽视的重要议题。近期，《网络数据安全管理条例》和《银行保险机构数据安全管理办法》两部关于数据合规的重要法规相继出台。本文主要对比两部法规的核心差异，从而展示就金融行业而言，有哪些特殊的数据合规要点。
一、 数据合规最新政策
随着数字化转型的深入，金融数据逐渐成为金融机构的核心资产。然而，金融数据的安全性和合规性挑战也随之而来。为了应对这一挑战，国家金融监督管理总局（“金监总局”）于2024年12月27日颁布《银行保险机构数据安全管理办法》（“《办法》”），结合国务院于2024年9月24日颁布的《网络数据安全管理条例》（“《条例》”，《条例》已于2025年1月1日生效），为金融机构的数据合规管理提供了更为明确的指引。
《条例》作为一般性规则，为所有网络数据处理活动及其安全监督管理提供了基本框架。而《办法》则在此基础上，针对金融机构的特点，进行了更为具体和细化的规定。因此，本文主要对比两部法规的核心差异，从而展示金融机构需注意的数据合规要点。
二、 《条例》与《办法》的主要差异
1. 适用范围：一般性规则与行业性特例
《条例》作为一般性规则，其适用范围广泛，涵盖了所有境内通过网络开展的数据处理活动及其安全监督管理（部分在境外的网络数据处理活动同样会被纳入规管范围）。
而《办法》则聚焦于金监总局批准设立的金融机构及地方金融管理部门批准设立的金融组织。这意味着，一方面，金融机构需要特别关注《办法》对其提出的更为具体和细化的要求。另一方面，如金融机构涉及“通过网络”开展数据处理活动时，需要同时满足两部法规的要求，因此将面临“双重合规”的挑战。
2. 数据分类分级：金融行业数据分级标准调整
《条例》虽然提出了数据分类分级的要求，但并未明确具体的分类分级标准。主要原因是《条例》作为一般性规则，需要为各种行业提供灵活的指导，因此仅提出了分类分级的基本原则，具体的分类分级标准则由各种行业规则文件进行细化。例如此前已公布的《GB/T 43697-2024 数据安全技术 数据分类分级规则》、《JR/T 0197-2020 金融数据安全 数据安全分级指南》等。
而《办法》则针对金融行业数据的特点，细化了分类分级标准。它采用了“总分三级细分四级”的模式，将数据分为核心、重要、一般数据，并进一步将一般数据细分为敏感数据和其他一般数据。
需要特别指出的是，《办法》规定的分类分级标准与此前金融行业惯常使用的（《JR/T 0197-2020 金融数据安全 数据安全分级指南》）（“《金融数据分级指南》”）存在差异，《金融数据分级指南》主要根据数据安全性遭受破坏后的影响对象和所造成的影响程度，将数据安全级别分为5级。因此，金融机构需要特别关注其既有分级制度和分级结果如何随新规进行调整。
3. 数据共享：强化数据流动的合规要求
《条例》在数据共享方面提出了链条式管理要求，要求网络数据处理者在向其他网络数据处理者提供、委托处理个人信息和重要数据时，应当通过合同等与网络数据接收方约定处理目的、方式、范围以及安全保护义务等，并对网络数据接收方履行义务的情况进行监督。
而《办法》在此基础上，进一步强化了数据流动的合规要求。一方面，对于金融行业常见的集团内关联方间共享数据的情况，《办法》要求相关机构建立数据安全隔离的“防火墙”，对共享数据采取有效保护措施。另一方面，对于金融机构与其母行、集团或子行、子公司以及其他外部第三方共享敏感级及以上数据时，应当获得数据主体的授权同意。该项要求使得金融机构在共享敏感级以上的非个人信息数据时，也需将客户的授权同意纳入合规工作中。
4. 事件响应：事件分级与时限细化
在数据安全事件响应方面，《条例》第十条仅要求网络数据处理者在发现安全缺陷、漏洞等风险时，应当立即采取补救措施，按照规定及时告知用户并向有关主管部门报告；涉及危害国家安全、公共利益的，网络数据处理者还应当在24小时内向有关主管部门报告。
而《办法》则明确了金融机构报告安全事件的对象及时限，提高了金融机构的数据安全事件报告操作的可执行性。具体报告对象及时限要求包括数据安全事件发生2小时内向金监总局或其派出机构报告，并在事件发生后24小时内提交正式书面报告；发生特别重大数据安全事件的，应当立刻采取处置措施并向金监总局、属地公安机关报告，并每2小时将处置进展情况上报直至处置结束。
5. 责任机制：泛化追责与精准锚定
在责任机制方面，《条例》规定网络数据安全负责人由网络数据处理者管理层成员担任，但并未明确将网络安全负责人限定为“高级管理人员”。
相比之下，《办法》对责任人的规定则更为明确，要求金融机构主要负责人为数据安全第一责任人，分管数据安全的高级管理人员为直接责任人。这一规定精准锚定了金融机构的责任人范围，避免了数据安全事件发生后领导层人员相互推诿责任的情况。
三、 对金融机构的合规建议
1. 调整分级体系：金融机构应依据《办法》的四类三级标准（核心、重要、敏感、其他一般），调整数据分类分级目录。同时，还可借助外部工具部署动态数据分级系统。如目前已有部分银行机构使用AI自动识别数据字段并标级，减少人工误判风险。
2. 强化授权与隔离：在数据共享方面，金融机构需特别注意《办法》对敏感级及以上数据的共享活动提出的额外要求，确保在共享数据前获得数据主体的授权同意。此外应做好集团内部的“防火墙”，各关联机构间应建立独立数据库并设置访问权限，禁止直接共享数据。
3. 量化事件响应流程：金融机构应根据《办法》四级标准（特别重大、重大、较大、一般），制定详细的数据安全事件报告流程，明确报告对象、时限和内容。同时还可引入“事件定级系统”，实时监测数据异常并生成初步报告，缩短安全事件发生后的人工研判时间。
4. 压实责任机制：明确数据安全的第一责任人和直接责任人，将数据安全责任落实到日常工作中。通过加强内部培训、定期审计和考核等方式，确保责任人员能够切实履行数据安全职责。
四、 结语
《办法》在《条例》及其他既有规定的基础上，对金监总局监管下的金融机构的数据安全管理要求进行了细化和拓展。相关金融机构应及时对照新规，梳理出与自身现状的差异点，并积极借鉴行业经验及借助外部工具的力量，推进新规的落实工作。唯有以规则差异为指引，以技术创新为支撑，金融机构方能在合规浪潮中行稳致远。
