2023-07-24 15:02 | 來源:證券時報 | 作者:賀覺淵 | [資訊] 字號變大| 字號變小
7月24日，為加強中國人民銀行業務領域數據安全管理，央行發布《中國人民銀行業務領域數據安全管理辦法（征求意見稿）》（下稱《辦法》），并向社會公開征求意見。...
7月24日，為加強中國人民銀行業務領域數據安全管理，央行發布《中國人民銀行業務領域數據安全管理辦法（征求意見稿）》（下稱《辦法》），并向社會公開征求意見。
《辦法》分成總則、數據分類分級、數據安全保護總體要求、數據安全保護管理措施、數據安全保護技術措施、風險監測評估審計與事件處置措施、法律責任、附則八章，共五十七條。
圖片
《辦法》明確適用范圍為中華人民共和國境內開展的，中國人民銀行承擔監督管理職責各類業務相關的數據處理活動。此類業務涉及的數據處理者，開展對應數據處理活動時，應當遵守《辦法》提出的管理要求。
當前，《辦法》約束的數據處理活動主要包括：貨幣政策業務、跨境人民幣業務、銀行間各類市場交易業務、金融業綜合統計業務、支付清算業務、貨幣管理和數字人民幣業務、經理國庫業務、征信業務、反洗錢業務等領域的數據處理活動。
來看《辦法》要點：
1、數據按照精度、規模和對國家安全的影響程度，分為一般、重要、核心三級。數據處理者應當準確識別判定本單位信息系統存儲的全量數據是否屬于重要數據、核心數據。
2、數據處理者應當參考行業標準，根據數據遭到泄露或者被非法獲取、非法利用時，可能對個人、組織合法權益或者公共利益等造成的危害程度，將數據項敏感性從低至高進一步分為一至五共五個層級。
3、使用第三層級以上數據項加工后產生的數據項，經評估確認無法識別至特定個人、組織，或者反映信息敏感程度明顯低于原數據項時，數據處理者履行內部審批手續后，可視情降低敏感性層級，促進數據依法合規開發利用。
4、數據處理者在中華人民共和國境內收集和產生的數據，法律、行政法規有境內存儲要求的，應當在境內存儲。
5、非經中國人民銀行和其他有關主管部門批準，數據處理者不得向國際組織和外國金融管理部門提供境內存儲的數據。
6、重要數據的數據處理者應當自行或者委托檢測機構，每年組織開展一次全面的數據安全風險評估工作。
填補制度保障空白促進數據開發利用
央行指出，人民銀行在過去一年充分調研總結行業數據安全成熟經驗做法基礎上，組織研究起草《辦法》，全面銜接《中華人民共和國數據安全法》，細化明確中國人民銀行業務領域數據安全合規底線要求，填補本領域數據安全管理制度保障空白，指導數據處理者優質高效合規開展中國人民銀行業務領域數據處理活動，履行數據安全保護義務，保障消費者和企業用戶的合法權益，促進數據要素市場高質量發展。
央行指出，《辦法》條款的設立遵循三項原則：
一是與現有制度有效銜接。“重要數據應當境內存儲”、“規定情形下申報數據出境安全評估”等條款，均為已出臺上位法所明確法定義務的再次重申，未額外增加合規要求。
二是促進數據開發利用。明確提出鼓勵數據處理者在保障安全合規前提下，積極促進數據高效流通和創新應用，并提出較敏感數據項加工后無法識別至特定個人、組織時，可降低敏感性層級，更好促進數據依法合規開發利用。
三是細化規范措施要求。對于上位法“采取相應的技術措施和必要措施”要求，既細化提出原則上應當采取的技術措施和管理措施，又明確特殊情形可通過內部審核審批、統一明確場景等方式弱化措施落實，避免合規義務“一刀切”。
將數據項敏感性分五個層級
《辦法》規范了數據分類分級要求。強調數據處理者應當建立數據分類分級制度規程，梳理數據資源目錄標識分類信息，在國家數據安全工作協調機制統籌協調下，根據中國人民銀行制定的重要數據識別標準，統一對數據實施分級，嚴格落實網絡安全等級保護和風險評估等義務，并在此基礎上推動各數據處理者進一步做好數據敏感性、可用性層級劃分，以便在全流程數據安全管理中更好采取精細化、差異化的安全保護管理和技術措施。
其中，《辦法》明確，數據按照精度、規模和對國家安全的影響程度，分為一般、重要、核心三級。數據處理者應當準確識別判定本單位信息系統存儲的全量數據是否屬于重要數據、核心數據。
《辦法》明確，在數據分級基礎上，數據處理者應當參考行業標準，根據數據遭到泄露或者被非法獲取、非法利用時，可能對個人、組織合法權益或者公共利益等造成的危害程度，將數據項敏感性從低至高進一步分為一至五共五個層級。
《辦法》明確，數據處理者應當評估信息系統存儲數據遭到篡改、破壞后可能對業務連續性造成的影響程度，明確恢復點目標要求。恢復點目標越嚴格，數據的可用性層級越高。
重要數據的處理者應明確數據安全負責人
《辦法》提出了數據安全保護總體要求。強調數據處理者應當壓實數據安全責任，建立數據安全問責處罰制度和數據處理活動全流程安全管理制度，制定數據安全培訓計劃。
《辦法》要求，數據處理者應當明確其數據安全管理相關內設部門職責分工，配備足夠數量的數據安全管理人員，并細化各類違規數據處理活動的定責問責規程，壓實數據安全保護責任。重要數據的處理者還應當書面明確數據安全負責人和數據安全牽頭管理內設部門。
《辦法》明確，不同敏感性層級數據項在同一個數據處理活動中被處理，且難以采取差異化安全保護管理和技術措施的，應當統一采取最高敏感性層級數據項對應的安全保護管理和技術措施。
壓實數據處理活動全流程安全合規底線
《辦法》壓實了數據處理活動全流程安全合規底線。針對收集、存儲、使用、加工、傳輸、提供、公開和刪除各環節，向數據處理者明確采取哪些安全保護管理和技術措施后，可視為總體滿足盡職盡責的合規底線要求。
《辦法》要求，基于加工生成的數據項面向個人提供自動化決策服務時，應當以適當方式說明加工目的、加工依賴數據基本情況和加工基本邏輯，提升決策的透明度。
《辦法》明確，使用第三層級（數據項敏感性從低至高共五個層級）以上數據項加工后產生的數據項，經評估確認無法識別至特定個人、組織，或者反映信息敏感程度明顯低于原數據項時，數據處理者履行內部審批手續后，可視情降低敏感性層級，促進數據依法合規開發利用。
《辦法》要求，數據處理者在中華人民共和國境內收集和產生的數據，法律、行政法規有境內存儲要求的，應當在境內存儲。數據處理者因自身需要向境外提供數據，存在國家網信部門規定情形的，應當嚴格遵守其有關規定事前開展數據出境風險自評估并申報數據出境安全評估。
重要數據需每年開展一次全面數據安全風險評估
《辦法》細化了風險監測、評估審計、事件處置等合規要求。強調數據處理者應當建立數據處理活動安全風險監測和告警機制，加強數據安全風險情報監測、核查、處置與行業共享，制定數據安全事件定級判定標準和應急預案，規范應急演練、事件處置、風險評估和審計等工作。
《辦法》要求，重要數據的數據處理者應當自行或者委托檢測機構，每年組織開展一次全面的數據安全風險評估工作，于下年度一季度末前向中國人民銀行或其住所地分支機構報送風險評估報告，并按照行政法規要求向對應的網信部門報送。
此外，《辦法》還明確中國人民銀行及其分支機構可對數據處理者數據安全保護義務落實情況開展執法檢查，以及數據處理者違反規定時對應的法律責任。
中國人民銀行關于《中國人民銀行業務領域數據安全管理辦法（征求意見稿）》公開征求意見的通知
為落實《中華人民共和國數據安全法》有關要求，加強中國人民銀行業務領域數據安全管理，中國人民銀行起草了《中國人民銀行業務領域數據安全管理辦法（征求意見稿）》，現面向社會公開征求意見。公眾可以通過以下途徑反饋意見：
一、登陸中華人民共和國司法部中國政府法制信息網（http://www.moj.gov.cn、http://www.chinalaw.gov.cn），進入首頁主菜單的“立法意見征集”欄目提出意見。
二、通過電子郵件將意見發送至：ltianyuan@pbc.gov.cn。
三、通過信函方式將意見郵寄至：北京市西城區成方街32號中國人民銀行科技司（郵編：100800），并請在信封上注明“中國人民銀行業務領域數據安全管理辦法征求意見”字樣。
四、將意見傳真至：010－66016449。
意見反饋截止時間為2023年8月24日。
附件1：中國人民銀行業務領域數據安全管理辦法（征求意見稿）.pdf
附件2：《中國人民銀行業務領域數據安全管理辦法（征求意見稿）》起草說明.pdf
中國人民銀行
2023年7月24日
《電鰻快報》
熱門
手機版
相關新聞