《银行保险机构数据安全管理办法（征求意见稿）》发布
内容提要
为规范银行保险机构数据处理活动，保障数据安全，促进数据合理开发利用，稳步提升金融服务数字化、智能化水平，保护个人和组织的合法权益，金融监管总局制定了《银行保险机构数据安全管理办法（征求意见稿）》。主要内容包括：明确数据安全治理架构、建立数据分类分级标准、强化数据安全管理、健全数据安全技术保护体系、加强个人信息保护、完善数据安全风险监测与处置机制、明确监督管理职责。目前《办法》正式向社会公开征求意见。
延伸解读
“谁管业务、谁管数据安全”的责任逻辑
《办法》在治理架构上强调“谁管业务、谁管业务数据、谁管数据安全”，并要求指定归口管理部门。这意味着数据安全不再只是科技或合规部门的单独职责，而是嵌入各业务条线。对银行保险机构而言，需要重新梳理业务部门与数据安全管理的责任边界，避免出现归口部门统管但业务部门配合不足的情况。
分类分级与动态目录的落地要求
《办法》要求制定数据分类分级保护制度，建立数据目录和分类分级规范，并动态管理和维护。这并非一次性梳理，而是持续更新过程。机构需要明确数据目录的维护频率、责任主体和变更流程，否则分类分级容易停留在静态清单，难以支撑差异化的安全保护措施。
个人信息处理的“最小范围”约束
在个人信息保护方面，《办法》明确“明确告知、授权同意”原则，要求收集限于实现金融业务处理目的的最小范围，不得过度收集，共享和对外提供时也应取得个人同意。这对银行保险机构现有的客户信息采集、营销合作和数据共享场景提出了更具体的合规检验标准，需要重新审视授权链条是否完整。
技术体系需覆盖多元异构环境
《办法》要求建立针对大数据、云计算、移动互联网、物联网等多元异构环境下的数据安全技术保护体系，并明确技术架构和保护策略。这意味着机构不能只依赖传统边界防护，而需考虑不同技术环境下的数据流转、存储和访问控制。同时，数据安全风险被纳入全面风险管理体系，监测、评估、应急响应和事件处置需形成闭环。
Q&A
《银行保险机构数据安全管理办法（征求意见稿）》的主要目的是什么？
主要目的是规范银行保险机构的数据处理活动，保障数据安全，促进数据合理开发利用。
该办法对数据安全治理架构有哪些要求？
要求银行保险机构建立数据安全责任制，明确各业务领域的数据安全管理责任。
如何加强个人信息保护？
在处理个人信息时，应遵循告知和授权原则，限制信息收集范围，并在共享时取得个人同意。
该办法如何强化数据安全管理？
要求建立数据安全管理制度和数据处理管控机制，并进行数据安全评估。
数据安全风险监测与处置机制的要求是什么？
要求将数据安全风险纳入全面风险管理体系，明确监测、评估和应急响应的管理流程。
《办法》目前处于什么阶段？
目前《办法》向社会公开征求意见，金融监管总局将根据反馈进一步修改完善。
