《银行保险机构数据安全管理办法》合规要点

2024年12月27日，国家金融监督管理总局（ "金融监管总局"）正式发布了《银行保险机构数据安全管理办法》（" 《办法》"）。同年3月，金融监管总局曾就该《办法》发布征求意见稿，引起业内广泛关注和讨论。而今随着《办法》的正式出台，金融行业数据安全监管迈入了新的阶段。

• 《办法》出台背景

由于银行保险机构处理大量敏感的个人金融信息处理，数据安全及个人信息保护是金融监管部门长期关注的重点。

早在2018年，原银保监会即颁布了《银行业金融机构数据治理指引》，作为银行保险业金融数据治理的早期规范性文件。自《网络安全法》《数据安全法》《个人信息保护法》出台以来，金融行业监管部门也相继下发了多项金融数据治理行业标准，包括《金融信息服务安全规范》（GB/T 36618-2018）、《金融数据安全 数据安全分级指南》（JR/T 0197-2020）、《个人金融信息保护技术规范》（JR/T 0171-2020）、《金融数据安全 数据生命周期安全规范》（JR/T 0223-2021）等，内容涵盖数据分类分级、全生命周期管理等方面。而在法规层面，《银行保险机构信息科技外包风险监管办法》《征信业务管理条例》《银行保险机构消费者权益保护管理办法》等规定，从科技外包数据安全风险管理、征信信息采集与删除、消费者个人信息权益保护等方面涉及银行保险机构的数据治理要求。这些要求散见于上述规范性文件中，而缺乏一项完整、体系化的规定。

在执法方面，人民银行和金融监管总局对多家银行保险机构开出"天价罚单"，处罚原因涉及数据收集、使用、查询、泄露等多个方面，例如多家银行曾因客户信息保护体制机制不健全、数据安全管理等问题被处以高额罚款。2022年8月，原银保监会开展银行保险机构侵害个人信息权益乱象专项整治工作，要求各银行保险机构全面摸排与消费者个人信息处理活动相关的经营行为和管理情况，深入查找个人信息保护方面存在的问题。