中國數據安全監管趨勢2025：從通用規則普適到特定行業聚焦（三）
作者：王良 全開明 謝美山 2025-01-02《網絡安全法》《數據安全法》《個人信息保護法》《網絡數據安全管理條例》“三法一條例”等法律、法規形成了中國數據治理的頂層設計和網絡安全、數據安全、個人信息保護的基礎框架和通用規則。近年來，在特定領域內出現了行業性數據安全管理辦法。例如，適用于汽車行業的《汽車數據安全管理若干規定（試行）》已施行三年有余；適用于工業和信息化領域的《工業和信息化領域數據安全管理辦法（試行）》已施行了兩年；適用于自然資源領域的《自然資源領域數據安全管理辦法》已于2024年3月22日施行；適用于會計師事務所審計業務相關數據處理活動的《會計師事務所數據安全管理辦法》已于2024年10月1日施行；適用于《銀行保險機構的銀行保險機構數據安全管理辦法》已于2024年12月27日施行；適用于央行業務領域的《中國人民銀行業務領域數據安全管理辦法》正在征求意見，等等。
中國的數據安全立法和監管已經開始向特定行業聚焦，針對特定行業和領域更具可執行性、可操作性的“精準”數據安全管理規定相繼落地。一方面，日益健全的數據法規體系可以為企業數據處理行為提供更好的合規指引；但另一方面，逐步完善的監管執法體系也對特定行業和領域（汽車行業、自然資源領域、工業和信息化領域、銀行保險機構、會計師事務所等）的企業數據處理行為的合規性提出了更加嚴格的要求。開展更加“精細”的合規管理工作，成為企業數據合規管理2.0階段的基本特征。企業合規管理“精細化”表現在：
（1）企業網絡數據承擔主體責任。除了在管理層面需要建立健全網絡數據安全管理制度，在技術層面也要采取加密、備份、訪問控制、安全認證等技術措施，甚至規定了技術措施的種類，諸如：加密、鑒權、認證、脫敏、校驗、審計等技術手段。
（2）企業需要對數據進行分類分級管理，并負有識別、申報重要數據與核心數據的義務。對重要數據處理活動需要進行風險評估或年度風險評估，并定期進行數據合規審計，一些行業的重要數據、核心數據還需要向行業主管部門進行備案、上報或報送。
（3）企業對所處理的數據需要進行全生命周期安全管理，并落實網絡安全等級保護。除了在收集、存儲、使用、加工、傳輸、提供、公開和刪除各環節進行安全管理外，在特定場景履行更高的數據安全保護要求，確保數據持續處于有效保護和合法利用的狀態。
（4）企業數據處理的本地化存儲要求高。特定行業收集和產生的重要數據，應當在境內存儲。特別規定了會計師事務所對于審計工作底稿出境，還需要按照國家有關規定辦理審批手續等要求。
一、工業和信息化領域數據安全
2022年12月8日，工業和信息化部發布《工業和信息化領域數據安全管理辦法（試行）》，并自2023年1月1日起施行。之后，工信部接連發布了《工業和信息化領域數據安全風險評估實施細則（試行）》《工業領域數據安全能力提升實施方案（2024-2026年）》《工業和信息化領域數據安全事件應急預案（試行）》《工業領域重要數據識別指南（二次報批公示）》等文件。此外，十七家行業組織共同編制并發布了《工業和信息化領域數據安全合規指引》。
（一）主管部門：工業和信息化部、通信管理局和無線電管理機構地方行業監管部門
（二）工業和信息化領域數據分類分級
工業和信息化領域數據包括工業數據、電信數據和無線電數據等。工業數據是指工業各行業各領域在研發設計、生產制造、經營管理、運行維護、平臺運營等過程中產生和收集的數據。電信數據是指在電信業務經營活動中產生和收集的數據。無線電數據是指在開展無線電業務活動中產生和收集的無線電頻率、臺（站）等電波參數數據。
1. 分類：研發數據、生產運行數據、管理數據、運維數據、業務服務數據等。
2. 分級：一般數據、重要數據、核心數據。
3.數據全生命周期保護（參考《工業和信息化領域數據安全合規指引》），見下表所示。
（三）本地化存儲要求：收集和產生的重要數據和核心數據，法律、行政法規有境內存儲要求的，應當在境內存儲，確需向境外提供的，應當依法依規進行數據出境安全評估。
二、自然資源領域數據安全
2024年3月22日，自然資源部發布并施行了《自然資源領域數據安全管理辦法》，明確了自然資源領域數據范圍，分類分級基本原則，重要數據及核心數據識別要素及自然資源領域數據全生命周期的管理制度，旨在加強自然資源領域數據的安全管理，促進數據的合法、安全和有效利用。
（一）主管部門：自然資源部、國家林業和草原局及地方行業監管部門
（二）自然資源數據分類分級
自然資源領域數據，是指在開展自然資源活動中收集和產生的數據，主要包括基礎地理信息、遙感影像等地理信息數據，土地、礦產、森林、草原、水、濕地、海域海島等自然資源調查監測數據，總體規劃、詳細規劃、專項規劃等國土空間規劃數據，用途管制、資產管理、耕地保護、生態修復、開發利用、不動產登記等自然資源管理數據。
1.分類：（1）基礎地理信息、遙感影像等地理信息數據；（2）土地、礦產、森林、草原、水、濕地、海域海島等自然資源調查監測數據；（3）總體規劃、詳細規劃、專項規劃等國土空間規劃數據；（4）用途管制、資產管理、耕地保護、生態修復、開發利用、不動產登記等自然資源管理數據。
2. 分級：一般數據、重要數據、核心數據。
3. 自然資源重要數據、核心數據識別參考指標，見下表所示：
（三）全生命周期管理
1. 數據安全保護義務：實行分級防護，不同級別數據同時被處理且難以分別采取保護措施的，應當按照其中級別最高的要求實施保護，確保數據持續處于有效保護和合法利用的狀態。
2. 數據提供：應告知接收方采取相關安全保護措施。涉及重要數據的，與數據接收方簽訂數據安全協議，在共享、調用過程中應當加強安全管控，采取技術措施定期監測數據共享、調用的情況。
3. 委托處理：應簽訂合同協議等法律文件明確雙方數據安全責任和義務，“數據安全責任不因委托而改變”。涉及重要數據的，應當對受托方的數據安全保護能力、資質進行評估或核實，并監督受托方履行數據安全保護義務。
4. 本地化存儲：對于自然資源領域重要數據的存儲要求為“應當在境內存儲”，確需向境外提供的，應當落實國家網信部門數據出境安全評估有關規定。
三、會計師事務所數據安全
2024年4月15日，財政部、國家互聯網信息辦公室發布《會計師事務所數據安全管理暫行辦法》。該辦法主要規定了數據管理，包括總體責任、責任人員、數據分類分級、日志管理、數據傳輸管理、數據加密管理、數據備份、業務約定書、技術保護手段、日常安全監測、數據出境等內容；網絡管理，包括網絡管理制度、資源投入、訪問控制、系統賬戶管理等內容；監督檢查，包括信息共享、日常檢查、重點檢查對象、安全審查、行政監管措施、行政處罰等內容。該辦法自2024年10月1日起施行。
（一）主管部門：財政部、省級（含深圳市、新疆生產建設兵團）財政部門
（二）適用對象：適用于開展四類審計業務相關數據處理活動。
其中，前三類主要以會計師事務所服務客戶的類型為標準劃分，具體而言，第一類為上市公司以及非上市的國有金融機構、中央企業等提供審計服務的；第二類為關鍵信息基礎設施運營者或者超過100萬用戶的網絡平臺運營者提供審計服務的；第三類為境內企業境外上市提供審計服務的。第四類以數據類型為標準劃分，即使會計師事務所從事的審計業務不屬于前三類規定的范圍，但涉及重要數據或者核心數據的，亦適用。
（三）會計事務所數據分類分級
會計事務所“數據”是指會計師事務所執行審計業務過程中，從外部獲取和內部生成的任何以電子或者其他方式對信息的記錄。
1.分類分級：按照法律、行政法規的規定和被審計單位所處行業數據分類分級標準確定核心數據、重要數據和一般數據。
2.書面約定義務：會計師事務所和被審計單位應當通過業務約定書、確認函等方式明確審計資料中核心數據和重要數據的性質、內容和范圍等
（四）數據本地化存儲
會計師事務所存儲核心數據的信息系統要落實四級網絡安全等級保護要求，存儲重要數據的信息系統要落實三級及以上網絡安全等級保護要求。考慮到數據匯聚和關聯的影響，如數據匯聚、關聯后屬于國家秘密事項的，還應當依照有關保守國家秘密的法律、行政法規規定處理。
此外，審計工作底稿應當按照法律、行政法規和國家有關規定存儲在境內。相關加密設備應當設置在境內并由境內團隊負責運行維護，密鑰應當存儲在境內。
（五）數據出境限制
會計師事務所不得在業務約定書或者類似合同中包含會計師事務所向境外監管機構提供境內項目資料數據等類似條款。會計師事務所向境外提供其在境內運營中收集和產生的個人信息和重要數據的，應當遵守國家數據出境管理有關規定。會計師事務所對于審計工作底稿出境事項應當建立逐級復核機制，采取必要措施嚴格落實數據安全管控責任。對于需要出境的審計工作底稿，按照國家有關規定辦理審批手續。
四、銀行保險機構數據安全
2024年12月27日，國家金融監督管理總局正式實施《銀行保險機構數據安全管理辦法》。作為金融監管總局成立后的第一部數據安全立法，該辦法強化了數據治理頂層設計，按照“誰管業務、誰管業務數據、誰管數據安全”的原則開展數據安全保護工作。在內容上，該辦法對數據安全治理、數據分類分級、數據安全管理、數據安全技術保護、個人信息保護、數據安全風險監測與處置、監督管理及附則，分別從治理體系、管理制度、技術機制以及風險評估、監測與處置機制等方面進行了系統規范。
（一）主管部門：國家金融監督管理總局及其派出機構
（二）適用對象：銀行保險機構，是指在中華人民共和國境內設立的政策性銀行、商業銀行、農村合作銀行、農村信用合作社、金融資產管理公司、企業集團財務公司、金融租賃公司、汽車金融公司、消費金融公司、貨幣經紀公司、信托公司、理財公司、保險公司、保險資產管理公司、保險集團（控股）公司。
（三）銀行保險機構數據分類分級
1.分類：客戶數據、業務數據、經營管理數據、系統運行和安全管理數據等。
2.分級：核心數據、重要數據、一般數據。其中，一般數據細分為敏感數據和其他一般數據。
（四）安全管理：建立數據資產地圖，開展數據安全評估，建立分區域數據安全保護基線
該辦法建立了以“全域數據資產登記”和“開展數據安全評估”為核心抓手的合規思路。銀行保險機構在處理敏感級及以上數據的業務活動時，或者開展數據委托處理、共同處理、轉移、公開、共享等對數據主體有較大影響的活動時，應當事先開展數據安全評估，并針對內部收集、外部采購、加工、使用、對外提供、跨境提供、備份、刪除與銷毀的數據處理全生命周期設置了合規要求。
銀行保險機構應當據此制定數據安全保護制度，并應當涵蓋全生命周期管控機制、數據安全保護措施、數據對外提供和跨境提供等監管重點關注內容。銀行保險機構還應建立數據安全技術保護體系和數據安全保護基線，將數據安全保護納入信息系統開發生命周期框架，以及將數據納入網絡安全等級保護。
五、中國人民銀行業務領域數據安全
2023年7月24日，央行就《中國人民銀行業務領域數據安全管理辦法（征求意見稿）》公開征求意見，本次征求意見稿就適用范圍、原則、數據分類分級、總體要求、管理要求、技術要求、風險監測等內容做出了相關規定。預計本辦法將于2025年上半年正式發布。
（一）主管部門：中國人民銀行及其分支機構
（二）適用范圍：根據“誰管業務，誰管業務數據，誰管數據安全”基本原則，明確適用范圍為中華人民共和國境內開展的，中國人民銀行承擔監督管理職責各類業務相關的數據處理活動。
此《辦法》約束的數據處理活動主要包括：貨幣政策業務、跨境人民幣業務、銀行間各類市場交易業務、金融業綜合統計業務、支付清算業務、貨幣管理和數字人民幣業務、經理國庫業務、征信業務、反洗錢業務等領域的數據處理活動。
（三）銀行保險機構數據分類分級
1.分類：根據業務開展情況建立業務分類，梳理細化數據資源目錄，標識各數據項是否為個人信息、數據來源（生產經營加工產生、外部收集產生等）、存儲該數據項的信息系統清單和應用的業務類別。
2.分級：一般、重要、核心三級。其中，數據項敏感性從低至高進一步分為一至五共五個層級。結構化數據項應當逐一標識層級；非結構化數據項應當優先按照可拆分的各結構化數據項所對應最高層級，標識其層級。
（四）數據全生命周期管理與特定場景的數據安全保護要求
該辦法針對收集、存儲、使用、加工、傳輸、提供、公開和刪除各環節，向數據處理者提出應采取的管理和技術措施，以及可視為總體滿足盡職盡責的合規底線。該辦法還對數據處理活動中特殊場景的安全保護措施等重點事項進行了說明，具體如下表所示。
