近日，筆者就某銀行數據資產入表進行了數據合規評估，該行入表數據為從第三方處購買的數據，在獲得信息主體授權的前提下，可通過API接口方式從第三方處查詢、使用用戶信息。依賴多年來所沉淀的數據，該行從不同業務維度構建統計指標；基于智能化算法搭建評估模型；引入失信人員、失信企業等信息作為風險評估參考，形成了“某銀行智能風控數據模型”。該數據模型可以為貸款準入、反欺詐、額度測算、評級、定價等服務提供數據依據，也可應用于內部運營管理，優化風控系統，通過相關數據資源提高服務效率和服務質量。
金融數據合規不僅要符合《民法典》《網絡安全法》《數據安全法》《個人信息保護法》等普遍適用于數據合規的一般性規定；還應符合金融行業的特別監管要求，尤其需要注意一些指導金融機構開展金融數據安全防護工作的行業標準，如《金融數據安全分級指南》、《金融數據安全數據生命周期安全規范》、《個人金融信息保護技術規范》等，下面主要從數據分級分類和數據生命周期管控兩個角度進行介紹：
《網絡安全法》規定，國家實行網絡安全等級保護制度，網絡運營者應當按照網絡安全等級保護制度的要求，采取數據分類、重要數據備份等措施；《數據安全法》也規定了要對數據實行分類分級保護。雖然對于數據分級分類國家尚無專門的法律規定，但金融行業作為合規性建設最早最完善的行業，早已出臺了各種行業標準。從銀行角度來看，中國人民銀行于2020年2月13日發布了《個人金融信息保護技術規范》，將個人金融信息按敏感程度從高到低分為C3、C2、C1三個類別：C3 類別信息主要為用戶鑒別信息；C2類別信息主要為可識別特定個人金融信息主體身份與金融狀況的個人金融信息，以及用于金融產品與服務的關鍵信息；C1類別信息主要為機構內部的信息資產，主要指供金融業機構內部使用的個人金融信息。該規定還強調，同一信息在不同的服務場景中可能處于不同的類別，應依據服務場景以及該信息在其中的作用對信息的類別進行識別，并實施針對性的保護措施。 除此外，《金融數據安全分級指南》也從國家安全、公眾權益、個人隱私、企業合法權益的角度，按照影響程度將金融數據安全級別從高到低進行了五級劃分。
構建數據分類分級管理體系后，切實做好保障數據安全工作，還需具體落實在數據的采集、傳輸、存儲、使用、刪除和銷毀等生命周期管理的各環節?！秱€人金融信息保護技術規范》、《金融數據安全 數據生命周期安全規范》等金融行業標準系統規定了采集、傳輸、存儲、使用、刪除和銷毀等金融數據生命周期環節的合規要求。除了與《網絡安全法》《數據安全法》《個人信息保護法》等法律規定一致的外，主要的特殊合規要求具體如下：（1）數據采集：應通過合同協議等方式，明確雙方在數據安全方面的責任及義務；從外部數據供應方處采集數據，應制定數據供應方約束機制；采集的企業客戶數據應與提供的金融產品或服務直接相關，不應超范圍采集數據；應明確數據采集過程中個人金融信息和重要數據的知悉范圍和安全管控措施，確保采集數據的合規性、完整性和真實性；采集數據時，應對數據采集設備或系統的真實性進行驗證；采集 3 級及以上數據時，還應結合口令密碼、設備指紋、設備物理位置、網絡接入方式、設備風險情況等多種因素對數據采集設備或系統的真實性進行增強驗證等；向個人信息主體采集數據時，APP、WEB 等客戶端相關業務完成后不應留存 3 級及以上數據，并及時對緩存進行清理；采集的個人金融信息應與提供的金融產品或服務直接相關，并與合同協議條款、隱私政策中約定采集的內容保持一致，不應超范圍采集數據等。（2）數據傳輸：采取措施加強數據傳輸過程中的網絡和數據安全；金融數據傳輸涉及金融業機構內部數據傳輸、金融業機構與外部機構或客戶的數據傳輸兩種形式，不同傳輸形式和不同傳輸對象應采用不同的數據傳輸技術方式等。（3）數據存儲：將數據分域分級存儲；依據最小夠用原則存儲數據；不應因存儲形式或存儲時效的改變而降低安全保護強度等。（4）數據使用：就數據訪問、數據導出、數據加工、數據展示、開發測試、匯聚融合、公開披露、數據轉讓、委托處理、數據共享提出了具體明確的要求。（5）數據刪除：個人金融信息主體要求刪除個人金融信息時，應依據國家及行業主管部門有關規定，以及與個人金融信息主體的約定予以響應；超過國家及行業主管部門有關規定、內部規章及合同協議所述保存期限的數據，應執行數據刪除操作等。（6）數據銷毀：采用不可恢復的方式對存儲介質進行銷毀；存儲介質如需使用，通過技術手段安全地擦除數據，確保介質中的數據不可再被恢復或以其他形式被利用；定時驗證數據刪除結果等。
轉載自：眾成清泰律師事務所
浙公網安備 33010502006954號 
