导言

2023年是各行业数据合规治理工作持续深化的一年。国内外形势的不断变化、生成式人工智能（AIGC）等新兴技术兴起、数据要素市场政策相继落地，为数字经济发展带来了诸多挑战与机遇。在这一背景下，金融领域的网络安全与数据合规工作较之往年也呈现出更加深入化、细节化的特点：一方面，行业主管部门在个保、数据安全、征信等领域的监管与执法动作仍在持续，罚单数量及金额均有所增长；另一方面，随着人工智能、隐私计算、金融云等创新技术应用与业务尝试日益增长，新兴领域的监管规则也相继而来且仍在不断探索。除此之外，数据跨境合规监管体系在健全落地的同时，相应便利化举措亦正在酝酿并逐步推出，而金融数据要素利用、数据资产入表的相关政策与实践也有了新的发展。

随着国务院机构改革方案的落地，国家金融监督管理总局（“金管局"）在原银保监会基础上正式挂牌成立，“一行一局一会"的金融监管框架由此确立。中国人民银行（“人民银行"）金融消费者保护职责、证监会投资者保护职责均划入金管局。此外，国家数据局也在2023年10月正式揭牌，负责协调推进数据基础制度建设、统筹包括金融数据要素在内的数据资源整合共享和开发利用。这也代表着金融数据合规与治理工作将逐步迎来新的监管格局。

值此新旧交替之际，我们对过去一年金融领域网络安全与数据合规方面的重要立法、监管执法行动进行回顾与总结，分享我们的观察与理解，并对新的一年作出展望。

一、年度重要立法回顾

（一）金融领域网络与数据安全监管规则体系走向纵深

2023年内，人民银行、证监会等金融行业主管部门分别发布了主管业务领域的数据安全基本规定或征求意见稿，各项金融监管规则中也逐渐纳入了个人信息保护、数据安全相关内容，金融领域网络与数据安全监管制度体系更加完善、趋于系统化。

• 人民银行业务领域数据安全“基本法"已现端倪，数据监管精细化势在必行。2023 年7月24日，人民银行发布《中国人民银行业务领域数据安全管理办法（征求意见稿）》（“《人行数安办法》"），对于支付清算、征信、反洗钱、银行间各类市场交易等人民银行主管业务范围网络数据处理者的安全组织架构、数据分类分级、全生命周期保护措施提出详尽要求。

一方面，《人行数安办法》回应了数据“三法"，涵盖了重要及核心数据保护、数据跨境传输等基本要求，并进行了适当的补充与延伸；另一方面，该办法亦衔接了既有金融数据安全行业标准，将此前标准层面的规定上升为法律要求，进一步加强对金融业机构数据管理的约束。新规后续的正式出台也必然将形成金融数据安全监管的重要依据，有助于构建全方位的金融数据安全监管体系。

• 证券期货行业的网安数安“立法大年"，监管新规与指引规范体系趋于完善。证监会制定的《证券期货业网络和信息安全管理办法》于2023年5月1日正式生效，针对证券、期货、基金行业内各类主体在网络和信息安全组织架构、信息系统管理、投资者个人信息保护等方面提出了系统全面且细致的监管要求。与此同时，《证券期货业数据安全风险防控 数据分类分级指引》《证券期货业信息安全运营管理指南》等若干配套的证券期货领域数据安全标准陆续发布，进一步健全该领域的数据安全管理体系。

2023年6月9日，中国证券业协会、中国期货业协会、中国证券投资基金业协会亦分别发布本行业《网络和信息安全三年提升计划（2023-2025）》，旨在引导证券公司、期货公司、基金管理公司全面提升网络和信息安全保障能力，防范化解系统性风险，保护投资者合法权益。

• 细分领域立法普遍涵盖数据保护内容，数据合规全方位纳入金融监管体系。承续2022年的立法态势，2023年内出台的多部金融监管新规亦持续纳入了数据保护相关内容。例如，历经两年审议、备受瞩目的《非银行支付机构监督管理条例》，对于支付机构在核心系统、用户信息保护、数据跨境流动等方面均作出规定；年内发布的汽车金融公司、保险销售行为、养老保险公司、消费金融公司、货币经纪公司等专门监管规章或征求意见稿中也均嵌入了个人信息保护、系统安全与数据保护相关的条款或章节。[1]

• 行业自律性数据安全团体标准不断涌现。2023年以来，金融行业多个重要自律组织也推出了一系列个人信息保护、数据安全主题团体标准，在对齐法规及国家、行业标准的基础上，进一步细化补充了对成员的自律性数据保护要求。如，中国支付清算协会发布《个人支付信息保护指引》，关注支付业务中的个人信息安全；中国互联网金融协会也发布了《金融数据资产管理指南》等9项团体标准，[2]聚焦金融数据治理、数字化转型、数字征信，以及金融科技应用等领域。

（二）数据跨境监管机制基本形成，新规释放金融数据跨境流通便利化信号

• 三大合规基础路径渐次落地，金融业机构有序参与。随着2023年6月《个人信息出境标准合同办法》正式实施，加之此前数据出境安全评估、个人信息保护认证监管规则均已搭建完成，数据出境监管三大合规基础路径基本落地。在此背景下，部分地方行业主管部门联合当地网信部门就金融机构的数据出境合规监管程序开展宣导活动。[3]目前，各地网信办通报的数据出境安全评估及个人信息出境标准合同备案通过案例，以及近日公布的首批通过个人信息保护认证机构中，亦可见支付宝、国泰君安、大众汽车金融公司等部分持牌金融机构及金融科技公司的身影。[4]

• 数据跨境流动便利化举措惠及金融领域。2023年9月28日，国家网信部门发布《规范和促进数据跨境流动规定（征求意见稿）》（“《跨境流动新规》"），对当前落地的数据跨境合规体系进行了实质性调整，其中针对跨境汇款、人力资源管理等金融机构日常运营场景，约定可豁免适用“数据出境安全评估"、“个人信息保护认证"和“个人信息出境标准合同"三大数据出境事前监管机制，另外，该规定亦对部分情形下出境事前监管机制的适用进行了简化，即特定情形下的个人信息出境基于新规可适用更为便捷的出境事前监管机制。我们预期该新规有望于今年内迅速落地，将一定程度上降低金融领域数据跨境流动的合规成本。

此外，区域范围内的数据跨境流动便利化举措亦在逐步推进：

（1）国家网信部门联合香港创新科技及工业局于2023年12月10日发布《粤港澳大湾区（内地、香港）个人信息跨境流动标准合同实施指引》，广东省九市与香港地区金融业机构的个人信息交互可适用该办法规定的更为轻量化的监管程序，首阶段香港地区也将邀请银行业、征信业机构参与先行先试。

（2）《全面对接国际高标准经贸规则推进中国（上海）自由贸易试验区高水平制度型开放总体方案》特别提及，在国家数据跨境传输安全管理制度框架下，允许上海自贸试验区金融业机构向境外传输日常经营所需的数据。结合《跨境流动新规》，我们理解上海自贸试验区未来也有望就相关金融机构日常经营中的跨境传输场景纳入其自贸区数据出境负面清单范围。

（三）人工智能监管、数据要素市场建设等多项通用领域规则出台

• 算法与人工智能领域监管兴起。随着ChatGPT自2022年底横空出世，生成式人工智能（AIGC）的技术应用及其监管治理便源源不断地进入公众视野。2023年8月15日，《生成式人工智能服务管理暂行办法》正式发布，在算法备案、数据训练、个人信息保护、内容管理方面均提出详细要求。此外，也有深度合成算法、科技伦理审查等相关规范及标准生效或面世。[5]

金融领域也在标准层面逐步推出人工智能治理规则，例如年内发布了《互联网金融智能风险防控技术要求》（GB/T 42929-2023）、《人工智能算法金融应用信息披露指南》（JR/T 0287-2023）。金融业机构在风险防控、商业营销、智能客服、投研决策等场景下都可能应用AIGC及相关人工智能技术，随着监管规则不断完善，既需注意要防范使用过程中的泄密与伦理风险，也需关注最新立法动态、及时了解监管合规要求。

• 数字要素市场建设与数据资产入表制度实践逐步推开。随着2022年底《关于构建数据基础制度 更好发挥数据要素作用的意见》（“《二十条》"）发布，数据产权制度、数据流通规则、数据交易制度体系的建立成为国家数据基础制度与战略的主线之一，包括金融领域在内的不少企业、机构已开始数据确权与数据资产交易方面的尝试。

法规层面，财政部于2023年8月印发了《企业数据资源相关会计处理暂行规定》，对数据资源入表加强指引、规范企业数据资源的会计处理，并强化数据资源相关信息披露要求。数据资产的入表将进一步助推金融业机构数字化转型，与此同时，考虑到财务数据是人民银行金融统计大集中报送、金管局EAST等各类监管报表的重要组成部分，未来数据资源入表相关信息的准确性亦可能对金融业机构监管数据报送工作造成影响，金融业机构需注意保障此类数据报送的准确、真实、及时。

• 个保合规审计、未成年人网络保护、人脸识别安全等多项新规发布。2023年内《个人信息保护合规审计管理办法（征求意见稿）》、《人脸识别技术应用安全管理规定（试行）（征求意见稿）》、《未成年人网络保护条例》、《商用密码管理条例》修订稿、《网络安全事件报告管理办法（征求意见稿）》等系列规范相继发布，提出了一系列新要求。此外，个人信息的告知同意、重要数据安全保护、敏感个人信息、自动化决策等方面的国家标准也在逐步推出。[6]

尽管这些规范并非金融领域的专门性要求，但均与金融业机构的数据合规工作息息相关：金融领域的个人信息保护合规审计如何开展、涉及处理未成年人个人信息是否还需另行审计，金融业机构在身份识别、支付等环节也涉及大量人脸识别信息应用，是否还需就人脸识别技术使用情况完成备案手续[7]等，均有待前述规定逐步落地与配套监管规则的进一步细化。

二、年度执法动态观察

（一）金融行业主管部门监管执法统计

2023年内，行业主管部门在执法监管方面对金融网络与数据安全的关注仍在加强。根据我们的统计，金融行业主管部门对所辖机构存在的数据合规、消费者个人信息保护、信息系统安全等问题共开出515张单位罚单，同时有近400位相关责任人涉及承担警告、罚款甚至限期禁业在内的法律责任。[8]

归纳上述金融业机构的违法违规事由，我们将金融领域数据执法活动划分为消费者个人金融信息保护、金融统计与监管数据报送及质量合规[9]、个人信用信息保护及征信合规、数据安全管理及信息系统安全防护[10]四个维度，各维度所涉案例及责任人的具体数量分布如下：

• 消费者个人信息保护仍然是金融领域数据合规工作的监管重心。随着2022年原银保监会关于个人信息保护侵权乱象的专项整治工作的开展，一批罚单在2023年逐步涌现。2023年内有近20家机构因涉及个人信息保护违规而收到百万级罚单。人民银行、金管局在2023年7月对于两家头部互联网金融平台及其关联企业开出的罚没合计约70亿罚单中，侵害消费者个人信息权益等合法权益事由亦赫然在目。

2023年10月，人民银行、金管局及证监会分别公布了一批金融消费者/投资者权益保护案例，其中就不乏消费金融公司、商业银行、保险代理机构、支付机构侵犯个人信息权利的案例。从披露案情来看，除员工非法获取征信报告、贩售消费者账户信息所暴露的技术安全措施不足、员工行为管控、分级授权审批等重要制度缺位问题，行业主管部门在现场检查中的个保执法尺度也在不断细化，如格式合同中联系人信息强制授权、隐私政策关联公司范围披露不完全、收集信息用于营销未提供选择权等问题，也均容易引起监管关注。

• 数据安全与信息系统防护监管逐步压实，关注第三方合作安全管控。在数据安全防护方面，行业主管部门在2023年度的处罚事由也更为多样化，如数据安全管控措施不到位、制度不健全、瞒报突发信息安全事件、生产环境及生产数据安全管控不足、核心系统不符合信息化管理要求等，均成为了金融数据安全的重要执法方面。2023年12月底，金管局分别对于某两家银行信息系统认定和风险识别不到位、引起系统突发事件、数据中心安全管控不到位等原因均分别处以400万元以上罚款。

特别地，第三方合作过程中的数据安全管控成为2023年以来的监管重点，2023年6月，金管局发布《关于加强第三方合作中网络和数据安全管理的通知》，对于银行保险机构的外包服务商发生多起安全风险事件进行点名。我们也观察到，对第三方合作机构数据安全管控缺位、信息科技外包治理体系缺失类处罚事由较往年有所增多。

• 个人征信“断直连"整改期限已满，信用信息处理与安全管理监管依旧密集。自《征信业务管理办法》2021年9月落地以来，其所设置的18个月征信“断直连"合规整改期也在2023年6月正式宣告结束，十四家头部平台已全部完成整改，其他梯队的机构仍在进行后续的整改收尾工作，实践中平台企业与金融机构合作引流、助贷也探索出多种合规整改模式。

与此同时，在个人征信领域的监管依旧在持续，信用信息的采集、提供、查询行为不合规，不良信息异议超期处理、违反征信信息安全管理规定依旧是征信业务数据合规方面的执法重点。在人民银行7月初集中公布的系列罚单中，就有两家银行因违反信用信息采集、提供、查询及相关管理规定等事由罚没合计约8,000万元；国内首家持牌个人征信机构也因信用信息采集、提供、查询存在违法行为，于2023年8月遭到处罚。

• 监管数据报送治理常态化持续深入。相较于2022年，行业主管部门2023年度在监管数据报送领域开展的集中性执法有所减少。但是，监管数据的报送和质量把控关系着金融行业的统计工作及对各类机构的日常监管，仍是处罚最为频繁的监管领域。在行政处罚之外，金管局也在5月31日发布《关于开展EAST数据质量“提升工程"的通知》、强调进一步加强监管数据治理，并在9月30日发布通知，要求各机构开展提升非现场监管报表审核质效工作。

（二）金融类App个人信息保护治理

根据我们的统计，2023年度国家工信部共计8批次通报以及各地通信管理局通报中，共有65款金融类App因存在侵犯个人信息问题而被点名。按照具体业务类型进行区分，出现个人信息侵权问题而被点名的金融App中，投资理财类App仍然是通报最为集中的App类型，而手机银行、网络借贷类App的占比也较高：

与往年相同，未经用户同意或误导用户同意收集个人信息、未明确告知用户收集目的及方式、范围等“违规收集或使用个人信息"[11]行为依旧是2023年度金融App侵权的主要问题所在，在被通报的65款App中有48款均涉及此类问题。此外，“强制、频繁、过度索取权限"“超范围收集个人信息"“App频繁自启动和关联启动"也是常见个人信息保护合规问题。相较往年，App运营者是否建立数据安全管理制度、采取相关安全技术措施也成为2023年执法部门的关注点之一。具体通报事由分布见我们整理的以下表格：

地方网信部门在2023年出现了专门针对金融类App开展的个人信息保护专项执法活动。例如，8月中下旬，上海市网信办在“亮剑浦江·消费领域个人信息权益保护专项执法行动"中对于互联网金融理财类App进行了集中整治，并发布《网络理财小贷场景违法违规收集使用个人信息案例解析》，以案释法、增强对于金融类App运营的行政指导。

值得注意的是，除了个人信息保护治理以外，工信部于2023年印发了《关于开展移动互联网应用程序备案工作的通知》、全面开展App备案工作，而中国互联网金融协会对于金融类App的自律备案工作也在持续进行（据统计，截至2023年末，已有超过2400款金融类App完成备案、2530家金融机构进行了关联备案）[12]，各金融业机构也需要密切关注前述App备案合规手续的履行。

三、2024年金融领域数据监管与治理展望

（一）金融领域数据安全与个人信息保护监管格局与分工仍待关注

• 作为人民银行数据合规领域的“基本法"，《人行数安办法》最终并未能在2023年内出台。征求意见稿公布之初，关于该办法的具体适用范围、如何协调不同条线监管要求也曾引起诸多讨论与声音。具体而言，由于该办法仅规定了适用业务领域但并未明确具体所适用的机构类型，哪些机构应适用、非持牌机构是否需遵守，仍待监管部门提供更多的解释和指导；另一方面，相关业务领域所映射的机构类型也包括非人民银行直辖机构，从而可能导致同一机构在数据安全管理方面，需要同时满足来自人民银行、金管局等不同主管部门的要求，在监管边际出现交叉或竞合时，不同规则的衔接适用问题，亦值得持续关注。

• 随着人民银行“三定"方案正式落地，人民银行金融消费权益保护局不再保留。“一行一局一会"的监管格局下，我们判断未来银行、保险、证券期货等各细分领域的个人信息保护监管职权，将均逐步过渡转移由金管局统一行使，但个人信息保护工作也与数据安全管理亦密不可分、存在交叉。2024年内，《人行数安办法》有望正式出台，而根据我们的了解，金管局此前也就银行保险机构相关的数据安全规则征求意见。未来不同金融行业主管部门之间在数据安全管理方面的权责划分、新的监管格局下来自不同条线的规则如何协调适用，我们拭目以待。

（二）金融数据要素流通利好政策下相关业务创新实践值得期待

• 2023年12月31日，国家数据局等17部门联合印发《“数据要素×"三年行动计划（2024-2026年）》（“《数据要素三年行动计划》"），以落实《二十条》的精神要旨，并将“数据要素×金融服务"应用作为十二个领域的重点行动之一：一是支持金融机构融合各行业数据优化产品设计；二是强调在安全合规前提下，推动金融信用数据和公共信用数据、商业信用数据共享共用和高效流通，支持共享风控类数据、融合多维数据，提高金融业机构风控能力。近一年来，已经有不少银行机构在政策倡导下于地方层面尝试和落实数据知识产权质押融资新模式，促进金融领域数据要素价值开发利用。我们相信，随着《企业数据资源相关会计处理暂行规定》在2024年1月正式生效，财政部亦在近期发布了《关于加强数据资产管理的指导意见》，在《数据要素三年行动计划》宏图与顶层设计下，金融数据资源产权、数据资产入表、数据交易流通、释放金融数据要素潜能将成为新的一年的重要主线之一。

（三）人工智能、隐私计算等金融科技创新加速应用，新兴领域监管仍需不断探索

• 近两年来，金融领域数字化转型工作稳步推进，金融业机构对于新兴技术的探索研究、对金融科技的创新应用也必然将在新的一年持续涌现。AIGC、隐私计算、开放银行等技术与业态在金融业务领域内的应用场景将愈发普遍，而人工智能规制、个人信息去标识化及匿名化、个人信息共享、金融云等方面的监管也将随之而来。尽管相关规则和标准仍在突飞猛进，但在上述方面的具体监管尺度、边界也仍有诸多疑难问题有待解答与回应，我们期待金融领域的实践以及相关的细化规则、司法及执法案例能够为各机构对于金融科技创新与应用合规提供更多指导。

（四）多项金融数据合规重要机制与标准体系有望逐步完善

• 数据跨境流动机制有望迎来便利化举措。若《规范和促进数据跨境流动规定》能够在2024年得以出台，加之各区域性便利化举措的落地，必然将减轻金融业机构在数据跨境流动过程中的监管合规成本。不过，新规征求意见稿对于跨境支付等典型金融数据出境场景的具体适用范围规定尚较为概括，在实践中与之相关的关联场景中个人信息出境能否适用，仍待新规落地后监管的进一步解答。除此之外，跨境金融监管调查场景下的数据调取规则也尚有细化空间。

• 重要及核心数据、关键信息基础设施（CII）认定规则仍待明晰。《人行数安办法》征求意见稿对于重要及核心数据的保护机制已进行了详细规定，我们相信随着新规发布与落地，后续金融领域重要及核心数据目录及识别工作将逐步开启；此外，伴随着CII相标准制定工作不断提上议程，我们也期待在金融行业主管部门推动下，金融类CII认定规则能够逐步明确。

• 金融领域数据安全标准有望修订，进一步衔接“三法"要求。根据《人行数安办法》征求意见稿的起草说明，可以预见，《金融数据安全 数据安全分级指南》（JR/T 0197-2020）、《金融数据安全 数据生命周期安全规范》（JR/T 0223-2021）等金融数据安全标准将迎来陆续修订。前述标准均制定于《数据安全法》与《个人信息保护法》到来之前，尽管基本面上能够贴合当下数据保护的实践水平，但在规则细节上仍有部分内容尚未匹配最新要求。我们相信这些标准与“三法"及《人行数安办法》有效衔接适配将进为金融业机构数据合规工作的开展提供更为清晰的指引。

[注] 

[1] 相关规则包括《汽车金融公司管理办法》《保险销售行为管理办法》《养老保险公司监督管理暂行办法》《银行保险机构操作风险管理办法》《消费金融公司管理办法（征求意见稿）》《关于规范货币经纪公司数据服务有关事项的通知》等。

[2] 2023年11月16日，中国互联网金融协会发布9项团体标准，包括《金融数据资产管理指南》《金融数据安全技术防护规范》《金融数据安全应急响应和处置指引》《公共数据在企业征信领域应用的指南》《金融分布式账本技术资金管理应用业务要求》《金融分布式账本技术资金管理应用技术要求》《移动金融客户端应用软件上架资质指引》《移动金融客户端应用软件无障碍设计指南》和《网上银行服务应用安全规范》。

[3] 2023年2月22日，上海市地方金融监管局、上海市网信办联合组织召开了数据出境安全评估政策宣讲会（金融站）。32家银行、证券、保险、基金、支付类金融机构和金融市场基础设施等参加该次宣讲会。

[4] 截至2023年底，根据公开渠道查询信息，各地网信办公布的成功通过数据出境安全评估或完成个人信息标准合同备案的企业有29家。其中与金融行业相关的案例包括：（1）国泰君安成为全国首批通过数据出境安全评估的证券公司；（2）大众汽车金融（中国）有限公司成为全国首批全业务场景金融类企业通过数据出境安全评估；（3）北京德亿信数据有限公司与香港诺华诚信有限公司签订的个人信息出境标准合同通过市网信办组织的备案审核，该项目首次实现了北京市与香港特别行政区间征信数据的合规出境。

此外，中国网络安全审查技术与认证中心于2023年底颁发的首批个人信息保护认证证书的5家企业中，包括支付宝（中国）网络技术有限公司。

[5] 相关规则包括《互联网信息服务深度合成管理规定》《科技伦理审查办法（试行）》《生成式人工智能服务 安全基本要求（征求意见稿）》等。

[6] 2023年内发布的通用领域数据合规相关的重要国家标准包括《信息安全技术 个人信息处理中告知和同意的实施指南》（GB/T 42574-2023）、《信息安全技术 重要数据处理安全要求（征求意见稿）》、《信息安全技术 基于个人信息的自动化决策安全要求（征求意见稿）》、《信息安全技术 敏感个人信息处理安全要求（征求意见稿）》等。

[7] 《人脸识别技术应用安全管理规定（试行）（征求意见稿）》规定，在公共场所使用人脸识别技术，或者存储超过1万人人脸信息的人脸识别技术使用者，应当在30个工作日内向所属地市级以上网信部门备案。

[8] 由于部分案例中存在不止一个维度的处罚事由，因此各维度的单位罚单加总数量会大于正文中提及的单位罚单总数。

[9] “金融统计与监管数据报送与质量合规"维度的常见处罚事由包括虚报统计数据、报送数据不真实、EAST数据存在偏差或漏报、非现场统计数据差错、财务数据不真实、数据治理有效性缺失、违反金融统计管理规定、虚报、瞒报金融统计资料、未按规定报送投诉数据等。

[10] “数据安全管理及信息系统安全防护"维度的常见处罚事由包括因敏感数据信息存在泄露风险、外包管理职责存在缺失、瞒报信息系统突发事件、过失泄露信息、信息安全和员工行为管理严重违反审慎经营规则、网络安全事件变更管理不完善、应急处置不及时等。

[11] 由于通报事由中并未具体解释“违规收集或使用个人信息"的具体内涵，我们将未遵循“告知—同意"原则类的通报事由均归入此事由，具体包括：未经用户同意App私自收集获取个人信息；以不正当方式误导用户同意收集个人信息；未明确告知用户收集使用个人信息的目的、方式、范围（包括启用某权限未说明目的），或概况授权、模糊授权范围；不同意提供非必要性信息（包括启用非必要权限）就无法正常使用等；未获取用户单独同意即收集个人敏感信息。

[12] 北京商报，《强化数字金融重点领域自律管理，中国互金协会最新规划！》，https://m.bbtnews.com.cn/content/f4/67/332630.html。