中国人民银行业务领域数据安全管理办法

中国人民银行令〔2025〕第3号，2025年6月30日起施行。

本文面向安全、数据和合规负责人，把3号令从“法规条文”转换为“可以建设、可以验收、可以接受检查”的数据安全工作要求。

法规概览 · 安全要求与实施 · 法规原文

法规概览

项目	内容
核心对象	中国人民银行业务领域数据及其处理活动
主要主体	金融机构以及经中国人民银行批准设立或者认定的其他机构
核心主线	数据资源目录 → 分类分级 → 全生命周期控制 → 风险监测 → 评估审计 → 事件应急
最关键变化	不只要求“有制度”，而是要求数据处理活动持续受控，重要/核心数据、高敏数据采取更强保护

可以把3号令压缩为一句话：先知道数据在哪里、是什么级别，再把权限、导出、加工、传输、提供、接口、日志、评估和应急全部纳入可持续控制。

下文按 “法规要求 → 落实与验收” 展开：每项要求同时说明实施动作与可验证的验收标准。实施建议用于帮助落地，不替代法条本身；涉及其他主管部门规则的，应叠加适用。

安全要求与实施

核心主题	达成状态
数据资源目录与分类分级	数据在哪里、属于什么业务、什么等级和敏感度都清楚
组织责任与制度	数据安全责任有人承担，高风险动作有制度和审批
权限与数据使用	谁能看、能导、能改、能批量处理都最小化且可追溯
数据传输与提供	数据离开原系统或机构时目的、范围、接收方和安全措施都受控
接口与日志	批量访问入口清楚，行为有鉴权、限流、监测和审计
风险评估与审计	控制效果被周期性验证，问题真正整改闭环
应急与报告	数据安全事件能被及时发现、分级、止损、报告和复盘

建立并持续维护数据资源目录

法规要求｜第8、10条。 数据处理者应建立业务数据资源目录并持续维护，按照要求开展重要数据识别、申报和动态管理。

落实与验收。

• 统一维护业务数据资源目录，关联业务、系统、数据表/对象、负责人、来源、用途、共享关系和保存位置。
• 目录不能只靠人工填表，应结合数据库、数据平台、对象存储、消息系统和接口清单进行自动发现与人工确认。
• 新系统、新数据源、新共享关系和重大变更进入目录更新流程。
• 至少按法规要求定期复核，重要数据识别结果与目录保持一致。

验收标准。

• 从生产数据库、对象存储和数据平台随机抽资产，能否在目录中找到？
• 从目录反查真实系统，字段、负责人、数据流向是否仍准确？
• 最近一个新系统上线后多久进入目录？谁负责触发更新？
• 目录里的重要数据与实际申报、保护范围是否一致？

同时做好重要性分级和敏感性分类

法规要求｜第7—10条。 数据处理者应建立分类分级制度，识别一般、重要、核心数据，并依据敏感程度实施差异化管理。

落实与验收。

• 把“重要性等级”和“敏感性分类”作为两个维度管理，不能只用一套标签替代。
• 结构化数据项原则上有可执行的敏感性标签；重要/核心数据能够关联到业务、系统和责任人。
• 重要数据识别有明确依据、评审和申报流程；重大变化后重新判断。
• 分类分级结果能够实际驱动权限、加密、脱敏、导出、传输、日志和审批策略。

验收标准。

• 随机抽一个数据项：它的敏感性、重要性等级分别是什么，依据是什么？
• 找一个高敏但非重要数据、一个重要但非高敏数据，控制是否真的不同？
• 分类分级调整后，系统策略是否自动或及时跟着变化？
• 是否存在“系统没有标签，因此默认按一般数据处理”的情况？

明确组织责任和高风险处理审批

法规要求｜第11—13条。 数据处理者应建立组织责任、制度规范、人员管理和培训机制；重要数据处理者应设置相应安全负责人和管理机构。

落实与验收。

• 明确数据安全负责人、管理机构、业务数据Owner、系统Owner和关键岗位责任。
• 建立覆盖收集、使用、加工、导出、提供、委托、删除等活动的制度和操作规程。
• 高风险数据处理活动进入线上审批，审批人、理由、范围、有效期和后续操作都可追踪。
• 每年组织与岗位匹配的数据安全培训并保留记录。

验收标准。

• 随机抽一笔高敏数据导出：谁申请、谁审批、为什么需要、实际导出的范围是否一致？
• 数据安全负责人是否真的参与重要数据、高风险共享和重大事件决策？
• 离职、转岗或职责变更后，相关审批权和高权限是否及时变化？
• 培训是否覆盖真正会接触数据的研发、运营、DBA、分析师和外包人员？

落实最小权限和特权账号控制

法规要求｜第14、29条等。 数据访问应实施身份鉴别、权限控制和可追溯管理，对高敏数据和高权限访问采取更严格保护。

落实与验收。

• 建立统一身份、RBAC/ABAC、PAM、离转调回收和周期复核机制。
• DBA、平台管理员、运维等特权账号实名、最小授权、操作留痕并尽量采用强认证。
• 高敏数据批量查询、导出、明文查看采用二次授权或增强认证。
• 共享账号、长期临时权限和超期权限持续治理。

验收标准。

• 从一个高敏数据库反查全部可访问账号，是否每个都能解释业务必要性？
• 随机抽一个离职/转岗人员，权限何时被回收？
• DBA是否可以绕过业务审批直接批量查看或导出高敏数据？
• 临时权限到期后是否自动失效，还是依赖人工记得回收？

管住高敏数据的存储、展示、导出和传输

法规要求｜第16、17、20、32、33、35条等。 对高敏数据的终端存储、明文展示、导出和非受控渠道传输实施更严格限制，并按要求采取加密等保护措施。

落实与验收。

• 高敏数据原则上集中存储，不落个人终端和移动介质；例外场景统一审批并设置有效期。
• 默认以查询、脱敏展示替代原始数据导出；非必要不明文展示。
• 对外传输和跨网络传输采用合适的加密与受控传输渠道。
• 邮件、IM、公共网盘、移动介质等高风险通道默认限制高敏数据传播。
• 结合DLP、水印、下载审批、文件交换平台等实现技术控制和追责。

验收标准。

• 从终端DLP和文件审计反查：最近是否有高敏数据落盘、通过IM或网盘传播？
• 随机找一个“业务确需导出”例外，审批范围、导出内容、保存时间和删除是否一致？
• 高敏数据页面是否可以通过截图、接口、前端调试或批量查询绕过脱敏？
• 数据传输的加密要求是否只写在制度里，还是能从配置和流量证明确实生效？

管理加工、模型训练和新数据产生

法规要求｜第18、19、34条等。 数据加工应与合法目的相符，对加工产生的新数据重新识别风险并采取相应保护措施。

落实与验收。

• 训练、画像、聚合、标签、分析等加工活动明确目的、数据范围、使用期限和访问主体。
• 使用高敏数据进行加工或训练时采取脱敏、最小化、隔离、审批等增强措施。
• 对加工形成的新数据重新评估敏感性和重要性，不能沿用旧标签直接判断。
• 训练集、特征库、中间结果和模型输出纳入数据资产与访问治理。

验收标准。

• 随机抽一个模型或分析任务：训练数据来自哪里，是否超出原始收集目的？
• 中间数据、特征和训练副本是否进入目录，还是长期游离在临时目录和个人空间？
• 聚合后的数据是否因为“看起来不再敏感”就失去访问控制？
• 训练任务结束后，临时数据和副本是否真的清理？

控制数据对外提供、委托和第三方使用

法规要求｜第21、22、28条等。 对数据提供、委托处理等活动建立安全管理和风险控制，重要数据等高风险场景按要求开展风险评估。

落实与验收。

• 建立接收方/受托方清单，明确给谁、给什么、为什么、保存多久、如何退出。
• 数据提供和委托前开展必要的准入评估和审批，合同明确用途、范围、安全措施、事件通知、再委托和退出要求。
• 重要数据、高敏数据和大规模数据提供进入增强评估。
• 合作终止后验证访问关闭、数据返还或删除。

验收标准。

• 从API、文件交换、供应商账号和合同反向生成第三方数据流清单，是否和台账一致？
• 抽一个供应商，实际可访问的数据是否超出合同和审批？
• 合作终止后，账号、接口和数据副本是否全部关闭或清理？
• 第三方发生安全事件时，是否有明确通知时限和响应联系人？

管住API和批量数据访问入口

法规要求｜第36条等。 数据接口应进行清单化、鉴权授权、安全测试、访问控制和异常监测。

落实与验收。

• 建立动态API清单，关联数据类型、调用方、认证方式、权限、限流、负责人和版本。
• 新建和重大变更接口投产前完成鉴权、授权、越权、批量访问和异常行为测试。
• 高风险数据接口禁止匿名访问，批量能力设置频控、配额和监测。
• 接口调用日志进入集中审计和异常检测。

验收标准。

• 从网关、服务注册和流量反查API清单，是否存在未登记接口？
• 随机抽一个高敏数据API，能否通过参数遍历、越权或批量分页绕过预期控制？
• 接口变更后是否重新做安全测试，还是沿用旧结论？
• 异常高频调用出现时，是否能在分钟级发现并定位调用方？

保证关键数据活动可追溯

法规要求｜第30条。 应按数据等级和具体要求保留数据处理活动相关日志，满足审计和事件调查需要。

落实与验收。

• 对关键访问、查询、导出、修改、删除、共享、接口调用和管理操作统一留痕。
• 日志包含足够的主体、对象、时间、来源、动作和结果信息，并实施防篡改、权限隔离和集中存储。
• 按法规要求落实不同数据等级的日志留存期限，不能以平台默认保留期替代。
• 日志能够与身份、审批、工单和事件记录关联。

验收标准。

• 随机抽一次高敏数据导出，能否从审批一直追到具体执行人、查询条件和导出结果？
• 任取一个历史日期，日志是否仍可检索且字段完整？
• DBA或日志平台管理员能否无痕删除审计日志？
• 不同系统时间、身份和日志格式是否能在事件中形成完整时间线？

持续开展风险监测、评估、审计和培训

法规要求｜第39—45条等。 数据处理者应持续监测数据安全风险；重要数据处理者按要求开展风险评估、应急演练和合规审计，不同主体适用相应周期要求。

落实与验收。

• 联动DLP、数据库审计、SIEM、终端、API、账号和外部泄露情报形成风险监测。
• 按法规要求开展年度风险评估、周期性合规审计和应急演练，并将问题转化为整改任务。
• 对监管通报、重大漏洞、重大架构变化和重大事件触发专项检查。
• 评估和审计不仅看制度，还要抽样验证真实运行数据和控制效果。

验收标准。

• 最近一次评估/审计发现了什么实质性问题？如果连续多年“零问题”，抽样方法是否有效？
• 风险监测发现异常后，是否真正进入事件、整改或例外流程？
• 演练是否覆盖负责人不可达、日志不完整、数据泄露范围暂不清楚等真实困难？
• 监管通报要求核查时，是否能快速定位受影响系统、数据和责任人？

建立数据安全事件应急与报告能力

法规要求｜第43、44条等。 数据处理者应建立数据安全事件应急机制并按要求处置、报告和演练。

落实与验收。

• 建立事件发现、分级、止损、取证、影响评估、报告、通知、恢复和复盘流程。
• 将数据安全事件与网络安全、个人信息保护、人民银行4号令及其他行业事件报告义务做并行映射。
• 预案中明确决策人、监管联系人、备用渠道和关键系统取数方法。
• 按法规频次组织演练，并根据真实事件和演练问题持续修订预案。

验收标准。

• 从一次真实异常访问或泄露线索穿行，何时被发现、谁升级、何时止损、何时判断报告？
• 给出“影响范围暂时不清楚但疑似重要数据泄露”的场景，是否会因为等待结论而延迟处置？
• 主负责人和报告渠道不可用时，备用链路是否真的能启动？
• 事件结束后，整改是否进入长期治理而不是只关闭事件单？

法规原文

以下保留法规原文用于具体条款核对和争议确认。

查看法规原文

中国人民银行业务领域数据安全管理办法

中国人民银行令〔2025〕第3号，2025年6月30日起施行。本页先给出面向安全负责人的实施解读，法规原文作为 Reference 保留在后半部分。

30 秒理解

这部办法要求中国人民银行业务领域的数据处理者建立一套可识别、可分级、可审批、可控制、可监测、可追溯、可审计、可应急的数据安全体系。重点不是“有没有制度”，而是数据处理活动是否真正受控、控制是否有效、证据是否可查。

核心可以压缩成八件事：

1. 建立并持续维护业务数据资源目录。
2. 同时做好重要性分级和敏感性分类，识别一般/重要/核心数据以及高敏感性数据项。
3. 按等级和敏感性实行差异化保护。
4. 对高敏感数据限制导出、明文展示、终端存储和互联网渠道传输。
5. 把权限、加工、提供、委托、接口等数据处理活动纳入全生命周期治理。
6. 建立风险监测、事件分级、报告和应急机制。
7. 用风险评估、合规审计和应急演练持续验证控制有效性。
8. 保留审批、日志、合同、评估、审计等可核验的合规证据。

适用范围

适用于在中国境内开展与中国人民银行业务领域数据相关处理活动的数据处理者，包括金融机构以及经中国人民银行批准设立或者认定的其他机构。还受到其他主管部门监管的，需要叠加遵守对应要求。

安全要求实施矩阵

安全要求	要做什么	建议实施方式	做到什么程度	条款
数据资源目录	知道有哪些业务数据、在哪些系统、属于什么业务	统一数据资产目录，自动扫描 + 人工确认	系统数据可映射到目录；每年至少更新一次	第8、10条
分类分级	同时识别个人信息、敏感性、可用性、一般/重要/核心数据	建立统一分类分级标准、标签和审批流程	结构化数据项原则上逐项有敏感性标识；重要/核心数据可识别、可申报	第7—10条
组织责任	明确责任部门、专业人员和重要数据负责人	RACI、数据安全治理机制、负责人任命	有正式职责、人员和奖惩机制；重要数据处理者有安全负责人和管理机构	第11条
制度与审批	规范收集、使用、导出、提供、委托等活动	建立制度、操作规程和线上审批	高风险处理活动可找到审批人、操作记录和责任人	第12条
权限与特权账号	控制 DBA 等特权账号和业务账号	IAM/RBAC、PAM、多因素认证、离转调回收、定期复核	最小权限、实名、可追溯；高敏数据账号支持 MFA 或二次授权	第14、29条
数据收集	确保来源合法、目的明确、数据真实	合规校验、合同约束、来源证明、录入校验	非公开数据能够提供同意/授权或合法来源佐证	第15条
数据存储	明确保留期限，减少高敏数据暴露	集中存储、加密、终端 DLP、备份与恢复	高敏数据原则上不落终端/移动介质；原则上加密存储；例外统一审批	第16、32条
使用与展示	限制高敏数据导出和明文展示	查询替代导出、脱敏、水印、下载审批	高敏数据原则上不导出；身份鉴别数据原则上只核验；非必要默认脱敏	第17、33条
加工与模型训练	确保加工目的与原收集目的相符	加工审批、训练数据治理、标注抽检、新数据重新分级	高敏数据加工有安全措施和审批；加工后的新数据重新评估敏感性	第18、19、34条
数据传输	防止高敏数据通过不可控渠道传播	专线/VPN、加密传输、安全文件交换、DLP	高敏数据原则上不通过邮件、IM、网盘、移动介质；对外传输原则上加密	第20、35条
对外提供与委托	管住接收方、受托方和后续用途	准入评估、合同安全条款、最小数据集、持续监督、退出清理	能回答“给谁、给什么、为什么、保护多久、何时删除”；重要数据事前风险评估	第21、22、28条
API 与前置网关	管住批量数据访问和接口变更	API 清单、鉴权、授权、限流、安全测试、异常监测	清单动态维护；变更投产前安全测试；高风险接口无匿名访问	第36条
日志审计	保证数据活动可追溯	数据库审计、API 日志、SIEM、日志防篡改	一般数据日志至少6个月；重要数据相关至少1年；核心数据相关至少3年	第30条
风险监测	发现泄露、异常处理、恶意程序、弱口令等风险	DLP、数据库审计、SIEM、舆情和黑产监测	能持续发现并立即处置风险；监管通报可快速核验反馈	第39—41条
风险评估	重要数据处理者定期验证风险状态	自评或委托第三方评估	每年一次；次年1月15日前报送上一年度报告	第42条
应急演练	验证数据安全事件预案可执行	桌面推演 + 技术演练	重要数据处理者每年至少一次；其他数据处理者每三年至少一次	第44条
合规审计	验证制度和技术控制是否真正执行	内部审计或第三方审计，抽样验证控制有效性	一般处理者每三年至少一次；重要数据处理者每年至少一次；重大/特别重大事件后专项审计	第45条
培训	让数据处理人员知道责任和应急动作	按岗位培训、考试和演练	每年组织相关人员培训并留存记录	第13条

最值得记住的硬要求

• 分类和分级是两个维度：一般/重要/核心数据解决国家与公共利益影响；敏感性分类解决个人、组织合法权益等影响，不能用一套标签简单替代。
• 高敏数据默认收紧：原则上不落终端、不直接导出、不明文展示、不走邮件/IM/网盘/移动介质；例外场景应集中列举、审批并留痕。
• 重要数据有更强基线：存储重要数据的信息系统应满足三级等保要求；核心数据应满足四级等保要求或者关基保护要求。
• 监管看“有效性”：不仅要有制度和系统，还要能拿出运行记录、日志、审批、整改和抽样验证结果。

CISO 自查

• 能否快速导出最新数据资源目录，并说明最近更新时间？
• 每个高敏数据项能否知道存在哪些系统、哪些账号可访问？
• 是否已识别重要数据/核心数据并按要求申报？
• 高敏数据导出、明文展示、终端存储、邮件/IM传输是否默认受限？
• 特权账号是否最小权限、强认证、可追溯，人员变动能及时回收？
• 数据对外提供和委托是否有审批、合同、接收方清单和退出机制？
• API 是否有清单、鉴权、授权、安全测试、日志和异常监控？
• 是否具备数据泄露、篡改、破坏事件的监测、分级、处置和报告能力？
• 最近一次应急演练、风险评估和合规审计是否满足监管频次？
• 每项关键控制能否拿出真实运行证据，而不只是制度文件？

---

Reference · 法规原文

以下保留法规原文，用于具体条款核对和争议确认。日常实施优先参考上方实施要求。

第一章 总 则

• 第一条 为规范中国人民银行业务领域数据的安全管理并促进开发利用，根据《中华人民共和国网络安全法》《中华人民共和国数据安全法》《中华人民共和国个人信息保护法》《中华人民共和国中国人民银行法》《网络数据安全管理条例》等法律、行政法规，制定本办法。
• 第二条 在中华人民共和国境内开展与中国人民银行业务领域数据相关的处理活动及其安全监督管理，适用本办法。其他有关主管部门有规定的，还应当依法遵守其规定。
  • 本办法所称中国人民银行业务领域，指依据法律、行政法规，党中央、国务院决定，由中国人民银行承担监督和管理职责的业务领域。
  • 本办法所称中国人民银行业务领域数据，指中国人民银行业务领域内产生和收集的不涉及国家秘密的网络数据（以下简称业务数据）。
  • 本办法所称数据处理者，指金融机构以及经中国人民银行批准设立或者认定的其他机构。
• 第三条 业务数据安全工作遵循“谁管业务，谁管业务数据，谁管数据安全”原则。中国人民银行对业务数据安全负指导监管责任。数据处理者应当履行数据安全保护义务，防范业务数据被篡改、破坏、泄露或者非法获取、非法利用等风险，保障国家安全、公共利益、个人及组织合法权益，尊重社会公德伦理，遵守商业道德和职业道德，保障业务数据依法有序自由流动。
• 第四条 在国家数据安全工作协调机制统筹协调下，中国人民银行及其分支机构按照本办法开展业务数据安全监督管理工作，加强与其他有关主管部门间的数据安全监督管理协作配合、信息沟通。
  • 相关金融行业协会应当加强自律管理，依法制定业务数据安全行为规范和团体标准，指导会员加强业务数据安全保护。
• 第五条 鼓励数据处理者积极开展业务数据安全创新应用，在保障安全合规前提下促进业务数据的高效流通和开发利用，鼓励在行业内推广优秀创新成果。

第二章 业务数据分类分级与总体要求

• 第六条 中国人民银行负责制定业务数据分类分级保护相关规范标准，指导业务数据分类分级保护工作，组织编制中国人民银行业务领域重要数据目录并实施动态管理。
• 第七条 数据处理者应当建立健全业务数据分类分级制度和操作规程。业务数据分类分级实施应当遵循制度规程，分类分级结果应当履行内部审批程序。
• 第八条 数据处理者应当建立业务数据资源目录，并从业务关联性、敏感性和可用性方面分别做好业务数据分类：
  • （一）标识各数据项是否为个人信息、是否为外部收集产生、存储该数据项的信息系统清单和关联的业务类别。
  • （二）根据业务数据遭到泄露或者被非法获取、非法利用时，对个人、组织合法权益或者公共利益等造成的危害程度开展敏感性分类。业务数据的结构化数据项应当逐一标识敏感性，业务数据的非结构化数据项应当优先按照可拆分的各结构化数据项所标识的最高敏感性，标识其敏感性。中国人民银行业务领域内的敏感个人信息、可能涉及商业秘密的客户经营信息、应当严格控制知悉范围的业务信息等，应当标识为高敏感性数据项。
  • （三）根据业务数据遭到篡改、破坏后对业务正常运行造成的影响程度，明确信息系统差异化的数据恢复点目标，视为对业务数据的可用性分类。
• 第九条 按照国家有关规定，将业务数据分为一般数据、重要数据、核心数据三级。重要数据是指特定领域、特定群体、特定区域或者达到一定精度和规模，一旦遭到篡改、破坏、泄露或者非法获取、非法利用，可能直接危害国家安全、经济运行、社会稳定、公共健康和安全的数据。核心数据是指对领域、群体、区域具有较高覆盖度或者达到较高精度、较大规模、一定深度，一旦被非法使用或者共享，可能直接影响政治安全的重要数据。
  • 中国人民银行按照国家有关规定组织确定重要数据具体目录，数据处理者应当准确识别、申报本机构存储的全量业务数据是否属于重要数据、核心数据，并填报重要数据具体目录内容。
  • 中国人民银行汇总形成重要数据具体目录，经国家数据安全工作协调机制审定后，确定重要数据的处理者并告知其对应的重要数据。
  • 除单独说明的情形外，本办法所列重要数据的保护义务，均适用于核心数据。
• 第十条 数据处理者应当每年至少更新一次业务数据资源目录，完整准确记录信息系统所存储数据项和对应标识内容。
• 第十一条 数据处理者应当切实履行业务数据安全保护责任，明确业务数据安全保护相关内设部门职责，配备与业务范围和服务规模相适应的数据安全专业人员，细化业务数据安全保护奖惩规程。
  • 面向社会提供产品、服务的数据处理者应当建立便捷的投诉、举报渠道，及时受理并处理业务数据安全有关投诉、举报。
  • 重要数据的处理者应当明确业务数据的安全负责人和管理机构。管理机构应当切实履行法律、行政法规已明确的各项责任。业务数据的安全负责人应当符合法律、行政法规已明确需具备的条件，并确保其能够有效履行数据安全保护义务，有权直接向中国人民银行报告业务数据安全情况。
• 第十二条 数据处理者应当建立健全全流程业务数据安全管理制度，结合业务数据分类分级明确差异化的安全保护措施，制定业务数据处理活动操作规程和业务数据安全相关内部审批授权规程，明确操作实施和审批授权记录的留存要求。
  • 不同敏感性数据项在同一个业务数据处理活动中被处理，且难以采取差异化安全保护措施的，应当采取高敏感性数据项对应的安全保护措施。
• 第十三条 数据处理者应当根据岗位分工，制定业务数据安全年度培训计划，每年组织业务数据处理活动参与人员开展相关教育培训。培训内容应当包括与业务数据安全相关的制度标准、风险防范常识、岗位责任、保护措施和事件应急处置要求。

第三章 全流程业务数据安全管理要求

• 第十四条 数据处理者应当严格管理处理业务数据相关信息系统数据库管理员账号等特权账号和各类业务处理账号的权限，人员变动时应当立即调整权限。数据处理者应当与可使用高敏感性数据项账号的人员签订保密协议。
  • 数据处理者存储核心数据的，应当对业务数据的安全负责人和可使用核心数据的关键岗位人员进行安全背景审查。
• 第十五条 数据处理者收集业务数据应当采取下列安全保护管理措施：
  • （一）除收集自行公开或者其他已经合法公开的业务数据的情形外，收集业务数据时应当依照法律、行政法规和中国人民银行相关规定取得个人同意或者组织授权，并落实相应告知义务。
  • （二）非直接面向个人、组织收集其尚未公开的业务数据的，应当在合同或者协议中明确数据提供方保障业务数据来源合法性、真实性的义务。数据提供方未取得个人书面同意或者组织书面授权的，还应当要求其出具业务数据来源依法合规和数据真实性的必要佐证材料。
  • （三）采用人工录入方式收集业务数据的，应当采取必要校验措施保障业务数据录入的准确性，按照相关管理要求留存业务数据收集原始凭证。
  • （四）原则上不收集图像等原始个人生物识别信息。确需收集的，应当统一规范管理相关需求场景。
  • （五）按照与数据提供方合同或者协议中约定的处理目的、方式、范围以及安全保护义务等开展收集和后续的业务数据处理活动。
• 第十六条 数据处理者应当根据业务需要，明确业务数据保存期限。除履行法定职责或者法定义务外，高敏感性数据项原则上不在终端设备和移动介质中存储，确需存储的，数据处理者应当统一规范管理相关需求场景。
• 第十七条 业务数据使用活动中，数据处理者使用高敏感性数据项，原则上不采取导出方式，使用用于身份鉴别的数据项原则上仅采取核验方式。确需采取导出方式使用高敏感性数据项或者采取其他方式使用用于身份鉴别的数据项的，数据处理者应当统一规范管理相关需求场景。
  • 除根据个人请求向其展示与其相关业务数据，以及履行法定职责或者法定义务所需外，数据处理者原则上须实施脱敏处理后再展示高敏感性数据项。确需不脱敏展示的，数据处理者应当统一规范管理相关需求场景。
• 第十八条 数据处理者应当审查业务数据加工目的与业务数据收集约定是否一致；需要训练业务数据的，应当审查训练业务数据的真实性、准确性、客观性、多样性；需要标注业务数据的，应当抽样审查标注的合理性与准确性；需要建立模型评价激励规则的，应当审查评价激励规则是否尊重社会公德伦理、遵守商业道德和职业道德。
  • 业务数据加工活动中，数据处理者加工高敏感性数据项的，应当进一步明确应当采取的安全保护措施，并履行内部审批程序；基于加工生成的数据项面向个人提供自动化决策服务的，应当以适当方式向个人解释说明处理目的、用于加工的个人信息种类和加工规则。
• 第十九条 对于业务数据加工活动产生新数据项，经评估其敏感性明显低于加工所使用数据项的，数据处理者可遵循规程降低其敏感性标识，促进依法合规开发利用。
  • 对于业务数据加工活动产生新数据项，经评估其敏感性明显高于加工所使用数据项的，数据处理者应当提高其敏感性标识，并加强业务数据安全保护。
• 第二十条 除根据个人请求向其传输与其相关业务数据外，数据处理者原则上不使用邮件、即时通讯、在线文件存储等互联网信息服务或者移动介质传输高敏感性数据项。确有需要的，数据处理者应当统一规范管理相关需求场景。
• 第二十一条 从事业务所需的业务数据提供活动，数据处理者应当核验数据接收方身份，并采取下列安全保护管理措施：
  • （一）对于涉及个人信息的业务数据提供活动，应当评估是否遵守法律、行政法规要求。对于其他业务数据提供活动，应当评估是否符合保守商业秘密的约定。
  • （二）向其他数据处理者提供业务数据涉及个人信息和重要数据的，应当在合同或者协议中明确各自的数据安全保护义务，需要采取的安全保护措施，数据提供的目的、方式、范围，数据允许存储时限，数据提供至第三方的限制和数据安全事件告知义务，并对数据接收方履行约定义务的情况进行监督。
  • （三）按照约定做好业务数据清洗转换，对提供数据的真实性作必要审查，不得误导数据接收方。
  • （四）除委托处理情形外，原则上不采取导出方式向其他数据处理者提供高敏感性数据项，用于身份鉴别的数据项原则上须采取核验方式提供。确需采取导出方式提供高敏感性数据项或者采取其他方式使用用于身份鉴别的数据项的，数据处理者应当统一规范管理相关需求场景。
• 第二十二条 数据处理者向其他数据处理者提供、委托处理、共同处理重要数据前，应当依照法律、行政法规和中国人民银行相关规定进行风险评估，并重点评估数据接收方数据处理目的和方式的合法正当性、数据项列表的需求合理性、数据活动的潜在安全风险、数据接收方诚信守法情况、合同或者协议内容的完备性、拟采取的安全保护措施等。
  • 除履行法定职责或者法定义务外，数据处理者向其他数据处理者提供核心数据达到国家规定情形的，在提供业务数据之前应当经中国人民银行报国家数据安全工作协调机制开展风险评估。数据处理者不得通过拆分、转换等手段规避上述义务。
  • 重要数据的处理者因合并、分立、解散、破产等可能影响重要数据安全的，应当依照法律、行政法规要求，事前向中国人民银行或者住所地中国人民银行省级分支机构报告重要数据处置方案，在方案中说明重要数据目录内容更新情况、数据接收方的名称或者姓名和联系方式等。
• 第二十三条 数据处理者采用隐私计算等技术促进业务数据融合创新应用的，应当落实本办法第二十一条第一项至第三项要求，并确认除本机构外其他数据处理者无法使用未加密原始数据、与其他数据融合创新应用活动作关联分析无法泄露约定范围外的信息。
• 第二十四条 数据处理者因业务等需要向中华人民共和国境外提供数据，存在国家网信部门规定情形的，应当严格遵守其有关规定；法律、行政法规和中国人民银行相关规定有境内存储要求的，业务数据还应当同时在中华人民共和国境内存储。
  • 符合国家网信部门规定应当申报数据出境安全评估或者开展保护认证等情形的，数据处理者不得对业务数据采取拆分、转换等手段规避相关义务。
• 第二十五条 中国人民银行根据有关法律和中华人民共和国缔结或者参加的国际条约、协定，或者按照平等互惠原则，处理外国金融执法机构关于提供业务数据的请求。
• 第二十六条 数据处理者应当审核业务数据公开活动的目的、数据项列表、渠道、时限和脱敏处理情况，分析研判可能产生的不利影响，审查业务数据的合法性、真实性，并通过本机构明确的官方渠道公开业务数据。确需通过其他渠道公开的，应当明确采用的安全保护措施并履行内部审批程序。
  • 业务数据处理活动中，数据处理者不得公开用于身份鉴别的数据项，公开其他高敏感性数据项原则上须作脱敏处理。确需不作脱敏处理的，数据处理者应当统一规范管理相关需求场景。
• 第二十七条 数据处理者应当依照法律、行政法规和中国人民银行相关规定，主动删除处理目的已实现、处理目的无法实现、为实现处理目的不再必要或者约定保存期限已届满等情形的业务数据。
  • 删除业务数据从技术上难以实现的，数据处理者应当停止除存储和采取必要的安全保护措施之外的业务数据处理活动，并每年至少实施一次审查，确认相关业务数据不可被使用。
• 第二十八条 数据处理者委托处理业务数据，除落实本办法第二十一条第二项要求外，还应当在合同或者协议中明确受托人需报告的重要事项、委托处理事项完成后传输和删除业务数据的实施方式与时限要求、配合本机构监督其委托处理活动等义务，并采取定期评估等方式监督受托人履约情况。涉及核心数据的委托处理活动，数据处理者应当事前对受托人开展尽职调查，进一步加强对其的监督。
  • 数据处理者应当将业务数据委托处理活动纳入业务或者信息科技外包管理体系，加强风险管理。
  • 中国人民银行已明确要求不得以外包形式开展业务的，相关业务数据不得委托处理。

第四章 全流程业务数据安全技术要求

• 第二十九条 数据处理者应当加强访问控制，采取有效技术措施管控业务数据处理账号的数据使用权限，明确特权账号的使用场景并加强使用时的内部审批授权。使用特权账号实施业务数据新增、删除、修改等人工操作时应当逐一开展事前审批和事后审查。使用特权账号开展自动化操作前应当对操作正确性和安全性进行必要检查。
  • 数据处理者应当加强安全认证，保障业务数据处理账号和特权账号认证口令的强度，限制验证失败重试次数，可使用高敏感性数据项的账号应当支持多因素认证或者二次授权确认，并建立超时退出、访问通信地址变化等情形的重新验证机制。
• 第三十条 数据处理者应当规范日志记录，明确业务数据处理活动日志记录信息，满足数据安全风险溯源和事件处置需要。
  • 业务数据处理活动日志记录高敏感性数据项原则上须经脱敏处理。确需不脱敏处理的，数据处理者应当统一规范管理相关需求场景。
  • 数据处理者应当将业务数据处理活动日志纳入业务数据分类分级管理，落实安全保护要求。
  • 数据处理者应当留存业务数据处理活动日志至少六个月；对于与存储重要数据信息系统相关的业务数据处理活动日志，应当留存至少一年；对于与存储核心数据信息系统相关的业务数据处理活动日志，应当留存至少三年。
  • 数据处理者向其他数据处理者提供、委托处理个人信息、重要数据的业务数据处理活动日志等记录，应当留存至少三年。
• 第三十一条 数据处理者应当优先采用直接录入或者信息系统间交互的方式收集业务数据。采用直接录入方式收集业务数据的，应当验证录入人身份；采用信息系统间交互方式收集高敏感性数据项的，应当验证数据提供方身份。
  • 数据处理者应当采取关联信息交叉核验等技术措施，尽可能保障收集业务数据的准确性。
  • 数据处理者采用自动化工具方式从其他数据处理者收集业务数据的，应当遵守其数据收集的控制规则，不得干扰网络服务正常运行，不得侵害其他机构网络服务合法运营权益。
• 第三十二条 数据处理者应当针对业务数据存储活动采取下列安全保护措施：
  • （一）有效隔离信息系统开发测试环境与生产环境。
  • （二）存储重要数据的信息系统应当满足三级网络安全等级保护要求，存储核心数据的信息系统应当满足四级网络安全等级保护要求或者关键信息基础设施保护要求，并优先采购安全可信的网络产品和服务。
  • （三）原则上高敏感性数据项须加密存储，确需不加密存储的，数据处理者应当统一规范管理相关需求场景。中国人民银行对业务数据存储有使用商用密码保护特别规定的，按照其规定执行。
  • （四）及时评估并调整业务数据存储承载容量。对照信息系统数据恢复点目标，做好生产环境业务数据冗余备份，按照中国人民银行要求定期验证冗余备份业务数据的可用性。评估备份技术措施是否具备防范生产环境业务数据和冗余备份业务数据同时遭到篡改、破坏等风险的能力，并针对性加强安全保护措施。
• 第三十三条 数据处理者应当明确高敏感性数据项的脱敏处理策略，切实降低脱敏业务数据仍可识别至特定个人、组织的风险。
  • 数据处理者应当建立终端设备安全管控策略，明确安全防护措施要求。业务数据展示、打印时应当采取技术措施标识当前使用业务数据的业务处理账号和使用时间。
  • 除开发测试环境与生产环境业务数据安全保护措施完全一致的情形外，生产环境数据项用于开发测试环境的，应当履行内部审批程序并实施脱敏处理。
• 第三十四条 数据处理者应当建立业务数据加工算法风险评估和控制策略，明确可解释性、脆弱性等风险对应的防范或者缓释措施和停止使用加工算法开展自动化决策时的替代方案。
• 第三十五条 数据处理者应当针对业务数据传输活动采取下列安全保护措施：
  • （一）优先采取专用线路、虚拟专用网等技术加强业务数据传输安全保护。
  • （二）健全访问控制和安全隔离策略，加强相关终端设备准入控制。
  • （三）原则上高敏感性数据项须加密传输至其他数据处理者、其他数据中心或者互联网。确需不加密传输的，数据处理者应当统一规范管理相关需求场景。中国人民银行对业务数据传输有使用商用密码保护特别规定的，按照其规定执行。
  • （四）及时评估并调整通信线路的传输承载容量，加强通信线路和相关软硬件设备的冗余备份。
• 第三十六条 数据处理者应当动态维护本机构提供业务数据的前置网关和应用程序接口清单，并在前置网关和应用程序接口变更投产前开展安全测试，发现风险隐患立即采取补救措施。
  • 数据处理者采用隐私计算等技术提供业务数据的，应当建立技术风险评估和控制策略，明确安全不可验证、性能不可接受等风险的应对措施。
• 第三十七条 数据处理者应当制定本机构公开的业务数据是否允许自动化工具收集的控制规则，并采取必要技术措施保障公开的业务数据不被篡改。
• 第三十八条 数据处理者应当明确业务数据存储介质销毁策略，规范销毁实施方式和过程监督程序。

第五章 业务数据安全风险与事件管理

• 第三十九条 数据处理者应当加强业务数据处理活动风险监测，有效识别下列风险并立即采取补救措施：
  • （一）存在法律、行政法规禁止发布传输的信息。
  • （二）存在计算机病毒、木马、勒索等恶意程序，数据安全漏洞、认证口令强度偏低等缺陷。
  • （三）高敏感性数据项安全保护措施失效。
  • （四）异常的业务数据处理活动。
  • （五）业务数据传输或者存储承载能力不足。
• 第四十条 数据处理者应当加强对业务数据泄露、业务数据被非法兜售、仿冒本机构身份处理业务数据，以及其他与本机构有关的业务数据安全负面舆情的风险监测，发现相关风险时应当立即核实处置。
• 第四十一条 中国人民银行及其分支机构通报与业务数据相关的数据安全缺陷、漏洞等风险时，数据处理者应当立即核实处置，并根据通报要求按时准确反馈情况。
  • 鼓励数据处理者向中国人民银行及其分支机构提供具有行业共享价值的业务数据安全风险情报。
• 第四十二条 重要数据的处理者应当自行或者委托第三方评估机构，每年对业务数据开展一次风险评估，并于每年1月15日前向中国人民银行或者住所地中国人民银行省级分支机构报送上一年度风险评估报告。除法律、行政法规已明确应当评估的内容外，风险评估报告还应当包含与存储重要数据信息系统相关的人员培训与日常管理情况，与业务数据相关的岗位职责落实情况、网络安全等级保护测评和整改情况、保护措施执行情况、本年度风险监测和事件处置情况，以及中国人民银行要求的其他评估内容。
• 第四十三条 数据处理者应当按照国家网络安全事件应急预案有关事件分级要求，综合考虑影响范围和程度，明确业务数据安全事件对应的分级标准：
  • （一）业务数据被篡改、破坏事件分级的标准应当考虑信息系统数据恢复点目标、无法正常提供服务时长、受影响业务笔数和金额、受影响个人或者组织数量、损失的不同敏感性数据项和对应规模等因素。
  • （二）业务数据泄露事件分级的标准应当考虑受影响个人或者组织数量、泄露的不同敏感性数据项和对应规模等因素。
  • （三）涉及核心数据、重要数据泄露或者被篡改、破坏的安全事件，应当分别分级为特别重大事件、重大事件。
• 第四十四条 数据处理者应当做好业务数据安全事件分级，发生业务数据安全事件时，应当立即采取处置措施，按照规定及时告知用户并按照中国人民银行要求及时、准确、完整报告事件情况。
  • 数据接收方、委托处理受托人发生与数据处理者所提供业务数据相关的数据安全事件的，数据处理者应当开展调查评估，督促相关机构立即采取补救措施并向有关主管部门报告。
  • 重要数据的处理者应当每年至少开展一次针对业务数据安全事件的应急演练，其他数据处理者应当每三年至少开展一次针对业务数据安全事件的应急演练。
• 第四十五条 数据处理者应当对照法律、行政法规和本办法所列安全保护措施要求，以及本机构业务数据安全相关管理制度和操作规程的执行情况，每三年至少开展一次业务数据安全合规审计，重要数据的处理者应当每年至少开展一次与重要数据安全相关的合规审计。发生重大或者特别重大事件后，应当开展专项审计。审计应当重点关注业务数据资源目录是否及时更新、相关信息系统账号权限管理是否严密、业务数据处理活动相关合同或者协议是否完备、高敏感性数据项安全保护措施是否有效、数据委托处理受托人管理职责是否落实、前置网关和应用程序接口是否持续安全维护、数据安全风险监测是否有效、数据安全风险与事件处置是否及时、数据出境是否合规、数据安全投诉处理是否及时等情况。
• 第四十六条 数据处理者应当加强风险评估人员和审计人员使用业务数据权限的管理，采取必要措施确保实施过程的业务数据安全。
  • 与业务数据相关的风险评估报告和审计报告记录高敏感性数据项时应当进行脱敏处理。
  • 数据处理者委托第三方评估机构、审计机构开展与业务数据相关的风险评估或者审计工作的，应当在合同或者协议中明确其数据安全保护义务和对应责任，指定本机构人员全程参与。涉及会计审计服务的，还应当按照国家网信部门和财政部门要求，进一步加强相关业务数据安全保护。

第六章 法律责任

• 第四十七条 中国人民银行及其分支机构发现数据处理者的业务数据处理活动存在较大安全风险时，可以对其进行约谈和要求其采取措施进行整改；发现影响或者可能影响国家安全的业务数据处理活动线索时，可以要求数据处理者按照国家有关规定进行国家安全审查。
  • 中国人民银行及其分支机构按照职责可以对数据处理者与业务数据相关的数据安全保护义务落实情况开展执法检查，必要时可以与其他有关主管部门联合实施执法检查。
• 第四十八条 中国人民银行及其分支机构发现数据处理者在业务数据处理活动中未履行数据出境安全评估或者保护认证等义务的，应当将相关案件信息移送同级网信部门，并配合其予以处理。
• 第四十九条 数据处理者未履行本办法规定的数据安全保护义务，有下列情形之一的，中国人民银行及其分支机构依照《中华人民共和国数据安全法》第四十五条予以处罚：
  • （一）未依照法律、行政法规对应规定，建立健全全流程业务数据安全管理制度的。
  • （二）未依照法律、行政法规对应规定，组织开展业务数据安全教育培训的。
  • （三）未依照法律、行政法规对应规定，采取相应的技术措施和其他必要措施，保障业务数据安全的。
  • （四）重要数据的处理者未明确业务数据安全负责人和管理机构的。
  • （五）未有效监测业务数据安全风险的。
  • （六）发现业务数据安全风险未立即采取补救措施的。
  • （七）发生业务数据安全事件未立即采取处置措施，未及时告知用户，或者未按照要求报告事件情况的。
  • （八）重要数据的处理者未每年对业务数据开展一次风险评估，或者未按照要求报送风险评估报告的。
• 第五十条 中国人民银行及其分支机构发现数据处理者开展业务数据处理活动排除、限制竞争，或者损害个人、组织合法权益的，依照相关法律、行政法规予以处理，属于其他有关主管部门管理职责的，移送相关案件信息并配合其予以处理。
• 第五十一条 中国人民银行及其分支机构发现数据处理者开展业务数据处理活动，涉嫌构成违反治安管理行为或者构成犯罪的，将相关案件信息移送同级公安机关、国家安全机关等有关主管部门，并配合其予以处理。
• 第五十二条 数据处理者发生业务数据安全事件造成危害后果，如能证明本机构已按照规定采取数据安全保护措施，并立即采取补救措施的，应当对其从轻或者减轻行政处罚。
  • 数据处理者积极提供数据安全风险情报，协助及时发现重大业务数据安全风险的，应当对其未履行数据安全保护义务但尚未造成危害后果的行为，从轻或者减轻行政处罚。
• 第五十三条 中国人民银行及其分支机构工作人员在业务数据处理活动的安全监督管理过程中存在玩忽职守、滥用职权、徇私舞弊情形的，依法给予处分。

第七章 附 则

• 第五十四条 术语定义：
  • （一）数据项，是指描述网络数据结构最基本的、不可分割的单位。
  • （二）结构化数据项，是指具有预定义的抽象描述数据类型，通常为使用数据库二维逻辑表单一字段指代的数据项。
  • （三）非结构化数据项，是指不适宜用数据库二维逻辑表展现的数据项，如图像、视频、音频、文档文件等。
  • （四）终端设备，是指数据处理者在业务数据处理活动中所用的计算机终端、移动智能终端、音视频和多媒体设备、其他专用终端设备。
  • （五）导出方式，是指数据使用或者提供活动中，将原本具有严格访问权限控制和访问日志记录的业务数据，转换成未实施严格访问控制或者无访问日志记录的文档文件的操作方式。
  • （六）核验方式，是指业务数据使用或者提供活动中，经核实验证后，仅反馈与存储业务数据是否匹配的操作方式。
  • （七）统一规范管理，是指数据处理者在本机构制度或者操作规程中对不执行本办法所提原则性合规要求的情形予以集中列举，并说明保留此类情形的必要性、对应需采取的安全保护措施和需履行的必要内部审批程序。
• 第五十五条 本办法由中国人民银行负责解释。
• 第五十六条 本办法自2025年6月30日起施行。