2020中国金融数据跨境流动监管政策报告会员免费优质

图表 1：数据跨境传输有关规范性文件数量

金融行业监管部门数据跨境规制体系 01 纵向分析 02监管层次1：数据本地化的要求 02监管层次2：数据出境要求 06 监管层次3：数据保密要求 09监管层次4：其他数据跨境活动要求 13横向分析 14 《网络安全法》数据跨境规制体系 17 主体：关键信息基础设施运营者（CIIO） 17客体：个人信息/重要数据 22要求：安全评估 27《网络安全法》数据跨境规制体系小结 28结语 29参考文章 30附录 31相关规范性文件 31目录 CONTENTS

金融行业监管部门数据跨境规制体系根据我们对金融行业监管部门数据跨境流动方面的规范性文件的检索和分析，我们将金融行业的监管分为四个层次，分别为：数据本地化的要求、数据出境的要求、数据保密要求以及其他数据跨境要求。下文将进行纵向、横向的交叉分析和要点提示，以期能为金融机构从业者提供内部数据治理及数据全球化部署这一“必修课”提供参考和帮助。图表 2：不同类别的规范性文件数量01

纵向分析监管层次1：数据本地化的要求1.1数据本地化要求条文梳理0212354

036789101112

0413141516

1.2数据本地化要求要点提示1.2.1数据本地化可以理解为对数据信息的境内存储要求，通过要求相关数据信息在某国家或区域范围内进行存储，来实现对特定数据信息相对独立自主的占用、处理、管理效果。1.2.2数据本地化的要求并非近年才有。通过上表我们可以看到，2006年银监会在《电子银行行业务管理办法》中，已就中资银行的相关运营系统和服务器做出了设置在境内的要求。除金融数据以外，我们还检索到1982年《关于对外合作开采海洋石油资源资料管理的规定》中要求“运往国外的原始资料，在复制或使用完毕后，应及时运回中国境内保存”。也即，在数据信息的跨境流动还未像当下如此便捷和频繁的时期，国家已对特定数据信息做出了本地化的要求。1.2.3数据本地化不仅针对数据信息还针对数据信息的载体。比如，上表中《中国人民银行关于银行业金融机构做好个人金融信息保护工作的通知》中的数据本地化客体是“个人金融信息”，但《电子银行业务管理办法》、央行上海分行《关于银行业金融机构做好个人金融信息保护工作有关问题的通知》、《中国银行业监督管理委员会中资商业银行行政许可事项实施办法》、《非银行支付机构网络支付业务管理办法》等文件都对相关金融机构或第三方支付机构的运营系统/业务处理系统/存储数据设备这类数据信息的载体做出设置在境内的要求。1.2.4数据本地化存储的方式一般包括境内物理服务器或云服务器。在“数据上云”越来越普遍的当下，我们也应关注到如果使用云服务存储数据信息应当如何应对数据本地化的要求。尽管目前我们还未检索到对“境内存储”的存储方式作出明确规定的金融行业监管规范性文件，但从2018年8月《国务院办公厅关于加强政府网站域名管理的通知》中提出的，对于“自行建设运维的政府网站服务器不得放在境外；租用网络虚拟空间的，所租用的空间应当位于服务商的境内节点”我们可以分析出，如果相关数据信息有境内存储要求，且企业选择云服务器进行存储的情况下，应当注重选择服务商境内节点所提供的云服务。05

监管层次2：数据出境要求2.1数据出境要求条文梳理061234

2.2数据出境要求要点提示2.2.1对于个人金融信息出境的要求逐步明确。对比上表中规范性文件对于个人金融信息出境的限制要求，我们可以看到如下图中的变化。一方面对于个人金融信息出境的限制不再一刀切，将金融机构跨境开展业务的需要纳入跨境传输监管的考量因素之中；另一方面，出境的条件要求逐渐增多，以严格把控个人金融信息跨境传输可能出现的风险。075678

2.2.2数据信息的范围可解释空间较大，需要从业机构审慎把握。数据出境要求主要涉及的数据信息类型包括个人金融信息、企业和个人信用信息、证券业务活动有关的文件或资料、因反洗钱/反恐怖融资义务获取的客户身份资料和交易信息，其中前三类信息的范围规定都较为宽泛，留有较大的解释空间。如，对个人金融信息的范围限定上，相关文件都有类似“金融机构在与个人建立业务关系过程中获取、保存的其他个人信息”、“ 及其他反映特定...