中新經緯12月27日電 據(jù)國家金融監(jiān)督管理總局網(wǎng)站消息，該局近日制定《銀行保險機構數(shù)據(jù)安全管理辦法》(以下簡稱《辦法》)。《辦法》規(guī)定，銀行保險機構不得過度收集個人信息；不得以個人不同意處理其個人信息或者撤回同意為由，拒絕提供產品或者服務，處理個人信息屬于提供產品或者服務所必需的除外。

　　《辦法》要求銀行保險機構制定數(shù)據(jù)分類分級保護制度，建立數(shù)據(jù)目錄和分類分級規(guī)范，動態(tài)管理和維護數(shù)據(jù)目錄，并采取差異化的安全保護措施。

　　在數(shù)據(jù)分類方面，對機構業(yè)務及經營管理過程中獲取、產生的數(shù)據(jù)進行分類管理，具體類型包括客戶數(shù)據(jù)、業(yè)務數(shù)據(jù)、經營管理數(shù)據(jù)、系統(tǒng)運行和安全管理數(shù)據(jù)等。

　　在數(shù)據(jù)分級方面，銀行保險機構應根據(jù)數(shù)據(jù)的重要性和敏感程度，將數(shù)據(jù)分為核心數(shù)據(jù)、重要數(shù)據(jù)、一般數(shù)據(jù)，其中一般數(shù)據(jù)細分為敏感數(shù)據(jù)和其他一般數(shù)據(jù)；當數(shù)據(jù)的業(yè)務屬性、重要程度和可能造成的危害程度發(fā)生變化，導致安全級別不再適用的，及時進行動態(tài)調整。

　　《辦法》要求銀行保險機構按照國家政策要求，根據(jù)自身發(fā)展戰(zhàn)略，制定數(shù)據(jù)安全保護策略；根據(jù)數(shù)據(jù)處理目的、性質和范圍，按照法律法規(guī)和倫理道德規(guī)范要求，對相關數(shù)據(jù)業(yè)務處理活動進行安全評估，分析數(shù)據(jù)安全風險和對數(shù)據(jù)主體權益影響，評估數(shù)據(jù)處理的必要性、合規(guī)性及防控措施的有效性；收集數(shù)據(jù)應堅持“合法、正當、必要、誠信”原則，明確數(shù)據(jù)收集和處理的目的、方式、范圍、規(guī)則，保障收集過程的數(shù)據(jù)安全性、數(shù)據(jù)來源可追溯；在數(shù)據(jù)集團內部共享的過程中，應建立總行(公司)與其子公司數(shù)據(jù)安全隔離的“防火墻”，并對共享數(shù)據(jù)采取有效保護措施；《辦法》還對數(shù)據(jù)加工、委托處理、共同處理、數(shù)據(jù)轉移、數(shù)據(jù)跨境等具體的數(shù)據(jù)處理場景分別提出了相應安全管理要求。

　　在個人信息保護方面，《辦法》單獨設置“個人信息保護”章節(jié)，以進一步落實《數(shù)據(jù)安全法》《個人信息保護法》等上位法要求，體現(xiàn)保護消費者信息和權益的政策導向。主要規(guī)定包括：銀行保險機構處理個人信息應按照“明確告知、授權同意”的原則實施，并限于實現(xiàn)金融業(yè)務處理目的的最小范圍，不得過度收集個人信息。處理、共享和對外提供個人信息時，應當履行必要的告知義務，并取得必要同意。不得以個人不同意處理其個人信息或者撤回同意為由，拒絕提供產品或者服務，處理個人信息屬于提供產品或者服務所必需的除外。在開展涉及對個人權益有重大影響的個人信息處理活動時，應當進行個人信息保護影響評估。委托第三方處理個人信息時，應明確受托人對個人信息的保護義務、保護措施和期限等。發(fā)生或者可能發(fā)生個人信息泄露、篡改、丟失的，銀行保險機構應當立即采取補救措施，并向監(jiān)管部門報告。(中新經緯APP)