网信办发布征求意见稿：金融信息服务数据分类分级将更细化

政策动向：以数据安全为主线完善金融信息服务治理

2026年1月24日，国家互联网信息办公室发布通知，公开征求《金融信息服务数据分类分级指南（征求意见稿）》意见。文件强调以规范金融信息服务数据处理活动、提升数据安全水平为目标，并以网络安全法、数据安全法、个人信息保护法、网络数据安全管理条例及相关规定为依据推进制度细化。

从监管逻辑看，金融信息服务覆盖宏观数据、市场行情、研究资讯、用户行为与交易数据等多种类型数据，一旦发生泄露、篡改或非法共享，可能对金融市场运行、公共利益与个人权益造成外溢影响。因此，分类分级成为将“原则性要求”转化为“可执行规则”的关键环节。

分类更清晰：按业务属性分为三大一级类别

征求意见稿提出，金融信息服务数据按业务属性可分为业务数据、用户数据、企业数据三大类，并继续细分至二级、三级分类。以业务数据为例，可覆盖金融市场数据、宏观经济数据、行业指标数据、组织机构数据、资讯报告数据等；用户数据则区分个人与机构，并涵盖基本信息、交易数据、生物特征识别信息等；企业数据则涉及经营管理与系统运维等。

这意味着企业在开展合规治理时，不能只以“是否敏感”作为粗略划分，而需将数据与其业务属性、使用目的、用户对象、公开状态等要素联动，形成可追溯的分类清单。对跨系统融合的数据产品而言，分类结果也将影响其对外提供方式、授权机制与风险评估路径。

分级更具体：四级体系与影响对象分析

在分级方面，征求意见稿提出四级体系：核心数据、重要数据、敏感一般数据、常规一般数据，并强调根据数据的重要程度、敏感程度以及发生风险后对国家安全、经济运行、社会秩序、公共利益、组织权益、个人权益等造成的危害程度综合确定。文件还列出覆盖度、时间跨度、精度、公开状态、地域等分级要素，便于形成相对统一的评估口径。

值得注意的是，征求意见稿对数据集级别提出“就高从严”的思路：当数据集包含多个数据项时，可将最高级别作为数据集级别；对已被主管部门或地区标准告知或公开发布为核心或重要的数据，也应相应定级。这将倒逼企业把“分级评估”做成动态管理工作，而非一次性合规文件。

实施路径：清单化、目录化与动态更新

征求意见稿提出了数据分类分级流程：数据资源梳理、数据分类、数据分级、形成分类分级清单，并按要求报送重要数据目录，同时对分类分级结果进行定期复核与更新。对行业而言，这将推动金融信息服务提供者更系统地建设数据台账、权限矩阵、脱敏与审计能力，并在发生业务扩张、数据融合、加工方式变化时及时调整数据级别与安全策略。

目前文件仍处于征求意见阶段。对于机构与企业来说，反馈重点可能包括：分类颗粒度是否匹配现有业务结构、重要数据识别标准在不同产品形态中的适用性、第三方合作与供应链场景下的责任划分、以及动态更新的频度与成本等。随着意见征集推进，最终版本如何平衡可操作性与风险防控力度，值得持续关注。