重点行业分类分级规则与实践第04页

01 · 行业规则总览

注：各行业细则持续更新，执行时以主管部门最新公布版本为准；尚无专门细则的行业，按GB/T 43697-2024通用规则执行。

02 · 工业和信息化领域

2.1 《工业和信息化领域数据安全管理办法（试行）》要点

工信部于2022年12月印发该办法，2023年1月1日施行，是《数据安全法》施行后首个行业性数据安全部门规章。其制度设计对本课题最具参照价值：

• 三级管理：工业和电信数据分为一般数据、重要数据、核心数据三级。重要数据是指一旦遭到篡改、破坏、泄露或者非法获取、非法利用，可能危害国家安全、经济运行、社会稳定、公共健康和安全等的数据；核心数据则是关系国家安全、国民经济命脉、重要民生、重大公共利益等的数据——与GB/T 43697-2024的通用定义完全对齐。
• 目录备案：工信部统筹建立重要数据和核心数据目录管理机制；要求企业对本单位重要数据和核心数据进行识别认定并形成目录，按规定报属地行业主管部门备案。这是"组织识别→目录备案→监管掌握"闭环的行业样板（第7页流程的参照系）。
• 分级保护义务：不同级别数据在访问权限、加密、备份、销毁等环节适用差异化措施；重要数据和核心数据处理者须明确责任人、建立管理制度、开展风险评估。
• 监管机制：属地监管与抽查、风险监测、事件通报与应急处置要求，企业数据安全工作纳入监督检查范围。

2.2 工业领域试点的经验

办法出台前，工信部于2022年部署了工业领域数据安全管理试点，覆盖原材料、装备制造、消费品、电子信息等行业和多个省份，验证了"重要数据识别—目录备案—风险评估"流程的行业适配性，为办法的正式条款提供了实践依据。对工业企业的启示：识别工作必须下沉到产线、工艺、配方等具体业务场景，而非停留在IT系统层面。

03 · 金融业

3.1 JR/T 0197-2020《金融数据安全 数据安全分级指南》

中国人民银行2020年发布的这项金融行业标准，将金融数据安全级别划分为五级，从低到高逐级提升管控强度：低级别数据（如已公开的产品信息）适用基线保护，高级别数据（如大规模客户敏感信息、核心交易数据）适用最严格的访问控制、加密与审批要求。该标准与GB/T 43697-2024的关系是"行业细则优先"：金融数据定级先按JR/T 0197执行，再与通用三级（重要/核心）对应——通常JR/T 0197的第4、5级数据与"重要数据"区间高度重合，最终是否构成重要数据以人民银行目录与认定口径为准。

3.2 人民银行《中国人民银行业务领域数据安全管理办法》（中国人民银行令〔2025〕第3号，2025年6月30日施行）

• 适用范围：中国人民银行履职过程中涉及的业务领域数据相关处理活动，覆盖人民银行系统各单位及受其监督管理的相关主体。
• 数据分类分级要求：要求建立健全数据分类分级制度，明确数据安全责任人，按级别实施差异化保护措施。
• 监督管理：将数据安全管理情况纳入监督检查范围，为央行业务领域数据安全提供了部门规章层级的依据。

3.3 金融监管总局《银行保险机构数据安全管理办法》（金规〔2024〕24号，2024年12月27日印发施行）

国家金融监督管理总局针对银行保险机构印发数据安全管理办法，要求银行保险机构建立数据分类分级保护制度，将数据安全纳入全面风险管理体系，明确董事会、高级管理层与数据安全归口部门职责，并对数据加工使用、共享、出境等活动提出管控要求。至此，银行保险机构的数据分级管理形成"监管总局办法+人行JR/T标准"双轨依据。

04 · 电信领域

4.1 YD/T 3813-2020《基础电信企业数据分类分级方法》

通信行业标准YD/T 3813-2020为基础电信企业提供了数据分类分级的操作框架：按数据属性和业务特征将数据分类（如用户身份数据、用户通信数据、网络运行数据、企业管理数据等类别），再依据数据被破坏后的危害程度分级。其方法论与GB/T 43697-2024一脉相承，但更细化到电信业务的特有数据形态（信令、话单、位置等）。

4.2 电信数据安全的特殊考量

• 用户数据的规模性：基础电信企业动辄数亿用户，"群体性"判定要素天然敏感——大规模用户数据泄露直接触发《数据安全法》第45条"造成大量数据泄露"的加重档。
• 双重监管：电信企业同时受《网络安全法》第37条（关键信息基础设施）与《数据安全法》约束，重要数据出境适用更严格的评估要求。
• 信令与位置数据：属于高精度时空数据，即便去标识化后仍有较高重识别风险，定级时应从严（呼应第3页"衍生数据"讨论）。

05 · 汽车行业

5.1 《汽车数据安全管理若干规定（试行）》（2021年10月1日施行）

国家网信办、发改委、工信部、公安部、交通运输部五部门联合公布的这项规定，是汽车行业数据安全的专门规章。其亮点在于以列举方式界定"重要数据"：

5.2 行业启示

汽车规定展示了"列举式重要数据界定"的立法技术——把抽象的"危害国家安全、经济运行"转化为企业可逐条比对的清单（敏感区域数据、经济运行数据、超10万人个人信息等）。对其他行业的企业，这种"阈值化"思路值得在内部细则中借鉴：用可量化阈值（人数、面积、精度）降低判定争议。

06 · 政务与公共数据

6.1 《政务数据共享条例》（2025年8月1日施行）

• 目录管理：政务数据实行目录管理，政务数据共享以共享为原则、不共享为例外；政务数据按照共享属性分为无条件共享、有条件共享和不予共享三类。
• 安全责任：提供部门对共享数据的质量与安全负责，使用部门按授权范围使用并承担使用环节安全责任——这是"数据责任随共享转移"原则的典型制度化表达。
• 与公共数据授权运营衔接：条例为公共数据资源开发利用提供制度基础，与各地公共数据授权运营实践、数据交易所场内交易形成衔接（呼应子课题04"数据要素流通"）。

6.2 政务数据分级的特殊点

政务数据共享属性分类（无条件/有条件/不予共享）与GB/T 43697-2024的安全分级是两个维度：前者解决"能不能共享"，后者解决"共享后如何保护"。政务部门通常需要双轨并行——共享属性目录对接交换平台，安全分级驱动脱敏、水印与审计策略。

07 · 科学数据

国务院办公厅2018年印发的《科学数据管理办法》确立了科学数据的分类分级与开放共享管理制度：科学数据按照开放属性与保密要求分类管理，涉及国家秘密的科学数据管理须遵守《保守国家秘密法》有关规定；依托国家科学数据中心体系实现汇交与共享。对科研机构而言，科学数据（如基因组、地理观测数据）的分级须同时考量开放共享价值与安全保护要求——这与《数据安全法》第二十一条的立法精神一致：分类分级不是限制流通，而是让流通有规则。

08 · 跨行业适用策略

8.1 档位映射关系

8.2 冲突处置三原则

• 就高从严：同一数据被两个行业规则覆盖且判定结果不同时，按较高等级管理（如同时服务金融与工业客户的数据服务商，其工业数据按工信规则、金融数据按人行规则分别定级）。
• 分域适用：集团内不同法人、不同业务条线分别适用各自行业细则，避免"一套级别全集团通用"造成的合规失真。
• 映射留痕：跨行业映射关系（如JR/T第4级→重要数据）应形成书面映射表并经合规审核，作为多口径报送的依据与审计证据。

09 · 其他领域规则动态观察

9.1 卫生健康领域

《医疗卫生机构网络安全管理办法》（2022年由国家卫生健康委、国家中医药管理局、国家疾病预防控制局联合印发）对医疗卫生机构数据安全管理提出系统要求，涵盖数据分类分级保护、数据备份与容灾、电子病历等核心数据防护等内容。医疗健康数据兼具高敏感度（深度个人信息）与科研共享价值，是"安全与发展并重"原则最典型的平衡场景。该领域尚无独立部门规章层级的"数据分类分级细则"，实务中通常以GB/T 43697-2024为通用依据，并结合GB/T 39725-2020《信息安全技术 健康医疗数据安全指南》等国家标准执行（以国家标准全文公开系统收录文本为准）。

9.2 人民银行办法的关键量化要求（补充）

• 央行业务领域数据按一般、重要、核心三级管理（与GB/T 43697-2024通用规则一致）；
• 重要数据处理者应当每年开展一次数据安全风险评估，并于次年1月15日前向中国人民银行报送评估报告；
• 业务数据处理活动日志留存：一般数据项不少于六个月，重要数据项不少于一年，核心数据项不少于三年；
• 存储核心数据的信息系统应满足网络安全等级保护第四级或关键信息基础设施安全保护要求；高敏感性数据项原则上加密存储与传输。

注：以上要点以中国人民银行令〔2025〕第3号公布的《中国人民银行业务领域数据安全管理办法》文本为准。

9.3 金融监管总局办法的关键量化要求（补充）

• 建立数据安全责任制：党委（党组）、董（理）事会对本单位数据安全工作负主体责任，主要负责人为第一责任人；
• 银行保险机构应当于每年1月15日前向国家金融监督管理总局或其派出机构报送上一年度数据安全风险评估报告；
• 核心数据操作日志及其备份数据保存时间不低于三年，重要数据、敏感数据操作日志及其备份数据保存不低于一年；数据操作行为审计周期不超过六个月；
• 涉及批量敏感级及以上数据的共享、委托处理、转让交易、数据转移，应当在处理、合同签署前二十个工作日向监管部门报告；
• 重要数据目录按要求报送金融监管总局，目录发生重大变化应及时报备更新后的目录。

注：《银行保险机构数据安全管理办法》（金规〔2024〕24号）2024年12月27日印发，自公布之日起施行，共9章81条，同时废止《银行保险机构数据安全办法》（银保监办发〔2022〕118号）。

9.4 出境合规的区域性政策通道

《促进和规范数据跨境流动规定》（2024年3月22日公布施行）在豁免情形之外，还允许自由贸易试验区在国家数据分类分级保护制度框架下，自行制定区内需要纳入出境管理范围的数据清单（负面清单）：清单之外的数据出境可免于申报数据出境安全评估、订立个人信息出境标准合同、通过个人信息保护认证。对在自贸试验区设有运营主体的企业而言，出境合规存在"国家规则+区域清单"的双层结构，出境评估流程应将负面清单比对纳入前置环节（与子课题03"数据跨境流动合规"衔接）。

本节参考来源（第4页）

以下均为真实可查的权威来源，用于支撑本页事实性表述。