作者：金杜律师事务所 陈胜
背景介绍
全国人大常委近日公布了经过第一次审议的《网络安全法》草案（以下简称“《草案》”）并向社会公开征求意见，公开征求意见的截止日期为2015年8月5日。网络安全首次出现在2015年7月1日颁布并于同日施行的《国家安全法》中，其中明确提出要“提升网络与信息安全保护能力，加强网络和信息技术的创新研究和开发应用，实现网络和信息核心技术、关键基础设施和重要领域信息系统及数据的安全可控”。围绕这一点，《草案》从网络运行安全、关键信息基础设施的运行安全、网络信息安全等几个角度，作出了具体的规定。
随着中国金融业的发展，金融信息化水平不断提高，包括银行业在内的金融机构在获得综合业务系统整合、大数据集中为主要特征的金融信息化的机遇时，也面临着新的风险。中国银监会公布的《银行应用安全可控信息技术推进指南（2014—2015）》（以下简称“317号文”）可以看作是加强金融业信息技术安全可控的第一步。如何理解《草案》对金融业信息保护和管理的影响，《草案》与317号文之间的关系，以及金融机构对《草案》的关注及建议将是本文分析的重点。
金融业信息保护和管理重点条文解读和分析
1.关键信息基础设施运行者中金融业的定义及适用范围
《草案》第25条规定“国家对提供公共通信、广播电视传输等服务的基础信息网络，能源、交通、水利、金融等重要行业…实行重点保护。关键信息基础设施安全保护办法由国务院制定。”
由此可见，金融业被定义为关键信息基础设施的运营者，具体包括银行、保险、证券等行业。值得注意的是，境外金融机构在中国境内设立的子公司及分支机构都将属于关键信息基础设施运行者并受到《草案》相关规定的约束。但我们理解境外金融机构在中国境内的代表处应除外，如根据《中华人民共和国外资银行管理条例》的规定，代表处仅可以从事相关的联络、市场调查、咨询等非经营性活动，而不涉及到其在中国境内的实际业务。
此外，《草案》第2条规定“在中华人民共和国境内建设、运营、维护和使用网络，以及网络安全的监督管理，适用本法。”。我们理解，此处的“境内”不包括香港特别行政区，澳门特别行政区及台湾地区。除另有规定外，我国法律中的“境内”一般仅指中国大陆，因此《草案》适用范围仅限于在中国大陆设立的金融机构。
2.金融机构网络产品或服务供应商的安全保密义务
《草案》第29条规定“关键信息基础设施的运营者采购网络产品或服务，应当与提供者签订安全保密协议，明确安全和保密义务与责任。”
第30条规定“关键信息基础设施的运营者采购网络产品或服务，可能影响国家安全的，应当通过国家网信部门会同国务院有关部门组织的安全审查。具体办法由国务院规定。”
此处明确了提供金融行业网络产品或服务供应商负有的双重义务。首先，金融机构在采购相关网络产品和服务时，应与供应商签订安保协议，确保产品和服务提供者履行了安全和保密义务。其次，若上述产品或服务的采购行为可能影响国家安全的，相关服务和产品的供应商还应通过安全审查。业已生效的《国家安全法》第59条明确将网络信息技术产品和服务列入国家安全审查和监管的范围。
基于上述规定，我们认为对于向境内金融机构提供网络产品或服务的供应商，未来其市场准入的门槛将更高，安全性要求将更为严格。
同时值得注意的是，无论是《草案》还是《国家安全法》都没有对“影响或可能影响国家安全”作出进一步的解释，即是由作为采购方的金融机构自主判断相关网络产品或服务的安全性，还是由国家网信部门、金融监管部门确定的指导目录或是行业标准，将是金融行业的关键信息基础设施运营者以及相关网络产品或服务的供应商应后续关注的要点。
3.金融机构在中国境内存储重要数据的义务
《草案》第31条规定“关键信息基础设施的运营者应当在中华人民共和国境内存储在运营中收集和产生的公民个人信息等重要数据。因业务需要，确需在境外存储或者向境外的组织或者个人提供的，应当按照国家网信部门会同国务院有关部门指定的办法进行安全评估。法律、行政法规另有规定的从其规定。”
实践中，不少金融机构，尤其是外资金融机构在中国境内设立子公司或分支机构的，有时会选择离岸信息存储及加工，或将相关信息外包给总部或关联机构进行处理。
我们认为《草案》第31条的规定有三个要点：首先，根据《草案》的规定，未来在中国境内经营的金融机构，应将公民个人信息等重要数据存储在中国境内而非离岸操作。对于在华设立子公司或分支机构的境外分支机构，他们更需要考虑总公司与子公司或是分支机构在信息分开存储所需的成本，境内所存储信息为境外机构储存、加工及使用的可行性，已经签订的数据管理合同的变更，IT基础设施布局等。其次，《草案》中规定因业务需要，确实只能将信息存储在境外的金融机构，应经过国家网信部门及金融监管机构的安全评估。我们理解此处的安全评估为程序性规定，如果国家网信部门或金融监管机构不认定此类数据属于与国家安全相关的信息，出于业务的实际需要，可以在境外存储。第三，《草案》与已有法律和行政法规规定之间的竞合规定的处理，如《中华人民共和国外资银行管理条例》中要求“外商独资银行、中外合资银行应当设置独立的内部控制系统、风险管理系统、财务会计系统、计算机信息管理系统”，仍然应从其规定。
然而，值得外资金融机构注意的是，《草案》目前仅列举了公民个人信息这一项 “重要”数据，对于哪些信息会被归于“重要”仍然有较大的解释空间。《草案》是否会进一步以“列举+概况”的方式来定义重要数据值得关注。另一方面，安全评估的具体实施细则也有待国家网信部门和相关部门的制定。
4.金融机构信息传输监管的单向性
《草案》第43条规定“国家网信部门和有关部门依法履行网络安全监督管理职责，发现法律、行政法规禁止发布或者传输的信息的，应当要求网络运营者停止传输，采取消除等处置措施，保存有关记录；对来源于中华人民共和国境外的上述信息，应当通知有关机构采取技术措施和其他必要措施阻断信息传播。”
如果《草案》正式生效，是否仅限制中国境内的金融机构向境外传输信息而不限制境外向境内信息的流通，我们认为要从两个方面进行思考。首先，《草案》中提到的网络运营者包括但不限于“基础电信运营者、网络信息服务提供者、重要信息系统运营者”，我们理解金融机构网络产品或服务供应商应属于网络信息服务提供者。其次，结合上文中《草案》第31条的规定，我们认为《草案》目前仅限制金融机构在中国境内存储的重要信息向境外组织或个人提供。对于境外金融机构或是金融产品或服务供应商向境内传输信息，除非是《草案》第43条中“法律、行政法规禁止发布或者传输的信息”，否则并不会受到《草案》中安全评估等规定的约束。这将有利于外资在中国设立数据处理中心。
建议和思考
从2014年年底银监会公布的317号文到最新的《草案》，较为明确的信号是中国在逐步加强金融业信息化所涉及的技术、产品及服务的安全可控要求和评价标准。317号文对银行业出现的技术风险、外包风险和供应链风险的技术可控做出了明确规定，《草案》则进一步将适用范围扩大至证券、保险等金融机构。这充分体现了国家意欲通过对信息安全的监管，实现中国金融领域信息技术的自主可控，多方面增强中国在国家安全总体框架下对信息安全的保护。
对于在华外资金融机构及外资的网络信息产品或服务供应商而言，《草案》覆盖范围之大，关键词诸如“重要数据”、“重要信息系统”、“用户数量众多”等定义的模糊，以及具体实施细则的暂时空缺，都使其经营管理产生一定的不确定性。
与此同时，需要注意的是2015年中国加入WTO的保护期已经届满，按照约定中国将全面开放其电讯业及金融业，《草案》的规定是否会和WTO协定产生冲突将是我们需要进一步关注和分析的热点。
