一句话回答：金融机构处理客户数据，核心是“先分级、再分类管控”——依据《数据安全法》第二十一条和金融行业标准《金融数据安全 数据安全分级指南》（JR/T 0197—2020），按重要程度把数据分成1到5级，再针对不同级别在采集、传输、存储、使用、删除各环节落实加密、脱敏、权限控制等措施；不履行数据安全保护义务的，可被处5万元以上50万元以下罚款，拒不改正或者造成大量数据泄露等严重后果的，最高可罚200万元。
一、法律依据
《数据安全法》第二十一条规定，国家建立数据分类分级保护制度，根据数据在经济社会发展中的重要程度，以及一旦遭到篡改、破坏、泄露或者非法获取、非法利用对国家安全、公共利益或者个人、组织合法权益造成的危害程度，对数据实行分类分级保护；各地区、各部门按照该制度确定本地区、本部门以及相关行业、领域的重要数据具体目录，对列入目录的数据重点保护。
落到金融行业，中国人民银行发布的《金融数据安全 数据安全分级指南》（JR/T 0197—2020）把金融数据安全级别从高到低分为5级、4级、3级、2级、1级：5级涉及国家安全，4级是普通金融机构的最高级别数据，3级以上通常对应重要数据、敏感数据，2级多为机构内部办公常用数据；《金融数据安全 数据生命周期安全规范》（JR/T 0223—2021）则按采集、传输、存储、使用、删除（销毁）等环节分别提出安全要求。
再看责任。《数据安全法》第四十五条规定：开展数据处理活动不履行该法第二十七条、第二十九条、第三十条规定的数据安全保护义务的，由有关主管部门责令改正、给予警告，可处5万元以上50万元以下罚款，对直接负责的主管人员和其他直接责任人员处1万元以上10万元以下罚款；拒不改正或者造成大量数据泄露等严重后果的，处50万元以上200万元以下罚款，并可以责令暂停相关业务、停业整顿、吊销相关业务许可或者吊销营业执照。此外，《个人信息保护法》第五十一条要求处理者对个人信息实行分类管理，并采取加密、去标识化等安全技术措施。
二、实务视角：企业怎么落地
实务中要注意三点。第一，先做数据盘点，把客户身份信息、账户信息、交易流水、征信信息等逐一落到分级表里——级别定错，后面的管控措施都会跑偏。第二，按“最小必要”原则控制内部访问权限，敏感数据默认加密存储、展示脱敏、操作留痕。第三，数据出境要单独评估：向境外提供金融数据、个人信息达到规定门槛的，要先走安全评估、标准合同或者认证等通道，不能“先传后补”。
还要提醒一句：金融账户本身属于《个人信息保护法》第二十八条规定的敏感个人信息，处理金融数据往往同时涉及个人信息保护义务，要取得单独同意并履行告知义务。监管检查时最常看三样东西——有没有分级分类制度、技术措施有没有落地记录、发生安全事件有没有按规定报告。
三、案例分析（示意情景）
示意情景：某小贷公司为方便催收，把包含客户姓名、身份证号、手机号、借款记录的表格导出后存放在未加密的共享盘，员工可以随意下载。后来该表格被离职员工带走并用于骚扰催收，引发投诉。监管部门检查后认定其未履行数据分类分级保护和必要的安全技术措施，依据《数据安全法》第四十五条予以行政处罚。（此处为便于理解所作的示意情景，不代表任何真实案件。）
四、常见问题（FAQ）
问：金融数据分为几级？
答：依据《金融数据安全 数据安全分级指南》（JR/T 0197—2020），金融数据安全级别从高到低分为5级、4级、3级、2级、1级，其中5级涉及国家安全，4级是普通金融机构的最高级别数据。
问：不履行数据安全保护义务会被罚多少？
答：依《数据安全法》第四十五条，可责令改正、给予警告并处5万元以上50万元以下罚款；拒不改正或者造成大量数据泄露等严重后果的，处50万元以上200万元以下罚款，还可责令暂停相关业务、停业整顿、吊销执照。
问：金融数据出境要注意什么？
答：向境外提供金融数据、个人信息达到规定门槛的，要先依法完成数据出境安全评估、订立标准合同或者取得认证，不能先传后补。
问：客户的金融信息属于敏感个人信息吗？
答：属于。《个人信息保护法》第二十八条将金融账户列为敏感个人信息，处理时要取得单独同意，并告知处理的必要性和对个人的影响。
问：金融行业标准是强制性的吗？
答：JR/T 系列属于金融行业标准，本身不同于法律法规，但监管检查和行业实践普遍以其作为落地依据，具体适用要以最新版本和监管部门要求为准。
问：必须指定数据安全负责人吗？
答：处理个人信息达到国家网信部门规定数量的处理者，应当依《个人信息保护法》第五十二条指定个人信息保护负责人，并公开其联系方式。
五、相关阅读
王冠律师｜北京浩略律师事务所联合创始人｜咨询电话：17813108512