Cơ quan quản lý internet hàng đầu của Trung Quốc vừa ban hành các quy định mới về cách các công ty tài chính phải phân loại, gán nhãn và bảo vệ dữ liệu. Các hướng dẫn này, được Ban Quản lý Không gian Mạng Trung Quốc (CAC) ban hành vào ngày 13 tháng Sáu, đại diện cho viên gạch mới nhất trong bức tường ngày càng tăng các quy định an ninh mạng của Bắc Kinh.
Khung này tập trung vào việc đánh giá và phân loại dữ liệu trong ngành dịch vụ tài chính. Hiện nay, mọi thực thể tài chính hoạt động tại Trung Quốc đều có hướng dẫn rõ ràng hơn về những gì được coi là dữ liệu nhạy cảm, những gì được coi là dữ liệu cực kỳ nhạy cảm, và những hành động họ cần thực hiện đối với từng danh mục.
Các hướng dẫn thực sự yêu cầu gì
Các quy định mới tập trung vào cách các tổ chức tài chính phân loại thông tin, với trọng tâm đặc biệt vào việc xác định những gì các cơ quan quản lý gọi là “dữ liệu quan trọng”. Thuật ngữ này mang trọng lượng pháp lý trong hệ sinh thái quản lý của Trung Quốc, kích hoạt các nghĩa vụ tuân thủ cụ thể liên quan đến lưu trữ, xử lý và đặc biệt là các khoản chuyển đổi xuyên biên giới.
Các nhà cung cấp dịch vụ thông tin tài chính, bao gồm cả các nền tảng cung cấp dữ liệu và phân tích thị trường, đều nằm trong phạm vi áp dụng.
Các hướng dẫn củng cố sự tuân thủ ba trụ cột của luật dữ liệu Trung Quốc: Luật An ninh Mạng, Luật An ninh Dữ liệu và Luật Bảo vệ Thông tin Cá nhân.
Các chuyển dữ liệu xuyên biên giới nhận được sự chú ý đặc biệt. Các cơ quan quản lý đã khẳng định rằng việc chia sẻ dữ liệu tài chính quan trọng ra ngoài biên giới Trung Quốc đòi hỏi sự cân nhắc cẩn trọng, với an ninh quốc gia và bảo vệ người tiêu dùng được nêu ra là những mối quan tâm chính.
Một hệ thống quy định đã được tích lũy trong nhiều năm
Cơ quan Quản lý Tài chính Quốc gia (NFRA) đã giới thiệu các quy định về dữ liệu ngân hàng và bảo hiểm vào tháng 12 năm 2024. Những quy định này thiết lập các yêu cầu cụ thể theo ngành đối với cách các tổ chức tài chính truyền thống xử lý dữ liệu khách hàng và hoạt động.
Ngân hàng Nhân dân Trung Quốc (PBOC) đã bước vào cuộc với các biện pháp bảo mật dữ liệu riêng, có hiệu lực vào ngày 30 tháng 6 năm 2025.
Đến ngày 24 tháng 1 năm 2026, CAC đã phân phối bản nháp nhằm mục tiêu cụ thể vào các nhà cung cấp dịch vụ thông tin tài chính. Bản nháp đó đưa ra các quy tắc để phân loại dữ liệu theo mức độ rủi ro, cho thấy các hướng dẫn cuối cùng sẽ được ban hành vào tháng Sáu.
Điều gì đáng chú ý là vắng mặt, và điều đó có nghĩa gì đối với các nhà đầu tư
Các hướng dẫn không đề cập cụ thể đến các token tiền điện tử hoặc tài sản kỹ thuật số. Sự bỏ sót này cho thấy Bắc Kinh tiếp tục coi các dịch vụ tài chính truyền thống và tài sản kỹ thuật số là các lĩnh vực quản lý riêng biệt. Khung phân loại dữ liệu áp dụng cho các ngân hàng, công ty bảo hiểm, nhà cung cấp dữ liệu thị trường và các thực thể tương tự.
Đối với các công ty tài chính truyền thống, gánh nặng tuân thủ là thực tế và ngày càng gia tăng. Các công ty nước ngoài hoạt động tại Trung Quốc đối mặt với những thách thức đặc biệt, vì các hạn chế về chuyển dữ liệu xuyên biên giới có thể làm phức tạp mọi thứ, từ việc báo cáo định kỳ cho công ty mẹ đến chia sẻ phân tích với các nhóm toàn cầu.
Sự chồng chéo của các quy định pháp lý, quy định của NFRA, các biện pháp của PBOC và hiện nay là hướng dẫn của CAC, tạo nên một ma trận tuân thủ phức tạp.