第一章明确管理原则与目标，《办法征求意见稿》以“谁管业务，谁管业务数据，谁管数据安全”为基本原则，以保护数据安全、防范数据风险、维护各方权益为总体目标。

第二章对数据分类分级进行整体规划，一方面，明确中国人民银行总体规划的职责，制定分类分级标准、确定重要数据识别规范等。另一方面，压实数据处理者责任，为其施加建立具体实施制度、操作规程的义务，明确数据分类维度、分级考虑因素，强调定期动态更新的要求。

第三章确定数据安全保护的大框架，明确责任落实、安全管理制度和安全培训的总体要求，并鼓励开展数据安全技术创新应用。

第四、五章围绕第三章全流程安全管理制度的要求展开，从数据处理活动全流程切入，结合数据分类分级结果，设计差异化的保护要求。具体而言，《办法征求意见稿》在将数据生命周期分为收集、存储、使用、加工、传输、提供、融合创新应用、出境、被调取、公开、删除等环节的基础上，分别规定数据处理者安全管理和安全技术方面的合规要求。

第六章围绕风险监测、评估审计与事件处置措施展开。风险监测包括监测内部数据处理活动的风险和外部数据安全风险情报；数据安全风险评估要求针对各项数据安全制度建设与落实等情况进行检测，并提出针对性的改进措施；安全审计制度以定期监督来促进数据安全管理制度落实，防范违反操作规程的数据处理行为；安全事件响应与处置制度确保发生数据安全事件后能有效响应、减少损失、降低影响。

中国人民银行制定《办法征求意见稿》属其履行数据保护与安全方面的应尽职责，中国人民银行及其分支机构在“国家统筹发展与安全”的整体机制下，积极践行“谁管业务，谁管业务数据，谁管数据安全”的原则与理念。针对中国人民银行业务领域数据这一监管对象：

首先，一方面，中国人民银行通过制定《办法征求意见稿》，以明确数据处理者在货币政策、银行间各类市场交易等中国人民银行业务领域范围内的一般性数据合规要求。另一方面，《办法征求意见稿》明确提出中国银行间市场交易商协会、中国支付清算协会等行业协会在业务职责范围加强自律管理的要求。例如，2023年4月10日，中国支付清算协会发布《关于支付行业从业人员谨慎使用ChatGPT等工具的倡议》，倡议行业内人员应提高对ChatGPT等工具的认识，依法依规使用，不上传敏感信息等。我们理解，此为中国支付清算协会倡导行业自律的具体表现之一。

其次，《办法征求意见稿》第二条明确规定，中国人民银行业务领域数据是“不涉及国家秘密的网络数据”，而《办法征求意见稿》附则明确规定网络数据是指“通过网络收集、存储、传输、处理和产生的各种电子数据”。这一范围明确将以纸质形式存在的文档材料排除在监管范围外。一方面，《办法征求意见稿》规定的网络数据与国家互联网信息办公室发布的《网络数据安全管理条例（征求意见稿）》（以下简称“《网数条例（征求意见稿）》”）规定的网络数据内涵相当，具有高度的延续性。另一方面，将纸质文档排除在规制范围外的思路也承继了中国人民银行此前在《数据安全分级指南》中“未经电子化的数据，依据档案文件等有关管理规范执行”的要求。

再者，除未经电子化的纸质档案材料外，《办法征求意见稿》还明确排除了对国家秘密的规制。但这并不代表国家秘密不受监管，相反，正是因为国家秘密的重要性与严肃性，相关监管要求由国家秘密主管与监管部门单独制定更为适宜。此外，《办法征求意见稿》还明确规定国家外汇管理局可就国家外汇领域数据安全管理另行制定具体的制度。也即，中国人民银行还将就其监管范围内的数据与其他部门协同监管。

对数据分级分类制度提出精细化要求是《办法征求意见稿》的重要特点。详见《“卧看星河尽意明”——全球首部生成式人工智能法规解读》，分级分类是我国数据保护领域基于风险规制的思路始终坚持的监管手段之一。《数据安全法》虽然确立了“国家建立数据分类分级保护制度”的总体要求，但是如何深入各行业领域落实数据分级分类要求，仍有待各行业主管与监管部门的具体指引。

一方面，《办法征求意见稿》重申了《数据安全法》对数据进行三级分级的要求（即一般数据，重要数据和核心数据），并具体规定了中国人民银行业务领域范围内重要数据目录形成路径。我们理解，银行业机构首先依据识别标准报送重要数据目录内容，再由中国人民银行进行汇总并最终确认，形成双向的重要数据目录，在一定程度上可确保监管部门准确识别重要数据，既不会遗漏可能对国家安全造成严重影响的数据，也不会过分扩大重要数据的范畴，致使银行业机构在实践中开展业务时受到过多阻碍。

另一方面，在前述数据分级的基础上，《办法征求意见稿》还进一步提出了数据敏感性分层级、数据可用性分层级的具体分级要求。

其一，我们理解，中国人民银行已通过行业标准的方式实践了数据敏感性分层级的要求。具体而言，《数据安全分级指南》依据金融业机构数据安全性遭到破坏后的影响对象和所造成的影响程度，将数据安全级别从低到高划分为一至五级。其中，一级数据的安全性遭到破坏后的整体影响最小，五级数据的安全性遭到破坏后可能将对国家安全或对公众权益造成非常严重的影响。同时，《数据安全分级指南》附录B.1还对金融业机构在日常经营管理过程中可能涉及的数据提供了定级示例。《办法征求意见稿》第九条规定，“数据处理者应当参考行业标准…..将数据项敏感性从低至高进一步分为一至五共五个层级”，我们理解，此处的行业标准具体指向的即是《数据安全分级指南》。

其二，《办法征求意见稿》新增了数据可用性分层级的要求。我们理解，确保数据可用性有助于银行业机构为客户提供稳定、持续的服务。如数据可用性不高，一经篡改、破坏即可能无法继续提供服务，则不利于维护金融领域的秩序与安全。因此，如银行业机构经评估后认为信息系统存储数据遭到篡改、破坏后可能对业务连续性造成的影响程度较高，可及时采取容灾备份的工作。

在数据分级分类的基础上，《办法征求意见稿》对不同敏感性分层级的数据规定了不同的保护要求，例如，针对可访问二级以上数据的账号，数据处理者应当支持身份验证；而针对可访问三级以上数据的账号，则应支持多因素认证或二次授权，并签署保密协议。我们理解，对不同级别的数据项采取不同层次的保护要求是数据分级分类制度的“题中应有之义”。

《办法征求意见稿》的另一特点是规定了数据融合创新应用管理措施的要求。具体而言，《办法征求意见稿》第二十五条规定，数据处理者采用隐私计算等技术促进数据融合创新应用时，应当确认原始数据未离开自身控制范围，且多个数据提供行为关联后，暴露约定范围外信息的风险可控。

中国人民银行制定《办法征求意见稿》的目的不仅在于限制银行业机构等数据处理者的行为，提高相关数据的安全性，其还旨在鼓励数据处理者在维护数据安全的情况下促进数据的流通与应用。例如，数据分级分类的意义不仅在于对不同级别的数据采取不同层次的保护要求，还在于识别梳理对国家、企业和个人权益影响相对较小的数据，从而促进其流通和多维度应用。

早在2021年5月，国家发展改革委、工业和信息化部以及国家网信办等多部委联合印发《全国一体化大数据中心协同创新体系算力枢纽实施方案》，其在“促进数据有序流通”部分明确提出试验包含隐私计算在内的技术模式，构建数据可信流通环境。

中国信息通信研究院曾于2021年发布《隐私保护计算与合规应用研究报告》，其载明，隐私计算是一种在保护隐私的同时实现数据价值挖掘的技术，可实现数据的“可用不可见”，其核心在于从技术上实现在数据不出库的情况下，数据的价值和知识也能自由流通。

中国人民银行在《办法征求意见稿》中遵循了隐私计算技术的特性，要求数据处理者使用隐私计算技术时，确保原始数据始终未离开自身控制范围。我们理解，这一规定在实践中具有极为重要的实践意义。一方面，随着科技的进步与革新，银行业等机构可采取更为先进和安全的方式处理数据。另一方面，数据传输尤其是规模较大的数据传输往往需要数据处理者施加更高要求的保护措施以防范传输过程中带来的风险。基于隐私计算技术“可用不可见”的特点，多个机构基于精准营销、企业风险等目的进行数据融合时，可无需互相传输数据即可实现数据价值的融合，从而避免因数据传输引发的被攻击、泄露等风险。

一方面，《办法征求意见稿》的又一特点是区分了结构化数据项和非结构化数据项，并在此基础上按照“就高不就低”的原则确定了定级标准。具体而言，非结构化数据可能包含众多可拆分的结构化数据，但基于非结构化数据的性质，银行业机构在利用时无法且不能对非结构化数据进行拆分。基于“就高不就低”的原则，《办法征求意见稿》要求银行业机构对非结构化数据项按照可拆分的结构化数据项所对应的最高层级。

另一方面，《办法征求意见稿》第十三条明确规定，“不同敏感性层级数据项在同一数据处理活动中被处理，且难以采取差异化安全保护管理和技术措施的，应当统一采取最高敏感性层级数据项对应的安全保护管理和技术要求。”实践中，银行业机构常常将同一业务条线下获取的数据在数据库中存储于同一个表单，且各个数据可能对应不同的数据级别。例如，某表单涉及同时存储银行某个人客户的入党时间和银行卡密码。依据《数据安全分级指南》，银行可将个人客户的入党时间定级为二级，而银行卡密码至少需定级为四级。两个数据虽属于不同的保护级别，但由于其共同存储于同一个表单，基于同一表单“难以采取差异化安全保护管理和技术措施”，即使是个人入党时间这一数据，银行此时也需按照四级数据的保护要求对其进行存储。但如银行将个人客户的入党时间和银行卡密码存储于同一数据库的不同表单当中，此时，银行有足够的技术能力对两张表单进行独立地保护，如个人入党时间所处的表单中不存在其他三级及以上的数据，则银行可仅按照二级数据的保护要求对其进行存储。

银行业机构在开展业务时，除个人客户外，还将面临法人客户，此外，银行业机构还可能与其他机构就机构自身的经营数据进行共享。在前述过程中，银行业机构可能涉及收集客户数据与其他银行业机构数据，而客户数据和其他银行业机构数据又可能具体包含个人信息和不包含个人信息的企业数据两种类型。针对个人信息，依据《个人信息保护法》第十三条的规定，银行业机构收集客户个人信息以及机构员工个人信息时应具备相应的合法性基础；依据《个人信息保护法》第十七条及相关规定，银行业机构还应履行告知义务。但是针对不包含个人信息的企业数据，银行业机构可能并不当然地清楚了解其应履行的合规要求。因为，《数据安全法》及其他相关法律并未对不包含个人信息的数据设置类似个人信息处理时的告知同意规则。

由于《办法征求意见稿》的规制对象为中国人民银行业务领域数据，同时包含个人信息和非个人信息的数据两种类型，因此，其第十七条为银行业机构收集非个人信息的数据提出了明确的合规要求。例如，

• 除法律、行政法规明确无需说明的情形外，应当在隐私政策协议或者合同协议中以显著方式、清晰易懂的语言说明数据收集的目的、范围、方式、存储期限，以及数据来源不合法、数据不真实情形对应的违约责任。
• 非直接面向个人、组织收集数据时，应当要求数据提供方依照法律、行政法规取得个人、组织的同意，对于非书面同意情形，应当要求其出具数据来源说明材料，并依据材料评估其合法性、真实性。

我们理解，《办法征求意见稿》第十七条明确了银行业机构作为数据处理者在收集数据尤其是非个人信息的企业数据时应履行的合规要求，既包含直接面向客户的收集情形，也涉及未直接面向客户的情形。各银行业机构应按照《办法征求意见稿》的要求，逐步制定相关告知文本和评估数据来源材料合法性、真实性的机制，从而构建完善自身收集数据的合法合规体系。

基于内部管理要求或业务开展需求，实践中银行业机构常常进行数据交互，或发生于银行集团内部，或发生于不同银行集团之间。除明确数据提供不得违反个人信息处理相关的法律、行政法规，以及不违背相关组织之间有关商业秘密的约定外，《办法征求意见稿》的一大特色是要求区分了一般数据和特殊性数据对外提供的要求，并分别进行了细化。

● 一般性数据提供要求

《办法征求意见稿》明确要求银行业机构在提供数据前，应与数据接收方签订合同协议。这一要求实质上改变了《数据生命周期安全规范》第7.4.11条对数据外部共享的要求（具体规定为“应与数据接收方通过合同协议等形式，明确双方在数据安全方面的责任及义务”），将提供方与接收方的约定形式限定为合同协议。我们理解，这是因为通常而言，合同协议才是固定双方权利义务与责任的最佳路径。同时，《办法征求意见稿》也考虑到部分银行业机构内部对外签署协议具有较为复杂流程的实际情况，因此，第二十三条也进一步规定，银行业机构可视情况简化合同协议签订和对内审批的要求。

● 特殊性数据提供要求

首先，《办法征求意见稿》明确了数据提供者对外提供重要数据前应履行的合规要求。具体而言，其一，一方面，《办法征求意见稿》第二十四条明确规定，银行业等机构作为数据处理者对外提供重要数据前，应当依据相关法律、行政法规的要求，进行风险评估。另一方面，我们理解，这一要求也和《网数条例（征求意见稿）》相衔接。具体而言，《网数条例（征求意见稿）》第三十二条规定，重要数据处理者应当进行年度数据安全评估，评估报告需包含共享重要数据的安全评估情况。同时，其规定了共享重要数据前应当重点评估的内容。虽然《网数条例（征求意见稿）》目前并未通过，但国务院已将对其进行审议纳入了《国务院2023年立法工作计划》，我们理解，如《网数条例（征求意见稿）》通过审议，则各行业对重要数据对外提供进行风险评估的理解也将得到进一步提高。其二，我们理解“数据处理者应当通过法律、行政法规明确规定的安全评估”既明确了银行业机构向境外提供重要数据需履行数据出境安全评估的相关要求，也为此后监管部门可能针对重要数据共享专门制定的安全评估要求预留了空间。此外，就重要数据处理活动开展风险评估也是相关数据处理者履行《数据安全法》第三十条的必然要求。

其次，《办法征求意见稿》首次针对中国人民银行领域数据中核心数据的对外提供明确了合规要求。具体而言，银行业等机构提供核心数据前，应当提请国家数据安全工作协调机制办公室批准。这是银行业等金融数据领域首次对核心数据对外提供提出明确要求的规定，且与数据分级分类的思路进行了有机协调。我们理解，相较评估及通过安全评估，批准在行政法方面是更为严格的要求。如《办法征求意见稿》正式通过并施行，中国人民银行可考虑进一步发布名曲的提请批准的流程或程序，便于银行业等机构实际履行相应的合规义务。

一方面，在《办法征求意见稿》发布前，中国人民银行多通过《数据安全分级指南》《数据生命周期安全规范》等行业标准具体指引银行业等机构的具体数据处理活动。随着实践情况的变化以及监管的最新要求，中国人民银行制定精细化、可落地的《办法征求意见稿》时，针对相同处理活动的管理要求及技术要求可能也随之更新，或更为完善。因此。中国人民银行有必要及时更新相应的行业标准，以实现中国人民银行业务领域数据监管框架的整体协调性。

另一方面，《办法征求意见稿》如正式通过并施行，其作为正式法源，将强制性地要求银行业等机构对自身持有的数据进行五级分级。由于不同级别数据的可用性及保护要求存在较大差异，例如就数据使用保护管理措施而言，三级数据原则上不提供导出使用方式，四级以上数据原则上仅提供核验使用方式，因此，如何指引银行业等机构开展定级工作极为关键。基于此，《办法征求意见稿》第九条明确规定“数据处理者应当参照行业标准”进行分级，但是，《数据安全分级指南》为中国人民银行在2020年发布的行业标准，距今已有三年，因此，我们建议中国人民银行等监管部门在更新、协调行业标准所述的管理与技术要求时，适时更新相应的定级附录，并及时补充新出现的数据类型，实现数据安全的动态保护。

《办法征求意见稿》第二十条第二款、第三款的规定，对于银行业等相关主体对基于加工生成的数据项面向个人提供自动化决策服务时，应履行相应的算法透明度及算法审计义务。

鉴于当前的实践中，银行业等机构除为客户提供自动化决策服务外，还可能利用生成式人工智能为客户提供服务，从而涉及大量训练数据的使用。因此，在本条基础上，中国人民银行等监管部门或可考虑增加中国人民银行业务领域范围内生成式人工智能服务的训练数据安全要求，进一步与近日国家网信办发布的《生成式人工智能服务管理暂行办法》相衔接，完善和细化银行业等相关主体的算法规制要求，以便进一步构建银行业等金融领域算法与人工智能的监管要求，保障中国人民银行业务领域算法与人工智能服务的健康发展。

《办法征求意见稿》的第一条开宗明义，指出《办法征求意见稿》的立法宗旨是为规范中国人民银行业务领域数据的安全管理，目的在保护数据安全。在介绍起草背景时，中国人民银行指出，《办法征求意见稿》旨在“指导数据处理者优质高效合规开展中国人民银行业务领域数据处理活动，履行数据安全保护义务，保障消费者和企业用户的合法权益，促进数据要素市场高质量发展。”

《办法征求意见稿》的第二条第一款，明确该办法适用于“在中华人民共和国境内开展的中国人民银行业务领域数据相关的处理活动”。该条第二款进一步明确，“中国人民银行业务领域数据，指根据法律、行政法规、国务院决定和中国人民银行规章，开展中国人民银行承担监督管理职责的各类业务活动时，所产生和收集的不涉及国家秘密的网络数据”。

到此，可能大家还是不能明白什么是“开展中国人民银行承担监督管理职责的各类业务活动”。对此，在《〈中国人民银行业务领域数据安全管理办法（征求意见稿）〉起草说明》进一步明确，指出“《办法征求意见稿》约束的数据处理活动主要包括：货币政策业务、跨境人民币业务、银行间各类市场交易业务、金融业综合统计业务、支付清算业务、货币管理和数字人民币业务、经理国库业务、征信业务、反洗钱业务等领域的数据处理活动。”

银行的其他业务也需要安全和合规。因为数据安全和合规是《网络安全法》、《数据安全法》和《个人信息保护法》等法律的基线要求。另外，数据的相关法规、规范性文件、部门规章、标准等均对上述法律进行了具体规定。这些形成了数据安全和数据合规的法律体系。

另外，基于前段分析，除了银行，对于其他金融机构和保险机构也需要履行数据安全和合规义务。

《办法征求意见稿》分成总则、数据分类分级、数据安全保护总体要求、数据安全保护管理措施、数据安全保护技术措施、风险监测评估审计与事件处置措施、法律责任、附则八章。

从规定内容可以看出，数据安全和合规的工作起于数据分类分级和总体要求中的数据保护和合规部门设置与人员分工及职责。在具体工作中，“结合数据分类分级结果，明确差异化的安全保护管理和技术措施要求，并制定数据处理活动操作规程，规范各类内部审批和授权流程”。数据安全和合规的工作还包括对数据处理活动进行全流程风险监测、至少每年一次的安全合规审计和数据安全事件应对。

根据《办法征求意见稿》第五条，中国人民银行指定分类分级行业标准，统筹确定重要数据具体目录。对此，中国人民银行已经于2020年制定了《金融数据安全 数据安全分级指南》（JR/T 0197-2020）（以下简称《数据安全分级指南》）。

一方面，首先应该对数据进行分类。根据《数据安全分级指南》，对数据进行分级的第一步是对电子数据进行盘点、梳理与分类，在此基础上形成统一的数据资产清单。对于此，《办法征求意见稿》第七条对如何分类给出了具体方法，即数据分类应当“参考行业标准，根据业务开展情况建立业务分类，梳理细化数据资源目录，标识各数据项是否为个人信息、数据来源（生产经营加工产生、外部收集产生等）”。可以说，《办法征求意见稿》第七条对数据的分类方法需要结合业务场景，在业务场景下进行梳理分类并标识是否个人信息以及数据来源。

在形成数据清单后，还要进一步明确“存储…数据…的信息系统清单和应用的业务类别”。可以看出，数据分类始于业务，终于业务。而且，数据不是在真空中处理，对数据的分类还需要列明提供数据处理环境的信息系统。当然，具体的类别名称还需要等待中国人民银行日后制定的标准确定。

另一方面，需要对分类好的数据进行分级。分级的考虑因素包括“精度、规模和对国家安全的影响”，在此基础上将数据分为“一般、重要、核心三级”。但是，《办法征求意见稿》并没有给出区分一般、重要和核心数据的标准，只是原则性的规定“由中国人民银行汇总后确定重要数据具体目录”。一般、重要和核心数据的分类首见于《工业和信息化领域数据安全管理办法（试行）》（2013年1月1日实施，以下简称《工信数据办法》）。《工信数据办法》给出的确定一般、重要和核心数据的办法是“原则+列举”的形式。原则是“根据数据遭到篡改、破坏、泄露或者非法获取、非法利用，对国家安全、公共利益或者个人、组织合法权益等造成的危害程度”。列举的三级数据类别具体如下。

一般数据包括：

• 对公共利益或者个人、组织合法权益造成较小影响，社会负面影响小；
• 受影响的用户和企业数量较少、生产生活区域范围较小、持续时间较短，对企业经营、行业发展、技术进步和产业生态等影响较小；
• 其他未纳入重要数据、核心数据目录的数据。

重要数据包括：

• 对政治、国土、军事、经济、文化、社会、科技、电磁、网络、生态、资源、核安全等构成威胁，影响海外利益、生物、太空、极地、深海、人工智能等与国家安全相关的重点领域；
• 对工业和信息化领域发展、生产、运行和经济利益等造成严重影响；
• 造成重大数据安全事件或生产安全事故，对公共利益或者个人、组织合法权益造成严重影响，社会负面影响大；
• 引发的级联效应明显，影响范围涉及多个行业、区域或者行业内多个企业，或者影响持续时间长，对行业发展、技术进步和产业生态等造成严重影响；
• 经工业和信息化部评估确定的其他重要数据。

核心数据包括：

• 对政治、国土、军事、经济、文化、社会、科技、电磁、网络、生态、资源、核安全等构成严重威胁，严重影响海外利益、生物、太空、极地、深海、人工智能等与国家安全相关的重点领域；
• 对工业和信息化领域及其重要骨干企业、关键信息基础设施、重要资源等造成重大影响；
• 对工业生产运营、电信网络和互联网运行服务、无线电业务开展等造成重大损害，导致大范围停工停产、大面积无线电业务中断、大规模网络与服务瘫痪、大量业务处理能力丧失等；
• 经工业和信息化部评估确定的其他核心数据。

另外，国家市场监督管理总局和国家标准化管理委员共同制定的《信息安全技术 重要数据识别规则（征求意见稿）》也能够为数据分级提供参考。但具体的仍然要以中国人民银行的最终确定的分级标准为准。

数据安全保护总体要求包括责任落实、全流程制度管理、培训和鼓励创新。

责任落实的主要工作在于数据安全管理内设部门、配备足够数量数据安全（合规）管理人员并明确职责分工，在此基础上细化各类问责规程。

在全流程制度管理上，要求根据分类分级结果，制定差异化的安全保护管理制度和技术措施，细化数据处理活动操作规程。

在培训上，要制定数据安全年度培训计划，对数据安全法律、法规、规章、行业标准、内部制度到等进行宣传。同时针对数据安全保护管理制度和技术措施及其操作规程内容进行培训。培训还有一块内容是数据安全事件应急处置规程。

在鼓励创新上，《办法征求意见稿》还鼓励数据处理者开展数据安全技术创新应用，鼓励优秀创新成果申报行业表彰奖励。

根据全流程管理要求，《办法征求意见稿》对数据收集、存储、使用、加工、传输、提供、公开和删除各环节的管理措施进行了规定。比如账号身份验证管理、不同场景数据收集时的程序及手段要保证收集数据合法正当等。

这些措施包括账号权限控制、数据处理活动日志技术、数据收集保护技术、数据存储保护技术等等对数据处理各环节的保护技术措施。

我们认为，在这些方面各数据处理者可以在《办法征求意见稿》规定的基线要求之上，进行技术创新。

对于数据安全（合规）制度、管理措施、技术措施的有效性检查，以及评估数据处理风险，是数据安全（合规）的应有之义。根据《办法征求意见稿》第六章，第一，需要对数据处理活动的风险进行全流程监测。第二，对于重要数据的处理者，应当每年组织开展一次全面的数据安全风险评估工作。第三，所有数据处理者均应每年至少开展一次数据安全审计，审计“数据安全管理制度和相关操作规程执行情况、数据安全相关投诉处理情况”。第四，还应当制定数据安全事件应急预案，并每年根据应急预案进行应急演练。

《办法征求意见稿》第五十七条规定，“2024年××月××日起施行”，该附则条文实际上给《办法征求意见稿》设定了施行的具体年份，说明制定者意图在2024年施行《办法征求意见稿》。根据以往经验，结合人民银行对数据安全管理的紧迫要求，我们认为，《办法征求意见稿》2024年施行的可能性较大，但具体日期无法确定。

那么，在此阶段，相关数据处理者或者其他金融数据处理者是否就可以等待到施行时在做相关工作呢？我们说不是的，因为《网络安全法》、《数据安全法》和《个人信息保护法》等法律和法规，已经对数据安全和合规提出了基线要求，这已经是一项法定义务。另外，金融数据被违法处理、个人金融数据被窃取、数据库被黑客攻击、客户服务系统存在 SQL注入和文件上传漏洞等数据安全事件频发，导致金融数据的安全和合规工作也具有紧迫性。