先弄清适用的三部法规各自管什么
财务部门接触的数据同时落在三个法规域里，不少项目在合规梳理时把它们混为一谈，导致整改方向跑偏。三部法规的施行时间与侧重点需要先分清。
| 法规 | 生效时间 | 对财务系统的直接约束 |
|---|---|---|
| 《中华人民共和国数据安全法》 | 2021 年 9 月 1 日施行 | 第二十一条要求建立数据分类分级保护制度；第二十七条要求建立全流程数据安全管理制度，并明确在网络安全等级保护制度基础上履行义务 |
| 《中华人民共和国个人信息保护法》 | 2021 年 11 月 1 日施行 | 第六条确立最小必要原则；第十三条列举处理个人信息的合法性基础；第五十一条列举处理者应当采取的多项措施 |
| 《网络数据安全管理条例》 | 2025 年 1 月 1 日施行（国务院令第 790 号） | 共九章六十四条，第五条重申分类分级；细化个人信息处理规则、重要数据处理者义务与数据出境机制 |
《数据安全法》由十三届全国人大常委会第二十九次会议于 2021 年 6 月 10 日通过；《个人信息保护法》于 2021 年 8 月 20 日通过。《网络数据安全管理条例》已经 2024 年 8 月 30 日国务院常务会议通过，2024 年 9 月 24 日公布。三者的关系是：法律定框架，条例做细化，财务系统落地时主要依据条例给出的操作口径。
分类分级不是把数据标个等级就完事
《数据安全法》第二十一条要求根据数据的重要程度，以及一旦遭到篡改、破坏、泄露对国家安全、公共利益或者个人、组织合法权益造成的危害程度，实行分类分级保护。落到财务场景，常见的错误是只做了一张 Excel 清单，而没有把等级与访问控制、加密、备份策略绑定起来。等级本身不产生保护效果，绑定才有。
财务数据四级划分建议（可按自身情况调整）
- 一级（公开）：已对外披露的公告类财务信息，可自由访问
- 二级（内部）：部门预算执行进度、常规费用明细，限内部账号访问
- 三级（敏感）：含个人信息或涉密的单据明细，如报销单、工资表、银行账号，需字段级脱敏与导出审批
- 四级（严格）：集团合并报表未披露数据、大额资金支付指令、关键客户定价，需加密存储与双人授权操作
还有一层判断不能省：如果本单位所属行业的主管部门已经发布重要数据目录，应当先逐条比对，而不能自行认定「我们不涉及重要数据」。凡是被列入目录的数据，还需要按《网络数据安全管理条例》落实更严格的义务，包括明确网络数据安全负责人和管理机构。在提供、委托处理、共同处理重要数据之前，还应依据该条例第三十一条开展风险评估。
报销单里的个人信息，边界画在哪里
《个人信息保护法》第六条的关键表述是：处理个人信息应当具有明确、合理的目的，与处理目的直接相关，并采取对个人权益影响最小的方式；收集个人信息应当限于实现处理目的的最小范围。这句话落到报销业务上，判断依据不是「这个字段有没有用」，而是「不给这个字段，这笔业务能不能完成」。
- 姓名、工号、所属部门：用于归属费用与审批路由，属于必需
- 身份证号：仅在需要核验身份、处理代扣代缴个人所得税或特定行业备案时收集，其余场景不收集
- 银行卡号：用于付款的唯一必需信息，列表页展示应脱敏，仅付款环节可见完整值
- 行程与交通票据：用于核算差旅费属于必需；若同时采集同行人员、非因公行程，即超出最小范围
- 医疗类票据：涉及医疗健康，属于敏感个人信息，处理前需单独同意并加强保护
- 家庭成员、配偶信息：除依法确需办理专项附加扣除等法定事项外，不收集
这里有一个容易被忽略的合法性基础问题。《个人信息保护法》第十三条列举了处理个人信息的多种情形，其中第（二）项包括按照依法制定的劳动规章制度和依法签订的集体合同实施人力资源管理所必需。实务中不少合规梳理把「人力资源管理所必需」当成用不完的授权，但「所必需」三个字本身就是约束条件，边界仍回到第六条的最小范围判断。
如果财务系统要处理敏感个人信息——例如医疗票据、金融账户信息，或者用于自动化决策，还需要按第五十五条事前开展个人信息保护影响评估，并注意第五十六条要求评估报告和处理情况记录至少保存三年。这一条在财务数字化项目里被漏掉的比例很高，因为影响评估往往被认为是法务或安全部门的事，而实际触发场景就发生在报销单上。
日志留存：时长和粒度两项都不能打折
日志是最容易敷衍过去、也最容易在审计时暴露的一环。时长方面，《网络安全法》第二十一条要求采取监测、记录网络运行状态与网络安全事件的技术措施，并按照规定留存相关的网络日志不少于六个月。这是一个下限，不是建议值。
更常出问题的是粒度。只记录「用户 A 登录了系统」几乎没有价值，真正需要能回答的是：谁在什么时候导出了多少条单据、改了哪张凭证的哪个字段、权限被谁调整过。财务场景下建议至少覆盖以下操作。
- 身份类：登录、登录失败、异地登录、账号启停与权限变更
- 数据类：单据创建与修改、凭证修改与反记账、批量导出与下载、附件查看
- 流转类：审批通过、驳回、加签、委托、超时自动流转
- 管理类：参数配置变更、会计期间开关、接口调用记录
- 日志本身：写入不可篡改存储，且普通管理员无删除权限
五个高频合规坑
| 常见做法 | 风险点 | 建议改法 |
|---|---|---|
| 报销附件里上传身份证正反面图片，且全公司可下载 | 超出最小必要，且构成批量个人信息暴露面 | 附件按单据权限隔离，身份证类附件仅财务复核岗可见，历史附件到期清理 |
| 测试环境直接复制生产库数据 | 未去标识化即二次使用，违反第五十一条要求 | 以脱敏或生成数据构建测试库，禁止生产数据直连测试 |
| 员工离职后账号仅停用不回收权限 | 形成长期影子账号，日志无法归属到自然人 | 离职流程与账号回收联动，离职当日回收权限并保留台账 |
| 数据导出到本地 Excel 后不受管控 | 数据安全措施在系统边界处失效 | 导出走审批并加水印，导出记录纳入日志范围 |
| 只做一张数据分级清单，未与权限和加密绑定 | 等级停留于文档，保护措施未实际生效 | 把每级数据的访问角色、加密方式、备份策略写进配置基线并定期核查 |
资料来源：《中华人民共和国数据安全法》（2021 年 6 月 10 日通过，2021 年 9 月 1 日施行）第二十一条、第二十七条、第二十九条；《中华人民共和国个人信息保护法》（2021 年 8 月 20 日通过，2021 年 11 月 1 日施行）第六条、第十三条、第五十一条、第五十五条、第五十六条；《网络数据安全管理条例》（国务院令第 790 号，2025 年 1 月 1 日施行）第五条、第三十一条；《中华人民共和国网络安全法》第二十一条。