【垦丁·威理扬】美国新政限制数据跨境传输，出海企业如何应对？

作者 丨 威理扬法律团队
编辑 丨 林盈洁
主编 丨 林    娜

★
美国新政限制数据跨境传输，
出海企业如何应对？
★

2024年2月28日，美国总统拜登正式签署了《关于防止被关注国家获取美国人大量敏感个人数据和美国政府相关数据的行政命令》（以下简称《14117行政令》）。其核心目标在于限制“受关注国家”及其相关实体接触美国公民的敏感个人数据和美国政府的重要数据。敏感数据的范围广泛，包括但不限于基因组数据、生物识别数据、个人健康数据、地理位置数据和财务数据。


随后，美国司法部迅疾响应，发布了关于《14117行政令》实施细节“关注国家获取美国人大量敏感个人数据和美国政府相关数据规则”的《预先通知》（ANPRM-Advance Notice of Proposed Rulemaking），并配以一份详细的《情况说明》（Fact Sheet）。此举旨在深入细化行政命令的规则内容，启动为期45天的社会公众意见征集环节，为最终确定规则做好铺垫。在这段时间里，公众有权对预先通知提出自己的见解，司法部将在收集反馈后发布拟议规则通知（NPRM），再度征询公众意见。



行政命令本质上是具备法律效力的政策宣告。尽管《14117行政令》在公布之时立刻生效，但它并不立即引入新的法律责任，其确切的影响和实行细节，仍须依托于随后出台并付诸实施的具体规章细则。值得注意的是，此后的新规则虽然不追溯应用于《14117行政令》发布日至正式规则生效期间已完成或计划中的交易，司法部仍有可能要求披露此期间的相关交易详情。

1. 受管制主体
● “受关注国家”：尚未最终确定，中国极有可能位列其中

《14117行政令》正文中并未直接给出受关注国家的名单或范围。依据《14117行政令》，“受关注的国家”是指那些出于恶意目的，尝试从美国获取大量敏感个人数据和政府相关数据，并借此对美国国家安全及外交政策构成非常规且严重威胁的国家。这些国家运用等先进的科技手段，通过分析和操作这些数据，有可能进行间谍、影响力、实体或网络攻击等活动，以及提升自身战略优势。

《14117行政令》明确，在总统行政命令发布后的180天内，由司法部长主导并与国土安全部长协作，在获得国务卿和商务部长共同认可的前提下，将确定“受关注国家”的具体范围及相关主体类别。

然而，根据《预先通知》，司法部已明确指出，其正在考虑沿用美国商务部在执行第13873号行政命令过程中的做法，将中国（涵盖香港、澳门地区）；俄罗斯；伊朗；朝鲜；古巴；委内瑞拉视为《14117行政令》下的“受关注国家”，但是否最终确定还需等待进一步的法律程序推进与正式通知。


● “受关注个体”

○ 依据《预先通知》，“受关注个体”涵盖以下5种类别：

（1）直接关联实体：
当实体直接或间接被“受关注国家”拥有超过50%的股权，或依照“受关注国家”的法律设立、注册，或其主要营业地址位于“受关注国家”，则该实体即被视为与“受关注国家”有着紧密关联的“受关注个体”。

（2）间接持股关联实体：
若某一实体由已被确认为“受关注个体”的其他实体直接或间接持有超过50%的股权，则该实体亦被划分到“受关注个体”的范畴。

（3）与“受关注国家”有关联的非美籍雇员或承包商：
若外籍个人服务于“受关注国家”所属实体，或已确定为“受关注个体”的实体，作为其雇员或承包商，则该个人同样会被视为“受关注个体”。

（4）居住在“受关注国家”的非美籍居民

（5）美国司法部特别指定的个体
司法部长可根据实际情况，将任何被认为由“受关注国家”拥有或控制、受其管辖或指令、代表“受关注国家”或其它“受关注个体”行事、或故意促使或指挥违反相关规定的个人或实体，指定为“受关注个体”。

○ 公开名单

如上所述，司法部拥有指定符合标准的特定个人或实体，成为“受关注个体”的权利。据此，司法部正计划维护一份公开名单，详列被确认为“受关注个体”的个人或实体。为确保名单的准确性和公正性，司法部将构建一套完善的增删改查程序，该程序将参照美国政府其他部门在运用《国际紧急经济权力法》（IEEPA）授权时采用的内部流程，包括跨部门的沟通协商机制，确保具备相应权益和专业背景的机构能提出意见和建议。

对于被列入名单的个人或实体，如有异议可申请行政复议，若认为当初被认定为“受关注个体”的情况已发生变化或不再适用，可通过行政申诉程序争取取消这一指定。该行政上诉程序将与美国联邦政府其他机构在执行IEEPA权力时所设置的类似方案保持基本一致性。

○ 并非所有居住在特定国家或地区的人士都会自动成为“受关注个体”，而需要判断其是否与“受关注国家”有直接的法律、商业或职业关联，比如是否为“受关注国家”的政府雇员或受控实体的雇员，以及是否被司法部专门指定、纳入公开名单。

《预先通知》特别说明了，以下几种情况，不构成“受关注个体”：

（1）位于美国境内的具有“受关注国家”国籍的个体，不会被视为“受关注个体”（除非经由司法部特别制定）。他们与“受关注国家”或“受关注个体”进行“受控数据交易”时，将遵循适用于所有其他“美国公民”的相同禁止和限制规定。

（2）来自“受关注国家”的公民，如果主要居住在第三国，例如在欧盟居住的俄罗斯公民或在南美洲居住的古巴公民，一般情况下不被视为“受关注个体”，除非经由司法部特别指定，或担任“受关注国家”政府的雇员或承包商，以及为“受关注个体”工作的雇员。

2. 受管制数据
根据《预先通知》，属于《14117行政令》管制范围的数据，包括以下两大类：

● 批量美国敏感个人数据

行政令赋予司法部长权力，禁止或限制美国人士参与任何涉及大量敏感个人数据的交易，。行政令中，“大量”被定义为在设定时间段内达到或超过一定阈值的敏感个人数据量，具体阈值由司法部长最终确定。

根据《14117行政令》及其配套的《预先通知》，敏感个人数据被划分为六个主要类别，每个类别都依据初步的风险评估设定了阈值的上下限。这些阈值的设定帮助界定在何种情况下敏感个人数据的收集与交易量可能会对美国国家安全构成威胁。低阈值标示数据量开始呈现潜在风险，而高阈值则表示数据量大到足以构成被某些国家利用的风险，从而对美国国家安全带来严重的威胁。这些设定阈值的目的在于识别哪些数据集需要接受额外的监管和审查。然而，《14117行政令》和《预先通知》并没有详细阐释对达到不同阈值的数据集的具体处理方式和监管措施。



在此背景下，当敏感个人数据与可识别的美国个体或特定的美国个体群体存在链接，且存在被特定国家利用以威胁美国国家安全的风险时，这些数据便被视为敏感个人数据。目前，司法部正在进一步审议对于“敏感个人数据”及“批量”的定义，并计划提供更详细的阐述和指导，以确保对此类数据的监管既严谨又具体。

○ 受关注的个人标识信息（Covered personal identifiers）

针对这一相对抽象、庞统的类别，美国司法部在《预先通知》中已进行了明确限定，并将其具体拆分为一系列典型的数据类别，这些类别被法规认定为与个人存在合理关联，并归属于“受关注的个人标识信息”的范围。

（1）官方证件及账户信息：包括但不限于完整的或部分的社会安全号、驾驶执照号码、护照号码等政府颁发的身份证明资料；

（2）金融领域标识数据：涉及金融机构或金融服务提供商所持有的全套财务账号和识别编号；

（3）设备特定标识符：基于硬件特性产生的唯一标识符，诸如IMEI、MAC地址、SIM卡号等；

（4）人口统计与联系信息：涵盖姓名、出生日期、通讯地址、电话号码、电子邮箱地址等多种个人信息；

（5）广告追踪标签：如Google Advertising ID、Apple广告商ID等在线广告服务所使用的跟踪标识；

（6）账户认证细节：包含用户名、密码以及安全问题答案等用于验证用户身份的数据；

（7）网络环境生成标识：诸如IP地址、Cookie等在网络环境下产生的用户标识；

（8）详尽通信记录：比如客户的专用网络信息CPNI等高度敏感的通信记录详情。

值得注意的是，尽管上述列举包含了诸多非传统意义上的“敏感信息”，但单纯收集这些“受关注的个人标识信息”并不必然使相关企业直接处于行政命令的审查之下。关键在于企业如何使用、处理和传输这些数据，是否可能对个人隐私或国家安全造成实际风险。

具体来说，以下几点是评估是否属于监管范围的核心评判指标：

（1）数据整合与关联性：
当“受关注的个人标识信息”与其他数据相互交织或关联，以便识别特定个人或将多种数据集链接至个人，特别是这种整合加剧了个人隐私和国家安全风险的情况；

（2）数据流转与应用目的：
若数据传输给可能威胁美国国家安全的国家或实体，或是其使用目的本身就对个人隐私和国家安全构成潜在损害；

（3）数据采集与处理的合规性：
企业是否严格遵循了数据保护法律法规，如坚守数据最小化原则、获取用户充分知情同意，以及确保数据的安全存储与处理。

此外，司法部也明确了两类免于监管的特定情境：

（1）常规关联数据：只与同类人口统计或联系数据有关联的数据；

（2）服务必要数据：在提供电信、网络服务的过程中，为了维持服务正常运行而必需，且仅在企业或组织内部与同类数据链接的，网络基础标识符、账户验证数据或通话详细信息数据。

《14117行政令》的核心目的并非无差别限制或阻碍商业行为。美国司法部已承诺，在正式的规定中会进一步明确“受关注的个人标识符”的定义和适用范围，明确合理收集、处理和传输这类数据的方式。这一举措旨在为企业提供更清晰的合规指引，确保在保护个人隐私和国家安全的同时，支持业务的健康发展。

目前，美国司法部正积极开展工作，针对上述敏感个人数据类别的细分与阈值标准持续征集各方意见，着力解决一系列决定性问题，旨在更为精确地划定并优化对美国敏感个人数据的监管边界。司法部在征询意见的过程中，主要关注的议题和关键点包括但不限于：现有定义的精细化修订、匿名化等数据处理方式的差异化监管、六大类敏感数据定义的再评估及数据类别增减可能性、特定人类组学数据交易的潜在监管要求等。


● 美国政府相关数据

与美国敏感个人信息数据不同，《14117行政令》对本类别数据的管制，不以其达到一定的阈值为前置条件。

○ 政府相关地理位置敏感数据：

此类数据着重于任何与军事设施、政府建筑以及其他具有高度敏感属性场所或地理位置精确匹配的地理坐标信息，不论数据规模大小。这类地理围栏区域的确定经由跨部门协调流程形成，各相关机构会依据各自职责识别并推荐应纳入清单的敏感地理区域。最终，由美国司法部负责维护并正式对外发布这份被称为“政府相关地理位置数据清单”的官方文档。

○ 关联政府人员的敏感个人数据集：

不论数据规模大小，凡涉及或被认为与美国政府在职人员、近期离职员工、合约工作者以及前任高层官员（涵盖军方和情报界人士）相关的敏感个人信息，均属此类。这类数据在市场流通中，可能表现为明示或暗示与特定政府部门任职者、现役军人或与特定敏感地点存在关联的社群成员的个人数据集。

3. 受管制交易
美国司法部拟定的受监管的数据交易类型分为禁止的交易和受限制的交易。禁止的交易和受限制的交易的关键区别在于，前者因其不可接受的风险而无条件禁止，而后者则可在满足一定安全要求后进行。

● 禁止交易

对美国国家安全构成不可接受风险的交易，且认为通过安全要求无法缓解该风险。具体包括：

○ 数据经纪交易
涉及销售、访问许可或从任何来源向任何接收方转移个人数据的商业活动，且数据接收方未直接从与个人数据相关联或可关联的实体收集数据。

○ 基因组数据交易
涉及向关注国家或受限主体提供大量的人类基因组数据或可从中提取这类数据的生物样本的交易。

● 受限制交易

可能对美国国家安全构成风险，但风险可以通过实施适当安全措施来减轻的交易类型。这些交易包括：

○ 供应商协议
涉及交换商品或服务以换取对价的协议或安排，例如提供云计算服务的协议。

○ 雇佣协议：
涉及个人直接为美国主体工作或履行工作职能而得到报酬或其他对价的安排，如在董事会服务或执行行政职能。

○ 投资协议：
涉及以付款或其他对价换取位于美国的不动产或美国法律实体的所有权利益或权利的协议或安排。

● 豁免的交易

在《预先通知》中，美国司法部详尽列举了多种无需受限的数据交易类型，具体涵盖但不限于以下几个方面：

（1）特定类型信息交易：
此部分包括个人间的通讯往来、公开发行的出版物、影视作品等非物质性信息或信息材料的跨境交易，这些交易并不涉及实物财产的所有权转移。

（2）美国政府职能相关的数据交易：
涉及美国政府工作人员、承包商、受援人执行公务行为所产生的数据交易，或是依据美国政府授权开展的活动，以及按照政府资助或签订的合同进行的数据流转。

（3）金融服务、支付处理和监管合规相关的交易：
此领域覆盖银行业务、资本市场运作、保险服务等活动，在这些活动中，可能涉及对个人财务数据或特定个人标识符的操作处理。

（4）美国跨国企业内部运营相关的数据交流：例如，企业内部出于人力资源管理目的而分享员工个人信息的情形，以及向审计师和律师事务所提供数据以遵循法规监管要求的情况。

（5）符合联邦法律或国际协议规定的交易行为：
例如，航班旅客信息的互换、国际刑警组织提出的数据请求，以及涉及公共卫生监测等国际合作项目。

另外，根据《预先通知》，司法部还考虑免除对以下数据交易活动的限制：

（1）纯粹的被动投资行为，特别是那些不涉及所有权或权益转让，且通常出现在金融服务、支付处理和监管合规常规环节中的投资，比如银行、证券市场或金融保险业的部分操作。

（2）与美国跨国公司内部支持性业务运营密切相关的活动，例如薪资发放和人力资源管理工作。

（3）美国政府及其所属承包商、雇员以及授权代表执行官方商务往来的交易。

（4）依法必须或获授权进行的数据交易，如依照联邦法律或国际协议的规定交换乘客名单信息、回应国际刑警组织的请求，以及执行公共卫生监测任务等。

4. 罚则&违反后果
目前，关于违反《14117行政令》的具体处罚措施尚未明确，有待美国司法部后续详细制定。根据《情况说明》，司法部得以依据《国际紧急经济权利法案》对违反该命令的实体实施民事与刑事处罚。具体处罚将依据违规行为的事实情况决定。

5. 中国出海企业合规要点
《14117行政令》的颁布是美国近期对数据自由流通政策逐渐收缩的直接体现，其对于特定敏感数据类型的严格限制规定，无疑对包括生物科技、医疗保健、智能网联汽车、金融服务及电子商务在内的中国企业构成了巨大的合规挑战。特别是那些涉及第三方供应商数据处理和跨国企业内部数据流动的场合，企业必须时刻保持警觉并迅速采取有效措施应对。

在这一背景下，中国出海企业不仅需要紧跟《14117行政令》及其实施细则的最新发展，还要做好中国被列为“受关注国家”的充分准备，从而确保其在美国的业务操作既遵守当前法律法规，又能灵活应对将来可能的政策变化。企业应深入评估现有及未来的数据处理项目，针对不同类型的数据制定细致的管理和保护措施，并探索可能在美国本土或其他非“关注国家”处理敏感数据的方案，以尽可能降低合规风险。对于即将进入美国市场的企业，更应从早期就对美国数据处理的必要性及其风险进行全面评估，并据此制定实际的合规系统部署和运营方案。

面对《14117行政令》提出的合规挑战，建议中国出海企业预先部署如下合规对策：

（1）精确界定敏感数据并采取合规措施，审慎处理受管制数据交易

企业需要持续关注美国司法部后续对受管制数据范围的进一步界定与精细，并据此准确识别哪些信息属于敏感数据范畴，如基因组信息、生物识别数据、个人健康记录、地理位置信息和金融数据，并预先采取恰当的管理措施。在涉及上述美国敏感个人数据的交易中，企业必须遵循交易阈值的限制，并有效利用豁免交易条款。

（2）积极参与法律程序，把握申诉机会：
面临可能的“受关注实体”认定或其他不利情况时，企业应积极参与美国提供的法律救济程序，通过正式的申诉渠道争取自身权益，确保业务活动不受不当限制。

（3）构建全面风险评估与应对机制：
建立健全内部合规体系，持续监控国际贸易环境和美国政策趋势，对潜在跨境数据交易和业务活动进行前瞻性评估，及时调整合规策略。

威理扬法律团队将持续跟进后续发展。

★
本周欧美动向
★

  //  
一、立法动向

1. 欧盟委员会通过人工智能法案：旨在保障基本权利与推动技术创新

2. 欧洲专利局更新人工智能发明审查指南

二、诉讼与维权

3. 未成年家长对Roblox提起集体诉讼，指控其游戏具有“成瘾性”及“剥削童工”

4. 美国三家数字媒体公司，起诉OpenAI未经授权适用新闻报道训练AI

5. 马斯克起诉OpenAI，要求其做到技术开源

三、行政动向

6. FTC指控H&R Block删除用户数据并虚假宣传“免费”在线报税服务

资讯详情，请见「ACG合规双周刊」

「ACG合规双周刊」获取

ACG同好们！
想及时了解ACG行业在国内、日本以及欧美市场的最新法律动态吗？
 
威理扬法律团队每月为您精心准备了两期「ACG合规双周刊」??
从立法、行政、司法到行业政策，
里面有所有您需要知道的关于ACG出海的法律资讯和解读，
助您轻松掌握出海的法律要点??

左右滑动查看「ACG合规双周刊」内容

想免费订阅？超简单！

??扫描下方二维码添加小编为好友??


告诉小编「我要ACG合规双周刊」，
并留下您的邮箱、单位、职位及姓名，
最新资讯马上送达！??

让我们一起走在ACG法律的最前沿吧！??


团队创始人
林娜
垦丁北京联合创始人
威理扬法律团队创始人
二次元合规律师
骨灰级二次元迷

深耕互联网ACG行业法律实务15年，专注数字经济环境下的知识产权、数据合规、网络法律实务。日本北海道大学法学硕士，师从日本知识产权法第一人田村善之教授。中国人民大学法律硕士实务导师、“威理扬ACG法实务”平台主理人、北京市文化娱乐法学会中日文化与法律工作委员会主任、第二届理事会理事、日本九州经济联合会知识产权研究会会员。

曾供职完美世界法务部高级法律顾问、竞技世界法务部手游组负责人、某精品顶级律所日本业务部部长。曾为社交类、内容类、游戏类、工具类等多家互联网产品出具量身定制的全生命周期合规方案，并提供出海欧美、日韩、东南亚、中东等国家的合规方案。

曾在日本知识产权权威杂志《AIPPI》62卷3号发表日文论文《实用艺术品的著作权保护制度中日比较》，并在日本九州经济联合会知识产权研究会上以日文多次发表主题演讲。

扫码联系林娜，加入ACG合规讨论群
（请注明：实名-单位-来意）
关于威理扬    

垦丁律师事务所威理扬法律团队，骨灰级二次元迷汇集地、产品经理型律师团队。专注ACG产业全生命周期法律合规、为互联网企业提供出海合规方案、国内研发及发行各阶段法律风险梳理及评估、数据合规、知识产权及诉讼纠纷等。
团队初心
“二次元”发源日本，面向世界。时代赋予了“二次元”新的含义和生命。

悲壮如银河战争中的提督杨威利、孤勇如明治维新的剑客绯村剑心，坚毅如满血热爱穿越千年的棋魂藤原佐为、温暖如十二国残酷斗争中始终给人希望方向的半兽乐俊....

新的时代，我们看到了在日本扬帆起航的罗小黑战记、收获了时光代理人带来的惊心动魄、看到刺客伍六七迈向世界的高昂步伐、也惊艳于原神的全球开花......

热爱二次元、痴迷日语、精通英语的我们，从漫画到动画，从动画到游戏，从游戏到虚拟世界.....愿以法律合规为器，伴你披荆斩棘，为你保驾护航。
声明
 本文章所载内容仅供参考之用，并不代表威理扬法律团队及律师的意见。如需更多信息，请联系我们。
往期推荐
二次元合规|第8期|剧情相似都是侵权吗？对比《犬夜叉》与《逍遥》摘要
二次元合规|第7期|米老鼠著作权到期，大家可以随便用了吗？
二次元合规|第6期|AIGC对原图的“炼丹”行为，侵权吗？
二次元合规|第5期|游戏和动漫中可以随便使用知名建筑做背景吗？
二次元合规|第4期|《JOJO的奇妙冒险》中的角色pose，可以模仿现实模特们么？
二次元合规|第3期|击破次元壁的风险：二次元联名“合规深坑”及“避坑指南”
「データの越境移転の規制と促進に関する規定（意見募集稿）」のコメントと対応策について
数据跨境|关于《规范和促进数据跨境流动的规定（征求意见稿）》的解读和合规建议
出海日本|ACG产业出海之【虚拟偶像】：纠纷处理&国内对比
出海日本|在日销售Cosplay服装周边或入刑——销售鬼灭之刃相似周边构成不正当竞争犯罪一案
从“率土之滨”诉“三国志”谈游戏玩法的中日知识产权保护
美国版权局发布包含AI生成内容作品的著作权登记规则
出海日本合规｜原作品与二创的界限如何划分？从日本小甜甜案说起
出海日本｜商标共存制度之中日观察
出海日本｜日本新《个人信息保护法》全文翻译【2023年4月1日施行】
重磅发布｜《虚拟数字人法律问题研究报告》
深度丨漫画分镜的著作权保护——从B站下架《幽冥诡匠》一事说起
互联网产品出海美国在COPPA上的合规要点——从FTC v. Epic《堡垒之夜》违反COPPA一案解读
为何日本的监修制度如此严苛？——从日本保护作品完整权判例解读
SNS转发行为是否构成日本著作权法上的侵害著作权行为？ ——以“转发”案日本最高法院判决为中心（上）
SNS转发行为是否构成日本著作权法上的侵害著作权行为？ ——以“转发”案日本最高法院判决为中心（下）
未经许可的Cosplay构成侵权？——解读日本马里奥卡丁车侵权纠纷