【大成·陈福 傅彦翔】美国《敏感数据行政令》深入解读（下）

引言
INTRODUCTION

在上一篇文章中，我们深入解读了美国《敏感数据行政令》的出台背景和主要内容。这一开创性的行政令反映了美国日益强调"数据主权"的监管立场，即以国家安全为由加强对跨境数据流动的管控。行政令授权美国司法部制定规则，限制或禁止向中国等“受关注国家”转移美国公民敏感个人数据和政府相关数据，并对"受限制主体"的范围作出原则性规定。
然而，行政令在具体实施层面仍存在诸多不确定性。各类敏感数据的定义和监管阈值有待明确，豁免条款的适用范围也有待细化。这无疑给相关企业，尤其是在美运营或服务美国用户的中国数字企业，带来了较大的合规压力和经营风险。
那么，面对美国此次具有重大影响的行政令，中国企业究竟将受到怎样的影响?又应当如何应对？本文将在上篇解读的基础上，分三个部分展开探讨：一、美国《敏感数据行政令》对中国企业的潜在影响；二、中国企业的合规建议与应对策略；三、中美数字治理博弈格局走向。
敬请各位读者继续阅读，看美国这盘数字监管“大棋”将如何落子，中国企业又将如何精准落位，在合规与发展间找到平衡。更重要的是，透过政策表象，管中窥豹，洞察中美两个数字大国在数字治理领域的博弈逻辑和未来走向。


PART 01‍
《敏感数据行政令》带来的影响

美国此次颁布的《敏感数据行政令》，将对在美运营或涉及美国用户数据的中国企业产生重大影响。具体而言，中国企业可能面临以下三大挑战：

一
 中国被明确列为“受关注国家”，与中国相关的数据交易将受到更严格审查

根据《敏感数据行政令》，司法部将有权认定“受关注国家”(countries of concern)的具体范围。行政令指示司法部在与国务卿、商务部长协商后，考虑将中国等6个国家纳入监管。这意味着，涉及美国用户敏感数据的中国企业将面临被禁止或限制与美方开展数据交易的高风险。
值得注意的是，行政令不仅直接限制与“受关注国家”的数据交易，还授权司法部认定其管辖下的实体和个人是否应纳入管制范围，即“受限制主体”(covered persons)。这包括受“受关注国家”所有、控制或管辖的实体，以及与这些国家存在一定利益关联的外国企业和个人。这进一步扩大了合规监管的范围，使更多与中国有关联的企业面临被额外审查的风险。

二
 行政令及相关法规的不确定性增加了中国企业的经营风险

尽管行政令对管制对象和管制范围作出原则性规定，但在具体操作层面仍存在诸多不确定性。例如，司法部尚未明确“受关注国家”的最终认定标准。虽然行政令提及中国等6国，但也授权司法部长视情新增或删除个别国家。
此外，司法部在《预通知》中公布了各类敏感数据的初步监管起始阈值，包括交易涉及的美国公民人数或美国设备数量。超过这些阈值的数据交易将被禁止或限制。但这些标准尚未最终确定，司法部仍在就此公开征求意见。
上述不确定性增加了中国企业的合规难度和经营风险。在监管细则尚不明朗的情况下，企业难以评估自身数据活动是否合规，也难以提前做好应对准备，这无疑加重了运营和法律成本。

三
中国企业在美国的投融资也可能因行政令受阻

美国正加紧对外国在美投资的国家安全审查，尤其是对华技术投资的限制。继2018年《外国投资风险审查现代化法案》(FIRRMA)扩大了美国外国投资委员会(CFIUS)的审查权限后，拜登政府正酝酿出台新的行政令，进一步收紧对“不利于美国国家安全的对外投资”的管控。
在此背景下，《敏感数据行政令》无疑会对中国企业赴美投资，以及从美国获取资本、技术的渠道造成影响。一方面，若交易涉及用户敏感数据，将面临CFIUS更严格的安全审查：另一方面，中概股也可能因数据合规问题而在美上市受阻。从长远看，中美在数字治理领域的分歧可能进一步加剧双方的技术和资本“脱钩”，制约中国数字企业“走出去”布局的空间。

PART 02‍
合规建议与应对策略

一
 全面评估数据活动，制定完善的数据合规战略

首先，中国企业应当全面评估自身的跨境数据活动，厘清数据流动的各个环节，包括数据的收集、传输、存储、使用等。重点关注以下合规要点：
1.梳理所涉数据的种类、规模，判断是否构成行政令规制的敏感个人数据：
2.评估数据接收方是否涉及“受关注国家”或“受限制主体”，交易是否涉及行政令禁止或限制的情形：
3.审视现有数据活动能否满足行政令及后续法规提出的安全要求，如数据去标识化、加密等技术措施。
在此基础上，企业应制定切实可行的数据合规战略。一方面，调整优化业务架构和数据流程，降低不必要的数据跨境风险：另一方面，完善内部数据治理制度和技术方案，从组织、流程、技术等方面强化合规能力建设。

二
持续关注监管动向，确保合规应对及时到位

鉴于行政令还有诸多细则有待明确，企业应持续关注后续法规和实施指引的出台，及时调整应对方案。具体而言：
1.密切关注司法部最终认定的“受关注国家”与“受限制主体”清单，评估企业是否属于或涉及清单国家与主体：
2.跟踪司法部最终确定的敏感数据“规模阈值”标准，评估企业的数据活动是否达到监管起始门槛：
3.研究国土安全部即将制定的交易安全要求，评估现有安全措施是否满足监管预期。
建议企业建立相应的内外部沟通机制，第一时间获取监管信息，确保合规应对贴合监管要求，避免因信息滞后而导致合规不到位的风险。

三
加强与利益相关方的沟通协作，共同应对行政令影响

行政令的实施不仅影响中国企业，也将影响到美国企业和消费者的利益。为此，中国企业应积极与利益相关方沟通，携手应对行政令带来的挑战。
对内，加强与美国子公司、合作伙伴的协调，确保在具体执行层面形成合力，避免因理解或执行不一致而产生合规风险。同时，做好与投资者、客户的沟通，阐明合规立场，化解其顾虑。
对外，积极通过行业组织、商会等渠道，与美国主管部门和其他利益攸关方交流，反映企业诉求。可联合开展行政令影响评估，向监管机构提交书面意见，争取在法规制定过程中为企业发声。必要时，还可运用法律手段，通过行政复议、诉讼等方式维护正当权益。

PART 03‍
中美数字治理博弈格局走向

2024年2月，美国颁布《敏感数据行政令》，以国家安全为由，授权司法部限制或禁止向中国等“受关注国家”转移美国公民敏感个人数据和政府相关数据。此举标志着美国对跨境数据流动的监管立场出现重大转变，由过去相对自由开放转向更加强调数据主权和安全审查。
与之形成对比的是，中国近年来在数据跨境流动领域展现出逐步开放的态势。2023年9月，国家互联网信息办公室发布《规范和促进数据跨境流动规定(征求意见稿)》。该规定在坚持安全评估备案制度的基础上，实质性豁免了具有强出境必要性以及仅涉及少量个人信息出境的数据出境场景，在确保数据有序跨境流动的同时实质降低了企业的合规负担。这表明中国在新形势下支持经济全球化，为数据跨境流动提供了更多确定性和可能性。
从表面看，中美两国在数据跨境流动治理上呈现出一定的趋同态势，即在支持合理、有序的数据跨境流动的同时，基于国家安全等考量对特定数据设置必要限制。但深层次看，两国的政策取向仍存在微妙差异：美国更加强调数据安全，收紧对敏感数据的管制：而中国则更加注重在风险可控前提下，以开放促发展，让数据跨境流动更好服务经济社会发展。
对于中国数字企业而言，面对美国日趋严格的数据跨境监管，亟需制定完善的合规应对方案。既要全面评估自身数据活动，优化数据治理机制，严格遵守行政令要求，控制合规风险：又要持续关注中美数字治理格局变化，把握中国数据跨境新规带来的发展机遇，在依法合规前提下，积极开展数据跨境流动，助力企业“走出去”。
从更广阔视角看，中美在数字治理领域仍有较大分歧和摩擦。但随着数字经济的发展，两国在数据跨境流动等议题上的共识空间或许正在拓展。只有通过加强对话、增信释疑，在彼此尊重对方关切的基础上寻求最大公约数，才能构建起互利共赢的全球数字治理新秩序。这不仅需要中美两国政府审慎务实地管控分歧，也需要两国企业携手努力，以负责任的数据行为促进数据安全有序流动，共创数字繁荣。


结语
CONCLUSION 

美国《敏感数据行政令》的颁布，折射出中美两国在数字治理领域的分歧与博弈。作为全球数字经济的引领者，美国试图运用长臂管辖手段，以国家安全为名加强对数据跨境流动的管控。而作为数字经济的后起之秀，中国则更加注重在风险可控前提下，以开放促发展，支持数据跨境自由流动。
站在中国数字企业的视角，面对美国日趋严格的跨境数据监管，合规风险与合规成本并存。企业应当未雨绸缪，制定全面的合规应对方案，既要严格遵守行政令要求，控制数据安全风险，又要把握中国数据跨境新规带来的发展机遇。唯有内外兼修，审慎前行，方能在动荡的数字治理环境中砥砺前行。
从更广阔视角审视，中美在数字治理领域分歧犹存，但合作共赢的必要性与可能性依然存在。疫情催化数字化进程，数据跨境流动已是大势所趋。中美作为数字经济体量最大的两个国家，应在相互尊重的基础上加强对话，管控分歧，在数据安全与数据流动间找到平衡。这需要两国政府与产业界共同努力，以务实包容的姿态，携手构建互利共赢的跨境数据治理新规则。
数字技术发展日新月异，数字治理也将是一个不断演进的过程。面对未来更加复杂多变的数字生态，中美两国应当协力而为，积极引导全球数字规则制定，让数字经济成为推动世界经济复苏、增进全人类福祉的新引擎。正如谚语所言：“沧海横流，方显英雄本色。”唯有勇立潮头，砥砺前行，中美两国和全球数字企业才能在数字时代的浪潮中劈波斩浪，开创数字文明的新篇章。
‍


END
往期回顾
REVIEW
美国《敏感数据行政令》深入解读（上）
两会 | 推动数字经济创新发展，“数据要素”相关提案解读
新闻 | 陈福律师参与牵头起草北京地方标准《数据资产合规入表指南》