美国对华数据跨境边界重塑

2024年2月28日，美国总统拜登签发了第14117号行政命令（Executive Order on Preventing Access to Americans Bulk Sensitive Personal Data and United States Government-Related Data by Countries of Concern，以下简称“行政令”），旨在从国家安全维度保护敏感个人数据和美国政府相关数据，防止其受到“受关注国家”（Countries of Concern）的利用。考虑到行政令中指示美国司法部制定相关规定，司法部也配套发布就拟议规则制定的预通知（以下简称“ANPRM”），同时就ANPRM发布了相应的情况说明（Fact Sheet, 以下简称“情况说明”）。

此前美国在数据跨境流动问题上，总体较为宽松，虽然有外商投资安全审查和技术出口等维度的个别性要求，也存在基于国家安全或具体数据安全事件而针对个别企业的交易禁令或处罚，但并没有在数据流动、总体边界维度形成系统化的监管措施。而此次行政令从政治和安全角度，显示出较为显著的综合性战略调整。综合行政令、ANPRM和情况说明，我们就此次新规内容进行了解读总结，以便市场主体掌握重点。


一、 哪些数据受到限制？

目前来看主要为两类：

1
 “敏感个人数据”：
 
总结来说，包含六类，即i.个人识别信息、ii.精确地理位置数据及相关传感器数据、iii.生物特征识别信息、iv.人类基因组数据、v.个人健康数据、vi.个人金融数据，或者任何这些数据的组合。这其中同时有几个关注重点：

后续正式规定中还可能对“敏感个人数据”有更详细的界定；

“敏感个人数据”明确不会包括合法对公众开放的公开记录数据（比如法院或政府记录）；

由于行政令部分是基于美国《国际紧急经济权力法案》（IEEPA）对总统的授权，而IEEPA中出于言论和表达自由等维度的考虑，明确了不涉及价值转移个人通讯，以及视频、艺术作品或出版物等表达类信息，不应受到IEEPA下总统权力的影响。因此前述信息后续也不会被归入“敏感个人数据”；

并非所有“个人识别信息”都是“敏感个人数据”，后续规则中会有明确列出的“个人识别信息”类型，只有被列出的信息或该等信息组合，才会受到限制。目前行政令和情况说明下明确不属于“个人识别信息”的内容，包括：（i）仅与另一项“人口统计或联系数据”相关联的“人口统计或联系数据”（如姓名、出生日期、出生地、邮政编码、居住街道或邮政地址、电话号码和电子邮件地址以及类似的公共账户标识符）、（ii）仅与用于提供电信、网络或类似服务的另一项“网络标识符、账户认证数据或呼叫数据”相关联的“网络标识符、账户认证数据或呼叫数据”。

“个人健康数据”的范围，指向《健康保险流通与责任法案》（Health Insurance Portability and Accountability Act）及其实施细则中对“个人可识别健康信息”（individually identifiable health information”）的定义，这使得其范围会包含可识别至个人的统计数据、个人健康状况、与健康治疗提供或其支付相关的信息（比如诊疗信息、诊疗支付信息等，且无论这个信息的记录方是谁（因此可能涵盖医疗机构、雇主、健康保障计划提供方等））。

 “个人金融数据”将包括与个人信用卡、借记类卡或银行账户相关的数据，包括购买和支付记录；银行、信用或其他财务报告表单中的数据，包括资产、负债和债务以及交易；或者在信用报告或 “消费者报告”（主要指美国《公平信用报告法》项下的consumer report）中的数据。

2
 “美国政府相关数据”：
 
包含司法部长确定的有高风险被“受关注国家”用以损害美国国家安全的以下类型数据：

对交易一方而言，该数据与联邦政府（含军队）的现任或前任员工（或合同工）或前任高级官员关联或可关联：

与可用于识别联邦政府（含军队）的现任或前任员工（或合同工）或前任高级官员的数据类型相关关联；

与联邦政府（含军队）控制的某些敏感地区关联或可关联。对这类地区，后续司法部会提供明确的清单。


二、 涉及上述数据的哪些行为会受到限制？

总结来说，需要同时满足以下条件，行为才会受到限制

首先其需要是“美国人士”，以及涉及“受关注国家”或“受关注人士”(covered person) 的参与方之间发生的交易。

这其中“美国人士”包含美国公民、国民或合法永居、美国接受为难民或者提供庇护的个人、仅根据美国法或在美国司法辖区下组建的实体（含其外国分支机构），或任何位于美国境内的人士；

其次行为中如果涉及的是“敏感个人数据”，则“敏感个人数据”需要达到一定的量级才会触发限制。如果交易涉及的是“美国政府相关数据”，则无论量级多少都会触发限制。


我们来逐一拆解一下这两个条件的要点：

1“受关注国家”和“受关注人士”
 
纯美国境内的交易或美国与其他非 “受关注国家”的数据流动，逻辑上都不会受到影响。但需要关注两类可能发生的例外情况：

交易双方虽均处于美国，但其中一方属于“受关注人士”，此时仍然可能受到限制；

虽然是美国和非“受关注国家”主体间的交易，但是交易下的数据通过非“受关注国家”再流动到“受关注国家”，此时仍然可能受到限制。

    在这个点上，后续对美国交易方的要求，可能会分成两类：

如果交易涉及与非美国方的数据经纪活动，则美国一方需要在合同上要求非美国方不得将信息提供给“受关注国家”或“受关注人士”；

如果交易不涉及上述情况，则美国一方需要不“明知”交易涉及“受关注国家”或“受关注人士”。

对于“受关注国家”，目前拟包括中国（含香港和澳门）、俄罗斯、伊朗、朝鲜、古巴和委内瑞拉。

对于“受关注人士”，目前拟包括四类，即：

被“受关注国家”直接或间接拥有50%或以上，或根据“受关注国家”组建或设立，或其主要经营地在“受关注国家”的实体；

 由前述a类实体或以下c、d或e类人士直接或间接拥有50%或以上的实体；

作为“受关注国家”或前述a、b类实体或以下 e类人士的员工或合同工的非美国人；

 主要居住在“受关注国家”的非美国人；

司法部长认定为被“受关注国家”拥有或控制，或者受其管辖或指示的实体，或者代表或声称其代表“受关注国家”或“受关注人士”行事的人士，或者是在“明知”情况下导致或“引起”对相关规定的违反的人士。

因此中国（含港澳）企业、其境外控制的实体、其雇佣且不属于“美国人士”的人员、单纯长期居住在中国境内的非美国人，都可能受到辐射。

同时需要留意，后续司法部还计划会定期发布“非穷尽性的清单”，用于指导市场主体判断“受关注人士”。

2
 触发限制的数据量级
 
如果交易涉及的是“敏感个人数据”，那么只有这些数据达到一定的量级（指其涉及的美国人或美国设备的数量），才会触发限制。不同类型的“敏感个人数据”（比如“个人识别信息”、“人类基因组数据”等）对应的量级要求不同。

具体的量级还在评估中，目前初步设定的量级上，“个人识别信息”最不容易触发限制（需要1万或100万人量级，最终选用量级会综合考虑风险后来确定）；而“个人金融数据”、“个人健康数据”次之（1000或100万人量级触发）；“精确地理位置数据”、“生物特征识别信息”、“人类基因组数据”最容易被触发限制（100或1000人/设备量级触发）。


三、 对上述受限交易行为会有哪些限制措施/要求？

若满足全部受限条件，则需要看交易的类型。

如果属于禁止类交易，则相关交易就不能开展；而如果交易属于限制类，则需要在满足一定的安全要求的前提下，方可开展相关行为。

在交易类型划分上，目前以下五类中，前两者可能归入禁止类，而后三者可能归入限制类：

数据经纪交易（即接收方并没有直接从与收集或处理的个人数据相关联或可关联的主体之处收集数据，但提供方向接收方出售、许可其访问数据或类似的涉及从提供方向接收方转移数据的商业交易）；

人类基因组数据交易（即涉及“批量人类基因组数据”或可用于获得该等数据的“生物样本数据”的交易）；

供应商协议（只要一方向另一方提供商品或服务用以换取付款或其他对价，即构成供应商协议。这其中不包括雇佣协议，但包括云服务协议，因此IaaS、PaaS、SaaS都会符合这一定性);

雇佣协议（这其中不包括独立的外包合同工，但如果直接基于向相关主体履行一定的工作职能以获得款项支付或其他对价的，无论工作职能是在董事或委员会、管理层还是运营维度，都会满足这一情形）；

投资协议。


具体对限制类交易的“安全要求”有待后续规则规定，但可能会包括：

网络安全和技术维度的措施和要求，如基本的组织层面的网络安全要求、物理和逻辑维度的访问控制、数据掩码和最小化措施，以及应用隐私保护技术、遵照美国网络安全和基础设施安全局（CISA）和美国国家标准与技术研究（NIST）的网络安全技术实践要求；

合规审计要求，例如由独立审计机构对是否合规落实上述要求进行年度审计。


四、 是否有交易可以获得监管上的豁免？

有。首先，部分交易会被明确豁免，这其中包括：

通常与金融服务、支付处理和监管合规相关并且构成其一部分的行为（例如银行、资本市场或金融保险活动；其他监管机构监管权限范围内的金融活动；为购买和销售商品和服务而提供或处理支付，而该等支付提供或处理涉及个人金融数据或“个人识别信息”;以及法律和监管合规)；

美国公司集团内交易，主要含：
a.“美国人士”与其位于“受关注国家” (或被“受关注国家”所有、指导、管辖或控制) 的子公司或关联方之间的交易;







b.通常与
公司
内部辅助性业务运行相关
且构成其一部分的行为（例如
为了人力资源目的共享个人可识别信息、支付跨国员工或合同工薪水、支付业税费为了监管合规与审计师和律所共享信息、风控管理
）

美国政府及其合同工、雇员和受拨款人的官方活动（例如联邦资助的健康和研究活动（相关资助部门自身会设定外包或拨款条件等进行规制））；或

联邦法律或国际协议要求或授权的交易(例如乘客舱单信息交换、国际刑警组织请求和公共卫生监控)。

其次，对于禁止和限制方面的措施和要求，后续司法部将有权考虑给予一定的限制范围、条件等维度上豁免；后续细则上也会设置流程，允许个人或企业向司法部申请对其自身特定交易给予许可豁免，或向司法部寻求相关规范适用方面的意见。

同时，针对“投资协议”这类情形，后续规则中也可能考虑对惯常不会涉及不可接受的国家安全风险，且不会有权利或影响力传导作用的投资，予以豁免。这类豁免情形本质上指向被动性纯财务投资，具体可能包括：

投资公开交易的证券；

投资指数基金、共同基金、交易所上交易的基金或“投资公司”或私募投资基金提供的类似工具（包括相关的衍生品）；

作为有限合伙人向风险投资基金、私募股权基金、FOF或其他集合投资基金投资，且仅进行有限合伙或类似结构中的资本投资，不参与管理决策，不承担投资以外的债务，不会有正式或非正式的能力影响或参与基金或“美国人士”的决策或运营；

“受关注人士”通过投资只在“美国人士”中获得少于一定门槛的总投票权和股权利益；以及

投资不会给予“受关注人士”超出被合理认为属于少数股东合理保护内容的权利，包括对“美国人士”的a.董事会或类似管理组织的席位、观察权、提名权；或b.就实质性商业决策、管理或策略的任何超出股票投票权的任何形式的介入。


五、 就新规市场主体要注意哪些事项？

我们认为现阶段可重点关注以下6点事项：

总体上来说，由于行政令主要起到一个指定各个部门就相应政策制订并发布细则的作用，ANPRM也是主要用来征求公众意见的，因此新规的实质性法律效力和效果需要通过后续正式制定的正式规则来反映和实施。对于市场主体来说，首先需要关注后续征求公众意见的说明、就拟议规则制定的通知（NPRM），同时考虑适时通过适当方式反映意见。

其次，有中国业务的美国跨国企业或有赴美出海业务实体的境内企业，需要提前考察自身是否有美国 “敏感个人数据”或“美国政府相关数据”传输到中国境内处理，或允许境内访问，且无法归入豁免情形（例如金融服务或集团内人事管理）的情况。如果存在，就需要对后续调整数据处理方式有所准备（例如转为美国本地化处理或转由非“受关注国家”和非“受关注人士”处理）。

美国企业和在美国有业务实体的中国出海企业，需要关注自身业务中是否涉及符合量级的美国 “敏感个人数据”或“美国政府相关数据”，如有，需要进一步考虑在美国实体中雇佣中国籍人员（包括高管）或就该等美国实体业务采用境内团队进行数据或技术支持是否受到限制。这是因为无论是高管还是远程运营团队，如果其属于“受关注人士”范畴，而其同时基于雇佣协议关系在工作过程中可能接触到 “美国政府相关数据”或达到量级的“敏感个人数据”，就可能触发限制。

 境内主体投资美国业务如果可能因投资而接触美国“敏感个人数据”或“美国政府相关数据”。如果存在这些情况，则需要留意相关情形是否会触发限制，从而对后续涉美投资交易的开展或投后管理造成障碍。

在行业维度，境内企业需要留意自身业务如大模型训练和生物研发过程中，有否数据采购和收集来源涉及美国批量“敏感个人数据”甚至“美国政府相关数据”的情况，确保自身数据源的合规和稳定性。除上述两个行业外，跨境电商和互联网服务商我们预期会受到比较实质的影响，而金融企业的对外日常金融业务开展总体来看不会受到实质阻碍，但在自身运营过程中，如果涉及美国数据经纪方式获得数据并跨境，或涉及基于雇佣境内人员或使用境内服务而可能涉及数据出境（比如前述第3种情形）等，则仍有可能受到影响。

具有跨国业务企业须考虑在数据合规过程中，针对不同法域的不同数据分类处理监管逻辑，匹配相应的分类分级制度。相同的数据，基于其来源、处理方、可能接触方等在不同法域监管要求下存在着交叉，但不同的分类管理逻辑也在日渐凸显，需要考虑系统化地制定数据分类分级制度，以确保在自身涉及的多重法域下都不会受到挑战。

作者介绍

版权归属与免责声明

本文章仅供业内人士及合作伙伴参考，不应被视为任何意义上的法律意见。未经上海澄明则正律师事务所书面同意，本文章不得被用于其他目的。如需转载，请注明来源。如您对本文章的内容有任何问题或需寻求任何法律协助，请联系我们。