圣誕假期后首日，中國六代戰機亮相當天，美國司法部發布了“應對外國對手獲取美國公民敏感個人數據”的最終規則。

通過該規則，美國政府針對美國個人敏感數據向中國（包括香港和澳門）、古巴、伊朗、朝鮮、俄羅斯和委內瑞拉的跨境傳輸，設立了一個數據出境國家安全審查制度。

這也標志著拜登政府今年2月發起的限制美國個人數據向中國跨境流動的聯邦法規，在本屆政府即將謝幕之際最終落地。

2024年2月28日，拜登政府依據《國際緊急經濟權力法》（IEEPA）發布了一項保護美國人個人敏感數據免遭“關注國家”利用的行政命令。美國司法部同時發布了執行該行政命令的擬議規則制定的預通知，概述了實施該命令的想法，并公開征求意見。

10月21日，美國司法部在擬議規則制定的預通知基礎上，公布了“應對美國敏感數據面臨的國家安全風險擬議規則”，并再次公開征求意見。

本次最終規則在擬議規則基礎上進一步修改完善后形成了最終版本，將在刊登于《聯邦公報》之日起90天后生效，其中部分規定（對受限交易的盡職調查與審計的積極義務、年度報告和對被禁止交易的報告）于刊登之日起270天后生效。

與中國在數據領域逐漸脫鉤，自特朗普1.0時起就已成為美國政府的既定方針。特朗普政府推動國會出臺《外國投資風險審查現代化法案》，將外國投資委員會審查中國對美投資并購的重點也從國防、反恐轉移到科技領域，聚焦數據安全。此后，眾多涉及數據安全或敏感個人信息的中資并購被其否決或要求采取緩解措施，例如螞蟻金服收購速匯金、昆侖萬維收購Grindr等。特朗普任內還啟動了針對中國信息通信技術與服務的國家安全審查，其核心目標之一也是防止中國經由和美國的信通技術與服務交易獲取涉及美國人敏感個人數據。

但美國司法部發布的這個聯邦法規，在美國歷史上第一個建立起了一個全面的數據跨境流動審查制度，也使美國成為繼中國之后第二個由政府從國家安全角度介入和審批數據出境的國家。自此，美國一直奉為圭臬的“數據跨境自由流動”主張加了個明確的限定：僅適用于不是“外國對手”的國家。如果美國數據出境到“外國對手”國家，則不再適用“數據跨境自由流動”的一般原則，需要司法部的許可。

特別值得警惕的是，該規則的影響可能超出數據跨境流動，波及中國企業的美國子公司在美國開展的交易。美國司法部一方面明確該規則不監管“美國人”之間在美國境內進行的“純國內交易”（如“美國人”對數據的收集、維護、處理或使用），但又加了個限定：該“美國人”沒有被明確且公開指定為“涵蓋主體”（對涵蓋主體，司法部禁止或限制美國公司與之進行涉美國人批量敏感數據的交易）。

最終規則對“涵蓋主體”適用類似財政部外國資產控制辦公室的50%規則向下穿透。這也就意味著，美國司法部至少理論上有可能把一些中國公司的美國子公司列入“涵蓋主體”清單，限制甚至禁止其在美國從事數據收集和處理活動，這對大部分在美國有業務的中國公司來說都將是致命打擊。通過埋進去這一條，美國司法部給自己制造了一個未來可以制裁中國在美公司的工具，而且裁量權很大。

對比擬議規則，最終規則的實質內容幾乎沒有什么變化，以下結合起來對關鍵內容做一梳理：

一、哪些類型的數據適用本規則？

還是六類“美國人的批量敏感數據”和“美國政府相關數據”。最終規則排除了公開數據、表達性信息及普通個人通信，并明確“美國政府相關數據”如屬于公開數據，也可以不受本規則管轄。

（一）“美國人的批量敏感數據”

1、涵蓋的個人識別符：

公眾就該部分提交的評論全部被司法部拒絕，維持了擬議規則的原狀。涵蓋的個人識別符分為兩種情形：

（1）任意“列舉的識別符”（listed identifiers）與另一列舉識別符的組合；

（2）任意列舉識別符與交易當事方基于交易而披露的其他數據組合后，使該列舉識別符可以鏈接或可被鏈接到其他列舉識別符或敏感個人數據。

存在兩項例外：（1）只是和其他人口統計或聯系方式相鏈接的人口統計或聯系數據；（2）只是和為提供電信、網絡或類似服務所必需的網絡識別符、賬號驗證數據或通話詳單數據相鏈接的情形。

有評論者提議排除“已做匿名化、去識別化、假名化、聚合處理或被各隱私法視為公共可用的數據”，但被司法部拒絕。司法部認為，即使是匿名化數據，如果它們規模龐大并且被聚合起來，中國仍能據此識別具體個人，并可能用來損害美國國家安全，這正是美國要防范的風險。

2、列舉的識別符

“列舉識別符”（listed identifier）是指以下數據字段（data fields）中的任一項：

（1）完整或截斷的政府識別號碼或賬號號碼（例如社會安全號碼、駕照或州身份證號、護照號或外國人登記號）；

（2）與金融機構或金融服務公司關聯的完整金融賬號或個人識別碼；

（3）基于設備或硬件的識別符（如國際移動設備識別碼 IMEI、媒體訪問控制地址 MAC、用戶識別模塊 SIM 卡號碼）；

（4）人口統計或聯系數據（例如姓名、出生日期、出生地、郵政編碼、居住街道或郵寄地址、電話號碼、電子郵箱地址或類似的公共賬號標識符）；

（5）廣告識別符（例如谷歌廣告 ID、蘋果廣告標識符，或其他移動廣告 ID）；

（6）賬號驗證數據（例如賬號用戶名、賬號密碼或答案安全問題）；

（7）基于網絡的識別符（如 IP 地址或 Cookie 數據）；

（8）通話詳單數據（如客戶專有網絡信息 CPNI）。

3、精確的地理位置數據：

相比擬議規則沒有任何修改。“精確地理位置數據” 被定義為能夠以 1000 米以內的精度確定個人或設備的物理位置的數據，包括歷史數據和實時數據，例如GPS 坐標和IP地址。

3、生物識別標識符：

相比擬議規則沒有任何修改。定義為：用于識別或驗證個人身份的一種可測量的生理特征或行為方式，包括面部圖像、聲紋及其模式、視網膜與虹膜掃描、手掌紋和指紋、步態以及鍵盤輸入模式等，這些特征被錄入生物識別系統，并由該系統生成模板（templates）。

4、人類基因組數據：

從公眾反饋看，針對該類數據的不同意見很多，不少評論擔心以后人類基因數據會因為該規則被社會渲染為“特殊且危險”的數據，從而損害公眾對科學家群體的信任，并對后續研究招募造成不利影響。

但司法部認為，美國情報部門已明確指出，中國能接觸美國大規模人類基因組數據會帶來嚴重的國家安全風險，這些安全風險的重要性遠勝于上述對公共信任或科研招募的潛在、間接影響，因此仍有必要將人類基因組數據列管。

司法部采納了一些反饋意見，對該定義作出一些修訂：

（1）將“人類蛋白組數據（human proteomic data）”明確定義為不包含常規臨床測量數據；

（2）對“人類表觀基因組數據（human epigenomic data）”和“人類轉錄組數據（human transcriptomic data）”也作了類似補充，并明確其須源自對系統層面（systems-level）的分析。

（3）保持擬議規則對人類基因組數據的 100 名美國個人閾值不變，但對表觀基因組、蛋白組和轉錄組數據的閾值提升為1000 名美國個人。

5、個人金融數據：

和擬議規則沒有明顯變化。有評論希望澄清“個人金融歷史”是不是限于和金融機構發生的交易記錄，購買和支付記錄算不算。對此，司法部明確：“個人金融數據”包括支付記錄，并不局限于金融機構掌握的支付與購買歷史。

6、個人健康數據：

司法部在本規則中對“個人健康數據”的定義作了更清晰的解釋，尤其是幫助不熟悉《健康保險攜帶與責任法》及其術語的行業主體理解：個人健康數據需要是“指示、揭示或描述”某個人過去、現在或未來的身體或心理健康狀態、醫療服務過程或相關醫療付款。

有評論表示，《健康保險攜帶與責任法》關于去標識化的標準已不適應當下“數據豐富、計算能力強”的環境，建議對傳統意義上已符合《健康保險攜帶與責任法》去標識化的數據（例如醫療記錄、藥房記錄及生殖健康記錄）也納入本規則，司法部采納了這個建議。

關于美國個人敏感數據的“批量”閾值

不是只要屬于上述數據才會落入新規管轄。在2月份的擬議規則預通知中，司法部就確立了一個基于“閾值”的風險分析框架，為各類敏感個人數據設置了不同的數量門檻，涵蓋的數據交易發生前的12個月內的任何時間點，同一涵蓋人員在所有交易中涉及的數據累計達到一定數量才能算。在預通知中，司法部為每個類別的數據的批量閾值設定了潛在的上限和下限，分別對應高風險和低風險，依靠數量級差異來初步判斷風險。

在10月份發布擬議規則的時候，司法部抱怨說，收到的評論對“批量”閾值的觀點五花八門，但沒有一個提供了可操作的數據點、用例或證據來支持替代的分析框架，或支持采用這個特定閾值而不是哪一個。司法部甚至還連同商務部分別去一對一請教了對這個問題發表了評論意見的人，但一無所獲，也就是大家都不知道應該怎么來定這個閾值。最后，司法部采取的辦法是折中，除人類基因組數據因為高度敏感以及能帶來的超出反情報風險的重大額外國家安全風險，所以保持低閾值外，其他敏感個人數據類別的批量閾值大約是預通知中確定的初步范圍的中間數量級（例如，生物識別標識符的批量閾值是1000 名美國人，對應預通知里100到10000的中間數）。這樣，幾類數據的批量閾值分別是：

?人類基因組數據：超過 100 名美國人。

?生物識別標識符和精確地理位置數據：超過 1000 名美國人。

?個人健康數據和個人財務數據：超過 10000 名美國人。

?涵蓋的個人標識符：超過 100000 名美國人。

本次最終規則里，司法部說，沒有評論反對上面基于“閾值”的風險分析框架，也沒有人提出其他的替代方法，大部分評論都只是表達對閾值的政策傾向。因此，最終規則基本維持了上述閾值，只對人類基因組數據中的三類數據（表觀基因組、蛋白組和轉錄組數據）閾值從100名美國人提升到1000名。同時，司法部也強調，打算持續關注技術和威脅演變，如果有必要的話可以修改本規則調整閾值。

可以看到，最終規則上述基于“閾值”的風險分析框架和中國的“重要數據”相關規定很像。在美國公眾和專家提交的評論中，果然也有人指出來了，說司法部這是在抄中國的作業，咱們美國不能學中國那一套。但司法部說，咱們和中國不一樣，美國秉持跨境數據自由流動的基本立場，只有當特定商業交易場景涉及“國家安全風險”才加以禁限。而中國的模式是一般情況下默認限制數據出境，本質上和本規則“只限制特定敏感數據交易”不同；即使都采用了某個數值門檻，也不能把兩者同日而語。

（二）政府相關數據

相比NPRM沒有變化，兩類政府相關數據（對這類數據沒有閾值限制，不管多少都算）：

1、關于政府活動地點的數據，司法部和其他政府部門協商，制定了一個《政府相關位置數據列表》的格式，并且表上列出了一些地理區域內的“精確地理位置數據”，統一將其劃入“政府相關數據”。主要包括一些政府部門、軍事基地、大使館等。

2、關于美國政府人員的數據，即與美國政府（包括軍隊和情報機構）的現任或近期前任雇員或承包商，或前任高級官員相關聯或可關聯的數據。“近期前任雇員或承包商” 是指在涵蓋的數據交易之前的 2 年內，有償或無償為美國政府工作或向美國政府提供服務的雇員或承包商。

二、受管轄的人員或實體

（一）關注國家

相比NPRM沒有變化，還是中國（包括香港和澳門）、古巴、伊朗、朝鮮、俄羅斯和委內瑞拉。

（二）涵蓋主體（美國主體涉上述數據的交易的中國合作方）：

具體來說，以下情況屬于“涵蓋主體”：

• 由關注國家直接或間接、單獨或合計擁有50%或以上股權的實體，以及在關注國家注冊或其主要業務地在關注國家的實體（A）；

• 由A、C或E涵蓋主體直接或間接、單獨或合計擁有50%或以上股權的實體（B）；

• 作為關注國家、A、B或E涵蓋主體的員工或合同工的外國主體（C）；

• 主要居住在關注國家領土管轄范圍內的外國主體（D）；

• 美國司法部部長指定為：1）現在、曾經或可能被關注國家擁有或控制，或受關注國家管轄或指示的主體；2）現在、曾經或可能代表或聲稱代表受關注國家或相關人員行事的主體；3）“故意”（知道或應知）導致或“引起”（決定、批準）違反相關規定行為的主體（E）

在擬議規則中，司法部曾提到若某實體由關注國家或已被認定的涵蓋主體直接或間接持股 50% 以上，或其注冊地、主要營業地在關注國家，或其對該實體有控制力的母公司或利益持有人為關注國家，即可被自動視為“涵蓋主體”。

最終規則中，司法部對上面做了一些文字上的技術性修訂，使之更符合美國財政部外國資產管理辦公室（OFAC）的“50%規則”表述：明確“直接或間接”以及“單獨或合計達 50%”的持股方式，引入“多個受關注國家或多個涵蓋的人員或實體”合計持股情形。這些修訂不改變原本意圖和范圍，只是幫助企業和機構在實際執行時與過去熟悉的OFAC規則接軌。

有評論指出：49% 的所有權與 50% 其實相差不多，是否意味著 49% 也應被納入涵蓋的人員或實體的范圍？司法部回應說，目前仍堅持以“50%或以上”作為客觀明晰的指標（brightline rule）；少數股權雖然可能帶來控制權或實質影響，但如果存在“控制”或可被外國法律強制，則可以通過“指定程序”將其列為涵蓋的人員或實體，而不是自動認定。

總的來說，最終規則維持了“所有權 ≥ 50%”和“主要營業地或受在關注國家法律設立”等客觀標準，以便企業自主識別和合規。對少數股權（<50%）但存在實質控制的情況，司法部可以通過“指定程序”將其認定為涵蓋的人員或實體。

根據最終規則，司法部需要維護一個公開的“涵蓋人員清單”（“Covered Persons List”），有評論希望該清單更加全面、實時更新，并包含別名、技術識別碼等，以便自動化合規。但司法部回應稱：該清單和OFAC的制裁清單一樣，不是“窮盡列舉”，只是把經司法部正式“指定”為“涵蓋人員”的主體納入。美國公司如果在和合作伙伴做生意時發現對方可能符合 “涵蓋人員”標準，仍需自行基于風險情況篩查。

三、受管轄的交易

和擬議規則相比沒有變化，還是分成了“被禁止的交易”和“受限制的交易”。

（一）禁止的交易

• 數據經紀交易：數據接收方不直接從個人處收集數據，而是從數據提供方（即數據經紀人）處購買、被許可訪問數據。從事數據經紀業務的美國人要跟相關交易的外國主體簽署合同，確保對方不得將數據轉售或以其他方式讓中國或中國公司進行獲取和交易這些數據。

• 在“明知地（knowingly）”情況下從事的相關交易，導致中國等外國對手及其公司能訪問以下類型的數據：（1）批量美國敏感個人數據，且該數據包含“人類基因組數據；（2）能推導出“人類基因組數據”的人類生物樣本。前提是此類數據在前 12 個月內達到或超過相應的閾值。

（二）受限制的交易

和擬議規則相比沒有變化，三類受限制的交易是：供應商協議、雇傭協議和被動投資協議。這類交易需要按照國土安全部網絡和基礎設施保護局（CISA）已經發布的網絡安全要求采取保護措施，才能放行。具體的安全要求包括網絡安全措施，如基本的組織網絡安全政策和實踐、物理和邏輯訪問控制、數據掩碼和最小化、加密和使用隱私增強技術。

有一些評論質疑說，這些交易不會威脅美國的國家安全，根本不用限制。司法部舉了今年3月谷歌軟件工程師丁林偉（Leon Ding）在谷歌就職期間拷貝數百份內部文件并發送給中國科技企業的例子，證明中國這樣的“外國對手”會利用商業投資、雇傭關系或供應商角色獲取美國關鍵技術和數據信息。如果不管的話，美國的國家安全會受到威脅。司法部還說，別說限制了，都考慮過全面禁止這些交易，但國土安全部已經發了網絡安全要求，遵守這些要求可以有效降低風險，所以我們不把它們全部禁止。

有評論者提出，“明知”的尺度太不好把握了，特別是給云服務商的合規負擔太重，會影響美國的人工智能產業發展，應該把“明知”改成“實際知悉”，免除“數據經紀人”和云服務商”的主動盡調義務。對此，司法部沒有同意，強調如果云服務商只對客戶提供通用技術，并且確實不知情且沒法合理推定是知情的，不用承擔嚴格責任。本規則也不是要求云服務商對每一筆客戶數據使用都承擔責任，而只是讓云服務商在和中國客戶達成協議，并且可能導致對方能獲取大規模美國敏感個人數據時，必須得遵守最終規則的限制性要求。

為了解決潛在的規避問題，最終規則禁止美國人故意指導規避法規的交易，以及違反法規的共謀，但明確，如果美國人員只是提供第三方平臺或基礎設施，沒有直接參與被禁止或受限制的交易，不用承擔民事或刑事責任。

（三）豁免的交易

1. 不涉及價值交換的個人通信；涉及言論或出版物的進出口信息材料；個人旅行信息（行李、生活費、旅行安排）；

2. 美國政府官方活動；

3. 只是提供金融服務（如銀行業、資本市場或金融保險活動；其他監管機構監管范圍內的金融活動；提供或處理涉及個人財務數據或涵蓋個人身份標識轉移的支付，用于購買和銷售商品和服務；以及法律和監管合規）；

4. 美國跨國公司內部業務運營產生的數據交易（如用于人力資源管理、工資支付、稅費支付、外部審計、差旅、合規、風險管理等目的的交易）；

5. 美國聯邦法律或國際協議所要求或授權的交易（如旅客名單信息、國際刑警組織發出的搜查令等）；

6. 和美國外國投資委員會（CFIUS）達成緩解措施協議后的投資協議，并且CFIUS明確要求將他們豁免；

7. 通常屬于提供電信服務所必需和從屬的所有語音和數據通信服務（包括國際呼叫、移動語音和數據漫游）；

8. 涉及藥品、生物制品、器械或組合產品的審批或授權的數據交易，且該等“監管審批數據”已按美國藥監局規定去標識或化名處理，僅限于評估安全性與有效性所必需的信息；

9. 其他臨床研究和上市后監測數據。如果這些交易符合美國藥監局的相關要求，也可豁免。

四、合規機制

（一）許可程序

最終規則授權司法部在特定條件下簽發一般許可證（general licenses），允許原本被禁止或受限制的交易繼續進行。滿足條件的交易無需另外申請授權，例如，在特定領域或行業場景下可授權有序結束（wind-down）的數據交易。

最終規則也授權司法部簽發特定許可證（specific licenses），供各方在提交交易細節后進行申請。

最終規則明確了簽發一般許可證和特定許可證的要求與程序，包括如何申請特定許可證或在新的信息基礎上申請復議。司法部計劃另行發布申請特定許可證的操作說明。

（二）指導和咨詢意見

允許司法部發布面向公眾的常見問答和普適性指導，以解答常見問題和針對常見場景提供說明，同時也允許為特定交易簽發咨詢意見（advisory opinion），說明法規對特定實際交易（而非假設情形）的適用范圍或解釋。

允許受監管對象就其“實際且具體”的交易向司法部提交咨詢意見請求，但對于“假設場景”則不予受理。

（三）內部合規項目

最終規則沒有在整個美國經濟或所有數據交易層面統一規定盡職調查、記錄保存、報告或其他合規要求，而是借鑒了美國財政部外國資產管制辦公室的經濟制裁項目，要求美國企業和個人基于自身風控需求，設立并實施合規項目。

具體合規項目可能視企業規模、產品和服務類型、客戶與交易對手所在區域等多個因素而有所差異。如果發生違規行為，司法部在執法時會考慮合規項目的合理充分性。

只有當美國人員從事“受限制交易”時，才需履行強制合規要求（affirmative compliance obligations），具體包括：

• 建立全面的合規計劃：例如風險評估流程、數據流動核查、識別數據類型及規模、識別交易雙方及供應商、確認數據用途及傳輸方式等。

• 制定并實施書面化的數據安全及合規政策，由負責人或員工每年進行認證。

• 年度審計：由內外部獨立審計員對合規情況進行年度審計，并保留審計報告，以驗證其是否滿足國土安全部網絡安全和基礎設施安全局（CISA）制定的安全要求。

• 記錄保存：需將記錄保存至少10年，包括數據傳輸方式、交易日期、協議、許可證、咨詢意見以及與交易相關的任何資料，并對其準確性進行年度認證。

（四）報告義務

為確保合規與國家安全設置了若干報告義務，包括：

1. 年度報告：對于從事“云計算服務”相關的受限制交易，并由中國等外國對手國家及其公司直接或間接持股25%或以上的美國主體，應提交年度報告。

2. 被拒交易報告：任何美國主體如果拒絕了他人提出的“涉及數據經紀業務、原本被禁止交易”的合作意向，需要報告。

3. 疑似違規報告：若美國主體與外國主體在數據經紀業務中合作，卻知悉或懷疑對方違反了不得向中國等外國對手國家及其公司轉售或提供數據的限制，需要報告。

4. 豁免情況報告：當美國主體援引豁免條款，為在中國等外國對手國家獲得或維持藥品、生物制品、器械或組合產品的上市許可而進行必要數據交易時，需要報告。

最終規則允許公司使用現有審計、報告或其他合規實踐，只要符合要求，無需額外建立單獨系統或報表，也允許使用內部或外部獨立審計，前提是滿足獨立性和其他規定。

對受限制交易的審計僅需針對“受限制交易”進行，并僅需審查相關政策、人員和系統（而非所有數據交易）。

五、執行

最終規則采取基于IEEPA的執行機制，賦予司法部廣泛的調查權力，包括調查、召開聽證會、檢查證據、詢問證人，并發出相關的傳票來獲取證人或文件。如果發生違規行為，可能會面臨民事和刑事處罰。

民事處罰受《聯邦民事處罰通貨膨脹調整法》的約束，最高可達368,136美元或交易金額的兩倍，取金額較高者為準。NPRM還規定了司法部處理違規行為和發布民事處罰的程序，允許相關各方在處罰發布前有機會進行回應。故意違規的后果更嚴重，可能導致高達100萬美元的刑事罰款，甚至最高20年的監禁。

六、其他一些重要澄清（通過問答形式發布）

1. 該最終規則何時生效？

• 將在刊登于《聯邦公報》后90天生效。對于“受限制交易”（法規第J分部分）中的盡職調查與審計要求，以及在 §§ 202.1103 和 202.1104 中的部分報告義務，則將在刊登后270天分階段生效。司法部計劃繼續與各方溝通，以決定是否需要簽發任何過渡或一般性許可證。

• 一旦生效，本法規的禁止和限制適用于在相關生效日期發起、進行或完成的所有“涵蓋數據交易”。除非豁免或得到授權，自生效日起，美國人員在明知情況下進行被禁止或受限制的數據交易，即須遵守本法規，即便在生效前已簽署合同或已獲許可證/許可。

2. 一旦生效，誰需遵守該規則？

• 所有本規則定義的“美國人”在本規則生效后都必須遵守。

• 非美國人員也需遵守法規中的部分禁止，如：不得導致或共謀導致美國人員違反法規，不得從事規避法規之目的的交易等。

• 司法部計劃在法規生效前發布關于合規、執法及其他方面的進一步指導。

3. 由司法部哪個部門負責執行這些職權？

• 該項目在司法部國家安全司（National Security Division）內，由其外資審查處（Foreign Investment Review Section, FIRS）負責日常執行，并在必要時與司法部其他部門、國土安全部及其他機構協同。

4.最終規則是否會禁止來自外國對手的應用程序或社交媒體平臺？

• 不會。本法規并未禁止任何特定應用程序或社交媒體平臺，也不針對任何單一應用或技術。該法規僅針對最嚴重的數據安全風險（而非所有國家安全風險，如應用安全或虛假信息）且只針對一定范圍內的數據（敏感個人數據，而非所有數據），并且僅適用于一小部分已明確指定的關注國家。此外，本法規只處理向涵蓋主體或關注國家提供此類數據的國家安全風險，不涉及社交媒體在國內隱私方面可能帶來的更廣泛挑戰。根據 50 U.S.C. § 1702(b)(3)，該法規排除對表達性信息（如視頻、藝術作品、出版物）所涉交易的監管。

5.最終規則是否會監管在美國境內進行的純國內數據收集、處理或使用？

• 不會。該法規并不監管美國人員在美國境內之間進行的純國內交易（如美國人員對數據的收集、維護、處理或使用），除非該美國人員已被明確且公開指定為涵蓋主體。

6.最終規則是否賦予司法部新的監控權限或追蹤美國人數據的能力？

• 不會。最終法規與美國政府在執法及國家安全領域依法開展情報收集的權限無關。該規則本身并未、也不會要求美國企業監控其員工、客戶或其他私人實體。從個人通信到表達性信息，以及與表達性材料通常相關的元數據（或為傳輸或傳播表達性材料而合理必要的元數據），都被排除在該規則的適用范圍之外。此外，法規不監管美國人員在美國境內之間進行的純國內交易（例如美國人員對數據的收集、維護、處理或使用），除非其中一方被明確指定為“涵蓋主體”。

1. 最終規則是否會阻礙醫藥、健康或科學研究，或阻止新藥的研發與市場推廣？

• 不會。最終規則僅禁止或限制在滿足特定條件時涉及商業交易（包括支付或其他對價交換）的某些類別數據交易，并不會禁止或限制在關注國家開展的美國科研活動，也不會限制美國研究機構與這些國家或涵蓋主體之間在不涉及商業交易（不包含支付或其他對價）的科研合作。此外，本規則還包含專門的豁免條款，以確保關鍵的醫療健康研究活動不被影響，其中包括：對聯邦資助研究的豁免、根據國際協議（包括某些與流行病及全球衛生監測相關的協議）進行數據共享的豁免，為藥品、器械、生物制品的監管審批提交數據的豁免，以及某些臨床研究數據和上市后監測數據的豁免。

本文僅供業內人士學習研究使用，不構成投資建議，轉載請注明出處。最終規則的全文、司法部公告、Fact Sheet等文件的中英文版本，參見知識星球。