走出去智庫（CGGT）觀察

2024年12月27日, 美國司法部正式發布了第14117號行政令——《關于防止受關注國家獲取美國人大量敏感個人數據和美國政府相關數據的行政命令》的最終實施規則(以下簡稱“最終規則”)，旨在禁止或限制美國主體進行會導致受關注國家和受限制人員獲取美國人大量敏感個人數據和美國政府相關數據的交易。

走出去智庫（CGGT）特約法律專家、中倫律師事務所合伙人蔡鵬認為，最終規則的生效將會直接影響國內出海企業在美國開展業務或與美國人之間開展某些商業交易的可行性。根據最終規則，如出海企業與美國人之間開展的交易屬于限制交易范疇，則必須要遵守美國網絡安全與基礎設施安全局（CISA）協同美國司法部制定的單獨安全要求。最終規則針對從事醫療健康、金融、科技、云計算服務類出海企業的影響更為明顯，企業在進行業務出海布局時，應當提前進行目標國數據合規的評估與規劃，并據此設計出海架構，以確保業務或交易符合目標國家的合規要求。

美14117行政令的最終規則有哪些重點內容？今天，走出去智庫（CGGT）刊發中倫律師事務所蔡鵬、王夢迪的文章，供關注跨境數據合規的讀者參閱。

要點

1、根據最終規則，當交易涉及美國人“批量”敏感個人數據時才會落入受限交易的范疇內。美國司法部對不同類別的數據設置了不同的“批量”閾值。

2、最終規則明確了受限交易、豁免交易的具體類型和范疇。根據最終規則，通過美國司法部的授權許可程序后，美國人將可以與受關注國家或者受限人員開展受限交易。授權許可分為一般許可及特別許可兩種類型。

3、最終規則構建了一套嚴格且細密的數據出境監管審批規則。由于中國被列入了受關注國家范疇，中國的出海企業與美國人之間的交易將會極易觸發該規則的適用。

正文

作者：蔡鵬王夢迪

中倫律師事務所

一、引言

(一) 立法進程概述

2024年2月28日，拜登政府發布《關于防止受關注國家獲取美國人大量敏感個人數據和美國政府相關數據的行政命令》（“《14117行政令》”），旨在針對受關注國家開展的威脅美國國家安全的某些交易采取額外措施。根據《14117行政令》，美國司法部分別于2024年3月5日和2024年10月29日發布了《擬議立法的非官方征求意見稿：關于受關注國家訪問美國人大規模敏感個人數據及政府相關數據的規定》（“ANPRM”）及《擬議立法的征求意見稿：關于受關注國家訪問美國人大規模敏感個人數據及政府相關數據的規定》（“NPRM”），明確受關注國家范圍、禁止和限制的交易類型、受限人員、許可申請等具體規則，以實現《14117行政令》的目的。2024年12月27日，美國司法部發布《關于防止受關注國家或受限人員獲取美國敏感個人數據及政府相關數據的相關規定》（“最終規則”），至此，“靴子落地”——美國構建起了關于數據出境的全新監管體系。最終規則將在《聯邦公報》公布之日起90天后生效，某些義務（如針對受限制交易的盡職調查義務、特殊場景的報告義務以及審計要求）將在公布后270天內分階段生效。

(二)適用范圍與場景

相較NPRM，最終規則在適用范圍和場景上并無實質變化，針對部分概念的定義、閾值、示例方面有所細化或者增加。根據最終規則，適用范圍與場景由受關注國家、受限交易以及受限人員三方面構成。簡言之，美國人（美國公民、根據美國法律組建的美國實體、美國境內的人）與受關注國家及受限人員開展受限交易，需遵守最終規則。

1. 受關注國家：中國（包括香港和澳門）、古巴、伊朗、朝鮮、俄羅斯和委內瑞拉。

2. 受限交易：進一步區分為禁止交易與限制交易（以下統稱“受限交易”），指的是涉及受關注國家或者受限人員獲取任何政府相關數據或大量美國敏感個人數據的數據經紀、供應商協議、雇傭協議以及投資協議。

3. 受限人員[1]：最終規則第202.211條明確的實體、外國人或由美國司法部長指定的人員。

盡管中國企業并非最終規則的直接責任主體，但中國企業仍可根據如下流程圖判斷與美國人之間的相關交易是否會落入最終規則的管轄范圍，從而開展針對性的合規計劃。

圖1：最終規則適用性判斷流程圖

二、值得關注的重點內容

(一)敏感個人數據的內涵與范圍

相較NPRM，最終規則主要在人類基因組的具體概念范圍上進行了擴展，其他敏感個人數據的范圍以及具體含義基本未發生變化，仍包含如下六大類：

1) 個人識別符信息，如與社會保障號關聯的姓名、與護照號碼相關聯的駕照號碼，與住址相關的MAC地址，與姓名相關的賬戶名稱等；

2) 精準地理定位數據，如GPS坐標，不論是實時數據還是歷史數據；

3) 生物識別信息，如面部圖像、聲紋、虹膜等；

4) 人體“組學”數據，如人類基因組數據、人類表觀基因組數據、人類蛋白組數據、人類轉錄組數據等；

5) 個人健康數據，如身高、體重、生命體征、診斷記錄、處方藥購買或使用記錄等；

6) 個人財務數據，如銀行賬戶名、付款記錄、信用報告等。

值得關注的是，如下類別的數據被排除在“敏感個人數據”范圍之外：

1) 與個人無關的公開或非公開數據，包括商業秘密和專有信息；

2) 在進行交易時，公眾可從政府記錄或廣泛傳播的媒體中合法獲取的數據；

3) 個人通信；

4) 信息或信息資料，如出版物、電影、海報、唱片、照片、膠卷、磁帶、光盤等表現性材料。

(二) 明確不同類別敏感個人數據的“批量”閾值

根據最終規則，當交易涉及“批量”敏感個人數據時才會落入受限交易的范疇內。美國司法部對不同類別的數據設置了不同的“批量”閾值，具體閾值范圍如下：

時間范疇

過去12個月

數量級

人類組學數據

收集或保存超過1,000個美國人，

或單就人類基因組數據而言，收集或保存超過100個美國人

生物識別信息

收集或保存超過1,000個美國人

精準地理位置數據

收集或維護超過1,000臺美國設備

個人健康數據

收集或保存超過10,000名美國人

個人財務數據

收集或保存超過10,000名美國人

個人識別符信息

收集或維護有關超過100,000名美國人

數據集

包含上述多個類別的集合或數據集，其中任何單個數據類型達到該類數據的最低數量閾值

(三) 受限交易的范圍及其豁免

相較NPRM，最終規則中受限交易的范疇及相關概念并未發生變化；在豁免交易的具體交易類型闡釋及示例方面，最終規則進行了部分措辭調整及示例的補充（如金融服務、公司集團交易等），以幫助適用主體更好理解和判斷。根據最終規則，受限交易及豁免交易范疇如下：

交易類型

具體范疇

被禁止的交易和相關活動

數據經紀行為

未經許可，與受關注國家或受限人員開展數據經紀（數據銷售、數據訪問許可或者類似的商業交易）。

其他涉及可能向受關注國家或受限人員進行后續數據轉移的數據經紀

未經許可，在未通過合同約定禁止外國人（非受關注國家或非受限人員）與受關注國家或受限人員進行受限交易的情況下，與外國人開展數據經紀。

涉及批量人類組學數據和人類生物樣本的相關交易

未經許可，涉及允許受關注國家或受限人員訪問批量人類組學數據，或可從中獲取批量人類組學數據的人類生物樣本的交易。

規避或逃避、導致違反和試圖違反最終規則的交易

任何旨在逃避或規避，導致違反或試圖違反上述禁止交易的交易。

故意指導受限交易的交易

未經許可故意指導受限交易的交易。

被限制的交易

未經許可，任何與受關注國家或受限人員進行的涉及供應商協議、雇傭協議或投資協議的交易。

不包含涉及訪問批量人類組學數據，或可獲取批量人類組學數據的人類生物樣本的交易。

被豁免的交易

1) 不涉及任何價值轉移的個人通 信

2) 從任何國家進口或出口信息或信息資料

3) 旅行相關的常規附帶數據交易

4) 涉及美國政府官方活動的數據交易

5) 屬于金融服務的一部分或其附帶服務的交易

6) 涉及公司集團行政事務的數據交易

7) 美國聯邦法律或國際協議要求或授權的交易

8) 與美國外國投資委員會（CFIUS）達成緩解協議的投資協議，且緩解協議已生效

9) 屬于電信服務的一部分或其附帶服務的交易（數據經紀除外）

10) 涉及藥品、生物制品和醫療器械的審批或授權的數據交易，且該等“監管審批數據”已按美國藥監局規定去標識或化名處理，僅限于評估安全性與有效性所必需的信息

11) 涉及其他臨床研究和上市后監測數據的數據交易

(四) 授權許可程序——開展受限交易的合法化路徑

根據最終規則，通過美國司法部的授權許可程序后，美國人將可以與受關注國家或者受限人員開展受限交易。授權許可分為一般許可及特別許可兩種類型，這兩類許可在適用情形、申請程序等方面均存在明顯差別，互相補充地成為受限交易合法化的官方路徑。

一般許可

特別許可

適用情形

根據適當的條件和條款，授權開展受限交易

未獲得一般許可的受限交易，在符合適當條件時，可授予特別許可

申請材料

關于交易性質的說明，包括如下內容：

· 交易中涉及的政府相關數據或批量美國敏感個人數據的數據類型和數量

· 交易各方的身份，包括實體所有權、身份信息、居住地

· 數據的最終用途和傳輸方法

· 司法部長要求的其他信息

申請主體

在交易或擬議交易中擁有利益的任何人均可提交申請

發證時間

收到申請及相關補充材料后45天內

使用限制

不限定特定的人或特定的交易

特定許可授權交易：

· 僅在許可中確定的各方之間有效

· 僅涉及許可中描述的數據

· 僅限于滿足許可規定的條件

復議

申請被駁回后，申請人仍可隨時根據新的事實或情況變化，要求司法部重新考慮

相關義務

需按照相關要求提交報告和報表

需按照相關要求對被許可交易提交報告或報表

兩者競合

對于適用一般許可的交易，不會批準其特定許可申請

(五) 特定場景的報告義務

最終規則設置了特定場景的報告義務，以確保相關措施的落地執行以及對國家安全的保障：

1)年度報告：從事“云計算服務”相關的限制性交易，且由受關注國家及其公司直接或間接持股25%或以上的美國主體，應在每年3月1日前提交上年度數據交易報告。報告內容包括參與受限交易的美國主體姓名、地址、聯系人信息、數據交易日期、交易中涉及的政府相關數據或大量敏感個人數據的類型和數量、數據傳輸方式、交易參與方及其各自所在地等。

2)被拒禁止交易報告：明確拒絕了他人提出的“被禁止的數據經紀交易”的美國實體，應在拒絕后14天內提交報告。報告內容包括拒絕禁止交易的美國人姓名、地址、聯系人信息、交易被拒日期、交易中涉及的政府相關數據或大量敏感個人數據的類型和數量、數據傳輸方式、擬參與交易的參與方及其各自所在地等。

3)違規交易報告：在美國人與非受限主體開展數據經紀合作時，知曉或懷疑該非受限主體違反合同約定與受關注國家或受限人員開展提供或轉售數據的行為，應在知曉或者懷疑違約之日起14天內提交報告。

(六) 罰則

最終規則賦予了司法部廣泛的執法權，包括調查、召開聽證會、檢查證據、詢問證人，并發出相關的傳票來獲取證人或文件。如違反最終規則，相關主體可能會面臨民事罰款（最高368,136美元或交易金額的兩倍，取金額較高者為準）。如故意違反，相關主體將會面臨民事罰款（最高100萬美元），或刑事責任（最高20年監禁），或兩者并罰。

三、重點問題Q&A

(一)根據最終規則，判斷是否達到“批量”閾值時，匿名化處理后的敏感個人數據是否可排除？

不可排除。根據最終規則關于“批量美國敏感個人數據”的相關解釋，匿名化、假名化、去標識化或者加密處理后的數據仍然屬于敏感個人數據范疇，在計算閾值時，均應將其考慮在內。

(二)在美國國內收集、處理和使用數據的行為是否受最終規則的規制？

不受。最終規則并不規制美國人在純美國境內開展的數據處理活動，除非該美國人已被明確且公開指定為受限人員。

(三)位于美國的受關注國家公民是否屬于受限人員，是否需要遵守最終規則的要求？

不屬于。根據最終規則，位于美國的受關注國家的公民視為美國人，不屬于受限人員。作為美國人，該人員需要按照最終規則的要求與受關注國家或受限人員開展相關交易。當該公民離開美國時，將不再被視為美國人，此時需要進一步判斷該公民是否構成受限人員而落入最終規則的規制范圍。

(四)美國人訪問受關注國家或者受限人員的掌握的大量美國敏感個人數據，是否受最終規則的規制？

不受。概括而言，最終規則雖規制的是美國人與受關注國家或受限人員開展的受限交易，但更進一步來說，最終規則規制的是單向行為，也就是禁止或者限制受關注國家或者受限人員訪問、使用批量美國個人敏感數據，但并不禁止或者限制美國人訪問、使用受關注國家或者受限人員已經掌握的美國敏感個人數據。

(五)最終規則是否提出了普遍的數據本地化要求？

沒有。最終規則并未針對受限交易涉及的特殊類型數據提出普遍的數據本地化要求。如本文適用范圍部分所述，最終規則規制的是美國人與受關注國家或受限人員開展的受限交易，并非從全面管理數據跨境行為的角度對某類數據提出普遍性、無差別的數據本地化要求。美國人仍可自由地在受關注國家之外的國家和地區存儲數據。

(六)最終規則是否禁止來自受關注國家的應用程序或者技術？

不禁止。與拜登政府于2024年4月份簽署的《保護美國人免受外國對手控制的應用程序法案》不同，最終規則并不針對受關注國家特定的應用程序或者單一技術。最終規則主要從特定類型交易的角度，規制與受關注國家和受限人員相關的數據出境行為（包括跨境傳輸、跨境訪問等）。

(七)如果落入受限交易范疇，相關企業可采取救濟措施？可采取哪些救濟措施？

可采取救濟措施。如上文所述，最終規則構建了一套許可機制，一方面，如受限交易落入了一般許可的范疇，則該項交易將可以根據特定的條件或者要求繼續開展；另一方面，如受限交易未落入一般許可的范疇，則交易的任何利益相關方均可以向司法部提出特別許可申請，在獲得特別許可后，該交易亦可以繼續開展。值得注意的是，不論是一般許可還是特殊許可，交易的繼續開展均需遵守相應的條件和限制，并需按照要求提交報告。

四、出海企業應對措施

結合上文的梳理與總結，可以看出，最終規則構建了一套嚴格且細密的數據出境監管審批規則。由于中國被列入了受關注國家，中國的出海企業將會極易觸發該規則的適用。因此，在該規則及相關合規義務正式生效前，我們建議相關出海企業可從以下幾方面著手，提前展開合規布局：

(一)開展數據類型、交易類型自查

企業首先需要開展關于與美國人之間的數據交易行為的自查，一方面，核查所涉數據類型是否落入美國政府相關數據或者美國敏感個人數據范疇，是否滿足“批量”閾值；另一方面，核查所涉交易行為是否落入受限交易范疇，是否屬于可豁免的交易行為，進一步地，企業還應當判斷具體交易行為構成禁止交易還是限制交易，從而制定針對性的合規路徑或救濟策略。

鑒于最終規則針對受限交易監管的嚴格性，其具體規定中對美國敏感個人數據的類型、受限交易的類型、受限人員的范疇等內容進行了諸多的闡述。結合具體內容，我們理解，數據類型和交易類型是否落入規制范圍的判斷并非易事，如同為雇傭協議，可能會構成禁止交易也可能會構成限制交易；同為社會保障號碼，在某些情況下可能會構成敏感個人數據在某些情況下不會，因此，企業在必要時可引入外部機構協助進行梳理、分析和判斷。

(二)實施有針對性的合規計劃

最終規則的生效將會直接影響國內出海企業在美國開展業務或與美國人之間開展某些商業交易的可行性。因此，對于中國出海企業而言，首先應當基于商業考量、合規成本等判斷是否有必要將美國作為出海國或者第一選擇；如選定美國作為出海國或者已經在開展相關業務或者交易（尤其是擁有美國子公司或者美國雇員的企業），則需要根據最終規則的相關要求，考量交易所涉數據類型、數量、交易性質等制定并實施針對性的合規計劃，包括但不限于制定數據合規計劃以開展限制交易相關盡職調查與合規審計，申請特定許可以及履行特定場景的報告義務等。另外，出海企業還需關注美國司法部未來出臺的相關指引，以作為企業合規活動的參考。

(三)關注CISA提出的安全要求

根據最終規則，如出海企業與美國人之間開展的交易屬于限制交易范疇，則必須要遵守美國網絡安全與基礎設施安全局（CISA）協同美國司法部制定的單獨安全要求。這些安全要求包括組織層面的要求、系統層面的要求（如確保基本的組織網絡安全政策、做法和管控措施落實到位）以及數據層面的要求（如數據最小化、數據掩碼處理、數據加密以及隱私增強技術等）。未來， CISA將會在官網上發布具體的安全要求，出海企業在識別交易類型的基礎上，需要密切關注未來相關安全要求的出臺及落地。

可以預見的是，此類安全要求將會是具體且全面的，因此，我們建議出海企業應當將此類安全要求納入到整體的數據合規計劃與方案中，以便進行體系性的落地，避免因忽視相關要求而導致交易受限、面臨處罰或者引發數據安全風險，進而影響企業在海外市場的正常運營和良好聲譽。

(四)特定行業企業的重點關注

針對從事醫療健康、金融、科技、云計算服務類的出海企業，最終規則的影響更為明顯。以科技類企業為例，如其美國子公司運營一款針對美國人的TO C應用軟件，有可能會收集大量的個人識別符。在境外公司收集的數據量到達10萬美國人時，如國內需要訪問這些數據，將可能會構成禁止交易，直接導致企業跨境業務體系（經營、人員、成本等）的重構。因此，企業在進行業務出海布局時，應當提前進行目標國數據合規的評估與規劃，并據此設計出海架構，以確保業務或交易符合目標國家的合規要求。

五、結語

在當今全球化深度推進的商業浪潮中，數據合規已然成為企業出海征程中一道繞不開的關鍵命題。而隨著最終規則重磅落地，出海商業生態面臨將全面沖擊，數據流動格局亦將被重塑。在此情勢下，出海企業勢必需要投入更多資源確保業務運營的合規性。面對紛繁復雜的海外數據合規要求，企業仍應秉持謹慎、積極的態度，在企業內部統一的合規戰略基礎上，根據自身業務特性制定靈活的合規戰術，以多元化策略應對復雜多變的合規挑戰，沖破合規困境，護航企業出海之路。

腳注：

根據最終規則第202.211條，受限人員包含：

（1） 由一個或多個受關注國家或本節(a)(2)款所述人員直接或間接、單獨或合計擁有50%或以上股權的實體；或者依據任一受關注國家的法律組建或設立，或其主營業地位于任一受關注國家境內的實體；

（2） 由一個或多個本節(a)(1)、(a)(3)、(a)(4) 或 (a)(5) 款所述人員直接或間接、單獨或合計擁有 50% 或以上股權的實體；

（3） 受關注國家或者本節 (a)(1)、(a)(2) 或 (a)(5) 款所述實體的雇員或承包商；

（4） 主要居住地位于任一受關注國家的屬地管轄范圍內的個人；或者

（5） 任意一個由司法部長認定的如下實體或個人：

(i) 目前、曾經或有可能被受關注國家或受限人員擁有或控制，或者受其管轄或指揮；
(ii) 目前正在、曾經或聲稱代表受關注國家或受限人員行事，或者有可能代表其行事；或者
(iii) 故意造成或指揮（他人）違反本部分規定，或者有可能故意造成或指揮（他人）違反本部分規定。

專家簡介

蔡 鵬

走出去智庫(CGGT)特約法律專家

中倫律師事務所合伙人

蔡鵬律師專精于網絡安全、數據保護及知識產權等領域，擅長處理人工智能、TMT、金融等行業領域的合規與訴訟問題。在積極深度參與有關立法及實踐的基礎上，蔡鵬律師長期以來致力于幫助客戶解決其所面臨的強監管、IPO、產品和服務“走出去”、數字化轉型、平臺治理等情形下的既緊迫、又富有挑戰性的諸如AI合規、數據合規、平臺治理以及知識產權等相關問題。

蔡鵬律師是業界最早研究和處理人工智能相關法律業務的專業律師之一，代表行業內領先的AI客戶處理了諸如大模型合規/算法合規、數據合規、知識產權許可與合規等事項。得益于處理了多項重大知識產權訴訟案件，蔡鵬律師能夠以預見性的視角和豐富的經驗協助客戶規避潛在的合規風險。

蔡鵬律師不僅被聘為第四屆北京市政府立法工作法律專家委員會委員，而且還榮獲眾多國際知名法律評級機構的推薦，包括被錢伯斯評選為數據安全與隱私保護推薦律師；2021-2025年，連續被評為The Legal 500評選為“數據保護領域的領先律師”；被ALB評選為“中國十五佳網絡安全與數據保護律師”、“中國十五佳TMT律師”等。

延展閱讀

▌地緣政治風險:

▌出口管制與制裁:

▌跨境數據監管:

▌全球科技競爭:

▌品牌聲譽管理:

讓中國企業更好預警跨境風險、掌握前瞻趨勢，由走出去智庫、道瓊斯風險合規、卓緯律師事務所共同合作，并聯合30多國家35家領先律所團隊共同推出第一期《跨境數據合規和法律研究》報告。（如需報告可點擊下文申請）