2024全球数据安全法规研究报告

前言 全球数据安全法规研究报告（2024版） 全球数据安全形势严峻。信息技大革命日新月异，数字经济谨勃发展，深刻改变着人类生产生活方式，对各国经济社会发展、全球治理体系、人类文明进程影响深选。作为数学技的关要系，全球数据发增长，海量集紧，为实现创新发展、重塑人们生活的重要力量，关各国安全与经济社会发展。在全球分工合作日益密切的背景下，确保信息技术产品和服务的供应链安全对于提升用户信心、保护数据安全、促进数字经济发展至关重要。当前，全球主大数据安全事件频发，数据安全风险的危害性和外湿性已对政治、科技、经济和社会等多个领域产生了负面影响。为切实保障数据安全，国际社会各方在实践中不断探索治理路径，并基于不同价值理念，形成了各具特色的数据安全保护路径。近年来，我国《网络安全法》数据安全法》《个人信息保护法》等款据安全相关法伴法规的相继想布，为数据安全建设提供了制度支撑和法伴保障。我国数据安全产业发展相对于世界发达国家，起步较晚，通过参考其他国家地区的数据安全政策和战略方针，能够有助于我们更深入理解我国数据安全产业的发展方向。 各国数据安全体系逐步形成。欧洲、北关洲、南美洲、亚洲、大洋洲以及非洲的国家和地区都在积极构建各自的数据安全法规体系。欧暨通过通用数据保护条例3（GDPR）强化了个人数据保护，确立了数据主体的广泛极利； 德国在GDPR框架下进一步强化了本国的数据保护法规；法国同样遵循GDPR主量个人隐然权的保护；美国脱欧后通过数据保扩法案多保持了与GDPR相的标准，并加入了适应本国情况的条款；意大利在遵话GDPR的同时，导扰数据保护与经济发展的平领点；俄多斯通过《个人数据法》强调了数据的本地化存情和国家控制；美国强调了在数据控制权和跨境数据流动上的灵活性；加享大平衡了个人信息保护与电子商业发展；巴西和印变作为新兴经济体，构建了得国情的数据安全法规；日本的个人信息保护法多适盈了数字化转型的需求；韩国的《个人信总保护法》强调了个人信总的保护和合理利用；澳大利亚的《隐私法》注量个人隐私保护并适应数学经济；南非在逐步建立数据保护去规，以保护个人效据和促进合法利月。 数据跨境安全成为重中之重。随看数据的全球流动日益频察，不同国家间的数据保护水平和法规要求存在差异，各国在维护自身数据安全的同时，也需要考患如何在国际层面上实现有效协作。为了应对跨境数据流动带来的挑战，客国不仅在国内立法中对数据传输设定了严格的规则，还在国合作中导求共识。例如，欧盘的GDPR对数据跨境传输提出了高标准的垂求，推动了与其他国家的欧据保护协议（AdequacyDecisions）的签订，确保了款据流向的国家现地区能提供与欧盗相当的保护水平。同时，美国通过双过和多边协议，如险私店协设（PrivacyShield），与欧盟等地区建立了数致据传输机制，在保护放据在跨境传辅中的隐器和安全。比外，数据本地化要求也成为一些国家确保数据安全的手段之一。锻罗斯的《个人数据法》强调了数据本地化存储，以增强对数据流动的监管能力。而中国则通过《终安全法》数据安全法》 人信息保护法》对数据出境活动进行了规范，保护重要款据和个人信息不被非法获取、泄露或者临用。 因此，炼石与国浩律所更新此前发布的2C22年全球款据安全法规研究报告(2024版），送代至《全球数据安全法规研究报告（2024版）》，本次报告更新近两年欧洲、北美洲、南美洲、亚洲、大洋洲、非洲六大洲，包括欧盟、德国、法国、英国、意大利、供罗斯、美国、加拿大、巴西、日本、印度、韩国、澳大利亚、南非等14个国家或组织的数据安全重要法观政策和战路，由87项更新至140项，从各国立法总体情况、法律位阶、法律间关系、各法的定位、内容要点等维度进行分析，进一步补充了数据跨境安全版本内容。由于作者水罕有限，难免会有遗漏和偏差，希望读者指正。 全球数据安全法规总览 全球数据安全法规研究报告（2024版） 全球数据跨境法规总览 全球数据安全法规研究报告(2024版) 欧盟：立法趋向统一，平衡数据流动与安全 、立法总体情况 欧温的数据安全立法无论是在立法时间还是立法系统性上，都处于全球领先位置。作为一个经济共同体，欧盟在数据安全立法方面的出发点与一股实体国家存在区别，其更强调技大导向的数据共享与自由流动，消除成员国家间的信息屏障。为达到这一目标，欢盟必须在数据存储处理、公民基本权利、数据安全保护和监管、数据跨境流动等方面构建完善的法律框架。 欧盟的政策决策特点示多方面互动的，欧洲委员会、欧滞议会、欧 理事会、欧盟理事会、欧盟费员会等机构参与制定款盟法律法规。欧盟的律基本框案大体可分为3个层次：一级法律，主要招条约；二数法律包括指令、法规、决定、意见建议等；三级法神为判例法，主要指根据二级法神作出的对具体事件或案例的判决或裁定。 欧盟针对数据安全立法，一级法律层面上，1981年《个人数据自动化处理中的个人保护公约》，是世界上萝一部关于数据保护的国际公约；二级法律层面上，1995年《关于涉及个人数据处理的个人保护以及此类数据目由冠通的第95/46/EC/号指令$、2016年6通用数适保护条例（GDPR)32018年&非个人致薪自由流动录例》、2018年《关于欧显客类营方机构处理个人数据的录例3，形成数据沿理的统一柱案；2019年《网络安全法案》，确立了第一份欧盟范国的网络安全认证计划；2020年《欧洲数抵战陷》，教力于实现真正的单一数据市场的虑景：2022年《数据治理法案》2022年《数字市场法案》、2023年《政字服务法案》、2024年《数据法》，作为落实《欧洲数据战路》所采取的益要立法举措，为欧洲新的数据治理方式奖定了基础；2023年数学运营复点力法》，2023年关于在欧监全境实现高虚统一网路安全措箭的指令》，以及正在立法进程中的网络团结法》《网路复愿力法》，均对欧监网路安全相关事项进行了规定；20普理法律，对欧盟人工智能系统进行了系统规是。值得注意的是，2022年《数据保护法执行指令（LED）3和《关于欧监客类官方机构处理个人数据的条例（EUDPR）3通用数据保护条例（GDPR）》共同构成保障 个人数据保护基本权利的欧暨框架的三大支柱。 在数据跨境安全立法方面，欧盟对外实行充分性认定规则，主要体现在《95指令》《通用数据保护条例》、约束性企业规则（BCRs）和标准合同条款（SCCs），以及关于GDPR第42和43条规定的认证和认证标准的指南》等文件中。 二、重点法律解析 01欧盟《108号公约3 (1)定位01（01） 1981年，欧洲委员会通过了多个人数据自动化处理中的个人保护公约》保护的国际公约。旨在确保在每个缔约方在其管转范围内的公民，不管其国辑或居住地，在对其个人数据进行自动化处理过程中得到保护，尊重其权利和基本自由，特别是对于隐私双方面的尊重。 随着互联网信息技术的发展及其应用的不断普及化，《108号公约》也历经数次您订： ·1999年，欧洲理事会对《108号公约》进行了首次修订： 。2001年，欧洲委员会对其进行了补充，加入有关监管机构和跨境数据流通的附加协定》[";。2012年，欧洲理事会再次针对其进行修订，通迁的建议稿决定将名称 适用范图； 2018年5月，第128届部长委员会（CommitteeofMinisters）会没通过了对该公约的量新一次修订，此次修订侧重吸纳更多的国家加入公约，从而形成以公约为基础的数据保护法律制度"； ·2018年10月，乌拉圭与20个欧洲理事会成员国签署了一项欧洲理事会条约，作为《剪108号公约》的修订议定书叫： (2) 特点 《108号公约》作为全球范围内第一份有关数据保护的具有法律约束力的国际性文件，反映了欧洲国家就个人数活保护作为人权保护达成的共识，并推进更多的国家参与和加入。公约建立了有关个人数据保护的量本系则以及各缔约国之间的基本义务，并将等对个人画本自由与权利的保护作为缔约国履行条约规定的国家义务的出发点。比外，公约委员会的建立，在一定程度上建立起了针对个人数据保护的多国合作框渠： (3）丰要内穿 《108号公约》（2018年版）由一般规则、数据保护基本原则、个人数据跨境流通、监管机构、相互办作、公约要员会、公约修正案、最后条款等八章节、32条款构成。 在适用范围上，公约明确是缔约回管辖范国内的个人数据处理活动，改据处理”活动，不再造用于自然人在纯粹的个人或家庭活动中进行的数 据处理活动。 公约针对数据安全方面提出，缔约国应当规定数据控制者，在造当的情形下包括数据处理者，采取适当的安全措施以防范个人数据遭受意外的既未经授权的访问、损效、去失、利月、修改或传播。同时，也引人了竭约国应当规定数据控制著将个人数据泄露事件及时通报监管机构的要求。 在义务上，公约对数据处理主体提出了更广泛的义务，如“评估其计划实施的对数慰主体的客项校利和基忘自由可能产生影响的数据处理行为的风险”，以降低侵害人权或基本自由的风险；“在数据处理的各个阶段，采取考虑到个人政竭保护权利的技术和组织措施”。 在个人致崛跨境流通上，公约力求确保在处理个人数据过程中给予适当保护的同时，促进数框在客国间实现自由流通。公约明确，住何缔约国不得仅为保护个人数据之目的禁止数据跨境传输，或者设置特别授权余件。非成员国的跨境传输，需在公约规定的适当一人数据保护水平得到保障的情形下进行。 02欧盟&95指令3 (1)定位 1995年10月24日，欧洲议会和欧监盟理事会通过了关于涉及个人数据处理的个人保护以及此类数落自目流通的第95/46/EC/号指令》（简称《95指令》）。95指令》为欧盟成员国制定和实施政据保护法律提供了一个基本柱架和维形，促成各成员国故据保护标准的望向统一，推动石 了全录个人效据保护铁序的理立。 (2)特点 95指令》直接以指令而非条约的形式要求各成员国完善效据保护立法，致力于协调各国对自然人在数据处理恢域的基本权利和自由的保护，消除个人数据在共同体内部自由流通的障碍。音次提出知情同意则，格“数活主体已明增表示同意”作为数据处理为合法条件之一；来用一立法模式，规定建理立独立的数据保沪构，是个人信感保护法中主张或外效力的典型代表。 (3）主要内容 95指令》包活72条序言和34条条款，昌在提高欧洲个人信息保护法律的统一程度，补1980年出台的第108号公约》：虽对成员国具有约束力，但真正执行国家并不多，实施效果也存在差异的现实情况，进而应对高速发层的信息技术时代带来的保护个人致提权利、消除法规不一所造成的数据流通降酶的双重挑战。 在处理个人数据的安全性方面，《95指令3提出，会员国应规定，控制者必须实施适当的技术和距职言施（特别是在处理涉及通过网络传输数脂的情况下厂，以保护个人数落免变意外或非法做环或意外去失、更改、未经没权的披露或访间，防止所有其他非法形式的处理。考虑到最新技术及其实施或本，此类措施应确保与处理行为潜在的风险和要保护的数据的性质相适应的安全水平。 在数据保护监管方面，《95指令》提出，各成员国应理立监管机构，并账予他们完全独立地行使职能。监管机构应被累予的权利包括调查权、干预权、法神诉讼权等。 在个人数据跨境流动方面，《95指令》明确，成员国向第三国转移个人数活，需以第三国对个人数据提供充分保护为前提。而判断第三国对个人数活保护是否充分，应压烧数据传输操作的情况来评估第三国提供的保护水平的充分性；应特别考愿数据的性质、拟处理操作的目的和持续时间、数据来源国和最终目的地国、第三国现行的一般和部门法律法规以及该国遵守的专业规则和安全措施。 03欧盟&通用数据保护条例3 (1)定位 2016年4月14日，欧洲议会和欧盟理事会通过了《通用数据保护条例（简称“GDPR”），于2018年5月25日正式生效，GDPR被称为“史上最严隐私法案”。一方面，GDPR赋予了个体用户对于自身数据更多的自丰权和选择权：另一方面，GDPR针对用户数据的控制主体和处理主体制定了十分严格的限制性规则“"，有力地推进欧暨数字单